安全隐患分析和基本系统结构信息的收集

如下内容摘自业界惟一一本真正从全局视角介绍网络安全系统设计的图书——《网络工程师必读——网络安全系统设计》一书。目前该书在卓越网上仅须要72折:http://www.amazon.cn/mn/detailApp?ref=DT_BG&uid=479-8465001-9671654&prodid=bkbk975360

1.5.1安全隐患分析和基本系统结构信息的收集

在作一个详细的安全策略方案以前，咱们首先要十分清楚哪些是对企业网络的安全构成威胁的主要因素，而后再从主要因素入手，逐一搜集当前网络系统的基本系统结构和安全配置信息。你应该主要搜集本身所在企业的网络系统硬件平台、操做系统、数据库管理系统、应用程序、网络类型/结构、连通性能等方面的具体数据信息。经过这些数据你能够对网络系统结构有一个较彻底的了解，能够获得一份彻底的功能级的系统图表和对全部主要硬件、软件资源功能的详尽描述，这对开发安全策略是十分重要的。虽然在本章开始部分就已介绍了企业网络安全隐患的主要来源，但那只是从宏观方面进行的阐述，具体到一个企业仍是有许多细节要充分考虑的。

总的来讲，企业网络的安全隐患是多方面的，综合起来能够分为：网络安全隐患、物理安全隐患和网络设备自身安全隐患三大类。下面具体介绍。

1．网络安全隐患

在企业网络方面可能存在的安全隐患主要表如今如下几个方面。

（1）网络拓扑不合理带来的安全隐患

企业网络中，应当作到内部网络与外部网络的安全隔离，体如今企业网络拓扑设计上就是统一采用服务器通过路由器和防火墙上网，原则上不容许企业内部用户从本身的电脑上经过拨号上网。由于这种直接拨号上网在无形之中就给整个企业网络开了一个后门。要想链接外部网络必须经过企业防火墙的过滤与监控。若是条件许可，能够采用尽量安全的网络体系结构，甚至划分DMZ非军事区，在非军事区的两端分别过滤指定的数据包。

（2）OSI/RM参考模型中各层通讯的安全隐患。

OSI/RM参考模型的每层均可能成为***的目标，由于在每层中运行的服务和协议均可能存一些安全漏洞。咱们必须停靠相应的技术、产品和方案来加以弥补。具体OSI/RM参考模型中主要安全隐患分析参见本章前面的1.2节，具体的防御措施将在本书后面各章介绍。

（3）病毒和***安全隐患

随着近年来计算机的普及，病毒也愈来愈泛滥，为了保护数据，企业应当完善病毒防护体系，避免数据被病毒破坏。固然这里的防毒体系再也不是日常咱们我的所用的单机版杀毒软件，而强烈建议采用网络版的杀毒系统。

（4）数据下载和数据存储安全隐患

随着Internet的普及，不少软件均可以共享，在使用每个应用程序时都要注意其出处，尽可能到大的、可信站点下载，以避免受到***程序或数据驱动型病毒的***。另外还要注意使用的应用程序存在的各项漏洞，及时修正。在数据的保护方面应该采用数据备份与灾难恢复体系，根据企业的需求采用相应的数据备份策略，为关键应用提供在线的热备份系统，若是要求很高还应当考虑采用异地容灾体系。

（5）用户身份认证安全隐患

在网络系统中，有远程访问权限的用户应尽量少，并且对具备远程访问权限的用户链接也应尽可能采用先进的加密与身份认证手段，及时弥补认证手段中存在的缺陷。另外当员工向本身的客户或供应商发送关键邮件时，最好采用邮件加密和数字签名等手段，以确保数据传输的安全。不容许在工做中经过QQ或MSN向外发送数据。

（6）防火墙的局限性隐患

不要认为公司使用了防火墙就可以万无一失了，由于防火墙必须开放某些端口，同时还有不少能够绕过防火墙的***方法。各类类型的防火墙都有其局限性与缺陷，应当及时与防火墙的厂家联系，取得防火墙的最新补丁。另外设置不当的防火墙过滤规则可能会起到相反的做用，在配置防火墙策略时必定要注意。

（7）软件自己的安全漏洞隐患

迄今为止没有一款软件是牢不可摧的，各类系统总会有大大小小的安全漏洞，应当及时修补这些漏洞，并对系统作好尽量安全的各项设置，尽可能采用服务最小化原则。目前所发现的微软的Windows系统的安全漏洞比较多，更应及时安装补丁。

在软件方面，主要是考虑各类网络服务器操做系统和应用服务器的安全，由于这是***者首选的***的目标。目前主流的网络服务器操做系统有Windows、UNIX和Linux这三种，可是无论是哪一种类型的操做系统，每隔一段时间都会被发现有一些大大小小的漏洞，其中有不少漏洞可使***者直接取得系统管理员的高级控制权限。服务器一旦被控制，那后果是不堪设想的，轻则会被拿来做为进攻其余机器的跳板，重则可能形成信息泄漏，更有甚者可能会破坏你全部的数据。可是只要扎扎实实地作好系统的各项安全设置工做，及时打上各类操做系统的补丁，堵住一系列的安全漏洞，同时增强在系统及企业信息安全方面的管理，咱们仍是能够抵御绝大多数***的。

另外，有不少基于操做系统的软件或者是数据库系统的漏洞也可能使得***者取得系统权限，例如，IIS的各类大大小小的漏洞，MS SQL Server的漏洞和Oracle的漏洞等。同时操做系统和数据库系统等的弱密码策略也是系统的巨大安全隐患，因此也必须增强操做系统和数据库系统的密码管理，提升密码的复杂性。

同时要注意，网络上没有绝对安全的服务器，也没有绝对安全的主机，即便在一段时间内实现了安全，可是随着新的漏洞被发现，新的***手段被发现，你的服务器又会处于威胁之下。因此咱们必须保持对服务器和全部工做系统及时更新，以及时堵住******、***的途径。

（8）IT管理漏洞带来的安全隐患

公司内部员工的权限设置，离职员工的帐号处理等都是企业存在的安全隐患。对于暂停使用的员工帐户，网络管理员要当即禁用。对于已离开公司的员工的帐户必定要及时注销或者删除。内、外网用户的访问控制必须有适当的身份验证机制，对外网的远程访问网络活动应及时监控。本书的第10章介绍了Windows Server 2003系统的基准安全策略配置方法。

（9）文件共享和用户权限安全隐患

在企业网络内部有时咱们必须为全部或部分用户提供一些共享文件，但若是共享权限配置不当，这些均可能给企业网络带来安全隐患。如具备写权限的帐户就能够在对方计算机上放置文件，这些文件就多是***们安排的恶意程序。还有就是对一些企业的敏感数据，必定要严格限制用户的访问权限。

2．物理安全隐患

物理安全隐患是指网络设备或工做场所使用不当可能带来的安全隐患，特别严重的是采用无线局域网链接的企业用户。主要包括机房安全隐患，数据安全隐患和用户习惯安全隐患。

（1）机房安全隐患

机房做为企业网络系统的核心所在，其安全性应该是最高的。由于在其中不只集中了整个企业网络的核心设备，并且它仍是整个企业网络正常运行的核心、企业信息中心和企业数据中心。对于这么重要的工做场所，如今绝大多数企业没有给予足够的重视，全部员工进出机房就像进出办公大厅同样随便，还有的企业甚至容许员工进入机房使用服务器等设备登陆，更有甚者在管理员不在的状况下机房长期开敞，这些均可能给整个企业网络带来巨大的安全隐患。只要有一些别有用心的人，就很容易使整个企业网络处于中止、瘫痪，甚至崩溃状态。由于虽然网络服务器可能进不去，可是对其余各类网络设备，包括UPS电源等都是十分容易控制的，只要把某些网线一拔、电源一关就可能形成严重的安全事件。而对于一些技能高超的***来讲，在机房中长时间没人，或者被容许使用服务器登陆时就能够很轻松地窃取服务器中的关键数据或信息，为他往后进行网络***打下基础。这样的安全隐患，对于一个有责任心的IT经理或网管员来讲，真是想都不敢想，然而却实实在在地在许多企业，特别是中小企业中存在。

通常来讲，为了杜绝机房不安全事件的发生，咱们必须在下班后，或者在管理员不在机房的状况下，用有效的锁锁住机房，而且尽量封锁其余进入机房的途径。对于本企业中一些用户须要进入机房的状况，要事先作好相应的规定，这样一来执行起来就容易许多，不然极可能上、下不讨好。同时要注意，如今无线网络技术已很是发达，一些技术高超的***能够经过各类无线手段，如电磁***技术窃取服务器数据，因此建议在机房周围划出必定的安全区，防止别人经过电磁手段截取网络中的数据，甚至是截获屏幕显示。

（2）数据安全隐患

对于企业网络数据应当及时作好各类类型的备份（具体选择哪一种备份类型，依据各自企业的容灾方案而定），并且数据的备份媒体应当保存在安全的专用保管柜或租用的银行保管箱中。这里的安全包括物理上的安全（就是指钥匙不容易自配、保管柜不容易被撬开）和环境上的安全，如不潮湿、没虫咬、鼠咬危险。

若有必要采用双机热备份甚至是异地容灾系统，计算机应当处于UPS不间断电源的保护之下，防止因忽然断电致使意外数据丢失。网络的电缆也不可以暴露在可视范围内，防止别人采用电子手段经过电缆的电磁泄漏窃取重要数据（若是条件许可，尽可能采用光纤）。另外，敏感的信息不可以放在桌面或抽屉等别人能够接触到的地方，对于敏感的打印文档和磁带应当及时申请销毁。

（3）用户习惯安全

IT经理或网管员必须作好员工培训计划，使企业中全部使用计算机的员工，养成当离开本身的电脑或服务器时，随时锁住电脑或注销登陆帐户的习惯，不要把写有密码或者密码提示的便条放在桌面上。若是员工所使用的电脑在CMOS中有开机密码设置项，建议由系统管理员设置开机密码（之因此应由管理员来设，主要是为了预防员工离职后不给管理员密码，带来没必要要的麻烦），这样在关机后其余不知道密码的用户就不能使用这台电脑登陆系统了。

还有，若是本身所使用的电脑装有软驱、光驱，最好在日常不用时在CMOS中禁用这两个驱动器，只是当须要使用时再启用它们。但这个CMOS设置必定要加密码保护。加密码后，其余用户就不能随便更改了，杜绝了非法用户修改CMOS设置进入系统，或者使用一些可能给网络带来安全隐患的设备，如软驱、光盘（它们均可能因使用带毒媒体而感染网络）。

3．网络设备自身的安全隐患

尽管，网络硬件设备受***的难度要远比软件高，但在一些特殊行业中，网络设备自身的安全性也要受到足够的重视。由于***者都知道，一旦成功***并实施***，能够得到巨大的利益，这点***难度也就不是主要考虑的方面了。

目前企业网络中最主要的网络设备包括交换机、路由器和防火墙这三大类，还有就是各类WLAN设备。对这些设备自身的安全保护考虑主要是采用部件、设备和线路冗余方式进行。

在了解了以上各方面的网络安全隐患后，咱们接下来就要按上述隐患收集当前企业网络安全系统的运行状况。固然还要包括整个企业网络系统结构，这对于网络安全策略的设计很是重要。