科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网网络频道巧用三层交换安全策略预防病毒

巧用三层交换安全策略预防病毒

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

目前计算机网络所面临的威胁大体可分为两种:一是对网络中信息的威胁;二是对网络中设备的威胁。影响计算机网络的因素很多,主要是网络软件的漏洞和“后门”,这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。

作者:论坛整理 来源:zdnet网络安全 2008年3月13日

关键字: 病毒 防病毒 病毒防范 反病毒 木马 杀毒软件

  • 评论
  • 分享微博
  • 分享邮件

在本页阅读全文(共2页)

2、增强网络的安全性

共享式LAN上的广播必然会产生安全性问题,因为网络上的所有用户都能监测到流经的业务,用户只要插入任一活动端口就可访问网段上的广播包。采用VLAN提供的安全机制,可以限制特定用户的访问,控制广播组的大小和位置,甚至锁定网络成员的MAC地址,这样,就限制了未经安全许可的用户和网络成员对网络的使用。

设置访问控制列表

首先根据各单位的需求,制定不同的策略,比如文件的传输、游戏等。在制定策略之前,我们首先要了解什么样的文件依靠计算机上哪个端口来传输。端口大约分为三类:

公认端口(0—1023):它们紧密绑定于一些服务。通常这些端口的通讯明确表明了某种服务的协议。例如:80端口实际上总是HTTP通讯,110端口实际上是pop3通讯。

注册端口(1024—49151):它们松散地绑定于一些服务。也就是说有许多服务绑定于这些端口,这些端口同样用于许多其它目的。例如:许多系统处理动态端口从1024左右开始。

动态和/或私有端口(49152—65535):理论上,不应为服务分配这些端口。实际上,机器通常从1024起分配动态端口。但也有例外:SUN的RPC端口从32768开始。例如:

# These ACLs are to block virus attack (这些访问控制列表要堵塞病毒攻击)

# You need to make sure all your expected network service are not blocked by these ACLs

(你需要确定你的需要的网络服务中不备访问控制列表要堵塞)

# These ACLs' precedence are within 1001 ~ 1500(访问控制列表优先在1001-1500)

SQL Slammer/MS-SQL Server Worm(病毒)

create access-listudp1434-d-de udp destination any ip-port 1434 source any ip-port any deny ports any precedence 1001(创建数据列表为udp1434-d-de,凡是来源于1434端口的数据包都优先于1001)

#W32/Blaster worm (病毒)

create access-list udp69-d-de udp destination any ip-port 69 source any ip-port any deny ports any precedence 1011(创建数据列表为udp69-d-de udp,凡是来源于69端口的数据包都优先于1011)

create access-list udp135-d-de udp destination any ip-port 135 source any ip-port any deny ports any precedence 1013(创建数据列表为udp135-d-de udp,凡是来源于135端口的数据包都优先于1013)

端口隔离: 使用交换机system-guard检测功能、设置当前最大可检测染毒主机的数目、设置每次地址学习相关参数, system-guard enable ( 使能system-guard检测功能,在使用防火墙功能前,请确保端口的优先级配置处于缺省状态,即:端口的优先级为0,且交换机对于报文中的cos优先级不信任。)

system-guard detect-maxnum 5 (设置当前最大可检测的染毒主机数目5台)

system-guard detect-threshold IP-record-threshold record-times-threshold isolate-time

(该命令可以设置地址学习数目的上限、重复检测次数的上限和隔离时间。)

举例来说,在设置了地址学习数目的上限为50、重复检测次数的上限为3、隔离时间为5后,系统如果连续3次检测到来自源IP的地址每次IP地址学习数目都超过了50,系统就认为受到了攻击,将此源IP检测出来,在5倍的老化周期内不学习来自此源IP的报文中的目的IP地址。

结束语

随着计算机技术和通信技术的发展,计算机网络将日益成为工业、农业和国防等方面的重要信息交换手段,渗透到社会生活的各个领域。因此,认清网络的脆弱性和潜在威胁,采取强有力的安全策略,对于保障网络的安全性将变得十分重要。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章