- 相關(guān)推薦
圖示SAFE設(shè)計準(zhǔn)則:安全不是堆砌
思科公司制定的面向企業(yè)網(wǎng)絡(luò)的安全藍(lán)圖(SAFE)的主要目標(biāo)是，為用戶提供有關(guān)設(shè)計和實施安全網(wǎng)絡(luò)的最佳實踐信息。SAFE可作為正考慮其網(wǎng)絡(luò)安全性要求的網(wǎng)絡(luò)設(shè)計人員的指南。SAFE在網(wǎng)絡(luò)安全設(shè)計方面采用了深入防御的方式。這類設(shè)計的重點在于所預(yù)測出的威脅及減輕威脅的方法，而不是單純地“將防火墻放在這兒，將入侵檢測系統(tǒng)放在那兒”等。該策略帶來了一種安全分層方式，這樣，一個安全系統(tǒng)的故障就不大可能引發(fā)對整個網(wǎng)絡(luò)資源的損壞。SAFE以思科及其合作伙伴的產(chǎn)品為基礎(chǔ)。
設(shè)計原則
SAFE最大限度地模擬了當(dāng)今企業(yè)網(wǎng)絡(luò)的功能需求。實施決策取決于所需的網(wǎng)絡(luò)功能。而以下按重要順序列出的設(shè)計目標(biāo)則是決策制訂過程的指導(dǎo)準(zhǔn)則：
1 安全性和基于政策的攻擊緩解
2 整個基礎(chǔ)設(shè)施的安全實施（而非僅為具體安全設(shè)備）
3 安全性管理和報告
4 對關(guān)鍵網(wǎng)絡(luò)資源的用戶和管理員驗證與授權(quán)
5 針對關(guān)鍵資源和子網(wǎng)的入侵檢測
6 對新興聯(lián)網(wǎng)應(yīng)用的支持
7 模塊概念
盡管大多數(shù)企業(yè)網(wǎng)絡(luò)隨企業(yè)不斷提高的IT要求而發(fā)展，SAFE體系結(jié)構(gòu)使用了環(huán)保型的模塊化方式。模塊化方式有兩種主要優(yōu)勢。首先，它允許體系結(jié)構(gòu)實現(xiàn)網(wǎng)絡(luò)各功能塊間的安全關(guān)系，其次，它讓設(shè)計者可逐個模塊地評估和實施安全性，而非試圖在一個階段就完成整個體系結(jié)構(gòu)。
圖1 SAFE第一層模塊
圖1為SAFE的第一層模塊。每塊代表一個功能區(qū)域。互聯(lián)網(wǎng)接入服務(wù)供應(yīng)商（ISP）模塊不由企業(yè)實施，而是用于提供ISP為緩解某些攻擊而可能需要的特定安全功能。
第二層模塊如圖2所示，對每個功能區(qū)中的模塊進(jìn)行了展示，這些模塊在網(wǎng)絡(luò)中扮演特定角色，有特定的安全需求，但圖中模塊規(guī)模并不代表其在實際網(wǎng)絡(luò)中的大小。例如，代表最終用戶設(shè)備的構(gòu)建模塊可能包括80％的網(wǎng)絡(luò)設(shè)備。每個模塊的安全設(shè)計單獨描述，但作為整個企業(yè)設(shè)計的一部分加以驗證。
圖2 企業(yè)SAFE分塊構(gòu)成圖
SAFE準(zhǔn)則
路由器目標(biāo)
路由器控制網(wǎng)絡(luò)間接入。它們向網(wǎng)絡(luò)廣播信息并過濾可以使用它們的人，它們是黑客潛在的最好朋友。路由器安全性是安全部署中的關(guān)鍵元素�？蓞⒖计渌嘘P(guān)路由器安全性的文件。這些文件提供了有關(guān)下列方面的更多細(xì)節(jié)：
遠(yuǎn)程通信網(wǎng)到路由器的接入; 簡單網(wǎng)絡(luò)管理協(xié)議（SNMP）到路由器的接入; 通過使用終端接入控制器接入控制系統(tǒng)＋（TACACS＋）來控制到路由器的接入; 關(guān)閉不需要的服務(wù); 以適當(dāng)級別登錄;路由更新的驗證。
交換機目標(biāo)
和路由器一樣，交換機（第2層和第3層）有自己的一套安全考慮。而與路由器不同的是，有關(guān)交換機安全風(fēng)險及為減輕這些風(fēng)險而應(yīng)采取的措施的公開信息并不十分豐富。上一部分“路由器目標(biāo)”中描述的大多數(shù)安全技術(shù)均適用于交換機。此外，您應(yīng)采取以下預(yù)防措施：
1 無需中繼的端口應(yīng)將中繼設(shè)備置于關(guān)閉而非自動。
2 確保中繼端口使用的虛擬LAN （VLAN）號不會在交換機中的其他地方使用。
3 將交換機上所有未用端口設(shè)置為第3層連接的VLAN。
4 避免將VLAN用作保護(hù)兩個子網(wǎng)間接入的唯一方式。
主機目標(biāo)
主機在攻擊中最有可能成為目標(biāo)，從安全角度來講，也是最難保護(hù)的。它們有眾多的硬件平臺、操作系統(tǒng)和應(yīng)用，均在不同的時間段要升級、補丁和修復(fù)。因為主機向提出請求的其他主機提供應(yīng)用服務(wù)，它們在網(wǎng)絡(luò)中是高度可視的。
為保護(hù)主機，就必須密切注意系統(tǒng)中的每個組件。使系統(tǒng)保持與最新補丁、修復(fù)等的同步。此外，要注意這些補丁對其他系統(tǒng)組件的運行有所影響，在對生產(chǎn)環(huán)境實施升級前，在測試系統(tǒng)上對其進(jìn)行評估。如不這樣做，補丁本身就可能導(dǎo)致拒絕服務(wù)（DoS）。
網(wǎng)絡(luò)目標(biāo)
最糟的攻擊是您無法中止的攻擊。分布式拒絕服務(wù)（DDoS）正是這樣一種攻擊。通過與其ISP合作，用戶才有希望挫敗這類攻擊。ISP可配置對該公司網(wǎng)站輸出接口的速率限制。
限制這類攻擊的方法之一是遵循RFC1918和RFC2827中列出的指導(dǎo)。RFC1918定義了保留專用且永遠(yuǎn)不應(yīng)在公共互聯(lián)網(wǎng)上看到的網(wǎng)絡(luò)。對于與互聯(lián)網(wǎng)相連的路由器上的輸入信息流，您可采用RFC1918和2827過濾來防止未授權(quán)信息流進(jìn)入公司網(wǎng)絡(luò)。在ISP實施后，該過濾能防止DDoS攻擊使用這些地址作為流經(jīng)WAN鏈路的源地址的信息包，從而在攻擊期間潛在地節(jié)約了帶寬�？傊�，如果全球的ISP均采取了RFC2827中的指導(dǎo)措施，源地址電子欺騙就會大大減少。此策略并未直接防止DDoS攻擊，而是防止這類攻擊破壞其源地址，這就會使跟蹤所攻擊網(wǎng)絡(luò)更方便。
應(yīng)用目標(biāo)
應(yīng)用（大多數(shù)時）是由人編寫的，因此易于發(fā)生更多錯誤。這些錯誤可以是輕微的——如導(dǎo)致您文件錯誤打印的一個錯誤，也可以是惡意的——如使您信用卡號碼經(jīng)由異步FTP在數(shù)據(jù)庫服務(wù)器上公布。入侵檢測系統(tǒng)（IDS）旨在發(fā)現(xiàn)惡意問題，以及其他更常見的安全漏洞。思科建議將NIDS與HIDS系統(tǒng)組合起來——關(guān)鍵主機上設(shè)置HIDS、整個網(wǎng)絡(luò)采用NIDS——來實現(xiàn)全面的入侵檢測系統(tǒng)。
安全管理和報告
從體系結(jié)構(gòu)的角度來說，提供網(wǎng)絡(luò)系統(tǒng)的帶外管理是適用于所有管理和報告策略的最好的第一步。設(shè)備應(yīng)盡可能地與這樣一個網(wǎng)絡(luò)建立直接本地連接，在無法實現(xiàn)的情況下（由于地理原因或系統(tǒng)相關(guān)問題），設(shè)備應(yīng)經(jīng)由生產(chǎn)網(wǎng)絡(luò)上的一條專用加密隧道與其連接。確保帶外網(wǎng)絡(luò)自身不會帶來安全問題。
大多數(shù)聯(lián)網(wǎng)設(shè)備可以發(fā)送系統(tǒng)日志數(shù)據(jù)，這些數(shù)據(jù)在對網(wǎng)絡(luò)問題或安全威脅進(jìn)行糾錯時極為重要。管理還指除記錄和報告外，管理員對某一設(shè)備所執(zhí)行的功能，可進(jìn)行安全配置。鑒于底層協(xié)議有自身的安全漏洞，應(yīng)最為小心地處理SNMP。配置變更管理是另一個與安全管理相關(guān)的問題。當(dāng)一個網(wǎng)絡(luò)處于攻擊下，重要的是了解主要網(wǎng)絡(luò)設(shè)備的狀態(tài)以及所知道的最后一次修改發(fā)生的時間。
【圖示SAFE設(shè)計準(zhǔn)則:安全不是堆砌】相關(guān)文章：
力的圖示08-17
力的圖示教案示例08-17
力的圖示常見的錯誤作法及分析08-17
第三節(jié)力的圖示教案08-17
衛(wèi)生管理準(zhǔn)則08-12