[维护]四个步骤加强网络防护

核心提示：通过采用以下四个步骤，你能够减轻保护网络的压力，[维护]四个步骤加强网络防护，下面是一些加强你的网络防护的方法， 最近，这就意味着一台100 Mbps交换机能够同时处理好几百Mbps的通信量，所有的通信都发生在不同的虚拟网络上，微软在宣传如果你想要得到一个真正安全的网络，你必须关注5个重要的领域

　　通过采用以下四个步骤，你能够减轻保护网络的压力。下面是一些加强你的网络防护的方法。
　
　  最近，微软在宣传如果你想要得到一个真正安全的网络，你必须关注5个重要的领域。这些领域包括周边防护，网络防护，应用防护，数据防护，和主机防护。在本文中，我将讨论网络防护，帮助获得深度安全。

第一步：使用内部防火墙

　  网络防护不包含外部防护墙，但这并不意味着它完全不涉及防火墙。相反，我所建议的网络防护的第一步就是在可能的情况下使用内部防火墙。内部防火墙同外部防火墙一样是安全的基础。两者主要的区别在于内部防火墙的主要工作是保护你的机器不受内部通信的伤害。有很多使用内部防火墙的理由。

　  首先，想象一下，如果一个黑客或者某种病毒以某种方式控制了你的外部防火墙，那么他就可以不受防火墙阻碍地同内部网络进行通信。通常，这意味着你的网络对于外部世界完全敞开。但是，如果你有内部防火墙，那么内部防火墙会阻止从外部防火墙里溜进来的恶意的数据包。

　  使用内部防火墙的另一个主要的原因是很多攻击都是内部的。首先，你可能听说过这种说法，并且认为内部攻击不太可能出现在你的网络中，但是我在我所工作过的每一家公司的安全部门里，都见过内部攻击。

　  在我曾经工作过的两个地方，其他部门的有些人是黑客或者对管理权狂热爱好。他们会认为探测网络以获得尽可能多的信息是一件很酷而且很值得炫耀的事情。在这两个地方，他们都没有任何主观上的恶意（或者说他们都声明自己没有恶意），他们只是想在朋友面前炫耀自己能够攻击系统。不论他们的动机如何，他们确实给网络安全造成了危害。你必须防范你的网络受到这样的人的攻击。

　  在我工作过的其他一些地方，我看到人们未经授权就自己安装软件，而这些软件中却包含了特洛伊木马。这些特洛伊木马进入系统后就可以通过特定端口将你的信息广播出去。防火墙很难阻止恶意的数据包进入网络，因为数据包已经在网络之中了。

　  这些事实导致了一个有趣的现象：我认识的绝大部分技术人员都让他们的外部防火墙阻止绝大部分流入网络的通信包，但是却对于流出的通信包却不加限制。我建议要对流出的通信也要像对待流入的通信一样谨慎，因为你永远不会知道，什么时候会有一个特洛伊木马躲在你的网络里，向外广播你网络中的信息。

　  内部防火墙可以放在任何一台电脑上或者任何一台服务器上。市场上有一些很好的个人防火墙产品，比如赛门铁克Norton Personal Firewall 2003。但是因为Windows XP自带了一个内置个人防火墙，所以你并不一定要为你的工作站花钱购买独立的个人防火墙。

　  如果你想使用Windows XP防火墙，用鼠标右键点击“我的网络”，然后从快捷菜单中选择“属性”来打开“网络连接”窗口。接下来，用鼠标右键点击你想要保护的网络联接并选择属性。现在，选择高级菜单，然后点击互联网连接防火墙选项。你可以使用“设置”按钮来选择保持开放的端口。虽然Windows XP防火墙是一个互联网防火墙，它也可以被作为内部防火墙使用。

第二步：网络通信加密

　  我建议的下一个步骤对于你的网络通信进行加密。只要可能的话，就要采用IPSec。因此，你需要了解IPSec安全性。

　  如果你配置一台机器使用IPSec，你应该对于进行双向加密。如果你让IPSec要求加密，那么当其他的机器试图连接到你的机器上的时候，就会被告之需要加密。如果其他机器有IPSec加密的能力，那么在通信建立的开始就能够建立一个安全的通信通道。另一方面，如果其他机器没有IPSec加密的能力，那么通信进程就会被拒绝，因为所要求的加密没有实现。

　  请求加密选项则略有不同。当一个机器请求联接，它也会要求加密。如果两台机器都支持IPSec机密，那么就会在两台机器之间建立起一个安全的通路，通信就开始了。如果其中一台机器不支持IPSec加密，那么通信进程也会开始，但是数据却没有被加密。

　  由于这个原因，我提供一些建议。首先，我建议把一个站点内所有的服务器放在一个安全的网络中。这个网络应该完全同平常的网络分开。用户需要访问的每一台服务器都应该有两块网卡，一个联接到主要网络，另一个联接到私有服务器网络。这个服务器网络应该只包含服务器，而且应该有专用的集线器或者交换机。

　  这样做，你需要在服务器之间建立专用的骨干网。所有的基于服务器的通信，比如RPC通信或者是复制所使用的通信就能够在专用骨干网里进行。这样，你就能够保护基于网络的通信，你也能够提高主要网络的可用带宽的数量。

　  接下来，我推荐使用IPSec。对于只有服务器的网络，应该要求IPSec加密。毕竟这个网络里只有服务器，所以除非你有UNIX、Linux、Macintosh或者其他非微软的服务器，你的服务器没有理由不支持IPSec。因此你可以很放心地要求IPSec加密。

　  现在，对于连接到重要网络上的所有工作站和服务器，你应该让机器要求加密。这样，你就能够在安全性和功能性之间获得一个优化平衡。

　  不幸的是，IPSec不能区分在多台家庭电脑上网络适配器。因此，除非一台服务器是处在服务器网络之外，你可能会需要使用请求加密选项，否则其他的客户端就不能够访问该服务器。

　  当然IPSec并不是你网络通信所能选择的唯一加密方式。你还必须考虑你要如何保护通过你的网络周边以及通向你无线网络的通信。

　  今天谈论无线加密还有点困难，因为无线网络设备还在发展。大部分网络管理员都认为无线网络是不安全的，因为网络通信包是在开放空间传播的，任何一个人都可以用带有无线NIC卡的笔记本电脑截获这些通信包。

　  虽然无线网络确实存在一些风险，但是从某种角度来说，无线网络甚至比有线网络更安全。这是因为无线通信主要的加密机制是WEP加密。WEP加密从40位到152位甚至更高。实际的长度取决于最低的通信参与者。例如，如果你的接入点支持128位WEP加密，但是你的一个无线网络用户设备只支持64位WEP加密，那么你就只能获得64位加密。但是目前基本上所有的无线设备都至少支持128位加密。

　  很多管理员并没有意识到的事情是，虽然无线网络可以使用WEP加密，但是这并不是他们能够使用的唯一的加密方式。WEP加密仅仅是对所有通过网络的通信进行加密。它对于自己所加密的是何种类型的数据并不关心。因此，如果你已经使用了IPSec来加密数据，那么WEP就能够对已经加密的数据进行第二重加密。

第三步：网络隔离

　  如果你的公司非常大，那么你很有可能有一台Web服务器作为公司网站的主机。如果这台网络服务器不需要访问后台数据库或者你私有网络中的其他资源的话，那么就没有理由把它放在你的私有网络中。既然你可以把这台服务器和你自己的网络隔离开来，那为什么要把它放在私有网络内部，给黑客一个进入你私有网络的机会呢？

　  如果你的Web服务器需要访问数据库或者私有网络中的其他资源，那么我建议你在你的防火墙和网络服务器之间放置一台ISA服务器。互联网用户同ISA服务器进行通信，而不是直接通过Web服务器访问。ISA服务器将代理用户和Web服务器之间的请求。你就能在Web服务器和数据库服务器建立起一个IPSec连接，并在Web服务器和ISA服务器之间建立起了一个SSL联接。

第四步：包监听

　  在你已经采取了所有必要的步骤来保护经过你的网络中的通信之后，我建议偶尔采用包监听来监视网络通信。这仅仅是一个预防措施，因为它帮助你了解在你的网络中究竟发生了哪些类型的通信。如果你发现了意料不到的通信包类型，你就可以查找到这些包的来源。

　  协议分析器的最大问题在于它可能被黑客所利用，成为黑客手中的利器。由于包监听的特性，我曾经认为不可能探测出谁在我的网络中进行包监听。包监听仅仅是监视线缆中发生的通信。由于包监听不改变通信包，那又怎么能够知道谁在进行监听呢？

　  其实检查包监听比你想象的要容易得多。你所需要的仅仅是一台机器作为诱饵。诱饵机器应该是一台除了你之外任何人都不知道它存在的工作站。确保你的诱饵机器有一个IP地址，但是不在域之中。现在把诱饵机器连接到网络中，并让它产生一些通信包。如果有人在监听网络。监听这就会发现这些由诱饵机器所发出的通信包。问题在于监听者会知道诱饵机器的IP地址，但是却不知道它的主机名。通常，监听者会进行一次DNS查找，试图找到这台机器的主机名。由于你是唯一知道这台机器存在的人，没有人会进行DNS查找来寻找这台机器。所以，如果你发现DNS日志中有人进行DNS查找来查找你的诱饵机器，那么你就有理由怀疑这台机器被利用来监听网络了。

　  另一个你可以采取、用以阻止监听的步骤是用VLAN交换机替换掉所有现有的集线器。这些交换机在包的发送者和接受者创建虚拟网络。包不再经过网络里的所有机器。它将直接从发送端发送到接受端。这意味着如果有监听者在监听你的网络，他就很难获得有用的信息。

　  这种类型的交换机还有其他的优点。对于一个标准的集线器，所有的节点都落在同一个域中。这就意味着如果你有100 Mbps的总带宽，那么带宽将在所有的节点之间进行分配。但是VLAN交换机却不是如此，每一个虚拟LAN都有专有的带宽，它不需要进行分享。这就意味着一台100 Mbps交换机能够同时处理好几百Mbps的通信量，所有的通信都发生在不同的虚拟网络上。采用VLAN交换机能够同时提高安全性和效率。