企业收集在急速成长!此中一些组强开端清理手机和平板电脑，拒尽来自咖啡店和火车站的互联网连接(作为WAN链路)。
扩大型企业的概念给IT安然组合带来愈来愈严重的标题问题，因为它们的敏感数据和有价值的数据常常会流出传统收集鸿沟。为了呵护企业不受多元化和低端低速可适应性的持久威胁，IT企业正在摆设各类各样的新型收集安然设备：下一代防火墙、IDS与IPS设备、安然信息事务治理(SIEM)系统和高级威胁检测系统。抱负环境下，这些系统将集中治理，遵守一个集中安然策略，附属于一个遍及呵护计谋。
但是，在摆设这些设备时，一些企业的常见弊端会严重影响他们实现遍及呵护的能力。本文将介绍在打算与摆设新型收集安然设备时需要寄望的标题问题，和若何避免可能导致深度防御掉败的相干标题问题。
不要迷信安然设备
一个最大年夜的弊端是假定安然设备本身是安然的。概况上这仿佛很等闲理解，可是必然要对峙这个安身点。所谓的“加强”把持系统到底有多安然?它的最新状况是如何的?它运行的“超不变”Web办事器又有多安然?
在开端任何工作之前，必然要成立一个测试打算，验证所有收集安然设备都是真正安然的。起首是从一些根本测试开端：您是不是有在各个设备及其撑持的收集、办事器和存储根本架构上按时进级、安装补丁和修复Bug?在按照一些记实当前已知缝隙信息的资料互换中间(如全国缝隙数据库)的数据进行查抄，必然要按期进级和安装设备补丁。
然后，再转到一些更难措置的方面：按期评估多个设备建设的暗藏弱点。加密系统和利用交付优化(ADO)设备的摆设挨次不当也会造成数据泄漏，即便各个设备本身可以或许正常工作。这个过程可以与按期履行的渗入测试一路进行。
评估收集安然设备的利用编制
对肆意安然设备而言，治理/节制通道最等闲呈现缝隙。所以，必然要寄望您将要若何建设和点窜安然设备——和承诺谁履行这些建设。假定您预备经由过程Web浏览器拜候一个安然系统，那么安然设备将运行一个Web办事器，并且承诺Web流量进出。这些流量是不是有加密?它是不是利用一个尺度端口?所有设备是不是都利用统一个端口(是以进侵者可以轻松猜想到)?它是经由过程一个通俗收集连接(编内)仍是自力治理收集连接(编外)进行拜候?假定属于编内连接，那么任何经由过程这个接口发送流量的主机都可能报复打击这个设备。假定它在一个治理收集上，那么起码您只需要担忧收集上的其他设备。(假定它建设为利用串口连接和KVM，则加倍好。)
最好场景是如许：假定不克不及直接拜候设备，则包管所有建设改变都必需利用加密和多因子身份验证。并且，要慎密跟踪和节制设备治理的身份信息，包管只有授权用户才能获得治理权限。
利用尺度渗入测试东西
假定您采取了前两个步调，那么此刻就有了很好的开端——可是工作还没做完。黑客、报复打击和威胁载体仍然在不竭地增加和成长，并且您必需按期测试系统，除修复缝隙，还要包管它们可以或许抵当已发现的报复打击。
那么，报复打击与缝隙有甚么不合呢?报复打击是一种专门攻破缝隙的成心行动。系统缝隙造成了报复打击可能性，可是报复打击的存在则增加了它的风险性——缝隙透露从理论变成实际。
渗入测试东西和办事可以查抄出收集安然设备是不是等闲遭到报复打击的粉碎。一些开源东西和框架已呈现了很长时候，此中包含Network Mapper(Nmap)、Nikto、开放缝隙评估系统(Open Vulnerability Assessment System, OpenVAS)和Metasploit。当然 ，也有良多的商业东西，如McAfee(可以扫描软件组件)和Qualys的产品。
这些东西遍及用于标识收集设备措置收集流量的端口;记实它对尺度测试数据包的响应;和经由过程利用OpenVAS和Metasploit测试它面对一些常见报复打击的缝隙环境(更多呈此刻商业版本上)。
其他渗入测试东西则首要存眷于Web办事器和利用，如OWASP Zed Attack Proxy(ZAP)和Arachni。经由过程利用尺度东西和手艺，肯定安然设备的缝隙——例如，经由过程一个Web治理接口倡议SQL注进报复打击，您便可以更清晰地体味若何呵护收集安然设备本身。
在摆设收集安然设备时降落风险
没有任何东西是完美的，是以没有任何一个系统是毫无缝隙的。在摆设和建设新收集安然设备时，假定没有益用得当的预防办法，便可能给环境带来风险。采纳准确的办法呵护设备，将呵护根本架构的其他部门，此中包含下面这些常常被忽视的常见防备办法：
点窜默许暗码和帐号名。
禁用不需要的办事和帐号。
包管遵循制造商的要求更新底层把持系统和系统软件。
限制治理收集的治理接口拜候;假定没法做到这一点，则要在上游设备(互换机和路由器)利用ACL，限制倡议治理睬话的来历。
因为报复打击也在进化，所以要按期查抄渗入测试。要保持OpenVAS和Metasploit等东西的更新，并且它们可利用的报复打击库也在稳步增加。
基线是甚么呢?拟定一个遍及呵护策略只是开端。要呵护此刻漫无边际增加的设备和数据，您需要三样东西：一个普适呵护策略、实现策略的东西与手艺及包管这些东西与手艺可以或许实现最大年夜呵护结果的政策与流程。所有政策与流程既要考虑收集安然设备本身(个别与整体)的缝隙，也要考虑专门针对这些缝隙且不竭成长改变的报复打击与威胁载体。