读数据安全架构设计与实践11网络和通信层(下)

1. 网络层访问控制

1.1. 网络准入控制

• 1.1.1. NAC原理

• 1.1.1.1. 网络准入控制是在网络层控制用户和设备接入的手段，确保只有符合企业要求的人员、设备才能访问对应的网络资源，防止不可信或不安全的设备特别是感染病毒木马的计算机接入企业网络后，对网络产生风险

• 1.1.1.2. 网络准入策略中心提供身份认证、安全检查与授权、记账等服务

• 1.1.1.3. 如果策略检查不通过，则将终端设备接入修复区，对不符合策略要求的风险进行修复，如资产登记、病毒库更新、打补丁等，直到符合要求，才能重新接入企业网络

• 1.1.1.4. 802.1X（需要交换机设备支持，是一种网络接入控制协议，可对所接入的用户设备进行认证和控制）​

• 1.1.1.5. DHCP（先分配一个临时的IP，只能访问到修复区，通过策略检查后，再分配正式的IP）​

• 1.1.1.6. 网络准入控制方案是一个综合性的解决方案，以访问控制为主，并覆盖安全架构中的各个要素

• 1.1.2. 办公终端管理

• 1.1.2.1. 未注册终端

1.1.2.1.1. 没有在系统中登记的终端。这是所有终端设备的初始状态，管理政策上可规定未注册终端不具有任何权限（也就是说无法用于办公使用）​，并体现在访问控制机制上

• 1.1.2.2. 已注册终端

1.1.2.2.1. 未注册终端按照规定的流程，使用规定的注册工具，在资产库中登记相应的信息（如设备编号、MAC地址、使用责任人等）​，变为已注册终端

1.1.2.2.2. 管理政策上可限制仅允许公司配发的电脑才可以成功注册

• 1.1.2.3. 不可信终端

1.1.2.3.1. 是那些之前已经完成注册登记，但目前无法通过设备认证（如病毒库过期、存在高危漏洞补丁未修复）​、未通过人员认证，或策略检测不通过的终端

1.1.2.3.2. 不可信终端通过接入修复区，完成修复后可转为可信任终端

• 1.1.2.4. 可信任终端

1.1.2.4.1. 通过设备认证、人员认证及安全政策检测的已注册终端

1.1.2.4.2. 设备认证可通过设备证书，或设备ID、MAC地址等进行资产库验证

1.1.2.4.3. 人员认证通过SSO或Windows Active Directory（AD域）实施

1.1.2.4.4. 安全政策检查包括系统补丁、病毒库更新状态、安装了规定的软件、未安装指定的黑名单软件等

1.1.2.4.5. 可信任终端在发现新的风险后，可降级为不可信终端，并因此拒绝接入办公网络

• 1.1.2.5. 只允许公司配发的电脑（或已登记并经过授权的个人电脑）才能注册登记，并通过设备的身份认证

• 1.1.2.6. 只允许可信任终端接入办公网络，否则接入修复区

• 1.1.2.7. 在修复区，可以执行合法访问前的修复动作，如加入企业的AD域、升级补丁、安装必要的安全客户端和防病毒软件等

1.1.2.7.1. 在修复之后，才能正常访问办公网络

• 1.1.3. 服务器NAC

• 1.1.3.1. 基于不信任原则，我们不能信任任何内外部人员，*也可以不信任任何设备

• 1.1.3.2. 实施服务器NAC之后的好处显而易见，只有企业的服务器设备才能接入生产网络，而其他未经授权的设备将被拒绝接入

1.2. 生产网络主动连接外网的访问控制

• 1.2.1. 第一种策略是允许服务器自由访问互联网​，不加管控，效率较高，但无法防止敏感数据外传

• 1.2.2. 第二种策略是不允许服务器自由访问互联网​，需经过指定的代理服务器和相应的配置，这样对业务的效率会有少量影响，但可以很好地控制数据外传和员工行为

• 1.2.2.1. 生产网络出向访问的专用代理，需要支持多种访问策略，如限定一个目标网站（点对点）​、多个目标网站、任意目标网站等

• 1.2.2.2. 内部软件源（毕竟将业务访问外网的通道堵住了，对于安装软件的需求，需要有个出路）​

1.3. 网络防火墙的管理

• 1.3.1. 在真正的无边界网络架构里，企业的各种业务和服务，都按照安全的架构原则，通过身份认证、最小化授权、访问控制、审计，并实施了安全的资产保护，*其实是不需要防火墙的

• 1.3.2. 网络防火墙仍是不同的安全域之间访问控制的主要执行者，特别是内网的不同安全域之间的互访

• 1.3.3. 源IP地址，用于限制访问来源

• 1.3.4. 源端口，一般使用any，因为主动发起方所使用的端口是随机的

• 1.3.4.1. 对于那些采用无状态防火墙管理的企业来说，就需要单独为服务器的响应创建一条策略

• 1.3.5. 目的IP地址，用于限定目标范围

• 1.3.6. 目的端口，用于限定目标服务

• 1.3.7. 传输层协议，用于限制传输协议类型（TCP/UDP）​

• 1.3.8. 问题

• 1.3.8.1. 策略越来越臃肿，逐步逼近或已达到防火墙设备的策略上限

• 1.3.8.2. 随着业务的变迁，历史策略中的一部分早已失效，成为了网络访问控制的漏洞

• 1.3.8.3. 随着业务的扩张，安全域越来越多，策略越来越复杂

• 1.3.9. 建议

• 1.3.9.1. 安全域不能过多，只要满足合规要求及敏感业务的保密需要即可

• 1.3.9.2. 跟基础设施有关的纳入基线策略，建设时一次性开通，不要让业务来申请，由安全团队和网络维护团队定期审视

• 1.3.9.3. 业务申请的防火墙，需要具备流程上的清理机制，具备责任人和有效期机制，并在流程上启用到期前提醒功能，复核该策略的必要性

1.3.9.3.1. 服务器之间的策略由于都是固定的IP地址，有效期可以长一些，建议一年

1.3.9.3.2. 由于办公网大多采用DHCP机制，因此办公网到服务器的策略，只要访问源属于动态IP，就需要压缩有效期（一个月以内）​

• 1.3.9.4. 临时策略，一般用于满足应急、测评的需要，按需短期开放，到期撤销

1.4. 没有为内部业务建立相应的身份认证、授权与访问控制机制，一旦黑客进入内网，就可以利用内网缺乏防护的弱点，扩大入侵范围

1.5. 没有及时给内网服务器打上补丁，一旦病毒进入内网，就会肆意传播

• 1.5.1. 在一些保密性要求较高的内部网络里，往往会设置一些跟办公网络和生产网络隔离的孤岛网络，这些孤岛网络在补丁管理和病毒防护上存在明显缺

1.6. 内网也不值得信任，我们必须假设黑客已经进入内网，再来谈如何从根本上改进安全

• 1.6.1. 并不意味着内网一无是处，尽可能地降低攻击面，减少暴露的机会，对于当前的业务还是必要的

1.7. 运维通道的访问控制

• 1.7.1. 在内部防火墙设备上，拒绝所有办公网络对生产网络的直接运维通道，而仅开通办公网络到跳板机或运维平台的策略

2. 网络层流量审计

2.1. 网络层流量审计，就是以网络层的流量为分析对象，构建基于大数据的流量分析及事件挖掘系统，主动地从中发现DDoS攻击、入侵、数据泄露、明文传输敏感信息等风险

2.2. 数据源就是访问公司业务的流量，主要是Web流量

3. 网络层资产保护

3.1. DDoS

• 3.1.1. 即分布式拒绝服务攻击，是从多个来源针对一个目标发起的旨在让目标不可用的攻击形式

• 3.1.2. 网络带宽资源耗尽型（利用第三方服务的反射放大攻击、利用协议缺陷的异常包等）​，相当于通往目的地的通路被堵住，就算目标服务还能正常提供服务，但正常的用户访问不到

• 3.1.2.1. 在这种情况下，正常用户的访问请求根本就到不了服务器

• 3.1.3. 主机计算资源耗尽型（典型的是CC攻击）​，是指流量已到达目标服务器，并且把目标服务器的资源（CPU、内存等）给占满，使得服务器无法处理正常用户的访问请求

3.2. DDoS缓解措施

• 3.2.1. 优化代码，降低系统资源占用

• 3.2.2. 启用缓存，降低对数据库资源的频繁读取

• 3.2.3. 可以对服务降级，暂停高消耗型的功能，提供有损的服务

3.3. 针对攻击方利用的弱点

• 3.3.1. 让服务器前的带宽入口大于攻击流量带宽

• 3.3.2. 提升自身性能的同时，启用负载均衡或CDN加以分流，将请求分散到多个入口

3.4. 专业抗DDoS方案

• 3.4.1. 专业的抗DDoS解决方案，是云计算企业、CDN/安全防护厂商、运营商等大型企业才会考虑的事情

• 3.4.2. 镜像流量可以来自分光器、IDS设备、应用网关等设施，作为检测集群的输入

• 3.4.3. 防护集群由清洗设备所构成，通过路由回注等方式，将正常的流量投递到目标网站，将攻击流量清洗掉

• 3.4.4. 腾讯的宙斯盾系统就是在实战中逐步发展起来的抗DDoS系统，可抵御超过Tbps级DDoS攻击

• 3.4.5. 通过和CDN配合，降低分流到单个入口的带宽，以及带宽扩容，可以极大提升抵御DDoS攻击的能力

• 3.4.6. 应用端口登记，这样访问未登记的端口可以视为消耗带宽的无效请求，可以直接抛弃

• 3.4.7. 物联网设备IP，如智能摄像头、家用智能路由器等，如果业务并未向这些设备提供服务，可以直接抛弃

• 3.4.8. 高防IP，这属于单节点的抗DDoS方案，由于是单入口的高带宽占用，供应商会使用单独的高防机房，部署高带宽，因此成本比较

• 3.4.9. 高防CDN，通过分流，在每个CDN入口均实施抗DDoS方案