深层防毒指南－－ 网络防护层配置以及物理安全性

核心提示： 隔离网络应该限制（或者甚至阻止）对组织资源的内部访问，但是提供一种连接级别（包括 Internet）允许临时访问者的计算机高效工作，深层防毒指南－－ 网络防护层配置以及物理安全性(5)，而不会给内部网络的安全带来风险，如果访问者的便携式计算机感染了恶意软件并连接到网络，恶意软件可以绕过外部

隔离网络应该限制（或者甚至阻止）对组织资源的内部访问，但是提供一种连接级别（包括 Internet）允许临时访问者的计算机高效工作，而不会给内部网络的安全带来风险。如果访问者的便携式计算机感染了恶意软件并连接到网络，则隔离网络可以限制其感染内部网络上其他计算机的能力。

与此类似的方法成功应用于 VPN 类型的远程连接，已经有一段时间了。在执行系统测试的同时，将 VPN 客户端转移到临时隔离网络。如果客户端通过了测试（例如由于具有所需的安全更新和防病毒签名文件），则将授予它们访问组织内部网络的权限。如果客户端不满足这些要求，则将断开它们的连接或允许它们访问隔离网络，这可以用来获得通过测试所必需的更新。现在，网络设计人员正研究此技术以帮助改进内部网络的安全性。

ISA Server Feature Pack

如果您的组织使用 ISA Server 2000，则 Microsoft 还建议您使用在 ISA Server Feature Pack 1 中提供的其他功能。此免费附件提供其他安全功能，您可以使用这些功能提高网络防护中跨防火墙的通信（包括电子邮件）的安全性。您可以用来改进防病毒网络防护的功能包括：

• 增强的 SMTP 筛选器。此功能有助于以增强的可靠性和安全性筛选电子邮件。筛选基于附件的名称、大小或扩展名，以及发件人、域、关键字和任何 SMTP 命令及其长度。

• 增强的 Exchange 远程过程调用 (RPC) 筛选器。此功能保护通过不受信任的网络与 Exchange Server 计算机进行的 Outlook 电子邮件通信，而不要求您建立 VPN。为此，在 ISA Server Feature Pack 1 中还附带了以下额外功能：

• 管理员能够在 Outlook 和 Exchange Server 之间强制 RPC 加密。

• 出站 RPC 通信可以安全地通过 ISA Server，这又允许连接到 ISA Server 计算机的 Outlook 客户端访问外部 Exchange Server 计算机。

• UrlScan 2.5。此工具有助于在 ISA Server 计算机上的恶意 Web 请求能够进入网络和访问 Web 服务器之前，阻止这些请求。

• Outlook Web Access (OWA) 向导。您可以使用此向导快速而轻松地配置 ISA Server 以帮助保护 OWA 部署。

• RPC 筛选器配置向导。您可以使用此向导仅允许对内部网络上的 RPC 服务进行精确级别的访问，而不是访问所有的 RPC 通信。

物理安全性

与其说物理安全性是特定的恶意软件问题，不如说它是一般的安全问题，但是如果没有用于组织基础结构中所有客户端、服务器和网络设备的有效物理防护计划，则无法避免恶意软件的攻击。在有效的物理防护计划中有许多关键元素，其中包括：

• 建立安全性

• 人员安全性

• 网络接入点

• 服务器计算机

• 工作站计算机

• 移动计算机和设备

在组织的安全风险评估中，应该评估其中的每个元素。如果攻击者损害其中的任一元素，则风险级别增加，恶意软件可以绕过外部和内部网络防护边界感染网络上的主机。

保护对您的工具和计算系统的访问应该是组织总体安全策略的基本元素。这些注意事项的详细说明已经超出了此解决方案的范围。