• <em id="ommgs"></em>
    <dd id="ommgs"><center id="ommgs"></center></dd>

    1. <em id="ommgs"><acronym id="ommgs"><u id="ommgs"></u></acronym></em>
      首 頁IT知識庫翔宇問吧收藏本站
      當前位置:翔宇亭IT樂園IT知識庫網絡技術交換技術

      內網交換機常見安全隱患及預防

      減小字體 增大字體 作者:ZDNet  來源:轉載  發布時間:2012-01-31 23:40:15

      內網交換機設置的好壞影響著企業信息的安全,因此,本文較為詳細地探討了內網交換機的常見故障及預防措施。

      1、未經授權的主機接入到交換機的端口

      有些網絡管理員沒有在交換機的端口上采取任何的保護措施,這將導致未經授權的主及能夠自由的介入到交換機的端口上(通過企業的預先設置的網絡端口)。這可能會給企業的網絡帶來比較大的安全隱患。

      如員工自己有筆記本電腦。在未經網絡管理員允許的情況下,就私自拿到公司,然后連入到公司的網絡。這就比較危險。如企業內部的IP地址往往有一個比較嚴格的規劃,而且IP地址像人的身份證號碼一樣,必須保持唯一。現在員工將自己的私人電腦接入到企業的網絡,就可能導致IP地址沖突,從而影響其它主機的正常上網。如員工自己的電腦采用的是固定IP地址,此時如果連入到企業網絡的話,就很可能會造成IP地址的沖突。

      再如企業往往會在內網與外網的中間部署有防火墻,用來防止互聯網上的病毒進入到企業內部。現在的問題是,員工的個人電腦直接從同企業內部的接口連入到企業的網絡。此時就相當于越過了防火墻的檢查。如果員工的電腦有病毒的話,那么就會影響到企業網絡的運行。嚴重的話,還可能會導致企業整個內部網絡的癱瘓。

      可見,未經授權的主機接入到交換機的端口,會存在比較大的安全隱患。其實在交換機的操作系統上,有現成的預防措施來消除這種安全隱患。如可以通過使用“基于主機MAC地址允許流量”機制,來指定只有特定MAC地址的主機才能夠連接到企業的交換機上。如此的話,就可以將未經授權的主及排除在外。

      通常情況下,單個交換機端口能夠允許1個或者1個以上到某個特定數目的MAC地址。簡單的說,在交換機的端口上會有一個配置列表,上面列舉了幾個允許接入交換機的MAC地址。只有在這個名單中的主機才能夠連接到這個端口中。如果希望啟用這個特性的話,可以通過如下命令來實現:Set Port Security MAC地址。在使用這個命令時,可以加入多個IP地址。如企業的規模比較小,網絡管理員在組建網絡時將一個交換機的端口對應一個部門。而一個部門的主機數目可能有10個。此時就需要在這個命令中將10個MAC地址都加上。如此的話,就只有這十臺主機才能夠連接到這個交換機端口中。

      不過需要注意的是,不同品牌或者同一品牌不同規格的交換機,對可以支持的MAC地址數往往有所限制。如果需要讓交換機的端口支持多個MAC地址的話,就不能過超過這個最大數量的限制。

      2、對于違反規則的處理

      當設置了如上的預防措施之后,如果員工還是將自己的電腦拿到企業來,在未經授權的情況下連入到企業的網絡。此時交換機會有什么反應呢?通常情況下,交換機端口如果檢測到有連接到其接口的主機MAC地址不在自己的名單中的話,其會做出三種行為。

      (1)關閉接口。即到檢測到有未經授權的主機連接到其接口上,交換機的操作系統會馬上將這個接口關閉掉。如此的話,連接在這個接口上的所有主機都將無法訪問企業的內部網絡。如上面舉的例子。一個接口可能對應一個部門。此時就可能因為一個員工的行為而影響到整個部門的網絡。這種安全措施就比較“極端”,其根其他行為相比,最大的一個好處就是能夠及時發現員工的這種非法行為。

      (2)限制。在這種情況下,當檢測到有未經授權的主機之后,其只會拒絕這臺主機的連接,而對于其他合法主機的連接不會有影響。這種措施有好處也有壞處。好處就是不會影響到其它合法用戶的連接。而壞處就是網絡管理員很難發現員工是否有這種未經授權的行為。因為即使有這種情況下,也不會影響其他正常用戶的訪問。所以員工不會自己舉報這種行為。在安全級別比較高的企業中,這個措施仍然存在著一定的安全風險。不過其靈活性比較高。

      (3)保護。這主要是針對網絡管理員規定的最大MAC地址連接數與設置的MAC地址不同而導致的。如網絡管理員出于性能的考慮,規定交換機的接口最多只能夠連接10個MAC地址。而在設置允許主機的MAC地址的時候,卻指定了13個MAC地址。此時如果有第11臺主機連接到這個交換機接口上(其MAC地址是合法的),在這種情況下,交換機該如何處理呢?此時就會觸發交換機的保護機制。即會拒絕新的主機連接到這個交換機的接口上。但是不會影響到交換機現有的用戶連接。

      以上三種行為在具體的使用時,網絡管理員需要根據企業的實際情況來進行選擇。其建議是,“關閉接口”這種行為需要謹慎使用。特別是一個交換機接口對應多個合法用戶的時候,更加需要三思而后行。因為這會連累其他合法的用戶無法正常使用企業的網絡。

      3、技術限制重要,培訓更重要

      在考慮內網交換機安全時,技術上的限制固然重要,但一定的安全知識培訓也必不可少。如企業在實際工作中,往往會對員工的網絡安全知識進行定期的培訓。如告訴員工,企業的個人電腦不能夠私自接入到企業的網絡中。如果一定要接入的話,就需要通知網絡管理員。并且只能夠在特定的位置(相當于是交換機的接口)接入網絡。只有不斷的培訓,才能夠加強員工的安全意識。否則的話,光靠網絡管理員一個人的努力,很難保障企業內部網絡的安全。

      4、需要開發某個特定的交換機接口

      在實際工作中,還需要注意一個問題,不能夠對所有的交換機接口都做如上的限制。如企業可能不時的會有客戶或者供應商到企業來拜訪。此時他們需要使用他們自己的筆記本電腦上網。如果企業允許這種情況的話,那么就需要在便利性與安全性上取得一個均衡。

      其做法是,在固定的位置開發交換機的端口限制。如企業有一個會客室。將這個會客室的網絡接口連接到一個特定的交換機接口。而這個交換機接口沒有采取上面的設置。即所有的主機都可以通過這個交換機連接到企業的網路中。不過為了安全起見,對其可以訪問的資源進行了限制。如需要訪問企業的文件服務器時,需要憑用戶名與密碼才可以訪問。而對于其他接口,則沒有這方面的限制。而訪問一些公共資源,包括通過企業的內部網絡訪問互聯網、或者訪問企業的網絡打印機時,可以自由訪問。這種安全措施,就可以實現在便利性與安全性上的均衡。

      知識評論評論內容只代表網友觀點,與本站立場無關!

         評論摘要(共 0 條,得分 0 分,平均 0 分) 查看完整評論

      用戶名: 查看更多評論

      分 值:100分 85分 70分 55分 40分 25分 10分 1分

      內 容:

                  請注意用語文明且合法,不要發布帶有攻擊性、侮辱性的言論,謝謝合作!

               通知管理員 驗證碼:

      關于本站 | 網站幫助 | 廣告合作 | 網站聲明 | 友情連接 | 網站地圖 | 用戶守則 | 聯系我們 |
      本站大多數內容來自互聯網或網站會員發布,如有侵權,請來信告之,謝謝!
      Copyright © 2007-2017 biye5u.com. All Rights Reserved.
      網站備案號:黑ICP備13005378號-3
      japanese日本熟妇photo