搜索

[18461] 2019-01-05_企业安全体系建设之路之网络安全篇

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-01-05_企业安全体系建设之路之网络安全篇 企 业 安 全 体 系 建 设 之 路 之 网 络 安 全 篇 m o s i n   H A C K 学 习 呀   2 0 1 9 - 0 1 - 0 5 网 络 安 全 不 仅 仅 是 网 络 上 的 信 息 安 全 , 涉 及 领 域 很 广 。 从 广 义 来 说 ， 凡 是 涉 及 到 网 络 上 信 息 的 保 密 性 、 完 整 性 、 可 用 性 、 可 控 性 和 可 审 查 性 的 相 关 技 术 都 属 于 网 络 安 全 的 研 究 范 畴 。 百 度 定 义 ： 网 络 安 全 是 指 网 络 系 统 的 硬 件 、 软 件 及 其 系 统 中 的 数 据 受 到 保 护 ， 不 因 偶 然 的 或 者 恶 意 的 原 因 而 遭 受 到 破 坏 、 更 改 、 泄 露 ， 系 统 连 续 可 靠 正 常 地 运 行 ， 网 络 服 务 不 中 断 。 我 们 要 建 设 好 网 络 安 全 ， 这 个 是 很 不 容 易 的 ， 因 为 涉 及 的 面 太 广 ， 网 络 又 太 过 于 复 杂 ， 又 因 技 术 人 员 的 水 平 和 公 司 安 全 管 理 的 差 异 ， 或 多 或 少 造 成 了 很 多 东 西 不 可 实 现 。 下 文 ， 笔 者 将 介 绍 网 络 安 全 主 要 的 防 御 点 和 攻 击 点 ， 由 于 内 网 架 构 建 设 往 往 和 企 业 自 身 特 点 相 关 ， 所 以 文 中 相 关 介 绍 可 能 与 现 实 情 况 有 些 出 入 。 0 X 0 0   网 络 架 构 网 络 架 构 一 个 好 的 网 络 架 构 不 仅 便 于 管 理 而 且 能 有 很 好 的 防 御 性 。 一 般 地 ， 企 业 会 有 很 多 个 部 门 ， 企 业 的 网 络 分 内 网 和 外 网 ， 内 网 又 分 为 办 公 网 和 生 产 网 和 其 他 网 络 ， 那 么 如 何 规 划 好 各 个 网 络 之 间 的 联 系 ， 成 为 了 网 络 架 构 者 们 头 疼 的 问 题 。 面 对 如 今 的 网 络 安 全 现 状 ， 有 数 据 的 企 业 不 被 攻 击 是 很 难 避 免 的 ， 所 以 一 个 好 的 网 络 架 构 就 会 是 企 业 内 网 的 一 道 防 御 点 。 下 面 画 张 图 来 简 单 的 了 解 下 。
当 然 ， 真 实 的 网 络 环 境 比 这 个 草 图 还 要 复 杂 的 多 ， 这 张 图 只 是 一 个 抽 象 图 ， 并 不 能 完 美 呈 现 网 络 的 全 部 架 构 。 如 要 细 分 的 话 可 能 就 当 然 ， 真 实 的 网 络 环 境 比 这 个 草 图 还 要 复 杂 的 多 ， 这 张 图 只 是 一 个 抽 象 图 ， 并 不 能 完 美 呈 现 网 络 的 全 部 架 构 。 如 要 细 分 的 话 可 能 就 是 体 力 活 了 。 是 体 力 活 了 。 一 般 来 说 ， 企 业 网 络 都 会 是 相 通 的 ， 而 且 内 网 的 防 御 一 般 来 说 都 会 是 比 较 薄 弱 和 复 杂 的 ， 所 以 对 于 内 网 防 御 就 需 要 大 大 加 强 。 对 于 各 个 网 络 环 境 来 讲 ， 是 不 需 要 共 通 的 ， 比 如 办 公 网 环 境 ， 办 公 网 环 境 是 比 其 他 网 络 更 容 易 受 攻 击 ， 因 为 员 工 不 会 按 照 正 常 的 安 全 操 作 规 范 去 操 作 的 ， 员 工 的 管 理 难 度 是 有 的 ， 所 以 如 果 办 公 网 和 其 他 网 络 共 通 ， 一 台 办 公 网 的 设 备 受 到 攻 击 ， 那 么 整 个 内 网 就 会 直 接 沦 陷 。 反 之 ， 如 果 其 他 网 络 被 攻 击 也 是 一 样 的 效 果 。 那 么 ， 规 避 的 办 法 就 是 不 让 各 个 网 络 共 通 ， 各 个 部 门 的 网 络 不 能 连 通 ， 其 实 这 些 网 络 也 没 有 共 通 的 必 要 ， 那 么 各 个 网 络 或 者 部 门 需 要 连 通 就 要 有 内 部 的 O A 平 台 。 所 有 的 交 流 由 交 互 服 务 器 环 境 进 行 统 一 管 理 。 如 果 说 还 有 其 他 的 需 求 ， 办 法 就 是 都 通 过 外 部 接 口 进 行 联 系 ， 每 个 网 络 都 是 独 立 的 个 体 ， 风 险 就 会 降 低 许 多 。 0 X 0 1   信 息 连 通 信 息 连 通 接 上 面 的 话 题 ， 各 个 部 门 和 其 他 网 络 不 能 连 通 ， 那 么 连 通 的 方 式 就 是 要 有 一 个 企 业 自 己 内 部 的 办 公 平 台 ， 所 有 的 员 工 交 互 都 需 要 在 这 个 上 面 交 互 ， 当 然 也 是 可 以 把 网 络 做 成 单 独 的 个 体 。 在 内 网 中 搭 建 一 个 内 网 办 公 服 务 器 ， 部 署 O A 服 务 器 ， 相 关 会 议 通 知 、 部 门 审 批 都 在 上 面 发 布 、 处 理 。 服 务 器 当 然 是 放 到 独 立 的 内 部 外 部 网 络 ， 由 专 门 的 审 计 服 务 器 进 行 审 计 ， 上 传 的 文 件 都 是 要 经 过 处 理 检 查 后 才 能 上 传 保 存 。
相 应 的 日 志 是 必 不 可 少 的 ， 对 溯 源 很 有 帮 助 。 0 X 0 2   内 网 嗅 探 内 网 嗅 探 内 网 常 见 的 攻 击 莫 过 于 内 网 嗅 探 了 ， 一 般 攻 击 者 拿 到 权 限 都 会 对 网 络 进 行 扫 描 ， 发 现 主 机 漏 洞 并 针 对 性 进 行 攻 击 。 这 类 攻 击 不 怎 么 好 防 范 ， 只 能 是 做 好 策 略 ， 在 网 关 上 做 好 防 A R P 攻 击 等 策 略 ， 绑 定 同 I P 段 的 M A C 地 址 ， 自 身 机 器 也 要 确 保 基 线 配 置 合 规 。 内 网 中 可 以 嗅 探 的 协 议 有 很 多 ， I C M P 、 D N S 都 是 可 嗅 探 的 ， 还 有 就 是 内 网 钓 鱼 要 特 别 防 范 ， 在 内 网 中 的 钓 鱼 ， 即 使 钓 鱼 特 征 非 常 明 显 ， 成 功 的 几 率 也 是 非 常 大 的 ， 因 为 人 都 有 在 安 全 感 好 的 地 方 放 松 警 惕 习 惯 ， 这 个 时 候 就 需 要 防 护 策 略 的 保 障 了 。 0 X 0 3   内 网 监 控 内 网 监 控 在 内 网 中 安 装 监 控 软 件 ， 监 控 软 件 监 听 异 常 流 量 ， 现 在 市 面 上 的 软 件 ， 包 括 开 源 免 费 和 收 费 的 软 件 都 是 有 好 的 可 以 防 范 的 工 具 ， 一 旦 出 现 异 常 发 包 都 会 触 发 报 警 和 记 录 。 这 样 做 可 能 会 引 起 员 工 的 不 满 ， 所 以 这 个 内 网 监 控 的 做 法 就 只 能 是 监 控 I P 段 中 的 流 出 流 入 流 量 是 否 异 常 ， 每 台 设 备 的 发 包 是 否 正 常 ， 更 多 的 就 还 是 只 能 靠 策 略 防 火 墙 了 。 0 X 0 4   防 火 墙 防 火 墙 防 火 墙 一 般 是 配 置 在 外 网 出 入 口 处 ， 但 是 一 道 防 线 肯 定 是 不 够 的 ， 那 么 防 火 墙 的 配 置 就 是 需 要 特 别 策 划 了 。 每 一 种 品 牌 的 防 火 墙 优 缺 点 不 一 样 ， 防 护 策 略 功 能 和 能 力 也 是 良 莠 不 齐 的 ， 所 以 我 们 选 择 防 火 墙 就 需 要 从 多 方 面 考 虑 。 这 里 我 们 先 排 除 经 费 的 问 题 ， 当 然 这 个 看 企 业 对 安 全 的 投 入 持 什 么 态 度 。 防 火 墙 的 选 择 必 须 依 靠 业 务 自 身 特 点 来 选 择 ， 总 不 可 能 一 套 防 D D O S 的 防 火 墙 你 用 来 当 W e b 的 W A F 用 ， 不 合 适 吧 ？ 所 以 我 们 就 需 要 有 针 对 性 的 选 择 ， 网 络 需 要 选 择 那 种 类 型 ， 办 公 网 需 要 选 择 哪 种 类 型 。 针 对 性 的 在 多 个 网 络 出 入 口 进 行 防 火 墙 设 置 ， 当 然 这 个 投 入 是 相 当 大 的 ， 所 以 没 钱 就 … . . 当 然 一 般 的 公 司 ， 如 果 不 是 什 么 机 密 部 门 或 者 重 要 数 据 存 放 的 网 络 ， 普 通 办 公 场 所 就 一 台 总 防 火 墙 加 一 般 杀 毒 软 件 就 O K ， 不 用 考 虑 太 多 。 如 果 不 是 攻 击 者 的 撒 网 式 攻 击 ， 否 者 根 本 没 有 被 攻 击 的 可 能 ， 毕 竟 攻 击 是 要 讲 利 益 和 成 本 的 。 在 各 个 部 门 的 出 口 入 口 防 火 墙 策 略 上 做 好 安 全 配 置 ， 可 以 让 恶 意 软 件 或 者 反 向 连 接 型 后 门 出 不 了 当 前 网 段 ， 但 对 于 云 端 木 马 来 讲 ， 就 显 得 有 点 鸡 肋 了 ， 这 个 也 是 最 不 好 防 范 的 地 方 ， 因 为 云 端 木 马 不 按 常 理 出 牌 ， 一 般 依 赖 客 户 端 ， 只 要 设 备 能 够 与 外 界 通 信 ， 木 马 就 能 够 执 行 ， 并 且 能 够 隐 藏 的 很 好 。 所 以 解 决 办 法 就 是 在 防 火 墙 注 册 软 件 特 征 码 ， 当 然 当 前 的 防 火 墙 还 不 具 备 这 种 功 能 ， 所 以 就 只 能 靠 软 件 来 监 控 软 件 特 征 码 （ 这 类 软 件 市 面 上 没 有 全 面 的 ， 如 果 公 司 有 实 力 ， 可 以 自 己 研 发 ） ， 不 合 规 的 统 统 不 让 出 。 不 过 ， 这 里 会 有 个 问 题 ， 就 是 如 果 病 毒 流 量 隐 藏 在 其 中 呢 ？ 如 果 员 工 自 己 新 安 装 了 软 件 呢 ？ 所 以 这 个 就 只 能 是 对 服 务 器 有 效 了 ？ 其 实 不 然 ， 我 们 可 以 建 立 异 常 流 量 库 ， 是 病 毒 木 马 都 会 执 行 命 令 ， 那 么 就 肯 定 会 有 命 令 执 行 的 相 关 特 征 ， 建 立 大 量 的 特 征 库 ， 针 对 性 的 进 行 过 滤 告 警 ， 防 范 也 就 顺 其 自 然 了 。 0 X 0 5   日 志 分 析 日 志 分 析 日 志 分 析 是 运 维 安 全 中 比 较 重 要 的 ， 这 个 和 防 火 墙 差 不 多 ， 依 赖 于 人 工 和 软 件 自 动 化 ， 如 果 企 业 有 条 件 ， 可 以 加 上 A I 自 动 学 习 机 制 ， 这 样 可 以 减 少 人 力 ， 再 一 个 可 以 增 加 攻 击 识 别 率 。 一 般 来 讲 ， 当 服 务 器 产 生 日 志 ， 日 志 是 不 需 要 存 放 到 本 地 的 ， 日 志 需 要 直 接 发 送 到 专 门 的 日 志 存 储 服 务 器 上 面 去 ， 这 样 可 以 防 止 被 入 侵 时 ， 日 志 被 删 ， 减 小 无 法 取 证 溯 源 的 风 险 。 然 后 审 计 服 务 器 开 始 对 日 志 进 行 审 计 ， 提 取 入 侵 痕 迹 ， 对 事 件 进 行 报 警 。
其 实 日 志 分 析 也 是 一 门 取 证 学 问 ， 日 志 不 是 万 能 的 ， 但 没 有 日 志 又 是 万 万 不 能 的 。 0 X 0 6   无 线 无 线 / v p n 网 络 网 络 通 常 ， 我 们 登 录 堡 垒 机 或 者 从 外 部 访 问 内 网 都 是 需 要 用 V P N 来 登 录 的 ， 所 以 V P N 又 是 攻 击 者 攻 进 内 网 的 一 个 点 ， 排 除 V P N 自 身 0 d a y , 防 范 的 点 一 般 就 是 U 盾 加 帐 号 密 码 来 登 录 。 对 于 帐 号 密 码 登 录 的 V P N ， 风 险 是 比 较 大 的 ， 攻 击 者 可 以 通 过 暴 力 破 解 、 撞 库 等 手 段 进 行 帐 号 密 码 猜 解 。 所 以 一 个 好 的 强 登 录 手 段 可 以 防 范 此 类 攻 击 。 下 面 来 说 说 无 线 网 的 安 全 ， 一 般 公 司 都 会 安 装 无 线 网 的 ， 其 中 有 些 公 司 会 把 无 线 网 安 装 部 署 到 内 网 中 ， 部 署 到 办 公 网 中 ， 这 个 是 非 常 危 险 的 部 署 方 式 。 如 果 攻 击 者 拿 到 无 线 网 密 码 ， 那 么 他 就 可 以 直 接 内 网 漫 游 了 ， 所 以 无 线 网 应 该 怎 么 部 署 是 一 个 值 得 探 讨 的 问 题 。 通 常 ， 无 线 网 是 部 署 在 其 他 网 络 环 境 中 的 ， 也 就 是 与 内 网 是 分 离 开 的 ， 或 者 是 内 网 中 独 立 出 来 的 一 个 网 络 ， 此 网 络 无 法 与 公 司 其 他 内 部 网 络 进 行 通 信 ， 只 能 是 具 有 普 通 的 上 网 功 能 ， 供 来 宾 使 用 。 在 这 个 地 方 有 一 个 安 全 的 问 题 ， 就 是 公 司 的 无 线 网 设 备 都 是 部 署 于 第 三 方 网 络 环 境 中 ， 本 身 无 问 题 不 与 内 网 产 生 关 系 ， 但 是 员 工 私 自 在 办 公 电 脑 上 开 放 无 线 网 ， 这 里 的 无 线 网 不 代 表 公 司 办 公 电 脑 是 否 安 装 无 线 网 卡 ， 这 个 可 以 是 随 身 W I F I ， U 盘 无 线 等 设 备 ， 这 种 情 况 的 发 生 不 是 不 可 能 。 但 是 这 种 情 况 的 发 生 是 很 难 管 控 的 ， 因 为 这 个 属 于 员 工 自 有 行 为 ， 屏 蔽 或 者 取 消 U S B 插 口 的 话 ， 如 果 特 殊 情 况 要 用 ， 又 当 如 何 ？ 这 种 处 理 场 景 是 有 条 件 限 制 的 ， 所 以 这 个 就 只 有 对 问 题 采 取 规 避 措 施 了 ， 如 培 训 或 者 对 事 件 发 生 进 行 处 罚 等 ， 健 全 公 司 安 全 管 理 措 施 。 0 X 0 7   内 网 管 控 内 网 管 控 在 办 公 电 脑 或 者 在 网 服 务 器 中 关 闭 无 关 端 口 ， 屏 蔽 高 危 端 口 。 在 系 统 安 全 中 笔 者 也 提 到 过 ， 端 口 是 攻 击 者 探 测 信 息 的 重 要 渠 道 ， 所 以 我 们 必 须 关 闭 无 关 端 口 ， 因 为 你 也 不 知 道 这 个 端 口 究 竟 有 无 漏 洞 ， 还 有 就 是 高 危 端 口 ， 如 W i n d o w s 的 S M B （ 1 3 5 ， 4 4 5 ） 的 端 口 ， M S 0 8 - 0 6 7 , M S 1 7 - 0 1 0 就 是 一 个 例 子 ， 这 两 个 漏 洞 都 是 史 诗 级 别 的 ， 威 力 巨 大 ， 所 以 像 这 些 容 易 被 攻 击 的 高 危 端 口 都 应 该 关 掉 ， 如 存 在 特 殊 情 况 应 做 好 安 全 策 略 来 防 范 , 毕 竟 有 些 地 方 还 是 需 要 这 些 端 口 来 通 信 的 。 内 网 的 管 理 一 般 都 是 批 量 管 理 的 ， 如 域 管 理 ， 因 为 公 司 小 可 以 不 用 ， 但 如 果 一 个 大 公 司 的 话 ， 这 样 一 台 一 台 的 管 理 根 本 就 不 可 能 ， 所 以 批 量 的 实 现 ， 可 以 减 少 管 控 带 来 的 难 度 。   域 的 安 全 是 值 得 重 视 的 ， 健 全 域 环 境 和 配 置 合 规 ， 保 证 域 安 全 。 在 内 网 传 输 中 的 传 输 需 要 加 密 ， 当 然 不 敏 感 的 数 据 除 外 。 0 X 0 8   蜜 罐 蜜 罐 搭 建 蜜 罐 环 境 可 以 帮 助 我 们 更 好 的 了 解 攻 击 者 的 手 法 ， 参 考 其 手 法 放 入 公 司 策 略 。 蜜 罐 的 作 用 不 仅 能 够 追 踪 最 新 的 攻 击 手 法 ， 也 是 获 取 威 胁 情 报 的 重 要 途 径 ， 以 至 于 当 服 务 器 被 入 侵 时 ， 能 够 找 到 并 对 攻 击 进 行 溯 源 ， 从 而 避 开 了 系 统 日 志 分 析 的 短 板 。 0 x 0 9   制 度 建 设 制 度 建 设 公 司 内 部 网 络 建 设 是 比 较 难 的 ， 也 并 不 是 笔 者 的 几 句 话 能 够 说 的 清 楚 的 ， 这 个 针 对 于 内 网 制 度 建 设 的 一 个 小 点 ， 也 是 笔 者 的 一 点 心 得 ， 也 相 信 许 多 公 司 并 没 有 这 方 面 的 制 度 ， 安 全 制 度 的 建 设 将 在 以 后 的 安 全 体 系 建 设 篇 中 详 细 探 讨 ， 既 然 讲 到 了 ， 就 在 这 里 先 做 个 介 绍 。 针 对 于 网 络 安 全 ， 公 司 有 属 于 自 己 的 业 务 ， 那 么 公 司 业 务 的 清 单 是 必 须 要 有 的 1 . 公 司 所 有 部 门 的 服 务 器 清 单
2 . 公 司 所 有 人 员 电 脑 详 细 清 单 （ 包 括 型 号 、 M A C 、 O S 等 ） 3 . 公 司 所 有 服 务 器 端 口 开 放 情 况 公 司 服 务 器 所 有 开 放 的 端 口 需 要 有 个 记 录 ， 包 括 新 开 端 口 需 要 申 请 和 报 备 ， 由 公 司 统 一 网 关 进 行 授 权 处 理 ， 这 样 做 的 目 的 可 以 快 速 定 位 未 知 开 放 端 口 ， 也 方 便 了 安 全 审 计 系 统 。 0 X 1 0   网 络 安 全 建 设 总 结 网 络 安 全 建 设 总 结 企 业 若 要 建 设 强 大 的 网 络 安 全 体 系 , 人 才 是 很 重 要 的 ， 找 一 个 对 网 络 架 构 很 熟 悉 的 管 理 人 才 ， 对 企 业 的 安 全 体 系 建 设 至 关 重 要 ， 当 然 还 要 组 建 起 一 个 团 队 ， 分 工 细 致 和 明 确 ， 这 样 才 能 达 到 预 期 目 标 。 建 立 网 络 安 全 体 系 只 需 要 思 考 下 面 三 点 1 .   建 设 网 络 安 全 体 系 的 目 标 是 什 么 ？ 2 .   建 设 网 络 安 全 体 系 能 给 企 业 带 来 什 么 ？ 3 .   建 设 网 络 安 全 体 系 的 成 本 是 多 少 ？ 下 面 来 简 单 的 概 述 下 , 网 络 安 全 包 含 以 下 几 方 面 内 容 （ 肯 定 是 不 全 的 ） ： 网 络 实 体 安 全 传 输 安 全 系 统 和 应 用 安 全 安 全 管 理 数 据 安 全 我 们 建 设 网 络 环 境 时 ， 肯 定 得 搭 建 起 整 个 网 络 架 构 ， 网 络 架 构 图 是 必 须 得 画 的 。 这 样 不 至 于 出 差 错 不 知 道 从 何 处 改 起 。 如 果 是 已 搭 建 起 的 网 络 ， 其 首 要 任 务 是 摸 清 企 业 整 个 网 络 的 现 状 ， 这 样 才 好 对 症 进 行 安 全 改 造 。 网 络 运 行 环 境 网 络 运 行 环 境 企 业 网 络 上 存 在 着 财 政 平 台 、 办 公 平 台 、 审 批 系 统 等 业 务 应 用 ， 为 企 业 员 工 或 者 企 业 外 用 户 提 供 服 务 ， 网 络 中 运 行 着 涉 密 或 敏 感 工 作 的 信 息 。 网 络 安 全 脆 弱 性 网 络 安 全 脆 弱 性 由 于 现 代 网 络 的 复 杂 性 ， 网 络 牵 扯 到 的 业 务 也 不 再 像 以 前 那 么 的 单 一 ， 企 业 网 络 来 自 于 各 方 面 的 安 全 威 胁 ， 要 分 析 网 络 的 脆 弱 性 ， 就 要 结 合 网 络 的 实 际 情 况 分 析 所 面 临 的 威 胁 。 脆 弱 性 分 析 应 从 物 理 层 ， 网 络 层 ， 系 统 层 ， 应 用 层 ， 管 理 层 五 个 层 面 进 行 分 析 ： （ 一 ） 物 理 层 脆 弱 性 分 析
1 .   恶 意 的 物 理 破 坏 企 业 网 络 各 节 点 交 换 机 和 服 务 器 设 备 均 封 闭 在 单 独 的 房 间 内 ， 这 些 房 间 主 要 由 管 理 人 员 负 责 管 理 ， 在 物 理 上 实 现 了 安 全 保 护 ， 但 目 前 不 能 做 到 实 时 监 控 和 告 警 。 因 为 或 多 或 少 企 业 的 网 络 管 理 不 可 能 达 到 国 家 层 面 的 高 度 ， 这 样 很 不 现 实 ， 我 们 能 够 做 的 只 是 尽 可 能 的 做 到 相 对 安 全 ， 其 他 的 只 能 看 管 理 人 员 的 责 任 心 和 安 全 意 识 。 1 .   电 力 中 断 企 业 网 中 各 节 点 设 备 的 用 电 问 题 ， 一 般 的 电 力 故 障 仅 会 造 成 区 域 故 障 ， 但 中 心 机 房 电 力 由 企 业 机 房 单 线 供 电 。 突 然 的 电 力 中 断 会 导 致 服 务 无 法 正 常 提 供 ， 一 定 会 造 成 数 据 丢 失 ， 为 什 么 说 一 定 ， 我 们 可 以 知 道 的 是 ， 有 哪 个 企 业 的 机 房 服 务 器 或 者 是 办 公 电 脑 的 数 据 是 时 时 保 存 或 者 备 份 的 ， 所 以 断 电 造 成 的 损 失 看 企 业 的 业 务 能 力 而 定 了 。 企 业 一 定 要 有 自 己 的 备 用 电 源 ， 这 样 在 断 电 时 不 至 于 造 成 巨 大 的 损 失 。 1 .   消 防 中 心 机 房 要 建 有 消 防 系 统 ， 并 纳 入 企 业 消 防 联 动 系 统 ， 实 现 了 火 灾 报 警 与 紧 急 处 置 ， 增 加 机 房 监 控 投 入 ， 提 前 监 控 消 防 动 态 ， 有 可 能 一 个 地 方 的 短 路 就 可 造 成 整 个 机 房 不 可 挽 回 的 损 失 。 还 有 机 房 的 散 热 、 湿 度 、 卫 生 等 也 是 需 要 管 控 的 。 （ 二 ） 网 络 层 脆 弱 性 分 析 1 .   非 法 外 联 从 网 络 边 界 安 全 的 角 度 考 虑 ， 内 网 中 的 每 个 节 点 自 身 是 一 个 安 全 孤 岛 ， 具 备 可 信 的 性 质 ， 自 身 节 点 以 外 的 区 域 为 不 可 信 区 域 ， 自 身 存 在 着 遭 受 不 可 信 区 域 攻 击 的 危 险 性 ， 那 些 没 有 受 到 任 何 访 问 控 制 保 护 的 节 点 ， 其 安 全 性 就 由 节 点 内 各 个 系 统 自 身 的 安 全 性 来 决 定 。 网 络 边 界 安 全 性 能 较 弱 。 内 网 缺 乏 边 界 防 护 措 施 。 在 前 文 中 讲 过 ， 在 网 络 架 构 部 署 之 初 ， 我 们 就 应 该 对 网 络 的 各 个 节 点 ， 也 就 是 各 个 网 络 的 出 入 口 部 署 审 计 系 统 ， 以 此 来 管 控 边 界 问 题 ， 虽 不 能 杜 绝 非 法 外 联 ， 但 是 过 滤 和 监 控 流 量 的 效 果 是 很 好 的 。 1 .   内 部 攻 击 由 多 数 的 企 业 网 络 现 状 可 以 看 出 ， 我 们 的 服 务 器 和 用 户 之 间 没 有 使 用 安 全 设 备 进 行 访 问 控 制 ， 其 中 的 交 互 连 接 更 无 过 滤 之 说 ， 所 有 应 用 和 系 统 由 系 统 自 身 的 安 全 性 决 定 。 但 即 使 有 访 问 控 制 功 能 ， 还 需 要 防 护 针 对 应 用 或 系 统 漏 洞 进 行 攻 击 的 行 为 。 也 不 排 除 内 部 用 户 （ 潜 在 攻 击 者 ） 会 使 用 攻 击 工 具 在 内 网 中 作 一 些 攻 击 试 探 和 信 息 收 集 ， 这 有 可 能 会 造 成 业 务 服 务 中 断 。 内 部 网 络 监 管 需 要 技 术 和 管 理 上 并 进 才 能 保 证 安 全 ， 当 然 安 全 教 育 和 硬 件 软 件 网 络 监 控 也 是 必 不 可 少 的 。 1 .   非 法 访 问 一 般 企 业 内 网 中 的 普 通 员 工 用 户 安 全 意 识 不 强 ， 各 系 统 口 令 设 置 缺 乏 合 理 性 ， 安 全 性 低 ， 这 为 非 法 用 户 盗 取 数 据 库 资 源 提 供 了 可 能 ， 并 且 在 内 部 局 域 网 络 中 这 种 经 常 会 出 现 的 口 令 探 测 也 同 样 缺 乏 有 效 的 技 术 监 管 。 主 机 操 作 系 统 漏 洞 和 错 误 的 系 统 设 置 也 能 导 致 非 法 访 问 的 出 现 。 所 以 在 这 方 面 企 业 应 该 有 一 些 手 段 来 管 控 。 1 .   互 联 设 备 安 全 企 业 网 络 中 的 互 连 设 备 中 使 用 了 大 量 的 交 换 设 备 和 路 由 器 。 当 然 也 包 括 其 他 办 公 设 备 ， 如 打 印 机 、 摄 像 头 等 等 。 这 些 互 连 设 备 的 弱 管 理 口 令 ， 网 络 操 作 系 统 的 版 本 太 低 也 会 使 交 换 设 备 受 到 入 侵 和 拒 绝 服 务 攻 击 ， 导 致 不 能 正 常 工 作 ， 影 响 信 息 系 统 的 工 作 。 这 些 物 联 网 设 备 的 通 病 就 是 共 享 性 严 重 ， 虽 然 这 是 特 性 ， 但 是 这 个 特 性 所 带 来 的 威 胁 是 很 严 重 的 。 举 一 个 笔 者 遇 到 过 的 一 个 例 子 。 曾 经 笔 者 在 实 习 时 ， 遇 到 过 一 个 物 联 网 入 侵 的 事 件 ， 当 时 正 值 w a n n a c r y 勒 索 病 毒 爆 发 ， 公 司 某 部 门 有 几 台 办 公 电 脑 被 入 侵 ， 找 不 到 原 因 ， 怀 疑 是 利 用 了 M S 1 7 - 0 1 0 漏 洞 ， 事 实 上 ， 公 司 早 就 做 过 了 策 略 并 在 漏 洞 爆 发 前 打 上 了 微 软 补 丁 ， 在 几 经 排 查 后 ， 把 源 头 定 位 在 了 打 印 机 身 上 ，
这 台 打 印 机 没 有 按 照 规 范 放 进 内 网 ， 而 是 直 接 暴 露 在 公 网 ， 给 了 攻 击 者 入 侵 机 会 。 打 印 机 、 摄 像 头 这 类 产 品 就 会 使 用 S N M P 协 议 ， S N M P 协 议 通 常 密 码 都 是 不 会 改 的 ， 所 以 跑 出 敏 感 信 息 进 而 进 行 漏 洞 扩 大 化 利 用 。 笔 者 对 打 印 机 和 摄 像 头 进 行 过 研 究 ， 缘 由 它 们 的 共 享 性 ， 即 使 不 用 协 议 ， 我 都 能 够 进 行 攻 击 ， 其 中 包 括 市 面 上 1 0 0 % 品 牌 的 打 印 机 设 备 （ 能 够 算 得 上 品 牌 的 ） ， 如 D O S 攻 击 。 所 以 ， 只 要 是 连 上 网 络 的 设 备 ， 就 都 有 可 能 成 为 攻 击 的 对 象 。 （ 三 ） 系 统 层 脆 弱 性 分 析 系 统 层 的 主 要 问 题 在 于 以 w i n d o w s   2 0 0 3 / 2 0 0 8 为 主 的 应 用 服 务 器 和 数 据 库 服 务 器 上 存 在 着 重 要 信 息 ， 当 然 * n u x 系 统 的 远 程 命 令 执 行 相 对 来 说 比 较 少 ， 漏 洞 利 用 难 度 也 是 有 的 。 由 于 企 业 各 个 网 络 不 能 互 通 ， 重 要 网 络 与 互 联 网 物 理 隔 离 ， 系 统 漏 洞 补 丁 不 能 及 时 更 新 ， 系 统 防 火 墙 关 闭 ， 系 统 没 有 遵 循 最 小 权 限 原 则 进 行 安 全 策 略 配 置 。 病 毒 和 黑 客 攻 击 往 往 针 对 这 些 来 进 行 。 所 以 还 是 那 句 话 ， 规 范 化 生 产 和 运 维 至 关 重 要 。 （ 四 ） 应 用 层 脆 弱 性 分 析 1 .   恶 意 代 码 恶 意 代 码 在 w i n d o w s 平 台 上 主 要 是 病 毒 和 黑 客 软 件 问 题 ， 病 毒 主 要 是 从 诸 如 U 盘 、 外 部 数 据 交 换 等 环 境 引 入 ； 黑 客 软 件 和 攻 击 代 码 对 服 务 器 系 统 形 成 了 威 胁 ， 这 些 黑 客 软 件 和 攻 击 代 码 的 散 布 非 常 广 泛 且 下 载 容 易 简 单 。 1 .   破 坏 信 息 完 整 性 信 息 完 整 性 主 要 是 指 网 络 系 统 的 重 要 应 用 数 据 遭 到 篡 改 和 破 坏 ， 如 果 没 有 相 应 的 备 份 措 施 和 集 中 管 理 ， 一 旦 被 攻 击 ， 数 据 遭 到 的 破 坏 将 是 难 以 估 计 的 。 1 .   数 据 传 输 抵 赖 性 由 于 目 前 网 络 协 议 对 安 全 性 问 题 考 虑 得 很 少 ， 所 以 单 单 依 靠 协 议 地 址 或 一 些 简 单 的 通 信 标 志 来 判 定 攻 击 者 的 身 份 是 很 难 的 ， 也 是 证 据 不 足 的 ， 高 水 平 的 攻 击 者 在 攻 击 时 一 定 会 掩 饰 自 己 的 身 份 和 标 志 ， 这 样 才 不 会 暴 露 自 己 的 身 份 。 如 果 企 业 网 络 数 据 传 输 无 法 解 决 接 受 方 和 发 送 方 的 抗 抵 赖 性 问 题 ， 对 发 送 有 误 数 据 或 不 承 认 传 输 数 据 的 行 为 无 法 准 确 追 究 责 任 。 应 增 加 身 份 认 证 和 数 据 加 密 传 输 管 控 措 施 。 内 部 网 络 防 监 听 态 势 感 知 的 建 设 ， 能 够 有 效 防 止 此 类 事 件 。 1 .   病 毒 的 泛 滥 企 业 网 络 的 各 应 用 和 数 据 服 务 器 都 安 装 防 病 毒 软 件 ， 系 统 对 病 毒 的 防 护 有 保 障 。 不 过 对 于 水 坑 式 攻 击 难 以 有 效 防 范 ， 如 果 攻 击 者 针 对 企 业 特 别 研 发 病 毒 ， 那 么 杀 毒 软 件 只 能 爱 莫 能 助 了 ， 所 以 要 有 安 全 意 识 和 态 势 感 知 加 威 胁 情 报 来 支 撑 。 （ 五 ） 管 理 层 脆 弱 性 分 析 1 .   操 作 失 误 这 是 一 个 无 法 避 免 的 问 题 ， 主 要 分 为 系 统 管 理 员 和 普 通 用 户 操 作 失 误 两 种 。 前 者 的 影 响 往 往 是 致 命 的 ， 直 接 危 害 到 系 统 和 数 据 安 全 ； 后 者 主 要 影 响 用 户 数 据 的 完 整 性 。 1 .   人 为 的 故 意 攻 击 来 自 系 统 内 部 人 员 和 非 法 外 联 用 户 的 攻 击 是 很 难 防 范 的 ， 内 部 工 作 人 员 本 身 在 重 要 应 用 系 统 上 都 有 一 定 的 使 用 权 限 ， 并 且 对 系 统 应 用 非 常 清 楚 ， 一 次 试 探 性 的 攻 击 演 练 都 可 能 会 对 应 用 造 成 瘫 痪 的 影 响 ， 这 种 行 为 单 单 依 靠 工 具 的 检 测 是 很 难 彻 底 避 免 的 ， 还 应 该 建 立 完 善 的 管 理 制 度 。 企 业 安 全 需 求 企 业 安 全 需 求 针 对 网 络 安 全 脆 弱 性 分 析 结 果 ， 总 结 广 域 网 安 全 保 密 需 求 ， 总 结 如 下 ：
（ 一 ） 物 理 层 1 .   对 重 要 设 备 使 用 电 磁 泄 漏 发 射 干 扰 系 统 解 决 设 备 电 磁 泄 漏 问 题 。 2 .   对 重 要 线 路 使 用 网 络 线 缆 发 射 干 扰 系 统 解 决 线 路 电 磁 泄 漏 问 题 3 .   对 重 要 区 域 使 用 环 境 监 控 系 统 解 决 重 要 区 域 环 境 信 息 不 能 实 时 监 控 和 多 方 式 报 警 问 题 。 4 .   对 重 要 区 域 使 用 双 路 供 电 ， 使 用 断 电 保 护 ， 配 备 备 用 电 源 ， 保 障 长 时 间 断 电 网 络 服 务 不 中 断 。 5 .   保 持 机 房 干 净 整 洁 。 6 .   完 善 网 络 布 线 架 构 的 清 晰 。 7 .   完 善 人 员 管 控 制 度 。 （ 二 ） 网 络 层 1 .   在 各 节 点 网 络 接 口 部 分 使 用 准 入 控 制 系 统 来 解 决 边 界 访 问 防 护 问 题 。 2 .   在 各 节 点 内 部 加 固 网 络 互 连 设 备 来 解 决 网 络 互 连 的 安 全 可 靠 性 3 .   在 中 心 机 房 和 其 他 重 要 节 点 使 用 I P S 、 防 火 墙 ， 进 行 攻 击 监 控 、 入 侵 防 护 。 4 .   监 控 各 个 节 点 应 用 和 端 口 异 常 流 量 和 外 部 异 常 访 问 。 5 .   采 用 势 态 感 知 ， 及 时 封 堵 I P 或 流 量 端 口 。 （ 三 ） 系 统 层 1 .   针 对 不 同 的 操 作 系 统 应 用 ， 遵 循 最 小 权 限 原 则 ， 完 善 系 统 安 全 策 略 配 置 ， 加 强 系 统 密 码 管 理 更 新 ， 解 决 这 些 应 用 的 安 全 问 题 。 2 .   加 固 各 系 统 防 病 毒 软 件 安 全 设 置 和 病 毒 库 更 新 ， 解 决 病 毒 传 播 、 破 坏 和 扩 散 问 题 。 3 .   建 设 系 统 漏 洞 补 丁 服 务 器 ， 解 决 系 统 漏 洞 补 丁 不 能 及 时 更 新 的 安 全 问 题 。 4 .   每 月 一 次 基 线 检 测 ， 确 保 基 线 配 置 合 规 。 （ 四 ） 应 用 层 1 .   建 设 身 份 认 证 系 统 ， 解 决 破 坏 信 息 完 整 性 、 数 据 传 输 抵 赖 、 假 冒 、 窃 听 等 问 题 。 2 .   加 固 各 应 用 系 统 自 身 安 全 配 置 解 决 服 务 引 用 的 安 全 问 题 。 3 .   建 设 安 全 审 计 系 统 ， 解 决 系 统 资 源 审 计 问 题 。 4 .   建 设 灾 备 系 统 ， 在 重 要 信 息 系 统 和 数 据 遭 受 恶 意 攻 击 或 物 理 损 坏 时 可 及 时 恢 复 。 来 源 ： h t t p : / / i m o s i n . c o m 作 者 ： m o s i n 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理