對于廣大的信息安全管理者而言，現有的網絡安全防護手段大多強調對來自外部的主動攻擊進行預防，檢測以及處理，而授予內部主機更多的信任。但是，2011年最新統計數字表明，相當多的安全事件是由內網用戶有意或無意的誤用造成的。為保護內網的安全，一些單位將內網與外網物理隔離，或者將內部通過統一的網關接入外網，并在網關處架設防火墻，IPS,IDS等安全監控設備，盡管各單位都加強了對內網的安全管理，可泄密事件仍時有發生，這充分說明了對內網安全監測的復雜性。本文將全面分析機構內網面臨的諸多安全漏洞風險，并簡要闡述相關漏洞的解決之道。
內網安全的威脅分析
內網主機間大多以局域網的方式進行互連，這些主機形成以物理互連，邏輯隔離的方式共存，但為實現主機間的資料共享及數據通信需求，又不得讓其之間建立各種互信關系，因此某臺主機的有意或無意的誤操作都會對整網主機的安全性造成威脅。內網安全威脅主要分為以下幾類：
·內網邏輯邊界不完整
無線技術的迅猛發展讓隨時隨地接入Internet這一想法成為現實，在驚嘆先進的無線技術為我們的生活帶來便利的同時，也對我們的網絡管理人員提出了更多的要求。在內外網隔離的環境中，如何確保內網邊界的完整性，杜絕因網絡邊界被破壞，造成有不明終端穿越網絡邊界接入。網絡邊界的防護不能僅限于網絡出口的保護，而應該是所有網絡邊界的防護，并更應該側重于網絡入口處的保護。
·缺乏有效身份認證機制
內部主機使用者缺乏特定的身份識別機制，只需一根網線或者在局域網AP信號覆蓋的范圍之內，即可連入內部網絡獲取機密文件資料。內網猶如一座空門大宅，任何人都可以隨意進入。
·缺乏訪問權限控制機制
企業或政府單位網絡大體上可以分為兩大區域：其一是辦公或生產區域，其二是服務資源共享區域，目前上述兩大邏輯網絡物理上共存，并且尚未做明確的邏輯上的隔離。辦公區域的人員可隨意對服務資源共享區域的資源進行訪問，另外需要的注意的是，來賓用戶在默認情況下，只要其接入內部網絡并開通其網絡訪問權限，相應的內部服務資源的訪問權限也將一并開通，內網機密文件資源此時將赤裸暴露于外部。
·移動存儲設備的濫用
隨著數字電路技術的發展，小體積大容量的U盤已成為備受人們喜愛的文件交換與共享工具，U盤的普遍應用促使黑客開發出一種有針對性的惡意軟件，如臭名昭著的Conficker蠕蟲。這種蠕蟲能夠在連接到USB端口的時候自動執行。更嚴重的是默認的操作系統設置一般都允許大多數程序（包括惡意程序）自動運行。這相當于你的鄰居每一個人都有一把你的電子車庫門的鑰匙，并且利用這個鑰匙打開其他人的車庫門。
·內網主機漏洞
現有企業中大多采用微軟系列的產品，而微軟系列產品的特點就是補丁特別多，包括IE補丁、office辦公軟件、以及操作系統等。如果這些補丁不及時打上的話，一旦被黑客所利用，將會作為進一步攻擊內網其他主機的跳板，引發更大的內網安全事故，如近年來爆發的各種蠕蟲病毒大都是利用這種攻擊方式。
內網安全的解決之道
在我們對內網中所存在的安全漏洞進行逐個分析后，我們不難發現內網安全與外網安全管理一樣重要，相比之下更有難度，究其主要原因在于：內網安全管理面比較大，終端數較多，終端使用者的IT技能水平層次不齊。這就對我們的內網安全管理提出了一定的要求，例如可實現對全網的統一管理；對內網所面臨的安全威脅能夠提供整體的、智能化的解決方案，能夠及時響應內網中存在的安全隱患問題等等。
2011年被IT業界喻為中國的內網安全建設年，國家針對分級保護、密鑰管理和電子認證系統建設均出臺了系列政策，要求切實加強推進工作；一些政府部門或行業機構也紛紛出臺了內網安全的相關制度文件和行業標準。在即將到來的2012，內網安全將進一步作為各政府機構和企事業單位的工作重點，對于內網安全的綜合性解決方案也將幫助各管理者加固好網絡安全的最后一塊短板。
京公網安備 11010502049343號