确保网络端点安全的五大制胜之道(下)

日期:2010-11-1作者:茫然

【TechTarget中国原创】

网络罪犯会利用用户的操作系统。因为操作系统经常发生改变,其目的是为了支持合法的应用程序。因而,管理员必须保障Windows注册表的安全,只有这样才能防止恶意软件的自动加载。例如,恶意软件可注入到系统的DLL、Windows服务、驱动程序中。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

评论
查看更多评论

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

作者>更多

茫然
茫然

暂无

端点安全>更多

  • 赛门铁克最新SEP 14端点安全方案:人工智能是亮点

    新的SEP 14带来端点安全的创新和突破,基于端点和云端的人工智能,SEP 14将基本的端点技术、高级机器学习和记忆漏洞缓解措施集成至单一代理,帮助企业用户实现多层防护,从而有效抵御针对端点的高级威胁。

  • 市场变局中 国产安全厂商的进击之路

    未来EPP类厂商,将不仅仅局限于解决终端的各类管理问题,极有可能会将企业的网络边界管理等功能纳入,为企业用户提供更好的综合性解决方案。

  • 联软科技 “构建可控互联世界”之路

    近年来,国内很多安全厂商蓬勃发展,有国家政策倾斜的因素,同时也缘于他们比国际厂商更贴近用户,能够随时根据用户需要,制定适合的解决方案。联软科技便是其中一员。

  • 实用6招 加强端点设备安全

    很多时候,端点设备是攻击的初始点,允许攻击横向移动到网络中,从而制造更多的破坏……

相关推荐

技术手册>更多

  • 网上银行安全防护指南

    网上银行又称网络银行、在线银行,是指银行利用Internet技术,通过Internet向客户提供开户、销户、查询、对帐、行内转帐、跨行转帐、信贷、网上证券等传统服务项目,使客户可以足不出户就能够安全便捷地管理活期和定期存款、支票、信用卡及个人投资等。可以说,网上银行是在Internet上的虚拟银行柜台。虽然网上银行为大家提供了便利,但它也存在着许多安全风险,威胁着企业和用户的财产。本技术手册将向大家介绍常见的网上银行风险、网上银行安全评估与认证技巧以及网上银行安全技巧,帮助金融机构、企业和用户更好的了解网上银行安全。

  • 安全加密秘籍

    无论是企业的自身需要还是安全标准的强制规定,为了更好的保护数据,加密已经成为企业的不二选择。本技术手册将详细介绍各种加密技术,帮助企业更好的保护数据。

  • 统一威胁管理实用手册

    为了应对更加纷繁复杂的攻击,供应商开发出一些集成系统,将所有不同的防御技术集成到一个产品中,统一威胁管理(UTM)系统应运而生。统一威胁管理系统囊括多种功能,且价格相对较低,以其高性价比而颇受青睐。

  • 数据防护指南

    随着计算机应用的普及,计算机数据安全问题成为了日益突出的问题,特别是在网络环境下,数据的安全问题不仅涉及到系统数据和用户数据遭到逻辑级别或物理级别的损坏威胁,而且涉及到敏感数据通过网络泄漏的威胁。如何保护计算机数据安全已经是重大的战略问题。

TechTarget

最新资源
  • 存储
  • CIO
  • 数据库
  • 网络
  • 数据中心
  • 云计算
【TechTarget中国原创】

  对应用程序控制的制胜之道

  网络罪犯会利用用户的操作系统。因为操作系统经常发生改变,其目的是为了支持合法的应用程序。因而,管理员必须保障Windows注册表的安全,只有这样才能防止恶意软件的自动加载。例如,恶意软件可注入到系统的DLL、Windows服务、驱动程序中。

  应当防止应用程序将可执行文件或脚本复制到网络共享中。这会防止蠕虫在公司网络内的传播。

  应当禁用敏感的应用程序(如财务软件)中“打印屏幕(Prt Scr)”以及“复制/粘贴”功能。

  应当强化规则,仅准许特定的应用程序在远程服务器上存储文件。

  安全水平不仅以当前登录的用户为基础,而且还依赖于用户的连接位置和连接环境。如果是笔记本电脑,根据其位置就应当存在着三种不同的策略水平:公司网络内部、公司网络外部、通过VPN连接到互联网。可以阻止其它的连接类型,如试图通过不安全的Wi-Fi网络连接至互联网的企图。

  为决定设备的位置,你需要一种能够检测被激活的网络接口所在位置的解决方案,还要能够收集该设备的IP信息(IP地址、DNS等),能够使用本地和网络的活动目录信息,以决定设备的类型、角色、组等。仅使用一台服务器来测试设备的位置是很危险的,因为如果服务器离线了,就再也无法得到合法的位置,并且所有的工作站无法连接到公司网络,因而就会按照一种错误的策略来运行。

  下面的这个例子中所展示的位置设置适用于多数公司:

  1、内部定位:由于仅激活了局域网接口,所以可检查工作站是否用LDAP进行认证。

  2、VPN定位:激活了VPN接口,并且拥有VPN子网的正确IP地址。

  3、外部定位:既非内部又非VPN。

  在确认了这三个位置之后,就可以应用下面的策略:

  1、内部策略:仅准许白名单列表中的网络接口。这会防止非法或不安全的桥接通过网络接口。

  2、VPN策略:将网络进入或转出的连接限制到最小值。这有助于增强安全性,更有助于节省VPN的带宽。

  3、外部策略:应当将网络连接限制到有限的时间,并且仅能用于建立VPN连接。首先要测试用户通过热点进行连接的情况。然后,给用户一个“机会窗口”(也就是一小段时间,如三分钟),此时,用户可以打开一个web连接来进行验证并进入热点入口(如宾馆的热点入口)。一旦通过认证进入了热点入口,就可以建立VPN连接。

  网络访问控制的制胜之道

  为部署基本的NAC功能,802.1X可成为防止未授权工作站与公司网络建立连接的核心层。对于一个基于Windows的环境而言,实现这一点的最简单的方法是通过活动目录。
在部署了802.1x之后,下一步就是实施一个基于网络的NAC方案,如微软的NAP等。这一步骤会提供必要的机制,用于根据工作站的状态(是否感染恶意软件、客户机的系统等)来与VLAN建立连接。

  最后,与你的NAC方案兼容的端点保护技术可以提升NAC的功能,因为端点代理除了有助于隔离、修复、控制工作站之外,还可提供工作站的深层次的健康状态。

  为确保基于NAC的安全策略的良好水平,笔者给出下面的一些控制手段:

  1、检查工作站是否有操作系统及应用程序的所有补丁。

  2、检查反病毒工具的状态和签名是否最新,并确保用最新的签名对系统执行扫描。

  3、检查所安装的和正在运行的软件部署、管理,或检查其是否缺乏配置或配置错误。
如果一台工作站无法通过上述的任何一个或所有的检查,就应当对其进行隔离,并限制它,使其仅能做如下操作:

  确保网络端点安全的五大制胜之道(上)