面對如潮水般兇猛的網(wǎng)絡安全威脅，企業(yè)通過部署各種安全產(chǎn)品來保護自身的應用安全。但是僅僅進行網(wǎng)絡防護層部署并不能滿足網(wǎng)絡防護需求，合理的進行網(wǎng)絡防護層配置才能夠更好的答到企業(yè)網(wǎng)絡安全防護的標準。從IT基礎結(jié)構(gòu)的角度來看，阻止所有傳入附件是最簡單、最安全的選項。但是，組織中電子郵件用戶的需求可能不允許這樣做。必須進行折衷，在組織的需求和它可以接受的風險級別之間達到平衡。
許多組織已經(jīng)采用多層方法來設計其網(wǎng)絡同時使用內(nèi)部網(wǎng)絡結(jié)構(gòu)和外部網(wǎng)絡結(jié)構(gòu)。Microsoft建議使用此方法，因為它正好符合深層防護安全模型。
注意：存在一種日益增長的趨勢：將內(nèi)部網(wǎng)絡分解為多個安全區(qū)域，以便為每個安全區(qū)域建立外圍。Microsoft也建議使用此方法，因為它可幫助降低試圖訪問內(nèi)部網(wǎng)絡的惡意軟件攻擊的總體風險。但是，本指南僅對單個網(wǎng)絡防護進行說明。如果您計劃使用一個外圍網(wǎng)絡和多個內(nèi)部網(wǎng)絡，則可以將此指導直接應用于每個網(wǎng)絡。
組織的第一個網(wǎng)絡防護指外圍網(wǎng)絡防護。這些防護旨在防止惡意軟件通過外部攻擊進入組織。如本章前面所述，典型的惡意軟件攻擊集中于將文件復制到目標計算機。因此，您的病毒防護應該使用組織的常規(guī)安全措施，以確保只有經(jīng)過適當授權(quán)的人員才能以安全方式(如通過加密的虛擬專用網(wǎng)絡(VPN)連接)訪問組織的數(shù)據(jù)。
注意：您也應該將任何無線局域網(wǎng) (LAN) 和VPN視為外圍網(wǎng)絡。如果您的組織已經(jīng)采用這些技術(shù)，則對其進行保護是很重要的。如果無法提供此安全性，則可能允許攻擊者直接訪問您的內(nèi)部網(wǎng)絡(避開標準的外圍防護)以發(fā)動攻擊。
在本指南中，假定網(wǎng)絡安全設計為組織提供了所需的標識、授權(quán)、加密和保護級別，以防止未經(jīng)授權(quán)的攻擊者直接侵入。但是，此時病毒防護是不完整的。下一步是將網(wǎng)絡層防護配置為檢測和篩選使用允許的網(wǎng)絡通信(如電子郵件、Web瀏覽和即時消息)的惡意軟件攻擊。
網(wǎng)絡防護層配置之網(wǎng)絡防病毒配置
有許多專門設計用于為組織提供網(wǎng)絡安全的配置和技術(shù)。雖然這些是組織安全設計的重要部分，但是本節(jié)僅集中說明與病毒防護有直接關(guān)系的區(qū)域。您的網(wǎng)絡安全和設計小組應該確定在組織中如何使用以下每種方法。
網(wǎng)絡防護層配置之網(wǎng)絡入侵檢測系統(tǒng)
因為外圍網(wǎng)絡是網(wǎng)絡中風險很大的部分，因此您的網(wǎng)絡管理系統(tǒng)能夠盡快檢測和報告攻擊是極其重要的。網(wǎng)絡入侵檢測(NID)系統(tǒng)的作用僅僅是提供：外部攻擊的快速檢測和報告。雖然NID系統(tǒng)是總體系統(tǒng)安全設計的一部分，而且不是特定的防病毒工具，但是系統(tǒng)攻擊和惡意軟件攻擊的許多最初跡象是相同的。例如，一些惡意軟件使用IP掃描來查找可進行感染的系統(tǒng)。由于此原因，應該將NID系統(tǒng)配置為與組織的網(wǎng)絡管理系統(tǒng)一起工作，將任何不尋常的網(wǎng)絡行為的警告直接傳遞給組織的安全人員。
要了解的一個關(guān)鍵問題是：對于任何NID實現(xiàn)，其保護僅相當于在檢測到入侵之后遵循的過程。此過程應該觸發(fā)可以用來阻止攻擊的防護，而且防護應該得到連續(xù)不斷的實時監(jiān)視。只有在此時，才能認為該過程是防護策略的一部分。否則，NID系統(tǒng)實際上更像一個在攻擊發(fā)生之后提供審核記錄的工具。
有許多可供網(wǎng)絡設計人員使用的企業(yè)級網(wǎng)絡入侵檢測系統(tǒng)。它們可以是獨立的設備，也可以是集成到其他網(wǎng)絡服務(如組織的防火墻服務)中的其他系統(tǒng)。例如，MicrosoftInternetSecurity and Acceleration (ISA) Server 2000 和 2004 產(chǎn)品包含NID系統(tǒng)功能以及防火墻和代理服務。
網(wǎng)絡防護層配置之應用程序?qū)雍Y選
組織意識到使用Internet篩選技術(shù)監(jiān)視和屏蔽網(wǎng)絡通信中的非法內(nèi)容(如病毒)不僅是有用的，而且是必需的。在過去，曾經(jīng)使用防火墻服務提供的數(shù)據(jù)包層篩選執(zhí)行了此篩選，僅允許根據(jù)源或目標IP地址或者特定的 TCP 或 UDP 網(wǎng)絡端口來篩選網(wǎng)絡流量。應用程序?qū)雍Y選 (ALF) 在OSI網(wǎng)絡模型的應用程序?qū)由瞎ぷ鳎虼怂试S根據(jù)數(shù)據(jù)的內(nèi)容檢查和篩選數(shù)據(jù)。如果除了使用標準數(shù)據(jù)包層篩選外還使用ALF，則可以實現(xiàn)的安全性要高得多。例如，使用數(shù)據(jù)包篩選可能允許您篩選通過組織防火墻的端口80 網(wǎng)絡流量，以便它只能傳遞到 Web服務器。但是，此方法可能不提供足夠的安全性。通過將 ALF 添加到解決方案中，您可以檢查端口80 上傳遞到 Web服務器的所有數(shù)據(jù)，以確保它是有效的且不包含任何可疑代碼。
相關(guān)閱讀