企业网络防护应注意的四个基本点

我们在注重企业网络防护时，往往都在考虑如何引进和部署像网络防火墙、安全网关之类的产品。不可否认，部署这些网络安全产品确实会使企业网络防护能力得到极大地提高。但实际上，即便是部署了这些安全产品仍可能成为黑客们入侵的对象，要知道一些基本操作对于安全防护也是十分重要的。

企业网络防护1：要经常并且及时打补丁

打补丁绝对有必要，而且几乎总是免费的。你需要核实的第一件事是：打的所有补丁是不是最新版本。设置iCal/Outlook提醒功能，以便每个月打一次补丁。定在每个月的第二个星期三打补丁是个好日子，因为微软会在每月的第二个星期二发布安全补丁。你也可以安排在付按揭或房租时，捎带打补丁— 在付钱时，也要记得打补丁。

打补丁并不是说只要双击Windows Update就行了。如果你还没有激活Microsoft Update(Windows Update的变种)，就接收不到任何微软Office更新程序。不要满足于此!你要确保时常访问Adobe网站，更新Flash插件和PDF Reader软件。Firefox在这方面做得很到位：能够自动分发更新程序，不需要用户干预，但它不会把你升级到新的重大版本，所以同样要访问 Firefox网站。

期盼有一天，微软会向所有Windows软件发布者开放Windows Update基础架构，以便大家通过一个集中的地方来发布各自的更新程序，而用户则只要点击一下就可以升级所有的相关软件。而在这一天到来之前，不妨使用像Secunia的Personal Software Inspector(个人用户可免费使用)这类软件，它会扫描计算机上的所有软件，以便集中查看哪些还没有打上安全补丁。

有些企业的IT管理人员很自豪地声称，该公司每隔5分钟就更新反病毒软件的特征库，但是其关键服务器使用的却还是老版本的IE和Adobe，2007年以后的操作系统补丁居然都没有打上!

有人称，谷歌之所以遭到攻击，原因就是其一名员工使用了过时的Web浏览器。

硬件也需要更新。记得清查一下硬件，检查固件是否需要更新(这与软件补丁一样重要)。只要硬件有网站端口，就要半年访问一次该硬件厂商的网站— 不仅仅是路由器和交换机，还有多功能复印机、餐馆的销售点(POS)终端、蓝光播放机、专用小交换机(PBX)以及具有TwITter功能的咖啡壶等。

企业网络防护2：别让某人阻止你运行安全网络

有的企业CIO会说，自己公司的服务器没有打补丁，是因为“某人说可以不打补丁”，这个某人可能是公司的产品开发经理或销售副总裁。这种风险企业其实无法接受。没有打补丁的服务器绝对不可以访问互联网。员工只有通过“不太安全”的专用网络上的专用计算机(不是用来读取邮件、浏览互联网的那种计算机)，才能访问这些因为没有打补丁而变得很危险的服务器。

要是公司下面某个部门运行的软件导致无法使用最新的安全补丁，IT部门就需要把这些服务器与网络其余部分隔离开来，就像把机密网络与非机密网络隔离开来那样。

此外，除非企业很重视信息安全，否则就避免不了信息窃取和成本高昂的系统停运问题。只要有可能受到过污染，一罐罐的花生酱就要在厂商开始召回的几小时内从商场货架上撤下;然而奇怪的是，一台用来为数百个员工处理工资的财务服务器明明有安全漏洞，企业却任其运行好几个月。

记住，绝对不能因为某人说可以不打补丁，而在网络上运行那些没有打补丁的服务器。

企业网络防护3：P2P应该远离企业网络

应该说，P2P就不该出现在办公计算机上。P2P网络上的恶意软件带来的危险，远远超出了对BitTorrent或KaZaa的任何正当需要。应该选择信誉可靠的网站来获得共享软件。

如果非得使用P2P，就使用单独的非管理员用户账户来进行这些操作。千万不要在使用管理员账户的情况下，运行从P2P网络上下载的软件。记得还要一直用几个不同的反病毒软件包来不断扫描这些下载的软件。如果没有像Norton Internet Security 2010这样可靠的安全软件包，使用Virustotal.com也很不错，它可以快速扫描可疑的下载内容。如果是精通技术的高级用户，不妨在虚拟机里面运行P2P软件，把主机操作系统隔离开来。

企业网络防护4：牢牢锁定网络

赶紧将公司和家里的路由器DNS解析器改成OpenDNS，别使用互联网服务提供商(ISP)提供的默认DNS。OpenDNS拥有大容量的缓存，可以加快查询;还有一项免费的网站过滤服务，一些企业可能会有兴趣。即使不需要过滤服务，其可靠、安全的DNS基础架构也可以在DNS层面让你远离一些众所周知的攻击。

花5分钟重新配置后，你的互联网连接会变得更快，因为OpenDNS服务器的响应速度通常快于默认的ISP服务器。OpenDNS的网站上会教会你如何将家里的路由器或公司的活动目录域控制器改成其解析器;它的基础架构分布在全世界，确保了快速响应，无论用户在哪里。

对高级用户或任何IT从业人员来说，在服务器和工作站上都应该使用基于主机的出站防火墙。某个未知或新的进程决定建立出站连接时能接到通知，绝对很有必要。这样一来，即使有什么威胁避开了反病毒和反恶意软件防御机制，还是能在出站防火墙处逮住它。当然，如果用户对技术一窍不通，又总是点击任何弹出窗口上显示的“接受”，那么这一招毫无帮助。

应该在企业内实施出站防火墙规则。大多数公司为用户制定了“允许所有连接”的出站政策。这在过去也许可以接受，但现在公司不该制定这么宽松的政策了。可以先限制用户只能建立HTTP和HTTPS出站连接;虽然这不会保护企业网络远离一切危险，但可以关闭很大一部分可能未经授权的出站连接。还可以用OpenDNS来限制对不良网站的访问。

最重要但也最常被忽视的是，服务器和非军事区(DMZ)网络应该只允许少数几个明确的出站连接(比如邮件服务器的出站SMTP连接)。现代的数据包检测防火墙智能化程度非常高，允许Web服务器回应针对网页的入站请求，但让Web服务器与外界建立连接极少有正当的理由。

当然，也有例外的情况(比如业务合作伙伴的库存交换，或者异地数据备份)。但是一般来说，大多数服务器是响应针对信息的入站请求，自己并不建立连接。要是黑客闯入了你的服务器，他或她最先会做的一件事就是利用你的服务器连接到贵公司内部的另一台机器，或者连接回自己的网络。“允许所有连接”的通用政策只会招惹麻烦。

【编辑推荐】