網(wǎng)絡(luò)安全技巧：五大技巧保障網(wǎng)絡(luò)安全

申請(qǐng)免費(fèi)試用、咨詢(xún)電話(huà)：400-8352-114

網(wǎng)絡(luò)安全技巧1．網(wǎng)絡(luò)分段

網(wǎng)絡(luò)分段通常被認(rèn)為是控制網(wǎng)絡(luò)廣播風(fēng)暴的一種基本手段，但其實(shí)也是保證網(wǎng)絡(luò)安全的一項(xiàng)重要措施。其目的就是將非法用戶(hù)與敏感的網(wǎng)絡(luò)資源相互隔離，從而防止可能的非法偵聽(tīng)，網(wǎng)絡(luò)分段可分為物理分段和邏輯分段兩種方式。

目前，海關(guān)的局域網(wǎng)大多采用以交換機(jī)為中心、路由器為邊界的網(wǎng)絡(luò)格局，應(yīng)重點(diǎn)挖掘中心交換機(jī)的訪(fǎng)問(wèn)控制功能和三層交換功能，綜合應(yīng)用物理分段與邏輯分段兩種方法，來(lái)實(shí)現(xiàn)對(duì)局域網(wǎng)的安全控制。例如：在海關(guān)系統(tǒng)中普遍使用的DEC MultiSwitch 900的入侵檢測(cè)功能，其實(shí)就是一種基于MAC地址的訪(fǎng)問(wèn)控制，也就是上述的基于數(shù)據(jù)鏈路層的物理分段。

網(wǎng)絡(luò)安全技巧2．以交換式集線(xiàn)器代替共享式集線(xiàn)器

對(duì)局域網(wǎng)的中心交換機(jī)進(jìn)行網(wǎng)絡(luò)分段后，以太網(wǎng)偵聽(tīng)的危險(xiǎn)仍然存在。這是因?yàn)榫W(wǎng)絡(luò)最終用戶(hù)的接入往往是通過(guò)分支集線(xiàn)器而不是中心交換機(jī)，而使用最廣泛的分支集線(xiàn)器通常是共享式集線(xiàn)器。這樣，當(dāng)用戶(hù)與主機(jī)進(jìn)行數(shù)據(jù)通信時(shí)，兩臺(tái)機(jī)器之間的數(shù)據(jù)包（稱(chēng)為單播包Unicast Packet）還是會(huì)被同一臺(tái)集線(xiàn)器上的其他用戶(hù)所偵聽(tīng)。

一種很危險(xiǎn)的情況是：用戶(hù)TELNET到一臺(tái)主機(jī)上，由于TELNET程序本身缺乏加密功能，用戶(hù)所鍵入的每一個(gè)字符（包括用戶(hù)名、密碼等重要信息），都將被明文發(fā)送，這就給黑客提供了機(jī)會(huì)。 因此，應(yīng)該以交換式集線(xiàn)器代替共享式集線(xiàn)器，使單播包僅在兩個(gè)節(jié)點(diǎn)之間傳送，從而防止非法偵聽(tīng)。當(dāng)然，交換式集線(xiàn)器只能控制單播包而無(wú)法控制廣播包（Broadcast Packet）和多播包（Multicast Packet）。所幸的是，廣播包和多播包內(nèi)的關(guān)鍵信息，要遠(yuǎn)遠(yuǎn)少于單播包。

網(wǎng)絡(luò)安全技巧3．VLAN的劃分

為了克服以太網(wǎng)的廣播問(wèn)題，除了上述方法外，還可以運(yùn)用VLAN（虛擬局域網(wǎng)）技術(shù)，將以太網(wǎng)通信變?yōu)辄c(diǎn)到點(diǎn)通信，防止大部分基于網(wǎng)絡(luò)偵聽(tīng)的入侵。

目前的VLAN技術(shù)主要有三種：基于交換機(jī)端口的VLAN、基于節(jié)點(diǎn)MAC地址的VLAN和基于應(yīng)用協(xié)議的VLAN。基于端口的VLAN雖然稍欠靈活，但卻比較成熟，在實(shí)際應(yīng)用中效果顯著，廣受歡迎?；贛AC地址的VLAN為移動(dòng)計(jì)算提供了可能性，但同時(shí)也潛藏著遭受MAC欺詐攻擊的隱患。而基于協(xié)議的VLAN，理論上非常理想，但實(shí)際應(yīng)用卻尚不成熟。

在集中式網(wǎng)絡(luò)環(huán)境下，我們通常將中心的所有主機(jī)系統(tǒng)集中到一個(gè)VLAN里，在這個(gè)VLAN里不允許有任何用戶(hù)節(jié)點(diǎn)，從而較好地保護(hù)敏感的主機(jī)資源。在分布式網(wǎng)絡(luò)環(huán)境下，我們可以按機(jī)構(gòu)或部門(mén)的設(shè)置來(lái)劃分VLAN。各部門(mén)內(nèi)部的所有服務(wù)器和用戶(hù)節(jié)點(diǎn)都在各自的VLAN內(nèi)，互不侵?jǐn)_。

VLAN內(nèi)部的連接采用交換實(shí)現(xiàn)，而VLAN與VLAN之間的連接則采用路由實(shí)現(xiàn)。目前，大多數(shù)的交換機(jī)（包括海關(guān)內(nèi)部普遍采用的DEC MultiSwitch 900）都支持RIP和OSPF這兩種國(guó)際標(biāo)準(zhǔn)的路由協(xié)議。如果有特殊需要，必須使用其他路由協(xié)議（如CISCO公司的EIGRP或支持DECnet的IS－IS），也可以用外接的多以太網(wǎng)口路由器來(lái)代替交換機(jī)，實(shí)現(xiàn)VLAN之間的路由功能。當(dāng)然，這種情況下，路由轉(zhuǎn)發(fā)的效率會(huì)有所下降。

無(wú)論是交換式集線(xiàn)器還是VLAN交換機(jī)，都是以交換技術(shù)為核心，它們?cè)诳刂茝V播、防止黑客上相當(dāng)有效，但同時(shí)也給一些基于廣播原理的入侵監(jiān)控技術(shù)和協(xié)議分析技術(shù)帶來(lái)了麻煩。因此，如果局域網(wǎng)內(nèi)存在這樣的入侵監(jiān)控設(shè)備或協(xié)議分析設(shè)備，就必須選用特殊的帶有SPAN（Switch Port Analyzer）功能的交換機(jī)。這種交換機(jī)允許系統(tǒng)管理員將全部或某些交換端口的數(shù)據(jù)包映射到指定的端口上，提供給接在這一端口上的入侵監(jiān)控設(shè)備或協(xié)議分析設(shè)備。筆者在廈門(mén)海關(guān)外部網(wǎng)設(shè)計(jì)中，就選用了Cisco公司的具備SPAN功能的Catalyst系列交換機(jī)，既得到了交換技術(shù)的好處，又使原有的Sniffer協(xié)議分析儀“英雄有用武之地”。

網(wǎng)絡(luò)安全技巧4.廣域網(wǎng)安全

由于廣域網(wǎng)大多采用公網(wǎng)來(lái)進(jìn)行數(shù)據(jù)傳輸，信息在廣域網(wǎng)上傳輸時(shí)被截取和利用的可能性就比局域網(wǎng)要大得多。如果沒(méi)有專(zhuān)用的軟件對(duì)數(shù)據(jù)進(jìn)行控制，只要使用Internet上免費(fèi)下載的“包檢測(cè)”工具軟件，就可以很容易地對(duì)通信數(shù)據(jù)進(jìn)行截取和破譯。

因此，必須采取手段，使得在廣域網(wǎng)上發(fā)送和接收信息時(shí)能夠保證：

①除了發(fā)送方和接收方外，其他人是無(wú)法知悉的（隱私性）；

②傳輸過(guò)程中不被篡改（真實(shí)性）；

③發(fā)送方能確知接收方不是假冒的（非偽裝性）；

④發(fā)送方不能否認(rèn)自己的發(fā)送行為（不可抵賴(lài)性）。

為了達(dá)到以上安全目的，廣域網(wǎng)通常采用以下安全解決辦法：

網(wǎng)絡(luò)安全技巧5.加密技術(shù)

加密型網(wǎng)絡(luò)安全技術(shù)的基本思想是不依賴(lài)于網(wǎng)絡(luò)中數(shù)據(jù)通道的安全性來(lái)實(shí)現(xiàn)網(wǎng)絡(luò)系統(tǒng)的安全，而是通過(guò)對(duì)網(wǎng)絡(luò)數(shù)據(jù)的加密來(lái)保障網(wǎng)絡(luò)的安全可靠性。數(shù)據(jù)加密技術(shù)可以分為三類(lèi)，即對(duì)稱(chēng)型加密、不對(duì)稱(chēng)型加密和不可逆加密。

其中不可逆加密算法不存在密鑰保管和分發(fā)問(wèn)題，適用于分布式網(wǎng)絡(luò)系統(tǒng)，但是其加密計(jì)算量相當(dāng)可觀(guān)，所以通常用于數(shù)據(jù)量有限的情形下使用。計(jì)算機(jī)系統(tǒng)中的口令就是利用不可逆加密算法加密的。近年來(lái)，隨著計(jì)算機(jī)系統(tǒng)性能的不斷提高，不可逆加密算法的應(yīng)用逐漸增加，常用的如RSA公司的MD5和美國(guó)國(guó)家標(biāo)準(zhǔn)局的SHS。

在海關(guān)系統(tǒng)中廣泛使用的Cisco路由器，有兩種口令加密方式：Enable Secret和Enable Password。其中，Enable Secret就采用了MD5不可逆加密算法，因而目前尚未發(fā)現(xiàn)破解方法（除非使用字典攻擊法）。而Enable Password則采用了非常脆弱的加密算法（即簡(jiǎn)單地將口令與一個(gè)常數(shù)進(jìn)行XOR與或運(yùn)算），目前至少已有兩種破解軟件。因此，最好不用Enable Password。

網(wǎng)絡(luò)安全的設(shè)置技巧主要就是這幾個(gè)要點(diǎn)，除此之外，還需要廣大的網(wǎng)民在應(yīng)用網(wǎng)絡(luò)時(shí)加倍的小心，不要因?yàn)橐稽c(diǎn)誘惑或是疏忽就為自己惹禍上身。

 【推薦閱讀】

◆上網(wǎng)行為運(yùn)維管理專(zhuān)區(qū)

◆怎樣才算是一個(gè)合格的上網(wǎng)行為運(yùn)維工程師

◆上網(wǎng)行為運(yùn)維工作師需要什么樣的技能及素質(zhì)

◆網(wǎng)站上網(wǎng)行為運(yùn)維管理經(jīng)驗(yàn)探討和心得分享

◆網(wǎng)管軟件專(zhuān)區(qū)