保护局域网免受黑客_为保护 *** 资源免受威胁和攻击

文字简介：

• 1、保护路由器如何才能防止 *** 黑客入侵
• 2、如何防止局域网内的 *** 攻击
• 3、如何防范 *** 免受黑客攻击
• 4、怎样管理自己的网站不受黑客攻击?
• 5、保护内网安全的 ***
• 6、怎么样防止黑客入侵企业局域网

保护路由器如何才能防止 *** 黑客入侵

更新路由器操作系统：就像 *** 操作系统一样，路由器操作系统也需要更新，以便纠正编程错误、软件瑕疵和缓存溢出的问题。要经常向路由器厂商查询当前的更新和操作系统的版本。

修改默认的口令：据卡内基梅隆大学的计算机应急反应小组称，80%的安全事件都是由于较弱或者默认的口令引起的。避免使用普通的口令，并且使用大小写字母混合的方式作为更强大的口令规则。

禁用HTTP设置和SNMP（简单 *** 管理协议）：你的路由器的HTTP设置部分对于一个繁忙的 *** 管理员来说是很容易设置的。但是，这对路由器来说也是一个安全问题。如果路由器有一个命令行设置，禁用HTTP方式并且使用这种设置方式。如果你没有使用路由器上的SNMP,那么就不需要启用这个功能。

封锁ICMP（互联网控制消息协议）ping请求：ping和其它ICMP功能对于 *** 管理员和黑客都是非常有用的工具。黑客能够利用路由器上启用的ICMP功能找出可用来攻击 *** 的信息。

禁用来自互联网的telnet命令：在大多数情况下，不需要来自互联网接口的主动的telnet会话。如果从内部访问路由器设置会更安全一些。 

如何防止局域网内的 *** 攻击

*** 攻击是近来常发生的问题，可以分为遭受外网攻击及内网攻击。以下分别说明:

1、外部来的DoS攻击会造成 *** 掉线，判别 *** 是从路由器的系统日志文件中可以看出，Qno侠诺的路由器会显示遭受攻击，而且路由器持续在工作。其它品牌的路由器，有些也有相关的功能，用户可以查看使用手册。DoS病毒攻击，如SYN攻击，因为发出大量数据包导致系统资源占用过多，使路由器损耗效能造成 *** 壅塞，达到瘫痪网吧 *** 对于广域网来的攻击，路由器能作的不多，也无法反击。此时，网吧管理者或网管应直接联系对应的运营商，请求更换WAN IP。

2、内网遭受DoS攻击时，也会造成掉线或壅塞。网吧管理者或网管可以从被激活的告警日志中，查找到内网攻击源头的中毒机器，之一时间先拔除PC机 *** 线，阻止DoS攻击影响扩大，并进行杀毒或重新安装系统。

3、内网遭受冲击波攻击是另一个原因，冲击波攻击，是针对 *** 特定服务端口(TCP/UDP 135~139，445)发出大量数据包导致系统资源占用过多，使路由器损耗效能造成 *** 壅塞，以达到瘫痪网吧 *** 的目的。同样网吧管理者或网管可以从Qno侠诺被激活的告警日志中，发现问题。 网吧管理者或网管可以针对特定服务端口(TCP/UDP 135~139，445)设置 *** 存取条例，并从被激活的防火墙日志中，查找到内网攻击源头的中毒机器，之一时间先拔除PC机 *** 线，阻止冲击波攻击影响扩大，并进行杀毒或重新安装系统。

4、内网遭受ARP攻击是最近常发生的原因，ARP病毒攻击以窜改内网PC机或路由器 IP或MAC地址，来达到盗取用户账号/密码，进一步进行 *** 盗宝等犯罪行为，或是恶意瘫痪网吧 *** 。ARP病毒攻击会造成内网IP或MAC冲突，出现短时间内部份断线。网吧要确定网吧已做好Qno侠诺路由器及内网PC机端双向绑定IP/MAC地址的防制工作，内网所有的PC机与路由器IP/MAC地址对应关系都被保存到路由器的ARP缓存表中，不能被轻易更改。此时ARP攻击虽然并不会扩及其它PC机，但网吧管理者或网管还是必须立即查找出内网攻击源头的中毒机器，进行杀毒或重新安装系统。路由器内建ARP病毒来源自动检测工具，系统日志中可提供攻击源的IP或MAC地址，帮助网吧进行查找攻击源机器。有些高阶路由器也都有相仿的设计。

*** 遭受攻击，可从路由器相关功能找出遭受攻击类型，网吧管理者或网管查找、直击攻击源加以隔离与排除，在攻击发起时即能迅速加以解决，无需等到客人反应受到影响。

另外 *** 的雍堵也可能造成掉线.

1、短暂 *** 壅塞，有可能是网吧内突发的带宽高峰，网吧管理员或网管应关注路由器的带宽统计，可先持续关注状况。若是尖峰时段，网吧客人较多，带宽也会比较吃紧，或是有用户使用 *** 、P2P软件做大量上传，占用大量带宽，造成 *** 卡。网吧管理员或网管此时应设置QoS流量管理规范内网用户更大使用带宽，才能让 *** 联机恢复正常，解决壅塞情况。

2、尖峰时段持续性壅塞，是有用户使用 *** 、P2P 软件进行大量下载，或在线观看电影、视讯等占用大量带宽行为。若是用户观看电影人数很多，网吧应考虑于内网安装电影服务器供用户使用，才不致因观看影片人多占用对外带宽。对于大量下载，则应考虑建置内部私服加以改善。

3、若是长时间从路由器看到带宽占用率高，有可能表示网吧根本带宽不足，线路带宽过小，不足以提供目前在线众多人数使用，应考虑加大线路带宽。这时就可利用多WAN口特性进行带宽的升级，解决带宽不足的问题。

措施:基于路由器的防范 ***

一．内部PC基于IP地址限速

现在 *** 应用众多， *** 、电驴、迅雷、FTP、在线视频等，都是非常占用带宽，以一个200台规模的网吧为例，出口带宽为10M，每台内部PC的平均带宽为50K左右，如果有几个人在疯狂的下载，把带宽都占用了，就会影响其他人的 *** 速度了，另外，下载的都是大文件，IP报文更大可以达到1518个BYTE，也就是1.5k，下载应用都是大报文，在 *** 传输中，一般都是以数据包为单位进行传输，如果几个人在同时下载，占用大量带宽，如果这时有人在玩 *** 游戏，就可能会出现卡的现象。

一个基于IP地址限速的功能，可以给整个网吧内部的所有PC进行速度限制，可以分别限制上传和 *** ，既可以统一限制内部所有PC的速度，也可以分别设置内部某台指定PC的速度。速度限制在多少比较合适呢？和具体的出口带宽和网吧规模有关系，不过更低不要小于40K的带宽，可以设置在100-400K比较合适。

二：内部PC限制NAT的链接数量

NAT功能是在网吧中应用最广的功能，由于IP地址不足的原因，运营商提供给网吧的一般就是1个IP地址，而网吧内部有大量的PC，这么多的PC都要通过这唯一的一个IP地址进行上网，如何做到这点呢？

答案就是NAT（ *** IP地址转换）。内部PC访问外网的时候，在路由器内部建立一个对应列表，列表中包含内部PCIP地址、访问的外部IP地址，内部的IP端口，访问目的IP端口等信息，所以每次的ping、 *** 、下载、WEB访问，都有在路由器上建立对应关系列表，如果该列表对应的 *** 链接有数据通讯，这些列表会一直保留在路由器中，如果没有数据通讯了，也需要20-150秒才会消失掉。（对于RG-NBR系列路由器来说，这些时间都是可以设置的）

现在有几种 *** 病毒，会在很短时间内，发出数以万计连续的针对不同IP的链接请求，这样路由器内部便要为这台PC建立万个以上的NAT的链接。

由于路由器上的NAT的链接是有限的，如果都被这些病毒给占用了，其他人访问 *** ，由于没有NAT链接的资源了，就会无法访问 *** 了，造成断线的现象，其实这是被 *** 病毒把所有的NAT资源给占用了。

针对这种情况，不少网吧路由器提供了可以设置内部PC的更大的NAT链接数量的功能，可以统一的对内部的PC进行设置更大的NAT的链接数量设置，也可以给每台PC进行单独限制。

同时，这些路由器还可以查看所有的NAT链接的内容，看看到底哪台PC占用的NAT链接数量最多，同时 *** 病毒也有一些特殊的端口，可以通过查看NAT链接具体内容，把到底哪台PC中毒了给揪出来。

三：ACL防 *** 病毒

*** 病毒层出不穷，但是道高一尺，魔高一丈，所有的 *** 病毒都是通过 *** 传输的， *** 病毒的数据报文也一定遵循TCP/IP协议，一定有源IP地址，目的IP地址，源TCP/IP端口，目的TCP/IP端口，同一种 *** 病毒，一般目的IP端口是相同的，比如冲击波病毒的端口是135，震荡波病毒的端口是445,只要把这些端口在路由器上给限制了，那么外部的病毒就无法通过路由器这个唯一的入口进入到内部网了，内部的 *** 病毒发起的报文，由于在路由器上作了限制，路由器不加以处理，则可以降低病毒报文占据大量的 *** 带宽。

优秀的网吧路由器应该提供功能强大的ACL功能，可以在内部网接口上限制 *** 报文，也可以在外部王接口上限制病毒 *** 报文，既可以现在出去的报文，也可以限制进来的 *** 报文。

四：WAN口防ping功能

以前有一个帖子，为了搞跨某个网站，只要有大量的人去ping这个网站，这个网站就会跨了，这个就是所谓的拒绝服务的攻击，用大量的无用的数据请求，让他无暇顾及正常的 *** 请求。

*** 上的黑客在发起攻击前，都要对 *** 上的各个IP地址进行扫描，其中一个常见的扫描 *** 就是ping，如果有应答，则说明这个ip地址是活动的，就是可以攻击的，这样就会暴露了目标，同时如果在外部也有大量的报文对RG-NBR系列路由器发起Ping请求，也会把网吧的RG-NBR系列路由器拖跨掉。

现在多数网吧路由器都设计了一个WAN口防止ping的功能，可以简单方便的开启，所有外面过来的ping的数据报文请求，都装聋作哑，这样既不会暴露自己的目标，同时对于外部的ping攻击也是一个防范。

五：防ARP地址欺骗功能

大家都知道，内部PC要上网，则要设置PC的IP地址，还有网关地址，这里的网关地址就是NBR路由器的内部网接口IP地址，内部PC是如何访问外部 *** 呢？就是把访问外部网的报文发送给NBR的内部网，由NBR路由器进行NAT地址转发后，再把报文发送到外部 *** 上，同时又把外部回来的报文，去查询路由器内部的NAT链接，回送给相关的内部PC，完成一次 *** 的访问。

在 *** 上，存在两个地址，一个是IP地址，一个是MAC地址，MAC地址就是 *** 物理地址，内部PC要把报文发送到网关上，首先根据网关的IP地址，通过ARP去查询NBR的MAC地址，然后把报文发送到该MAC地址上，MAC地址是物理层的地址，所有报文要发送，最终都是发送到相关的MAC地址上的。

所以在每台PC上，都有ARP的对应关系，就是IP地址和MAC地址的对应表，这些对应关系就是通过ARP和RARP报文进行更新的。

目前在 *** 上有一种病毒，会发送假冒的ARP报文，比如发送网关IP地址的ARP报文，把网关的IP对应到自己的MAC上，或者一个不存在的MAC地址上去，同时把这假冒的ARP报文在 *** 中广播，所有的内部PC就会更新了这个IP和MAC的对应表，下次上网的时候，就会把本来发送给网关的MAC的报文，发送到一个不存在或者错误的MAC地址上去，这样就会造成断线了。

这就是ARM地址欺骗，这就是造成内部PC和外部网的断线，该病毒在前一段时间特别的猖獗。针对这种情况，防ARP地址欺骗的功能也相继出现在一些专业路由器产品上。

六：负载均衡和线路备份

举例来说，如锐捷RG-NBR系列路由器全部支持VRRP热备份协议，最多可以设定2-255台的NBR路由器，同时链接2-255条宽带线路，这些NBR和宽带线路之间，实现负载均衡和线路备份，万一线路断线或者 *** 设备损坏，可以自动实现的备份，在线路和 *** 设备都正常的情况下，便可以实现负载均衡。该功能在锐捷的所有的路由器上都支持。

而RG-NBR系列路由器中的RG-NBR1000E，更是提供了2个WAN口，如果有需要，还有一个模块扩展插槽，可以插上电口或者光接口模块，同时链接3条宽带线路，这3条宽带线路之间，可以实现负载均衡和线路备份，可以基于带宽的负载均衡，也可以对内部PC进行分组的负载均衡，还可以设置访问网通资源走网通线路，访问电信资源走电信线路的负载均衡。

如何防范 *** 免受黑客攻击

*** 安全是一个值得注意的问题。 *** 在让你共享信息和资源的时候，同样会带给你一些烦恼，诸如电脑病毒，非法的入侵者，甚至是发泄不满的员工能够在一 *** 立的机器上带给你相当大的危害。

我们可以注意所有与 *** 安全相关的领域

◆虚拟数据仍然需要保证实体上的安全。这就意味着你应该把你的服务器放在一个独立的环境下，把磁盘驱动器从不需要的工作地点移走，并且在你的办公室安装一个报警系统。你应该明白世界上没有任何一款安全软件可以阻止别人进入你的办公室并和侵入你的电脑。

◆小心安全漏洞。许多电脑病毒不过是令人烦恼的恶意程序，但仅仅只需要一个病毒就足以致命。安装可靠的杀毒软件，时时更新，并且培训员工让他们学会使用。及时更新漏洞补丁，往往很多黑客都是利用这些已知的漏洞来完成入侵的。编者曾经做 *** 的经验告诉我，企业中很多管理员对补丁的更新做的并不及时。

◆ *** 安全是一件日常工作。一定要留心观察会影响局域网安全的一些变化。注意时时更新和下载操作系统的安全补丁和漏洞修复。将对一些目录和 *** 资源的访问权限按实际需要加以分配，并且迅速注销一些离开你公司的员工的帐号。利用 *** 登陆和安全测试来检测你的 *** 的安全漏洞和可能的非法入侵者。养成良好的备份和日志分析习惯，即使是很不起眼的入侵，您的日志也会详细的记录下来，这对 *** 管理是十分重要。

◆注意你的密码，一个差劲的密码可能会威胁到你整个 *** 的安全。避免密码中包含一些字典词汇和私人信息，并且要求用户经常更换密码。当一位员工离开公司的时候，一定要将注销他的密码作为终止过程的一部分。

◆不要让麻烦找你，当你通过局域网拨号上网或是通过专门的因特网连接到外网的时候，一定要采取特别的防范措施。通过加密的密码或者是回拨上网的方式防止拨号上网攻击，这样可以只允许被认可的 *** 号码访问。

◆安装防火墙。如果你将局域网直接连接到因特网的时候，一定要安装防火墙来检测出流和入流的情况，软件防火墙同样能够防止诸如木马等恶意病毒等进入并且破坏你的电脑系统。

让我们想想还有没有其他的预防措施？例如IDS，IPS等等。 *** 在随着计算机技术的发展在迅速增长，我们使用的很多软件和设备在N年后总会发现有很多的不足，这是技术所决定的。因此编者要提醒用户，不间断的补充知识，养成良好的习惯，才会真正阻止黑客的入侵。

也许有人说 *** 永远都有漏洞，那我也可以很肯定的回答，良好的习惯可以更大限度的解决这种威胁。

怎样管理自己的网站不受黑客攻击?

针对黑客威胁， *** 安全管理员采取各种手段增强服务器的安全，确保WWW服务的正常运行。象在Internet上的Email、ftp等服务器一样，可以用如下的 *** 来对WWW服务器进行保护： 安全配置 关闭不必要的服务，更好是只提供WWW服务，安装操作系统的最新补丁，将WWW服务升级到最新版本并安装所有补丁，对根据WWW服务提供者的安全建议进行配置等，这些措施将极大提供WWW服务器本身的安全。 防火墙 安装必要的防火墙，阻止各种扫描工具的试探和信息收集，甚至可以根据一些安全报告来阻止来自某些特定IP地址范围的机器连接，给WWW服务器增加一个防护层，同时需要对防火墙内的 *** 环境进行调整，消除内部 *** 的安全隐患。 漏洞扫描 使用商用或免费的漏洞扫描和风险评估工具定期对服务器进行扫描，来发现潜在的安全问题，并确保由于升级或修改配置等正常的维护工作不会带来安全问题。 入侵检测系统 利用入侵检测系统（IDS）的实时监控能力，发现正在进行的攻击行为及攻击前的试探行为，记录黑客的来源及攻击步骤和 *** 。 这些安全措施都将极大提供WWW服务器的安全，减少被攻击的可能性。 二、网站的专用保护 *** 尽管采用的各种安全措施能防止很多黑客的攻击，然而由于各种操作系统和服务器软件漏洞的不断发现，攻击 *** 层出不穷，技术高明的黑客还是能突破层层保护，获得系统的控制权限，从而达到破坏主页的目的。这种情况下，一些 *** 安全公司推出了专门针对网站的保护软件，只保护网站最重要的内容--网页。一旦检测到被保护的文件发生了{非正常的}改变，就进行恢复。一般情况下，系统首先需要对正常的页面文件进行备份，然后启动检测机制，检查文件是否被修改，如果被修改就需要进行恢复。我们对以下几个方面的技术进行分析比较： 监测方式 本地和远程：检测可以是在本地运行一个监测端，也可以在 *** 上的另一台主机。如果是本地的话，监测端进程需要足够的权限读取被保护目录或文件。监测端如果在远端的话，WWW服务器需要开放一些服务并给监测端相应的权限，较常见的方式是直接利用服务器的开放的WWW服务，使用HTTP协议来监测被保护的文件和目录。也可利用其它常用协议来检测保护文件和目录，如FTP等。采用本地方式检测的优点是效率高，而远程方式则具有平台无关性，但会增加 *** 流量等负担。 定时和触发：绝大部分保护软件是使用的定时检测的方式，不论在本地还是远程检测都是根据系统设定的时间定时检测，还可将被保护的网页分为不同等级，等级高的检测时间间隔可以设得较短，以获得较好的实时性，而将保护等级较低的网页文件检测时间间隔设得较长，以减轻系统的负担。触发方式则是利用操作系统提供的一些功能，在文件被创建、修改或删除时得到通知，这种 *** 的优点是效率高，但无法实现远程检测。 比较 *** 在判断文件是否被修改时，往往采用被保护目录和备份库中的文件进行比较，比较最常见的方式全文比较。使用全文比较能直接、准确地判断出该文件是否被修改。然而全文比较在文件较大较多时效率十分低下，一些保护软件就采用文件的属性如文件大小、创建修改时间等进行比较，这种 *** 虽然简单高效，但也有严重的缺陷：{恶意入侵者}可以通过精心构造，把替换文件的属性设置得和原文件完全相同，{从而使被恶意更改的文件无法被检测出来}。另一种方案就是比较文件的数字签名，最常见的是MD5签名算法，由于数字签名的不可伪造性，数字签名能确保文件的相同。 恢复方式 恢复方式与备份库存放的位置直接相关。如果备份库存放在本地的话，恢复进程必须有写被保护目录或文件的权限。如果在远程则需要通过文件共享或FTP的方式来进行，那么需要文件共享或FTP的帐号，并且该帐号拥有对被保护目录或文件的写权限。 备份库的安全 当黑客发现其更换的主页很快被恢复时，往往会激发起进一步破坏的欲望，此时备份库的安全尤为重要。网页文件的安全就转变为备份库的安全。对备份库的保护一种是通过文件隐藏来实现，让黑客无法找到备份目录。另一种 *** 是对备份库进行数字签名，如果黑客修改了备份库的内容，保护软件可以通过签名发现，就可停止WWW服务或使用一个默认的页面。 通过以上分析比较我们发现各种技术都有其优缺点，需要结合实际的 *** 环境来选择最适合的技术方案。 三、网站保护的缺陷 尽管网站保护软件能进一步提高系统的安全，仍然存在一些缺陷。首先这些保护软件都是针对静态页面而设计，而现在动态页面占据的范围越来越大，尽管本地监测方式可以检测脚本文件，但对脚本文件使用的数据库却无能为力。 另外，有些攻击并不是针对页面文件进行的，前不久泛滥成灾的"Red Code"就是使用修改IIS服务的一个动态库来达到攻击页面的目的。另一个方面，网站保护软件本身会增加WWW服务器的负载，在WWW服务器负载本身已经很重的情况下，一定好仔细规划好使用方案。 四、结论 本文讨论了网站常用的保护 *** ，详细地分析比较了专用网站保护软件采用的各种技术实现和优缺点，并指出了其缺陷。安全虽不是使用某个工具或某些工具就可以解决的，但使用这些工具能帮助提高安全性，减少安全风险。 本人提供有偿网站检测服务和代码过滤

保护内网安全的 ***

内网是 *** 应用中的一个主要组成部分，其安全性也受到越来越多的重视。今天就给大家脑补一下内网安全的保护 *** 。

对于大多数企业局域网来说，路由器已经成为正在使用之中的最重要的安全设备之一。一般来说，大多数 *** 都有一个主要的接入点。这就是通常与专用防火墙一起使用的“边界路由器”。

经过恰当的设置，边缘路由器能够把几乎所有的最顽固的坏分子挡在 *** 之外。如果你愿意的话，这种路由器还能够让好人进入 *** 。不过，没有恰当设置的路由器只是比根本就没有安全措施稍微好一点。

在下列指南中，我们将研究一下你可以用来保护 *** 安全的9个方便的步骤。这些步骤能够保证你拥有一道保护你的 *** 的砖墙，而不是一个敞开的大门。

1.修改默认的口令!

据国外调查显示，80%的安全突破事件是由薄弱的口令引起的。 *** 上有大多数路由器的广泛的默认口令列表。你可以肯定在某些地方的某个人会知道你的生日。SecurityStats.com网站维护一个详尽的可用/不可用口令列表，以及一个口令的可靠性测试。

2.关闭IP直接广播(IP Directed Broadcast)

你的服务器是很听话的。让它做什么它就做什么，而且不管是谁发出的指令。Smurf攻击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的 *** 广播地址发送一个“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降低你的 *** 性能。

参考你的路由器信息文件，了解如何关闭IP直接广播。例如，“Central(config)#no ip source-route”这个指令将关闭思科路由器的IP直接广播地址。

3.如果可能，关闭路由器的HTTP设置

正如思科的技术说明中简要说明的那样，HTTP使用的身份识别协议相当于向整个 *** 发送一个未加密的口令。然而，遗憾的是，HTTP协议中没有一个用于验证口令或者一次性口令的有效规定。

虽然这种未加密的口令对于你从远程位置(例如家里)设置你的路由器也许是非常方便的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令!如果你必须远程管理路由器，你一定要确保使用SNMPv3以上版本的协议，因为它支持更严格的口令。

4.封锁ICMP ping请求

ping的.主要目的是识别目前正在使用的主机。因此，ping通常用于更大规模的协同性攻击之前的侦察活动。通过取消远程用户接收ping请求的应答能力，你就更容易避开那些无人注意的扫描活动或者防御那些寻找容易攻击的目标的“脚本小子”(script kiddies)。

请注意，这样做实际上并不能保护你的 *** 不受攻击，但是，这将使你不太可能成为一个攻击目标。

5.关闭IP源路由

IP协议允许一台主机指定数据包通过你的 *** 的路由，而不是允许 *** 组件确定更佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。这项功能最常用的用途是为了侦察目的对你的 *** 进行镜像，或者用于攻击者在你的专用 *** 中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。

6.确定你的数据包过滤的需求

封锁端口有两项理由。其中之一根据你对安全水平的要求对于你的 *** 是合适的。

对于高度安全的 *** 来说，特别是在存储或者保持秘密数据的时候，通常要求经过允许才可以过滤。在这种规定中，除了网路功能需要的之外，所有的端口和IP地址都必要要封锁。例如，用于web通信的端口80和用于 *** TP的110/25端口允许来自指定地址的访问，而所有其它端口和地址都可以关闭。

大多数 *** 将通过使用“按拒绝请求实施过滤”的方案享受可以接受的安全水平。当使用这种过滤政策时，可以封锁你的 *** 没有使用的端口和特洛伊木马或者侦查活动常用的端口来增强你的 *** 的安全性。例如，封锁139端口和445(TCP和UDP)端口将使黑客更难对你的 *** 实施穷举攻击。封锁31337(TCP和UDP)端口将使Back Orifice木马程序更难攻击你的 *** 。

这项工作应该在 *** 规划阶段确定，这时候安全水平的要求应该符合 *** 用户的需求。查看这些端口的列表，了解这些端口正常的用途。

7.建立准许进入和外出的地址过滤政策

在你的边界路由器上建立政策以便根据IP地址过滤进出 *** 的违反安全规定的行为。除了特殊的不同寻常的案例之外，所有试图从你的 *** 内部访问互联网的IP地址都应该有一个分配给你的局域网的地址。例如，192.168.0.1 这个地址也许通过这个路由器访问互联网是合法的。但是，216.239.55.99这个地址很可能是欺骗性的，并且是一场攻击的一部分。

相反，来自互联网外部的通信的源地址应该不是你的内部 *** 的一部分。因此，应该封锁入网的192.168.X.X、172.16.X.X和10.X.X.X等地址。

最后，拥有源地址的通信或者保留的和无法路由的目标地址的所有的通信都应该允许通过这台路由器。这包括回送地址127.0.0.1或者E类(class E)地址段240.0.0.0-254.255.255.255。

8.保持路由器的物理安全

从 *** 嗅探的角度看，路由器比集线器更安全。这是因为路由器根据IP地址智能化地路由数据包，而集线器相所有的节点播出数据。如果连接到那台集线器的一个系统将其 *** 适配器置于混乱的模式，它们就能够接收和看到所有的广播，包括口令、POP3通信和Web通信。

然后，重要的是确保物理访问你的 *** 设备是安全的，以防止未经允许的笔记本电脑等嗅探设备放在你的本地子网中。

9.花时间审阅安全记录

审阅你的路由器记录(通过其内置的防火墙功能)是查出安全事件的最有效的 *** ，无论是查出正在实施的攻击还是未来攻击的征候都非常有效。利用出网的记录，你还能够查出试图建立外部连接的特洛伊木马程序和间谍软件程序。用心的安全管理员在病毒传播者作出反应之前能够查出“红色代码”和“Nimda”病毒的攻击。

此外，一般来说，路由器位于你的 *** 的边缘，并且允许你看到进出你的 *** 全部通信的状况。

怎么样防止黑客入侵企业局域网

更好的办法是在外线在接入路由器之前安装一个硬件防火墙，可以将黑客拦截在路由器之前，这样就可以保护你整个局域网的安全了。目前此类产品中阿尔叙个人硬件防火墙做比较专业，价格还算能接受，这一款防火墙采用IP隐藏技术，实时监控，全面的封计算机65536个端口、无需升级、固件不受任何病毒影响和更改等特点，可以轻松将你的电脑隐身在黑客之前。