我的一个朋友开了一家公司，是一家有40名员工的小型公司，有两个人负责安全和IT相关问题，他管理公司的局域网，网页，电子邮件配置，打印机硬件修改，应用程序部署等。
在此，提供安全措施，包括访问控制、身份验证、Web 服务器安全等。您使用哪些工具来保护、监控和控制系统？您是否为这些工具付费，还是它们是开源的？
这个问题是由于安全管理员向我的朋友提出的请求。他提出为公司购买一些工具，而我的朋友犹豫是否要为它们支付那么多钱（他提到了我）。
答案1
以下是前三名：
网络上所有计算机（包括服务器）上都应安装一个不错的防病毒软件包。理想情况下，在收到电子邮件时进行扫描。（例如 Trend micro、bit defender、nod32……理想情况下，这些软件包可以集中管理）。
具有图形和入侵防御机制的良好防火墙（设置为仅允许基本服务并阻止其余服务）。（例如 pfsense、astaro、untangle、cisco pix）
一个您可以信赖的备份系统。最好是异地数据的副本。请记住，备份的好坏取决于恢复能力。虽然有些人可能不认为这是一种安全工具，但它确实在发生灾难性故障时为您的数据提供了一定的安全性。但它不能防止损坏，因为您可以备份损坏的数据。（例如影子保护）。除此之外，请确保您的所有服务器中至少有镜像 RAID 驱动器。
之后，您可以进入经过身份验证的网络访问。经过身份验证的浏览等。如果是 Microsoft 网络，则域控制器将为每台计算机提供域登录，并应用域策略以确保内部访问得到正确控制。例如，您不希望整个组织能够查看/编辑可能存储在内部服务器上的财务数据。
如果您有无线局域网，则可以通过 Radius 或类似方式对无线局域网进行身份验证。您需要能够控制对局域网的访问。
这就是我现在想到的全部。
答案2
对于监控，我推荐你使用 Nagios。它是免费的，你可以监控网络中的所有内容，而且它永远不会崩溃。
这里有一个链接：http://www.nagios.org/
答案3
W3AF 非常适合快速渗透测试您的 Web 服务器。它可以发现许多基本的 Web 服务器安全问题。我还使用 metasploit 框架，但这个框架更复杂。Backtrack 已安装所有这些东西。
答案4
我建议他们在办公室电脑上安装 HIPS，并通过企业解决方案维护这些电脑，其中签名从中央系统推送。如果他们负责公司网页，他们可能会非常重视其服务器操作系统的安全性，但只会非常重视该网络服务器愿意处理的内容，并且可能不知道与网络开发相关的客户端安全性是什么。如果他们要代表企业发布应用程序，那么他们需要充分了解应用程序和网络安全，因为系统安全性只是部分相关。