企業(yè)內(nèi)部計(jì)算機(jī)終端應(yīng)用安全問(wèn)題及對(duì)策分析(編輯修改稿)
2025-04-22 23:50 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 慮。整個(gè)終端信息安全管理體系不健全,僅有一些管理的規(guī)章制度,并且這些制度僅僅是停留在紙面上。并沒(méi)有有效的去推行和監(jiān)督制度的執(zhí)行情況。另一方面也沒(méi)有相應(yīng)的機(jī)制去保障相關(guān)制度和規(guī)范的落地執(zhí)行。 員工對(duì)終端信息安全不重視 由于信息安全管理體系中沒(méi)有明確的組織架構(gòu),導(dǎo)致終端信息安全的重要性體現(xiàn)不足。相關(guān)管理人員沒(méi)有有效的權(quán)利推行相關(guān)制度和監(jiān)管制度的執(zhí)行情況。另一方面,員工對(duì)終端信息安全工作的認(rèn)識(shí)不足?？偟膩?lái)說(shuō),傳統(tǒng)安全防護(hù)是對(duì)己知漏洞的防護(hù)還缺乏對(duì)安全風(fēng)險(xiǎn)源頭控制,特別企業(yè)安全來(lái)講,通過(guò)對(duì)各種實(shí)例分析和信息的收集,大量安全隱患來(lái)自終端的網(wǎng)絡(luò),終端給這個(gè)企業(yè)的安全帶來(lái)的風(fēng)險(xiǎn)可以用二八原則定義,80%網(wǎng)絡(luò)安全來(lái)自計(jì)算機(jī)終端,對(duì)于公司來(lái)說(shuō),對(duì)計(jì)算機(jī)終端管理是信息安全管理的重中之重。鑒于公司在計(jì)算機(jī)終端信息安全使用和管理的現(xiàn)狀,以及目前存在問(wèn)題和原因分析,公司結(jié)合自身多年在信息安全領(lǐng)域的實(shí)踐,提出了解決終端信息安全管理的理論方案以及相應(yīng)是實(shí)現(xiàn)方案措施。計(jì)劃開(kāi)發(fā)自主的終端安全策略強(qiáng)制系統(tǒng)和優(yōu)化現(xiàn)有的信息安全管里制度和流程。[67]傳統(tǒng)的防護(hù)體系 傳統(tǒng)安全防護(hù)體系,也就是我們經(jīng)常所說(shuō)的縱深防御,它以部署防火墻、入侵檢測(cè)、防病毒等獨(dú)立安全產(chǎn)品為主要特征。這種體系的優(yōu)點(diǎn)是利用現(xiàn)用安全產(chǎn)品的豐富性進(jìn)行分層分級(jí)的縱深防護(hù),通過(guò)對(duì)安全漏洞不斷深入分析研究,提升整體的安全結(jié)構(gòu)。但是它也存在一定不足,如傳統(tǒng)安全防護(hù)是對(duì)已知漏洞的防范,而且還缺乏對(duì)安全風(fēng)險(xiǎn)源頭控制。 公司的免疫網(wǎng)絡(luò)安逸的理念 針對(duì)企業(yè)安全來(lái)講,要更多考慮端到端的架構(gòu),安全永遠(yuǎn)是三分技術(shù)七分管理,在制定了安全策略和安全制度后,更要考慮的是,如何能保證安全策略的貫徹執(zhí)行？比如說(shuō)一些公司在管理制度上要求所有員工必須及時(shí)打補(bǔ)丁、不允許安裝IM軟件,但是如果員工不執(zhí)行公司的策略,這個(gè)安全策略就是一紙空文。所以安全管理一定要通過(guò)技術(shù)手段來(lái)實(shí)現(xiàn),這就是我們所提倡的免疫網(wǎng)絡(luò)。公司的免疫網(wǎng)絡(luò)安逸的理念基于三點(diǎn)：首先我們倡導(dǎo)從源頭控制,網(wǎng)絡(luò)的大部分不安全因素來(lái)自終端,終端通過(guò)一些非法的軟件、移動(dòng)介質(zhì)引入了很多安全風(fēng)險(xiǎn),所以對(duì)終端的源頭控制,是保障網(wǎng)絡(luò)安全最重要的支撐：其次是對(duì)業(yè)務(wù)系統(tǒng)的健壯性的加強(qiáng),包括漏洞掃描,業(yè)務(wù)評(píng)估,建立安全基線和主機(jī)加固。最后就是管理的概念,怎么實(shí)現(xiàn)風(fēng)險(xiǎn)的統(tǒng)一收集分析、管理和規(guī)避,這在整個(gè)安全體系中是最重要的工作。通過(guò)這個(gè)理念來(lái)實(shí)現(xiàn)端到端,從源頭到業(yè)務(wù)系統(tǒng),乃至整個(gè)網(wǎng)絡(luò)的安全防護(hù)一體化。源頭控制：公司的終端安全方案介紹 公司在自身多年信息安全實(shí)踐中發(fā)現(xiàn)安全的大部分風(fēng)險(xiǎn)來(lái)源于終端。終端不僅威脅其自身的安全,更多對(duì)網(wǎng)絡(luò)和網(wǎng)絡(luò)中的主機(jī)造成極大的威脅。終端還會(huì)造成一些感染性風(fēng)險(xiǎn),比如病毒大規(guī)模散播；還有終端會(huì)濫用網(wǎng)絡(luò)資源,比如終端自身感染病毒會(huì)引起網(wǎng)絡(luò)風(fēng)暴,這也是所有企業(yè)面臨最頭疼的安全問(wèn)題；最后,一些終端進(jìn)行蓄意破壞,比如惡意用戶可以通過(guò)終端來(lái)進(jìn)行網(wǎng)絡(luò)破壞和盜取口令。 如何降低終端對(duì)網(wǎng)絡(luò)及系統(tǒng)構(gòu)成的威脅,要對(duì)終端進(jìn)行相應(yīng)的身份認(rèn)證和安全檢查,實(shí)現(xiàn)一體化的防護(hù),所有終端在進(jìn)入網(wǎng)絡(luò)之前要到安全策略服務(wù)器上認(rèn)證和安全策略檢查,通過(guò)之后才準(zhǔn)許終端系統(tǒng)訪問(wèn)相應(yīng)的業(yè)務(wù)系統(tǒng),這作為整個(gè)安全認(rèn)證第一關(guān),如果不符合要求就要進(jìn)行相應(yīng)安全的修補(bǔ),包括針對(duì)安全策略進(jìn)行檢查,進(jìn)行補(bǔ)丁的下載,進(jìn)行強(qiáng)制殺毒安全權(quán)限的補(bǔ)任,修補(bǔ)之后又進(jìn)行安全檢查,這樣形成一體的循環(huán)。只有被信任之后才能使用這個(gè)業(yè)務(wù)系統(tǒng),這是我們所說(shuō)的對(duì)終端安全管理的基本概念。終端安全管理主要包含以下模塊:(l)網(wǎng)絡(luò)接入控制模塊傳統(tǒng)上來(lái)講,在企業(yè)中終端接入網(wǎng)絡(luò)是沒(méi)有任何控制的,在終端接入網(wǎng)絡(luò)后,在網(wǎng)絡(luò)層是可以訪問(wèn)任何網(wǎng)絡(luò)中的主機(jī)。這樣的話就帶來(lái)了很大的風(fēng)險(xiǎn),然而,根據(jù)工作相關(guān)原則和最小權(quán)限原則,網(wǎng)絡(luò)接入控制可以實(shí)現(xiàn)以下功能：A、終端在接入網(wǎng)絡(luò)之前必須經(jīng)過(guò)身份認(rèn)證。B、終端在身份認(rèn)證后根據(jù)相應(yīng)的權(quán)限確保只能訪問(wèn)相應(yīng)的系統(tǒng),比如市場(chǎng)的員工如無(wú)工作需要不能訪問(wèn)財(cái)務(wù)系統(tǒng)的網(wǎng)絡(luò)。C、終端在接入網(wǎng)絡(luò)后可以進(jìn)行限流,確保這個(gè)終端在中了病毒以后,不會(huì)影響網(wǎng)絡(luò)和網(wǎng)絡(luò)中的其他設(shè)備。D、對(duì)于沒(méi)有合法身份的終端進(jìn)行強(qiáng)制隔離,不允許接入公司的網(wǎng)絡(luò)。(2)終端策略強(qiáng)制模塊終端策略強(qiáng)制模塊是安全管理通過(guò)技術(shù)手段貫徹執(zhí)行的具體體現(xiàn),只有符合公司策略的終端才能接入網(wǎng)絡(luò)。企業(yè)可以根據(jù)自身特點(diǎn)定制安全策略,通過(guò)策略強(qiáng)制來(lái)確保所有終端執(zhí)行公司的策略,否則強(qiáng)制隔離。A、確保終端只能安裝公司批準(zhǔn)的合法軟件B、確保終端不能安裝公司定義的非法軟件C、確保終端在接入網(wǎng)絡(luò)時(shí)加載最新的操作系統(tǒng)補(bǔ)丁、應(yīng)用系統(tǒng)補(bǔ)丁D、確保終端在接入網(wǎng)絡(luò)時(shí)已經(jīng)安裝防病毒軟件,并且病毒庫(kù)更新到最新版本(3)終端行為審計(jì)模塊終端行為審計(jì)模塊可以幫助公司安全人員對(duì)安全策略的執(zhí)行情況進(jìn)行檢查分析,用戶也可以通過(guò)工具進(jìn)行自檢。A、用戶可以自助檢查終端是否符合公司的策略,如果不符合,可以按照提示先行修復(fù)。B、審計(jì)員可以通過(guò)工具下載審計(jì)任務(wù),自動(dòng)檢查出不符合公司策略的終端。C、審計(jì)員可以監(jiān)控終端的可疑行為,如使用USB硬盤(pán)等。D、可以方便公司進(jìn)行資產(chǎn)管理。模塊功能介紹 (1)安全配置服務(wù)器：管理員通過(guò)安全配置服務(wù)器配置企業(yè)的多種安全策略,管理維護(hù)補(bǔ)丁文件和病毒特征碼,提供個(gè)性化補(bǔ)丁下載,為用戶提供安全設(shè)置指導(dǎo)。(2)安全認(rèn)證服務(wù)器：根據(jù)配置好的安全策略,對(duì)計(jì)算機(jī)終端進(jìn)行安全策略認(rèn)證,如果計(jì)算機(jī)終端安全符合公司策略,則通知網(wǎng)絡(luò)接入設(shè)備開(kāi)放網(wǎng)絡(luò)權(quán)限,允許用戶上網(wǎng)；如果計(jì)算機(jī)終端安全不符合公司策略,則給計(jì)算機(jī)終端代理服務(wù)器發(fā)送錯(cuò)誤信息,隔離該計(jì)算機(jī)終端,同時(shí)該服務(wù)器存放公司安全策略和日志信息。(3)計(jì)算機(jī)終端代理服務(wù)器：計(jì)算機(jī)終端代理服務(wù)器負(fù)責(zé)收集計(jì)算機(jī)終端和安全相關(guān)的信息,同時(shí)通過(guò)網(wǎng)絡(luò)發(fā)送到安全認(rèn)證服務(wù)器進(jìn)行認(rèn)證,如果計(jì)算機(jī)終端安全策略不符合公司信息安全策略,則給用戶提示錯(cuò)誤信息,并引導(dǎo)用戶到安全配置服務(wù)器進(jìn)行個(gè)性化的安全配置。(4)網(wǎng)絡(luò)接入服務(wù)器:根據(jù)安全認(rèn)證服務(wù)器發(fā)送的信息,處理計(jì)算機(jī)終端上網(wǎng)權(quán)限,以隔離危險(xiǎn)機(jī)器,防止未打補(bǔ)丁機(jī)器連接網(wǎng)絡(luò)感染病毒,防止感染了病毒的計(jì)算機(jī)終端進(jìn)一步感染其他計(jì)算機(jī)終端。功能實(shí)現(xiàn)過(guò)程介紹 (l)管理員配置策略：管理員在安全配置服務(wù)器上配置企業(yè)的安全策略,可以按組確定計(jì)算機(jī)終端必須安裝的軟件、補(bǔ)丁和其他一些安全設(shè)置,形成企業(yè)的安全策略。(2)用戶接入公司網(wǎng)絡(luò)過(guò)程說(shuō)明A、用戶主機(jī)配置成通過(guò)DHCP動(dòng)態(tài)獲取IP地址后,用戶主機(jī)初始化并發(fā)送DHCP請(qǐng)求報(bào)文,該報(bào)文經(jīng)用戶側(cè)設(shè)備(LAN Switch)轉(zhuǎn)發(fā)到NAS設(shè)備。B、NAS設(shè)備實(shí)現(xiàn)DHCP中繼功能,將該請(qǐng)求報(bào)文轉(zhuǎn)發(fā)至DHCP服務(wù)器。C、DHCP服務(wù)器對(duì)用戶的DHCP申請(qǐng)報(bào)文進(jìn)行響應(yīng),并通過(guò)響應(yīng)報(bào)文為用戶分配IP地址。D、NAS設(shè)備接收到DHCP Server的DHCP響應(yīng)報(bào)文后,轉(zhuǎn)發(fā)到相應(yīng)的用戶主機(jī),并在NAS設(shè)備內(nèi)部形成IP地址、MAC地址和VLAN端口
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1