局域網(wǎng)面對(duì)攻擊的安全策略
局域網(wǎng)的安全問(wèn)題經(jīng)常是面對(duì)來(lái)自Internet的攻擊，因此你必須時(shí)刻防范這些惡意攻擊，關(guān)注你局域網(wǎng)的計(jì)算機(jī)系統(tǒng)安全，那么你知道局域網(wǎng)面對(duì)攻擊的安全策略嗎?下面是學(xué)習(xí)啦小編整理的一些關(guān)于局域網(wǎng)面對(duì)攻擊的安全策略的相關(guān)資料，供你參考。
下面兩個(gè)方法從實(shí)踐上來(lái)說(shuō)被認(rèn)為是非常有用的防范手段：
1.包過(guò)濾
圖1 七層模型易遭受的安全攻擊
在網(wǎng)絡(luò)層檢查通信數(shù)據(jù)，觀察它的源地址和目的地址。過(guò)濾器可以禁止特定的地址或地址范圍傳出或進(jìn)入，也可以禁止令人懷疑的地址模式。
2.防火墻
圖2 包過(guò)濾器的配置
在應(yīng)用層檢查通信數(shù)據(jù)，檢查消息地址中的端口，或檢查特定應(yīng)用的消息內(nèi)容。測(cè)試失敗的任何通信數(shù)據(jù)將被拒絕。
一、路由包過(guò)濾
TCP/IP地址由機(jī)器地址和標(biāo)識(shí)程序處理消息的端口數(shù)字組成。這個(gè)地址/端口組合信息對(duì)每個(gè)TCP/IP消息都是有效的。包過(guò)濾與防火墻相比處理的簡(jiǎn)單一些，它僅是觀察TCP/IP地址，而不是端口數(shù)字或消息內(nèi)容。不過(guò)包過(guò)濾提供給你的是很好的網(wǎng)絡(luò)安全工具。
包過(guò)濾器通常使用的是自頂向下的操作原則，下面是它使用的一個(gè)典型規(guī)則：
●允許所有傳出通信數(shù)據(jù)通過(guò);
●拒絕建立新的傳入連接;
●其它的數(shù)據(jù)可以全部被接受。
通過(guò)這樣的使用規(guī)則，系統(tǒng)的安全性提高了許多。因?yàn)樗芙^了Internet上主動(dòng)與你的計(jì)算機(jī)建立新連接的請(qǐng)求。它阻止使用TCP的通信數(shù)據(jù)進(jìn)入，從而杜絕了對(duì)共享驅(qū)動(dòng)器和文件的未授權(quán)訪問(wèn)。
過(guò)濾器通常的應(yīng)用是配置在連接你的計(jì)算機(jī)和Internet的路由器上，如圖2所示。在你的局域網(wǎng)和Internet之間放置過(guò)濾器后，就可以保證局域網(wǎng)與Internet所有的通信數(shù)據(jù)都要經(jīng)過(guò)過(guò)濾器。
如果包過(guò)濾軟件有能力檢查源地址子網(wǎng)，從子網(wǎng)物理端口傳遞消息到路由器，你就可以制定規(guī)則來(lái)避免虛假的TCP/IP地址，就象圖2所示的那樣。攻擊者欺騙的方法就是把來(lái)自Internet的消息偽裝成來(lái)自你局域網(wǎng)的消息。包過(guò)濾通過(guò)拒收帶有不可能源地址的消息來(lái)防御攻擊者的攻擊。例如，假定你在一個(gè)裝有Linux的機(jī)器上安裝軟件，讓它作為一個(gè)Windows網(wǎng)絡(luò)文件服務(wù)器，你可以配置Linux讓它拒收所有來(lái)自你的子網(wǎng)以外的通信數(shù)據(jù)，阻止Internet上的機(jī)器看到這個(gè)文件服務(wù)器。如果攻擊者假裝是你內(nèi)部的機(jī)器，用過(guò)濾器就可以阻止攻擊者的攻擊。
包過(guò)濾雖然對(duì)網(wǎng)絡(luò)的安全防范能起到很好的作用，但包過(guò)濾也并不是萬(wàn)能的。它們一般不能防御使用UDP協(xié)議的攻擊，因?yàn)檫^(guò)濾器不能拒收開(kāi)放的消息。包過(guò)濾還不能防御低層攻擊，象PING方式的攻擊。
二、防火墻
使用防火墻軟件可以在一定程度上控制局域網(wǎng)和Internet之間傳遞的數(shù)據(jù)。圖3所示是一個(gè)TCP/IP數(shù)據(jù)包報(bào)頭示意圖，從它上面可以清楚地看到包過(guò)濾和防火墻工作原理的不同之處。防火墻不但檢查了包過(guò)濾檢查內(nèi)容的所有部分(TCP/IP的源地址和目的地址)，還檢查了源/目的端口數(shù)字和包的內(nèi)容。
圖3 包過(guò)濾器和防火墻的信息源
端口和消息內(nèi)容這些信息使防火墻比包過(guò)濾有更強(qiáng)的防范能力，因?yàn)檫@些信息使防火墻控制特定進(jìn)/出的主機(jī)地址。防火墻的功能有以下幾個(gè)方面：
●允許或禁止特定的應(yīng)用服務(wù)，例如：FTP或Web頁(yè)面服務(wù);
●允許或禁止訪問(wèn)基于被傳遞的信息內(nèi)容的服務(wù)。
防火墻最直接的實(shí)施就是使用圖2所示的結(jié)構(gòu)，僅把局域網(wǎng)和ISP之間的包過(guò)濾器換成防火墻就可以了。這是一個(gè)防火墻的最安全的應(yīng)用，因?yàn)樗Ｗo(hù)了防火墻后面的所有計(jì)算機(jī)。
圖4 防火墻中使用DMZ
如果我們把圖2改為圖4所示的結(jié)構(gòu)，就可以很好地解決這個(gè)問(wèn)題。圖4的結(jié)構(gòu)中有3個(gè)端口。第三個(gè)端口連接的是另一個(gè)局域網(wǎng)，通常叫做DMZ(非軍事區(qū))。DMZ中的計(jì)算機(jī)與安全局域網(wǎng)中的計(jì)算機(jī)相比安全性要差一些，但是這些計(jì)算機(jī)可以接受來(lái)自Internet的訪問(wèn)。你可以把Web和FTP服務(wù)器放在DMZ，從而可以保護(hù)其它的計(jì)算機(jī)。防火墻上的規(guī)則設(shè)定為阻止進(jìn)入安全局域網(wǎng)的通信數(shù)據(jù)，僅允許傳出連接的建立。
如果你想增強(qiáng)DMZ局域網(wǎng)的安全性，可以使用過(guò)濾器，限制局域網(wǎng)中服務(wù)器使用的端口，禁止那些來(lái)自攻擊站點(diǎn)的訪問(wèn)。
為了安全還可以給你的局域網(wǎng)分段，每段設(shè)置一個(gè)防火墻，每個(gè)防火墻使用不同的安全規(guī)則。需要記住的一點(diǎn)是，防火墻本身并沒(méi)有保障安全的能力，你需要定期的檢查防火墻對(duì)可疑事件做出的日志記錄，還需要去發(fā)現(xiàn)和使用軟件的安全補(bǔ)丁。
如果你使用Windows 98第二版的Internet共享連接功能，讓你的一臺(tái)計(jì)算機(jī)通過(guò)Modem把局域網(wǎng)連接上Internet。在這種情況下，你的網(wǎng)絡(luò)是很不安全的，仍需要改善網(wǎng)絡(luò)的安全性。最大的威脅就是你的電腦直接連接在了Internet上，你應(yīng)該直接在這臺(tái)電腦上安裝包過(guò)濾器或防火墻產(chǎn)品，或讓你的ISP安裝包過(guò)濾器或防火墻來(lái)保護(hù)你的訪問(wèn)。
看過(guò)文章“局域網(wǎng)面對(duì)攻擊的安全策略”的人還看了：
3.如何簡(jiǎn)單設(shè)置一個(gè)局域網(wǎng)
4.局域網(wǎng)共享設(shè)置 詳細(xì)圖文設(shè)置教程