基于企业网络安全策略设计与实现研究_第1页
基于企业网络安全策略设计与实现研究_第2页
基于企业网络安全策略设计与实现研究_第3页
基于企业网络安全策略设计与实现研究_第4页
免费预览已结束,剩余1页可下载查看

下载本文档

版权说明:本文档由用户提供并上传,收益归属内容提供方,若内容存在侵权,请进行举报或认领

文档简介

1、    基于企业网络安全策略设计与实现研究    李金勇【摘要】当前,计算机信息化发展迅猛,安全成为企业发展必须面对的问题。本文立足实际,对企业网络安全策略的部署与实现方法进行了分析探讨。【关键词】企业网络 信息安全 策略设计随着社会经济的快速发展,计算机信息技术介入人们生活的方方面面。企业网络的信息安全策略是涵盖多方面的,既有管理安全,也有技术安全,既有物理安全策略,也有网络安全策略。企业网络应实现科学的安全管理模式,结合网络设备功能的不同对整体网络进行有效分区,可分为专网区、服务器区以及内网公共区,并部署入侵检测系统与防火墙系统,对内部用户威胁到网络

2、安全的行为进行阻断。下面着重阐述企业信息系统的网络层安全策略:一、企业网络设备安全策略分析随着网络安全形势的日趋严峻,不断有新的攻击手段被发现,而这些手段的攻击目标也已经从用户终端、服务器厌延展至交换机、路由器等硬件设施。而交换机与路由器属于网络核心层的重点设备,如果这些设备退出服务,企业信息系统网络安全便会面临很大的威胁。由此本文给出以下的网络设备安全策略。最大化地关闭网络交换机上的服务种类。尤其是不经常使用的服务更应关闭,举例来讲:交换机的邻居发现服务cdp,其功能是辨认一个网络端口连接到哪一个另外的网络端口,邻居发现服务锁发出和接收的数据包很容易暴露用户终端的属性信息,包括交换机端口与用

3、户终端的ip信息,网络交换机的型号与版本信息,本地虚拟局域网属性等。因此,本文建议在不常使用此服务的情况下,应该关闭邻居发现服务。另外,一些同样不常使用的服务,包括交换机自举服务、文件传输服务、简单文件传输服务、网络时间同步服务、查询用户情况服务、简单网络管理服务、源路径路由服务、代理arp服务等等。企业信息系统的网管往往以telnet协议实现对全网所有交换机、路由器的配置与管理。众所周知,此协议使用的是明文传输模式,因此在信息安全方面不输于非常可靠的协议。入侵者只要以抓包软件便能够轻易得知网管的登录id与密码,以抓包软件同样能够获取网络管理员发出、受到的全部数据。所以在网络管理中,应引入安全

4、性能更高的协议,本文推荐ssh(secure shell client)协议。这种协议借助rsa生成安全性能极高的签名证书,通过该证书,全部以ssh协议进行传输的数据包都被良好加密。此外vtp 的安全使用也是一个应该得到重视的问题,vtp应配置强口令。二、企业信息系统网络端口安全策略由于大部分企业网络的终端均以网络交换机在接入层连入网络,而网络交换机属于工作在iso第二层的设备,当前有不少以第二层为目标的非法攻击行为,为网络带来了不容忽视的安全威胁。二层网络交换机使用的数据转发方式是以cam表为基础的。在网络交换机加点之后,首选会清空cam 表,并立即启动数据帧源地址学习,并将这些信息存入交换

5、机cam表中。这时候,加入非法入侵者通过伪造自身的mac地址并不停地发出数据帧结构,便很容易导致网络交换机cam表溢出,服务失效。而此时便会导致该mac的流量向交换机其他端口转发,为非法入侵者提供网络窃听的机会,很容易造成攻击风险。本文所推荐的策略是:网络交换机的端口安全维护应随时打开;在交换机配置中设置其学习mac地址的最大数目为1;设置网络交换机能够存储其学习到的全部mac地址;一旦网络交换机的安全保护被触发,则丢弃全部mac 地址的流量,发送告警信息。对网络交换机进行以上的配置,一方面能够防止基于交换机mac地址的泛洪攻击,另一方面也能对网络内部的合法地址做好记录。在成功阻止未知mac地

6、址接入的基础上,还应阻止来自已知地址的攻击。本文推荐基于mac限流的策略,这是由于网络交换机不必向所有端口广播未知帧,因此可以对未知帧进行阻止,增强网络交换机安全性。三、企业信息系统网络bpdu防护策略一般情况下,企业的内部网络往往以网络交换机作为网络拓扑的支撑,因为考虑到交换机通道的沟通,加之系统冷、热备份的出发点,在企业网络中是存在第二层环路的,这就容易引发多个帧副本的出现,甚至引起基于第二层的数据包广播风暴,为了避免此种情况的发生,企业网络往往引入了stp协议。而这种协议的效果则取决于交换机共享的bpdu信息。这就为一些攻击者提供了机会,通过假冒优先级低的bpdu数据包,攻击者向二层网络

7、交换机发送。由于这种情况下入侵检测系统与网络防火墙均无法生效,就导致攻击者能够方便地获取网络信息。可以采用的防范措施为:在二层网络交换机启用bpdu过滤器模块。该模块能够控制此端口,使其对bpdu数据包不进行任何处理,加入收到此种类型的数据包,该端口将会自动设置为“服务停止”。在此基础上,在根交换机上引入链路监控体系。一旦该交换机设备检测到优先级更高的 bpdu数据包,则发出“失效”的消息,及时阻塞端口。四、企业信息系统网络spoof防护策略在企业内部网络中,往往有着大量的终端机,出于安全性与可靠性的考虑,这些终端机均以动态主机设置协议获得自身的ip地址。这就为spoof 攻击留下了机会。在这

8、种攻击中,非法入侵者会将自身假冒动态主机设置协议服务器,同时向用户主机发出假冒的动态ip配置数据包,导致用户无法获取真实ip,不能联网。可以采用的防范措施为:引入动态主机设置协议snooping 策略。在二层网络交换机上安装snooping模块并激活,系统便会把设备的全部可用端口设置为untrust 接口。这种接口能够收到消息,并丢弃假冒的动态ip配置数据包,从而防止spoof 攻击带来的风险。考虑到地址解析协议在安全方面的防范性不足,加入非法入侵者不断地发出arp数据包,便容易导致全部用户终端的arp表退出服务,除去静态绑定ip与mac之外,本文推荐动态arp监测策略。此种策略会将交换机全部端口设置为untrust状态。此种状态之下,端口将无法发出arp的响应,因此,党用户主机染毒时,其发出的假冒arp数据包将由于与列表不匹配而被丢弃,系统安全得到了保障。五、结束语網络安全是一项综合的管理工程,意义重大。企业的网络安全一旦出现问题,极有可能造成巨大损失,到那时即使

温馨提示

  • 1. 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
  • 2. 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
  • 3. 本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
  • 4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
  • 5. 人人文库网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
  • 6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
  • 7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。

评论

0/150

提交评论