网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

“游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512


攘外必先安内——内网安全点滴

2008-02-28 19:13 推荐: 浏览: 69 views 字号:

摘要:   一说到网络安全,基本都在说针对外部网络的安全,比如防火墙、IDS等,可是根据一些安全机构的调查,在企业遭受的入侵中,有70%以上的入侵来自于网络内部,特别是内网中的一些越权操作、违规操作会带来一些严重的问题。如果你是一名大中型网络里面的网络管理员,相信你一...

  一说到网络安全,基本都在说针对外部网络的安全,比如防火墙IDS等,可是根据一些安全机构的调查,在企业遭受的入侵中,有70%以上的入侵来自于网络内部,特别是内网中的一些越权操作、违规操作会带来一些严重的问题。如果你是一名大中型网络里面的网络管理员,相信你定心有感触——做网管,真难!

  在密级较高的网络中,如政府的内部网、大型企业涉及核心技术的部门、军工、航空航天部门,这些地方都应该是纯粹的“局域网”,彻底和外部的Internet隔离的,即使如此,也依然存在一些安全问题,下面我们分别论述,并给出相应的解决办法:

  1、虽然是纯内网,但内部的一些WEB服务、电子邮件等也是需要进行安全防护的,特别是研发、设计等部门的内部论坛、FTP等需要进行严格的控制管理,如跨部门访问等均需要进行控制;

              解决方法:

              a、划分VLAN,分割不相关部门,如研发属于vlan1、生产属于vlan2、设计属于vlan3、领导班子网络属于vlan4……虽然配置稍微麻烦,并且如果将来需要修改配置也麻烦一些,但是这种从网络设备下手的做法还是比较彻底的;

              b、很笨的方法:将网络中的所有计算机重新划分部门,不同部门都是独立的子网,互不干涉……

              c、利用内网管理软件进行管理,比较方便,如图1

              这样就轻轻松松的禁止了网络中计算机对192.168.5.xxx范围内80端口的访问,并且会产生报警行为提醒管理员。

              2、内部网络中的计算机可能带有Modem,并且由于电话的大量存在和带有Modem功能的手机的大量普及,对各种拨号设备需要进行严格的控制;

              解决方法:

              a、涉密网络中一律采用内线电话,对可以当Modem拨号用高档手机等设备进行严格管理,但是管理固定电话容易,手机太难……

              b、用网络管理软件进行管理,此类的软件也不算少了,多数都可以对拨号的Modem进行管理,进行“允许/禁止”管理并且可以按照时间段进行管理,如图2

              还有的可以允许拨某个号码,如果集团内部有拨号服务器则可单独允许拨打该号码。

              3、对文档的运行次数没有相关限制,如带给客户的演示文档只允许运行3次,然后自动销毁;再者针对涉密文件的操作没有相应记录。如设计院的图纸、研究所的图纸等,谁操作、什么时候操作、进行了什么操作等没有一个完整的审核体系;

              解决方法:

              市面上现在主要有两种产品可以对文件的操作

联系站长租广告位!

中国首席信息安全官


关闭


关闭