當Richard McKinney開始將美國交通部(DOT)遷移到微軟Office 365時，他吸取到了寶貴的影子IT教訓，其他人在升級和鞏固其系統時可借鑒這個教訓。
最近剛剛辭去DOT首席信息官職位的McKinney在職時一直在進行轉型任務，但當部署Office 365時，他很快發現情況的復雜性，數百臺未經授權在網絡中運行而未被發現。
McKinney稱：“當時我們并沒有網絡的總體藍圖。”所以McKinney開始創建這樣的網絡視圖，他聘請了名為Decisive Communications公司來梳理DOT的網絡以及識別在環境中運行的未授權設備。Decisive使用Riverbed的技術來分析其網絡，并迅速發現超過200個以前未檢測到的聯網設備，包括很多仍然在使用默認密碼的設備。
▲Credit: Thinkstock
事實證明，美國交通部的各個行政崗位的工作人員通常不得不自己去加強地方辦事處的網絡能力。16端口的交換機已經用盡，而辦公室仍然在增加更多的工作人員，他們的解決方案可能是去網上購買新的交換機來滿足更多用戶的需求。
“這就像是自助服務，”McKinney稱，“它們更像是消費類設備，而我們會購買更多企業級設備。”
安全和“最薄弱的環節”
對所有這些未經授權網絡設備的發現讓McKinney停下了工作，他開始思考有關DOT系統安全性的問題。畢竟，如果這么多潛在入口點都在網絡運行，而沒有中央管理或可視性，這聽起來非常不安全。此外，由于網絡的平面設計，且沒有整體架構的網絡，攻擊者很容易橫向移動到更敏感的關鍵任務領域。
顯然，這些安全問題比IT問題更重要。
McKinney稱他還對網絡進行了徹底掃描，并沒有發現DOT數據或系統受到攻擊，但他還發現熟練的攻擊者并不會留下任何痕跡。無論如何，McKinney都將其發現報告給了領導層。
由于影子IT相關的安全問題，領導層讓McKinney啟動項目來重新架構DOT的網絡，這個項目仍然在進行中，目前已經給其網絡帶來更集中的控制和更清晰的分區來隔離不同部門的系統。
這一經驗還讓其辦公室更改了新設備進入網絡的內部流程，包括通知不同DOT管理層不能繼續使用未經授權和不受管理網絡設備，設備進入網絡必須通過正式的變更管理流程。
“我認為我們都應該確保對基礎設施和網絡的清晰的了解，我們必須知道我們擁有什么，并且管理所知道的事物。”
京公網安備 11010502049343號