- 掛牌上市企業(yè)
- 60秒人工響應(yīng)
- 99.99%連通率
- 7*24h人工
- 故障100倍補(bǔ)償
企業(yè)服務(wù)器安全防護(hù)的七個(gè)切入點(diǎn) |
| 發(fā)布時(shí)間: 2012/9/8 18:11:43 |
|
作為一名網(wǎng)絡(luò)工程師，確保企業(yè)服務(wù)器的安全，保證其正常的運(yùn)行，是網(wǎng)絡(luò)管理工作中的首要問題。那么如何才能切實(shí)有效的保護(hù)服務(wù)器的安全呢?根據(jù)筆者十年來的工作經(jīng)驗(yàn)，大體從以下七點(diǎn)來建立防護(hù)體系。 切入點(diǎn)一：確立強(qiáng)有力的網(wǎng)絡(luò)安全體系 要將企業(yè)的服務(wù)器不能孤立開來，一個(gè)個(gè)體的加以“保護(hù)”，作為網(wǎng)絡(luò)中的核心部件，應(yīng)當(dāng)將它與周圍的其他設(shè)備合為一個(gè)整體，統(tǒng)籌規(guī)劃安排，才能全面解決安全問題，更好地確保服務(wù)器安全。 因此，必須建立一個(gè)整體的、完善的、強(qiáng)有力的計(jì)算機(jī)網(wǎng)絡(luò)安全體系。只有對整個(gè)網(wǎng)絡(luò)制定并實(shí)施統(tǒng)一地安全體系，才能有效地保護(hù)網(wǎng)絡(luò)中涉及到的服務(wù)器等各部件。同時(shí)要求企業(yè)中的每一個(gè)員工都清楚并熟知這個(gè)安全體系，并知道它是強(qiáng)行執(zhí)行的。 一個(gè)完整地安全體系包括兩部分：安全管理和安全技術(shù)。安全管理從管理角度出發(fā)，利用規(guī)章、制度等書面形式規(guī)范、約束各種計(jì)算機(jī)網(wǎng)絡(luò)行為，如各種網(wǎng)絡(luò)設(shè)備的操作規(guī)范;安全技術(shù)顧名思義是從技術(shù)角度出發(fā)，利用各種軟件(比如殺毒軟件、防火墻軟件等)和硬件(如硬件防火墻)、各種技巧和方法來管理整個(gè)計(jì)算機(jī)網(wǎng)絡(luò)。 具體到服務(wù)器，一方面需要嚴(yán)格規(guī)范對服務(wù)器地操作，禁止一切可能有害于服務(wù)器及其數(shù)據(jù)的行為，特別是針對“寫”、“刪除”這類行為;加強(qiáng)中心機(jī)房的管理，禁止除網(wǎng)絡(luò)管理人員以外人士隨便操作服務(wù)器。另一面，藥盡可能地利用現(xiàn)有地各種安全技術(shù)來保障服務(wù)器地安全。例如，可利用 windows2000/2003Sever提供的“用戶權(quán)限”功能根據(jù)每個(gè)工作人員的業(yè)務(wù)特點(diǎn)單獨(dú)地為其制定訪問服務(wù)器地特殊使用權(quán)限，從而避免因使用統(tǒng)一的訪問服務(wù)器權(quán)限而帶來的安全隱患。 切入點(diǎn)二：建立必要的防護(hù)基礎(chǔ) 因?yàn)槁┒吹拇嬖冢瑢?dǎo)致了相應(yīng)的安全問題。對于每一次對網(wǎng)絡(luò)的攻擊都是從安全方面的漏洞開始的。因此為了服務(wù)器的安全，必須建立必要的防護(hù)基礎(chǔ)，盡可能的采用現(xiàn)有的安全技術(shù)(如系統(tǒng)文件格式、操作系統(tǒng)等方面)來構(gòu)建服務(wù)器，直至整個(gè)計(jì)算機(jī)網(wǎng)絡(luò)。這樣從根本上確保服務(wù)器的安全。 比如對于非法入侵者(包括黑客在內(nèi)的所有未經(jīng)許可的非法訪問者)而言，存儲在FAT格式下磁盤數(shù)據(jù)要比在NTFS格式下更加容易訪問及破壞。所以，對于服務(wù)器而言，將它的磁盤分區(qū)設(shè)定為FAT格式是不安全的做法。要從基礎(chǔ)做起，盡可能地將服務(wù)器上所有地磁盤分區(qū)都轉(zhuǎn)換為NTFS格式，特別是那些有敏感特性的數(shù)據(jù)所在的磁盤分區(qū)。 作為一個(gè)企業(yè)，購買一款正宗地網(wǎng)絡(luò)監(jiān)測軟件對整個(gè)網(wǎng)絡(luò)運(yùn)行全天候地不間斷監(jiān)視應(yīng)當(dāng)不成問題，特別是對“非法入侵”和“對服務(wù)器的操作”兩個(gè)方面的實(shí)時(shí)監(jiān)控報(bào)告，能及時(shí)的通知網(wǎng)絡(luò)維護(hù)人員快速響應(yīng)，將損失減少到最低限度。同時(shí)，針對當(dāng)前日益增長的木馬、病毒數(shù)量，企業(yè)花錢買款網(wǎng)絡(luò)版的殺毒軟件也是首要的，必須的。 切入點(diǎn)三：定期做好備份數(shù)據(jù)工作 前面的工作做好了，也有可能出現(xiàn)或多或少的損失，但天災(zāi)人禍?zhǔn)遣豢杀苊獾模瑸榱吮M量的避免它，我們還要利用現(xiàn)有技術(shù)定期備份數(shù)據(jù)(比如企業(yè) ERP數(shù)據(jù)等記錄公司日常業(yè)務(wù)的數(shù)據(jù))并妥善地保存好，是網(wǎng)絡(luò)管理人員日常管理中必須完成的，也是優(yōu)秀網(wǎng)絡(luò)管理員必須養(yǎng)成的良好的工作習(xí)慣。 備份好數(shù)據(jù)就萬無一失了嗎?還存在偷竊地行為。所以，在備份數(shù)據(jù)時(shí)應(yīng)當(dāng)考慮通過采取鎖進(jìn)保險(xiǎn)柜，進(jìn)行“密碼保護(hù)”等方式進(jìn)行第二次、第三次保護(hù)您的備份介質(zhì)(如磁盤、磁帶)。最好在做備份時(shí)同步地對企業(yè)數(shù)據(jù)進(jìn)行加密處理，這樣地話，最大限度保證數(shù)據(jù)即使被偷竊也不會解密。 切入點(diǎn)四：加強(qiáng)客戶端的管理 在網(wǎng)絡(luò)中除了服務(wù)器外，客戶端就是使用頻繁地網(wǎng)絡(luò)設(shè)備了，也是通向服務(wù)器的一個(gè)個(gè)端口。所以盡量將其更換為穩(wěn)定的操作系統(tǒng) Windows2000/Xp，甚至是Windows2003等其他更安全地系統(tǒng)。這樣您就可以用“權(quán)限管理”功能來鎖定客戶端，使得那些沒有安全訪問權(quán)限地人很難甚至不可能獲得網(wǎng)絡(luò)配置信息。 當(dāng)然也可以采用另一種方式，將客戶端的功能限定為一個(gè)“靈活而單純”的終端，即讓程序和數(shù)據(jù)統(tǒng)一駐留在網(wǎng)絡(luò)中的服務(wù)器上，卻在客戶端上運(yùn)行，所有安裝在客戶端上的是一份操作系統(tǒng)的拷貝及指向駐留在服務(wù)器上地應(yīng)用程序的快捷鍵圖標(biāo)。當(dāng)雙擊快捷鍵圖標(biāo)運(yùn)行程序時(shí)，這個(gè)程序?qū)⑹褂每蛻舳吮镜氐刭Y源來運(yùn)行，而不是直接消耗服務(wù)器資源。這種方法能夠減輕客戶端被破壞帶來地對服務(wù)器的損傷，當(dāng)出現(xiàn)了故障排查起來會增加點(diǎn)難度。 切入點(diǎn)五：對遠(yuǎn)程訪問的管理 計(jì)算機(jī)網(wǎng)絡(luò)的一個(gè)優(yōu)點(diǎn)是借助必要工具，利用網(wǎng)絡(luò)實(shí)現(xiàn)對計(jì)算機(jī)網(wǎng)絡(luò)的遠(yuǎn)程訪問(RAS)。Windows操作系統(tǒng)從NT開始就內(nèi)置了這種功能。但也同時(shí)打開了安全隱患的大門，他們只需要知道能夠進(jìn)行RAS的電話號碼就可以輕松實(shí)現(xiàn)入侵。因此，如果您存在遠(yuǎn)程訪問的需求，就必須對遠(yuǎn)程用戶進(jìn)行強(qiáng)化管理，監(jiān)管您的遠(yuǎn)程用戶如何使用RAS。如果您的遠(yuǎn)程用戶經(jīng)常是從家里或不經(jīng)常變動的地方遠(yuǎn)程訪問，就建議您使用其中的“回叫”功能。這個(gè)功能允許在遠(yuǎn)程用戶從遠(yuǎn)程登錄計(jì)算機(jī)網(wǎng)絡(luò)后立即切斷連接，然后由RAS服務(wù)器撥打一個(gè)預(yù)先設(shè)定的電話號碼來再次接通該用戶，此后再由該用戶進(jìn)行RAS。如此設(shè)置就切斷非法入侵者的入侵，因?yàn)榉欠ㄈ肭终咭话銢]有機(jī)會知曉RAS服務(wù)器回叫的號碼，也就無法實(shí)現(xiàn)非法入侵。 另外還可用其他方法，就是利用“防火區(qū)”的原理將所有的遠(yuǎn)程訪問都限定在一臺單一的服務(wù)器上，這臺服務(wù)器與整個(gè)計(jì)算機(jī)網(wǎng)絡(luò)的聯(lián)系是通過人工手動完成的。這樣即使非法入侵者闖入，也會被隔離在一臺單一的機(jī)器上，對服務(wù)器的攻擊也就限定在一臺機(jī)器上。另外，還可用一些非常用的協(xié)議技術(shù)和方法(如蜜罐)來迷惑非法入侵者。這樣也就增加了技術(shù)成本，技術(shù)程度要求較高。 切入點(diǎn)六：及時(shí)升級補(bǔ)丁 軟件不可能都是完美的，隨著運(yùn)行會逐漸發(fā)現(xiàn)它的漏洞，這是很正常的。而且其隱含的漏洞與軟件規(guī)模是成比例的。發(fā)現(xiàn)漏洞就必須彌補(bǔ)，否則漏洞就會變成一扇非法入侵者敞開的大門，任其出入。軟件開發(fā)商們都自己組件或雇傭了專門的人員來檢測已經(jīng)推廣應(yīng)用的軟件隱含的漏洞隱患，一旦發(fā)現(xiàn)漏洞，會以服務(wù)包的形式發(fā)布相應(yīng)的補(bǔ)丁程序。所以定期查看下載、安裝最新公布的補(bǔ)丁是非常必要的。但需要按照相應(yīng)的邏輯順序使用這些補(bǔ)丁包，避免導(dǎo)致一些文件運(yùn)行的錯誤。另外，也要對網(wǎng)絡(luò)中安裝的防毒軟件定期升級，有效的防止新病毒對網(wǎng)絡(luò)的破壞。 切入點(diǎn)七：實(shí)時(shí)檢查安全設(shè)備及端口 企業(yè)與外部網(wǎng)絡(luò)進(jìn)行通信，安裝防火墻等安全設(shè)備是必須的。防火墻等安全設(shè)備既能將您公司的計(jì)算機(jī)與來自外部網(wǎng)絡(luò)的非法入侵者隔離開來，實(shí)現(xiàn)物理隔離，又能保證與外部通訊的通暢。 為了保護(hù)企業(yè)內(nèi)網(wǎng)的安全，應(yīng)當(dāng)確定防火墻等安全設(shè)備不會向外界開放任何IP地址，特別是服務(wù)器及客戶端的IP地址必須隱藏起來。IP地址開放的越多，網(wǎng)絡(luò)受到攻擊的可能性就越大，服務(wù)器就越會危險(xiǎn)。當(dāng)然，至少要有一個(gè)IP地址對外進(jìn)行通訊，如果有Web服務(wù)器或郵件服務(wù)器，它們的IP也是要公開的。 一個(gè)IP地址與外界的通訊是通過端口來實(shí)現(xiàn)的，而端口有很多很多，因此通過軟件來查看端口，排查您不必要開放的端口，將其屏蔽掉，盡可能的減少由于操作系統(tǒng)或其他軟件漏洞而帶來的危機(jī)。 本文出自：億恩科技【www.ypdoo.com.cn】 服務(wù)器租用/服務(wù)器托管中國五強(qiáng)！虛擬主機(jī)域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM] |
0371-60135900
京公網(wǎng)安備41019702002023號
香港服務(wù)器租用
美國服務(wù)器租用
電信骨干機(jī)房
聯(lián)通骨干機(jī)房
