- 相關(guān)推薦
圖示SAFE設(shè)計(jì)準(zhǔn)則:安全不是堆砌
思科公司制定的面向企業(yè)網(wǎng)絡(luò)的安全藍(lán)圖(SAFE)的主要目標(biāo)是，為用戶提供有關(guān)設(shè)計(jì)和實(shí)施安全網(wǎng)絡(luò)的最佳實(shí)踐信息。SAFE可作為正考慮其網(wǎng)絡(luò)安全性要求的網(wǎng)絡(luò)設(shè)計(jì)人員的指南。SAFE在網(wǎng)絡(luò)安全設(shè)計(jì)方面采用了深入防御的方式。這類設(shè)計(jì)的重點(diǎn)在于所預(yù)測(cè)出的威脅及減輕威脅的方法，而不是單純地“將防火墻放在這兒，將入侵檢測(cè)系統(tǒng)放在那兒”等。該策略帶來(lái)了一種安全分層方式，這樣，一個(gè)安全系統(tǒng)的故障就不大可能引發(fā)對(duì)整個(gè)網(wǎng)絡(luò)資源的損壞。SAFE以思科及其合作伙伴的產(chǎn)品為基礎(chǔ)。
設(shè)計(jì)原則
SAFE最大限度地模擬了當(dāng)今企業(yè)網(wǎng)絡(luò)的功能需求。實(shí)施決策取決于所需的網(wǎng)絡(luò)功能。而以下按重要順序列出的設(shè)計(jì)目標(biāo)則是決策制訂過(guò)程的指導(dǎo)準(zhǔn)則：
1 安全性和基于政策的攻擊緩解
2 整個(gè)基礎(chǔ)設(shè)施的安全實(shí)施（而非僅為具體安全設(shè)備）
3 安全性管理和報(bào)告
4 對(duì)關(guān)鍵網(wǎng)絡(luò)資源的用戶和管理員驗(yàn)證與授權(quán)
5 針對(duì)關(guān)鍵資源和子網(wǎng)的入侵檢測(cè)
6 對(duì)新興聯(lián)網(wǎng)應(yīng)用的支持
7 模塊概念
盡管大多數(shù)企業(yè)網(wǎng)絡(luò)隨企業(yè)不斷提高的IT要求而發(fā)展，SAFE體系結(jié)構(gòu)使用了環(huán)保型的模塊化方式。模塊化方式有兩種主要優(yōu)勢(shì)。首先，它允許體系結(jié)構(gòu)實(shí)現(xiàn)網(wǎng)絡(luò)各功能塊間的安全關(guān)系，其次，它讓設(shè)計(jì)者可逐個(gè)模塊地評(píng)估和實(shí)施安全性，而非試圖在一個(gè)階段就完成整個(gè)體系結(jié)構(gòu)。
圖1 SAFE第一層模塊
圖1為SAFE的第一層模塊。每塊代表一個(gè)功能區(qū)域�；ヂ�(lián)網(wǎng)接入服務(wù)供應(yīng)商（ISP）模塊不由企業(yè)實(shí)施，而是用于提供ISP為緩解某些攻擊而可能需要的特定安全功能。
第二層模塊如圖2所示，對(duì)每個(gè)功能區(qū)中的模塊進(jìn)行了展示，這些模塊在網(wǎng)絡(luò)中扮演特定角色，有特定的安全需求，但圖中模塊規(guī)模并不代表其在實(shí)際網(wǎng)絡(luò)中的大小。例如，代表最終用戶設(shè)備的構(gòu)建模塊可能包括80％的網(wǎng)絡(luò)設(shè)備。每個(gè)模塊的安全設(shè)計(jì)單獨(dú)描述，但作為整個(gè)企業(yè)設(shè)計(jì)的一部分加以驗(yàn)證。
圖2 企業(yè)SAFE分塊構(gòu)成圖
SAFE準(zhǔn)則
路由器目標(biāo)
路由器控制網(wǎng)絡(luò)間接入。它們向網(wǎng)絡(luò)廣播信息并過(guò)濾可以使用它們的人，它們是黑客潛在的最好朋友。路由器安全性是安全部署中的關(guān)鍵元素�？蓞⒖计渌嘘P(guān)路由器安全性的文件。這些文件提供了有關(guān)下列方面的更多細(xì)節(jié)：
遠(yuǎn)程通信網(wǎng)到路由器的接入; 簡(jiǎn)單網(wǎng)絡(luò)管理協(xié)議（SNMP）到路由器的接入; 通過(guò)使用終端接入控制器接入控制系統(tǒng)＋（TACACS＋）來(lái)控制到路由器的接入; 關(guān)閉不需要的服務(wù); 以適當(dāng)級(jí)別登錄;路由更新的驗(yàn)證。
交換機(jī)目標(biāo)
和路由器一樣，交換機(jī)（第2層和第3層）有自己的一套安全考慮。而與路由器不同的是，有關(guān)交換機(jī)安全風(fēng)險(xiǎn)及為減輕這些風(fēng)險(xiǎn)而應(yīng)采取的措施的公開(kāi)信息并不十分豐富。上一部分“路由器目標(biāo)”中描述的大多數(shù)安全技術(shù)均適用于交換機(jī)。此外，您應(yīng)采取以下預(yù)防措施：
1 無(wú)需中繼的端口應(yīng)將中繼設(shè)備置于關(guān)閉而非自動(dòng)。
2 確保中繼端口使用的虛擬LAN （VLAN）號(hào)不會(huì)在交換機(jī)中的其他地方使用。
3 將交換機(jī)上所有未用端口設(shè)置為第3層連接的VLAN。
4 避免將VLAN用作保護(hù)兩個(gè)子網(wǎng)間接入的唯一方式。
主機(jī)目標(biāo)
主機(jī)在攻擊中最有可能成為目標(biāo)，從安全角度來(lái)講，也是最難保護(hù)的。它們有眾多的硬件平臺(tái)、操作系統(tǒng)和應(yīng)用，均在不同的時(shí)間段要升級(jí)、補(bǔ)丁和修復(fù)。因?yàn)橹鳈C(jī)向提出請(qǐng)求的其他主機(jī)提供應(yīng)用服務(wù)，它們?cè)诰W(wǎng)絡(luò)中是高度可視的。
為保護(hù)主機(jī)，就必須密切注意系統(tǒng)中的每個(gè)組件。使系統(tǒng)保持與最新補(bǔ)丁、修復(fù)等的同步。此外，要注意這些補(bǔ)丁對(duì)其他系統(tǒng)組件的運(yùn)行有所影響，在對(duì)生產(chǎn)環(huán)境實(shí)施升級(jí)前，在測(cè)試系統(tǒng)上對(duì)其進(jìn)行評(píng)估。如不這樣做，補(bǔ)丁本身就可能導(dǎo)致拒絕服務(wù)（DoS）。
網(wǎng)絡(luò)目標(biāo)
最糟的攻擊是您無(wú)法中止的攻擊。分布式拒絕服務(wù)（DDoS）正是這樣一種攻擊。通過(guò)與其ISP合作，用戶才有希望挫敗這類攻擊。ISP可配置對(duì)該公司網(wǎng)站輸出接口的速率限制。
限制這類攻擊的方法之一是遵循RFC1918和RFC2827中列出的指導(dǎo)。RFC1918定義了保留專用且永遠(yuǎn)不應(yīng)在公共互聯(lián)網(wǎng)上看到的網(wǎng)絡(luò)。對(duì)于與互聯(lián)網(wǎng)相連的路由器上的輸入信息流，您可采用RFC1918和2827過(guò)濾來(lái)防止未授權(quán)信息流進(jìn)入公司網(wǎng)絡(luò)。在ISP實(shí)施后，該過(guò)濾能防止DDoS攻擊使用這些地址作為流經(jīng)WAN鏈路的源地址的信息包，從而在攻擊期間潛在地節(jié)約了帶寬�？傊�，如果全球的ISP均采取了RFC2827中的指導(dǎo)措施，源地址電子欺騙就會(huì)大大減少。此策略并未直接防止DDoS攻擊，而是防止這類攻擊破壞其源地址，這就會(huì)使跟蹤所攻擊網(wǎng)絡(luò)更方便。
應(yīng)用目標(biāo)
應(yīng)用（大多數(shù)時(shí)）是由人編寫的，因此易于發(fā)生更多錯(cuò)誤。這些錯(cuò)誤可以是輕微的——如導(dǎo)致您文件錯(cuò)誤打印的一個(gè)錯(cuò)誤，也可以是惡意的——如使您信用卡號(hào)碼經(jīng)由異步FTP在數(shù)據(jù)庫(kù)服務(wù)器上公布。入侵檢測(cè)系統(tǒng)（IDS）旨在發(fā)現(xiàn)惡意問(wèn)題，以及其他更常見(jiàn)的安全漏洞。思科建議將NIDS與HIDS系統(tǒng)組合起來(lái)——關(guān)鍵主機(jī)上設(shè)置HIDS、整個(gè)網(wǎng)絡(luò)采用NIDS——來(lái)實(shí)現(xiàn)全面的入侵檢測(cè)系統(tǒng)。
安全管理和報(bào)告
從體系結(jié)構(gòu)的角度來(lái)說(shuō)，提供網(wǎng)絡(luò)系統(tǒng)的帶外管理是適用于所有管理和報(bào)告策略的最好的第一步。設(shè)備應(yīng)盡可能地與這樣一個(gè)網(wǎng)絡(luò)建立直接本地連接，在無(wú)法實(shí)現(xiàn)的情況下（由于地理原因或系統(tǒng)相關(guān)問(wèn)題），設(shè)備應(yīng)經(jīng)由生產(chǎn)網(wǎng)絡(luò)上的一條專用加密隧道與其連接。確保帶外網(wǎng)絡(luò)自身不會(huì)帶來(lái)安全問(wèn)題。
大多數(shù)聯(lián)網(wǎng)設(shè)備可以發(fā)送系統(tǒng)日志數(shù)據(jù)，這些數(shù)據(jù)在對(duì)網(wǎng)絡(luò)問(wèn)題或安全威脅進(jìn)行糾錯(cuò)時(shí)極為重要。管理還指除記錄和報(bào)告外，管理員對(duì)某一設(shè)備所執(zhí)行的功能，可進(jìn)行安全配置。鑒于底層協(xié)議有自身的安全漏洞，應(yīng)最為小心地處理SNMP。配置變更管理是另一個(gè)與安全管理相關(guān)的問(wèn)題。當(dāng)一個(gè)網(wǎng)絡(luò)處于攻擊下，重要的是了解主要網(wǎng)絡(luò)設(shè)備的狀態(tài)以及所知道的最后一次修改發(fā)生的時(shí)間。
【圖示SAFE設(shè)計(jì)準(zhǔn)則:安全不是堆砌】相關(guān)文章：
力的圖示08-17
力的圖示教案示例08-17
《我不是弱小的》的教學(xué)設(shè)計(jì)08-15
力的圖示常見(jiàn)的錯(cuò)誤作法及分析08-17
《我不是最弱小的》的教學(xué)設(shè)計(jì)08-15
《我不是個(gè)好兒子》的教學(xué)設(shè)計(jì)08-14
《馬路不是游戲場(chǎng)》教學(xué)設(shè)計(jì)08-17
第三節(jié)力的圖示教案08-17
衛(wèi)生管理準(zhǔn)則08-12