1. 网络层访问控制1.1. 网络准入控制1.1.1. NAC原理1.1.1.1. 网络准入控制是在网络层控制用户和设备接入的手段确保只有符合企业要求的人员、设备才能访问对应的网络资源防止不可信或不安全的设备特别是感染病毒木马的计算机接入企业网络后对网络产生风险1.1.1.2. 网络准入策略中心提供身份认证、安全检查与授权、记账等服务1.1.1.3. 如果策略检查不通过则将终端设备接入修复区对不符合策略要求的风险进行修复如资产登记、病毒库更新、打补丁等直到符合要求才能重新接入企业网络1.1.1.4. 802.1X需要交换机设备支持是一种网络接入控制协议可对所接入的用户设备进行认证和控制​1.1.1.5. DHCP先分配一个临时的IP只能访问到修复区通过策略检查后再分配正式的IP​1.1.1.6. 网络准入控制方案是一个综合性的解决方案以访问控制为主并覆盖安全架构中的各个要素1.1.2. 办公终端管理1.1.2.1. 未注册终端1.1.2.1.1. 没有在系统中登记的终端。这是所有终端设备的初始状态管理政策上可规定未注册终端不具有任何权限也就是说无法用于办公使用​并体现在访问控制机制上1.1.2.2. 已注册终端1.1.2.2.1. 未注册终端按照规定的流程使用规定的注册工具在资产库中登记相应的信息如设备编号、MAC地址、使用责任人等​变为已注册终端1.1.2.2.2. 管理政策上可限制仅允许公司配发的电脑才可以成功注册1.1.2.3. 不可信终端1.1.2.3.1. 是那些之前已经完成注册登记但目前无法通过设备认证如病毒库过期、存在高危漏洞补丁未修复​、未通过人员认证或策略检测不通过的终端1.1.2.3.2. 不可信终端通过接入修复区完成修复后可转为可信任终端1.1.2.4. 可信任终端1.1.2.4.1. 通过设备认证、人员认证及安全政策检测的已注册终端1.1.2.4.2. 设备认证可通过设备证书或设备ID、MAC地址等进行资产库验证1.1.2.4.3. 人员认证通过SSO或Windows Active DirectoryAD域实施1.1.2.4.4. 安全政策检查包括系统补丁、病毒库更新状态、安装了规定的软件、未安装指定的黑名单软件等1.1.2.4.5. 可信任终端在发现新的风险后可降级为不可信终端并因此拒绝接入办公网络1.1.2.5. 只允许公司配发的电脑或已登记并经过授权的个人电脑才能注册登记并通过设备的身份认证1.1.2.6. 只允许可信任终端接入办公网络否则接入修复区1.1.2.7. 在修复区可以执行合法访问前的修复动作如加入企业的AD域、升级补丁、安装必要的安全客户端和防病毒软件等1.1.2.7.1. 在修复之后才能正常访问办公网络1.1.3. 服务器NAC1.1.3.1. 基于不信任原则我们不能信任任何内外部人员*也可以不信任任何设备1.1.3.2. 实施服务器NAC之后的好处显而易见只有企业的服务器设备才能接入生产网络而其他未经授权的设备将被拒绝接入1.2. 生产网络主动连接外网的访问控制1.2.1. 第一种策略是允许服务器自由访问互联网​不加管控效率较高但无法防止敏感数据外传1.2.2. 第二种策略是不允许服务器自由访问互联网​需经过指定的代理服务器和相应的配置这样对业务的效率会有少量影响但可以很好地控制数据外传和员工行为1.2.2.1. 生产网络出向访问的专用代理需要支持多种访问策略如限定一个目标网站点对点​、多个目标网站、任意目标网站等1.2.2.2. 内部软件源毕竟将业务访问外网的通道堵住了对于安装软件的需求需要有个出路​1.3. 网络防火墙的管理1.3.1. 在真正的无边界网络架构里企业的各种业务和服务都按照安全的架构原则通过身份认证、最小化授权、访问控制、审计并实施了安全的资产保护*其实是不需要防火墙的1.3.2. 网络防火墙仍是不同的安全域之间访问控制的主要执行者特别是内网的不同安全域之间的互访1.3.3. 源IP地址用于限制访问来源1.3.4. 源端口一般使用any因为主动发起方所使用的端口是随机的1.3.4.1. 对于那些采用无状态防火墙管理的企业来说就需要单独为服务器的响应创建一条策略1.3.5. 目的IP地址用于限定目标范围1.3.6. 目的端口用于限定目标服务1.3.7. 传输层协议用于限制传输协议类型TCP/UDP​1.3.8. 问题1.3.8.1. 策略越来越臃肿逐步逼近或已达到防火墙设备的策略上限1.3.8.2. 随着业务的变迁历史策略中的一部分早已失效成为了网络访问控制的漏洞1.3.8.3. 随着业务的扩张安全域越来越多策略越来越复杂1.3.9. 建议1.3.9.1. 安全域不能过多只要满足合规要求及敏感业务的保密需要即可1.3.9.2. 跟基础设施有关的纳入基线策略建设时一次性开通不要让业务来申请由安全团队和网络维护团队定期审视1.3.9.3. 业务申请的防火墙需要具备流程上的清理机制具备责任人和有效期机制并在流程上启用到期前提醒功能复核该策略的必要性1.3.9.3.1. 服务器之间的策略由于都是固定的IP地址有效期可以长一些建议一年1.3.9.3.2. 由于办公网大多采用DHCP机制因此办公网到服务器的策略只要访问源属于动态IP就需要压缩有效期一个月以内​1.3.9.4. 临时策略一般用于满足应急、测评的需要按需短期开放到期撤销1.4. 没有为内部业务建立相应的身份认证、授权与访问控制机制一旦黑客进入内网就可以利用内网缺乏防护的弱点扩大入侵范围1.5. 没有及时给内网服务器打上补丁一旦病毒进入内网就会肆意传播1.5.1. 在一些保密性要求较高的内部网络里往往会设置一些跟办公网络和生产网络隔离的孤岛网络这些孤岛网络在补丁管理和病毒防护上存在明显缺1.6. 内网也不值得信任我们必须假设黑客已经进入内网再来谈如何从根本上改进安全1.6.1. 并不意味着内网一无是处尽可能地降低攻击面减少暴露的机会对于当前的业务还是必要的1.7. 运维通道的访问控制1.7.1. 在内部防火墙设备上拒绝所有办公网络对生产网络的直接运维通道而仅开通办公网络到跳板机或运维平台的策略2. 网络层流量审计2.1. 网络层流量审计就是以网络层的流量为分析对象构建基于大数据的流量分析及事件挖掘系统主动地从中发现DDoS攻击、入侵、数据泄露、明文传输敏感信息等风险2.2. 数据源就是访问公司业务的流量主要是Web流量3. 网络层资产保护3.1. DDoS3.1.1. 即分布式拒绝服务攻击是从多个来源针对一个目标发起的旨在让目标不可用的攻击形式3.1.2. 网络带宽资源耗尽型利用第三方服务的反射放大攻击、利用协议缺陷的异常包等​相当于通往目的地的通路被堵住就算目标服务还能正常提供服务但正常的用户访问不到3.1.2.1. 在这种情况下正常用户的访问请求根本就到不了服务器3.1.3. 主机计算资源耗尽型典型的是CC攻击​是指流量已到达目标服务器并且把目标服务器的资源CPU、内存等给占满使得服务器无法处理正常用户的访问请求3.2. DDoS缓解措施3.2.1. 优化代码降低系统资源占用3.2.2. 启用缓存降低对数据库资源的频繁读取3.2.3. 可以对服务降级暂停高消耗型的功能提供有损的服务3.3. 针对攻击方利用的弱点3.3.1. 让服务器前的带宽入口大于攻击流量带宽3.3.2. 提升自身性能的同时启用负载均衡或CDN加以分流将请求分散到多个入口3.4. 专业抗DDoS方案3.4.1. 专业的抗DDoS解决方案是云计算企业、CDN/安全防护厂商、运营商等大型企业才会考虑的事情3.4.2. 镜像流量可以来自分光器、IDS设备、应用网关等设施作为检测集群的输入3.4.3. 防护集群由清洗设备所构成通过路由回注等方式将正常的流量投递到目标网站将攻击流量清洗掉3.4.4. 腾讯的宙斯盾系统就是在实战中逐步发展起来的抗DDoS系统可抵御超过Tbps级DDoS攻击3.4.5. 通过和CDN配合降低分流到单个入口的带宽以及带宽扩容可以极大提升抵御DDoS攻击的能力3.4.6. 应用端口登记这样访问未登记的端口可以视为消耗带宽的无效请求可以直接抛弃3.4.7. 物联网设备IP如智能摄像头、家用智能路由器等如果业务并未向这些设备提供服务可以直接抛弃3.4.8. 高防IP这属于单节点的抗DDoS方案由于是单入口的高带宽占用供应商会使用单独的高防机房部署高带宽因此成本比较3.4.9. 高防CDN通过分流在每个CDN入口均实施抗DDoS方案