搜索

[22169] 2021-07-18_企业安全建设之基础办公安全体系建设（防火墙、VPN和上网行为管理）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-07-18_企业安全建设之基础办公安全体系建设（防火墙、VPN和上网行为管理） 企 业 安 全 建 设 之 基 础 办 公 安 全 体 系 建 设 （ 防 火 墙 、 V P N 和 上 网 行 为 管 理 ） L e m o n S e c   2 0 2 1 - 0 7 - 1 8 有 幸 拜 读 了 李 斌 老 师 的 《 企 业 信 息 安 全 建 设 与 运 维 指 南 》 ， 书 中 详 细 介 绍 了 基 础 安 全 建 设 、 自 动 化 系 统 建 设 、 业 务 安 全 体 系 建 设 ， 受 益 匪 浅 。   结 合 李 斌 老 师 的 书 ， 做 了 随 笔 整 理 。   企 业 办 公 网 安 全 体 系 建 设 企 业 办 公 网 安 全 体 系 建 设 ， ， 包 括 包 括 终 端 基 础 安 全 体 系 终 端 基 础 安 全 体 系 、 、 防 火 墙 和 防 火 墙 和 V P N 、 、 入 侵 检 测 入 侵 检 测 / 防 御 系 统 防 御 系 统 、 、 邮 件 系 统 安 全 和 统 一 邮 件 系 统 安 全 和 统 一 账 号 认 证 系 统 建 设 账 号 认 证 系 统 建 设 。 。   1 . 终 端 基 础 安 全 这 部 分 内 容 上 一 篇 有 介 绍 ： 企 业 安 全 建 设 之 基 础 办 公 安 全 体 系 建 设 （ 终 端 基 础 安 全 ）   2 . 介 绍 防 火 墙 介 绍 防 火 墙 、 、 V P N 和 上 网 行 为 管 理 和 上 网 行 为 管 理 企 业 员 工 日 常 办 公 需 要 进 行 网 络 连 接 、 如 图 主 要 包 括 以 下 几 类 ： · 办 公 网 用 户 需 要 访 问 互 联 网 · 总 部 和 分 支 机 构 需 要 进 行 互 联 · 办 公 网 需 要 访 问 I D C （ 互 联 网 数 据 中 心 ） 或 生 产 网 · 员 工 需 要 远 程 接 入 办 公 网   企 业 在 进 行 网 络 互 联 和 网 络 使 用 过 程 中 ， 存 在 以 下 安 全 需 求 。 1 ） 网 络 边 界 访 问 控 制 办 公 网 、 生 产 网 、 互 联 网 的 安 全 级 别 是 不 一 样 的 ， 其 中 互 联 网 是 最 不 安 全 的 ， 存 在 大 量 的 恶 意 攻 击 和 尝 试 ； 生 产 网 承 载 公 司 核 心 线 上 业 务 ， 需 要 进 行 重 点 保 护 ； 办 公 网 往 往 比 较 复 杂 ， 安 全 风 险 也 较 高 。 因 此 在 网 络 边 界 需 要 进 行 访 问 控 制 ， 对 访 问 源 、 访 问 目 的 和 端 口 进 行 限 制 ， 降 低 网 络 互 联 风 险 。 2 ） 通 信 安 全 和 传 输 安 全 企 业 分 支 机 构 和 总 部 远 程 办 公 接 入 都 需 要 进 行 互 联 和 网 络 信 息 传 输 ， 要 保 障 数 据 传 输 安 全 ， 避 免 数 据 在 传 输 过 程 中 被 恶 意 窃 取 ； 此 外 针 对 远 程 办 公 接 入 用 户 ， 还 需 要 进 行 身 份 认 证 和 权 限 控 制 ， 防 止 非 授 权 访 问 和 不 安 全 接 入 。 3 ） 安 全 上 网 员 工 访 问 互 联 网 时 ， 可 能 有 意 或 无 意 访 问 了 恶 意 网 站 （ 如 病 毒 网 站 、 色 情 网 站 、 钓 鱼 网 站 ） ， 被 植 入 了 木 马 或 后 门 ， 导 致 终 端 被 入 侵 ； 此 员 工 可 能 使 用 了 不 安 全 的 或 公 司 不 允 许 使 用 的 软 件 ， 如 各 种 远 程 控 制 软 件 和 协 助 工 具 、 p 2 p 客 户 端 、 代 理 软 件 和 协 议 等 。 企 业 需 要 在 互 联 网 访 问 出 口 处 对 上 网 行 为 进 行 安 全 管 控 。 下 面 主 要 介 绍 介 绍 防 火 墙 防 火 墙 、 、 V P N 和 上 网 行 为 管 理 和 上 网 行 为 管 理 ， 通 过 这 些 设 备 和 系 统 ， 解 决 网 络 互 联 安 全 风 险 问 题 。   2 . 1   防 火 墙 防 火 墙
2 . 1 . 1 防 火 墙 简 介 和 发 展 历 程 防 火 墙 简 介 和 发 展 历 程 防 火 墙 是 提 供 网 络 访 问 控 制 的 硬 件 设 备 ， 防 火 墙 的 发 展 主 要 经 历 了 以 下 几 个 阶 段 ： · 防 火 墙 ： 提 供 基 于 状 态 检 测 的 防 火 墙 ， 工 作 在 O S I 模 型 的 第 3 层 和 第 4 层 ， 基 于 源 I P 、 目 的 I P 、 目 的 端 口 的 访 问 控 制 。 状 态 检 测 防 火 墙 不 仅 维 护 了 防 火 墙 规 则 表 ， 还 建 立 了 状 态 连 接 表 ， 跟 踪 进 出 网 络 的 会 话 状 态 ， 检 测 会 话 状 态 的 完 整 性 ， 阻 断 恶 意 和 非 法 的 连 接 ， 提 高 了 网 络 的 安 全 性 。 · U T M ： 在 防 火 墙 的 基 础 上 增 加 了 I P S （ 入 侵 防 御 系 统 ） 、 恶 意 U R L 库 、 防 病 毒 网 关 、 V P N 和 上 网 行 为 管 理 模 块 ， 这 些 功 能 都 集 成 到 一 台 硬 件 设 备 中 ， 降 低 了 企 业 的 投 资 成 本 。 但 由 于 集 成 的 模 块 多 ， 需 要 在 数 据 包 处 理 过 程 中 统 一 对 所 有 模 块 进 行 处 理 ， 也 就 是 需 要 多 次 拆 包 和 封 包 ， 在 实 际 应 用 过 程 中 性 能 很 容 易 成 为 瓶 颈 。 · N G F W ： 功 能 上 和 U T M 基 本 相 同 ， 不 同 的 是 N G F W 采 用 高 性 能 硬 件 架 构 和 高 效 处 理 机 制 ， 即 一 次 拆 包 ， 多 个 模 块 和 功 能 并 行 检 测 ， 处 理 性 能 大 大 提 升 ， 是 目 前 的 主 流 防 火 墙 。 2 . 1 . 2 防 火 墙 选 型 注 意 事 项 防 火 墙 选 型 注 意 事 项 防 火 墙 通 常 部 署 在 网 络 边 界 ， 如 互 联 网 出 口 、 办 公 网 和 生 产 网 边 界 ， 在 进 行 产 品 选 型 时 ， 主 要 考 虑 以 下 几 个 方 面 ： 1 ） 网 络 吞 吐 量 网 络 吞 吐 量 指 在 开 启 所 需 功 能 （ 如 防 火 墙 + I P S + 防 病 毒 系 统 ） 后 ， 在 路 由 模 式 下 ， 基 于 R F C 2 5 4 4 标 准 ， 在 1 5 1 8 字 节 下 的 整 机 最 大 吞 吐 量 。 网 络 吞 吐 量 用 于 评 价 防 火 墙 能 处 理 和 承 载 多 少 网 络 流 量 ， 是 防 火 墙 选 型 的 重 要 指 标 。 2 ） 最 大 并 发 连 接 数 、 每 秒 新 建 连 接 数 最 大 并 发 连 接 数 指 防 火 墙 可 以 承 受 的 最 大 的 同 时 连 接 数 量 ， 每 个 连 接 都 是 一 个 T C P 连 接 或 U D P 连 接 ， 最 大 并 发 数 一 般 跟 防 火 墙 的 内 存 有 关 系 ， 目 前 主 流 的 防 火 墙 ， 一 般 并 发 连 接 数 都 很 高 ， 能 满 足 实 际 的 应 用 需 求 。 每 秒 新 建 连 接 数 是 每 秒 能 处 理 的 新 建 连 接 请 求 数 ， 用 户 打 开 一 个 网 站 ， 往 往 会 有 多 个 H T T P / H T T P S 请 求 ， 当 访 问 结 束 后 ， 连 接 关 闭 。 这 指 标 很 重 要 ， 反 映 了 防 火 墙 能 处 理 的 并 发 请 求 数 量 ， 与 真 实 网 络 环 境 中 的 用 户 数 有 关 系 ， 指 标 较 高 ， 就 能 支 撑 更 多 用 户 数 环 境 的 使 用 。 如 果 这 个 指 标 偏 低 ， 新 建 连 接 数 超 过 防 火 墙 能 处 理 的 每 秒 新 建 连 接 数 时 ， 后 面 的 用 户 需 要 等 待 前 面 的 用 户 处 理 完 成 才 能 访 问 ， 用 户 会 明 显 感 受 到 网 络 访 问 速 度 慢 。 3 ） V P N 隧 道 数 一 般 防 火 墙 还 同 时 作 为 I P s e c   V P N 网 关 ， 使 用 这 个 功 能 时 ， 需 要 考 虑 V P N 隧 道 数 这 个 指 标 ， 也 就 是 能 满 足 多 少 用 户 使 用 V P N 隧 道 访 问 资 源 。 4 ） 网 络 接 口 数 这 个 和 网 络 环 境 有 很 大 关 系 ， 需 要 考 虑 防 火 墙 的 应 用 场 景 ， 如 用 于 进 行 互 联 网 连 接 ， 并 且 如 果 有 多 条 线 路 就 需 要 配 置 多 个 网 口 ； 需 要 考 虑 是 否 需 要 使 用 光 口 等 情 况 ； 需 要 考 虑 扩 容 需 求 ， 如 当 前 只 需 要 用 到 4 个 网 口 ， 则 企 业 可 以 先 购 买 4 个 网 口 ， 后 期 通 过 扩 展 卡 扩 容 至 8 个 网 口 。 5 ） 模 块 冗 余 和 高 可 用 如 果 对 高 可 用 有 要 求 ， 还 需 要 考 虑 模 块 冗 余 性 ， 如 双 电 源 。 另 外 在 使 用 时 ， 要 考 虑 防 火 墙 是 否 支 持 双 击 热 备 和 故 障 切 换 ， 保 证 不 因 为 防 火 墙 硬 件 故 障 而 影 响 使 用 。 6 ） 集 中 管 理 如 果 有 多 个 分 支 机 构 ， 需 要 考 虑 防 火 墙 的 集 中 管 理 功 能 ， 包 括 防 护 墙 策 略 集 中 管 理 、 防 火 墙 日 志 统 一 收 集 和 分 析 等 。 7 ） 功 能 授 权 和 升 级
如 果 需 要 购 买 I P S 模 块 、 防 病 毒 模 块 、 恶 意 U R L 库 模 块 ， 还 需 要 考 虑 这 类 模 块 的 升 级 费 用 。 2 . 1 . 3   防 火 墙 应 用 常 见 防 火 墙 应 用 常 见 在 不 同 的 应 用 场 景 下 ， 防 火 墙 的 主 要 作 用 、 功 能 应 用 和 工 作 模 式 如 下 。 1 ） 用 户 上 网 在 这 种 情 况 下 ， 防 火 墙 主 要 提 供 内 网 到 外 网 的 访 问 通 道 ， 对 内 部 访 问 互 联 网 进 行 地 址 转 换 呢 ， 需 要 考 虑 启 用 入 侵 防 御 、 防 病 毒 网 关 、 多 链 路 负 载 均 衡 和 链 路 故 障 切 换 。 这 种 场 景 下 防 火 墙 工 作 模 式 为 路 由 模 式 。 2 ） 提 供 外 网 访 问 服 务 这 种 场 景 下 ， 防 火 墙 将 办 公 应 用 （ 如 O A 、 邮 箱 等 ） 映 射 到 互 联 网 上 ， 以 供 互 联 网 用 户 访 问 。 同 样 需 要 考 虑 启 用 入 侵 防 御 、 网 关 防 病 毒 等 功 能 。 这 种 场 景 下 防 火 墙 工 作 模 式 为 路 由 模 式 。 3 ） 进 行 边 界 访 问 控 制 。 在 分 支 机 构 和 总 部 办 公 网 、 办 公 网 和 I D C 之 间 ， 要 考 虑 启 用 边 界 访 问 策 略 控 制 和 入 侵 防 御 、 网 关 防 病 毒 等 功 能 。 这 种 场 景 下 防 火 墙 工 作 模 式 为 透 明 模 式 。   2 . 2   V P N 网 关 网 关 V P N 主 要 分 为 I P s e c   V P N 和 S S L   V P N 。 I P s e c   V P N ： 使 用 I P s e c 协 议 在 两 个 网 络 之 间 建 立 加 密 的 传 输 隧 道 ， 工 作 在 O S I 模 型 的 第 3 层 。 S S L   V P N ： 工 作 在 S S L 层 ， 主 要 用 于 在 远 程 接 入 终 端 （ 如 办 公 计 算 机 、 手 机 ） 和 网 关 之 间 建 立 安 全 加 密 隧 道 。 2 . 2 . 1   I P s e c   V P N 简 介 和 应 用 简 介 和 应 用 I P s e c   V P N 主 要 用 于 在 不 同 办 公 场 所 之 间 建 立 网 络 安 全 通 信 信 道 ， 如 分 支 机 构 办 公 终 端 需 要 访 问 总 部 办 公 应 用 系 统 （ O A 、 E R P 等 ） 如 图 。   分 支 机 构 使 用 I P s e c   V P N 网 关 与 总 部 I P s e c   V P N 网 关 建 立 安 全 通 信 信 道 ， 在 进 行 组 网 和 使 用 时 ， 需 要 考 虑 以 下 几 个 问 题 。 · I P s e c   V P N 协 议 是 通 用 的 ， 分 支 和 总 部 可 以 使 用 不 同 品 牌 的 硬 件 设 备 ， 但 考 虑 到 统 一 管 理 问 题 ， 建 议 使 用 统 一 品 牌 的 设 备 。 产 品 选 型 时 应 重 点 考 虑 设 备 支 持 的 最 大 V P N 隧 道 数 。 · 建 议 合 理 规 划 网 段 ， 各 分 支 机 构 和 总 部 的 网 段 互 相 独 立 ， 不 要 发 生 冲 突 。 · 跨 运 营 商 网 络 通 信 速 度 慢 ， 如 A 运 营 商 和 B 运 营 商 建 立 I P s e c   V P N 通 信 ， 通 信 速 度 会 比 较 慢 。 因 此 建 议 总 部 需 要 有 不 同 运 营 上 线 路 ， 各 分 支 机 构 选 择 延 时 低 的 线 路 接 入 。 · 严 格 进 行 A C L 限 制 ， 一 般 分 支 只 允 许 访 问 总 部 基 础 办 公 服 务 网 段 （ 如 O A 、 E R P 等 ） ， 不 同 分 支 间 、 分 支 和 总 部 办 公 网 段 不 建 议 互 通 ， 避 免 一 个 分 支 被 入 侵 后 ， 扩 散 到 总 部 或 其 他 分 支 。 · 总 部 I P s e c   V P N 网 关 建 议 考 虑 高 可 用 ， 单 台 设 备 故 障 （ 包 括 设 备 断 电 、 V P N 通 信 端 口 故 障 、 V P N 通 信 链 路 故 障 ） 后 可 以 切 换 到 另 一 台 设 备 上 重 建 v p n 隧 道 。
· 网 关 需 要 具 有 D P D （ 失 效 对 等 体 检 测 ） 功 能 ， 因 为 一 般 分 支 机 构 使 用 A D S L 等 非 固 定 I P 接 入 ， 获 取 新 I P 后 V P N 隧 道 会 断 掉 ， 需 要 实 现 自 动 重 连 并 建 立 新 隧 道 。   2 . 2 . 2   S S L   V P N 简 介 和 应 用 实 践 简 介 和 应 用 实 践 S S L   V P N 应 用 于 远 程 办 公 用 户 接 入 办 公 网 ， 采 用 S S L 对 数 据 包 进 行 加 密 保 护 ， 保 证 了 数 据 的 安 全 。 S S L   V P N 部 署 方 便 ， 用 户 安 装 S S L   V P N 客 户 端 后 就 可 以 访 问 具 有 权 限 的 系 统 ， 在 实 际 应 用 中 需 要 注 意 以 下 几 个 方 面 的 问 题 。 · S S L   V P N 需 要 对 互 联 网 暴 露 客 户 端 通 信 端 口 （ 一 般 是 4 4 3 端 口 ） ， 攻 击 者 也 可 以 通 过 这 个 端 口 发 起 攻 击 ， 所 以 需 要 确 保 设 备 自 身 安 全 并 及 时 更 新 厂 商 安 全 补 丁 ， 避 免 攻 击 者 直 接 进 入 内 网 。 · 选 型 时 要 考 虑 设 备 支 持 最 大 用 户 数 ， 同 时 在 线 用 户 数 等 指 标 ， 同 时 要 注 意 支 持 客 户 端 的 丰 富 性 ， 如 w i n d o w s 、 M a c O S 、 L i n u x 、 安 卓 、 i O S 等 系 统 。 · 建 议 使 用 L D A P 账 号 认 证 ， 同 时 要 增 加 双 因 素 认 证 （ 如 增 加 短 信 认 证 因 子 ， 不 建 议 使 用 图 形 验 证 ， 存 在 被 爆 破 的 风 险 ） 。 · 进 行 精 细 化 授 权 管 理 ， 对 接 人 用 户 仅 开 放 最 小 权 限 。 · 考 虑 高 可 用 ， 如 双 机 热 备 。 · 考 虑 多 线 路 接 入 ， 使 用 户 可 以 选 择 延 时 低 的 线 路 接 入 。   2 . 3 上 网 行 为 管 理 上 网 行 为 管 理 上 网 行 为 管 理 系 统 已 经 基 本 成 为 企 业 的 标 配 产 品 ， 企 业 部 署 上 网 行 为 管 理 系 统 ， 主 要 解 决 用 户 上 网 过 程 中 存 在 的 如 下 问 题 。 2 . 3 . 1 控 制 办 公 网 访 问 互 联 网 的 应 用 限 制 P 2 P 等 高 宽 带 客 户 端 的 使 用 ， 避 免 消 耗 过 多 宽 带 影 响 用 户 办 公 。 管 控 软 件 的 使 用 ， 如 禁 止 使 用 远 程 协 助 软 件 、 聊 天 软 件 ， 限 制 网 盘 等 客 户 端 的 使 用 。 2 . 3 . 2 避 免 访 问 恶 意 网 站 或 违 禁 网 站 通 过 恶 意 U R L 库 和 关 键 字 识 别 ， 避 免 用 户 访 问 色 情 、 博 彩 、 反 动 等 网 站 。 2 . 3 . 3 实 现 上 网 行 为 审 计 根 据 网 络 安 全 等 级 保 护 的 要 求 ， 企 业 需 要 保 存 用 户 上 网 记 录 ， 包 括 用 户 名 、 访 问 时 间 、 访 问 U R L 等 信 息 ， 并 且 这 些 信 息 至 少 需 要 保 存 6 个 月 。 需 要 及 时 更 新 U R L 恶 意 库 和 应 用 识 别 库 ， 否 则 当 应 用 客 户 端 更 新 后 ， 上 网 行 为 将 无 法 被 识 别 和 拦 截 。   本 章 主 要 介 绍 了 - - 企 业 安 全 建 设 之 基 础 办 公 安 全 体 系 建 设 （ 防 火 墙 、 V P N 和 上 网 行 为 管 理 ） ， 下 一 章 会 写 到 入 侵 建 和 防 御 系 统 在 基 础 办 公 安 全 体 系 中 的 建 设 。
渗 透 测 试 干 货   |   横 向 渗 透 的 常 见 方 法 一 次 通 过 漏 洞 挖 掘 成 功 渗 透 某 网 站 的 过 程 安 全 团 队 不 可 错 过 的 七 个 云 安 全 开 源 工 具 欢 迎 关 注 欢 迎 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理