企业应当如何选择防火墙

企业应当如何选择防火墙~

首先要企业进行分类
对于职能也要划分
尽量使用企业级防火墙 ，这类防火墙不但可以防外网的敏感操作对于企业内部 员工也会进行监督 防止内鬼。
同时企业级可靠性高有备份系统 比如重要的参数可以记录在云端硬盘上 即使被攻击大部分资料可以恢复
还有防火墙是网桥模式和路由模式不是指搞一个就万事大吉
如果要选择企业级防火墙要根据你的公司大小进行判定
山石 fortinet 华为 h3c这些品牌还行选什么自己定

　　在管理规模较大的网络环境时，网络安全往往是花费精力最多的一环。就拿配置Windows XP SP2的防火墙来说，如果让网管为网内计算机逐一进行配置的话，工作量会非常大，而且在细节配置上也容易出错。那么，如何才能提高规模化环境内的防火墙配置效率呢? 　　Windows防火墙是Windows XP SP2中一个极为重要的安全设计，它可以有效地协助我们完成计算机的安全管理。今天，笔者将为大家介绍如何使用组策略(Group Policy)在机房中集中部署Windows防火墙，提高为网内计算机配置防火墙的效率。 　　为什么要集中部署 　　首先，我们要了解组策略对Windows防火墙的作用是什么。组策略可以决定本地管理员级别的用户是否可以对Windows防火墙进行各种设置，可以决定Windows防火墙的哪些功能被“禁用”或“允许”…… 　　显然，上述几个功能正好能够配合域功能进行机房的安全管理，这就为组策略能够批量化部署机房的Windows防火墙打下了基础。此时，所有客户机的 Windows防火墙的应用权限将统一归域管理员管理，本地管理员对Windows防火墙的任何设置要在域管理员的“批准”下方可进行。此外，域管理员还可使用组策略来完成所有客户机的Windows防火墙配置，而不必逐台进行了。 　　用组策略部署防火墙 　　在明白了集中部署的好处后，现在让我们一步步实现。请大家先了解一下本文的测试环境“Windows Server 2003域服务器+Windows XP SP2客户机”。本文将介绍如何在Windows Server 2003域服务器管理的机房中的客户机(Windows XP SP2)上，对所有安装了Windows XP SP2的客户机进行Windows防火墙的集中部署。 　　提示:为什么不是在域服务器中进行组策略的新建与配置，而是在客户机上运行?其实这很容易理解，Windows Server 2003操作系统(中文版)中还没有Windows防火墙，所以无法进行配置。但是，这一点将会随着Windows Server 2003 SP1中文正式版的推出而得到彻底解决。 　　OK!现在让我们开始实际操作。首先，在Windows XP SP2客户机的“运行”栏中输入“MMC”命令并回车，在打开的“控制台”窗口中，依次单击“文件→添加/删除管理单元”，添加“组策略对象编辑器”。 　　在弹出的“欢迎使用组策略向导”界面中，点击“浏览”按钮并在“浏览组策略对象”窗口中的空白处单击鼠标右键，在弹出的菜单中选择“新建”，并命名为“firewall”即可返回控制台窗口。 　　提示:客户机的当前登录账户必须具有管理员权限，方可新建GPO(组策略对象)。因此，临时解决这个问题的方法就是在DC中将客户机的账户添加到Administrators组，接着客户机临时使用管理员账户登录系统并进行GPO配置即可 　　返回控制台窗口后，在“firewall”策略集中可以看到“域配置文件”和“标准配置文件”两个策略子集(图1)。其中，域配置文件主要在包含域DC的网络中应用，也就是主机连接到企业网络时使用;标准配置文件则是用于在非域网络中应用。 　　图1 　　显然，我们需要在域配置文件中进行策略的设置。下面简单地说说如何对其中的子策略进行安全配置: 　　保护所有网络连接:已启用;这样才能强制要求客户机启用Windows防火墙，不受客户机本地策略的影响。 　　不允许例外:未配置;这个可以让客户机自行安排。 　　定义程序例外:已启用;即按照程序文件名定义例外通信，这样可以集中配置机房中允许运行的网络程序等。 　　允许本地程序例外:已禁用;如果禁用则Windows防火墙的“例外”设置部分将呈灰色。 　　允许远程管理例外:已禁用;如果不允许客户机进行远程管理，那么请禁用。 　　允许文件和打印机共享例外:已禁用;如果某些客户机有共享资源需要应用，那么应该启用。 　　允许ICMP例外:已禁用;如果希望使用Ping命令，则必须启用。 　　允许远程桌面例外:已禁用;即关闭客户机可以接受基于远程桌面的连接请求功能。 　　允许UPnP框架例外:已禁用;即禁止客户机接收垃圾的UPnP方面的消息。 　　阻止通知:已禁用。 　　允许记录日志:未配置;允许记录通信并配置日志文件设置。 　　阻止对多播或广播请求的单播响应:已启用;即放弃因多播或广播请求消息而收到的单播数据包。 　　定义端口例外:已启用;按照TCP和UDP端口指定例外通信。 　　允许本地端口例外:已禁用;即禁止客户机管理员进行端口的“例外”配置。 　　现在，让我们通过“定义端口例外”项来介绍一下如何进行具体配置。首先，在“域配置文件”设置区域中，双击“Windows防火墙:定义端口例外”项，在弹出的属性窗口中单击“已启用→显示”，并进行“添加”。接着，使用“port:transport:scope:status:name”的格式输入要阻止或启用的端口信息(如“80:TCP:*:enabled:Webtest”)。 　　提示:port是指端口号码;transport是指TCP或UDP;scope中的“*”表示用于所有系统或允许访问端口的计算机列表;status是已启用或已禁用;name是用作此条目标签的文本字符串。 　　完成上述设置后，保存策略为“firewall”文件。现在，就得进行非常重要的一步操作，在“命令提示符”窗口中运行“Gpupdate /force”命令强制组策略设置应用到域网络中已经登录的计算机 　　验证部署效果 　　完成组策略的刷新后，先来看看本机中的Windows防火墙是否响应了策略。由于前面已经定义了“允许本地程序例外”项的状态为“已禁用”，根据这个定义，Windows防火墙的“例外”设置部分应变为灰色。现在，让我们打开本机中的Windows防火墙，可以看到被禁用的部分已经呈灰色，这说明本机已响应组策略设置了。 　　接着，再来看看DC是否响应了组策略。在DC服务器的“运行”栏中输入“dsa”(请根据实际情况选择)的属性窗口。在“组策略”选项卡部分可以看到保存的 firewall已经自动出现在列表中了。如果没有出现可以手工添加(图2)。 　　图2 　　到了这一步，可以看出整个设置是成功的。而此后，域中任何一台使用Windows XP SP2的计算机只要登录到域，那么该计算机就会自动下载Windows防火墙的设置并开始应用。至此，整个机房的Windows 防火墙配置操作就成功完成了。 　　利用组策略集中部署SP2防火墙的操作并不复杂，但是它的效果却是一劳永逸的。大家会发现组策略对于集中管理网络安全来说实在是一个不可多得的好助手

　　防火墙作为网络边界的安全哨卡，其重要性已经越来越得到企业的认可。这就意味着防火墙的市场需求越来越大。也因此，国内外众多商家纷纷投身防火墙市场的激烈竞争，这样就形成了防火墙产品的品牌、档次五花八门，参差不齐，企业选择防火墙也就眼花缭乱，无所适从。那么，作为企业级用户，如何来选择一款既满足需求，又价格合理的防火墙产品呢？　　一、做好需求分析
　　选择合适产品的一个前提条件就是，明确企业本身的具体需求。因此，选择产品的第一个步骤就是针对企业自身的网络结构、业务应用系统、用户及通信流量规模、防攻击能力、可靠性、可用性、易用性等具体需求进行分析。
　　二、选择原则
　　在整理出具体的需求以后，可以得到一份防火墙的需求分析报告。下一步的工作就是在众多的品牌和档次中选出满足各种需求的品牌，并考虑一定的扩展性要求。选择的主要原则有：
　　第一，以需求为导向，选择最适合本企业需求的产品。由于防火墙的各项指标具有较强的专业性，因此企业在选择时，有必要把防火墙的主要指标和需求联系起来。另外，还要考虑到企业可承受的性价比。
　　第二， 对于产品的选型，可参考的指标来源有厂家提供的技术白皮书、各种测评机构的横向对比测试报告，从中可以了解产品的一些基本性能情况。
　　第三，要完全按照企业的实际需求来对比各种品牌的满足程度，最好是根据需求，定制一套解决方案，并对防火墙在统一测试条件和测试环境下进行横向对比。
　　三、了解产品的性能指标
　　性能指标主要包括吞吐量、丢包率、延迟、最大并发连接数、并发连接处理速率等。用户在选择时，应该根据自身的网络规模和需求，对上述几个指标参数进行详细了解，选择适合的产品。以上指标可以向有关技术人员询问请教。
　　四、入侵防护错施
　　基于市场的需要和用户的期盼，北京亚维恩科信息技术有限公司推出了金盾软、硬件防火墙入侵防护解决方案。
　　金盾硬件防火墙采用高效率的核心攻击检测&防护模块，能有效地保护企业的网络。基于各个平台底层的核心模块，提供高效率的防护手段，经测试,百兆网络条件，本产品在平均90MBPS的DOS，DDOS攻击流量下仍可保证100%的连接成功率。
　　目前，
金盾防火墙产品系列包括软件（金盾---FW30、金盾---FW50、金盾----无限）三种，硬件（JDFW---100、JDFW---1000）二种，它们为企业安全网络提供了所需要的性能和功能。良好的解决方案为用户提供了完善的防护体系，可完全防护如SYNFlood攻击，全连接攻击，UDP Flood攻击，ICMP Flood攻击，碎片攻击等各种DDOS
，DDOS攻击模式。

---

贾汪区13135938331： 如何选购企业级防火墙 - ？
叱干侵伊丁： 参考3至5家防火墙厂商的产品进行品牌对比,了解产品的销售额、市场排名、公司人员情况.根据业务系统的构成选择功能专业、功能完善的防火墙产品.一般而言根据部署位置可以分为终端上网场景和服务器防护场景,终端上网场景主要评估防火墙是否能对终端上网的安全进行防护,是否能够发现被攻击被利用的终端.服务器场景主要评估防火墙是否具备网页应用、系统漏洞、应用程序漏洞的安全防护能力.依据自身的功能需求进行验证性测试.验证性测试主要按照不同场景的功能需求对功能进行验证和对比测试,用于界定防火墙的功能是否能够有效解决安全问题.

贾汪区13135938331： 如何选购企业级防火墙 - ？
叱干侵伊丁： 对于公司网络安全来说,防火墙起的是关键性的作用,只有它,才可以防止来自互联网上永不停止的各种威胁.防火墙的选择对远程终端连接到中心系统获取必要资源或完成重要任务的影响也非常大.当选择基于硬件的防火墙时,应当考虑以下...

贾汪区13135938331： 企业选择硬件防火墙应该注意哪些事项? - ？
叱干侵伊丁： 防火墙的选择对远程终端连接到中心系统获取必要资源或完成重要任务的影响也非常大.当选择基于硬件的防火墙时,应当考虑以下十个方面的因素,以确保企业实现投资、安全性和生产力的最大化. 1、必须可以提供值得信赖的安全 在市面上...

贾汪区13135938331： 假设一个100人规模的公司,应该选用什么样的防火墙,成本便宜,又能达到防护的目的? - ？
叱干侵伊丁： 这个就要看你所说的防护目的的具体要求了,要求太高的单一个防火墙是满足不了的.性价比高的话,建议看看下一代应用防火墙,集成应用层防护、IPS、WAF及安全扫描等,相当于多合一的一个设备,比单个设备去投资应该要节约不少.推荐深信服的NGAF.

贾汪区13135938331： 一个500人企业应该怎么选防火墙 - ？
叱干侵伊丁： 现在一般都是选择下一代防火墙,华为或者思科的.如果侧重上网行为管理的话,还有专业的产品,比如WSG-500E之类的.

贾汪区13135938331： 企业公司选购防火墙须注意哪些要点? ？
叱干侵伊丁： 在选购防火墙的时候,有多大几十项的指标,若其中一个指标,如吞吐量,即使高达10G,但是,若其他指标跟不上去的话,那么一切都是白搭

贾汪区13135938331： 如何选择合适的Web应用防火墙 - ？
叱干侵伊丁： 开放式Web应用程序安全项目(OWASP)是一个侧重于促进应用软件安全发展的开发式非营利性组织,OWASP建议在选择Web应用防火墙时应该参照一下标准:·很少出现误报 (例如,不应该拒绝授权请求等)·默认防御的强度·容易...

贾汪区13135938331： 企业用的防火墙是指什么?我该如何去学习? - ？
叱干侵伊丁： 企业用的防火墙应该是企业自己公司的实际情况选择的适合自己的防火墙 防火墙的功能各有所长,看你有什么需要了 一、如果说你的企业内部Intranet(局域网),要是中了ARP病毒的话,当然不用说了,你便会选择能防ARP攻击的防火墙;如...

贾汪区13135938331： 企业应部署怎样的防火墙 - ？
叱干侵伊丁： 在管理规模较大的网络环境时,网络安全往往是花费精力最多的一环.就拿配置Windows XP SP2的防火墙来说,如果让网管为网内计算机逐一进行配置的话,工作量会非常大,而且在细节配置上也容易出错.那么,如何才能提高规模化环境内...

贾汪区13135938331： 小公司服务器需要哪些 防火墙怎样选择.? - ？
叱干侵伊丁： 你的服务器是什么应用?如果是WEB,最好还是用WEB应用防火墙;如果是OA、ERP、财务等很多品牌都可以,比如思科、华为、山石网科、联想网御等等,当然你也可以把服务器放在内网不直接对外发布,采用VPN的方式,外面的员工直接通过VPN登陆,会更安全.