抵擋DoS遠端連接讓網路更安全
您是第
254個瀏覽者
傳統的網路安全技術側重於系統入侵檢測，反病毒軟體或防火牆。內部安全如何?在網路安全構造中，交換機和路由器是非常重要的， 在七層網路中每一層都必須是安全的。 很多交換機和路由器都有豐富的安全功能，要瞭解有些什麼，如何工作，如何部署，一層有問題時不會影響整個網路。交換機和路由器被設計成缺省安全的，出廠時就處於安全設置的狀態，特別操作的設置在用戶要求時才會被啟動，所有其他選項都是關閉的，以減少危險，網管員也無需瞭解哪些選項應該關閉。 在初始登錄時會被強制要求更改密碼，也有密碼的期限選項及登錄嘗試的次數限制，而且以加密方式存儲。限期的帳號(維護帳號或後門)是不會存在的。交換機及路由器在掉電，熱啟動、冷啟動，升級IOS、硬體或一個模組失敗的情況下都必須是安全的，而且在這些事件發生後應該不會危及安全並恢復運作，因為日誌的原因，網路設備應該通過網路時間協定保持安全精確的時間。通過SNMP協議連接管理的名稱也應該被改變。
抵擋DoS攻擊
從可用性出發，交換機和路由器需要能抵擋拒絕服務式Dos攻擊，並在攻擊期間保持可用性。理想狀態是他們在受到攻擊時應該能夠做出反應，遮罩攻擊IP及埠。每件事件都會立即反應並記錄在日誌中，同時他們也能識別並對蠕蟲攻擊做出反應。
交換機及路由器中使用FTP，HTTP，TELNET或SSH都有可以有代碼漏洞，在漏洞被發現報告後，廠商可以開發、創建、測試、發佈升級包或補丁。
基於角色的管理給予管理員最低程式的許可來完成任務，允許分派任務，提供檢查及平衡，只有受信任的連接才能管理倔們。管理許可權可賦予設備或其他主機，例如管理許可權可授予一定IP位址及特定的TCP/UDP埠。
控制管理許可權的最好辦法是在授權進入前分許可權，可以通過認證和帳戶伺服器，例如遠端接入服務，終端服務，或LDAP服務。
遠端連接的加密
很多情況下，管理員需要遠端管理交換機及路由器，通常只能從公共網路上訪問。為了保證管理傳輸的安全，需要加密協定，SSH是所有遠端命令行設置和檔傳輸的標準協，基於WEB的則用SSL或TLS協定，LDAP通常是通訊的協定，而SSL/TLS則加密此通訊。
SNMP用來發現、監控、配置網路設備，SNMP 3是足夠安全的版本，可以保證授權的通信。
建立登錄控制可以減輕受攻擊的可能性，設定嘗試登錄的次數，在遇到這種掃描時能做出反應。詳細的日誌在發現嘗試破解密碼及埠掃描時是非常有效的。
交換機及路由器的配置檔的安全也是不容忽視的，通常配置檔保存在安全的位置，在混亂的情況下，可以取出備份檔案，安裝並啟動系統，恢復到已知狀態。有些交換機結合了入侵檢測的功能，一些通過埠映射支持，允許管理員選擇監控埠。虛擬網路的角色虛擬的本地網路VLAN是第二層上的有限廣播域，由一組電腦設備組成，通常位元一多個LAN上，可能跨越一個或多個LAN交換機，而與它們的物理位置無關，設備之間好像在同一個網路間通信一樣，允許管理員將網路分為多個可管理運行良好的小塊，將嗇、移動、更改設備、用戶及許可權的任務簡化。
VLAN可在各種形式上形成，如交換口，MAC位址，IP位址，協定類型，DHCP，802.1Q標誌或用戶自定義。這些可以單獨或組合部署。
VLAN認證技術在用戶通過認證過程後授權給用戶進入一個或多個VLAN，該授權不是給予設備。
防火牆可以控制網路之間的訪問，最廣泛應用的是嵌在傳統路由器和多層交換機上的，也稱作ACLS，防火牆的不同主要在於他們掃描包的深度，是端到端的直接通訊還是通過代理，是否有Session.
在網路之間的訪問控制中，路由過濾措施可以基於源/目標交換槽或埠，源/目標VLAN，源/目標IP，或TCP/UDP埠，ICMP類型，或MAC位址。對於某些交換機和路由器，動態ACL標準可以用戶通過認證過程後被創建，就像是認證的VLAN，不過是在第三層上。當未知的源位址要求連入已知的內部目標時是有用的。
現在的網路要求設計成各層次都是安全的，通過部署交換機和路由器的安全設置，企業可以傳統的安全技術創建強壯、各層都安全的系統。
實用相關搜尋: 電腦
設為首頁
加入收藏
