为什么监控网络设备对网络安全至关重要

安全的网络基础设施对组织至关重要，而这就需要密切关注路由器、交换机以及其他 网络设备 的运行情况。您必须能够快速发现并调查威胁外围安全的各种情况，例如：对配置的未授权更改、可疑的登录尝试以及扫描类威胁。例如，未能及时检测到 网络设备 配置中的不当变更，将使您的网络容易受到攻击者入侵，甚至可能被其控制。

在这篇博客文章中，我将分享网络设备审计可以帮助解决的 4 个主要问题，并提供一个 3 步流程，帮助您有效启动对网络设备的审计。

网络设备的四大安全问题

问题 #1：配置错误的设备

不当的配置变更是与网络设备相关的关键威胁之一。一次不当的更改就可能削弱您的边界安全，引发监管审计方面的担忧，甚至导致代价高昂的停机事故，使您的业务陷入停滞。例如，配置错误的防火墙可能使攻击者轻松进入您的网络，从而对您的组织造成持久的损害。

对网络设备进行审计并结合告警功能，将为您提供所需的洞察与控制能力。借助审计，您可以快速发现不恰当的配置变更，并了解是谁更改了什么；这有助于提升用户问责性，并能在潜在安全事件造成实际麻烦之前将其检测出来。

问题 #2：未经授权的登录

大多数尝试登录网络设备的行为都是网络管理员的合法操作——但也有一些并非如此。如果无法及时发现可疑的登录尝试，就会使您的组织暴露在攻击者的风险之下，攻击者可能试图“硬闯”进入您的网络。因此，您需要对异常事件立即发出告警，例如：在节假日或非工作时间由管理员访问设备、登录失败尝试，以及访问权限的修改，以便 IT 人员能够采取行动，防止发生安全妥协。

网络设备监控 和告警也同样是合规审计所必需的，这样您就可以提供证据，证明您会密切关注特权用户及其在设备上的活动（例如：谁在登录、登录频率如何）。

问题 #3：VPN 登录

许多组织会部署虚拟专用网络（VPN）访问来提升远程连接的安全性，但其中仍有许多相关风险不应被忽视。实践表明，VPN 并非 100% 安全，任何 VPN 连接都存在风险。理想情况下，应仅在获得适当批准后才授予通过 VPN 访问网络资源的权限，并且用户只能访问完成工作所需的那些资产。现实中，VPN 连接通常可以在组织内部被任何人使用，而无需任何批准。

因此，你需要能够识别威胁，例如用户通过公共 Wi‑Fi 连接（因为有人可能会窃取其凭据），以及平时不常使用 VPN 的用户突然开始使用 VPN（这可能是用户丢失了设备，而其他人正试图使用该设备进行登录的迹象）。通过对网络设备进行细致监控，并跟踪每一次 VPN 登录尝试，你将能够更快地了解：谁试图访问你的网络设备、每次认证请求来自的 IP 地址，以及每次失败的 VPN 登录的原因。

问题 #4：扫描威胁

网络扫描本身并不一定是敌对行为，但黑客往往会利用它来了解网络的结构和行为，从而在网络上实施攻击。如果你不针对扫描威胁监控网络设备，可能会在 数据泄露 发生、你的敏感数据被泄露之前，错过不当活动。

通过回答诸如以下问题——哪些主机和子网被扫描、扫描从哪个 IP 地址发起、进行了多少次扫描尝试——网络设备监控与告警将帮助你主动防御来自扫描威胁的风险。

案例研究：D-Link 网络设备中的安全缺陷让用户暴露于攻击之下

经验表明，许多安全事件都始于对网络设备的攻击。因此，这些设备中存在的任何漏洞都将对组织的系统和数据构成重大风险。一个典型例子是 D-Link 设备中的严重安全缺陷 。该问题于 2016 年由安全初创公司 Senrio 的研究人员发现。他们报告称，Wi-Fi 摄像机 D-Link DCS-930L 中的堆栈溢出问题允许他们在不引人注意的情况下更改基于网页的管理界面的管理员密码。该漏洞可能被攻击者用于覆盖管理员密码并在设备上安装恶意软件。针对报告，D-Link 承诺发布用于修复 DCS-930L 漏洞的固件更新，并开始测试该缺陷对其其他型号的影响。

这并不是 D-Link 第一次未能自行发现其设备中的严重漏洞。2018 年，来自波兰西里西亚理工大学（Silesian University of Technology）的一名研究人员 报告称 ，公司面向小型/家庭办公室的 “DWR” 系列中有 8 款 D-Link 路由器型号容易遭到完全接管（takeover）。这一次，D-link 表示将只对受影响的 8 台设备中的 2 台进行修补；其余设备将不再获得支持。

从网络设备审计开始

三个基本步骤将帮助你开始进行恰当的网络基础设施监控。这些是需要根据你所在组织的需求进行定制的通用建议；你需要非常了解自己的 IT 环境和业务流程，才能以最有效的方式对网络设备进行审计。

• 定期评估风险并进行渗透测试。

你需要了解自己的攻击面，并检测可能使你面临风险的漏洞。定期进行风险评估会在很大程度上有所帮助，但理想情况下，你还应当定期开展渗透测试，以便在黑客发现并利用这些漏洞之前，识别出网络设备中的缺陷。

• 确定需要审计哪些设备。

你并不存在一份必须审计的网络设备的定量/固定清单；这将取决于你们业务的具体情况、所属行业，以及网络的规模和架构。我强烈建议你监控那些负责组织中最关键资产的设备，以及所有与互联网相连的设备。

• 确定审计的频率。

一个常见的问题是：你需要多久对网络设备进行一次审计？目前没有任何合规标准会为网络设备审计规定具体的时间框架，而实践表明，这取决于你的业务性质以及网络基础设施的复杂程度。一个常见的建议是，每月对网络设备的整体状态进行检查，并确保在可能威胁网络环境的可疑活动（例如设备配置发生变更）出现时能够立即收到告警。