當(dāng)觸及安然性時，我們有時會更側(cè)重于無線收集，因為Wi-Fi沒有物理圍欄。事實，報復(fù)打擊者可以在外部，檢測到你的SSID并倡議報復(fù)打擊。
但面對內(nèi)部威脅、有針對性的報復(fù)打擊，和操縱社交收集獲得對企業(yè)收集的物理拜候，有線收集的安然也應(yīng)當(dāng)是重點(diǎn)。
下面是幫忙企業(yè)進(jìn)步有線收集安然的8種編制，不管你是小型企業(yè)仍是大年夜型企業(yè)。
1.履行審計和畫圖
假定你還沒有如許做，你此刻應(yīng)當(dāng)開端對收集進(jìn)行審計和畫圖。你應(yīng)當(dāng)始終清晰地體味全部收集的根本舉措措施，例如供給商/型號、位置，和防火墻、路由器、互換機(jī)、以太網(wǎng)布線和端點(diǎn)和無線接進(jìn)點(diǎn)的根基建設(shè)。你還需要知道哪些辦事器、計較機(jī)、打印機(jī)和任何其他設(shè)備連接到收集上、甚么時辰被連接，和其在全部收集的連接路徑。
在審計和畫圖的過程中，你可能會發(fā)現(xiàn)特定的安然縫隙，和進(jìn)步安然、機(jī)能和靠得住性的編制?；蛟S你還會發(fā)現(xiàn)未準(zhǔn)確建設(shè)的防火墻或物理安然威脅。
假定你的收集只有幾個收集組件和十幾個工作組，你可能只需要手動履行審計，在紙上繪出視覺地圖便可。而對較大年夜型收集，你會發(fā)現(xiàn)審計和畫圖過程很是有效。你可以掃描收集，并生成收集視圖或示意圖。
2. 保持收集更新
在完成根基的收集審計和畫圖后，應(yīng)當(dāng)查抄所有收集根本舉措措施組件的固件或軟件更新。同時，確保這些組件沒有益用默許暗碼，查抄任何不服安的建設(shè)，并查詢拜訪你沒有益用的其他安然功能或特點(diǎn)。
接下來，看看所有連接到收集的計較機(jī)和設(shè)備。確保根基安然性，例如OS和驅(qū)動法度更新、小我防火墻處于勾當(dāng)狀況、防病毒正在運(yùn)行，并設(shè)置暗碼。
3. 物理地呵護(hù)收集
當(dāng)然物理收集安然常常被忽視，但這與面向互聯(lián)網(wǎng)的防火墻一樣首要。正如你需要抵抗黑客報復(fù)打擊、僵尸收集和病毒，你也需要抵抗本地的威脅。
假定你的收集和地點(diǎn)的建筑物的物理安然沒有保障，周圍的黑客或乃至是員工都可以操縱你的收集。例如，他們插進(jìn)一個無線路由器到開放以太網(wǎng)端口，便可以或許無線拜候到你的收集。但假定以太網(wǎng)端口不成見或斷開，這類環(huán)境就不會產(chǎn)生。
確保你擺設(shè)了一個建筑物安然打算，以禁止和避免外部人員進(jìn)進(jìn)。然后，確保收集根本舉措措施組件地點(diǎn)的所有配線柜和/或其他位置的安然性，利用門鎖和機(jī)柜鎖。確保以太網(wǎng)電纜不成見，并且不等閑接觸;無線接進(jìn)點(diǎn)也是如斯。斷開未利用的以太網(wǎng)端口，出格是在建筑物的公共區(qū)域。
4.考慮MAC地址過濾
有線收集的一個首要安然標(biāo)題問題是貧乏快速精練的身份驗證和/或加密編制;人們可以隨便插進(jìn)并利用收集。而在無線收集方面，你起碼需要WPA2-Personal。
當(dāng)然MAC地址過濾可能被報復(fù)打擊者繞過，但它起碼可以作為第一道安然防地。它不克不及完全禁止報復(fù)打擊者，但它可以幫忙你避免員工制造嚴(yán)重的安然縫隙，例如承諾訪客插進(jìn)到專用收集。它還可讓你更好地節(jié)制哪些設(shè)備可以連接到收集。但不要讓它給你安然的錯覺，并保持MAC地址的更新。
5.擺設(shè)VLAN來隔離流量
假定你正在利用還沒有被豆割成多個虛擬局域網(wǎng)的小型收集，可以考慮進(jìn)行改變。你可以操縱VLAN來分組跨多個虛擬收集的以太網(wǎng)端口、無線接進(jìn)點(diǎn)和用戶。
你可利用VLAN按流量類型(一般接進(jìn)、VoIP、SAN、DMZ)，或遵循機(jī)能或設(shè)計啟事和/或用戶類型(員工、治理層和訪客)，和安然啟事來分隔收集。當(dāng)建設(shè)為動態(tài)分派時，VLAN出格有效。例如，你可以在收集任何位置或經(jīng)由過程Wi-Fi插進(jìn)你的筆記本，并主動分派VLAN。這可以經(jīng)由過程MAC地址標(biāo)識表記標(biāo)幟來實現(xiàn)，更安然的編制是利用802.1X身份驗證。
為了利用VLAN，你的路由器和互換機(jī)必需撐持它：在產(chǎn)品規(guī)范中查看是不是有IEEE 802.1Q撐持。對無線接進(jìn)點(diǎn)，你可能想要同時撐持VLAN標(biāo)簽和多個SSID的接進(jìn)點(diǎn)。經(jīng)由過程量個SSID，你可以或許供給多個虛擬WLAN。
6.利用802.1X進(jìn)行身份驗證
有線收集方面的身份驗證和加密常常被忽視，因為這觸及很高的復(fù)雜性。IT凡是會加密無線連接，但也不要健忘或忽視有線連接。本地報復(fù)打擊者可能插進(jìn)到你的收集，而沒有甚么可以或許禁止他們發(fā)送或接管信息。
當(dāng)然不熟802.1X身份驗證不會加密以太網(wǎng)流量，起碼可以禁止他們在利用登岸憑證前發(fā)送或拜候任何資本。并且，你也能夠在無線收集操縱這類身份驗證，經(jīng)由過程AES加密擺設(shè)企業(yè)級WPA2安然，這比利用WPA2的小我級加密有更多好處。
802.1X身份驗證的另外一大年夜好處是動態(tài)分派用戶到VLAN的能力。
為了擺設(shè)802.1X身份驗證，你起首需要一個長途身份驗證撥進(jìn)用戶辦事(RADIUS)辦事器，它根基上是作為用戶數(shù)據(jù)庫，也是授權(quán)/拒盡收集接進(jìn)的組件。假定你有Windows Server，那么你就已有了一個RADIUS辦事器：收集政策辦事器(NPS)角色;或在舊的Windows Server版本中，就是互聯(lián)網(wǎng)驗證辦事(IAS)角色。假定你還沒有辦事器，你可以考慮自力的RADIUS辦事器。
7. 利用VPN來加密所選電腦或辦事器
假定你真的?？春亲o(hù)收集流量，可以考慮利用加密。請記住，即便你利用了VLAN和802.1X身份驗證，仍然有人可以在收集( VLAN)上***以捕獲未加密的流量，此中可能包含暗碼、電子郵件和文件。
當(dāng)然您可以加密所有流量，起首請闡發(fā)你的收集。你應(yīng)當(dāng)加密你覺得還沒有加密的最首要的通信，例如經(jīng)由過程SSL/HTTPS。你可以經(jīng)由過程客戶端上的尺度VPN來傳輸敏感流量，這可僅用于敏感通信或用于所有通信。
8.加密全部收集
你還可以加密全部收集。一種選擇是IPsec。Windows Server可以作為IPsec辦事器，Windows還撐持客戶端功能。但是，加密過程可能給收集帶來很大年夜的承擔(dān);有效的傳輸率可能會大年夜幅度降落。收集供給商還供給了專有收集加密解決方案，良多采取2層收集編制，而不是3層收集(例如IPsec)來幫忙削減延遲性和開消。