·默认安装操作系统和应用程序
许多用户没有正确评价安装在他们的机器中的程序。Windows和IIS都安装了过剩的服务和危险样本。这种没有使用补丁的服务、样本程序和代码提供了攻击网站的手段。
·采用软弱的口令或者没有口令的账户
IIS使用一些内置的或者默认的账户。攻击者通常寻找这些账户。应该找出这些账户并且进行修改，如果不把这些账户从系统中删除的话。
·大量的开放端口
每一个访问者无论好坏都通过一个开放的端口访问网站或者系统。在默认状态下，Windows和IIS都比是继续需要配置了更多的开放端口。重要的是保持系统有最低数量的开放端口。关闭所有其它端口。
·Windows许可证登录服务溢出
通过向运行许可证登录服务的网站服务器发特殊格式的消息，攻击者能够利用没有检查的缓存。这将引起服务故障，为黑客创造一个以“系统”权限在这台服务器上执行代码的大门。
·微软服务器消息块(SMB)
Windows使用服务器消息块协议共享文件和打印机和进行计算机之间的沟通。黑客的服务器消息块服务器能够利用这个功能以“系统”权限在客户机上执行任意代码。
·ISAPI扩展缓存溢出
一些ISAPI(互联网服务器应用程序编程接口)扩展是与IIS一起自动安装的。ISAPI实际上是动态连接库，扩展IIS服务器的功能。像idq.dll等一些动态连接库包含编程错误，能够让攻击者向ISAPI扩展发送数据，引起拒绝服务攻击。这样，攻击者就能够完全控制这个网络服务器。
·Unicode安全漏洞(Web服务器文件夹遍历)
通过向IIS服务器发送一个精心制作的包含非法Unicode 队列的URL，攻击者能够绕过正常的IIS安全检查。强迫服务器离开一个目录并且执行任意的脚本。
ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的进行。
基于ARP协议的这一工作特性，黑客向对方计算机不断发送有欺诈性质的ARP数据包，数据包内包含有与当前设备重复的Mac地址，使对方在回应报文时，由于简单的地址重复错误而导致不能进行正常的网络通信。一般情况下，受到ARP攻击的计算机会出现两种现象:
1.不断弹出“本机的XXX段硬件地址与网络中的XXX段地址冲突”的对话框。
2.计算机不能正常上网，出现网络中断的症状。
因为这种攻击是利用ARP请求报文进行“欺骗”的，所以防火墙会误以为是正常的请求数据包，不予拦截。因此普通的防火墙很难抵挡这种攻击。
1. sniffit 既是个优秀的管理工具也是个危险的侵入工具。可被管理员用来检查网络中到底传输了些什么，学习各种tcp/ip协议的工作方法，也能被攻击者利用，主要是记录密码。
2. 工作原理： 为什么能检查密码和不是传送给自己的数据呢？
在典型的LAN环境中，（指共享式HUB上连接的两个用户A和B），基于共享式HUB的工作原理，用户A发出的所有tcp/ip请求在HUB的每个端口上广播，正常情况下，B不接收这些目标地址不是自己的数据，但是一旦我们在B机上运行sniffit一类的监听工具，就能置网卡于第三种叫混杂模式的状态下（前两种为tcp,udp模式），在该状态下，网卡接受所有的数据，不管是发给自己的，还是不发给自己的，都被网卡接收并直接传给最上层应用层，交由相应的软件如sniffit处理。
3。常见用法
a. 检测telnet/ftp/pop3密码：
#sniffit -a -A. -p 23 -b -t 192.168.11.@
#sniffit -a -A. -p 110 -b -t 192.168.11.1 (pop3 server)
b. 查看http头信息
#sniffit -a -A. -p 80 -b -s 1.2.3.4 (1.2.3.4是防火墙外部地址）
c. 记录输出到文件
#sniffit -p 21 -l 0 -b -s 192.168.11.2 &
d. 查看icmp消息
#sniffit -p icmp -b -s 192.168.1.2
e. 交互式界面
#sniffit -i
f. 检查本网段内发出名字广播的机器
#sniffit -a -A. -P udp -p 137 -b -s 192.168.11.255
g. 注意防火墙的情况
若要检查防火墙内部网卡上的包eth1，可能你要设置 -F eth1参数，因为默认地sniffit 假设为eth0
4.哪些信息是敏感的和易被检测的？
telnet/ftp/pop3的密码都是明文传送的，都是易被检测的，apache的基本方式的用户名/密码认证也是UU编码后的口令，也是易被检测的。
5. 怎样阻止？
硬件： 不要用普通的共享式HUB，用交换机来代替它，目前只有交换机和路由器能阻止sniffit的作用
软件： 用带加密功能的tcp/ip连接，象ssh/scp全面代替telnet/ftp/pop3，用MD5方式的apache认证
6。作用范围:
仅在逻辑子网内有效，不能跨子网，因为广播不被路由器传递，但若是在服务器上运行sniffit，则任何方法均无效，对防火墙来说，通常sniffit攻击是第二层攻击，就是先得到一个普通帐号进入再探寻更多的口令。
7. 怎样判断是否有人在用sniffit?
可检测网络接口（ifconfig)看是否处于混杂模式来确认是否被侵入并安装了sniffit，只限本机。
服务集标识符(SSID)
通过对多个无线接入点AP(Access Point)设置不同的SSID，并要求无线工作站出示正确的SSID才能访问AP，这样就可以允许不同群组的用户接入，并对资源访问的权限进行区别限制。因此可以认为SSID是一个简单的口令，从而提供一定的安全，但如果配置AP向外广播其SSID，那么安全程度还将下降。由于一般情况下，用户自己配置客户端系统，所以很多人都知道该SSID，很容易共享给非法用户。目前有的厂家支持"任何(ANY)"SSID方式，只要无线工作站在任何AP范围内，客户端都会自动连接到AP，这将跳过SSID安全功能。
物理地址过滤(MAC)
由于每个无线工作站的网卡都有唯一的物理地址，因此可以在AP中手工维护一组允许访问的MAC地址列表，实现物理地址过滤。这个方案要求AP 中的MAC地址列表必需随时更新，可扩展性差;而且MAC地址在理论上可以伪造，因此这也是较低级别的授权认证。物理地址过滤属于硬件认证，而不是用户认证。这种方式要求AP中的MAC地址列表必需随时更新，目前都是手工操作;如果用户增加，则扩展能力很差，因此只适合于小型网络规模。
连线对等保密(WEP)
在链路层采用RC4对称加密技术，用户的加密密钥必须与AP的密钥相同时才能获准存取网络的资源，从而防止非授权用户的监听以及非法用户的访问。WEP提供了40位(有时也称为64位)和128位长度的密钥机制，但是它仍然存在许多缺陷，例如一个服务区内的所有用户都共享同一个密钥，一个用户丢失钥匙将使整个网络不安全。而且40位的钥匙在今天很容易被破解;钥匙是静态的，要手工维护，扩展能力差。目前为了提高安全性，建议采用128位加密钥匙。
Wi-Fi保护接入(WPA)
WPA(Wi-Fi Protected Access)是继承了WEP基本原理而又解决了WEP缺点的一种新技术。由于加强了生成加密密钥的算法，因此即便收集到分组信息并对其进行解析，也几乎无法计算出通用密钥。其原理为根据通用密钥，配合表示电脑MAC地址和分组信息顺序号的编号，分别为每个分组信息生成不同的密钥。然后与WEP一样将此密钥用于RC4加密处理。通过这种处理，所有客户端的所有分组信息所交换的数据将由各不相同的密钥加密而成。无论收集到多少这样的数据，要想破解出原始的通用密钥几乎是不可能的。WPA还追加了防止数据中途被篡改的功能和认证功能。由于具备这些功能，WEP中此前倍受指责的缺点得以全部解决。WPA不仅是一种比WEP更为强大的加密方法，而且有更为丰富的内涵。作为802.11i标准的子集，WPA包含了认证、加密和数据完整性校验三个组成部分，是一个完整的安全性方案。
国家标准(WAPI)
WAPI(WLAN Authenticationand Privacy Infrastructure)，即无线局域网鉴别与保密基础结构，它是针对IEEE802.11中WEP协议安全问题，在中国无线局域网国家标准 GB15629.11中提出的WLAN安全解决方案。同时本方案已由ISO/IEC授权的机构IEEE Registration Authority审查并获得认可。它的主要特点是采用基于公钥密码体系的证书机制，真正实现了移动终端(MT)与无线接入点(AP)间双向鉴别。用户只要安装一张证书就可在覆盖WLAN的不同地区漫游，方便用户使用。与现有计费技术兼容的服务，可实现按时计费、按流量计费、包月等多种计费方式。AP设置好证书后，无须再对后台的AAA服务器进行设置，安装、组网便捷，易于扩展，可满足家庭、企业、运营商等多种应用模式。
端口访问控制技术(802.1x)
该技术也是用于无线局域网的一种增强性网络安全解决方案。当无线工作站STA与无线访问点AP关联后，是否可以使用AP的服务要取决于802.1x的认证结果。如果认证通过，则AP为STA打开这个逻辑端口，否则不允许用户上网。802.1x要求无线工作站安装802.1x客户端软件，无线访问点要内嵌802.1x认证代理，同时它还作为Radius客户端，将用户的认证信息转发给Radius服务器。802.1x除提供端口访问控制能力之外，还提供基于用户的认证系统及计费，特别适合于公共无线接入解决方案。
一、引 言
随着信息化进程的深入和互联网的快速发展，网络化已经成为企业信息化的发展大趋势，信息资源也得到最大程度的共享。但是，紧随信息化发展而来的网络安全问题日渐凸出，网络安全问题已成为信息时代人类共同面临的挑战，网络信息安全问题成为当务之急，如果不很好地解决这个问题，必将阻碍信息化发展的进程。
二、安全攻击、安全机制和安全服务
ITU-T X.800标准将我们常说的“网络安全（networksecurity）”进行逻辑上的分别定义，即安全攻击(security attack)是指损害机构所拥有信息的安全的任何行为；安全机制（security mechanism）是指设计用于检测、预防安全攻击或者恢复系统的机制；安全服务（security service）是指采用一种或多种安全机制以抵御安全攻击、提高机构的数据处理系统安全和信息传输安全的服务。
三、网络安全防范体系框架结构
为了能够有效了解用户的安全需求，选择各种安全产品和策略，有必要建立一些系统的方法来进行网络安全防范。网络安全防范体系的科学性、可行性是其可顺利实施的保障。图1给出了基于DISSP扩展的一个三维安全防范技术体系框架结构。第一维是安全服务，给出了八种安全属性（ITU-T REC-X.800-199103-I）。第二维是系统单元，给出了信息网络系统的组成。第三维是结构层次，给出并扩展了国际标准化组织ISO的开放系统互联（OSI）模型。
框架结构中的每一个系统单元都对应于某一个协议层次，需要采取若干种安全服务才能保证该系统单元的安全。网络平台需要有网络节点之间的认证、访问控制，应用平台需要有针对用户的认证、访问控制，需要保证数据传输的完整性、保密性，需要有抗抵赖和审计的功能，需要保证应用系统的可用性和可靠性。针对一个信息网络系统，如果在各个系统单元都有相应的安全措施来满足其安全需求，则我们认为该信息网络是安全的。
四、网络安全防范体系层次
作为全方位的、整体的网络安全防范体系也是分层次的，不同层次反映了不同的安全问题，根据网络的应用现状情况和网络的结构，我们将安全防范体系的层次划分为物理层安全、系统层安全、网络层安全、应用层安全和安全管理。
1．物理环境的安全性（物理层安全）
该层次的安全包括通信线路的安全，物理设备的安全，机房的安全等。物理层的安全主要体现在通信线路的可靠性（线路备份、网管软件、传输介质），软硬件设备安全性（替换设备、拆卸设备、增加设备），设备的备份，防灾害能力、防干扰能力，设备的运行环境（温度、湿度、烟尘），不间断电源保障，等等。
2．操作系统的安全性（系统层安全）
该层次的安全问题来自网络内使用的操作系统的安全，如Windows NT，Windows 2000等。主要表现在三方面，一是操作系统本身的缺陷带来的不安全因素，主要包括身份认证、访问控制、系统漏洞等。二是对操作系统的安全配置问题。三是病毒对操作系统的威胁。
3．网络的安全性（网络层安全）
该层次的安全问题主要体现在网络方面的安全性，包括网络层身份认证，网络资源的访问控制，数据传输的保密与完整性，远程接入的安全，域名系统的安全，路由系统的安全，入侵检测的手段，网络设施防病毒等。
4．应用的安全性（应用层安全）
该层次的安全问题主要由提供服务所采用的应用软件和数据的安全性产生，包括Web服务、电子邮件系统、DNS等。此外，还包括病毒对系统的威胁。
5．管理的安全性（管理层安全）
安全管理包括安全技术和设备的管理、安全管理制度、部门与人员的组织规则等。管理的制度化极大程度地影响着整个网络的安全，严格的安全管理制度、明确的部门安全职责划分、合理的人员角色配置都可以在很大程度上降低其它层次的安全漏洞。
五、网络安全防范体系设计准则
根据防范安全攻击的安全需求、需要达到的安全目标、对应安全机制所需的安全服务等因素，参照SSE-CMM("系统安全工程能力成熟模型")和ISO17799(信息安全管理标准)等国际标准，综合考虑可实施性、可管理性、可扩展性、综合完备性、系统均衡性等方面，网络安全防范体系在整体设计过程中应遵循以下9项原则：
1．网络信息安全的木桶原则
网络信息安全的木桶原则是指对信息均衡、全面的进行保护。“木桶的最大容积取决于最短的一块木板”。网络信息系统是一个复杂的计算机系统，它本身在物理上、操作上和管理上的种种漏洞构成了系统的安全脆弱性，尤其是多用户网络系统自身的复杂性、资源共享性使单纯的技术保护防不胜防。攻击者使用的“最易渗透原则”，必然在系统中最薄弱的地方进行攻击。因此，充分、全面、完整地对系统的安全漏洞和安全威胁进行分析，评估和检测（包括模拟攻击）是设计信息安全系统的必要前提条件。安全机制和安全服务设计的首要目的是防止最常用的攻击手段，根本目的是提高整个系统的"安全最低点"的安全性能。
2．网络信息安全的整体性原则
要求在网络发生被攻击、破坏事件的情况下，必须尽可能地快速恢复网络信息中心的服务，减少损失。因此，信息安全系统应该包括安全防护机制、安全检测机制和安全恢复机制。安全防护机制是根据具体系统存在的各种安全威胁采取的相应的防护措施，避免非法攻击的进行。安全检测机制是检测系统的运行情况，及时发现和制止对系统进行的各种攻击。安全恢复机制是在安全防护机制失效的情况下，进行应急处理和尽量、及时地恢复信息，减少供给的破坏程度。
3．安全性评价与平衡原则
对任何网络，绝对安全难以达到，也不一定是必要的，所以需要建立合理的实用安全性与用户需求评价与平衡体系。安全体系设计要正确处理需求、风险与代价的关系，做到安全性与可用性相容，做到组织上可执行。评价信息是否安全，没有绝对的评判标准和衡量指标，只能决定于系统的用户需求和具体的应用环境，具体取决于系统的规模和范围，系统的性质和信息的重要程度。
4．标准化与一致性原则
系统是一个庞大的系统工程，其安全体系的设计必须遵循一系列的标准，这样才能确保各个分系统的一致性，使整个系统安全地互联互通、信息共享。
5．技术与管理相结合原则
安全体系是一个复杂的系统工程，涉及人、技术、操作等要素，单靠技术或单靠管理都不可能实现。因此，必须将各种安全技术与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。
6．统筹规划，分步实施原则
由于政策规定、服务需求的不明朗，环境、条件、时间的变化，攻击手段的进步，安全防护不可能一步到位，可在一个比较全面的安全规划下，根据网络的实际需要，先建立基本的安全体系，保证基本的、必须的安全性。随着今后随着网络规模的扩大及应用的增加，网络应用和复杂程度的变化，网络脆弱性也会不断增加，调整或增强安全防护力度，保证整个网络最根本的安全需求。
7．等级性原则
等级性原则是指安全层次和安全级别。良好的信息安全系统必然是分为不同等级的，包括对信息保密程度分级，对用户操作权限分级，对网络安全程度分级（安全子网和安全区域），对系统实现结构的分级（应用层、网络层、链路层等），从而针对不同级别的安全对象，提供全面、可选的安全算法和安全体制，以满足网络中不同层次的各种实际需求。
8．动态发展原则
要根据网络安全的变化不断调整安全措施，适应新的网络环境，满足新的网络安全需求。
9．易操作性原则
首先，安全措施需要人为去完成，如果措施过于复杂，对人的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。
六、结束语
由于互联网络的开放性和通信协议的安全缺陷，以及在网络环境中数据信息存储和对其访问与处理的分布性特点，网上传输的数据信息很容易泄露和被破坏，网络受到的安全攻击非常严重，因此建立有效的网络安全防范体系就更为迫切。实际上，保障网络安全不但需要参考网络安全的各项标准以形成合理的评估准则，更重要的是必须明确网络安全的框架体系、安全防范的层次结构和系统设计的基本原则，分析网络系统的各个不安全环节，找到安全漏洞，做到有的放矢。
现在Internet上基于网络层上的黑客攻击越来越普遍，成为网络安全的一大隐患。其实，路由器对于这种攻击也并非完全无能为力，这里就简单介绍几种在Cisco路由器上所能实现的防御手段： 1．对于D.O.S Attack的防范 D.O.S攻击（Deny Of Service）基于TCP协议上三次握手机制进行的攻击手段。TCP协议是面向用户的可靠传输协议，即：在实际传输数据之前，先由发起方（用户）发出一个请求，接受方（服务器）接到这个请求之后，向发起方发出一个确认请求，收到发起方进一步确认之后，才开始实际的数据传输。D.O.S Attack根据这一机制，由黑客通过软件的方法修改自己的源IP地址，向某一服务器发出请求。当服务器向该IP地址发出确认请求之后，由于这个地址是假冒的，所以永远都得不到第三次的请求确认，于是这个中断就被挂起。当黑客在短时间内发起成千上万个这样的请求之后，所有网络资源很快就会被耗尽。同时，所有正常的服务请求也没有资源可以做出应答，造成网络瘫痪。 在Cisco路由器上，通过几种方式进行侦测、避免： 一、启用service tcp-keepalive-in和schedule process-watchdog terminate。目的是：建立看门狗进程，检查已建立的tcp连接，如果发生不激活或者长时间挂起的情况，中断这样的连接。 二、当发现路由器上已经发生异常情况以后，no ip source-route，关闭对于源ip地址的路由检查，避免不必要的资源占用。（请注意，如果在正常情况下，就关闭源路由跟踪的话，容易受到IP电子欺诈。）同时，开启schedule interval xxx（毫秒）。这样就可以硬性指定，为同一个端口中断提供服务时必须间隔一段时间。保证在这个间隔内可以为其他请求提供服务，使网络不至于完全瘫痪。 2．反IP地址欺骗 很多网络攻击依赖于攻击者伪造或者“欺骗”IP数据包的源地址。如果能够在任何可行的地方组织欺骗是有很价值的。这里可以考虑使用访问控制列表的方法，做法有很多种，但是目的是简单的，丢弃那些明显不属于这个接口来源的IP数据包。还有一种可能更加有效的方法，就是用RPF检查。前提是必须是路由对称的情况下（就是A-B的路径必须也是B-A的路径），而且必须支持CEF转发以及相对应的IOS版本支持。它是通过ip verify unicast rpf来启用的，但是之前必须先启用ip cef。 3．关闭广域网上一些不必要的服务 在Cisco路由器上，有很多服务广域网上根本不必要，但是仍然默认开启，反而造成了安全漏洞，给黑客以可乘之机。所以建议予以手工关闭。 例如：利用访问控制列表（acl）只开启实际使用的tcp、udp端口。同时，执行no service tcp-small-servers, no service udp-small-servers。这些tcp、udp协议上小服务，平时不常使用，但是这些端口容易被人利用，所以应该关闭。 No ip finger，finger协议主要在unix下使用，类似于Cisco IOS中的show user，如果开启容易被黑客看到连接用户，进一步猜测弱密码，进行合法登陆。如果需要防范密码猜测的风险，在路由器上就应该首先把这个服务关闭。 在拨号线路上，一般都采用transport input none，关闭诸如telnet、rlogin等易受攻击的后台程序。 4．No ip direct-broadcast Ping of death攻击据说最早源于俄罗斯，就是通过许多用户同时对同一目的进行ping，造成flood攻击的效果。但是在实战上效果并不明显。因为在flood的同时，攻击方也必须付出同样的资源。因此，有人对这种攻击手段进行了优化。攻击的目的端从某一特定的ip地址，转换成了类如192.10.6.255这样一个网段广播地址。使这个网段内所有的机器都对这样的请求做出应答，从而达到事半功倍的效果。 对应手段为：在路由器广域网接口no ip direct-broadcast，这样除了隔离255.255.255.255的全广播以外，对于类似192.10.6.255网段广播地址也予以隔离，可以大大减少了被flood攻击的风险，也能减少主干线路上不必要的流量。或者，在完成网络上的连通性测试（ping测试）之后，利用访问控制列表，关闭ICMP协议中的echo和echo reply。 当然，路由器毕竟不是专门的网络安全设备，它所能做的也仅仅能够减少一些基于网络层上的攻击所带来的负面影响，但绝不能完全免疫。而且，在实现上述功能的同时，也是以牺牲部分CPU与内存资源为代价的。此外，它对于一些诸如登陆攻击、所有基于应用层上的攻击手段等则完全无能为力。如果发生这样的问题，还是必须要借助防火墙等专门的安全设备和在系统上进行严格设置等手段配合进行。
对于大多数企业局域网来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。 经过恰当的设置，边缘路由器能够把几乎所有的最顽固的坏分子挡在网络之外。如果你愿意的话，这种路由器还能够让好人进入网络。不过，没有恰当设置的路由器只是比根本就没有安全措施稍微好一点。 在下列指南中，我们将研究一下你可以用来保护网络安全的9个方便的步骤。这些步骤能够保证你拥有一道保护你的网络的砖墙，而不是一个敞开的大门。 1.修改默认的口令！ 据国外调查显示，80%的安全突破事件是由薄弱的口令引起的。网络上有大多数路由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。SecurityStats.com网站维护一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。 2.关闭IP直接广播（IP Directed Broadcast） 你的服务器是很听话的。让它做什么它就做什么，而且不管是谁发出的指令。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。 参考你的路由器信息文件，了解如何关闭IP直接广播。例如，“Central（config）#no ip source-route”这个指令将关闭思科路由器的IP直接广播地址。 3.如果可能，关闭路由器的HTTP设置 正如思科的技术说明中简要说明的那样，HTTP使用的身份识别协议相当于向整个网络发送一个未加密的口令。然而，遗憾的是，HTTP协议中没有一个用于验证口令或者一次性口令的有效规定。 虽然这种未加密的口令对于你从远程位置（例如家里）设置你的路由器也许是非常方便的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令!如果你必须远程管理路由器，你一定要确保使用SNMPv3以上版本的协议，因为它支持更严格的口令。 4.封锁ICMP ping请求 ping的主要目的是识别目前正在使用的主机。因此，ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”（script kiddies）。 请注意，这样做实际上并不能保护你的网络不受攻击，但是，这将使你不太可能成为一个攻击目标。 5.关闭IP源路由 IP协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。这项功能最常用的用途是为了侦察目的对你的网络进行镜像，或者用于攻击者在你的专用网络中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。 6.确定你的数据包过滤的需求
封锁端口有两项理由。其中之一根据你对安全水平的要求对于你的网络是合适的。 对于高度安全的网络来说，特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。例如，用于web通信的端口80和用于SMTP的110/25端口允许来自指定地址的访问，而所有其它端口和地址都可以关闭。 大多数网络将通过使用“按拒绝请求实施过滤”的方案享受可以接受的安全水平。当使用这种过滤政策时，可以封锁你的网络没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的网络的安全性。例如，封锁139端口和445（TCP和UDP）端口将使黑客更难对你的网络实施穷举攻击。封锁31337（TCP和UDP）端口将使Back Orifice木马程序更难攻击你的网络。 这项工作应该在网络规划阶段确定，这时候安全水平的要求应该符合网络用户的需求。查看这些端口的列表，了解这些端口正常的用途。 7.建立准许进入和外出的地址过滤政策 在你的边界路由器上建立政策以便根据IP地址过滤进出网络的违反安全规定的行为。除了特殊的不同寻常的案例之外，所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如，192.168.0.1这个地址也许通过这个路由器访问互联网是合法的。但是，216.239.55.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。 相反，来自互联网外部的通信的源地址应该不是你的内部网络的一部分。因此，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。 最后，拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器。这包括回送地址127.0.0.1或者E类（class E）地址段240.0.0.0-254.255.255.255。 8.保持路由器的物理安全 从网络嗅探的角度看，路由器比集线器更安全。这是因为路由器根据IP地址智能化地路由数据包，而集线器相所有的节点播出数据。如果连接到那台集线器的一个系统将其网络适配器置于混乱的模式，它们就能够接收和看到所有的广播，包括口令、POP3通信和Web通信。 然后，重要的是确保物理访问你的网络设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。 9.花时间审阅安全记录 审阅你的路由器记录（通过其内置的防火墙功能）是查出安全事件的最有效的方法，无论是查出正在实施的攻击还是未来攻击的征候都非常有效。利用出网的记录，你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。用心的安全管理员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。 此外，一般来说，路由器位于你的网络的边缘，并且允许你看到进出你的网络全部通信的状况。
伴随网络的迅速发展，个人数据和重要企业资源等信息被暴露的现象已经越来越普遍，企业面临因网络受黑客攻击而遭到不同程度破坏的风险，使得IT主管肩上的责任越来越重。那么哪些是IT主管最常见的问题，又该如何解决呢？在此，我们总结出了其中最重要的九个。
问题一 如何确保网络100%安全？
简单答曰：不可能。现有的安全解决方案仅提供风险管理，这意味着尽量减少网络漏洞和风险。最好的办法就是改进预防方法，并且选择最适合自己网络的解决方案。网络面临三种漏洞：策略、配置和技术漏洞。如果对网络所许可的或禁止的知之甚少，就会出现策略漏洞。而且，配置漏洞很容易发生，此外，操作系统及缓冲器溢出等技术漏洞也是重大隐患。切记：良好的安全策略和实施只是预防行动，而不是补救方法。
问题二 从哪儿开始着手做安全？
网络安全好比守护办公大楼或是住房，你会先给门上一道锁，将不速之客拒之门外，防火墙就是网络上的一把锁，它控制着访问网络的权限，只允许特许用户进出网络。当然，守护大楼不仅仅是给门上锁，网络安全也不仅仅是在网络周边设置防火墙，为了最有效地满足网络安全需求，还需要其它技术，如用户验证、虚拟专用网和入侵检测。
问题三 如何确保只有授权用户才能访问？
生活中，我们通首先过在门口识别来者身份，才允许用户可以入内。在网络上，你可以利用所谓的AAA服务器实现这功能，这种服务器能够进行验证、授权及登记，换句话说，它能查明用户身份、允许访问的网络部分及已经访问的部分。
问题四 如何建立安全的远程访问通道？
利用IPsec可实现安全的远程访问。IPsec被用于确保通信双方是特许用户或设备，它确保没人在通信线路上窃听及没人能够改变途中通信信号也很有必要。IPsec提供了三种技术以帮助实现这功能。即验证报头、封装安全载荷和因特网密钥交换（IKE）。
问题五 如何确保员工远程访问的安全？
利用IPsec，你同样可以在远程办公人员的PC与总部之间建立一条安全隧道。这可以通过在总部对客户机进行全面的管理与配置，从而使这种解决方案既简单又经济。而有些VPN利用多块加密加速板卡，最多能够应付1万条100Mbps的连接。
问题六 如何面对入侵者？
防火墙、验证和加密只能尽量防止入侵者进入网络。入侵者可能来自内部，在设计网络安全时，一定要留意可能存在的内部威胁。为解决此问题，既要防患未然又要迅速反应。防患于未然需要为网络清除所有漏洞，以免被人利用。利用入侵检测系统的漏洞扫描器可以做到这点。
问题七 如何既不添人手又加强网络安全？
为了避免增添人手，就要从基于设备的管理或基于多个设备的管理改为基于策略的管理。基于设备的管理需要为设备进行逐个管理及配置，这非常费时、费力，还容易出错。基于策略的管理方法要灵巧得多。它使你可以通过策略管理器集中管理策略（譬如允许指定的一组用户利用Http访问因特网），然后策略管理器会生产所有必要的配置文件，并对所有设备进行配置，而与数量或位置无关。这种管理可以合理配置有限资源、减少错误、确保网络一致性、减少时间和成本。
问题八 有了防火墙、IDS和VPN就安全了吗？
部署这些解决方案能够降低出现漏洞的风险，但网络上只有这些保护还不够，充分利用防火墙、IDS等提供的信息至关重要，监控及分析这类信息也非常关键。此外，教育对安全也很关键。还有，具有了解网络的正常运行状态、如何保护网络安全及如何寻求帮助的能力也很重要。
问题九 采用端到端解决方案是否更好？
购置这种产品肯定是比较好的做法：能彼此通信，从一个中央位置就能便于管理。采用众多不同产品会使管理工作非常困难、费钱及费时。部署由承诺有互操作性的多家厂商提供的不同安全技术拼凑而成的方案不是办法。对组织来说，理想情形就是利用最佳产品组合，组成端到端安全解决方案。
几乎所有企业对于网络安全的重视程度一下子提高了，纷纷采购防火墙等设备希望堵住来自Internet的不安全因素。然而，Intranet内部的攻击和入侵却依然猖狂。事实证明，公司内部的不安全因素远比外部的危害更恐怖。
大多企业重视提高企业网的边界安全，暂且不提它们在这方面的投资多少，但是大多数企业网络的核心内网还是非常脆弱的。企业也对内部网络实施了相应保护措施，如：安装动辄数万甚至数十万的网络防火墙、入侵检测软件等，并希望以此实现内网与Internet的安全隔离，然而，情况并非如此！企业中经常会有人私自以Modem拨号方式、手机或无线网卡等方式上网，而这些机器通常又置于企业内网中，这种情况的存在给企业网络带来了巨大的潜在威胁，从某种意义来讲，企业耗费巨资配备的防火墙已失去意义。这种接入方式的存在，极有可能使得黑客绕过防火墙而在企业毫不知情的情况下侵入内部网络，从而造成敏感数据泄密、传播病毒等严重后果。实践证明，很多成功防范企业网边界安全的技术对保护企业内网却没有效用。于是网络维护者开始大规模致力于增强内网的防卫能力。
下面给出了应对企业内网安全挑战的10种策略。这10种策略即是内网的防御策略，同时也是一个提高大型企业网络安全的策略。
1、注意内网安全与网络边界安全的不同
内网安全的威胁不同于网络边界的威胁。网络边界安全技术防范来自Internet上的攻击，主要是防范来自公共的网络服务器如HTTP或SMTP的攻击。网络边界防范（如边界防火墙系统等）减小了资深黑客仅仅只需接入互联网、写程序就可访问企业网的几率。内网安全威胁主要源于企业内部。恶性的黑客攻击事件一般都会先控制局域网络内部的一台Server，然后以此为基地，对Internet上其他主机发起恶性攻击。因此，应在边界展开黑客防护措施，同时建立并加强内网防范策略。
2、限制VPN的访问
虚拟专用网（VPN）用户的访问对内网的安全造成了巨大的威胁。因为它们将弱化的桌面操作系统置于企业防火墙的防护之外。很明显VPN用户是可以访问企业内网的。因此要避免给每一位VPN用户访问内网的全部权限。这样可以利用登录控制权限列表来限制VPN用户的登录权限的级别，即只需赋予他们所需要的访问权限级别即可，如访问邮件服务器或其他可选择的网络资源的权限。
3、为合作企业网建立内网型的边界防护
合作企业网也是造成内网安全问题的一大原因。例如安全管理员虽然知道怎样利用实际技术来完固防火墙，保护MS-SQL，但是Slammer蠕虫仍能侵入内网，这就是因为企业给了他们的合作伙伴进入内部资源的访问权限。由此，既然不能控制合作者的网络安全策略和活动，那么就应该为每一个合作企业创建一个 DMZ，并将他们所需要访问的资源放置在相应的DMZ中，不允许他们对内网其他资源的访问。
4、自动跟踪的安全策略
智能的自动执行实时跟踪的安全策略是有效地实现网络安全实践的关键。它带来了商业活动中一大改革，极大的超过了手动安全策略的功效。商业活动的现状需要企业利用一种自动检测方法来探测商业活动中的各种变更，因此，安全策略也必须与相适应。例如实时跟踪企业员工的雇佣和解雇、实时跟踪网络利用情况并记录与该计算机对话的文件服务器。总之，要做到确保每天的所有的活动都遵循安全策略。
5、关掉无用的网络服务器
大型企业网可能同时支持四到五个服务器传送e-mail，有的企业网还会出现几十个其他服务器监视SMTP端口的情况。这些主机中很可能有潜在的邮件服务器的攻击点。因此要逐个中断网络服务器来进行审查。若一个程序（或程序中的逻辑单元）作为一个window文件服务器在运行但是又不具有文件服务器作用的，关掉该文件的共享协议。
6、首先保护重要资源
若一个内网上连了千万台（例如30000台）机子，那么要期望保持每一台主机都处于锁定状态和补丁状态是非常不现实的。大型企业网的安全考虑一般都有择优问题。这样，首先要对服务器做效益分析评估，然后对内网的每一台网络服务器进行检查、分类、修补和强化工作。必定找出重要的网络服务器（例如实时跟踪客户的服务器）并对他们进行限制管理。这样就能迅速准确地确定企业最重要的资产，并做好在内网的定位和权限限制工作。
7、建立可靠的无线访问
审查网络，为实现无线访问建立基础。排除无意义的无线访问点，确保无线网络访问的强制性和可利用性，并提供安全的无线访问接口。将访问点置于边界防火墙之外，并允许用户通过VPN技术进行访问。
8、建立安全过客访问
对于过客不必给予其公开访问内网的权限。许多安全技术人员执行的“内部无Internet访问”的策略，使得员工给客户一些非法的访问权限，导致了内网实时跟踪的困难。因此，须在边界防火墙之外建立过客访问网络块。
9、创建虚拟边界防护
主机是被攻击的主要对象。与其努力使所有主机不遭攻击（这是不可能的），还不如在如何使攻击者无法通过受攻击的主机来攻击内网方面努力。于是必须解决企业网络的使用和在企业经营范围建立虚拟边界防护这个问题。这样，如果一个市场用户的客户机被侵入了，攻击者也不会由此而进入到公司的R&D.因此要实现公司R&D与市场之间的访问权限控制。大家都知道怎样建立互联网与内网之间的边界防火墙防护，现在也应该意识到建立网上不同商业用户群之间的边界防护。
10、可靠的安全决策
网络用户也存在着安全隐患。有的用户或许对网络安全知识非常欠缺，例如不知道 RADIUS和TACACS之间的不同，或不知道代理网关和分组过滤防火墙之间的不同等等，但是他们作为公司的合作者，也是网络的使用者。因此企业网就要让这些用户也容易使用，这样才能引导他们自动的响应网络安全策略。
另外，在技术上，采用安全交换机、重要数据的备份、使用代理网关、确保操作系统的安全、使用主机防护系统和入侵检测系统等等措施也不可缺少。
网络安全是复杂的。如果使用多家厂商的、运行在非专业的安全软件操作平台上的产品，这就意味着网络会更复杂并缺乏安全性，结果往往是，用户所拥有的网络保护与所需要的网络保护间存在着明显差距，而他们渴望的是简化的、专业的网络安全。
如果用户把过多的时间花在了安全软件与硬件的集成以及安全应用上，而造成用于网络规划、实施与日常维护的时间却相对过少，就会危及到网络的实际安全与可靠性。如果此外，用户还要自己去时时关注安全漏洞的打补丁及版本升级工作的话，那么他们的网络安全系统将会变得更为复杂。
网络安全力求简单
简单应该是任何网络解决方案的目标，网络安全应该力求简单。简单化使时间和资源可以专门用于获得企业所需的安全、可信环境。那么简单是针对什么而言的呢？是购买、安装、运行，还是维护？如果系统要想安全，那么上述这些要素缺一不可。但只有系统不大复杂、使用方便，才算得上真正取得成功，如果要保护公司关键任务的信息就更是如此。设想一下：如果用户把花在集成和管理的时间用于其它更为紧迫的安全问题（如调查网络的潜在弱点）会有怎样的成效？
第一招：以专用设备简化网络安
降低网络安全复杂性的最简便的方法之一，就是部署安全设备，这种设备采用特别设计的平台，运行预先加强了安全的操作系统，并预先装有面向几乎同即插即用一样简便的特制平台的最佳安全应用软件。简而言之，集成设备具有保护网络安全所需的所有特性，包括防火墙、VPN和入侵检测。为了满足易于部署、远程管理、自动更新及技术支持等要求，集成设备还预先进行配置和测试。集成设备节省的时间、资金、资源与网络安全解决方案本身的简易性一样吸引人。
部署基于设备模型的解决方案提供了诸多好处，如身份定制、性能提高、综合管理及支持队伍。
身份定制
可为每个设备配备不同的授权密匙，从而获得防火墙、VPN、入侵检测设备或防病毒设备的功能。这些核心功能组成了任何安全网络环境的基础，又因为安全设备部署起来一般非常简单，所以可省去许多复杂步骤，即可部署更可靠的解决方案。
性能
为特定目的设计的设备通常具有通过应用软件提供最优性能所需的硬件特性。同样，为提供最大程度的性能与安全，操作系统应该与硬件密切结合，结果就是平台和操作系统的性能得到了优化。最重要的是，所运行的网络安全应用软件的性能也得到了优化。而通用硬件平台和现成操作系统则无法提供这些特性。
管理
安全软件管理是维护可信网络环境所不可或缺的组成部分，如果缺少安全网络管理，就无法获得真正的网络安全。传统上，网络管理对大多数组织来说是重大挑战，因为这要求为配置及升级软件和设备亲自动手安装。这不仅是重复性工作、易出错误，还会迅速耗费宝贵资源和精力，致使没多少时间去关注安全策略及其它更重要的业务问题。人为差错及缺乏足够的网络管理能力是网络停机及漏洞暴露的主要因素，而为网络配置有效的管理工具，将有助于简化网络环境维护，同时确保网络安全。
第二招：有效工具降低管理复杂性
有些人以为，安装了防火墙和入侵检测，就可以松一口气了，这种想法是不对的。考虑过软件更新、补丁及日常远程维护吗？倘若只有一两个设备要管理，这过程不是很复杂。但如果有成百上千台机器需要软件更新和补丁，或者面临严重缺乏IT技能与资源的窘境，那该如何是好？这也许是件难以管理的繁重工作，还会不断出现手工错误，导致安全漏洞百出。那么如何安全地更新远地网络、维持远地运行、确保软件更新不会引起任何问题？
应用软件管理解决方案就能起到作用。有效的管理工具不是费时费力地为每个远地逐个进行手工更新，而是同时更新所有设备，或者把网络分成多个区，为不同设备添加特定级别的软件。借助于“无危害”的安全策略，这种软件解决方案就能确保远地不会因安装软件有误而停止运行。
第三招：厂商服务与支持
如果厂商不能将提供广泛的全球支持作为解决方案的一部分，安全策略就不完善。特定支持方案根本不足以满足安全网络的要求。在选购网络安全产品时，需要注意有无响应迅速的支持队伍和定义明确的程序。在当今的全球经济形势下，值得信赖的厂商和全球支持网络，对降低难度、确保网络高效运行必不可少。
就其本质而言，网络安全解决方案很复杂。它们需要执行基本任务并保护重要资产、网络和公司声誉。但如果尽可能地降低复杂性，就能获得比较安全、不易出现人为差错及实施更简单的系统。应寻求值得信赖的老牌厂商提供的集成最佳应用软件和安全增强型平台的解决方案。如果在选择合适的网络安全解决方案之前，事先做些准备工作，公司就可以免除诸多麻烦，确保为所有用户提供可信的网络环境，无论是本地用户还是远程用户。