SMB如何减少内部安全风险_中国IT运维网www.cnitom.com

许多公司的安全策略都集中在防止外来人员侵入内部网络上。其实，相当大比例的重大安全漏洞都来自于内部。其中一些是早有预谋，而其他则全是无意之过，但是不管是哪种，它们都已经将你的网络和其中的数据置于危险境地之中，可能会导致生产力的损失，和（或）直接经济损失。

当你的企业成长时，确保你的安全策略能够不断满足变化的需求，是非常重要的。尤其是在防护来自内部的威胁时，这一点特别明显，因为以前在小公司环境中还行之有效的方法，在企业变大后，就往往变得不是那么有用了。让我们来看看如何制定一个具有可伸缩性的，针对内部安全漏洞的安全策略。

发展的威胁
当公司很小，雇员只有几人时，内部安全问题的发生机率远比在大型企业中少得多，而其被发现的概率又远比大型企业大得多（反之也同样成立，就是小公司出安全问题的概率大得多，而被发现的概率小得多）。之所以会这样，是有很多原因的。一方面，在小公司环境中，管理者往往和雇员一起工作，所以发生内部安全问题的概率要小得多。因为没有特定的岗位分工，所以雇员们一同工作，同用一台电脑，等等……而不是一个计划中每个人只处理自己的“那一部分”，或是一系列任务中自己只执行特定的某个部分。这同样减少了发生问题的机会，同时大大增加了问题被发现的机会。

但另一方面，小公司里的雇员常常被给予更多的自主权，管理者也相对更被人信任。在这种情况下，对那些试图偷盗数据或带宽的雇员来说，可说是一个良机；就算是不偷数据，他们也可以假公济私的使用公司网络，比如浏览自己感兴趣的网页，发送私人信件，聊天，以及其他事情等等——所有这些活动都可能使网络暴露在风险之中。另外，小公司一般没有专职的IT部门或安全管理人员来执行技术安全考量，一般也没有针对雇员使用网络而制定详细的书面策略。

所以，当在一个很大的企业中，那些相对来说彼此匿名的雇员虽然可能更容易造成安全漏洞，他们也更可能会撞上预先已采取的措施（比如变得更加牢固而难以下手的电脑，被配置得更加安全的防火墙，等等）。

评估内部威胁
内部风险可以被分成几个不同的种类。比如：

商业间谍：雇员可能会被公司的竞争对手招募为商业间谍，窃取相应数据。

恶意/不满雇员：当前离职或近期将离职的雇员，可能会想对网络进行破坏，因为他们在公司感到受了委屈。

无心过失：雇员安装未经授权的软件，打开含有病毒的电子邮件附件，遭到攻击，等等……都会置网络于风险之中。

另外，你也可以将那些能接触到网络的非雇员归类为内部威胁的一种。包括承包人和临时工作人员，制造商，甚至清洁工，以及其他能接触到网络而非公司雇员的人。

当你成长时，发展的安全策略
要想建立一个策略，以解决所有威胁问题，无论你是家大公司还是家小公司，最好的方法是从一开始就部署一个多层策略。你的策略应当同时涵盖行为和技术两个方面。

针对内部漏洞的策略，应当注意解决这些问题：

外部移动介质的管理策略：从而对诸如磁盘，闪盘，USB硬盘，CD/DVD刻录机以及其他类似设备进行管理。许多内部漏洞都是发生在内部人员拷贝公司数据到可移动介质上时，或者是在安装从外部带回的移动介质上的程序之时，或是向网络上传数据时。

邮件附件策略：相当大的一部分内部安全漏洞发生在网络用户打开受感染的邮件附件时，或是经由网络，将公司资料通过邮件附件发送出去。

打印策略：如果无法以电子形式发送或者拿取公司资料，某些内部人员可能会将信息打印出来带走。

下载策略：许多无意中造成的漏洞，是因为在网络上下载了含有恶意代码的信息所造成，然后这些信息向外部攻击者打开了通往网络的大门。

强制执行策略，阻止内部漏洞
仅仅写下一堆书面策略，里面写上“你不可以……”，是不够的。你安全策略的第二层应当是一旦只要可能，就通过技术手段强制执行这些策略。

你可以物理移除或者禁止那些没有相应需要用户电脑上的可移动介质，读卡器，以及其他类似设备。

你可以通过类似GFI的终端安全方案（以前的Portable Storage Control）以控制便携设备的使用。

你可以设定防火墙策略，以阻止Email的附件进出，或者仅允许特定类型的附件进出。内容安全过滤器可以检查附件，以及那些违反策略的标志。

你可以限定对打印机的使用权，并将打印机放在受监督区域，从而让用户们难以打印那些不该打印的资料。

你可以使用类似微软的权限管理服务（Rights Management Services）限制对内部收件人的Email和办公文档进行打印，拷贝或转发。

你也可以设置防火墙以禁止浏览危险的网站，或者仅允许他们浏览已知安全的网站。

总结
开发一个可伸缩的策略，以阻止内部安全漏洞，其要点是：

不要忽视网络内部的安全漏洞风险

专门针对内部漏洞风险，形成书面的策略

分发该策略，并确保所有用户收到该策略后进行签收

通过培训员工如何防止无意之中造成安全漏洞，进一步加强该书面策略。（比如，教育用户养成安全的网络使用习惯，了解打开未知邮件附件的危险性，以及如何识别利用社会工程学的欺诈，等等）

只要可以，就使用技术控制来强制执行策略。