企业网络安全防范有哪些

企业网络安全防范有哪些

　　今天学习啦小编就要跟大家讲解下企业网络安全防范有哪些~那么对此感兴趣的网友可以多来了解了解下。下面就是具体内容!!!

　　企业网络安全防范一：

　　网络安全涉及到的问题非常多，如防病毒、防入侵破坏、防信息盗窃、用户身份验证等，这些都不是由单一产品来完成，也不可能由单一产品来完成，因此网络安全也必须从整体策略来考虑。网络安全防护体系必须是一个动态的防护体系，需要不断监测与更新，只有这样才能保障网络安全。从安全角度看，企业接入Internet网络前的检测与评估是保障网络安全的重要措施。但大多数企业没有这样做，就把企业接入了Internet。基于此情况，企业应从以下几个方面对网络安全进行检测与评估，从而制定有针对性的防范措施。

　　1 检测排除硬件、软件系统

　　1.1 网络设备

　　重点检测与评估连接不同网段的设备和连接广域网(WAN)的设备，如Switch、网桥和路由器等。这些网络设备都有一些基本的安全功能，如密码设置、存取控制列表、VLAN等，首先应充分利用这些设备的功能。

　　1.2 数据库及应用软件

　　数据库在信息系统中的应用越来越广泛，其重要性也越来越强，银行用户账号信息、网站的登记用户信息、企业财务信息、企业库存及销售信息等都存在各种数据库中。数据库也具有许多安全特性，如用户的权限设置、数据表的安全性、备份特性等，利用好这些特性也是同网络安全系统很好配合的关键。

　　1.3 E-mail系统

　　E-mail系统比数据库应用还要广泛，而网络中的绝大部分病毒是由E-mail带来的，因此，其检测与评估也变得十分重要。

　　1.4 Web站点

　　许多Web Server软件(如IIS等)有许多安全漏洞，相应的产品供应商也在不断解决这些问题。通过检测与评估，进行合理的设置与安全补丁程序，可以把不安全危险尽量降低。

　　2 建立安全体系结构，有针对性的解决网络安全问题

　　2.1 物理安全

　　物理安全是指在物理介质层次上对存储和传输的网络信息进行安全保护，是网络信息安全的基本保障。建立物理安全体系结构应从3个方面考虑：一是自然灾害(地震、火灾、洪水)、物理损坏(硬盘损坏、设备使用到期、外力损坏)和设备故障(停电断电、电磁干扰);二是电磁辐射、乘机而入、痕迹泄漏等;三是操作失误(格式硬盘、线路拆除)、意外疏漏等。

　　2.2 操作系统安全

　　网络操作系统是网络信息系统的核心，其安全性占据十分重要的地位。根据美国的“可信计算机系统评估准则”，把计算机系统的安全性从高到低分为4个等级：A、B、C、D。DOS、Windows 3.x/95、MacOS 7.1等属于D级，即最不安全的。Windows NT/2000/XP、Unix、Netware等则属于C2级，一些专用的操作系统可能会达到B级。C2级操作系统已经有了许多安全特性，但必须对其进行合理的设置和管理，才能使其发挥作用。如在Windows NT下设置共享权限时，缺省设置是所有用户都是“Full Control”权限，必须对其进行更改。

　　2.3 使用ACL封堵常见病毒端口

　　大多数病毒都是通过TCP的135(Microsoft RPC)，136-139(NetBIOS)，445(Microsoft DS)，1068，555，9996，2046，4444，1434，UDP的135，136，137，138，139，445，5554，9996，2046，4444，1434端口进行传播的。利用Extended access-list禁用某些病毒的传播端口，并将IP访问列表应用到相应的VLAN和端口可以有效防止病毒的传播。

　　Extended ACL 配置

　　access-list 102 deny tcp any anyeq 135

　　access-list 102 deny tcp any anyeq 136

　　access-list 102 deny tcp any anyeq 137

　　access-list 102 deny tcp any anyeq 138

　　access-list 102 deny tcp any anyeq 139

　　access-list 102 deny tcp any anyeq 445

　　access-list 102 deny tcp any anyeq 1068

　　access-list 102 deny udp any anyeq 135

　　access-list 102 deny udp any anyeq 136

　　access-list 102 deny udp any anyeq 137

　　access-list 102 deny udp any anyeq 138

　　access-list 102 deny udp any anyeq 139

　　access-list 102 deny udp any anyeq 445

　　access-list 102 deny tcp any anyeq 5554

　　access-list 102 deny udp any anyeq 5554

　　access-list 102 deny tcp any anyeq 9996

　　access-list 102 deny udp any anyeq 9996

　　access-list 102 deny tcp any anyeq 2046 　　access-list 102 deny udp any anyeq 2046

　　access-list 102 deny tcp any anyeq 4444

　　access-list 102 deny udp any anyeq 4444

　　access-list 102 deny tcp any anyeq 1434

　　access-list 102 deny udp any anyeq 1434

　　access-list 102 permit ip any any

　　access-list 102 permit tcp any any

　　access-list 102 permit udp any any

　　将ACL应用到各VLAN，配置命令如下(vlan1-10可以根据实际情况改变)

　　interface range vlan 1 - 10

　　ip access-group 102 in

　　ip access-group 102 out

　　exit

　　配置命令后在路由器上使用show access-list查看ACL的配置。

　　2.4 封堵p2p端口

　　企业将自己的内网与其外网相连，虽然这样可以从网上得到很多对公司有利的商机，但是有些企业内部员工，还要使用P2P软件非法占用公共的网络资源，从而影响到了其他人员的办公。由于雇员滥用对等(P2P)网络技术共享音乐和视频，这项技术已经直接影响到企业的利益。由于目前国内企业一般只有有限的带宽，而P2P的出现在给你带来好处的同时，也给网络带宽带来了巨大的压力，尤其在用来进行大量数据下载的时候，很容易导致企业的其他业务无法正常进行。

　　我们可以在出口路由上利用Extended access-list 控制列表限制p2p端口。

　　Router (config)#access-list 110 deny tcp any any range 6881 6890

　　Router (config)#access-list 110 permit ip any any

　　Router (config)#interface fastethernet0/0

　　Router (config-if)#ip access-group 111 in

　　另外，如果需要保证网络的绝对安全性，则可以利用ACL只开放常用的端口，其他所有端口全部禁用。由于这样做很大限度地限制了通信端口，故没有在实际试验中使用，因为会导致整个网络的通讯受到影响，该规则只适合用于对网络通信要求非常严格的网络环境下。

　　Router(config)#access-list 112 permit tcp any anyeq 25

　　Router(config)#access-list 112 permit tcp any anyeq 53

　　Router(config)#access-list 112 permit tcp any anyeq 80

　　Router(config)#access-list 112 permit tcp any anyeq 110

　　Router(config)#access-list 112 deny ip any any

　　企业网络安全防范二：

　　1 企业网络威胁分析

　　许多企业计算机网络当前所面临的威胁大体可分为两种：一是对网络中资源的威胁;二是对网络中设备的威胁。影响计算机网络的因素很多，有些因素可能是有意的，也可能是无意的;可能是人为的，也可能是非人为的;可能是外来黑客对网络系统资源的非法使有，归结起来，针对网络安全的威胁主要有以下几点：

　　1.1 人为的无意失误 如用户对计算机安全配置不当造成的安全漏洞，用户安全意识不强，密码口令设置较弱，用户将自己的账号随意转借他人或与别人共享等都会对网络安全带来威胁。

　　1.2 人为的恶意攻击 这是计算机网络所面临的最大威胁。此类攻击又可以分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性;另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。这两种攻击均可对计算机网络造成极大的危害，并导致机密数据的泄漏。

　　1.3 网络软件的漏洞和系统后门 网络软件不可能是百分之百的无缺陷和无漏洞的，然而，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。另外，系统后门都是软件公司的设计编程人员为了自己方便而设置的，一般不为外人所知，但一旦后门洞开，其造成的后果将不堪设想。

　　1.4 病毒是网络安全的一大隐患 目前，全球已发现四万余种病毒，并且以每月新增300多种的速度继续破坏着网络上宝贵的信息资源。计算机病毒不但本身具有破坏性，更有害的是具有传染性，一旦病毒被复制或产生变种，其速度之快令人难以预防。

　　2 企业网络脆弱性分析

　　2.1 难以抵制针对系统自身缺陷的攻击 此类攻击手段包括特洛伊木马、口令猜测、缓冲区溢出等。利用系统固有的或系统配置及管理过程中的安全漏洞，穿透或绕过安全设施的防护策略，达到非法访问直至控制系统的目的，并以此为跳板，继续攻击其它系统。

　　2.2 安全监控手段不多 许多企业没有部署有效的流量管理措施，不能对企业网络中的流量进行监控。当网络中垃圾数据包大量产生，P2P、BT下载猖獗，会严重阻塞网络，拖慢网络中重要业务应用，并最终导致系统瘫痪。

　　2.3 防病毒系统难以应对复杂多变的病毒环境 现在很多病毒为利用操作系统漏洞进行传播的蠕虫病毒，这种类型的病毒整合了传统病毒传播和黑客攻击的技术，以多种方式进行传播和攻击。它不需要人工干预，能够自动发现和利用系统漏洞，并自动对有系统漏洞的计算机进行传播和攻击，其传播和感染速度极快，破坏性也更强，受感染的系统通常伴随着木马程序种植。这种类型的病毒除了破坏被感染的机器，在传播过程中也会形成DOS攻击，阻塞网络。

　　2.4 网络设计不合理 网络设计是指拓扑结构的设计和各种网络设备的选择、配置等。网络设备、网络协议、网络操作系统等都会直接带来安全隐患。合理的网络设计在节约资源的情况下，还可以提供较好的安全性。企业的网络架构简单，交换机配置不合理，都会对网络造成威胁。

　　2.5 缺少严格合理的安全管理制度 政策的不完善、落实不彻底、安全管理制度的不健全、措施不得力和缺乏有效的动态管理网络系统安全策略的能力等都可能形成对系统安全的威胁。

　　3 防范措施

　　3.1 防火墙部署 防火墙是建立在内部专有网络和外部公有网络之间的。所有来自公网的传输信息或从内网发出的信息都必须穿过防火墙。网络访问的安全一方面我们要配置防火墙禁止对内访问，以防止互联网上黑客的非法入侵;另一方面对允许对内访问的合法用户设立安全访问区域。防火墙是在系统内部和外部之间的隔离层，可保护内部系统不被外部系统攻击。

　　通过配置安全访问控制策略，可确保与外界可靠、安全连接。防火墙的功能是对访问用户进行过滤，通过防火墙的设置，对内网、公网、DMZ区进行划分，并实施安全策略，防止外部用户或内部用户彼此之间的恶性攻击。同时防火墙支持功能，对经常出差的领导、员工支持远程私有网络，用户通过公网可以象访问本地内部局域网一样任意进行访问。此外，防火墙还可以收集和记录关于系统和网络使用的多种信息，为流量监控和入侵检测提供可靠的数据支持。

　　3.2 防病毒系统 在网络环境下，计算机病毒有不可估量的威胁性和破坏力，因此计算机病毒的防范是网络安全性建设中重要的一环。

　　通过部署防病毒系统，做到实现集中病毒管理，在中心控制台可监视所有部署防病毒客户端的计算机和服务器。并可据具体需要制定出相应的防范和救治措施，如删除，隔离，杀毒等;能够对进入系统的病毒做实时的响应。自动由中心控制台向其它计算机和服务器更新病毒库。可以预先设定对某些重要文件进行实时扫描监控。

　　3.3 流量监控系统 什么是流量监控?众所周知，网络通信是通过数据包来完成的，所有信息都包含在网络通信数据包中。两台计算机通过网络“沟通”，是借助发送与接收数据包来完成的。所谓流量监控，实际上就是针对这些网络通信数据包进行管理与控制，同时进行优化与限制。流量监控的目的是允许并保证有用数据包的高效传输，禁止或限制非法数据包传输，一保一限是流量监控的本质。在P2P技术广泛应用的今天，企业部署流量监控是非常有必要的。

　　3.4 合理的配置策略 通过将企业网络划分为虚拟网络VLAN网段，可以强化网络管理和网络安全。

　　3.4.1 增加了网络连接的灵活性 借助VLAN技术，能将不同地点、不同网络、不同用户组合在一起，形成一个虚拟的网络环境，就像使用本地LAN一样方便、灵活、有效。VLAN可以降低移动或变更工作站地理位置的管理费用，特别是一些业务情况有经常性变动的公司使用了VLAN后，这部分管理费用大大降低。

　　3.4.2 控制网络上的广播 VLAN可以提供建立防火墙的机制，防止交换网络的过量广播。使用VLAN，可以将某个交换端口或用户赋于某一个特定的VLAN组，该VLAN组可以在一个交换网中或跨接多个交换机，在一个VLAN中的广播不会送到VLAN之外。同样，相邻的端口不会收到其他VLAN产生的广播。这样可以减少广播流量，释放带宽给用户应用，减少广播的产生。

　　3.4.3 增加网络的安全性 因为一个VLAN就是一个单独的广播域，VLAN之间相互隔离，这大大提高了网络的利用率，确保了网络的安全保密性。交换端口可以基于应用类型和访问特权来进行分组，被限制的应用程序和资源一般置于安全性VLAN中。

　　3.5 安全管理制度 面对网络安全的脆弱性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，还必须花大力气加强网络的安全管理，制订相应的管理制度或采用相应的规范。对于安全等级要求较高的系统，要实行分区控制，限制工作人员出入与己无关的区域。出入管理可安装自动识别登记系统，采用指纹锁、身份卡等手段，对人员进行识别、登记管理。

　　4 结束语

　　总之，网络安全是需要综合的部署和完善的策略来做保证的。企业的网络安全是一项综合性很强的工作，并且持续的时间将随着整个拓扑和应用的周期而扩展。网络管理人员必须明确网络安全的框架体系、安全防范的层次结构和系统设计的基本原则，根据规定的安全策略制定出合理灵活的部署，这样才能真正做到整个网络的安全。

　　企业网络安全防范三：

　　1.企业网络现状分析

　　公司的发展壮大使其企业布局发生了巨大的变化。随着公司发展，需要重新规划：其网络结构。存在着远端数据收集困难，病毒威胁、黑客入侵、垃圾和病毒邮件威胁，带宽利用率低等

　　问题。

　　(1)病毒威胁，病毒是网络安全最大威胁，每年给各种企业带来的损失巨大，使所有企业都对病毒“谈毒色变”。

　　(2)ARP攻击威胁，ARP本是网络体系结构中的一个协议，这个协议关系到计算机网络通信必不可少的两个地址IP与MAC地址的转换功能。

　　(3)通过网络方式泄露企业机密，造成企业损失。网络在成为羲要交流工具的同时也成了重要的泄密渠道。

　　2.企业局域网安全防范方案

　　(1) 防火墙技术安全配置。网络防火墙技术是一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络互联设备。它对两个或多个网络之间传输的数据包如链接方式按照一定的安全策略来实施检查，以决定网络之间的通信是否被允许，并监视网络运行状态。

　　防火墙设置在不同网络或网络安全域之间信息的唯一出入口。包过滤防火墙工作在网络层上，有选择的让数据包在内部网络与外部网络之间进行交换。一般利用IP和TCP包的头信息对进出被保护网络的IP包信息进行过滤，能根据企业的安全政策来控制(允许、拒绝、监测)出入网络的信息流。同时可实现网络地址转换(NAT)、审记与实时告警等功能。

　　代理服务防火墙也有一定功效，是一种增加了安全功能的应用层网关，位于internet和intranet之间，自动截取内部用户访问internet的请求，验证其有效性，代表用户建立访问外部网络的连接。代理服务器在很大程度上对用户是透明的，如果外部网络个站点之间的连接被切断了，必须通过代理服务器方可相互连通。

　　(2)攻击检测技术及方法。网络系统的安全性取决于网络系统中最薄弱的环节，所以要及时发现并修正网络中存在的弱点和漏洞。网络安全检测工具通常是一个网络安全性评估分析软件，其功能是用实践性的方法扫描分析网络系统，检查报告系统存在的弱点和漏洞，建议补救措施和安全策略，达到增强网络安全性的目的。

　　这样，防火墙将得到合理配置，内外WEB站点的安全漏洞减为最低，网络体系达到强壮的耐攻击性，对网络访问做出有效响应，保护重要应用系统(如财务系统)数据安全不受黑客攻击和内部人员误操作的侵害。入侵检测系统是根据已有的、最新的和可预见的攻击手段的信息代码对进出网络的所有操作行为进行实时监控、记录，并按制定的策略实行响应(阻断、报警、发送E-mail)，一般包括控制台和探测器，也不会对网络系统性能造成多大影响。

　　(3)审计与监控技术实施。由于企业需要的是一个非常庞大的网络系统，因而对整个网络(或重要网络部分)运行进行记录、分析是非常重要的，它可以让用户通过对记录的日志数据进行分析、比较，找出发生的网络安全问题的原因，并可作为以后的法律证据或者为以后的网络安全调整提供依据。

　　审计是记录用户使用计算机网络系统进行所有活动的过程，它是提高安全性的重要工具。它不仅能够识别谁访问了系统，还能看出系统正被怎样的使用。对于确定是否有网络攻击的情况，审计信息对于去定问题和攻击源很重要。同时，系统事件的记录能够更迅速和系统的识别问题，并且它是后面阶段事故处理的重要依据。

　　另外，通过对安全事件的不断收集与积累并且加以分析，有选择性地对其中的某些站点或用户进行审计跟踪，以便对发现或可能产生的破坏性行为提供有力的证据。

　　(4) 企业局域网防病毒设置。随着网络病毒的泛滥，对于一个局域网来说，以前各扫门前雪的防病毒方式经显得力不从心了，如果仅靠局域网中部分计算机的单机版防病毒软件，根本不可能做到对病毒的及时防御。

　　因此，在局域网中构建一个完整的防病毒体系己经成为当务之急，网络防病毒软件也应运而生。主要面向MAIL、Web服务器，以及办公网段的PC服务器和PC机等。

　　支持对网络、服务器和工作站的实时病毒监控;能够在中心控制台向多个目标分发新版杀毒软件，并监视多个目标的病毒防治情况;

　　支持多种平台的病毒防范;能够识别广泛的已知和未知病毒，包括宏病毒;支持对Internet/ Intranet服务器的病毒防治，能够阻止恶意的Java或ActiveX小程序的破坏;

　　支持对电子邮件附件的病毒防治，包括WORD、EXCEL中的宏病毒;支持对压缩文件的病毒检测;支持广泛的病毒处理选项，如对染毒文件进行实时杀毒，移出，重新命名等;

　　支持病毒隔离，当客户机试图上载一个染毒文件时，服务器可自动关闭对该工作站的连接;提供对病毒特征信息和检测引擎的定期在线更新服务;支持日志记录功能;支持多种方式的告警功能(声音、图像、电子邮件等)等。

　　为了保护网络的安全性，除了在网络设计上增加安全服务功能，完善系统的安全保密措施外，安全管理规范也是网络安全所必须的。

　　3.结束语

　　在信息化时代，网络的安全应用是非常必要的，它将有效防止潜在敌人和不法分子的破坏，有效保护企业机密，降低企业的办公成本。网络安全的发展过程中，我们必须更进一步的开展企业信息安全应用研究。