在中小企業(yè)日益聚焦網(wǎng)絡(luò)營(yíng)銷(xiāo)的同時(shí)，一次次親身經(jīng)歷讓他們對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)、網(wǎng)絡(luò)安全越來(lái)越關(guān)注。然而很多網(wǎng)絡(luò)管理員在安全設(shè)計(jì)時(shí)，喜歡采用高端的設(shè)備與技術(shù)，但是卻忽視了一些細(xì)節(jié)與基礎(chǔ)性的內(nèi)容。下面就請(qǐng)我們鄭州北大青鳥(niǎo)的網(wǎng)絡(luò)專(zhuān)家來(lái)給大家分析一下，網(wǎng)絡(luò)安全維護(hù)中，不容忽視的五大細(xì)節(jié)問(wèn)題！
一、通過(guò)訪問(wèn)控制列表來(lái)限制用戶的訪問(wèn)
這個(gè)配置是很基礎(chǔ)的內(nèi)容。如可以在企業(yè)邊緣路由器上(連接到互聯(lián)網(wǎng)的路由器)，進(jìn)行訪問(wèn)控制列表配置，拒絕從互聯(lián)網(wǎng)接口接受Ping命令。如果企業(yè)有虛擬局域網(wǎng)設(shè)置，那么這個(gè)訪問(wèn)控制列表還可以跟其結(jié)合使用，進(jìn)一步提高虛擬局域網(wǎng)的安全性。如可以設(shè)置只有網(wǎng)絡(luò)管理員才可以訪問(wèn)某個(gè)特定的虛擬局域網(wǎng)等等。再如可以限制用戶在上班時(shí)間訪問(wèn)娛樂(lè)網(wǎng)站、網(wǎng)上炒股、網(wǎng)絡(luò)游戲等等可能會(huì)危害企業(yè)網(wǎng)絡(luò)安全的行為�？上У氖�，不少網(wǎng)絡(luò)管理員可能認(rèn)為其太簡(jiǎn)單了，而忽視了這個(gè)技術(shù)的存在。卻不知道，簡(jiǎn)單的往往是比較實(shí)用的。故建議各位盡量不要購(gòu)買(mǎi)第三方的安全產(chǎn)品，以降低網(wǎng)絡(luò)的復(fù)雜性。
二、配置系統(tǒng)警告標(biāo)語(yǔ)，以起到警示的作用
無(wú)論是出于安全或者管理的目的，配置一條在用戶登錄前線時(shí)的系統(tǒng)警告標(biāo)語(yǔ)是一種方便、有效的實(shí)施安全和通用策略的方式。即在用戶連接到交換機(jī)、在輸入用戶名與密碼之前，向用戶提供一個(gè)警告標(biāo)語(yǔ)。在用戶正式登陸之前，網(wǎng)絡(luò)管理員可以讓交換機(jī)明確的指出交換機(jī)的歸屬、使用方法、安全措施、訪問(wèn)權(quán)限以及所采取的保護(hù)策略。
三、為交換機(jī)配置一把安全的鑰匙
我們?cè)谠O(shè)置交換機(jī)口令的時(shí)候，可以增加口令的復(fù)雜性，來(lái)提高破解的難度。同時(shí)設(shè)置密碼策略(如密碼連續(xù)錯(cuò)誤三次將鎖住)，如此就可以提高這個(gè)密碼的安全性。也可以在交換機(jī)的密碼中加入一些特殊的字符，如標(biāo)點(diǎn)符號(hào)，或者大小寫(xiě)、字母與數(shù)字混用等等，來(lái)為交換機(jī)配置比較堅(jiān)固的口令。
四、CDP協(xié)議要盡量少用
默認(rèn)情況下，這個(gè)協(xié)議是開(kāi)啟的。通常情況下，我們并不需要在所有的交換機(jī)等網(wǎng)絡(luò)設(shè)備上都啟用這個(gè)協(xié)議。所以安全人員可以在交換機(jī)的每個(gè)接口上都禁用CDP協(xié)議，而只為管理目的運(yùn)行CDP協(xié)議。如通常情況下，需要在交換機(jī)的廉潔上和IP電話連接的接口上啟用CDP協(xié)議。對(duì)于Wan連接，CDP表中可能包含服務(wù)器提供的下一跳路由器或者交換機(jī)的信息，而不是企業(yè)控制之下的遠(yuǎn)端路由器�？傊褪遣灰俨话财鸬倪B接上運(yùn)行CDP協(xié)議，而應(yīng)該將其用在刀刃上，在必需的接口上啟用CDP協(xié)議。
五、注意SNMP是一把雙刃劍
SNMP協(xié)議是一把雙刃劍。從管理角度講，很多網(wǎng)絡(luò)管理員離不開(kāi)SNMP協(xié)議。但是從安全角度講，其確實(shí)存在著比較大的安全隱患。這主要是因?yàn)镾NMP協(xié)議在網(wǎng)絡(luò)中通常是通過(guò)明文來(lái)傳輸?shù)摹＜词故遣捎昧薙NMPV2C，其雖然采用了身份驗(yàn)證技術(shù)。但是其身份驗(yàn)證信息也是由簡(jiǎn)單的文本字符組成。而這些字符則是通過(guò)明文來(lái)進(jìn)行傳輸。這就給企業(yè)的網(wǎng)絡(luò)安全造成了隱患。遇到這種情況時(shí)，安全管理人員應(yīng)該采取適當(dāng)?shù)拇胧﹣?lái)確保SNMP協(xié)議的安全。我們常用的手段是升級(jí)SNMP協(xié)議，采用SNMPV3版本。在這個(gè)版本中，可以設(shè)置對(duì)于傳輸?shù)臄?shù)據(jù)都采用加密處理，從而確保通信流量的安全性。
其次，可以結(jié)合上面談到的訪問(wèn)控制列表來(lái)加強(qiáng)SNMP協(xié)議的安全性。如在訪問(wèn)控制列表中設(shè)置，交換機(jī)只轉(zhuǎn)發(fā)那些來(lái)自受信子網(wǎng)或工作站的SNMP通信流量通過(guò)交換機(jī)。只要做到這兩點(diǎn)，SNMP協(xié)議的安全就有保障了。
最后，網(wǎng)絡(luò)專(zhuān)家作出總結(jié)：除以上說(shuō)的五點(diǎn)需要注意之外，限制鏈路聚集連接、關(guān)閉不需要的服務(wù)、少用HTTP協(xié)議等等，都是企業(yè)網(wǎng)絡(luò)安全管理中的細(xì)節(jié)方面的內(nèi)容。我們只有在不斷的實(shí)踐，不斷的學(xué)習(xí)當(dāng)中，才能發(fā)現(xiàn)更多的問(wèn)題，才能想出更多的維護(hù)網(wǎng)絡(luò)安全的措施。
