使用 IPsec 与组策略隔离服务器和域

服务器和域隔离防御的是什么？
服务器和域隔离是关于限制计算机如何相互通信及限制试图发起通信的设备。 这些限制或边界用于通过描述设备受信任级别来限制通信。 通过使用 IPsec 策略在主机周围设置身份验证、授权及网络位置等边界是缓解许多威胁的有效方式。 虽然 IPsec 是不完全安全的策略，但它在整个安全策略中提供了一层额外的防御。

下节描述一些典型的威胁并简要讨论威胁建模。 有关 Woodgrove Bank 方案中的受信任设备和 Woodgrove 用于确定及划分计算机为可信的设计过程的详细信息，请参阅第 3 章“确定 IT 基础结构的当前状态”的“信任确定”一节。

威胁建模和分类
近年来，对基于网络的应用程序和服务器攻击的频率和复杂性正日益递增。 有趣的是，攻击的类型和方式及用于对付它们的基本方法都相对保持不变。 但实现这些防御的一些功能和方法都有所不同。 在开始了解服务器和域隔离解决方案所需的规划之前，组织应先对存在的威胁进行详细的风险分析及通过使用各种技术和过程如何对付它们。

多年来，可识别、分类及枚举对组织的威胁的过程一直被记入文档。 此文档通常提供可用于组织的一般业务、环境及技术威胁建模的方法。 Microsoft 使用 STRIDE 方法用于威胁建模。 STRIDE 表示要防御的威胁类别。 这些类别包括：

S    哄骗

T    篡改

R    否认

I    信息泄露

D    拒绝服务

E    特权升级

重要的是，需投入足够的时间和资源尽可能详细地定义威胁模型以确保保护需要保护的所有资产。 有关服务器和域隔离可帮助缓解的特定威胁和攻击的解释，请参阅本指南的附录 D“IT 威胁类别”。 有关威胁模型的详细论述，请参阅 windows2000/secwin2k/default.mspx">Microsoft Solution for Securing Windows 2000 Server 解决方案中的第 2 章“定义安全前景”，本解决方案可从 www.microsoft.com/technet/security/prodtech/
win2000/secwin2k/02defsls.mspx 上下载。

如何部署服务器和域隔离？
了解对组织的威胁并认识到本解决方案如何缓解这些威胁之后，下一步是检查可部署这种解决方案的方式。 本节描述此部署过程如何进行。

信息搜集
在开始设计过程之前的第一步是确保您拥有组织网络（包括工作站和服务器配置以及通信路径）当前状态的最新的、精确的图片。 不确切知道解决方案打算保护的对象是不可能编写出有效的逻辑隔离解决方案的。

第 3 章“确定 IT 基础结构的当前状态”提供了获取网络的当前状态以及设备信息的详细说明和基本原理。此过程将提供本解决方案后面各章所需的全部信息，并提供组织中采用的其他项目的值。更重要的是，它将使组织仔细分析和严密检查其信息系统所需的通信路径，并对风险、通信要求和业务要求之间可能存在的威胁做出明智的选择。

IPsec 部署过程概述
决定并创建一个设计之后，接下来应首先建立一个将设计以可管理和对用户影响最小的方式实施到组织中的过程。 第 4 章“设计和规划隔离组”详细论述了可用于实现此过程的多种不同的方法。 但基本过程可总结如下：

1.
 在概念验证实验室中测试设计和 IPsec 策略。 应在被隔离的、非生产环境中测试建议的 IPsec 策略以确保设计如期工作，并测试可能在策略设置或部署机制中出现的所有问题。
 
2.
 试用经测试和批准的设计。 当小组确信设计可在实验室环境中如期工作时，下一步是标识将本解决方案试部署到生产环境中时应包括在内的少量几台计算机。 应对标识的计算机和用户给予前瞻性支持，以确保测试期间发生的所有问题对用户执行其工作职责的能力产生的影响最低。
 
3.
 实施本解决方案的阶段性部署。 过程的最后一步是制定可用于将设计部署到其余组织中的规划。 这是一个很重要的过程！应特别小心规划此步骤。 可制定一项设计能（在 IPsec 策略中更改一个设置）禁用许多计算机访问网络资源的能力。应测试并组织部署规划以便以解决方案介绍的这种方式进行更改：在测试阶段中不知何故某个配置或设计错误未检测到时，允许快速返回到已知状态。

第 4 章“设计和规划隔离组”提供了隔离域设计过程的详细信息及本解决方案的阶段性部署方法的选项。 

总结
本章讨论了本指南中描述的解决方案的目标和过程。 虽然 IT 专业人员充分了解 IPsec 的好处已多年，但由于此技术的复杂性，还是有许多人没有实施它。 实施 IPsec 时，如果解决方案没有过硬的设计、良好规划的部署及可靠的测试方法，则可能会产生严重的后果。

本章中的指南应传达这样的信息：逻辑隔离是另一层安全，它将服务器和域隔离技术与 Windows 平台、IPsec、组策略和 Active Directory 配合使用，以提供可将数据资产面临的风险降至最低的可管理、可扩展的企业解决方案。