綜合利用 切實可行地部署企業(yè)深層防御

責任編輯:企業(yè)網(wǎng)

2011-02-10 09:33:00

摘自:IT168

深層防御是指用一系列防御機制保護電腦,在這種防御機制下,如果其中一個失效,那么其他保護方法還可以發(fā)揮作用。它側(cè)重實用的深層防御部署案例,我們的例證整合了現(xiàn)有的技術(shù)和高...

深層防御是指用一系列防御機制保護電腦,在這種防御機制下,如果其中一個失效,那么其他保護方法還可以發(fā)揮作用。它側(cè)重實用的深層防御部署案例,我們的例證整合了現(xiàn)有的技術(shù)和高效的綜合型企業(yè)網(wǎng)絡(luò)安全架構(gòu)。

環(huán)境

為了闡明如何部署深層防御,讓我們先考慮下面這個常見的企業(yè)IT安裝情境。許多企業(yè)出于不同的原因使用第三方托管架構(gòu)服務(wù)。通過外部托管,企業(yè)有能力利用傳統(tǒng)空間或能源模式在托管服務(wù)供應(yīng)商租借一個安全的環(huán)境,同時又可以對系統(tǒng)進行自主管理,或者他們也可以從供應(yīng)商那里購買托管服務(wù),這其中包括網(wǎng)絡(luò),系統(tǒng)和安全服務(wù)。這些環(huán)境旨在托管企業(yè)中可被公眾訪問的系統(tǒng),其范圍涉及郵件,公司用戶文件傳輸服務(wù),企業(yè)電子商務(wù)平臺。

不論是租借的還是托管型部署,安全都在環(huán)境設(shè)計中扮演著重要的角色。設(shè)計此類環(huán)境安全的一種典型方法是利用網(wǎng)絡(luò)。這樣討論的目的在于讓我們設(shè)想企業(yè)將自己的電子商務(wù)平臺托管到這樣的環(huán)境中。電子商務(wù)平臺包括Web層級,這些層級就好像是各種交易的傳輸工具或支付網(wǎng)關(guān)一樣。中間件和數(shù)據(jù)庫層級起支持作用。這樣的設(shè)計要求把每個層級都托管到合適的網(wǎng)絡(luò),也就是虛擬局域網(wǎng)或VLAN。用過濾設(shè)備,如在安全性較低的界面使用帶有Web服務(wù)器的防火墻等,便可以完成這一任務(wù)。而中間件和數(shù)據(jù)庫層級要托管到安全性較高的界面。而且不能從公共網(wǎng)絡(luò)直接訪問中間件和數(shù)據(jù)庫層級。在某些設(shè)計情境中,中間件和數(shù)據(jù)庫層級位于相同的防火墻界面之后,只不過位于不同VLAN上。在此類情境中,兩個層級之間不存在流量過濾,除非交換機強制要求進行過濾。

這類案例中的防火墻就好像是防御互聯(lián)網(wǎng)威脅的最基本屏障。我們會將這樣的環(huán)境作為部署深層防御策略(使用現(xiàn)有安全技術(shù))的基線。

切實可行的深層防御

筆者想到了一個為上述環(huán)境部署安全部署安全方案的好方法,我們可以按照不同企業(yè)的具體需求分別對待。

深層防御的第一步是在供應(yīng)商網(wǎng)絡(luò)架構(gòu)中的企業(yè)環(huán)境外強制部署。該技術(shù)組件主要負責保護環(huán)境免受分布式DDoS攻擊。DDoS攻擊緩解技術(shù)一般包括兩個組件:第一個組件主要通過監(jiān)控普通流量中的異常行為來檢測攻擊,第二個組件主要通過已知的流量行為來減輕攻擊(例如,威脅管理系統(tǒng)或TMS)。

 

DDoS保護通過邊界網(wǎng)關(guān)協(xié)議(從中心路由設(shè)備到DDoS清理中心)實現(xiàn)瞬時的流量分離。最有效的DDoS減緩時通過供應(yīng)商的架構(gòu)實現(xiàn),因此可以減少鏈接飽和的風險和增加的帶寬成本。

防火墻可以有效阻擋特定網(wǎng)絡(luò)威脅,但是在托管環(huán)境中,端口對互聯(lián)網(wǎng)敞開——HTTP(80/TCP)和HTTPS(443/TCP)——其有效性受到局限。在這樣的環(huán)境中,最好是用Web應(yīng)用防火墻設(shè)備來增大防火墻。

Web 應(yīng)用防火墻主要被用來保護環(huán)境免受針對應(yīng)用的攻擊,如跨站點腳本攻擊,SQL注入和參數(shù)篡改等。這些設(shè)備都是通過托管環(huán)境中,防火墻和核心網(wǎng)絡(luò)交換機之間的物理連接來配置。一個Web應(yīng)用防火墻就像是一個橋接設(shè)備,它可以在應(yīng)用層攔截那些與已知攻擊向量流量的特征相符合的數(shù)據(jù)流。當硬件啟動失效的時候,它也不能被打開,所以它能確保流量繼續(xù)流向Web服務(wù)器。一些Web應(yīng)用防火墻供應(yīng)商也提供數(shù)據(jù)庫的監(jiān)控和保護服務(wù),這些服務(wù)可以掌控通向數(shù)據(jù)庫的威脅。保護是通過代理強制部署,而代理通常被安裝在托管數(shù)據(jù)庫的服務(wù)器上。

由于Web應(yīng)用防火墻一般關(guān)注的都是發(fā)生在應(yīng)用層的攻,因此它對以網(wǎng)絡(luò)為中心的攻擊不能進行有效攔截——如互聯(lián)網(wǎng)蠕蟲。一個Web應(yīng)用防火墻可用來配合入侵防御系統(tǒng),后者主要是對網(wǎng)絡(luò)層上完成基于簽名的修復(fù)。這些設(shè)備在內(nèi)聯(lián)容量中整合了防火墻,而它們離開防火墻的同時會攔截威脅,因此可作為模塊使用。

隨著我們進一步接近服務(wù)器平臺,對于有效地深層防御而言,抵抗惡意威脅和監(jiān)控文件系統(tǒng)的任務(wù)顯得尤為重要??梢越Y(jié)合主流 反病毒/反惡意 軟件和內(nèi)容完整性監(jiān)控系統(tǒng)來實現(xiàn)這一任務(wù),其中內(nèi)容完整性監(jiān)控系統(tǒng)可以實時追蹤文件系統(tǒng)發(fā)生的更改,并發(fā)出警告。

將所有的嘗試結(jié)合在一起就可以實現(xiàn)集中式日志管理系統(tǒng),該系統(tǒng)就好像是單獨安全組件的日志存取器。除了可以用作傳統(tǒng)服務(wù)器的日志存取器,一個日志管理系統(tǒng)還可以在預(yù)置的事件過濾器上生成實時警告。而且,它還能為各種安全組件的日志數(shù)據(jù)提供靈活的搜索界面。另一類名為安全信息和事件管理的系統(tǒng),則在日志管理中具備根。它可被用來代替日志管理系統(tǒng)。安全信息和事件管理系統(tǒng)擴展了日志管理系統(tǒng)的功能,因為它還可以提供智能的威脅分析與減弱威脅的功能。

綜合利用

如你所見,我們已經(jīng)指出一些可以保護企業(yè)托管環(huán)境中單個組件的特有安全技術(shù),從供應(yīng)商架構(gòu)中的DDoS減弱方法,到用于網(wǎng)絡(luò)保護的防火墻和入侵防御(IPS)技術(shù),再到用于應(yīng)用層保護的Web應(yīng)用防火墻,還有用于保護文件系統(tǒng)完整性的內(nèi)容完整性監(jiān)控系統(tǒng)(CIMS),最后是為各種安全和服務(wù)器組件提供日志信息的日志管理系統(tǒng)(LMS)。不過,要想擁有一個可以實時監(jiān)測安全威脅并具備安全適應(yīng)性的平臺,恐怕還任重而道遠。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號