企業(yè)內(nèi)部網(wǎng)絡(luò)安全管理與病毒防范

■張建國(guó)

如今很多企業(yè)都建設(shè)了企業(yè)網(wǎng)并通過各種渠道接入了Internet，企業(yè)的運(yùn)作越來越融入計(jì)算機(jī)網(wǎng)絡(luò)，但隨之產(chǎn)生的網(wǎng)絡(luò)安全問題也日漸明顯地?cái)[在了網(wǎng)絡(luò)管理員面前。

對(duì)于網(wǎng)絡(luò)管理者來說，網(wǎng)絡(luò)的安全管理直接關(guān)系到企業(yè)工作的穩(wěn)定和正常開展。而企業(yè)對(duì)安全性的要求有其自身的特殊性，除了傳統(tǒng)意義上的信息安全以外，還應(yīng)提高對(duì)病毒、惡意攻擊以及物理設(shè)備的安全防范。

本文根據(jù)筆者任職多年網(wǎng)絡(luò)管理員的實(shí)際，側(cè)重談了下如何加強(qiáng)對(duì)企業(yè)網(wǎng)絡(luò)的安全管理。主要分別從企業(yè)內(nèi)部網(wǎng)絡(luò)安全管理與病毒防范、企業(yè)服務(wù)器的安全、基于VLAN 的企業(yè)網(wǎng)絡(luò)安全部署角度作了調(diào)查和研究。

在網(wǎng)絡(luò)環(huán)境下，病毒傳播擴(kuò)散快，僅用單機(jī)版防病毒產(chǎn)品已經(jīng)很難徹底防范和清除網(wǎng)絡(luò)病毒，必須有適合于局域網(wǎng)的全方位防病毒產(chǎn)品。

在企業(yè)網(wǎng)絡(luò)中，可以配置一臺(tái)高性能的汁算機(jī)安裝網(wǎng)絡(luò)版殺毒軟件的控制端，負(fù)責(zé)管理各終端主機(jī)病毒的防治工作，在各用戶主機(jī)上安裝網(wǎng)絡(luò)版殺毒軟件的客戶端。通過殺毒軟件的控制臺(tái)進(jìn)行定時(shí)殺毒的設(shè)置和自動(dòng)升級(jí)的設(shè)置，確保殺毒和升級(jí)的時(shí)效性，使網(wǎng)絡(luò)具有較強(qiáng)的防病毒能力。

(一)使用和配置防火墻

防火墻是網(wǎng)絡(luò)的第一道防線，一般安裝在內(nèi)網(wǎng)與外網(wǎng)的交界處，如各級(jí)路由器上。利用防火墻，在網(wǎng)絡(luò)通訊時(shí)執(zhí)行一種訪問控制尺度，允許防火墻同意訪間的用戶與數(shù)據(jù)進(jìn)入自己的內(nèi)部網(wǎng)絡(luò)，同時(shí)將不允許的用戶與數(shù)據(jù)拒之門外，最大限度地阻止網(wǎng)絡(luò)外的黑客訪問自己的網(wǎng)絡(luò)，防止他們隨意更改、移動(dòng)甚至刪除網(wǎng)絡(luò)上的重要信息。

防火墻是一種行之有效且應(yīng)用廣泛的網(wǎng)絡(luò)安全機(jī)制，可有效防止Internet 上的不安全因素蔓延到企業(yè)內(nèi)部。所以，防火墻是企業(yè)網(wǎng)絡(luò)安全的重要一環(huán)。

(二)采用入提檢測(cè)系統(tǒng)

入侵檢測(cè)系統(tǒng)是一種對(duì)網(wǎng)絡(luò)傳輸進(jìn)行即時(shí)監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出警報(bào)或者采取主動(dòng)反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備。它與其他網(wǎng)絡(luò)安全設(shè)備的不同之處在于是一種積極主動(dòng)的安全防護(hù)技術(shù)。入侵檢測(cè)系統(tǒng)一般要安裝在網(wǎng)絡(luò)的關(guān)鍵點(diǎn)上，如Internet 接入路由器之后的第一臺(tái)交換機(jī)上，在入侵檢測(cè)系統(tǒng)中利用審計(jì)記錄，入侵檢測(cè)系統(tǒng)能夠識(shí)別出任何不希望有的活動(dòng)，從而達(dá)到限制這些活動(dòng)，以保護(hù)系統(tǒng)的安全。

(三)Web，Email 的安全監(jiān)測(cè)系統(tǒng)

在網(wǎng)絡(luò)的WWW 服務(wù)器、Email 服務(wù)器等環(huán)節(jié)中使用網(wǎng)絡(luò)安全監(jiān)測(cè)系統(tǒng)，實(shí)時(shí)跟蹤、監(jiān)視網(wǎng)絡(luò)，截獲Internet 網(wǎng)上傳輸?shù)膬?nèi)容，并將其還原成完整的WWW，Email，F(xiàn)TP，Telnet應(yīng)用的內(nèi)容，建立保存相應(yīng)記錄的數(shù)據(jù)庫。及時(shí)發(fā)現(xiàn)在網(wǎng)絡(luò)上傳輸?shù)姆欠▋?nèi)容，及時(shí)采取有效措施。

(四)漏洞掃描系統(tǒng)

解決網(wǎng)絡(luò)層安全問題，首先要清楚網(wǎng)絡(luò)中存在哪些安全隱患、脆弱點(diǎn)。面對(duì)企業(yè)龐大的網(wǎng)絡(luò)，僅僅依靠個(gè)人的技術(shù)和經(jīng)驗(yàn)尋找安全漏洞、做出評(píng)估。顯然是不現(xiàn)實(shí)的。我們可以尋找一種能查找網(wǎng)絡(luò)安全漏洞、評(píng)估并提出修改建議的網(wǎng)絡(luò)安全掃描工具，利用優(yōu)化系統(tǒng)配置和安裝安全補(bǔ)丁等多種方式最大可能地彌補(bǔ)最新的安全漏洞和消除安全隱患。可以利用各種黑客工具，定期對(duì)網(wǎng)絡(luò)模擬攻擊從而暴露出網(wǎng)絡(luò)的漏洞，以便更好地發(fā)現(xiàn)和杜絕網(wǎng)絡(luò)中的安全隱患。

(五)ARP 病毒的防御

ARP 是Address Resolution Protocol 的縮寫，即地址解析協(xié)議，它是一個(gè)位于TCP/IP 協(xié)議棧中的低層協(xié)議，負(fù)責(zé)將某個(gè)IP 地址解析成對(duì)應(yīng)的MAC 地址。它是系統(tǒng)進(jìn)行通訊的基礎(chǔ)。是以信任為基礎(chǔ)的，如果破壞了這個(gè)信任，那就形成ARP 欺騙了。局域網(wǎng)經(jīng)常會(huì)受到來自各方面的攻擊，導(dǎo)致不能正常工作，其中ARP 攻擊是一個(gè)經(jīng)常發(fā)生的攻擊，只要有一臺(tái)電腦感染ARP, 就可能導(dǎo)致整個(gè)局域網(wǎng)都無法上網(wǎng)，嚴(yán)重的甚至可能帶來整個(gè)網(wǎng)絡(luò)的癱瘓，這給網(wǎng)絡(luò)用戶造成了很大的不便，因此了解ARP 攻擊原理，防御ARP 攻擊是保障企業(yè)網(wǎng)絡(luò)正常工作應(yīng)該引起重視的一個(gè)問題。目前對(duì)于ARP 攻擊防御問題出現(xiàn)最多是綁定IP 地址和MAC 地址或使用ARP 防護(hù)軟件。

采用綁定IP 地址和MAC 地址這種方式進(jìn)行綁定，如果網(wǎng)絡(luò)中有上百臺(tái)計(jì)算機(jī)，這個(gè)工作量是非常大的。所以這種方式不推薦在大型網(wǎng)絡(luò)中使用，企業(yè)內(nèi)部更適合使用ARP防護(hù)軟件，目前ARP 防護(hù)軟件很多，比較常用的ARP 工具軟件主要是360ARP 防火墻、AntiARP、彩影ARP 防火墻等。可以在這類軟件中綁定IP 地址和網(wǎng)關(guān)，另外這類軟件還會(huì)在提示框內(nèi)出現(xiàn)病毒主機(jī)的MAC 地址，方便我們快速找到攻擊源，然后進(jìn)行清除。根據(jù)實(shí)際網(wǎng)絡(luò)環(huán)境，我們采取相應(yīng)的防御方法，還是非常有效的。

(六)使用GHOST 軟件備份操作系統(tǒng)

Ghost (是General Hardware Oriented Software Transfer 的縮寫譯為“面向通用型硬件系統(tǒng)傳送器”)軟件是美國(guó)賽門鐵克公司推出的一款出色的硬盤備份還原工具，可以實(shí)現(xiàn)FAT16，F(xiàn)AT3，NTF，OS2 等多種硬盤分區(qū)格式的分區(qū)及硬盤的備份還原。該技術(shù)的應(yīng)用有效地解決了計(jì)算機(jī)系統(tǒng)崩潰，重新安裝操作系統(tǒng)及后續(xù)應(yīng)用程序需要花費(fèi)大量時(shí)間的問題。提供了一種便捷、高效的途徑。

Ghost，的備份還原是以硬盤的扇區(qū)為單位進(jìn)行的，也就是說可以將一個(gè)硬盤上的物理信息完整復(fù)制，而不僅僅是數(shù)據(jù)的簡(jiǎn)單復(fù)制。Ghost 支持將分區(qū)或硬盤直接備份到一個(gè)擴(kuò)展名為。gho。的文件里(賽門鐵克公司把這種文件稱為鏡像文件)，也支持直接備份到另一個(gè)分區(qū)或硬盤里。

網(wǎng)絡(luò)管理者可以在完成操作系統(tǒng)及各種驅(qū)動(dòng)的安裝后，將常用的軟件(如殺毒、媒體播放軟件、office 辦公軟件等)安裝到系統(tǒng)所在盤，接著安裝操作系統(tǒng)和常用軟件的各種升級(jí)補(bǔ)丁，然后優(yōu)化系統(tǒng)，最后做系統(tǒng)盤的克隆備份，這樣就可以在下次出現(xiàn)系統(tǒng)故障時(shí)免去安裝系統(tǒng)及相關(guān)應(yīng)用軟件的麻煩，提高工作效率、節(jié)約大量的時(shí)間。