高防服务器分层进行安全掩护是推荐的做法,也是扩大性最好的网络安全掩护措施。因为单一的高防服务器安全机制难以掩护全部系统,要掩护网络架构,一定要在各层都进行安全掩护。这种分层思想也称为深度防御(defense in depth)。它请求网络是一个多层系统,这样,当其中的一层失效,网络也不至于全部痪,也就是说这种失效可以被限制在某个层面。而且,根据这种分层的思想,网络的漏洞也可以被限制在某一层,其他层则可以由于利用了各种安全策略而不受该漏洞的影响。
一、多层边界解决方案
当今网络的解决方案正由在边界设备上安排安全掩护,转变为在网络的各层之间安排安全掩护。在私有网络的内外边界安排入侵防御系统(IPS)是目前的推荐做法之一。另外,可以在同一个组织机构的不同商业部门之间安排防火墙产品,通过这种方法来把网络划分成多个逻辑分组,并利用边界防御措施。在这个多边界模型中,每个部门内部可以在不同的层面进行防御。
这些年来,制定有效边界安全措施的重要性正在不断进步。仅仅依附传统的防火和DS防御机制来掩护边界安全是不够的。Web利用、无线访问、网际互连、VPN,所有这一切都让“边界”这个概念变得前所未有的复杂。
分层的思想是让网络安全解决方案得以在不同的层面实行。还有一个类似的概念称为安全岛。要用安全岛作为解决方案就不能把思维限制在网络边界的概念上,也不能只依附一种方法来掩护网络安全,应当分层进行掩护一一即把网络分成边界、散布层、核心层和接入层。图1所示即为基础的分层掩护机制,该机制的设计初衷是掩护系统中的数据流。
分层思想还与每个环境中所应用的技巧以及在各层应用不同技巧的复杂性有关。之所以说它复杂,是因为网络同时利用了多种协议、利用程序、硬件和安全掩护机制,而它们又处于OSI模型的一层或多层中。网络环境可以分为很多层,同样的道理,不同的攻击类型也是针对其中的某层进行攻击,因此也需要采用不同的应对之策。
二、多米诺效应
OSI模型的目标是使不同的各层之间能够相互独立地进行工作。分层思想也会随着技巧的更新换代而不断发展适应。OSI模型中的每一层都有自己特定的功效,信息会以逐层上传下达的方法来进行处理。问題是,如果网络中的菜一层被黑客入侵,全部通信就都被侵入,而其他层也不知道这一层出了问题。比如,见图15,如果物理层(第1层)被侵入,其他层则也会相继受到影响。也就是说,网络安全符合短板效应,网络中最单薄的环节决定了网络整体的安全性。因此,提到网络互连的概念时,每一层都有可能是最单薄的环节。
