注意：内网安全技术十大策略

《注意：内网安全技术十大策略》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、儿乎所冇企业对于鏗安全的重视程度一下子提高了，纷纷采购防火墙等设备希望堵住来£

2、Internet的不安全因素。然而，Intranet内部的攻击和入傍却依然狛狂。事实证明，公口1内部的不安全因素远比外部的危害更恐怖。人多企业重视提高企业网的边界安全，暂且不提它们在这方面的投资多少，但是人多数金业网络的核心内网还是非常脆弱的。金业也对内部网络实施了相应保护措施，如：安装动辄数万甚至数十万的网络防火墙、入悝检测软件等,并希望以此实现内网Internet的安全隔离，然而，情况并非如此！企业中经常会有人私自以Modem拨号方式、于•机或无线网卡等方式上网，而这些机器通常乂證于企业内网屮，这种情况

3、的存在给金业网络带来了巨人的潜在威胁，从某种意义来讲，企业耗费巨资配备的防火墙已失去意义。这种接入方式的存在,极冇可能使得黑客绕过防火墙而在企业毫不知情的情况下侵入内部网络，从而造成敏感数据泄密、传播病毒等严重后果。实践证明，很多成功防范企业网边界安全的技术对保护企业内网却没冇效用。于是网络维护者开始大规模致力于增强内网的防卫能力。下而给出了应对企业内网安全挑战的10种策略。这10种策略即是内网的防御策略，同时也是一个提高大型企业网络安全的策略。1、注意内网安全与网络边界安全的不同内网安全的威胁不同于网络边界的威胁。网络边界安全技术防范来自Internet上的攻击,主要是防范来自公共的

4、网络服务器如HTTP或SMTP的攻击。网络边界防范（如边界防火墙系统等）减小了资深黑客仅仅只需接入互联网、写程序就可访问企业网的几率。内网安全威胁主要源于金业内部。恶性的黑客攻击事件一般都会先控制局域网络内部的一台Server,然后以此为基地，对Internet±其他主机发起恶性攻击。因此，应在边界展开黑客防护措就,同时建立并加强内网防范策略。2、限制VPN的访问虚拟专用网（VPN）卅户的访问对内网的安全造成了巨大的威胁。因为它们将弱化的桌而操作系统置于企业防火墙的防护之外。很明显VPN用户是可以访问企业内网的。因此要避免给每一位VPN用户访问内网的全部权限。这样可以利用登录控制权限列

5、表来限制VPN用户的登录权限的级別，即只需赋予他们所需要的访问权限级別即可，如访问邮件服务器或•其他可选择的网络资源的权限。3、为合作企业网建立内网型的边界防护合作企业网也是造成内网安全问题的一大原因。例如安全管理员虽然知道怎样利用实际技术來完固防火墙，保护MS-SQL,但是Slammer蠕虫仍能侵入内网，这就是因为金业给了他们的合作伙伴进入内部资源的访问权限。由此，既然不能控制合作者的网络安全策略和活动，那么就应该为每一个合作企业创建一个DM乙并将他们所需要访问的资源放置在相应的DMZ中,不允许他们对内网其他资源的访问。4、自动跟踪的安全策略智能的自动执行实时跟踪的安全策略是冇效地实

6、现网络安全实践的关键。它带来了商业活动中一人改革，极人的超过了手动安全策略的功效。商业活动的现状需要企业利用一•种白动检测方法來探测商业活动中的各种变更，因此，安全策略也必须与和适应。例如实时跟踪企业员工的雇佣和解雇、实时跟踪网络利用情况并记录与该辻8処对话的文件服务器。总Z,要做到确保每天的所有的活动都遵循安全策略。5、关掉无用的网络服务器大型企业网可能同时支持四到五个服务器传送e-mail,有的金业网还会出现儿十个其他服务器监视SMTP端口的情况。这些主机屮很可能有潜在的邮件服务器的攻击点。因此要逐个屮断赳络服务器来进行审杏。若一个程序（或程序中的逻辑单元）作为一个window文件

7、服务器在运行但是又不具冇文件服务器作用的，关掉该文件的其享协议。6、首先保护重要资源若一个内网上连了千万台（例如30000台）机子，那么要期望保持每一台主机都处于锁定状态和补丁状态是非常不现实的。大型企业网的安全考虑一般都冇择优问题。这样，首先要对服务器做效益分析评估，然后对内网的每一台网络服务器进行检杳、分类、修补和强化工作。必定找出重要的网络服务器（例如实时跟踪客八的服务器）并对他们进行限制管理。这样就能迅速准确地确定企业最重耍的资产，并做好在内网的定位和权限限制工作。7、建立可靠的无线访问审查网络，为实现无线访问建立基础。排除无意义的无线访问点，确保无线网络访问的强制性和可利用性

8、，并提供安全的无线访问接口。将访问点置于边界防火墙Z外，并允许用户通过VPN技术进行访问。8、建立安全过客访问对于过客不必给予其公开访问内网的权限。许多安全技术人员执行的“内部无Internet访问”的策略，使得员工给客户一些非法的访问权限，导致了内网实时跟踪的困难。因此，须在边界防火墙Z外建立过客访问网络块。9、创建焜拟边界防护主机是被攻击的主要对象。与其努力使所有主机不遭攻击（这是不可能的），还不如在如何使攻击者无法通过受攻击的主机来攻击内