網路安全邊界

A. 怎樣解決網路邊界安全問題

邊界防護技術

從網路的誕生，就產生了網路的互聯，Cisco公司就是靠此而興起的。從沒有什麼安全功能的早期路由器，到防火牆的出現，網路邊界一直在重復著攻擊者與防護者的博弈，這么多年來，「道高一尺，魔高一丈」，好象防護技術總跟在攻擊技術的後邊，不停地打補丁。其實邊界的防護技術也在博弈中逐漸成熟：

1、防火牆技術

網路隔離最初的形式是網段的隔離，因為不同的網段之間的通訊是通過路由器連通的，要限制某些網段之間不互通，或有條件地互通，就出現了訪問控制技術，也就出現了防火牆，防火牆是不同網路互聯時最初的安全網關。


防火牆的安全設計原理來自於包過濾與應用代理技術，兩邊是連接不同網路的介面，中間是訪問控制列表ACL，數據流要經過ACL的過濾才能通過。ACL有些象海關的身份證檢查，檢查的是你是哪個國家的人，但你是間諜還是遊客就無法區分了，因為ACL控制的是網路的三層與四層，對於應用層是無法識別的。後來的防火牆增加了NAT/PAT技術，可以隱藏內網設備的IP地址，給內部網路蒙上面紗，成為外部「看不到」的灰盒子，給入侵增加了一定的難度。但是木馬技術可以讓內網的機器主動與外界建立聯系，從而「穿透」了NAT的「防護」，很多P2P應用也採用這種方式「攻破」了防火牆。

防火牆的作用就是建起了網路的「城門」，把住了進入網路的必經通道，所以在網路的邊界安全設計中，防火牆成為不可缺的一部分。

防火牆的缺點是：不能對應用層識別，面對隱藏在應用中的病毒、木馬都好無辦法。所以作為安全級別差異較大的網路互聯，防火牆的安全性就遠遠不夠了。

2、多重安全網關技術

既然一道防火牆不能解決各個層面的安全防護，就多上幾道安全網關，如用於應用層入侵的IPS、用於對付病毒的AV、用於對付DDOS攻擊的…此時UTM設備就誕生了，設計在一起是UTM，分開就是各種不同類型的安全網關。

多重安全網關就是在城門上多設幾個關卡，有了職能的分工，有驗證件的、有檢查行李的、有查毒品的、有查間諜的……

多重安全網關的安全性顯然比防火牆要好些，起碼對各種常見的入侵與病毒都可以抵禦。但是大多的多重安全網關都是通過特徵識別來確認入侵的，這種方式速度快，不會帶來明顯的網路延遲，但也有它本身的固有缺陷，首先，應用特徵的更新一般較快，目前最長也以周計算，所以網關要及時地「特徵庫升級」；其次，很多黑客的攻擊利用「正常」的通訊，分散迂迴進入，沒有明顯的特徵，安全網關對於這類攻擊能力很有限；最後，安全網關再多，也只是若干個檢查站，一旦「混入」，進入到大門內部，網關就沒有作用了。這也安全專家們對多重安全網關「信任不足」的原因吧。

3、網閘技術

網閘的安全思路來自於「不同時連接」。不同時連接兩個網路，通過一個中間緩沖區來「擺渡」業務數據，業務實現了互通，「不連接」原則上入侵的可能性就小多了。

網閘只是單純地擺渡數據，近似於人工的「U盤擺渡」方式。網閘的安全性來自於它擺渡的是「純數據」還是「灰數據」，通過的內容清晰可見，「水至清則無魚」，入侵與病毒沒有了藏身之地，網路就相對安全了。也就是說，城門只讓一種人通過，比如送菜的，間諜可混入的概率就大大降低了。但是，網閘作為網路的互聯邊界，必然要支持各種業務的連通，也就是某些通訊協議的通過，所以網閘上大多開通了協議的代理服務，就象城牆上開了一些特殊的通道，網閘的安全性就打了折扣，在對這些通道的安全檢查方面，網閘比多重安全網關的檢查功效不見得高明。

網閘的思想是先堵上，根據「城內」的需要再開一些小門，防火牆是先打開大門，對不希望的人再逐個禁止，兩個思路剛好相反。在入侵的識別技術上差不多，所以採用多重網關增加對應用層的識別與防護對兩者都是很好的補充。

後來網閘設計中出現了存儲通道技術、單向通道技術等等，但都不能保證數據的「單純性」，檢查技術由於沒有新的突破，所以網閘的安全性受到了專家們的質疑。

但是網閘給我們帶來了兩點啟示：

1、建立業務互通的緩沖區，既然連接有不安全的可能，單獨開辟一塊地區，縮小不安全的范圍也是好辦法。

2、協議代理，其實防火牆也有應用代理是思想，不讓來人進入到成內，你要什麼服務我安排自己的人給你提供服務，網路訪問的最終目的是業務的申請，我替你完成了，不也達到目的了嗎？黑客在網路的大門外邊，不進來，威脅就小多啦。

4、數據交換網技術

火牆到網閘，都是採用的關卡方式，「檢查」的技術各有不同，但對黑客的最新攻擊技術都不太好用，也沒有監控的手段，對付「人」的攻擊行為來說，只有人才是最好的對手。

數據交換網技術是基於緩沖區隔離的思想，把城門處修建了一個「數據交易市場」，形成兩個緩沖區的隔離，同時引進銀行系統對數據完整性保護的Clark-Wilson模型，在防止內部網路數據泄密的同時，保證數據的完整性，即沒有授權的人不能修改數據，防止授權用戶錯誤的修改，以及內外數據的一致性。

數據交換網技術給出了邊界防護的一種新思路，用網路的方式實現數據交換，也是一種用「土地換安全」的策略。在兩個網路間建立一個緩沖地，讓「貿易往來」處於可控的范圍之內。

數據交換網技術比其他邊界安全技術有顯著的優勢：

1、綜合了使用多重安全網關與網閘，採用多層次的安全「關卡」。

2、有了緩沖空間，可以增加安全監控與審計，用專家來對付黑客的入侵，邊界處於可控制的范圍內，任何蛛絲馬跡、風吹草動都逃不過監控者的眼睛。

3、業務的代理保證數據的完整性，業務代理也讓外來的訪問者止步於網路的交換區，所有的需求由服務人員提供，就象是來訪的人只能在固定的接待區洽談業務，不能進入到內部的辦公區。

數據交換網技術針對的是大數據互通的網路互聯，一般來說適合於下面的場合：

1、頻繁業務互通的要求：

要互通的業務數據量大，或有一定的實時性要求，人工方式肯定不夠用，網關方式的保護性又顯不足，比如銀行的銀聯系統、海關的報關系統、社保的管理系統、公安的出入境管理系統、大型企業的內部網路（運行ERP）與Internet之間、公眾圖書館系統等等。這些系統的突出特點都是其數據中心的重要性是不言而喻，但又與廣大百姓與企業息息相關，業務要求提供互聯網的訪問，在安全性與業務適應性的要求下，業務互聯需要用完整的安全技術來保障，選擇數據交換網方式是適合的。

2、高密級網路的對外互聯：

高密級網路一般涉及國家機密，信息不能泄密是第一要素，也就是絕對不允許非授權人員的入侵。然而出於對公眾信息的需求，或對大眾網路與信息的監管，必須與非安全網路互聯，若是監管之類的業務，業務流量也很大，並且實時性要求也高，在網路互聯上選擇數據交換網技術是適合的。

四、總結「魔高道高，道高魔高」。網路邊界是兩者長期博弈的「戰場」，然而安全技術在「不斷打補丁」的同時，也逐漸在向「主動防禦、立體防護」的思想上邁進，邊界防護的技術也在逐漸成熟，數據交換網技術就已經不再只是一個防護網關，而是一種邊界安全網路，綜合性的安全防護思路。也許安全的話題是永恆的，但未來的網路邊界一定是越來越安全的，網路的優勢就在於連通。

B. 怎樣解決網路邊界安全問題

網路隔離最初的形式是網段的隔離，因為不同的網段之間的通訊是通過路由器連通的，要限制某些網段之間不互通，或有條件地互通，就出現了訪問控制技術，也就出現了防火牆，防火牆是不同網路互聯時最初的安全網關。

防火牆的安全設計原理來自於包過濾與應用代理技術，兩邊是連接不同網路的介面，中間是訪問控制列表ACL，數據流要經過ACL的過濾才能通過。ACL有些象海關的身份證檢查，檢查的是你是哪個國家的人，但你是間諜還是遊客就無法區分了，因為ACL控制的是網路的三層與四層，對於應用層是無法識別的。後來的防火牆增加了NAT/PAT技術，可以隱藏內網設備的IP地址，給內部網路蒙上面紗，成為外部「看不到」的灰盒子，給入侵增加了一定的難度。但是木馬技術可以讓內網的機器主動與外界建立聯系，從而「穿透」了NAT的「防護」，很多P2P應用也採用這種方式「攻破」了防火牆。

防火牆的作用就是建起了網路的「城門」，把住了進入網路的必經通道，所以在網路的邊界安全設計中，防火牆成為不可缺的一部分。

防火牆的缺點是：不能對應用層識別，面對隱藏在應用中的病毒、木馬都好無辦法。所以作為安全級別差異較大的網路互聯，防火牆的安全性就遠遠不夠了。

C. 網路安全包括哪些內容

• 第一階段：計算環境安全。

針對操作系統、中間件基礎操作以及安全配置進行教學，配置真實業務系統，需掌握Windows操作系統安全、Linux操作系統安全、中間件安全、資料庫安全、PowerShell編程、LinuxShell編程、密碼學應用等技術，並能夠對操作系統以及業務系統進行安全配置以及安全事件分析。

• 第二階段：網路通信安全。

針對網路通信安全進行教學，涵蓋網路基礎、交換協議、路由協議、協議流量分析等內容，並配備電信級網路環境為該部門教學提供基礎支撐。

本階段需要掌握網路設計以及規劃，並對參與網路的網路設備進行網路互聯配置，從業務需求出發對網路結構進行安全設計以及網路設備安全配置。

講師會結合當前最新安全趨勢以及龍頭安全企業或行業安全風險對安全市場進行分析及預測，讓學員能夠在學習階段提前與安全市場進行接軌。

• 第三階段：Web安全。

本階段需掌握Web安全漏洞的測試和驗證，以及網路安全攻擊思路及手段，熟練利用所學知識以對其進行防禦，掌握網路安全服務流程。

• 第四階段 ：滲透測試。

本階段需要掌握滲透測試和內網安全。

滲透測試，這階段主要學習實戰中紅隊人員常用的攻擊方法和套路，包括信息搜集，系統提權，內網轉發等知識，msf，cs的工具使用。課程目標讓學員知己知彼，從攻擊者角度來審視自身防禦漏洞，幫助企業在紅藍對抗，抵禦真實apt攻擊中取得不錯的結果。

• 第五階段：安全運營。

根據業務需求掌握目前常見網路安全設備以及伺服器的安全配置以及優化，利用所有安全防護手段中得到的線索進行安全事件關聯分析以及源頭分析，並掌握網路威脅情報理論與實踐，掌握威脅模型建立，為主動防禦提供思路及支撐。

本階段主要學習安全加固、等級保護、應急響應、風險評估等技術知識。

• 第六階段：綜合實戰

本階段自選項目，針對熱點行業（黨政、運營商、醫療、教育、能源、交通等）業務系統、數據中心以及核心節點進行安全運營實戰；按等保2.0基本要求對提供公共服務的信息系統進行安全檢測、風險評估、安全加固以及安全事件應急響應。

D. 無線網路安全邊界在哪兒

在沒有wifi信號的地方。。。。

E. 什麼是網路安全域

網路安全域是指同一系統內有相同的安全保護需求，相互信任，並具有相同的安全訪問控制和邊界控制策略的子網或網路，且相同的網路安全域共享一樣的安全策略。廣義可理解為具有相同業務要求和安全要求的IT系統要素的集合。

網路安全域從大的方面分一般可劃分為四個部分：本地網路、遠程網路、公共網路、夥伴訪問。而在不同的安全域之間需要設置防火牆以進行安全保護。

1、遠程網路域的安全內容為:安全遠程用戶以及遠程辦公室對網路的訪問。

2、公共網路域的安全內容為:安全內部用戶訪問互聯網以及互聯網用戶訪問內網服務。

3、夥伴訪問域的安全內容為:保證企業合作夥伴對網路的訪問安全,保證傳輸的可靠性以數據的真實性和機密性

(5)網路安全邊界擴展閱讀：

安全域劃分原則

將所有相同安全等級、具有相同安全需求的計算機劃入同一網段內，在網段的邊自界處進行訪問控制。

一般實現方法是採用防火牆部署在邊界處來實現，通過防火牆策略控制允許哪些IP訪問知此域、不允許哪些訪問此域；允許此域訪問哪些IP/網段、不允許訪問哪些IP/網段。

一般將應用、伺服器、資料庫等歸入最高安全域，辦公網歸道為中級安全域，連接外網的部分歸為低級安全域。在不同域之間設置策略進行控制。

F. 網路邊界安全哪家公司做的最專業啊！最好是使用過，驗證！

我覺得浙江遠望電子有限公司的邊界監管系統做的還可以，能對違規外聯、線路邊界等進行精準的定位，這個是目前其他產品無法實現的。
遠望內網網路邊界檢查管理系統，通過對內網邊界安全監測和管理，防止外來計算機、網路等通過非法手段接入內網，防止因內網邊界問題而導致信息泄密，病毒木馬入侵，帶寬資源因沒有注冊的設備增加而被嚴重胡亂佔用。實現對違規行為的阻斷，確保內網的安全。
該產品已經在多處政府單位等進行成功應用，你可以試著了解一下。

G. 以下哪一項不屬於邊界安全產品類型

35. 針對一個網路進行網路安全的邊界保護可以使用下面的哪些產品組合（單
選）
A、防火牆、入侵檢測、密碼 B、身份鑒別、入侵檢測、內容過濾 C、防火牆、入侵檢測、防病毒 D、防火牆、入侵檢測、PKI

H. 網路邊界的網路邊界上需要什麼

把不同安全級別的網路相連接，就產生了網路邊界。防止來自網路外界的入侵就要在網路邊界上建立可靠的安全防禦措施。下面我們來看看網路邊界上的安全問題都有哪些：
非安全網路互聯帶來的安全問題與網路內部的安全問題是截然不同的，主要的原因是攻擊者不可控，攻擊是不可溯源的，也沒有辦法去「封殺」，一般來說網路邊界上的安全問題主要有下面幾個方面： 網路上的資源是可以共享的，但沒有授權的人得到了他不該得到的資源，信息就泄露了。一般信息泄密有兩種方式：
◆攻擊者(非授權人員)進入了網路，獲取了信息，這是從網路內部的泄密
◆合法使用者在進行正常業務往來時，信息被外人獲得，這是從網路外部的泄密 木馬的發展是一種新型的攻擊行為，他在傳播時象病毒一樣自由擴散，沒有主動的跡象，但進入你的網路後，便主動與他的「主子」聯絡，從而讓主子來控制你的機器，既可以盜用你的網路信息，也可以利用你的系統資源為他工作，比較典型的就是「僵屍網路」。
來自網路外部的安全問題，重點是防護與監控。來自網路內部的安全，人員是可控的，可以通過認證、授權、審計的方式追蹤用戶的行為軌跡，也就是我們說的行為審計與合軌性審計。
由於有這些安全隱患的存在，在網路邊界上，最容易受到的攻擊方式有下面幾種： 網路攻擊是針對網路邊界設備或系統伺服器的，主要的目的是中斷網路與外界的連接，比如DOS攻擊，雖然不破壞網路內部的數據，但阻塞了應用的帶寬，可以說是一種公開的攻擊，攻擊的目的一般是造成你服務的中斷。

I. 網路邊界的總結

「魔高道高，道高魔高」。網路邊界是兩者長期博弈的「戰場」，然而安全技術在「不斷打補丁」的同時，也逐漸在向「主動防禦、立體防護」的思想上邁進，邊界防護的技術也在逐漸成熟，數據交換網技術就已經不再只是一個防護網關，而是一種邊界安全網路，綜合性的安全防護思路。也許安全的話題是永恆的，但未來的網路邊界一定是越來越安全的，網路的優勢就在於連通。