您如何验证您的网络是安全的？

Question

保护网络可能是一项非常艰巨的任务。硬件和软件方面有很多来龙去脉（用户除外！）

您采取哪些步骤来验证您的网络是否安全？
您使用什么工具来保护您的网络？
有哪些经常未修复的大洞？

Answer 1

这些答案是我从这里的回复中提取的

• 使用 IDS

  SNORT® 是一个开源网络入侵防御和检测系统，它使用规则驱动的语言，结合了签名、协议和基于异常的检查方法的优点。迄今为止，Snort 的下载量达数百万次，是全球部署最广泛的入侵检测和防御技术，并已成为行业事实上的标准。

  Snort 读取网络流量，并可以寻找诸如“渗透测试驱动”之类的东西，其中有人只是对您的服务器运行整个 metasploit 扫描。在我看来，很高兴知道这些事情。

• 监控您的服务器 - 如果出现异常，图表可以为您提供提示。我使用Cacti来关注 CPU、网络流量、磁盘空间、温度等。如果有些东西看起来很奇怪，那它就是奇怪的，你应该找出它奇怪的原因。如果应用层的流量突然激增，我想知道原因。

Answer 2

我们是一个相当小的办公室，不得不以很小的预算进行管理。我们的方法包括：

网络入侵检测：我们使用 StillSecure 的 StrataGuard Free —— 它是一个强化的 Linux，配置了 Snort 和一个非常直观的 Web 界面，以及定期规则更新。在旧机器上安装免费版本，根据生成的警报稍微调整规则，中提琴！效果很好，但您需要一个能够将流量镜像到单个端口的网络交换机。非免费版本的 StrataGuard 有支持，更多的花里胡哨，可以处理更高的流量。

基于主机的入侵检测：我们编写了一个小型 .NET 应用程序，它在我们的 Windows 机器上作为服务运行，并每隔几个小时从事件日志中转发事件（根据我们选择的类型、ID 和一天中的时间进行过滤 - 如前所述）在其他地方，Randy Franklins Smith 的网站http://www.ultimatewindowssecurity.com/Default.aspx在决定要审查哪些事件方面对我们审查和保留它们的中央数据库非常重要。

定期内部审计：我们定期检查每个盒子，确保禁用所有不必要的服务并关闭端口，并使用不同于每天运行的实时反一切的 rootkit 和恶意软件检测软件运行深度扫描。我们还使用 nmap 来分析网络并扫描漏洞，并根据需要使用 wireshark 来分析特定流量。

补丁更新：WSUS 确保并验证我们所有的 windows box 是否都是最新的安全修复程序，并防止占用带宽。Linux 机器上的 Cron-apt，还没有想出一种集中验证过程的好方法。此外，强烈建议对服务器和工作站反恶意软件进行集中管理，并且可用于这些产品的大多数企业级版本。

策略：也许最重要的是，即使在小型组织中，您也需要从描述组织的安全计划或程序集的文档开始。该文件将概述您的数据面临的风险以及您如何应对这些风险。这是一个通常被忽略的大问题，但如果您面临大多数外部审计的味道，这是您需要参考的第一件事，并希望您已经或已经更新。http://www.sans.org/resources/policies/上有很多示例。

对于预算紧张的组织来说，好消息是，除了反恶意软件套件之外，所有这些东西都是免费的，而且——除了内部审计——在初始时间之后很容易每天进行审查投资设立。