浅谈内网网络安全.pdfVIP

白皮书 浅谈内网网络安全 McAfee 李明 关键词 内网 (Intranet)、网络安全 (Network Security)、防火墙 (Firewall)、 入侵防护系统 (IPS)、网络准入控制 (NAC)、网络行为分析 (NBA) 摘要 本文简要分析了企业内部网络所面临的主要分析，阐述了安全管理人员 针对不同威胁的主要技术应对措施。进一步介绍了业界各种技术措施的 现状，并提出了未来可能的发展趋势。 白皮书 浅谈内网网络安全 内网网络安全问题的提出 网络安全对于绝大多数人而言指的都是互联网安全 (Internet Security) ，但是对于组织的安全主管而 言却不尽然。他们的使命是负责保护企业的数字资产—信息和基础架构，对于这些保护对象而言，其 外部都可能是风险源，而这里的外部风险源则既有可能是互联网 Internet ，也有可能是内部网络 Intranet。 内部网络并不等于可信网络。对于组织而言，来自内部的威胁有可能远大于外部的威胁。这使得有必 要对于内网的网络安全进行针对性的分析，并找出解决之道。 内网网络安全风险分析 分析的视角 网络安全是一个非常复杂而庞大的研究对象，不同的研究视角可能会“看到”不一样的安全风险。例 如针对单个数字资产，最常见的视角是关注其完整性、机密性和可用性。对于组织的安全架构，可以 从物理层、网络层、数据层、用户层这样的视角进行分析。本文出于简化的目的，将内部网络的安全 按其参与者进行分析，包括网络、通信方和信息。本文分析的模型是位于不同网络的通信方，在其信 息交换的过程中所面临的安全风险。 安全风险 按照这一模型，需要关注的风险主要有： 网络 假设组织对于其内部网络进行了良好的规划和管理，则来自不同的网络意味着处于不同的内部部门 和/或不同的安全等级。这里主要的风险有：不同的部门可能不应跨网络访问资源；不同安全等级网 络1的通信可能包含潜在的攻击。 通信方 在参与通信的双方中，需要保护的是服务器一方的安全。由于服务器往往采取了必要的安全保障措 施，客户端那一方的安全性则成为木桶理论中可能的短板。 信息交换 通信的目的是交换信息，对于通信方之外的安全管理员而言，主要关注交换的内容和通信的方式中可 能存在的安全风险。主要的风险有：不符合企业安全策略的通信内容（主要指文件）；不符合企业安 全策略的通信方式（不应通信或带宽挤占）。 其他的风险 当然，真实世界远比理论复杂。本文的视角选取并不能覆盖组织中内部网络的所有风险。其他可能存 在的风险有： 机密性 对于某些组织而言，在内部网络中仍然要保证高度的机密性要求。这可能意味着对于数据的整个生命 周期过程中，都需要考虑各阶段安全风险和防护手段。这部分内容一般不列入网络安全的范畴，本文 并未展开讨论。 完整性 对于组织的某些特定信息资产，保障其完整性至关重要。对于该信息资产的存储、修改都需要考虑可 能的安全风险，并通过技术手段进行保障。这部分内容往往通过安全设计和数据备份实现，不是传统 的网络安全范畴。本文并未展开讨论。 1 如果是来自同一网络，则防护点应位于主机内部。一般的技术实现为主机防火墙加主机入侵检测技术。 2 白皮书 浅谈内网网络安全 可用性 网络安全主要考虑的是带宽挤占带来的可用性风险，本文并未对信息资产的可用性进行全面讨论。 风险的定义 各组织对于风险的接受程度并不相同，这也导致了本文讨论的风险可能对于部分组织并不完整。 内网网络安全的解决之道 按照前文的分析结果，内网网络的安全主要关注的对象应该是网络、通信方和信息交换相关的安全风 险。对于这三个对象，安全管理员可以采取相应的技术缓解风险。 网络 合理划分网络 对于组织而言，传统的网络划分往往是由网络管理部进行的。组织的安全管理员需要网络划分进行审 阅。网络划分的依据除了根据地理位置、部门之外，也应考虑其包含信息资产安全等级，安全管理员关 注网络划分的目的在于更容易实现按安全等级进行保护。应尽可能避免安全等级相差较大的信息资产划 分在同一网络中。 设置边界检查点 对于来自不同的网络的通信应在其边界处设置检查点，过滤其中可能的安全威胁，包括未授权的网络访 问和潜在的攻击。 技术实现 防火墙 (Firewall) 防火墙是最早出现的网络安全技术，也是相对简单的一种。防火墙作为网络边界检查点的主要作用是实 现访问控制。 防火墙作为一种安全技术，主要优势包括： • 性能：目前的防火