轻松9步加强路由器安多方面力

更多
2015-10-28 16:08:30 来源: 神州加盟网 有1950人参与
  • 经营范围:互联网
  • 门店数量:479家
  • 单店投资额:20~50
企业已备案
企业已认证
成交领红包





小对于大多数企业局域网来说,路由器已经成为正在使用之中的重要的安全设备之一。一般来说,大多数网络都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。 经过恰当的设置,边沿

路由器能够把几乎所有的顽固的坏分子挡在网络之外。假如

你愿意的话,这种路由器还能够让好人进入网络。不过,没有恰当设置的路由器只是比根本就没有安全措施稍微好一点。







在下列指南中,我们将研究一下你可以用来保护网络安全的9个方便的步骤。这些步骤能够提高/增加你拥有一道保护你的网络的砖墙,而不是一个敞开的大门。







1.修改默认的口令!







据卡内基梅隆大学的CERT/CC(计算机应急反应小组/控制中心)称,80%的安全突破事件是由薄弱的口令引起的。网络上有大多数路由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。SecurityStats.com网站维护一个详尽的可用/不可用口令列表,以及一个口令的可靠性测试。







2.封闭

IP直接广播(IP Directed Broadcast)







你的服务器是很听话的。让它做什么它就做什么,而且不管是谁发出的指令。Smurf攻击是一种拒绝服务攻击。在这种攻击中,攻击者使用假冒的源地址向你的网络广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的网络性能。







参考你的路由器信息文件,了解如何封闭

IP直接广播。例如,“Central(config)#no ip source-route”这个指令将封闭

思科路由器的IP直接广播地址。







3.假如

可能,封闭

路由器的HTTP设置







正如思科的技术说明中扼要

说明的那样,HTTP使用的身份识别协议相当于向整个网络发送一个未加密的口令。然而,遗憾的是,HTTP协议中没有一个用于验证口令或者一次性口令的规定。







固然

这种未加密的口令对于你从远程位置(例里)设置你的路由器也许是非常方便的,但是,你能够做到的事情其他人也照样可以做到。特殊

是假如

你仍在使用默认的口令!假如

你必须远程治理

路由器,你一定要确保使用SNMPv3以上版本的协议,由于

它支持更严格的口令。







4.封闭

ICMP ping哀求





ping的主要目的是识别目前正在使用的主机。因此,ping通常用于更大规模的协同性攻击之前的侦察活动。取消远程用户接收ping请求的应答能力,你就更轻易

避开那些无人留意

的扫描活动或者防御那些寻找轻易

攻击的目标的“脚本小子”(script kiddies)。







请留意

,这样做实际上并不能保护你的网络不受攻击,但是,这将使你不太可能成为一个攻击目标。







5.封闭

IP源路由







IP协议答应

一台主机指定数据包你的网络的路由,而不是答应

网络组件确定优佳的路径。这个功能的正当

的应用是用于诊断连接故障。但是,这种用途很少应用。这项功能常用的用途是为了侦察目的对你的网络进行镜像,或者用于攻击者在你的专用网络中寻找一个后门。除非指定这项功能只能用于诊断故障,否则应该封闭

这个功能。







6.确定你的数据包过滤的需求







封闭

端口有两项理由。其中之一根据你对安全水平的要求对于你的网络是合适的。







对于高度安全的网络来说,特殊

是在存储或者保持秘密数据的时候,通常要求经过答应

才可以过滤。在这种规定中,除了网路功能需要的之外,所有的端口和IP地址都必要要封闭

。例如,用于web通讯

的端口80和用于SMTP的110/25端口答应

来自指定地址的访问,而所有其它端口和地址都可以封闭









大多数网络将使用“按拒绝请求实施过滤”的方案享受可以接受的安全水平。当使用这种过滤政策时,可以封闭

你的网络没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的网络的功能性。例如,封闭

139端口和445(TCP和UDP)端口将使黑客更难对你的网络实施穷举攻击。封闭

31337(TCP和UDP)端口将使Back Orifice木马程序更难攻击你的网络。







这项工作应该在网络规划阶段确定,这时候安全水平的要求应该符合网络用户的需求。查看这些端口的列表,了解这些端口正常

的用途。







7.建立准许进入和外出的地址过滤政策







在你的边界路由器上建立政策以便根据IP地址过滤进出网络的违反安全规定的行为。除了特别

的不同平常

的案例之外,所有试图从你的网络内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如,192.168.0.1这个地址也许这个路由器访问互联网是正当

的。但是,216.239.55.99这个地址很可能是欺骗性的,并且是一场攻击的一部分。







相反,来自互联网外部的通讯

的源地址应该不是你的内部网络的一部分。因此,应该封闭

入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。







后,拥有源地址的通讯

或者保存

的和无法路由的目标地址的所有的通讯

都应该答应

这台路由器。这包括回送地址127.0.0.1或者E类(class E)地址段240.0.0.0-254.255.255.255。







8.保持路由器的物理安全







从网络嗅探的角度看,路由器比集线器更安全。这是由于

路由器根据IP地址智能化地路由数据包,而集线器相所有的节点播出数据。假如

连接到那台集线器的一个系统将其网络适配器置于混乱的模式,它们就能够接收和看到所有的广播,包括口令、POP3通讯

和Web通讯









然后,重要的是确保物理访问你的网络设备是安全的,以防止未经答应

的笔记本电脑等嗅探设备放在你的本地子网中。







9.花时间审阅安全记实





审阅你的路由器记录(其内置的防火墙功能)是查出安全事件的的方法,无论是查出正在实施的攻击还是未来攻击的征候都非常。利用出网的记录,你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。专心

的安全治理

员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。







此外,一般来说,路由器位于你的网络的边沿

,并且答应

你看到进出你的网络全部通讯

的状况

更多
标签:做路由器代理
民富宝手机收银机
  • 821 关注互联网
  • 13020 咨询互联网

注册会员-关注品牌-线下推荐-深层交流-确定成交 找项目就是这么高效

注  册
猜你喜欢
  
微信客服
微信扫一扫
在线咨询
回到顶部