防火墙是内嵌式部署而网络活动仍在继续时,有时会采用这　一原则。在这种情况下,可以部署防火墙而不影响正常的业务运行。　一些站点可能会内嵌式部署防火墙,设置并使用日志捕获信息,以便识别常见的、　成功的攻击。在这种情况下,部分网络可能会遭受攻击。但是,基于记录的信息,　网络管理员可以更好地了解　LAN　中的常见攻击。例如,对于　Junos　OS,这种部署　方法会让管理员更清楚地了解要实施的合适防火墙过滤表和阈值。　注意　步骤　4.　确定允许使用的通信　定义可接受的使用策略,用于指定允许和拒绝的网络活动类型。可接受的使用策略　明确指出允许用于　LAN　的服务和应用程序、允许使用的　Internet　Web　服务和应用　程序。　定义防火墙策略之前,您需要了解和描述您的网络环境,包括目前在网络上使用的　应用程序。在一些情况下,网络管理员并不知道员工使用的一些应用程序,特别与　使用　Internet　有关的应用程序。例如,雇主可能并不清楚员工是否使用即时消息服　务或类似的应用程序,而员工也许没有意识到这类应用在网络中打开了入口,使攻　击者易于进入。　最佳实践是维护一个列表,这一列表包括允许的应用和服务、与它们有关的已知　安全风险、用于保护这些应用和服务。可以在企业内部网上维护此类信息并提供　给员工。　同样重要的是,理解和记录组织内基于员工角色工作流,以及每个角色允许和需　要运行的应用。要维护这些信息,请使用您购买的软件应用程序的工作流程记录　功能。　表3提供了如何描述用于此目的的信息的简单示例。　6　表3员工角色、访问权限、允许使用的服务和应用程序　员工角色　访问权限　允许使用的协议、　服务和员工使用的应用　银行出纳员　允许访问公司总部的客户支票和储蓄记录数　据库。　允许出纳员访问银行应用程序。　不允许访问　Internet。　　　客户端软件,用于访问数据库服务器上　的交易处理软件　　　TellPro　Accounting　　　专用的定制应用程序　银行经理　允许访问企业总部的两个数据库服务器:客户支　票和储蓄记录以及客户的特殊服务记录。　允许访问　Microsoft　Office　365　业务应用程序套　件,以便进行管理和　Internet　访问。　　　客户端软件,用于访问数据库服务器上　的交易和特殊服务软件　　　Microsoft　Office　365　