解析網絡安全設計中的常見錯誤（1）
網絡安全設計常見錯誤—設置好就高枕無憂了
我要講到的第一個錯誤更偏重于計劃而不是網絡設計。這種錯誤我一般將它稱之為“設計好就高枕無憂”。犯這種錯誤的企業一般會下大力氣去設計一個安全的網絡，但是卻忽略了后期對于這個設計的定期性的重新評估。因為網絡風險是在不斷變化的，因此企業的網絡安全設計也應該不斷進化。最好的辦法就是定期對網絡安全設計進行重新評估。
網絡安全設計常見錯誤—在防火墻上開放過多的端口
我們都知道開放過多的端口沒有好處，但是有時候又不得不多開放幾個端口。就拿 Microsoft Office Communications Server 2007 R2來說吧，如果你計劃提供外部訪問功能，那要多開十幾個端口。另外， OCS 2007 R2還會隨機開放大量的端口。這種情況下，網絡安全管理員該怎么辦呢？
最好的解決方案之一是采用逆向代理（如微軟的ForeFront Threat Management Gateway）。逆向代理的位置介于互聯網和本地需要開放多個端口的服務器之間。這樣設置后，服務器不需要再開放大量的端口，而外界對服務器的連接請求會先經過逆向代理進行攔截和過濾，并傳遞給服務器。這種設計不但能讓服務器在外網前隱藏起來，還能幫助確保外部的惡意請求不會到達服務器。
網絡安全設計常見錯誤—不同應用程序混在一起
在經濟危機下，企業很少會花錢添置新設備，因此盡可能壓榨現有設備資源就成了唯一選擇。在這種前提下，企業一般會在一臺服務器上安裝多個應用服務，讓一臺服務器扮演多個角色。雖然這么做并不是被禁止的，但是在計算機行業有一個規律，即代碼越多，出現安全漏洞的機會就越多。
我并不是說每個服務器只能運行一種應用程序，或者扮演一種服務角色，但是至少我們應該仔細考慮應該把哪些應用程序或服務角色合并到一臺服務器上。比如，在最小需求下，一個Exchange 2007需要三個服務器角色（hub transport, client access, 以及 mailbox server），你可以將這三個角色整合到一臺服務器上。但是如果你要為外部客戶提供Outlook Web Access服務就不要這樣做了。因為Client Access Server服務器角色需要用到IIS來實現Outlook Web Access，也就是說，如果你將客戶接入服務器角色和hub transport以及mailbox server 角色放在了一臺服務器上，實際上就是把你的郵箱數據庫開放給了互聯網上的所有黑客。
網絡安全設計常見錯誤—忽略了網絡中的工作站
去年有個記者通過電話采訪我，他問：您覺得對于網絡安全威脅最大的是什么。我的回答是：網絡里的工作站是網絡安全的最大威脅。現在我仍持同樣看法。我總是看到企業在不但的加強網絡服務器的安全性，但同時卻忽視了網絡內的每一臺工作站。除非工作站的安全防護措施非常好，否則使用它的員工很容易在不經意間讓系統被惡意軟件入侵。
網絡安全設計常見錯誤—在必要的情況下沒有使用SSL加密
我們都知道，當用戶需要在網站上輸入敏感信息時（比如用戶名，密碼，信用卡卡號等），網站都會使用SSL 技術對信息進行加密。但是很多企業在這個問題上犯了錯。我曾經遇見過很多次，企業將敏感信息和非敏感信息混合在一個網頁中，當用戶訪問該頁面時，會收到一條提示，詢問用戶是否同時查看安全內容和非安全的內容。大部分用戶在面對這個提示時都是選擇同時顯示安全和非安全的內容，這就為網絡安全帶來了隱患。
一個不太明顯但是更常見的錯誤是，企業很少加密自己網站上的一些關鍵頁面。在我看來，任何涉及安全信息，安全設備以及聯系人方式的信息都應該經過SSL 加密。這并不是因為這些內容都屬于敏感信息，而是通過這些加密頁面讓用戶確信自己所訪問的是官方網站，而不是似是而非的網絡釣魚網站。
網絡安全設計常見的錯誤不光是以上講的這幾種，我們還會在以后的文章中繼續為大家介紹。
【編輯推薦】
