我的一位朋友创办了一家公司，这是一个有40名员工的小型公司。还有两个人负责安全和IT相关的问题。他正在pipe理公司的局域网，网页，电子邮件configuration，打印机硬件修改，应用程序部署等
在这一点上，提供访问控制，身份validation，Web服务器安全等安全措施。您使用哪些工具来保护，监视和控制系统？ 你在为这些工具付费吗？还是他们是开源的？
这个问题是由于安全pipe理员要求给我的朋友。他提供给公司一些工具，而我的朋友不愿意付这么多钱（他提到了我）。
那么这是前三名：
networking上所有计算机上都有一个体面的反病毒软件包，包括服务器。 理想情况下，扫描电子邮件（例如趋势微型，位防御者，nod32 …理想的是可以集中pipe理的）。
一个带有graphics和入侵防御机制的好防火墙（设置为仅允许基本服务并阻止其他服务）。 （如pfsense，astaro，unangle，cisco pix）
您可以依赖的备份系统。 最好是不在现场的数据副本。 请记住，备份只能恢复。 虽然有些人可能并不认为这是一个安全工具，但它确实为您的数据提供了一些安全保障，以防万一发生灾难性故障。 它并不防范腐败，虽然因为你可以备份损坏的数据。 （如影子保护）。 除此之外，请确保您的所有服务器中至less有镜像的RAID驱动器。
之后，你可以去authentication的networking访问。 通过身份validation的浏览等。如果是Microsoftnetworking，则为每台计算机提供域login的域控制器，并应用域策略以确保内部访问得到正确控制。 例如，您不希望整个组织能够查看/编辑可能存储在内部服务器上的财务数据。
如果你有一个无线局域网，那么通过Radius或类似的方式validation无线局域网。 您需要能够控制对您的LAN的访问。
这就是现在想到的一切。
为了监视，我会推荐你Nagios。 它是免费的，你可以监控你的networking中的一切，它永远不会崩溃。
这里有一个链接： http : //www.nagios.org/
W3AF对于快速渗透testing您的Web服务器非常有用。 它捕捉了很多基本的Web服务器安全问题。 我也使用metasploit框架，但涉及更多。 回溯已经安装了所有的东西。
我build议他们在办公室计算机上安装一个HIPS，并通过企业解决scheme来维护这些应用程序，其中签名是从中央系统推送的。 如果他们负责公司的网页，他们可能会在服务器操作系统上对安全性有些认真的对待，但只是对networking服务器愿意处理的东西有些认真，而且可能不知道客户端的安全性与networking开发有什么关系。 如果他们要代表企业发布应用程序，那么他们需要充分了解应用程序和Web安全性，因为系统安全性只是部分相关的。