通常是防火墙或简单的NAT来隔离,问题仍有几个 <- 中国开发网

CNDEV.ORG

当前在线

论坛

CBD
- 程序员情感CBD
- 程序员见面交流会
CBD开发区
- Java/J2ME
- .NET/C#
- 数据库
- Delphi/BCB
- Visual C
其它
情感
游戏
- CNDEV-CS/WOW
- 浩宇长空
生活
论坛系统

中国开发网: 论坛: 程序员情感CBD: 贴子 62162

bigshrimp：通常是防火墙或简单的NAT来隔离,问题仍有几个

[阅读: 511] 2004-12-12 02:00:22

1.DMZ 的划分..
2.反弹式木马或类似程序(现在一般有针对性的木马都是订做的,不大会被防病毒软件查到)
3.内网个别机器可能存在其他上网方式.(比如wan,拨号....这都是我们实际遇到的.)

相关信息:

大家讨论一下内外网的隔离办法和经验 (空) (oxygen [555] 2004-12-11 16:16)
- 关键还是在应用协议级别/层次上作文章 (68字) (haitao [520] 2004-12-11 16:19)
  - 你是说做端口限制？ (空) (oxygen [545] 2004-12-11 16:22)
    - maybe (空) (坏鼠标 [449] 2004-12-11 16:23)
    - 仅端口太宽松了，数据库连接已经是端口加用户名、密码了，不还是担心嘛 (22字) (haitao [595] 2004-12-11 16:28)
      - 怎么防家贼 (空) (坏鼠标 [484] 2004-12-11 16:30)
        是防病毒 (空) (oxygen [384] 2004-12-11 16:31)
        为什么要防病毒 (8字) (坏鼠标 [481] 2004-12-11 16:32)
        也是，没事养几个病毒玩玩，领导才知道做技术的重要性 (空) (oxygen [464] 2004-12-11 16:36)
        本来就是嘛，没了问题领导养着你们干嘛啊 (空) (坏鼠标 [366] 2004-12-11 16:37)
        2说 (47字) (haitao [363] 2004-12-11 16:39)
      - 端口识别是最简单的，再复杂了就得砌墙了 (空) (oxygen [486] 2004-12-11 16:31)
        防火墙？那只能防到端口吧 (15字) (haitao [384] 2004-12-11 16:44)
        可以识别一些特征码 (空) (oxygen [477] 2004-12-11 16:46)
        那应该都是很简单的特征码 (22字) (haitao [425] 2004-12-11 16:48)
        no,新一代的防火墙是可以做到第四层的协议解析的,甚至支持自定义新的应用协议, (50字) (bigshrimp [579] 2004-12-12 01:55)
        你是做网络安全的？ (空) (oxygen [392] 2004-12-12 02:06)
        oxygen的要求是某个程序可以访问核心数据库，其它的一律杜绝 (93字) (haitao [495] 2004-12-12 02:08)
        我们先不要讨论内部的人员搞木马的问题，先讨论一下病毒的问题 (50字) (oxygen [453] 2004-12-12 02:13)
        病毒和木马的界限不是很明确,但肯定从外边进来有几个渠道. (393字) (bigshrimp [579] 2004-12-12 02:48)
- 把网线拔了？ (空) (Yxd [421] 2004-12-11 17:42)
- 通常是防火墙或简单的NAT来隔离,问题仍有几个 (101字) (bigshrimp [510] 2004-12-12 02:00)
  - 防火墙和nat对于不严格的隔离来说可以满足 (52字) (oxygen [443] 2004-12-12 02:04)
    - 是啊.所以工作在第七层的IDS,内容访问控制,病毒网关和防火墙网关的连动可能就是最好的解决办法了. (空) (bigshrimp [645] 2004-12-12 02:33)
      - 能不能说具体一点，有没有比较成功的案例 (空) (oxygen [405] 2004-12-12 02:35)
        CA 有一套比较好的解决方案,但我没用过,只是看它的概念还不错...但这整个用下来,费用高效率会低... (空) (bigshrimp [378] 2004-12-12 02:49)
  - 我对我单位的实施办法 (143字) (UnKnow365 [500] 2004-12-12 03:24)
    - 怎么限制乱改IP (44字) (小东 [671] 2004-12-12 03:32)
      - 我不用DHCP，IP与MAC绑定，一发现IP与MAC不符就发消息警告并限制上网 (空) (UnKnow365 [1176] 2004-12-12 04:28)
        总得有机器控制吧,要不然每个机器都装客户端 (空) (小东 [479] 2004-12-12 04:49)
        跟客户端没关系，是在网络边界上做的，比如说交换机或防火墙 (空) (玉楼 [470] 2004-12-12 05:05)
        描述不大准确，准确的说是不存在客户端，是在网络边界设备上做限制的 (空) (玉楼 [577] 2004-12-12 05:06)
        有没有资料，给个链接吧 (空) (小东 [433] 2004-12-12 05:29)
        3种方式,1.嗅探检查或交换机镜像端口 2.arp广播轮询 3.网关检查 (78字) (bigshrimp [924] 2004-12-12 07:42)
- 应着重讨论一下管理员对客户机私装网络设备(网卡,大小猫)的预防 (10字) (茗人 [459] 2004-12-12 07:06)
  - 这个没有很好的解决办法,最好是通过在每个client上装客户端来检查.... (空) (bigshrimp [469] 2004-12-12 07:44)
  - 目前不用客户端的方法是... (163字) (bigshrimp [496] 2004-12-12 08:31)
    - 这种方法有什么具体实现工具呢？或者是具体实现方法？ (14字) (zhong [408] 2004-12-12 08:59)
      - sendip,如果在windows下的话,最好是自己做,winpcap或rawsocket的,不过有一点,构造伪来源ip地址的包在XP SP2下Rawsocket是行不通的 (空) (bigshrimp [994] 2004-12-13 01:14)

欢迎光临本社区，您还没有登录，不能发贴子。请在这里登录

页面内容处理时间: 0.028 - 628784