本书从网络的整体角度讲述如何保护企业网络的安全，涉及到网络安全的方方面面：从风险分析到访问控制、从Web/电子邮件安全到日常监控。书中还指出了当前分布最广的网络安全错误和脆弱性，并提供相应的实际解决方案。本书的另一特色是把技术融入到具体的实例学习中，并教读者如何把书中的解决方案用于实践中。
本书可作为设计安全企业网络的参考书，适合网络管理员、网络安全管理员阅读。
Allan Liska是Symantec公司企业安全服务分公司的安全工程师。在此之前，Liska在WorldCom公司工作了六年，任该公司主机部的网络架构师，他还是一名CISSP，曾写过一些关于网络管理和Web服务器安全的书籍。
我正在写这篇前言时，听说Cisco的CatOS中新发现的脆弱性出现了警报，这个脆弱性即CatOS HTTP邮件收发后台程序中的缓冲溢出。这一脆弱性在由于管理目的而关闭HTTP邮件收发后台程序的那些设备上比较常见。
几年前，这个脆弱性还没有引起太多的关注。毕竟，当时人们还不清楚网络基础设施中的设备多久会遭受一次攻击，而且还认为攻击的目标通常是服务器和缺乏安全措施的工作站而不是路由器、交换机、防火墙或其他网络基础设施。现在情况已发生了变化。随着网络变得日益复杂，攻击者也是处心积虑并试图入侵它们。因此，现在的网络安全已不再只限于保护服务器和工作站了，而是需要从整体角度理解网络，同时还要考虑边缘和核心两方面的网络脆弱性。
攻击者变得越来越老练，他们所使用的入侵网络的工具也越来越高级。这些工具大多可以免费获得，并已被放到聊天室和一些网站上，这就使那些不具备多少网络知识的人可更容易地对单个网络或多个网络发动攻击。现在这些攻击一般来自一些不满现状的年轻人、愤怒的顾客、前公司职员或那些只想试试这些攻击是否奏效的人。
所有这些情况交织在一起使安全和网络专职人员的工作变得更加困难。一方面，需要保护的设备数量增加了，另一方面，安全预算却维持在原来的水平甚至比原来缩减了。现在网络安全管理员还必须花时间判断攻击是出自那些知道自己正在干什么，并且想获取秘密情报的人的蓄意行为，还是出自某个想试试最新的拒绝服务（Denial of Service, DoS）攻击工具是否好用的小孩的杰作。
除了上面提到的这些问题，安全、网络和服务器管理员在保护网络中还经常出现职责混乱的现象。因此，在区分不同组的职责的同时，还要确保组与组通信的畅通。
本书的目的
本书中，既有来自现实世界活生生的网络攻击个案，也有一些保护网络免遭攻击的建议。然而，重要的是要记住书本是静止的，书的内容只能作为帮助管理员制定网络安全策略的指导。
因为每种网络的实现方式各不相同，因而不可能仅在一本书中给出一种包罗万象的策略。运用本书的基础知识可以帮助管理员发现当前安全策略中的漏洞，甚至在公司内部开展网络安全方面的讨论。
我知道，许多信手拈来本书随手翻翻的人会想：乍一看，本书所列的许多内容简直是浪费时间。许多网络管理员忙于填补网络中存在的漏洞而无暇开发安全策略，而且要他们尝试与高级管理人员合作，来解释类似和DoS攻击一样复杂的东西的想法也似乎是不可能的。这样做看上去很困难，但从长远来看，能使保护网络安全的工作更加容易。
恰如其分地放置安全处理过程有助于合理分配不同组在其中的作用，也有助于分配保护网络安全所需要做的工作。不仅如此，安全过程还有助于创建安全基本准则，该准则使管理网络的工作变得容易得多。
本书的目的是使保护网络安全的工作更加容易。依据实际经验，对如何使安全处理过程更加有效提出建议，以及提供一些要留意的常见错误，本书可用来帮助你为你的组织创建一种独特的安全策略。
本书不应单独使用，如果要制定当前完全的安全策略，那么应尽可能地使用多种工具。除了本书，我还向读者推荐如下的书籍：
Network Security:Private Communication in a Public World，作者为Charlie Kaufman、Radia Perlman和Mike Speciner
Applied Cryptography:Protocols,Algorithms,and Source code in C, 作者为Bruce Schneier
当然，书籍不能作为安全信息的惟一来源，因为网络安全世界变化太快，不能只依赖书籍获取信息。重要的一点是与服务器和网络设备供应商合作，以跟踪到最新的网络脆弱性信息，并可得到推荐的补丁，而且供应商还提供许多关于他们产品当前最好的安全策略和建议。
最后，还要运用因特网作为工具来跟踪最新的安全信息。对于因特网上的任何信息，最好应经过自己的分析判断。因为，在因特网上既有许多真正有用的安全信息，也有许多无用的信息和错误的信息。通常访问顶级安全网站和供应商站点可以获得足够多的有用信息。下面向读者推荐一些我访问过的安全站点（排序不分先后）：
Security Focus（http://www.securityfocus.com/）
SANS研究所（http://www.sans.org/）
网络安全图书馆（Network Security Library，http://www.secinf.net/）
CERT 协调中心（http://www.cert.org/）
Insecure.Org（http://ww.insecure.org/）
计算机事故建议能力（Computer Incident Advisory Capability, http://www.ciac.org/）
这些网站的信息通常是可靠的，并有助于保护网络。
致读者
考虑到我是从网络与安全工程师的角度来写这本书的，我知道有人会对书中的一些内容提出意见。有人会认为我本来应该提及一个本书中没涉及到的安全工具，或者认为我所提的建议是错误的。
如果你也是其中的一员，希望你告诉我。如果想提出建议、意见、批评或赞扬，你可发电子邮件给我，邮箱地址是allan@allan.org。
正如我前面所说，安全世界处在不断的变化之中。毫无疑问，本书肯定也会有第2版、第3版。读者的意见将会使以后的版本更加完善，因此欢迎广大读者批评指正。
（美）Allan Liska：暂无简介
王嘉祯：暂无简介
随着计算机网络的广泛普及和大量应用，网络入侵事件不断发生。入侵者利用网络基础设施的脆弱性和安全管理上的缺陷，对网络实施攻击，从而获取和篡改网络信息，或者摧毁网络设备，造成严重的经济损失和难以估量的政治和军事影响。因此，保护网络安全已经成为组织、企业、各级政府和军事部门十分关心的重要问题。
本书的目的是为处于网络安全管理第一线的工作人员提供一些保护网络的实际可行的解决方法。全书分为三个部分，第一部分为前三章，主要讲述保护网络首先要解决的问题，包含有：定量分析安全风险；定义反映公司实际的安全模型；将安全模型转换成有效的、可实施的安全策略等；第二部分为从第4章到第14章，为全书的重点内容，主要讲述保护网络的实践问题，包括路由器和交换机的配置安全；通过验证、授权和审计实施控制访问；安全VPN的配置和远程访问的安全；无线WAN和无线LAN的安全；DMZ的建立方法；保护Web/应用服务器、DNS、电子邮件服务器和文件/打印服务器。第三部分为从第15章到第18章，主要讲述如何监控和执行已经制定好的安全策略，包括执行有效的日常网络安全管理、监控和记录攻击事件以及在网络遭受到攻击后如何做出响应—检测、隔离、报告和起诉等。
本书的特点是系统性和实用性。本书的内容几乎含盖了网络安全的所有方面—从风险框架到访问控制、从Web/E-mail安全到日常的监控。作者还系统地分析了当今最普遍的安全缺陷和脆弱性并提供了实际可行的解决方案。
本书的作者Allan Liska是Symantec公司企业安全服务部的安全工程师。在此之前曾在WorldCom公司工作过六年，是该公司主机部的一名网络设计师，另外，Liska还是一名CISSP 信息系统安全认证专家，曾撰写了多本关于网络管理和Web服务器安全的书籍，在网络安全方面有丰富的知识和经验。
我们在翻译过程中力求忠于原著。由于本书涉及了计算机网络多个领域的有关内容，因此其中许多的专业术语尽量遵循本领域的标准译法，并在有可能引起歧义和冲突的地方做了适当调整。同时，我们在专业术语第一次出现的地方注上了英文原文，以方便读者对照理解。
参加本书翻译的还有胡建理、唐智勇、韩国栋、刘爱珍、徐波、彭德云、冯兵和葛秀慧等同志。由于本书涉及到网络安全的各个方面，范围广、内容新，加之译者水平有限，书中错误和不妥之处在所难免，恳请读者批评指正。
译者者
2003年10月
译者序
致谢
前言
第1章 本书所涉及的内容 1
1.1 什么是网络安全 1
1.1.1 网络安全与折衷方案 2
1.1.2 风险管理 3
1.2 重要的网络安全类型 5
1.2.1 敏感数据 5
1.2.2 保护服务器 6
1.2.3 保护网络 7
1.2.4 监控所有环节 7
1.3 不严谨安全策略的代价 8
1.3.1 攻击越严重, 所造成的损失也越大 9
1.3.2 建立规则 10
1.4 网络脆弱性在哪里 11
1.5 网络 12
1.5.1 网络基础设施 12
1.5.2 服务器群 13
1.5.3 雇员网 14
1.6 本章小结 15
第2章 安全模型 17
2.1 选择安全模型 18
2.1.1 RFC 2196：站点安全手册 19
2.1.2 Cisco SAFE 20
2.1.3 通用标准/ISO 15048 21
2.2 OCTAVE 23
2.2.1 核心团队 23
2.2.2 开始工作 24
2.3 建立基于资产的威胁概况 24
2.4 识别基础设施的脆弱性 26
2.4.1 CVE 27
2.4.2 评估结果 28
2.5 评价安全策略和计划 28
2.6 本章小结 29
第3章 攻击类型 31
3.1 嗅探和端口扫描 32
3.2 利用 34
3.3 欺骗 39
3.4 分布式拒绝服务（DDOS）攻击 41
3.5 病毒和蠕虫 42
3.6 本章小结 43
第4章 路由选择 45
4.1 网络中的路由器 45
4.2 基本步骤 47
4.2.1 物理安全 48
4.2.2 登录标识 49
4.2.3 访问控制列表 49
4.2.4 NTP 52
4.3 禁用不用的服务 53
4.4 冗余 54
4.5 保护路由协议 55
4.5.1 静态路由和动态路由 55
4.5.2 内部和外部动态路由 57
4.5.3 RIP 58
4.5.4 OSPF 61
4.5.5 BGP 65
4.6 路由器的访问限制 68
4.6.1 Telnet、SSH和HTML 69
4.6.2 限制接口 70
4.7 更改默认密码 71
4.8 本章小结 72
第5章 交换 75
5.1 网络中的交换机 76
5.2 多层交换 79
5.3 VLAN 81
5.4 生成树 84
5.5 MAC 寻址 86
5.6 ARP 映射表 88
5.7 限制对交换机的访问 91
5.8 本章小结 91
第6章 验证、授权和审计 93
6.1 Kerberos 95
6.2 RADIUS 96
6.3 TACACS+ 99
6.4 本章小结 103
第7章 远程访问与VPN 105
7.1 VPN解决方案 105
7.1.1 专线VPN 105
7.1.2 拨入VPN 107
7.1.3 IP VPN 109
7.2 IP VPN安全 111
7.2.1 密码问题 111
7.2.2 扩展安全策略 113
7.2.3 日志记录VPN连接 113
7.3 拨入安全访问 114
7.3.1 拨入VPN 114
7.3.2 RADIUS安全 115
7.3.3 拨号ISP安全 116
7.4 DSL和有线VPN安全 118
7.5 加密远程会话 119
7.5.1 PPTP 119
7.5.2 L2TP 120
7.5.3 IPSec 121
7.6 网络中的VPN 124
7.6.1 路由器端接VPN 124
7.6.2 防火墙端接VPN 125
7.6.3 专用设备端接VPN 126
7.7 本章小结 128
第8章 无线广域网 129
8.1 无线广域网的安全问题 130
8.1.1 MMDS 技术 132
8.1.2 LMDS技术 134
8.1.3 无线加密 134
8.2 扩展频谱技术 135
8.3 位置 136
8.4 本章小结 137
第9章 无线局域网 139
9.1 访问点安全 141
9.2 SSID 143
9.3 WEP 144
9.4 MAC地址过滤 145
9.5 RADIUS验证 146
9.6 VLAN VPN 147
9.7 802.11i 148
9.7.1 TKIP 149
9.7.2 AES 150
9.8 本章小结 150
第10章 防火墙和入侵检测系统 153
10.1 防火墙的目的 153
10.2 防火墙不能胜任的工作 156
10.3 防火墙的类型 157
10.4 层2防火墙 161
10.5 入侵检测系统 163
10.5.1 基于特征的NIDS 164
10.5.2 基于异常的NIDS 166
10.6 本章小结 167
第11章 DMZ 169
11.1 DMZ网络设计 169
11.2 多重DMZ设计 174
11.3 DMZ规则集 176
11.4 本章小结 178
第12章 服务器安全 179
12.1 服务器通用安全指导原则 180
12.1.1 服务器构建 181
12.1.2 服务器放置 182
12.1.3 服务器安全 186
12.1.4 管理员用户 189
12.2 备份 191
12.3 Web服务器安全 194
12.3.1 SSL加密 198
12.3.2 负载平衡 199
12.4 邮件服务器安全 203
12.5 外包 208
12.6 本章小结 208
第13章 DNS 安全 211
13.1 保护域名 215
13.2 保护BIND安装 218
13.3 限制访问域信息 223
13.3.1 高速缓存名字服务器 224
13.3.2 授权DNS服务器 225
13.4 DNS外包 228
13.5 djbdns 229
13.6 本章小结 230
第14章 工作站安全 231
14.1 通用工作站安全准则 232
14.1.1 版本控制 233
14.1.2 台式机和笔记本电脑的比较 234
14.1.3 物理安全 235
14.2 病毒和蠕虫扫描 236
14.3 管理员访问权限 237
14.4 远程登录 239
14.5 本章小结 240
第15章 管理网络安全 241
15.1 实施安全策略 241
15.2 理解网络安全风险 243
15.3 避免常见错误 246
15.3.1 脆弱的密码 247
15.3.2 未创建安全策略 247
15.3.3 非安全方式访问设备 247
15.3.4 过分依赖防火墙 248
15.3.5 后门访问 248
15.3.6 备份 248
15.3.7 不更新防病毒软件 249
15.3.8 未持续实施安全策略 249
15.3.9 未及时更新系统 250
15.3.10 不合格的人员 250
15.4 本章小结 251
第16章 监控 253
16.1 监控对象 255
16.1.1 服务器 255
16.1.2 路由器和交换机 256
16.1.3 安全监控 256
16.2 SNMP 257
16.2.1 SNMP的安全性 261
16.2.2 SNMP 3.0 262
16.2.3 SNMP建议 264
16.3 集中监控过程 265
16.4 本章小结 265
第17章 日志 267
17.1 防止更改日志的攻击 269
17.2 syslog服务器 271
17.2.1 syslog配置 274
17.2.2 Windows和syslog 277
17.3 筛选日志数据 277
17.3.1 LogSentry 278
17.3.2 IPSentry 281
17.4 本章小结 283
第18章 攻击响应 285
18.1 创建一套命令响应链 285
18.2 记录和搜集证据 289
18.3 制止问题与调查问题 290
18.4 清除问题 291
18.5 联络适当的团体 292
18.6 编写事后分析报告 293
18.7 本章小结 294
