ISA网络安全解决实施方案书.docVIP

ISA网络安全解决方案 一、前言 Internet Security and Acceleration（ISA） Server可以说是原来基于Windows NT 4.0的MS PROXY的一个升级版本吧。它在前一版的基础上修补了许多安全性及缓存上的缺陷，提供了更快速、更安全、更直观易于管理的系统。并整合了企业级的防火墙系统及高性能的缓存机制——也就是说，这款软件不仅仅再是一个代理软件了，它还充当了一个“防火墙”的功效。 ISA Server允许被安装成Cache mode（缓存模式）、Firewall mode（防火墙模式）、Integrate mode（集成模式）三种模式当中的一种。当网络系统需要通过ISA直接连入Internet的同时，也要对公司内部的主机进行相应的保护的话，那么Firewall或Integrate模式正是您所需要的。但在很多企业没有任何相关的Internet主机或外部已经有防火墙，而他们知识希望能加快网络间流量传递速度，则采用Cache模式是最理想的一种方案了。 那么ISA能够提供给大家一些什么服务呢？ 多层防火墙安全 防火墙可以通过各种方法增强安全性，包括数据包筛选、电路层筛选和应用程序筛选。高级的企业防火墙，如 ISA Server 所提供的那一种，综合了所有这三种方法，在多个网络层提供保护，为企业提供最低的投入的基础上最高的回报。 状态检测 状态检查检查通过防火墙的协议环境中的数据以及连接的状态。在数据包层，ISA Server 检查在 IP 消息头中指明的通信来源和目标，以及在标识所采用的网络服务或应用程序的 TCP 或 UDP 消息头中的端口。 动态数据包筛选器能够使窗口的打开只响应用户的请求，并且打开端口的持续时间恰好满足该请求的需要，从而减少与打开端口相关的攻击。ISA Server 可以动态地确定，哪些数据包可以传送到内部网络的电路层和应用程序层服务。管理员可以配置访问策略规则，以便只在允许的情况下自动打开端口，然后当通信结束时关闭端口。这一过程称为动态数据包筛选，它使两个方向上暴露的端口数量减到最少，并为网络提供更高的安全性，使问题较少发生。 集成的入侵检测 ISA Server利用一家名为 Internet Security Systems 的公司所提供的技术，提供帮助管理员识别诸如端口扫描、WinNuke 和 Ping of Death 之类的常见网络攻击的这种服务。并且ISA能够自动对其作出响应。这项技术给 ISA Server 提供了能识别此类攻击的集成入侵检测机制。当识别出这种攻击时，警报还能同时指出 ISA Server 应采取什么行动，这些行动可包括向系统管理员发送电子邮件或寻呼，停止 Firewall 服务，写入到系统事件日志，或运行任何程序或脚本。 高性能 Web 缓存 ISA Server 对 Web 缓存进行了彻底的重新设计，使它可以将缓存放入 RAM 中——我知道现在很多的使用WINGATE的用户都希望能够得到这种缓存解决方案。这种高性能的 Web 缓存可提供更强的后端可伸缩性，并提供了更快的 Web 客户机总体响应时间。这对于企业内部来说尤其重要，因为员工需要快速访问 Web 内容，而企业也需要适当的节省网络带宽。这种高速的Web缓存正能够满足您的这种需要。 缓存阵列路由协议 ISA Server 使用了缓存阵列路由协议（Cache Array Routing Protocol，CARP）。因此您可以通过多台 ISA Server 计算机组成的阵列来提供无缝缩放和更高的效率。 活动缓存 通过一个叫做活动缓存的功能，可配置 ISA Server 使其自动更新缓存中的对象。使用这种功能，ISA Server 可通过主动刷新内容来优化带宽的使用。通过活动缓存，经常被访问的对象在它们到期之前，在低网络流量时段自动更新。 统一管理 ISA Server 利用基于 Windows 2000 的安全性，Active Directory 服务、VPN 和 Microsoft 管理控制台（MMC，Microsoft Management Console）。所有这些功能，特别是 MMC，会使得管理更容易，因为操作人员熟悉它，并可从一个控制台同时管理防火墙和 Web 缓存。 企业策略和访问控制 ISA Server 还支持创建企业级和本地阵列策略，用于集中实施或本地实施。ISA Server 可作为独立服务器安装或作为阵列成员安装。为便于管理，各个阵列成员都使用相同的配置。对阵列配置进行修改时，阵列中的所有 ISA Server 计算机也都将得到修改，包括所有访问和缓存策略。 ISA的安装以及调试还有配置过程 图 1 图 2 2、分别对内网、外网和路由器配置相应的I