网络安全加固技术分析 发表时间：2009-4-29 童永清 余望 来源：万方数据 关键字：网络安全 加固 技术 信息化调查找茬投稿收藏评论好文推荐打印社区分享 各种安全防范措施就好比是一块块木板，这些木板集成在一起构成一个木桶，这个木桶 中承载着的水就好比网络中运行的各种业务。各种业务能否安全、稳定地运转取决于两 点：一是最矮木板的高度，二是各块木板之间是否存在缝隙。为了使木桶中的水能承载 得更多、更持久，我们需要对木桶进行安全加固，一方面提高最矮木板的高度，一方面 消除木板间的缝隙。以下从网络边界、服务器、内网等几个方面介绍网络安全加固的一 些原则和措施。 目前，企业和机构的网络面临着各种安全威胁，如黑客攻击、恶意软件、信息泄露、拒 绝服务、内部破坏。相应地，我们采取了．许多防范措施，如安装防火墙和杀毒软件、 进行信息加密和访问控制、采用扫描技术和入侵检测技术。各种网络安全防御措施不是 孤立的，而是作为一个整体为一个网络提供安全保障。各种安全防范措施就好比是一块 块木板，这些木板集成在一起构成一个木桶，这个木桶中承载着的水就好比网络中运行 的各种业务。 各种业务能否安全、稳定地运转取决于两点：一是最矮木板的高度，二是各块木板之间 是否存在缝隙。为了使木桶中的水能承载得更多、更持久，我们需要对木桶进行安全加 固，一方面提高最矮木板的高度，一方面消除木板间的缝隙。以下从网络边界、服务器 、内网等几个方面介绍网络安全加固的一些原则和措施。 1 网络边界安全加固 路由器作为网络边界最重要的设备，也是进入内网的第一道防线。边界路由器的安全缺 陷来源于操作系统，路由协议、硬件、配置。路由器上运行的操作系统通常存在安全隐 患，主要表现为远程溢出漏洞和默认开放的服务。除了及时F载补丁修复漏洞外，路由器 操作系统默认开放的许多服务通常存任着安全风险，加固的方法是根据最小特权原则关 闭不需要的服务，同时对用户和进程赋予完成任务所需的最小权限。一些路由协议，如 RIP，对收到的路由信息不进行任何校验和认证，由此能造成网络拓扑信息泄露或因收到 恶意路由而导致网络瘫痪。对此需要添加认证，确保通信对象是可信的。CDP协议(Cisc oDiscovery Protocal)会造成路由器操作系统版本等信息的泄露，一般应予以关闭。路由器硬件可能 因发生故障或受到恶意攻击而停机，为此需要进行备份。 加固边界路由器最重要的方法是进行安全配置，建立合适的访问控制表(ACL)。ACL(Acc ess Control List)规定哪些IP地址和协议可以通过边界路由器，而哪些被阻止，由此确保流量安全进 出网络。定制访问控制表通常应遵守这样的原则：流量如果不被明确允许，就应该被拒 绝。假设某组织的网络通过一个Cisco路由器连入互联网，下面为该组织定制一个ACL： 首先拒绝所有向内传输而源地址是内部IP的流量，以防止利用内部地址进行IP欺骗： deny ip 192．168．1．0/24 any 接着允许向内传输的已建立TCP连接的流量进入内网，确保正常通信： 路由器通过包过滤提供了一定的防护措施，但它不能根据状态对流过的数据包进行检查 。基于状态的防火墙可以满是这一要求，但其本身存在一些不足和缺陷，如防火墙不能 防范不经由它的攻击、不能解决来自内部的攻击、不能防止利用服务器漏涧进行的攻击 、不能阻止病毒和蠕虫文件的传输。为此，通过合理建设网络，制定并执行安全规定， 确保所有流入和流出的流量都经过边界防火墙。同时，边界防火墙需要与其他防护措施 协同工作，如通过强化内网特别是服务器的安全来减少安全威胁，提供日志等信息给入 侵检测系统以帮助其检测攻击行为。 边界防火墙通常放置在边界路由器和交换机之间，是网络边界的重要组成部分。与路由 器一样，其策略配置非常关键。由于各组织机构网络和业务需求的不同，防火墙的配置 策略也有较大的差别。对于防火墙的安全配置，可以遵循以下几项原则：(1)区别流入和 流出流量，分别制定策略；(2)只有开放服务所需要的端口才开放，其他端口一律关闭； (3)频繁执行的策略放置在前，较少执行的策略放置在后，以此提高过滤效率；(4)根据 病毒警告临时性地关闭某些端口；(5)若业务需要启用防火墙的DMZ(非军事化区)功能， 将服务器放置在DMZ中。 2 服务器安全加固 网络中各种服务器，如Web服务器、FTP服务器、E—mail服务器，是黑客攻击的重点目标 ，其安全性至关重要。虽然通过路由器的包过滤和防火墙的访问控制，大大增强了安全 性。但黑客还可以利用服务器的漏洞或配置错误进行攻击，以图获取系统控制权或实现 拒绝服务。 这里以IIS Web服务器为例介绍Web服务器的一些加固措施。微软的IIS由于其功能强大、简单易用， 是当前Windows平台上最常用的We
