微软Forefront网络边缘防御安全解决方案

　　今天几乎所有公司都具有 Internet 连接，以便访问合作伙伴和客户站点的 Web 服务器中存放的信息，以及从分支机构位置访问总公司的 Web 内容。尽管 Internet 和分支机构网络让员工能够快速共享和操作信息，但它们也潜藏着共享和传播来自黑客的漏洞和攻击以及恶意移动代码的危险。今天的企业必须提供一种方式来保护企业网络外部的用户对于企业 Web 服务器的访问。同时，这个解决方案还必须能够防止公司网络中的用户将危险信息下载到员工、公司以及公司的信息系统中。

　　今天几乎所有公司都具有 Internet 连接，以便访问合作伙伴和客户站点的 Web 服务器中存放的信息，以及从分支机构位置访问总公司的 Web 内容。尽管 Internet 和分支机构网络让员工能够快速共享和操作信息，但它们也潜藏着共享和传播来自黑客的漏洞和攻击以及恶意移动代码的危险。今天的企业必须提供一种方式来保护企业网络外部的用户对于企业 Web 服务器的访问。同时，这个解决方案还必须能够防止公司网络中的用户将危险信息下载到员工、公司以及公司的信息系统中。

　　Microsoft Internet Security and Acceleration (ISA) Server 2006解决了当今企业面临的这些问题。ISA Server 可以在远程访问企业 Web 服务器中的信息时提供保护。ISA Server 可以帮助保护和控制企业网络内部员工的 Internet 访问。部署 ISA Server 2006 Web 代理服务器可以降低网络操作的总体成本，使用 ISA Server 2006 Web 代理缓存则可以改进员工的工作效率。

　　ISA Server 2006 Web 代理提高安全性和性能的一些示例包括：

　　· 在允许访问企业 Web 服务器之前预先验证用户身份。

　　· 在允许访问公司数据资源之前预先授权用户。

　　· 检查 HTTP Web 连接中潜藏的攻击代码。

　　· 防止访问敏感的企业信息。

　　· 缓存 Web 内容以改进最终用户体验。

　　· 控制企业用户可以通过 Internet 连接的内容类型。

　　企业总是在不断寻找利用现有商业智能的方式以便在竞争中取得优势。为获得竞争优势，各公司不断寻找定位现有数据资产的方式，以便让公司员工能够从世界上任何地方访问这些信息。

　　这种任意位置访问通过远程访问企业网络中承载的信息提高了业务灵敏性，但这些信息在员工离开公司设备时可能无法访问。远程访问指的是即使用户及其计算机物理上不在企业网络中也可以访问企业服务器中承载的信息。

　　远程访问提供了多种定位员工的选项，同时仍然让这些员工能够访问企业信息。一些示例包括：

　　· 远程办公人员

　　随着可用性的提高以及高速 Internet 连接的普及，在家工作成为一种选择。通过完全或部分时间远程办公，公司可以获得基础结构成本降低的好处。

　　· 销售人员和经理

　　销售人员需要访问企业服务器中的信息。移动工作者需要访问 Microsoft Office Word 文档、Microsoft PowerPoint? 演示文稿、数据库信息和更多内容。经理在拜访客户和合作伙伴时也需要实时访问信息。

　　· 企业合作伙伴

　　公司要想与其他企业建立战略合作伙伴关系也需要一种安全和可靠的方法以共享专有信息。共享部件列表、报价单、订单信息和其他数据可以让企业迅速抓住稍纵即逝的机会。

　　安全远程访问企业应用程序和数据是能否在今天的企业环境中取得成功的主要因素。为利用安全远程访问，您需要重新考虑企业网络的定义。企业网络通常被视为独立的实体，它与 Internet 是物理上分开的，而 Internet 是不安全的，其中充斥着黑客、恶意用户以及其他潜在入侵者。然而，随着远程访问连接的引入，现在的企业网络边界显然已扩展到整个 Internet。

　　要想充分利用远程访问企业数据带来的好处，首先必须解决四个主要问题：

　　· 向安全性和符合性管理者保证远程访问连接是安全的。

　　· 解决远程工作者连接导致的性能问题。

　　· 简化应用程序安全性和加速解决方案的部署

　　· 降低远程连接的相关网络操作成本。

　　保证远程访问连接安全

　　尽管远程访问连接可以给企业带来战略优势，但它也会增加信息泄露和数据失窃的风险。很多企业担心远程访问连接会带来安全性和符合性问题，因为攻击者有可能使用与员工相同的机制合法地访问企业信息。

　　ISA Server 2006 为安全性和符合性管理者解决了下列问题：

　　· 防止来自黑客和入侵者的危险连接到达企业网站

　　Internet 上的黑客可以通过与员工相同的渠道访问企业信息。您需要在入侵者到达您的网站之前阻止潜在的攻击。ISA Server 2006 Web 代理能够检查所有指向企业网站的连接，并在 ISA Server 计算机处阻止具有潜在危险的连接。这样就让员工能够访问所需的企业数据，同时阻止攻击，避免它们抵达 Web 服务器。

　　· 防止匿名连接企业 Web 服务器

　　很多公司都通过配置企业防火墙允许 Internet 用户访问承载 Microsoft Exchange Server 和Microsoft Office SharePoint Portal Server 的企业 Web 服务器，从而允许连接这些服务器。这种做法可能会让公司的数据处于危险之中，因为防火墙在允许连接之前无法识别用户。同时这也让匿名攻击者能够对 Web 服务器进行密码、拒绝服务和类似攻击。使用 ISA Server 2006 作为 Web 代理以保护企业网站时，用户首先必须证明自己的身份，然后才能连接到企业服务器。而且，就算用户成功证明了自己的身份，也只有那些被授予信息资源访问权限的用户才能连接企业服务器。SharePoint Portal Server 就是受益于这种保护的 Web 服务器的一个例子。

　　· 防止由于远程用户活动给符合性带来的负面影响

　　企业符合性管理者需要知道有关谁曾连接过公司数据、他们什么时候访问过公司数据以及他们通过远程访问连接进入公司网络后做了什么的信息。ISA Server 2006 Web 代理记录了用户通过代理连接企业 Web 服务器的所有行为的大量信息，从而帮助解决了符合性问题。这些日志数据可以用于创建有关远程用户活动的综合报告。您可以查询 ISA Server 2006 Web 代理日志，以了解有关资源使用情况和用户活动的详细信息。

　　全面支持应用程序层检查增强功能

　　与只能进行静态数据包检查的传统防火墙不同，ISA Server 2006 Web 代理可以通过应用程序层检查进行更加复杂的决策，而不仅是允许或拒绝访问。应用程序层检查是 ISA Server 2006 的一项功能，它让 Web 代理可以评估通过 ISA Server Web 代理传输的 Web 通信的有效性和安全性。ISA Server 2006 Web 代理应用程序层检查功能的一个示例就是本文前面介绍过的 HTTP 过滤器。

　　ISA Server 2006 提供了强大的应用程序层检查机制。ISA Server 2006 同时也是一个灵活和可扩展的解决方案，从而让您能够极大地增强应用程序层检查功能。使用第三方 ISA Server 2006 Web 代理加载项过滤器，您可以：

　　· 检查 Web 流量中的病毒。

　　· 防止恶意应用程序通过正常的 Web 连接隧道进入。

　　· 让 ISA Server 2006 能够检查 XML 流量。

　　· 执行其他安全任务。

　　公司通常允许员工访问 Internet 站点而不加限制。这其实不是一个很好的办法，因为员工可能会无意中下载病毒、蠕虫、远程访问特洛伊木马、rootkit 和其他形式的恶意软件。员工可能会有意访问不合适的内容（色情网站、盗版软件或歌曲），从而让公司陷入法律纠纷，甚至刑事案件中。对于 Internet 访问不加限制可能会带来难以承受的安全风险，同时极大地增加了公司违反行业原则的可能性。

　　员工处在越来越大的压力下，他们需要尽快和有效地完成工作。大多数公司依靠快速和可靠的 Internet 访问实现这一目标。如果信息访问受到损害，公司可能要承受每小时数千美元的效率损失成本。

　　部署 ISA Server 2006 Web 代理服务器有助于减轻恶意代码和不合适内容带来的安全风险，从而提高员工的工作效率。

　　保护员工的 Internet 访问

　　在一份 2004 年发布的报告中，技术市场智能服务商 IDC 认为以下企业网络风险是由不加控制的 Internet 访问造成的：

　　· 越来越多的 Web 病毒和混合威胁，例如 NIMDA、红色代码和冲击波。

　　· 使用点对点 (P2P) 文件共享应用程序的情况增多，这种应用程序可以用于下载受版权保护的资料、传输受感染的文件以及与世界上的任何人共享专有的企业信息。

　　间谍软件越来越流行，这种软件可以捕获诸如用户名和密码等用户信息，甚至包括可以记录受感染计算机的每次键击的按键记录软件。

　　· 网钓攻击的数量增加，这种攻击利用用户的无知收集用户输入网站表单中的隐私信息，然后使用这些信息进行身份盗窃或其他诈骗活动。

　　· 越来越多的用户下载和安装来自不可信来源的软件，这种下载可能包含恶意软件，从而导致用户计算机失控，或是由于使用未经授权的软件而导致公司面临罚款。

　　· 员工工作效率下降的问题增多，因为在线游戏、新闻、社会性网络以及其他不关业务的站点增多。

　　所有这些漏洞都可以使用 HTTP、HTTPS 或 FTP 协议通过 Web 连接加以利用。Web 代理设备可以通过以下方法防止这些漏洞：

　　· 通过设置 Web 代理，使其不允许访问可执行文件，并阻止连接已知存在恶意代码的网站，从而对 Web 病毒和其他漏洞代码（例如特洛伊木马和 rootkit）的下载进行控制。

　　· 通过配置 Web 代理以阻止访问一些要求使用 P2P 应用程序的主要登录站点，以及通过检查 HTTP 通信的特点来识别 P2P 应用程序，从而阻止访问 P2P 应用程序。

　　· 通过拒绝访问发布网钓页面的站点以阻止网钓攻击。

　　· 通过限制用户可以访问的站点以及控制他们访问这些站点的方式，从而提高员工的工作效率。