59、网络安全实施与入侵检测全解析

网络安全实施与入侵检测全解析

1. 网络安全实施基础

在网络通信中，两个网络之间的VPN端点通常是各自网络的防火墙（网关）。这意味着流量从每个主机通过可信链路以明文形式传输到本地防火墙，然后在不可信链路上被加密，直到每个数据包到达远程防火墙，在那里数据包被解密并以明文形式转发到远程主机。

有两种类型的窃听者：
- 窃听者X可以捕获明文传输，但必须设法访问内部网络。
- 窃听者Y可以捕获传输，但传输是加密格式，假设使用了强大的加密算法，几乎不可能解密。

如果要确保传输不被破坏，必须将每个主机定义为VPN端点，以保护传输免受两种窃听者的攻击。同时，不能简单地将内部网络视为完全可信的链路，而应认识到内部网络也存在威胁。

2. 网络安全监控

网络安全不仅仅是配置安全设备。许多组织购买昂贵的网络安全设备，进行配置和安装后就不再关注。他们认为没有明显的安全漏洞就意味着安全设备正常工作，但实际上，每天都会发现新的安全威胁，因此持续更新系统至关重要。

网络安全监控有两种方法：
- 主动监控 ：开启主机系统审计，主机系统主动收集信息，管理员可以查看每个主机系统的审计日志，检查安全事件，如登录成功/失败和文件系统访问。
- 被动监控 ：自动监控网络流量，检测网络上的未经授权的流量。入侵检测系统（IDS）提供此功能，可以自动响应可疑活动，如提醒安全管理员并主动阻止来自可疑方的流量。IDS是被动的，因为它对网络的其他部分透明地监控流量。

在安全系统上启用安全日志记录很重要，特别是在需要法律证据起诉攻击者时。