营销导向的企业网站建设步骤,模板兔自用WordPress,国内广告公司排行,北京朝阳区属于几环一、防火墙#xff08;Firewall#xff09;
定义#xff1a;都知道防火墙是干什么用的#xff0c;但我觉得需要特别提醒一下#xff0c;防火墙抵御的是外部的攻击#xff0c;并不能对内部的病毒 ( 如ARP病毒 ) 或攻击没什么太大作用。
功能 :
防火墙的功能主要是两个网…一、防火墙Firewall
定义都知道防火墙是干什么用的但我觉得需要特别提醒一下防火墙抵御的是外部的攻击并不能对内部的病毒 ( 如ARP病毒 ) 或攻击没什么太大作用。
功能 :
防火墙的功能主要是两个网络之间做边界防护 企业中更多使用的是企业内网与互联网的 NAT、包过滤规则、端口映射等功能。生产网与办公网中做逻辑隔离使用 主要功能是包过滤规则的使用。
部署方式 : 网关模式、透明模式。
网关模式是现在用的最多的模式可以替代路由器并提供更多的功能适用于各种类型企业透明部署是在不改变现有网络结构的情况下将防火墙以透明网桥的模式串联到企业的网络中间 通过包过滤规则进行访问控制做安全域的划分。
至于什么时候使用网关模式或者使用透明模式 需要根据自身需要决定 没有绝对的部署方式。需不需要将服务器部署在 DMZ区取决于服务器的数量、 重要性总之怎么部署都是用户自己的选择。
高可用性 : 为了保证网络可靠性现在设备都支持主-主、主- 备等各种部署。
二、防毒墙
定义 : 相对于防火墙来说一般都具有防火墙的功能防御的对象更具有针对性那就是病毒。
功能 : 同防火墙并增加病毒特征库对数据进行与病毒特征库进行比对进行查杀病毒。
部署方式 : 同防火墙大多数时候使用透明模式部署在防火墙或路由器后或部署在服务器之前进行病毒防范与查杀。
三、入侵防御 (IPS)
定义 : 相对于防火墙来说一般都具有防火墙的功能防御的对象更具有针对性 那就是攻击。防火墙是通过对五元组进行控制达到包过滤的效果而入侵防御 IPS则是将数据包进行检测深度包检测 DPI对蠕虫、病毒、木马、拒绝服务等攻击进行查杀。
功能 : 同防火墙并增加 IPS 特征库对攻击行为进行防御。
部署方式 : 同防毒墙。
特别说明一下 : 防火墙允许符合规则的数据包进行传输对数据包中是否有病毒代码或攻击代码并不进行检查而防毒墙和入侵防御则通过更深的对数据包的检查弥补了这一点。
四、统一威胁安全网关 (UTM)
定义 : 简单的理解 把威胁都统一了其实就是把上面三个设备整合到一起了。
功能 : 同时具备防火墙、 防毒墙、入侵防护三个设备的功能。
部署方式 : 因为可以代替防火墙功能 所以部署方式同防火墙。
现在大多数厂商防病毒和入侵防护已经作为防火墙的模块来用在不考虑硬件性能以及费用的情况下开启了防病毒模块和入侵防护模块的防火墙和UTM其实是一样的。
至于为什么网络中同时会出现 UTM和防火墙、防病毒、入侵检测同时出现。
第一实际需要在服务器区前部署防毒墙防护外网病毒的同时也可以检测和防护内网用户对服务器的攻击。
第二花钱大家都懂的。总之还是那句话设备部署还是看用户。 五、IPSec VPN
把IPSEC VPN放到网络安全防护里其实是因为大多数情况下IPSEC VPN的使用都是通过上述设备来做的而且通过加密隧道访问网络本身也是对网络的一种安全防护。
定义 : 采用 IPSec 协议来实现远程接入的一种 VPN技术。
功能 : 通过使用 IPSEC VPN使客户端或一个网络与另外一个网络连接起来多数用在分支机构与总部连接。
部署方式 : 网关模式、旁路模式。
鉴于网关类设备基本都具备 IPSEC VPN功能所以很多情况下都是直接在网关设备上启用 IPSEC VPN功能也有个别情况新购买IPSEC VPN设备在对现有网络没有影响的情况下进行旁路部署部署后需要对 IPSEC VPN设备放通安全规则做端口映射等等。
也可以使用 windows server 部署 VPN。相比硬件设备自己部署没有什么花费但 IPSEC VPN受操作系统影响相比硬件设备稳定性会差一些。 以上设备常见厂家
Juniper Check Point Fortinet飞塔思科 天融信 山石网科 启明星辰 深信服 绿盟 网御星云 网御神州 华赛 梭子鱼 迪普 H3C。
六、网闸
定义 : 全称安全隔离网闸。安全隔离网闸是一种由带有多种控制功能专用硬件在电路上切断网络之间的链路层连接并能够在网络间进行安全适度的应用数据交换的网络安全设备。
功能 : 主要是在两个网络之间做隔离并需要数据交换网闸是具有中国特色的产品。
部署方式 : 两套网络之间。
防火一般在两套网络之间做逻辑隔离而网闸符合相关要求可以做物理隔离阻断网络中 tcp 等协议使用私有协议进行数据交换一般企业用的比较少在对网络要求稍微高一些的单位会用到网闸。
七、SSL VPN
定义 : 采用 SSL协议的一种 VPN技术相比 IPSEC VPN使用起来要更加方便毕竟 SSL VPN使用浏览器即可使用。
功能 : 随着移动办公的快速发展SSL VPN的使用也越来越多除了移动办公使用通过浏览器登录SSL VPN连接到其他网络也十分方便IPSEC VPN更倾向网络接入而 SSL VPN更倾向对应用发布。
部署 : SSL VPN的部署一般采用旁路部署方式在不改变用户网络的状况下实现移动办公等功能。
八、WAF (Web Application Firewall) web 应用防护系统
定义 : 名称就可以看出WAF的防护方面是 web应用说白了防护的对象是网站及 B/S 结构的各类系统。
功能 : 针对 HTTP/HTTPS协议进行分析对 SQL注入攻击、XSS攻击 Web攻击进行防护并具备基于 URL 的访问控制HTTP协议合规Web敏感信息防护文件上传下载控制Web 表单关键字过滤。网页挂马防护Webshell 防护以及 web应用交付等功能。
部署 : 通常部署在 web 应用服务器前进行防护。
IPS 也能检测出部分web攻击但没有WAF针对性强所以根据防护对象不同选用不同设备效果更好 。 九、网络安全审计
定义 : 审计网络方面的相关内容。
功能 : 针对互联网行为提供有效的行为审计、 内容审计、行为报警、行为控制及相关审计功能。满足用户对互联网行为审计备案及安全保护措施的要求提供完整的上网记录便于信息追踪、系统安全管理和风险防范。
部署 : 采用旁路部署模式通过在核心交换机上设置镜像口将镜像数据发送到审计设备。
十、数据库安全审计
定义 : 数据库安全审计系统主要用于监视并记录对数据库服务器的各类操作行为。
功能 : 审计对数据库的各类操作精确到每一条 SQL命令并有强大的报表功能。
部署 : 采用旁路部署模式通过在核心交换机上设置镜像口将镜像数据发送到审计设备。
十一、日志审计
定义 : 集中采集信息系统中的系统安全事件、用户访问记录、系统运行日志、系统运行状态等各类信息经过规范化、过滤、归并和告警分析等处理后以统一格式的日志形式进行集中存储和管理结合丰富的日志统计汇总及关联分析功能实现对信息系统日志的全面审计。
功能 : 通过对网络设备、安全设备、主机和应用系统日志进行全面的标准化处理及时发现各种安全威胁、异常行为事件为管理人员提供全局的视角确保客户业务的不间断运营安全部署 : 旁路模式部署。通常由设备发送日志到审计设备 或在服务器中安装代理由代理发送日志到审计设备。
十二、运维安全审计 ( 堡垒机 )
定义 : 在一个特定的网络环境下为了保障网络和数据不受来自内部合法用户的不合规操作带来的系统损坏和数据泄露而运用各种技术手段实时收集和监控网络环境中每一个组成部分的系统状态、安全事件、网络活动以便集中报警、记录、分析、处理的一种技术手段。
功能 : 主要是针对运维人员维护过程的全面跟踪、控制、记录、回放以帮助内控工作事前规划预防、事中实时监控、违规行为响应、事后合规报告、事故追踪回放。
部署 : 旁路模式部署。使用防火墙对服务器访问权限进行限制只能通过堡垒机对网络设备 / 服务器 / 数据库等系统操作。
可以看出审计产品最终的目的都是审计只不过是审计的内容不同而已根据不同需求选择不同的审计产品一旦出现攻击、非法操作、违规操作、误操作等行为对事后处理提供有利证据。
十三、入侵检测 IDS
定义 : 对入侵攻击行为进行检测。
功能 : 通过对计算机网络或计算机系统中若干关键点收集信息并对其进行分析 从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
部署 : 采用旁路部署模式通过在核心交换机上设置镜像口将镜像数据发送到入侵检测设备。
入侵检测虽然是入侵攻击行为检测但监控的同时也对攻击和异常数据进行了审计所以把入侵检测系统也放到了审计里一起介绍。入侵检测系统是等保三级中必配设备。 十四、上网行为管理
定义 : 顾名思义就是对上网行为进行管理。
功能 : 对上网用户进行流量管理、上网行为日志进行审计、对应用软件或站点进行阻止或流量限制、关键字过滤等。
部署 : 网关部署、透明部署、旁路部署。
网关部署 : 中小型企业网络较为简单可使用上网行为管理作为网关代替路由器或防火墙并同时具备上网行为管理功能。
透明部署 : 大多数情况下企业会选择透明部署模式将设备部署在网关与核心交换之间对上网数据进行管理。
旁路部署 : 仅需要上网行为管理审计功能时也可选择旁路部署模式在核心交换机上配置镜像口将数据发送给上网行为管理。
个人觉得上网行为管理应该属于网络优化类产品流控功能是最重要的功能随着技术的发展微信认证、防便携式 wifi 等功能不断完善使之成为了网工的最爱。
十五、负载均衡
定义 : 将网络或应用多个工作分摊进行并同时完成一般分为链路负载和应用负载 ( 服务器负载 )
功能 : 确保用户的业务应用能够快速、安全、可靠地交付给内部员工和外部服务群 , 扩展网络设备和服务器的带宽、增加吞吐量、加强网络数据处理能力、提高网络的灵活性和可用性。
部署 : 旁路模式、网关模式、代理模式。
旁路模式 : 通常使用负载均衡进行应用负载时旁路部署在相关应用服务器交换机上进行应用负载。
网关模式 : 通常使用链路负载时使用网关模式部署。
随着各种业务的增加负载均衡的使用也变得广泛 web应用负载数据库负载都是比较常见的服务器负载。鉴于国内运营商比较恶心互联互通问题较为严重使用链路负载的用户也比越来越多。
十六、漏洞扫描
定义 : 漏洞扫描是指基于漏洞数据库通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测 发现可利用的漏洞的一种安全检测渗透攻击行为。
功能 : 根据自身漏洞库对目标进行脆弱性检测并生产相关报告提供漏洞修复意见等。一般企业使用漏洞扫描较少主要是大型网络及等、分保检测机构使用较多。
部署 : 旁路部署 通常旁路部署在核心交换机上与检测目标网络可达即可。
十七、异常流量清洗
对异常流量的牵引、DDoS流量清洗、P2P带宽控制、流量回注也是现有针对 DDOS攻击防护的主要设备。
部署 : 旁路部署。
十八、VPN
定义VPN Virtual Private Network 虚拟专用网络 ,简单的讲就是因为一些特定的需求 在网络与网络之间 或终端与网络之间建立虚拟的专用网络通过加密隧道进行数据传输 ( 当然也有不加密的 ) 因其部署方便且具有一定的安全保障被广泛运用到各个网络环境中。
分类常见的 VPN有 L2TP VPN 、PPTP、VPN、IPSEC、VPN、SSL、VPN以及 MPLS VPN。
部署主要采用网关模式和旁路模式部署两种。
使用专业VPN硬件设备建立VPN时多为旁路部署模式对现有网络不需要改动即使 VPN设备出现问题也不会影响现有网络。使用防火墙 / 路由器自带VPN功能建立 VPN时, 随其硬件部署模式部署。
实现方式
1. 通过使用专业 VPN软件来建立 VPN
优点 : 投入较少部署比较灵活。
缺点 : 稳定性受服务器硬件、操作系统等因素影响。
2. 通过使用服务器自行架设 VPN服务器建立 VPNwindows 服务器为主
优点 : 投入较少部署比较灵活 windows 系统自带。
缺点 : 稳定性受服务器硬件、操作系统等因素影响需自行配置。
3. 通过使用防火墙 / 路由器设备自带 VPN功能建立 VPN
优点 : 投入较少稳定性好。
缺点 : 因使用现有设备自带 VPN模块对 VPN访问量较大的需求不建议使用以免出现设备性能不足影响防火墙 / 路由器使用。作为现有设备的自带模块无法满足用户特殊要求。部署方式相对固定。
4. 通过使用专业的 VPN硬件设备建立 VPN
优点 : 产品成熟适用于各种 VPN场景应用功能强大性能稳定。
缺点 : 比较花钱硬件设备需要花钱 用户授权需要花钱 反正啥都需要花钱。
十九、MPLS
VPN 运营商使用较多使用场景多为总部与分支机构之间。
其他 VPN因部署方便成本较低成为现在使用最为广泛的 VPN。
L2TP VPN与 PPTP VPN因使用的隧道协议都属于二层协议所以也称为二层 VPN。IPSEC VPN则采用 IPSec 协议属于三层 VPN。
SSL VPN是以 HTTPS协议为基础 VPN技术使用维护简单安全成为 VPN技术中的佼佼者。
