网络安全防护与监测手册.docxVIP

网络安全防护与监测手册

第1章

1.1网络拓扑结构与设备配置审查

网络拓扑图需采用标准化的图形化表示法（如Visio或Draw.io），明确区分核心层、汇聚层、接入层及无线接入点（AP）的物理连接关系，并标注VLAN划分逻辑，确保每一台核心交换机、路由器及防火墙的IP地址段、网段及子网掩码均与全局配置一致，避免跨VLAN通信。在设备配置审查中，必须逐一核对防火墙的“访问控制列表”（ACL）策略，检查是否已启用“默认拒绝所有”原则，确保只有经过严格审批的特定流量（如管理流量或业务流量）才能通过，严禁存在静默放行或模糊匹配导致的安全漏洞。

对核心交换机进行端口安全审计，确认所有上行链路端口已绑定正确的MAC地址表项，并关闭不必要的端口镜像（PortMirroring）功能，防止敏感日志被恶意设备截获，确保日志采集的完整性与安全性。审查无线局域网（WLAN）的802.1X认证机制，验证是否已部署基于RADIUS服务器的动态认证服务，确保终端设备在接入网络前必须完成身份验证，并记录所有未授权用户的接入日志，杜绝“黑盒”接入风险。检查网络中的DNS解析策略，确认是否已配置“拒绝未知主机”策略，禁止解析不存在的域名，防止攻击者通过DNS重定向将流量引导至恶意服务器，同时验证DNSSEC是否已启用以提升解析数据的完整性。

对核心数据库