解析网络安全设计中的常见错误
网络安全设计常见错误—设置好就高枕无忧了我要讲到的第一个错误更偏重于计划而不是网络设计。这种错误我一般将它称之为“设计好就高枕无忧”。犯这种错误的企业一般会下大力气去设计一个安全的网络，但是却忽略了后期对于这个设计的定期性的重新评估。因为网络风险是在不断变化的，因此企业的网络安全设计也应该不断进化。最好的办法就是定期对网络安全设计进行重新评估。
网络安全设计常见错误—在防火墙上开放过多的端口
我们都知道开放过多的端口没有好处，但是有时候又不得不多开放几个端口。就拿 Microsoft Office Communications Server 2007 R2来说吧，如果你计划提供外部访问功能，那要多开十几个端口。另外， OCS 2007 R2还会随机开放大量的端口。这种情况下，网络安全管理员该怎么办呢？
最好的解决方案之一是采用逆向代理（如微软的ForeFront Threat Management Gateway）。逆向代理的位置介于互联网和本地需要开放多个端口的服务器之间。这样设置后，服务器不需要再开放大量的端口，而外界对服务器的连接请求会先经过逆向代理进行拦截和过滤，并传递给服务器。这种设计不但能让服务器在外网前隐藏起来，还能帮助确保外部的恶意请求不会到达服务器。
网络安全设计常见错误—不同应用程序混在一起
在经济危机下，企业很少会花钱添置新设备，因此尽可能压榨现有设备资源就成了唯一选择。在这种前提下，企业一般会在一台服务器上安装多个应用服务，让一台服务器扮演多个角色。虽然这么做并不是被禁止的，但是在计算机行业有一个规律，即代码越多，出现安全漏洞的机会就越多。
我并不是说每个服务器只能运行一种应用程序，或者扮演一种服务角色，但是至少我们应该仔细考虑应该把哪些应用程序或服务角色合并到一台服务器上。比如，在最小需求下，一个Exchange 2007需要三个服务器角色（hub transport, client access, 以及 mailbox server），你可以将这三个角色整合到一台服务器上。但是如果你要为外部客户提供Outlook Web Access服务就不要这样做了。因为Client Access Server服务器角色需要用到IIS来实现Outlook Web Access，也就是说，如果你将客户接入服务器角色和hub transport以及mailbox server 角色放在了一台服务器上，实际上就是把你的邮箱数据库开放给了互联网上的所有黑客。 网络安全设计常见错误—设置好就高枕无忧了
我要讲到的第一个错误更偏重于计划而不是网络设计。这种错误我一般将它称之为“设计好就高枕无忧”。犯这种错误的企业一般会下大力气去设计一个安全的网络，但是却忽略了后期对于这个设计的定期性的重新评估。因为网络风险是在不断变化的，因此企业的网络安全设计也应该不断进化。最好的办法就是定期对网络安全设计进行重新评估。
网络安全设计常见错误—在防火墙上开放过多的端口
我们都知道开放过多的端口没有好处，但是有时候又不得不多开放几个端口。就拿 Microsoft Office Communications Server 2007 R2来说吧，如果你计划提供外部访问功能，那要多开十几个端口。另外， OCS 2007 R2还会随机开放大量的端口。这种情况下，网络安全管理员该怎么办呢？
最好的解决方案之一是采用逆向代理（如微软的ForeFront Threat Management Gateway）。逆向代理的位置介于互联网和本地需要开放多个端口的服务器之间。这样设置后，服务器不需要再开放大量的端口，而外界对服务器的连接请求会先经过逆向代理进行拦截和过滤，并传递给服务器。这种设计不但能让服务器在外网前隐藏起来，还能帮助确保外部的恶意请求不会到达服务器。
网络安全设计常见错误—不同应用程序混在一起
在经济危机下，企业很少会花钱添置新设备，因此尽可能压榨现有设备资源就成了唯一选择。在这种前提下，企业一般会在一台服务器上安装多个应用服务，让一台服务器扮演多个角色。虽然这么做并不是被禁止的，但是在计算机行业有一个规律，即代码越多，出现安全漏洞的机会就越多。
我并不是说每个服务器只能运行一种应用程序，或者扮演一种服务角色，但是至少我们应该仔细考虑应该把哪些应用程序或服务角色合并到一台服务器上。比如，在最小需求下，一个Exchange 2007需要三个服务器角色（hub transport, client access, 以及 mailbox server），你可以将这三个角色整合到一台服务器上。但是如果你要为外部客户提供Outlook Web Access服务就不要这样做了。因为Client Access Server服务器角色需要用到IIS来实现Outlook Web Access，也就是说，如果你将客户接入服务器角色和hub transport以及mailbox server 角色放在了一台服务器上，实际上就是把你的邮箱数据库开放给了互联网上的所有黑客。 是这趟啊
页:
[1]