單點 內(nèi)網(wǎng)安全的最后一塊短板

申請免費試用、咨詢電話：400-8352-114

盡管目前多數(shù)企業(yè)都意識到網(wǎng)絡(luò)安全的重要性，在網(wǎng)絡(luò)安全建設(shè)上的投入上也是逐年增加，動輒幾萬、幾十萬的防火墻，殺毒設(shè)備。以及各種安全廠商追捧的網(wǎng)絡(luò)內(nèi)部信息安全管理設(shè)備，但是在蠕蟲，病毒以及危害企業(yè)的間諜軟件的攻擊下依然顯得如此脆弱。那么安全投資增多，企業(yè)損失依然增加的情形什么時候能夠中止呢?依照目前的狀況來看，一定是某個環(huán)節(jié)出現(xiàn)了問題，我們應(yīng)該不遺余力地把它揪出來。

網(wǎng)絡(luò)安全問題究竟出現(xiàn)在什么地方

越來越多的管理者都已經(jīng)發(fā)現(xiàn)解決內(nèi)網(wǎng)的安全問題，是企業(yè)網(wǎng)絡(luò)安全防護的重中之重。

那在整個內(nèi)網(wǎng)中，終端計算機占了網(wǎng)絡(luò)節(jié)點的90%以上，這又充分說明了單點計算機的上網(wǎng)行為管理是整個內(nèi)網(wǎng)安全管理的重點和難點。在最近一段時間終端計算機上網(wǎng)行為管理成為熱點，相應(yīng)的產(chǎn)品和技術(shù)如雨后春筍般的涌出。面對這些五花八門的產(chǎn)品，管理者又將如何選擇呢?

正如國內(nèi)某制造企業(yè)的CIO說：“我們企業(yè)采用了國際上知名的防火墻，以及殺毒設(shè)備。并且在內(nèi)網(wǎng)的管理上，也采用郵件監(jiān)控，端口封堵，URL過濾等技術(shù)。雖然這些對企業(yè)的安全性起到了很好的作用，可是面對上千臺內(nèi)網(wǎng)計算機的上網(wǎng)安全管理問題我真的是無從下手。我已經(jīng)告訴了員工，要安裝防火墻，禁止使用代理，等等，可是真正能夠按照要求做的員工少之又少，真是心有余而力不足呀!”

目前解決終端計算機上網(wǎng)行為安全的普遍方法

1，企業(yè)多數(shù)是停留在出現(xiàn)問題，解決問題這個層面上。無法進行預(yù)先的防范管理，主動權(quán)掌握在終端用戶上。比如：管理者發(fā)現(xiàn)某臺計算機中了病毒，馬上勒令他進行斷開網(wǎng)絡(luò)進行殺毒，如果病毒已經(jīng)傳播開了，就會告訴所有人員進行查殺。這樣無疑浪費了大量的企業(yè)資源，導(dǎo)致企業(yè)工作的停滯，影響工作效率。那么如果其他人又中了其他的病毒、木馬呢?顯然這種管理十分被動，效果也不好。

2，還有一些企業(yè)意識到這個問題，采用了一些桌面安全設(shè)備，進行主動管理?？墒窃趯嵤┑倪^程中發(fā)現(xiàn)每臺終端計算機都需要進行手動配置安全策略。十分繁瑣。如果企業(yè)有幾百甚至上千臺機器呢?如果安全策略進行改變又如何處理?這樣只能使企業(yè)白白投入了大量的資金，最后不了了之。

綜上所述，好的技術(shù)方法必須能夠簡單、快捷、靈活的解決以下出現(xiàn)的安全防護問題。

需要解決的問題分為3個方面

首先，僅靠網(wǎng)絡(luò)邊緣的外圍設(shè)備已經(jīng)無法保證安全性。提供邊界防御的安全網(wǎng)關(guān)無法保護內(nèi)部網(wǎng)絡(luò)段，也無法替代內(nèi)容安全防護措施。即便組織的網(wǎng)絡(luò)出口處運行著防火墻等網(wǎng)絡(luò)周邊安全設(shè)備，病毒和蠕蟲、特洛伊木馬等基于內(nèi)容的惡意行為仍頻繁滲入組織內(nèi)網(wǎng)。

其次，邊緣網(wǎng)關(guān)設(shè)備無法防止來自局域網(wǎng)內(nèi)部的濫用、攻擊和破壞。同時，日益提高的安全過濾和控制要求，以及不斷增加的帶寬需要，也給網(wǎng)關(guān)性能帶來很大壓力。

最后，客戶端的安全級別往往難以保證，這對于內(nèi)網(wǎng)用戶數(shù)量眾多的組織更為如此。使用版本陳舊的操作系統(tǒng)、長時間不更新個人防火墻和殺毒軟件、應(yīng)用具有潛在安全漏洞的軟件，這些都將成為局域網(wǎng)安全中的“短板”。

具體如何實現(xiàn)對終端計算機的上網(wǎng)行為進行控制

只有采用主動的，統(tǒng)一的安全管理策略才能更好的管理終端計算機上網(wǎng)行為。如何才能實現(xiàn)呢?

當(dāng)啟用了安全設(shè)備后，內(nèi)網(wǎng)用戶第一次發(fā)起互聯(lián)網(wǎng)連接請求時，設(shè)備將動態(tài)分發(fā)準(zhǔn)入代理至客戶端主機。準(zhǔn)入代理是輕量級軟件代理，用于確定端點是否遵從管理員設(shè)定的安全策略，準(zhǔn)入代理中可配置用于檢查預(yù)定義的和可定制的標(biāo)準(zhǔn)，包括操作系統(tǒng)、運行程序、系統(tǒng)進程、注冊表的存在/版本/補丁等。當(dāng)準(zhǔn)入代理將搜集到的客戶端信息傳回管理設(shè)備后，當(dāng)內(nèi)網(wǎng)用戶的端點安全狀態(tài)不符合準(zhǔn)入代理的規(guī)則設(shè)置時，管理設(shè)備將對相應(yīng)用戶執(zhí)行預(yù)定義的策略，放行或強制關(guān)閉某項程序或進程，并根據(jù)預(yù)先的設(shè)置進行人性化的提示，使用戶心中有數(shù)。

如果你的一位內(nèi)網(wǎng)用戶矢志不渝地使用某些具有安全隱患的程序，而這一程序可能將病毒、蠕蟲和惡意程序從主機的桌面?zhèn)鞑ブ琳麄€網(wǎng)絡(luò)。這時我們就可以通過建立的規(guī)則將此程序禁用，當(dāng)用戶一旦啟用此程序后，用戶的PC將同互聯(lián)網(wǎng)“隔離”，只有關(guān)閉掉惡意程序才能正常訪問互聯(lián)網(wǎng)，這會使內(nèi)網(wǎng)用戶的網(wǎng)絡(luò)行為更規(guī)范。

而這種技術(shù)提供的可定制的網(wǎng)絡(luò)行為標(biāo)準(zhǔn)可以給網(wǎng)關(guān)管理者更多的權(quán)限和擴展性，通過對程序、注冊表、進程的自定義，管理人員通過管理設(shè)備可以管理幾乎所有的終端在線狀態(tài)，使安全策略更有效地同整體安全防御體系結(jié)為一體。

目前很多安全領(lǐng)域的廠商都在推廣相應(yīng)的解決方案，而微軟也在Vista中嘗試提供相應(yīng)的技術(shù)，以對桌面安全進行進一步的控制。國內(nèi)提供這種主動安全策略有深信服科技的準(zhǔn)入規(guī)則技術(shù)(NAR)，通過定期下載中心端準(zhǔn)入策略，內(nèi)網(wǎng)的客戶機將被根據(jù)安全等級來得到相應(yīng)的互聯(lián)網(wǎng)訪問權(quán)限。另外，深信服的SSL VPN產(chǎn)品也在試圖融入其NAR技術(shù)，以便對遠(yuǎn)程客戶端的接入進行全程掃描，避免不安全的遠(yuǎn)程終端接入內(nèi)網(wǎng)。SSL VPN可以使局域網(wǎng)的應(yīng)用在互聯(lián)網(wǎng)上擴展，但其安全性也受到過一定程度上的質(zhì)疑，把NAR技術(shù)結(jié)合到SSL VPN的登錄認(rèn)證中無疑是一種好的思路。

就像我們熟知的水桶原理，一個水桶能裝多少水，取決于它最短，最差的那塊板。企業(yè)的內(nèi)網(wǎng)安全就好像水桶。不要讓終端計算機的上網(wǎng)管理行為成為企業(yè)安全管理的軟肋。（IT專家網(wǎng)）