電力行業(yè)內(nèi)網(wǎng)安全管理發(fā)展趨勢及解決方案
內(nèi)網(wǎng)安全管理面臨的問題
當前電力行業(yè)內(nèi)網(wǎng)安全管理面臨不少問題，其中如何有效地對內(nèi)網(wǎng)終端計算機進行管理，困擾了相當多的IT管理人員。這些問題可分為如下幾類：
1) 終端計算機的安全加固
盡管多數(shù)電力企業(yè)對終端計算機的安全加固已經(jīng)采取了部分安全措施，例如安裝了防病毒軟件和個人防火墻軟件，甚至部署了漏洞掃描系統(tǒng)定期對終端計算機進行漏洞掃描，督促用戶及時更新操作系統(tǒng)補丁。但是，這些努力措施卻沒有起到應(yīng)有的效果。首先，企業(yè)管理者不能保證所有的終端用戶都安裝了防病毒軟件和防火墻軟件；其次，即便安裝了這些防護軟件，用戶也常常因為各種原因無法及時更新病毒庫，也不知道如何正確配置防火墻策略；另外，系統(tǒng)漏洞掃描雖然可以獲得終端計算機的補丁缺失情況，但是卻缺乏有效的補丁安裝手段。所有這些因素，均導致終端計算機的安全無法保障。
2) 終端計算機的接入控制
電力行業(yè)企業(yè)一般來說都屬于大中型企業(yè)，內(nèi)網(wǎng)計算機數(shù)量眾多。IT管理人員很難統(tǒng)計內(nèi)網(wǎng)計算機的確切數(shù)量，也無法區(qū)分哪些是內(nèi)網(wǎng)授權(quán)使用的計算機，哪些是外來的非授權(quán)使用的計算機。這種狀況下，很難控制外來人員隨意的計算機接入。很容易導致企業(yè)內(nèi)網(wǎng)機密信息的泄漏，往往等泄密事件發(fā)生了，卻還無法判斷到底是哪一個環(huán)節(jié)出了差錯。
另外，對于內(nèi)網(wǎng)授權(quán)使用的計算機，任何一臺感染了病毒和木馬，IT管理人員也無法及時定位和自動阻斷該計算機的破壞行為。往往需要花費很長的時間才能判斷和定位該計算機，然后再通過手動的方式斷網(wǎng)。對安全強度差的終端計算機缺乏有效的安全狀態(tài)檢測和內(nèi)網(wǎng)接入控制，是IT管理人員比較頭疼的問題之一。
3) 終端計算機的行為監(jiān)控
在電力行業(yè)中，內(nèi)網(wǎng)的建設(shè)和使用的確為企業(yè)提供了效率增長的工具，但是部分企業(yè)卻發(fā)現(xiàn)恰恰正是由于內(nèi)網(wǎng)的使用，反而導致部分員工的工作效率成倍下降。這主要是由于這些員工經(jīng)常利用終端計算機進行與業(yè)務(wù)無關(guān)的互聯(lián)網(wǎng)訪問、文件下載、網(wǎng)絡(luò)聊天、玩計算機游戲。看電影等。首先，這些用戶行為給企業(yè)造成了生產(chǎn)力損失，降低了工作效率；其次，員工對互聯(lián)網(wǎng)的過渡訪問會占用企業(yè)極大的網(wǎng)絡(luò)帶寬，給正常用戶的網(wǎng)絡(luò)使用造成沖擊；另外，上網(wǎng)會增加終端計算機感染病毒和木馬的可能性，給內(nèi)網(wǎng)帶來新的安全隱患和風險。因此，如何規(guī)范員工的終端計算機使用，并對其行為進行控制，給IT管理人員提出了新的課題。
4) 終端計算機的配置管理
對于電力行業(yè)龐大的企業(yè)網(wǎng)絡(luò)和眾多的終端計算機，依靠傳統(tǒng)的資產(chǎn)登記管理辦法，根本無法做到對計算機配置信息的準確掌握，對計算機配置的變化也無法及時跟蹤。例如，要準確掌握每臺計算機的軟硬件配置信息，通過手工方式將是非常耗時和繁瑣的工作。要想實時并準確地掌握內(nèi)網(wǎng)終端計算機的配置狀況與配置變更狀況，必須通過技術(shù)手段和工具來輔助實現(xiàn)，才能有效節(jié)省成本和資源，提高內(nèi)網(wǎng)管理的效率。
5) 終端計算機的遠程維護
對于網(wǎng)絡(luò)規(guī)模普遍較大的電力企業(yè)來說，終端計算機的數(shù)量眾多，IT管理人員無法實時掌握每臺終端計算機的運行狀態(tài)。當終端計算機出現(xiàn)故障需要維護時，IT管理人員如果采用現(xiàn)場維護的方式，一方面增加了人力成本，另外由于人力資源有限，也無法保證維護的及時性。如何實時監(jiān)視終端計算機的運行狀況，并且方便地對終端計算機進行遠程維護，是IT管理人員迫切需要解決的問題。
內(nèi)網(wǎng)安全管理解決方案
針對以上幾類IT管理人員面臨的終端計算機管理問題，隨著近年來網(wǎng)絡(luò)安全焦點從互聯(lián)網(wǎng)向企業(yè)內(nèi)網(wǎng)的轉(zhuǎn)移，電力行業(yè)部分企業(yè)也采取了一些終端管理措施，并取得了一定的效果。隨著企業(yè)信息化水平和IT管理人員技術(shù)水平的提升，電力行業(yè)對內(nèi)網(wǎng)終端計算機的管理逐漸形成了較為完善的、符合本行業(yè)特點的內(nèi)網(wǎng)安全管理解決方案。在探索內(nèi)網(wǎng)安全管理解決方案的同時，也出現(xiàn)了一些新的需求趨勢。
1) 安全加固解決方案
對終端計算機的安全加固可采取的措施有：補丁管理、防病毒軟件監(jiān)測、主機防火墻。這些措施均增強了終端計算機的安全性和健壯性。
補丁管理
通過補丁管理，能夠?qū)?nèi)網(wǎng)終端計算機缺失補丁進行定期檢測和自動安裝與更新，保證系統(tǒng)與軟件缺陷一經(jīng)發(fā)現(xiàn)便可及時修補。通過補丁分發(fā)管理，大大減少了操作系統(tǒng)和應(yīng)用軟件漏洞被利用所造成的安全隱患和經(jīng)濟損失。同時，IT管理人員還可以實時統(tǒng)計當前各終端計算機的補丁缺失情況、補丁安裝情況以及補丁安裝的進度等，得到全網(wǎng)的終端計算機補丁安裝快照。方便了對補丁分發(fā)過程的監(jiān)控。
防病毒軟件監(jiān)測
通過防病毒軟件監(jiān)測，可以判斷終端計算機是否安裝了防病毒軟件、防病毒軟件運行是否正常以及病毒庫是否保持最新等情況。如果以上幾條不滿足設(shè)定的策略要求，監(jiān)測系統(tǒng)可以向IT管理人員發(fā)送報警信息。另外，監(jiān)測系統(tǒng)還可阻斷終端計算機的內(nèi)網(wǎng)接入和內(nèi)網(wǎng)訪問，確保易被感染的終端計算機無法使用內(nèi)網(wǎng)。
主機防火墻
通過主機防火墻，一方面，可以阻斷來自外部的入侵，防止外來入侵給終端計算機帶來危害；另一方面，也可以對終端計算機的網(wǎng)絡(luò)訪問行為進行控制，防止內(nèi)網(wǎng)用戶對網(wǎng)絡(luò)資源的濫用行為，如BT下載導致網(wǎng)絡(luò)帶寬過渡占用。
通過以上加固措施，使得終端計算機的安全強度和抵抗安全風險能力大大提高。更進一步，還可以對未及時更新補丁、未安裝防病毒軟件的計算機進行網(wǎng)絡(luò)訪問控制和隔離，使其形成內(nèi)網(wǎng)中的“孤島”。避免該終端計算機對內(nèi)網(wǎng)其它主機造成安全威脅。
2) 接入控制解決方案
所謂的接入控制，是指對接入內(nèi)網(wǎng)的終端計算機進行身份鑒別或者安全狀態(tài)檢查，阻止未授權(quán)或不安全的終端計算機接入內(nèi)網(wǎng)和訪問內(nèi)網(wǎng)資源。通過接入控制，可以將外來計算機阻擋在內(nèi)網(wǎng)之外，也可以將內(nèi)網(wǎng)中安全性較差（未及時安裝補丁和防火墻軟件）的計算機隔離出內(nèi)網(wǎng)，保證內(nèi)網(wǎng)整體的安全性。
ARP欺騙阻斷
對于非授權(quán)計算機和不安全的計算機可以采用ARP欺騙的方式，用虛假的MAC地址刷新目標計算機的ARP緩存，導致該計算機無法與內(nèi)網(wǎng)其它設(shè)備通訊，達到阻止其訪問網(wǎng)絡(luò)資源的目的。
與交換機聯(lián)動阻斷
更進一步的技術(shù)則是通過與交換機的聯(lián)動，自動判斷接入計算機的交換機接口，如果發(fā)現(xiàn)接入計算機未經(jīng)過授權(quán)或者安全性較差，則通知交換機禁用該計算機所在的端口。徹底阻斷計算機的接入。
以上兩種方式各有優(yōu)缺點，如果能夠配合使用，則可極大提高計算機接入控制能力。通過接入控制，可最大限度地保證內(nèi)網(wǎng)的整體安全性。
3) 行為監(jiān)控解決方案
對于用戶數(shù)量達到上千的電力企業(yè)，如何規(guī)范內(nèi)網(wǎng)用戶行為，是節(jié)約成本、提高效率的關(guān)鍵因素之一。對用戶行為的監(jiān)控，包括用戶網(wǎng)絡(luò)資源的使用是否合理、是否進行了與工作無關(guān)的網(wǎng)絡(luò)訪問等。如：BT下載、MSN/QQ聊天、瀏覽與工作無關(guān)的網(wǎng)站、玩電腦游戲、觀看視頻、聽音樂等。
進程監(jiān)控
通過對終端計算機運行的進程進行監(jiān)控，可以發(fā)現(xiàn)用戶正在運行的程序?？梢酝ㄟ^進程黑名單的方式限制用戶運行某些程序，例如游戲、攻擊工具、視頻播放器、MP3播放器等。限制用戶利用計算機進行與工作無關(guān)的操作。
上網(wǎng)控制
通過對終端計算機的上網(wǎng)控制，可以限定終端計算機的網(wǎng)站訪問、網(wǎng)絡(luò)聊天和BT下載行為，使得終端計算機的用戶行為得到有效控制，既可避免用戶濫用網(wǎng)絡(luò)資源，又能降低隨意瀏覽互聯(lián)網(wǎng)帶來的安全隱患。
內(nèi)網(wǎng)安全管理在電力行業(yè)至關(guān)重要，以上內(nèi)容主要強調(diào)了內(nèi)網(wǎng)安全的問題幾部分解決方案，我們還會在以后的文章中繼續(xù)向大家介紹。
【編輯推薦】
