互聯(lián)網(wǎng)上存在著大量的惡意網(wǎng)站和釣魚(yú)網(wǎng)站，這些網(wǎng)站通過(guò)在網(wǎng)頁(yè)上掛木馬程序，利用瀏覽器和操作系統(tǒng)的漏洞來(lái)入侵訪(fǎng)問(wèn)者的電腦。一旦中毒，會(huì)給局域網(wǎng)帶來(lái)不可預(yù)知的損失，極大的危害到局域網(wǎng)的網(wǎng)絡(luò)安全。
本文將介紹如何用WFilter NGF來(lái)屏蔽惡意網(wǎng)站，并且保護(hù)局域網(wǎng)不受惡意釣魚(yú)網(wǎng)站的攻擊?？傮w來(lái)說(shuō)，有以下兩個(gè)途徑：
入侵防御系統(tǒng)（Intrusion Prevention System）是對(duì)防病毒軟件和防火墻的有效補(bǔ)充。IPS可以監(jiān)視網(wǎng)絡(luò)中的異常信息，并且能夠即時(shí)的中斷、阻止、告警內(nèi)外網(wǎng)的異常網(wǎng)絡(luò)行為。
在WFilter NGF中，我們集成了基于snort的入侵防御系統(tǒng)，該系統(tǒng)主要可以實(shí)現(xiàn)如下三個(gè)方面的功能：
保護(hù)內(nèi)網(wǎng)的web服務(wù)器、文件服務(wù)器、郵件服務(wù)器。
檢測(cè)內(nèi)網(wǎng)終端的木馬和惡意軟件。
檢測(cè)內(nèi)網(wǎng)終端的異常網(wǎng)絡(luò)行為。
在本文中，我簡(jiǎn)單介紹下如何實(shí)現(xiàn)這三個(gè)方面的功能。
企業(yè)內(nèi)網(wǎng)的服務(wù)器都存有企業(yè)的重要信息，包括CRM用戶(hù)信息、技術(shù)資料等。所以?xún)?nèi)網(wǎng)服務(wù)器的信息安全是企業(yè)網(wǎng)絡(luò)管理的重點(diǎn)。內(nèi)網(wǎng)服務(wù)器不但面臨外來(lái)的攻擊，也會(huì)受到來(lái)自?xún)?nèi)部的攻擊。在本文中，我將介紹如何用WFilter NGF的入侵防御模塊來(lái)保護(hù)內(nèi)網(wǎng)服務(wù)器。網(wǎng)絡(luò)結(jié)構(gòu)圖如下：
WFilter NGF用網(wǎng)橋部署模式，接在內(nèi)網(wǎng)和服務(wù)器網(wǎng)段以及互聯(lián)網(wǎng)之間，既可以做外網(wǎng)上網(wǎng)行為管理，又可以保護(hù)服務(wù)器網(wǎng)段。
DDOS全稱(chēng)Distributed Denial of Service，中文叫做“分布式拒絕服務(wù)”，就是利用大量合法的分布式服務(wù)器對(duì)目標(biāo)發(fā)送請(qǐng)求，從而導(dǎo)致正常合法用戶(hù)無(wú)法獲得服務(wù)。DDOS會(huì)耗盡網(wǎng)絡(luò)服務(wù)的資源，使服務(wù)器失去響應(yīng)，為實(shí)施下一步網(wǎng)絡(luò)攻擊來(lái)做準(zhǔn)備。比如用KaLi_Linux的hping3就可以很容易的實(shí)現(xiàn)DDOS攻擊。
如圖，未受攻擊時(shí)，netstat -nat可以查看到只有少量的網(wǎng)絡(luò)鏈接。
在本文中，我將介紹如何用WSG上網(wǎng)行為管理網(wǎng)關(guān)結(jié)合中國(guó)移動(dòng)的10086云MAS平臺(tái)，來(lái)實(shí)現(xiàn)局域網(wǎng)WiFi實(shí)名認(rèn)證。
對(duì)于三層交換機(jī)劃分多個(gè)VLAN的局域網(wǎng)來(lái)說(shuō)，要設(shè)置IP-MAC綁定可真不容易。在三層交換機(jī)上進(jìn)行IP-MAC綁定，不但配置復(fù)雜而且維護(hù)工作量很大，所以大部分網(wǎng)管都不會(huì)直接在三層交換機(jī)上進(jìn)行綁定。在本文中，我將介紹用WSG上網(wǎng)行為管理，在網(wǎng)橋部署的模式下，如何來(lái)實(shí)現(xiàn)三層交換機(jī)下的IP和MAC綁定。
Win10的自動(dòng)更新非常的頻繁，而且windows的更新很耗帶寬資源。所以，如果網(wǎng)內(nèi)的windows電腦比較多，那么一旦windows發(fā)布了新的更新包，會(huì)占用大量的網(wǎng)絡(luò)帶寬資源。
當(dāng)然，windows的更新很多都是安全方面的更新，保持系統(tǒng)更新有助于提高終端的安全，我們并不建議關(guān)閉更新。不過(guò)，有些網(wǎng)絡(luò)為了節(jié)省帶寬資源，需要屏蔽局域網(wǎng)內(nèi)電腦的自動(dòng)更新。在沒(méi)有部署上網(wǎng)行為管理的情況下，你需要在路由器或者網(wǎng)關(guān)設(shè)備上屏蔽站點(diǎn)“.*(officecdn|mp|updates)\.microsoft\.com“（正則表達(dá)式）和".*\.windowsupdate\.com”（正則表達(dá)式）。“windows更新”的通訊協(xié)議描述如下圖：
日前，深圳市網(wǎng)絡(luò)與信息安全信息通報(bào)中心發(fā)出緊急通告，指出目前知名遠(yuǎn)程辦公工具TeamViewer已經(jīng)被境外黑客組織APT41攻破，提醒企業(yè)組織做好防護(hù)措施。也就是說(shuō)，APT41已經(jīng)攻破TeamViewer公司的所有防護(hù)體，并取得有相關(guān)數(shù)據(jù)權(quán)限，危險(xiǎn)等級(jí)非常高。在teamviewer官方提供解決方案和發(fā)布相關(guān)補(bǔ)丁之前，我們建議用戶(hù)暫停teamviewer軟件的使用，避免造成不必要的損失。
以下是teamviewer通訊方式介紹，以及如何用WSG上網(wǎng)行為管理來(lái)禁止teamviewer。
teamviewer在啟動(dòng)時(shí)，首先會(huì)連接teamviewer官網(wǎng)（http和https方式都有），來(lái)獲取ID和路由信息。如果直接連接不了，teamviewer還會(huì)獲取本機(jī)的代理配置，嘗試通過(guò)代理服務(wù)器去連接。
teamviewer后續(xù)的點(diǎn)對(duì)點(diǎn)遠(yuǎn)程控制，大部分通過(guò)的端口是tcp 5938。也存在其他動(dòng)態(tài)端口的通訊數(shù)據(jù)。
有些公司為了安全需要，只允許使用微信等指定軟件，同時(shí)屏蔽所有的其他網(wǎng)站和軟件。這樣的管理需求，必須要用專(zhuān)業(yè)的上網(wǎng)行為管理產(chǎn)品才可以實(shí)現(xiàn)。以我司的WSG上網(wǎng)行為管理為例，只需要兩條行為管理規(guī)則，即可實(shí)現(xiàn)該功能。配置的思路是“應(yīng)用過(guò)濾屏蔽所有+例外設(shè)置開(kāi)通部分應(yīng)用”這兩者結(jié)合的方式。下面是具體配置的步驟介紹：
如圖，應(yīng)用過(guò)濾添加規(guī)則，禁止所有應(yīng)用的訪(fǎng)問(wèn)。
WSG上網(wǎng)行為管理的一些型號(hào)，如WSG-500E、WSG-XE都可以支持光口，設(shè)備接口如下圖：
本文我將介紹如何來(lái)使用WSG上網(wǎng)行為管理的光纖接口。
IOS系統(tǒng)的自動(dòng)更新非常耗帶寬，每次IOS版本更新動(dòng)輒好幾個(gè)G。每次IOS推出新版本，都是對(duì)企業(yè)帶寬資源的一大考驗(yàn)。
WFilter NGF上網(wǎng)行為管理系統(tǒng)（WSG網(wǎng)關(guān)）提供了豐富的系統(tǒng)調(diào)用API接口，具體的API接口請(qǐng)參考：WFilter API接口。在本文中，我將介紹如何用WFilter的API接口來(lái)直接訪(fǎng)問(wèn)統(tǒng)計(jì)報(bào)表系統(tǒng)。
如圖，WFilter中有一系列的內(nèi)置統(tǒng)計(jì)報(bào)表，您也可以自己定義需要的報(bào)表格式。
本文將介紹如何用WSG上網(wǎng)行為管理網(wǎng)關(guān)來(lái)記錄局域網(wǎng)內(nèi)的郵件收發(fā)內(nèi)容。郵件收發(fā)主要有兩種方式：
客戶(hù)端郵件，比如outlook, foxmail，thundbird等客戶(hù)端。
網(wǎng)頁(yè)郵件，國(guó)內(nèi)比較普遍的是qq和163的網(wǎng)頁(yè)郵件。
“MAC地址認(rèn)證”通過(guò)客戶(hù)機(jī)的MAC地址來(lái)對(duì)客戶(hù)端進(jìn)行身份認(rèn)證，只有通過(guò)認(rèn)證的客戶(hù)端設(shè)備才可以訪(fǎng)問(wèn)網(wǎng)絡(luò)以及服務(wù)器資源。網(wǎng)絡(luò)結(jié)構(gòu)圖如下：
WFilter的“SSL監(jiān)控”模塊，可以對(duì)https以及SSL加密的smtp/imap/pop3的內(nèi)容進(jìn)行解密從而記錄其內(nèi)容。該SSL監(jiān)控模塊，既可以對(duì)電腦進(jìn)行管控，而且對(duì)手機(jī)一樣生效。但是要不影響客戶(hù)機(jī)的正常使用，首先需要在客戶(hù)機(jī)上安裝ca證書(shū)。電腦上安裝ca證書(shū)比較簡(jiǎn)單，我們不再贅述。本文中，我將介紹如何在蘋(píng)果手機(jī)（iphone）上安裝SSL監(jiān)控的ca證書(shū)，從而實(shí)現(xiàn)對(duì)iphone的SSL監(jiān)控。
企業(yè)局域網(wǎng)由于網(wǎng)絡(luò)環(huán)境復(fù)雜；終端數(shù)量、設(shè)備數(shù)量都比較多；經(jīng)常會(huì)出現(xiàn)網(wǎng)絡(luò)卡頓等故障。一旦網(wǎng)絡(luò)變慢時(shí)，面對(duì)復(fù)雜的網(wǎng)絡(luò)環(huán)境，網(wǎng)管技術(shù)人員需要迅速并且準(zhǔn)確的診斷出問(wèn)題所在，并且加以解決。本文中，我將盡量描述網(wǎng)絡(luò)變卡變慢的常見(jiàn)原因以及診斷方法。大體來(lái)說(shuō)，網(wǎng)絡(luò)卡頓的原因有如下方面：
外網(wǎng)原因：運(yùn)營(yíng)商線(xiàn)路故障、帶寬不夠，路由器軟硬件故障等。
內(nèi)網(wǎng)原因：內(nèi)網(wǎng)的設(shè)備故障、病毒攻擊、網(wǎng)絡(luò)設(shè)置等原因。
所以在斷網(wǎng)、網(wǎng)絡(luò)卡頓時(shí)，第一步要判斷問(wèn)題出在內(nèi)網(wǎng)還是外網(wǎng)，然后再進(jìn)行后續(xù)的診斷。
無(wú)線(xiàn)網(wǎng)絡(luò)由于安全性比較低，企事業(yè)單位的無(wú)線(xiàn)組網(wǎng)需要考慮如下因素：
有線(xiàn)網(wǎng)段和無(wú)線(xiàn)網(wǎng)段互相隔離。
辦公無(wú)線(xiàn)和訪(fǎng)客無(wú)線(xiàn)也需要互相隔離。
每個(gè)網(wǎng)段的無(wú)線(xiàn)終端建議控制在150以?xún)?nèi)，避免廣播風(fēng)暴。
員工內(nèi)網(wǎng)要做接入認(rèn)證或者設(shè)備綁定。
對(duì)訪(fǎng)客進(jìn)行實(shí)名認(rèn)證（可選）
一般采用這樣的網(wǎng)絡(luò)結(jié)構(gòu)圖：
WSG上網(wǎng)行為管理做透明網(wǎng)橋部署有很多優(yōu)勢(shì)：
即插即用，不影響現(xiàn)有網(wǎng)絡(luò)。
不需要修改原有設(shè)備的配置（交換機(jī)、路由器都不需要做任何修改）
可以利用到硬件bypass的功能，即使機(jī)器斷電死機(jī)也不會(huì)斷網(wǎng)。
由于政策要求和網(wǎng)絡(luò)安全的需要，現(xiàn)在絕大部分的酒店無(wú)線(xiàn)WiFi都要求實(shí)名認(rèn)證。只有實(shí)名認(rèn)證過(guò)的設(shè)備才允許連接酒店的WiFi網(wǎng)絡(luò)，并且記錄和留存該終端的上網(wǎng)內(nèi)容。
一般來(lái)說(shuō)實(shí)名認(rèn)證都采用短信認(rèn)證的方式，由于手機(jī)號(hào)是已經(jīng)經(jīng)過(guò)實(shí)名認(rèn)證的，記錄手機(jī)號(hào)就等于是實(shí)現(xiàn)了實(shí)名認(rèn)證上網(wǎng)。網(wǎng)絡(luò)結(jié)構(gòu)可以采用如下的部署方式，用一臺(tái)WSG上網(wǎng)行為管理做主路由（也可以做透明網(wǎng)橋部署）。
WFilter上網(wǎng)行為管理，包括WFilter ICF和WFilter NGF（WSG網(wǎng)關(guān)），都可以對(duì)http和https的站點(diǎn)進(jìn)行網(wǎng)站黑白名單控制。如圖：
作者:笨小驢 | 分類(lèi):網(wǎng)頁(yè)過(guò)濾方案 | 瀏覽:9544 | 評(píng)論:0
不管是企業(yè)內(nèi)網(wǎng)的私有WiFi，還是公共WiFi網(wǎng)絡(luò)；出于安全性需要以及相關(guān)政策法規(guī)的要求，都要對(duì)WiFi無(wú)線(xiàn)上網(wǎng)的用戶(hù)進(jìn)行實(shí)名認(rèn)證。本文中，我將結(jié)合WSG上網(wǎng)行為管理網(wǎng)關(guān)介紹如何實(shí)現(xiàn)無(wú)線(xiàn)WiFi的實(shí)名認(rèn)證。
騰訊從2014年推出的微信WiFi服務(wù)，可以用微信掃碼進(jìn)行認(rèn)證，從而記錄微信的openid。不過(guò)由于apple公司的接口調(diào)整，微信WiFi已經(jīng)暫停服務(wù)。所以通過(guò)微信來(lái)進(jìn)行實(shí)名認(rèn)證已經(jīng)不可行了。
二級(jí)路由器默認(rèn)都啟用了網(wǎng)絡(luò)地址轉(zhuǎn)換，會(huì)把客戶(hù)機(jī)的IP地址和mac地址都轉(zhuǎn)換成路由器的IP和mac。這樣從上層的行為管理來(lái)看，只能看到路由器的IP地址。要區(qū)分二級(jí)路由下面的終端，必須把二級(jí)路由器改成AP模式（也就是無(wú)線(xiàn)交換機(jī)模式）。
局域網(wǎng)的文件泄露，主要是通過(guò)usb拷貝以及網(wǎng)絡(luò)傳輸?shù)姆绞?。我們?cè)?a href="http://s-dudley.com/blog/post/382.html" target="_blank">企業(yè)外發(fā)文件管控方案總結(jié)一文中，已經(jīng)介紹了多種管控外發(fā)文件的方案。在本文中，我將介紹利用WSG上網(wǎng)行為管理網(wǎng)關(guān)如何來(lái)有效的管控外發(fā)文件。
需要在windows電腦的組策略里面禁止配置，把“禁止安裝可移動(dòng)設(shè)備“修改成”已啟用“即可。當(dāng)然，管理員權(quán)限就不能給使用者啦，要不然再把這個(gè)策略改回去就不起作用了。
當(dāng)防火墻檢測(cè)到某個(gè)IP存在病毒攻擊或者異常流量時(shí)，網(wǎng)管技術(shù)人員往往需要到電腦上面進(jìn)行后續(xù)操作。而對(duì)于自動(dòng)獲取IP的局域網(wǎng)來(lái)說(shuō)，如何定位IP地址的電腦位置一直是一個(gè)技術(shù)難題。如果沒(méi)有好的工具，最笨的辦法就是一臺(tái)一臺(tái)電腦進(jìn)行查看，通過(guò)比對(duì)IP地址和mac地址來(lái)定位。那么還有哪些聰明一些的辦法呢？
有網(wǎng)管交換機(jī)時(shí)，可以在網(wǎng)管交換機(jī)上查看arp表找到該IP地址所在的端口，然后根據(jù)端口順藤摸瓜，從而定位電腦的物理位置。比如，在交換機(jī)上執(zhí)行“disp arp”命令（不同型號(hào)的交換機(jī)命令不一樣），可以得到如下結(jié)果：
在部署了上網(wǎng)行為管理的局域網(wǎng)內(nèi)，總會(huì)有人想各種各樣的辦法來(lái)突破上網(wǎng)管控。常見(jiàn)的方法有：
IP地址盜用。
MAC地址克隆。
首先可以考慮不開(kāi)放管理員權(quán)限，或者采用域控的方式禁止客戶(hù)機(jī)自行修改網(wǎng)絡(luò)設(shè)置等辦法。其次也可以通過(guò)上網(wǎng)行為管理的管控策略來(lái)阻止這些行為。本文中，我來(lái)介紹下如何用WSG上網(wǎng)行為管理網(wǎng)關(guān)來(lái)應(yīng)對(duì)IP地址盜用和MAC地址克隆。
