企業面臨“內憂” 堵住內網安全漏洞(2)

很明顯，雖然近八成企業都部署了殺毒軟件和防火墻，但這正好說明企業在網絡安全建設過程中，外網安全是優先經歷的階段，而接下來的重點則在內網安全。

那么，內網安全建設應該從何處下手呢，首先，我們可以從“企業網絡中發生安全事件的原因通常包括有哪些”這一問題的調查結果看，有48.7%的用戶選擇“網絡或軟件配置錯誤”，28.3%的用戶選擇“管理員弱口令”，62.8%的用戶選擇“系統漏洞”，74.3%的用戶選擇“員工安全意識淡薄、管理不到位”，15.0%的用戶選擇“DDoS攻擊”。

顯然，“員工安全意識淡薄、管理不到位”是企業發生網絡安全事件的最普遍原因，這與很多企業CIO的看法也是一致。

山西省大同市陽高縣畜牧服務中心飼料牧草管理站站長杭軍表示，影響內網安全管理的因素很多，其中，用戶的認識水平、重視程度及使用習慣，尤其是普通用戶的安全意識和相關管理人員的管理水平，尤為重要。

同樣，在吉林吉恩鎳業股份有限公司信息中心主任周軍利看來，保障內網安全，首先需要制訂科學完善的內網安全管理制度，從要制度上規范員工上網行為，其次要加大制度的執行和考核力度，讓員工自覺樹立信息安全意識，最后就是使用先進的內網安全管理產品，從技術上保障內網安全。

從“偏安全”到“偏管理”

從技術角度講，內網安全包含的內容其實很多，比如如何發現客戶端設備的系統漏洞并自動分發補丁，如何防范移動存儲設備隨意介入內網、如何防范內網設備非法外聯，如何點對點控制異常客戶端的運行，如何防范內部涉密信息泄露等。

換句話說，與防范外網安全主要集中于邊界部署不同，保障內網安全需要涉及的環節較多，相應的產品部署也相對更加多樣。比如有的側重內網終端防護，有的側重流量和上網行為控制，有的側重監控審計，有的側重身份認證或信息加密等。

萬俊介紹，過去幾年，人們對于內網安全的管理主要偏向于防止信息泄密，因此，嚴格控制電腦終端的外設及各類端口成為各大廠商產品方案的重點訴求。

然而，隨著網絡安全形勢的不斷演變，企業用戶開始不僅滿足于對電腦終端的監控，而是希望從管理的角度對內網安全進行防護。比如本文開頭所說的那家造船廠，通過內網審計系統鎖定非法操作，再比如統計網絡流量、補丁分發以及系統軟硬件的升級管理等。

這在本次調查也有所反映。“在內網安全管理方面，貴公司期望在哪個部分得到加強”，有51.3%的用戶選擇了“監控審計”，26.5%的用戶選擇了“桌面管理”，14.2%的用戶選擇了“文檔加密”，8.0%的用戶選擇了“磁盤加密”。

事實上，為了滿足用戶需求，廠商的產品策略上也在隨之跟進。“當然，我們在產品策略上也從最初單純的監控審計，到現在把監控審計和管理相結合，走向偏重管理的方向。”萬俊表示，“畢竟，內網安全的重心已經從偏重安全轉移到偏重管理，內網的概念已不僅集中在涉密這塊，許多非涉密企業、非涉密業務也開始從管理的角度落實內網安全。”

在實踐應用中，偏重管理就是要求企業在運用內網功能的時候，不是為了在事后進行補救，而是一方面可以做到預防危險的發生，另一方面把公司一些理念、文化都能在計算機內網監控中得到體現。比如鼎普科技最新研發的“獵隼”網絡信息監測系統，這個系統通過對所有網絡的內容進行解析，能夠及時阻止內部的計算機通過互聯網發生的敏感信息泄露，快速定位追查源頭，防止違規事件發生。它還能對整個網絡及計算機用戶上網行為、網絡流量進行監控，幫助網絡高效、穩定、安全的運行，為信息化建設及管理提供有效的技術支撐。

打造立體防御體系

“未來一年，貴公司是否制定了進一步加強內網安全管理的計劃”，結果顯示，41.6%的企業表示有，32.7%的用戶表示暫時沒有，25.7%的用戶表示不確定。可見，有四成多的用戶打算加強內網安全部署。

不過，涉及內網安全的因素非常多，產品形式也比較多樣，在哪些環節如何部署就顯得非常重要。總體而言，內網安全集中關注的對象包括引起信息安全威脅的內網用戶、應用環境、應用環境邊界和內網通信安全，因此，如何在企業內網構建一個有機統一的安全控制系統，實現立體式實時監管，才是實施內網安全部署的關鍵所在。

在萬俊看來，保障內網安全不能僅靠各種功用安全產品的堆疊，而需要由單純的安全產品部署上升到如何實現可信、可控的立體防護體系。比如通過四級可信認證機制，則可以讓系統既突出安全性，有注重管理性。

第一級認證：基于硬件級別的安全防護和訪問控制。在最底層實現對計算機終端進行物理安全加固，例如使用鼎普計算機安全防護卡從BIOS級實現登錄認證和全盤數據保護，一方面可以杜絕非法用戶從光盤啟動繞過軟件防護竊取數據，同時還可令用戶不能隨意安裝操作系統、卸載已安裝的軟件系統改變現有安全環境。

第二級認證：基于操作系統的身份認證和文件保護。采用基于USB-KEY的雙因素認證技術實現操作系統登錄的可信可控，即在計算機硬件啟動之后，可以限制用戶權限，如是否可以進一步登錄操作系統，以及可以進行何種權限的文件操作，文件如何安全存放以及安全刪除。

第三級認證：實現對程序安裝運行的授權控制。對應用程序進行黑白名單控制，只有經過管理員簽名授權的程序才能在單機終端上運行使用，進一步規范終端用戶的軟件程序使用行為，可以最大程度防止程序的隨意安裝使用帶來的病毒、木馬的傳播。

第四級認證：實現可信計算機接入內網的認證管理。網絡邊界的安全可控是內網安全的基本問題，通過基于802.1X認證協議的可信終端認證子系統，實現網絡的安全接入——只有經過授權許可的可信、可控、健康計算機才能接入到內網，并對入終端的運行、健康狀態進行實時監控，通過創新的技術理念打造出一個信得過、進得來、控得住的健康可信內部網絡。如果不健康，防護系統會采取進一步措施，如報警、斷網等。

在建立以上四級可信認證機制的縱深防御體系基礎上，企業用戶還要實現身份鑒別、介質管理、數據保護、安全審計、實時監控等防護要求，如此才能達到扎實有效的安全效果。
如果有需要服務器的租用與托管的敬請聯系QQ：１５０１２８１７５８（億恩星辰）　　　聯系電話：０３７１—６３３２２２２０

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]