內網(wǎng)的安全問(wèn)題怎么樣解決

 在真實(shí)的世界里，確實(shí)有很多因技術(shù)因素而造成的內網(wǎng)安全困局，其中最重要的就是混雜平臺問(wèn)題。即使在一些小企業(yè)當中，也可能存在著(zhù)超過(guò)一種以上的操作系統環(huán)境。比如那些需要Windows操作系統處理日常辦公業(yè)務(wù)，同時(shí)又需要iMac進(jìn)行設計工作的廣告公司。而一些組織雖然只使用一個(gè)廠(chǎng)商提供的操作系統，由于計算機硬件配置參差不齊，很難保證使用相同版本的操作系統。

　　就我們所見(jiàn)的一個(gè)酒店客戶(hù)來(lái)說(shuō)，Novell的服務(wù)器系統是經(jīng)常用來(lái)支撐酒店業(yè)務(wù)軟件運行的，而相匹配的終端甚至包括了遺留的DOS系統。通常文件服務(wù)和Web服務(wù)的控制要由windows 2003 Server或更高版本的服務(wù)器操作系統來(lái)完成，而辦公區域則混合著(zhù)從windows 98到Windows XP等不同版本的桌面操作系統。

　　最直接的一點(diǎn)，由于混雜的操作系統種類(lèi)，該酒店的管理員在處理防病毒、補丁更新、數據備份乃至各種內部應用服務(wù)的時(shí)候，都需要為這種情況付出大量的額外努力。

　　而在設備管理和跟蹤的過(guò)程中，也經(jīng)常會(huì )出現一些死角，導致偶有未被登錄在案的計算機節點(diǎn)在網(wǎng)絡(luò )中工作而卻茫然不知?？梢哉f(shuō)，投入到信息安全的成本有很大一部分都因為混雜平臺問(wèn)題而被浪費掉了，這導致的最直接結果就是沒(méi)有更多的資源來(lái)真正提升內網(wǎng)安全防護的質(zhì)量，從而形成了一個(gè)內網(wǎng)安全泥潭。

　　在看到羅列與此的這些問(wèn)題時(shí)，安全管理員一定會(huì )有似曾相識的感覺(jué)。這個(gè)列表中的問(wèn)題都相當常見(jiàn)而且流行，可以作為內網(wǎng)安全的優(yōu)先關(guān)注點(diǎn)，也可以作為在選擇內網(wǎng)安全工具和技術(shù)解決方案時(shí)的映射目標，最重要的是我們需要正確地認識使用哪些技術(shù)可以有效地處理這些問(wèn)題。

　　目前，國內也有很多CIO選擇TIPS安全防護平臺，對內網(wǎng)進(jìn)行有效管理。通過(guò)建立四級的防護體系：首先就是以硬件級防護為基礎，建立可信可控的信息系統;其次，建立四級可信認證機制的縱深防御體系;接著(zhù)是實(shí)現身份鑒別、介質(zhì)管理、數據保護、安全審計、實(shí)時(shí)監控等一系列基本防護要求;最后，安全性、管理性并重，系統既突出安全性，更注重可管理性

　　系統安全補丁自動(dòng)分發(fā)

　　很多管理員都知道微軟提供了應用于企業(yè)內部網(wǎng)絡(luò )的產(chǎn)品補丁更新解決方案，但是卻不見(jiàn)得都部署和使用過(guò)這種方式的更新，畢竟接入互聯(lián)網(wǎng)下載安全更新實(shí)在是太方便了。然而，在現實(shí)的應用環(huán)境中，并不是所有時(shí)候都可以簡(jiǎn)單地讓所有終端計算機都不受控制地接入互聯(lián)網(wǎng)。

　　Windows服務(wù)器更新服務(wù)(WSUS)是相對常用的補丁更新工具，運行于服務(wù)器操作系統上，能夠向各種版本的、包含更新代理機制的桌面Windows操作系統傳遞和部署更新文件。而對于需要重啟控制、計劃安排、更新清單和更豐富管理界面的用戶(hù)來(lái)說(shuō)，付費的系統管理服務(wù)器(SMS)將是一個(gè)不錯的選擇。

　　不過(guò)，在遇到混雜平臺環(huán)境時(shí)，微軟的產(chǎn)品就無(wú)法滿(mǎn)足需要了，企業(yè)可能需要求助于CA的Unicenter這樣的第三方商業(yè)產(chǎn)品來(lái)管理各種不同操作系統的補丁更新。對于Linux等非微軟操作系統來(lái)說(shuō)，對面向企業(yè)應用環(huán)境的更新分發(fā)工具的需要似乎還沒(méi)有那么迫切，不過(guò)隨著(zhù)這些操作系統使用比例的提高，也是該重視起來(lái)的時(shí)候了。

　　加密電子文檔同時(shí)不影響正常使用

　　對于數據安全來(lái)說(shuō)，根據數據所對應的安全等級進(jìn)行適當的加密保護是最基本的手段之一。就那些相對公開(kāi)化的業(yè)務(wù)應用來(lái)說(shuō)，基于公鑰加密和證書(shū)認證等手段的體系是相對比較成熟和流行的，而PKI則是其中最典型的代表。一般常用的CA體系架構相對簡(jiǎn)便，也具有絕大多數用戶(hù)所需的功能。

　　從存儲數據的各個(gè)計算機節點(diǎn)來(lái)說(shuō)，現在有大量免費的加密工具和數據擦除工具可用。不過(guò)其提供的保密級別往往較低，而且在操作系統層以及應用層進(jìn)行加密，往往會(huì )衍生出其他的安全問(wèn)題。對于密級較高的電子文檔，應該盡可能應用BIOS防護卡等硬件設備，限制數據的存取，并通過(guò)芯片級加密保護硬盤(pán)上的數據。

　　另外，目前基于USB接口的存儲設備比如U盤(pán)、移動(dòng)硬盤(pán)等，也可以通過(guò)智能判斷和權限控制功能，來(lái)對其中的數據進(jìn)行更好的安全管理。在更加高端的領(lǐng)域，用戶(hù)可能需要對數據的流向采取非常嚴格的控制，甚至規定必須使用簽收刻錄光盤(pán)的方式來(lái)交換某些數據。對于這類(lèi)問(wèn)題國內廠(chǎng)商已經(jīng)提出了不少有效的解決方案。

　　例如鼎普科技的數據單向導入管理系統就相當具有創(chuàng )新意義，這個(gè)系統利用了光纖單向傳輸的特性，在物理層保證數據的流向正確。在使用過(guò)程中，鼎普科技的設備一端連入存儲涉密數據的計算機終端，一端連入U盤(pán)等數據源，即可實(shí)現數據的安全存入，而不會(huì )出現涉密數據被非法泄漏的問(wèn)題。從中可以看出，作為以文檔加密作為內網(wǎng)安全起點(diǎn)的國內用戶(hù)來(lái)說(shuō)，也許確實(shí)只有國內的廠(chǎng)商才真正了解國內用戶(hù)的需求。

　　防止擴散的無(wú)線(xiàn)信號泄漏組織的有價(jià)值數據

　　以Wi-Fi為代表的無(wú)線(xiàn)局域網(wǎng)技術(shù)似乎已經(jīng)成為便利性與安全性相互制約的一個(gè)經(jīng)典示例了。盡管Wi-Fi本身的安全性一直相對脆弱，但是在內部網(wǎng)絡(luò )中提供無(wú)線(xiàn)接入能力仍舊成為越來(lái)越多企業(yè)的選擇。對于Wi-Fi無(wú)線(xiàn)接入點(diǎn)的管理應該具有相對較高的安全強度和級別，至少不能將其與其它普通的網(wǎng)絡(luò )節點(diǎn)等同視之。

　　應用WPA加密無(wú)線(xiàn)數據通信是必要的，盡管只要攻擊者有足夠的耐心，還是可能從嗅探到的數據中破解密鑰，但是其難度相對于WEP等舊有加密方式來(lái)說(shuō)無(wú)疑要困難得多。如果需要更高的安全級別，可以考慮在無(wú)線(xiàn)鏈路上增加令牌驗證和VPN訪(fǎng)問(wèn)控制等手段，以提供較強的安全控管能力。

　　對各種移動(dòng)終端進(jìn)行接入控制

　　對于筆記本電腦以及越來(lái)越多的智能手機終端，企業(yè)所能做的安全管理似乎總顯得有些力不從心。除了對無(wú)線(xiàn)局域網(wǎng)接入進(jìn)行控制之外，這類(lèi)終端可能引起的問(wèn)題還有很多。藍牙作為極為通用和具有時(shí)尚意味的連接方式，安全性卻存在一些脆弱點(diǎn)。

　　為了更好地和其它藍牙設備進(jìn)行連接，藍牙往往被設置成相對較低的安全認證等級，而事實(shí)上很多設備在出廠(chǎng)時(shí)默認就被設為最低的級別，比如大部分的手機產(chǎn)品都是如此。由于僅在鏈路層提供有限的安全控制，所以藍牙安全更多地依賴(lài)于上層協(xié)議甚至應用層來(lái)進(jìn)行安全管理。

　　想真正實(shí)現藍牙安全應該強制性地在藍牙傳送數據時(shí)結合其它安全驗證措施。雖然這通常很難處理，但不應該被忽視。對于手持設備來(lái)說(shuō)，WAP站點(diǎn)訪(fǎng)問(wèn)是提供業(yè)務(wù)處理和辦公信息獲取的通行方式之一。WTLS協(xié)議雖然出于性能考慮已經(jīng)做了一些簡(jiǎn)化，但是仍是一種具有較高安全性的解決方案。

　　另外一個(gè)通行的原則是盡量將WAP網(wǎng)關(guān)置于防火墻保護之后，因為數據在到達WAP網(wǎng)關(guān)后往往會(huì )被解密而失去了WTLS的保護，在其流出WAP網(wǎng)關(guān)之后往往容易被俘獲。