網絡防護層配置以及物理安全性

網絡防護層

在已記錄的惡意軟件事件中，通過網絡發動的攻擊是最多的。通常，發動惡意軟件攻擊是為了利用網絡外圍防護中的漏洞允許惡意軟件訪問組織 IT 基礎結構中的主機設備。這些設備可以是客戶端、服務器、路由器，或者甚至是防火牆。在此層上進行病毒防護所面臨的最困難問題之一是，平衡 IT 系統用戶的功能要求與創建有效防護所需的限制。例如，與許多最近的攻擊類似，MyDoom 蠕蟲使用電子郵件附件復制自己。從 IT 基礎結構的角度來看，阻止所有傳入附件是最簡單、最安全的選項。但是，組織中電子郵件用戶的需求可能不允許這樣做。必須進行折衷，在組織的需求和它可以接受的風險級別之間達到平衡。

許多組織已經采用多層方法來設計其網絡同時使用內部網絡結構和外部網絡結構。Microsoft 建議使用此方法，因為它正好符合深層防護安全模型。

注意：存在一種日益增長的趨勢：將內部網絡分解為多個安全區域，以便為每個安全區域建立外圍。Microsoft 也建議使用此方法，因為它可幫助降低試圖訪問內部網絡的惡意軟件攻擊的總體風險。但是，本指南僅對單個網絡防護進行說明。如果您計劃使用一個外圍網絡和多個內部網絡，則可以將此指導直接應用於每個網絡。

組織的第一個網絡防護指外圍網絡防護。這些防護旨在防止惡意軟件通過外部攻擊進入組織。如本章前面所述，典型的惡意軟件攻擊集中於將文件復制到目標計算機。因此，您的病毒防護應該使用組織的常規安全措施，以確保只有經過適當授權的人員才能以安全方式（如通過加密的虛擬專用網絡 (VPN) 連接）訪問組織的數據。

注意：您也應該將任何無線局域網 (LAN) 和 VPN 視為外圍網絡。如果您的組織已經采用這些技術，，則對其進行保護是很重要的。如果無法提供此安全性，則可能允許攻擊者直接訪問您的內部網絡（避開標准的外圍防護）以發動攻擊。

在本指南中，假定網絡安全設計為組織提供了所需的標識、授權、加密和保護級別，以防止未經授權的攻擊者直接侵入。但是，此時病毒防護是不完整的。下一步是將網絡層防護配置為檢測和篩選使用允許的網絡通信（如電子郵件、Web 浏覽和即時消息）的惡意軟件攻擊。

網絡防病毒配置

有許多專門設計用於為組織提供網絡安全的配置和技術。雖然這些是組織安全設計的重要部分，但是本節僅集中說明與病毒防護有直接關系的區域。您的網絡安全和設計小組應該確定在組織中如何使用以下每種方法。

網絡入侵檢測系統

因為外圍網絡是網絡中風險很大的部分，因此您的網絡管理系統能夠盡快檢測和報告攻擊是極其重要的。網絡入侵檢測 (NID) 系統的作用僅僅是提供：外部攻擊的快速檢測和報告。雖然 NID 系統是總體系統安全設計的一部分，而且不是特定的防病毒工具，但是系統攻擊和惡意軟件攻擊的許多最初跡象是相同的。例如，一些惡意軟件使用 IP 掃描來查找可進行感染的系統。由於此原因，應該將 NID 系統配置為與組織的網絡管理系統一起工作，將任何不尋常的網絡行為的警告直接傳遞給組織的安全人員。

要了解的一個關鍵問題是：對於任何 NID 實現，其保護僅相當於在檢測到入侵之後遵循的過程。此過程應該觸發可以用來阻止攻擊的防護，而且防護應該得到連續不斷的實時監視。只有在此時，才能認為該過程是防護策略的一部分。否則，NID 系統實際上更像一個在攻擊發生之後提供審核記錄的工具。

有許多可供網絡設計人員使用的企業級網絡入侵檢測系統。它們可以是獨立的設備，也可以是集成到其他網絡服務（如組織的防火牆服務）中的其他系統。例如，Microsoft Internet Security and Acceleration (ISA) Server 2000 和 2004 產品包含 NID 系統功能以及防火牆和代理服務。

應用程序層篩選

組織意識到使用 Internet 篩選技術監視和屏蔽網絡通信中的非法內容（如病毒）不僅是有用的，而且是必需的。在過去，曾經使用防火牆服務提供的數據包層篩選執行了此篩選，僅允許根據源或目標 IP 地址或者特定的 TCP 或 UDP 網絡端口來篩選網絡流量。應用程序層篩選 (ALF) 在 OSI 網絡模型的應用程序層上工作，因此它允許根據數據的內容檢查和篩選數據。如果除了使用標准數據包層篩選外還使用 ALF，則可以實現的安全性要高得多。例如，使用數據包篩選可能允許您篩選通過組織防火牆的端口 80 網絡流量，以便它只能傳遞到 Web 服務器。但是，此方法可能不提供足夠的安全性。通過將 ALF 添加到解決方案中，您可以檢查端口 80 上傳遞到 Web 服務器的所有數據，以確保它是有效的且不包含任何可疑代碼。

ISA Server 可以在數據包通過組織防火牆時提供對它們的 ALF。可以掃描 Web 浏覽和電子郵件，以確保特定於每個 Web 浏覽和電子郵件的內容不包含可疑數據，如垃圾郵件或惡意軟件。ISA Server 中的 ALF 功能啟用深層內容分析，包括使用任何端口和協議檢測、檢查和驗證流量的功能。

內容掃描

內容掃描在更高級防火牆解決方案中作為一項功能提供，或者作為單獨服務（如電子郵件）的組件提供。內容掃描詢問允許通過有效數據通道進入或離開組織網絡的數據。如果內容掃描是在電子郵件上執行的，則它通常與電子郵件服務器協同工作以檢查電子郵件的特性（如附件）。此方法可以在數據通過服務時實時掃描和識別惡意軟件內容。有許多與 Microsoft 協作為 Microsoft Exchange Server 和 ISA Server 提供增強安全功能（如實時防病毒內容掃描）的合作伙伴。

URL 篩選

對於網絡管理員可能可用的另一個選項是 URL 篩選，您可以使用它阻止有問題的網站。例如，您可能使用 URL 篩選阻止已知的黑客網站、下載服務器和個人 HTTP 電子郵件服務。

注意：主要的 HTTP 電子郵件服務站點（如 Hotmail 和 Yahoo）提供防病毒掃描服務，但是有許多較小站點根本不提供防病毒掃描服務。對組織防護來說，這是嚴重的問題，因為這樣的服務會提供直接從 Internet 到客戶端的路由。

網絡管理員可以使用兩種基本的 URL 篩選方法：

• 阻止列表。防火牆先檢查有問題站點的預定義列表，然後才允許連接。允許用戶連接沒有專門在阻止列表中列出的站點。 • 允許列表。此方法僅允許與在組織已批准網站的預定義列表中輸入的網站進行通信。

第一種方法依賴於識別可能存在問題的網站並將它們添加到列表中的主動過程。由於 Internet 的大小和可變特性，此方法需要自動化解決方案或很大的管理開銷，通常僅對阻止數目較小的已知有問題網站是有用的，無法提供綜合性保護解決方案。第二種方法提供了更好的保護，因為它的限制特性允許控制可供系統用戶訪問的站點。但是，除非進行了正確調查以識別用戶所需的所有站點，否則此方法可能對許多組織來說限制性太強。

僅當客戶端處於組織防護內時，這兩種方法才會提供保護。移動客戶端在辦公室外直接連接到 Internet 時，將不提供此保護，這意味著您的網絡可能會受到攻擊。如果組織中的移動客戶端需要 URL 篩選解決方案，則您應該考慮使用基於客戶端的防護系統。但是，此方法可能會帶來很大的管理開銷，尤其是在具有大量移動客戶端的環境中。

隔離網絡

為保護網絡可以使用的另一種方法是：為不滿足組織最低安全要求的計算機建立隔離網絡。

注意：不應該將此方法與某些防病毒應用程序中提供的隔離功能相混淆，後者將感染文件移動到計算機上的安全區域中，直到可以將其清除。

隔離網絡應該限制（或者甚至阻止）對組織資源的內部訪問，但是提供一種連接級別（包括 Internet）允許臨時訪問者的計算機高效工作，而不會給內部網絡的安全帶來風險。如果訪問者的便攜式計算機感染了惡意軟件並連接到網絡，則隔離網絡可以限制其感染內部網絡上其他計算機的能力。

與此類似的方法成功應用於 VPN 類型的遠程連接，已經有一段時間了。在執行系統測試的同時，將 VPN 客戶端轉移到臨時隔離網絡。如果客戶端通過了測試（例如由於具有所需的安全更新和防病毒簽名文件），則將授予它們訪問組織內部網絡的權限。如果客戶端不滿足這些要求，則將斷開它們的連接或允許它們訪問隔離網絡，這可以用來獲得通過測試所必需的更新。現在，網絡設計人員正研究此技術以幫助改進內部網絡的安全性。

ISA Server Feature Pack

如果您的組織使用 ISA Server 2000，則 Microsoft 還建議您使用在 ISA Server Feature Pack 1 中提供的其他功能。此免費附件提供其他安全功能，您可以使用這些功能提高網絡防護中跨防火牆的通信（包括電子郵件）的安全性。您可以用來改進防病毒網絡防護的功能包括：

• 增強的 SMTP 篩選器。此功能有助於以增強的可靠性和安全性篩選電子郵件。篩選基於附件的名稱、大小或擴展名，以及發件人、域、關鍵字和任何 SMTP 命令及其長度。 • 增強的 Exchange 遠程過程調用 (RPC) 篩選器。此功能保護通過不受信任的網絡與 Exchange Server 計算機進行的 Outlook 電子郵件通信，而不要求您建立 VPN。為此，在 ISA Server Feature Pack 1 中還附帶了以下額外功能：

• 管理員能夠在 Outlook 和 Exchange Server 之間強制 RPC 加密。 • 出站 RPC 通信可以安全地通過 ISA Server，這又允許連接到 ISA Server 計算機的 Outlook 客戶端訪問外部 Exchange Server 計算機。 • UrlScan 2.5。此工具有助於在 ISA Server 計算機上的惡意 Web 請求能夠進入網絡和訪問 Web 服務器之前，阻止這些請求。 • Outlook Web Access (OWA) 向導。您可以使用此向導快速而輕松地配置 ISA Server 以幫助保護 OWA 部署。 • RPC 篩選器配置向導。您可以使用此向導僅允許對內部網絡上的 RPC 服務進行精確級別的訪問，而不是訪問所有的 RPC 通信。

物理安全性

與其說物理安全性是特定的惡意軟件問題，不如說它是一般的安全問題，但是如果沒有用於組織基礎結構中所有客戶端、