UTM講堂之網(wǎng)絡(luò)服務(wù)訪問(wèn)策略
UTM設(shè)備相對(duì)于普通防火墻來(lái)說(shuō)最大的區(qū)別就在于安全策略的全面保護(hù)，普通防火墻只能對(duì)數(shù)據(jù)進(jìn)行簡(jiǎn)單控制而UTM設(shè)備卻可以全面調(diào)用安全防護(hù)表中的各種保護(hù)功能對(duì)進(jìn)出UTM設(shè)備的數(shù)據(jù)進(jìn)行全面掃描。本篇文章所講述的就是如何對(duì)UTM設(shè)備制定并實(shí)施一套完整有效的網(wǎng)絡(luò)服務(wù)訪問(wèn)策略。
制定一套完整有效的安全戰(zhàn)略，一般這種安全戰(zhàn)略分為兩個(gè)層次：網(wǎng)絡(luò)服務(wù)訪問(wèn)策略和UTM設(shè)計(jì)策略。
網(wǎng)絡(luò)服務(wù)訪問(wèn)策略是一種高層次的、具體到事件的策略，主要用于定義在網(wǎng)絡(luò)中允許的或禁止的網(wǎng)絡(luò)服務(wù)，而且還包括對(duì)撥號(hào)訪問(wèn)以及SLIP/PPP連接的限制。這是因?yàn)閷?duì)一種網(wǎng)絡(luò)服務(wù)的限制可能會(huì)促使用戶使用其他的方法，所以其他途徑也應(yīng)受到保護(hù)。例如，如果一個(gè)UTM阻止用戶使用Telnet服務(wù)訪問(wèn)互聯(lián)網(wǎng)，而就有一些人可能會(huì)使用撥號(hào)鏈接來(lái)獲得這種服務(wù)，這樣就可能會(huì)使網(wǎng)絡(luò)受到攻擊。
網(wǎng)絡(luò)服務(wù)訪問(wèn)策略不但是一個(gè)站點(diǎn)安全策略的延伸，而且對(duì)于機(jī)構(gòu)內(nèi)部資源的保護(hù)也應(yīng)起到全局的作用。這種策略可能包括許多事情，從文件切碎條例到病毒掃描程序，從遠(yuǎn)程訪問(wèn)到移動(dòng)存儲(chǔ)介質(zhì)的跟蹤。
一般情況下，一個(gè)UTM只執(zhí)行兩種通用網(wǎng)絡(luò)服務(wù)訪問(wèn)策略中的一個(gè)：允許從內(nèi)部站點(diǎn)訪問(wèn)互聯(lián)網(wǎng)而不允許從互聯(lián)網(wǎng)訪問(wèn)內(nèi)部站點(diǎn)；只允許從互聯(lián)網(wǎng)訪問(wèn)特定的系統(tǒng)，如信息服務(wù)器和電子郵件服務(wù)器。有時(shí)UTM也允許從互聯(lián)網(wǎng)訪問(wèn)幾個(gè)選定的主機(jī)，但只是在確實(shí)有必要時(shí)才這樣做，而且還要加上身份認(rèn)證。
在最高層次，某個(gè)機(jī)構(gòu)的總體戰(zhàn)略可能是如下：
（1）內(nèi)部信息對(duì)于一個(gè)機(jī)構(gòu)的經(jīng)濟(jì)繁榮是至關(guān)重要的；
（2）應(yīng)使用各種經(jīng)濟(jì)實(shí)惠的辦法來(lái)保證信息的機(jī)密性、完整性、真實(shí)性和可用性；
（3）保護(hù)數(shù)據(jù)信息的機(jī)密性、完整性和可用性是高于一切的，是不同層次員工的責(zé)任；
（4）所有信息處理的設(shè)備將被用于經(jīng)過(guò)授權(quán)的任務(wù)。
在這個(gè)普遍原則之下是與具體事情相關(guān)的政策，如公司財(cái)物的使用規(guī)定、信息系統(tǒng)的使用規(guī)定等，UTM的網(wǎng)絡(luò)服務(wù)訪問(wèn)政策就是處在這一層次上的，如圖1所示。
網(wǎng)絡(luò)服務(wù)訪問(wèn)策略配置
為了使UTM能如人所愿地發(fā)揮作用，在實(shí)施UTM策略之前，必須制定相應(yīng)的服務(wù)訪問(wèn)策略，且這種策略一定要具有現(xiàn)實(shí)性和完整性。網(wǎng)絡(luò)服務(wù)訪問(wèn)策略的配置情況如圖3所示?，F(xiàn)實(shí)的策略是在降低網(wǎng)絡(luò)風(fēng)險(xiǎn)和為用戶提供合理的網(wǎng)絡(luò)資源之間做出一個(gè)權(quán)衡。一個(gè)完備的、受到公司管理方面支持的策略可以防止用戶的抵制，不完備的策略可能會(huì)因雇員的不能理解而被忽略，這種策略是名存實(shí)亡的。
【編輯推薦】
