中小企業(yè)網(wǎng)絡(luò)的安全部署 通過與一些小型企業(yè)的接觸，我發(fā)現(xiàn)目前好多小型公司的網(wǎng)絡(luò)結(jié)構(gòu)為簡非常單的路由器光纖接入，內(nèi)連交換機(jī)，終端計(jì)算機(jī)服務(wù)器直接通過路由器接入internet，如下圖：
這是一個(gè)基本的網(wǎng)絡(luò)結(jié)構(gòu)，僅僅保證了一個(gè)網(wǎng)絡(luò)的聯(lián)通性，但是內(nèi)網(wǎng)用戶及服務(wù)器完全暴露在網(wǎng)絡(luò)上，沒有任何防護(hù)，在安全方面存在有很大的漏洞，很讓我們?yōu)橹畵?dān)憂，我認(rèn)為我們與客戶接觸不應(yīng)但是做生意，還應(yīng)該設(shè)身處地的為客戶實(shí)實(shí)在在的解決一些問題，雖然這次我提到的東西比較陳舊，但是我覺得還是應(yīng)該重新讓那些不太重視安全的小型企業(yè)了解一下，起碼給自己的網(wǎng)絡(luò)做一個(gè)基本的安全防護(hù)。我們先從網(wǎng)絡(luò)層說起。
我們都知道微軟的系統(tǒng)本身就存在有很多漏洞，在微軟的官方網(wǎng)站每個(gè)月的11號(hào)都會(huì)發(fā)布針對(duì)該產(chǎn)品的一系列高危漏洞。前段時(shí)間剛剛發(fā)布一個(gè)隱藏了19年之久的長老漏洞，不僅如此，由于計(jì)算機(jī)用戶人員安全意識(shí)，計(jì)算機(jī)水平上的不同等因素，甚至是一些已經(jīng)被發(fā)現(xiàn)的而且是經(jīng)常被用來重播木馬蠕蟲等惡意程序病毒的高危漏洞如MS08-067，那么這些一直以及位置的漏洞暴露在網(wǎng)絡(luò)上就給我們的終端用戶以及服務(wù)器帶來了極大地安全隱患，哪些通過微軟系統(tǒng)漏洞進(jìn)行傳播的病毒木馬很容易就會(huì)侵入公司內(nèi)部，對(duì)終端用戶及服務(wù)器造成破壞影響正常辦公使用。
因此我們應(yīng)該在網(wǎng)絡(luò)出口處架設(shè)防火墻設(shè)備，對(duì)端口進(jìn)行管理。封閉沒用的端口只開放有用的端口。
它所實(shí)現(xiàn)的主要作用是：
l 過濾進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)包；
l 管理進(jìn)出網(wǎng)絡(luò)的訪問行為；
l 封堵某些禁止的訪問行為；
l 記錄通過防火墻的信息內(nèi)容和活動(dòng)；
l 對(duì)網(wǎng)絡(luò)攻擊進(jìn)行檢測(cè)和告警
l 能過濾大部分的危險(xiǎn)端口
l 設(shè)置嚴(yán)格的外向內(nèi)的狀態(tài)過濾規(guī)則
l 抵擋大部分的拒絕服務(wù)攻擊
l 加強(qiáng)了訪問控制能力
添加防火墻的方法有兩種，一種是放在路由器的前方，或是直接將路由器代替，建議直接將路由器代替，不僅可以減少路由跳數(shù)，還可以減少單點(diǎn)故障概率。如下圖
有了防火墻我們還需要桌面端防毒產(chǎn)品，因?yàn)閱螁斡蟹阑饓κ沁h(yuǎn)遠(yuǎn)不能滿足我們的安全需求的，舉一個(gè)例子，我們把網(wǎng)絡(luò)比作一幢建筑物，而防火墻所起的作用就是將沒用的窗戶下水管道等漏洞進(jìn)行封堵不讓人員通過，只留下必要的門來做進(jìn)出通道。
雖然我們阻擋了企圖利用漏洞進(jìn)行攻擊傳播的惡意程序，但是同過正常端口進(jìn)來的數(shù)據(jù)我們無法進(jìn)行甄別，就好比一個(gè)偽裝成建筑物內(nèi)員工或是有管理權(quán)限口令的惡意破壞者從正常通道內(nèi)進(jìn)入建筑物進(jìn)行破壞，因此我們還應(yīng)當(dāng)部署桌面端殺毒軟件，對(duì)通過正常端口進(jìn)來的數(shù)據(jù)進(jìn)行掃描甄別，如果發(fā)現(xiàn)有惡意程序如木馬病毒蠕蟲等可以及時(shí)查殺，從而保證我們終端計(jì)算機(jī)以及服務(wù)器的安全。
建議企業(yè)部署網(wǎng)絡(luò)版殺毒軟件。通過網(wǎng)絡(luò)版殺毒軟件病毒日志的統(tǒng)計(jì)功能我們可以及時(shí)清楚的掌握網(wǎng)絡(luò)內(nèi)的安全狀況，從而有針對(duì)性的對(duì)網(wǎng)內(nèi)問題嚴(yán)重的計(jì)算機(jī)進(jìn)行管理，還可以根據(jù)計(jì)算機(jī)使用的安全情況有針對(duì)性的對(duì)員工進(jìn)行計(jì)算機(jī)安全使用知識(shí)的培訓(xùn)。為企業(yè)終端計(jì)算機(jī)的正常使用增加安全系數(shù)。
有了最基本的安全防護(hù)，為了提高工作效率有的企業(yè)還有必要使用技術(shù)手段規(guī)范員工的網(wǎng)絡(luò)使用范圍，使用上網(wǎng)行為管理設(shè)備，可以有效的針對(duì)應(yīng)用限制用戶的上網(wǎng)行為，并且可以對(duì)流量進(jìn)行分配管理，確保在工作時(shí)間內(nèi)網(wǎng)絡(luò)的使用可以最大限度的為正常的工作所占用。
如果服務(wù)器有重要數(shù)據(jù)需要分公司或移動(dòng)辦公人員訪問，應(yīng)當(dāng)使數(shù)據(jù)在傳輸過程中被加密，這就要用到ipsec vpn或ssl vpn.
Vpn可以構(gòu)建一個(gè)虛擬的私有網(wǎng)絡(luò)，是用戶可以在任何可以接入internet的地方以私有網(wǎng)絡(luò)的方式接入總部，就像是在總部自己的網(wǎng)絡(luò)里一樣，并且可以對(duì)通信的數(shù)據(jù)進(jìn)行加密，防止在傳輸?shù)倪^程中不被偵聽、篡，保證了數(shù)據(jù)的安全、可靠。本篇文章摘自_華信逸騰_新浪博客
