從訪問控制的角度，分析傳統(tǒng)的企業(yè)網(wǎng)絡(luò)的安全狀況，存在三種嚴(yán)重的安全缺陷。（1）不能保證企業(yè)網(wǎng)內(nèi)主機(jī)可信，即沒有明確的企業(yè)網(wǎng)安全設(shè)備邊界，這樣造成的嚴(yán)重安全隱患是惡意主機(jī)可以方便地接入企業(yè)網(wǎng)絡(luò)，進(jìn)行恣意的網(wǎng)絡(luò)破壞和竊密活動(dòng)。（2）不能保證企業(yè)網(wǎng)內(nèi)用戶的可信，即沒有明確的企業(yè)網(wǎng)安全用戶邊界，這樣不僅造成終端使用者行為不可控，而且造成了他們的行為不能有效審計(jì)，在安全事故發(fā)生后，出現(xiàn)了難以有效追蹤和定位泄露源以及追究泄密者安全責(zé)任的尷尬局面。（3）不能保證服務(wù)資源的使用者可信，即沒有可靠的服務(wù)資源的安全使用邊界，因此惡意竊密者可以利用可以接觸的網(wǎng)內(nèi)任意主機(jī)進(jìn)行暴力攻擊（如密碼的字典攻擊）和旁路攻擊（如繞過信息系統(tǒng)的認(rèn)證機(jī)制，直接登入該信息系統(tǒng)依賴的數(shù)據(jù)庫(kù)）而竊密網(wǎng)絡(luò)內(nèi)重要的服務(wù)資源。

因此，為了保障企業(yè)網(wǎng)的安全，必須要保證網(wǎng)內(nèi)所有接入主機(jī)可信，保證網(wǎng)內(nèi)所有接入用戶可信，以及保證服務(wù)資源的使用者可信。

u       單位的計(jì)算機(jī)數(shù)量越來越多，無法集中管理；

u       不清楚哪些用戶能夠使用計(jì)算機(jī)或者正在使用計(jì)算機(jī)；

u       用戶可以隨意地登錄其同事的計(jì)算機(jī)并獲取一些敏感數(shù)據(jù)；

u       外部筆記本電腦接入內(nèi)部網(wǎng)絡(luò)，獲取敏感數(shù)據(jù)或進(jìn)行網(wǎng)絡(luò)破壞活動(dòng)；

u       隨意進(jìn)入敏感服務(wù)器并獲取非授權(quán)資料；

u       帳號(hào)/口令的用戶認(rèn)證方式太脆弱，容易被竊取。

u       計(jì)算機(jī)集中管理。對(duì)內(nèi)網(wǎng)中的所有計(jì)算機(jī)信息采集后統(tǒng)一進(jìn)行顯示和管理，采集的信息包括終端計(jì)算機(jī)ID、名稱、IP地址、版本、所屬組等?？梢葬槍?duì)特定的計(jì)算機(jī)設(shè)置規(guī)則和策略。

u       用戶集中管理。對(duì)內(nèi)網(wǎng)中的所有用戶進(jìn)行統(tǒng)一分配和管理，可以針對(duì)特定的用戶設(shè)置規(guī)則和策略。提供用戶ID和USB令牌兩種模式來標(biāo)識(shí)用戶。

u       用戶登錄授權(quán)?？梢栽O(shè)定某個(gè)用戶能夠使用哪些計(jì)算機(jī)，也可以設(shè)定某臺(tái)計(jì)算機(jī)只允許指定的一個(gè)或者多個(gè)用戶使用。同時(shí)記錄用戶登錄計(jì)算機(jī)的信息，包括登錄時(shí)間，登錄用戶名等。

u       計(jì)算機(jī)接入認(rèn)證。任何接入內(nèi)部網(wǎng)絡(luò)的計(jì)算機(jī)都必須安裝NiordSec內(nèi)網(wǎng)安全平臺(tái)，未經(jīng)許可的計(jì)算機(jī)將被隔離在內(nèi)網(wǎng)之外。

u       服務(wù)資源分布式授權(quán)和審計(jì)。對(duì)內(nèi)部業(yè)務(wù)服務(wù)器群細(xì)粒度的統(tǒng)一身份認(rèn)證，各類業(yè)務(wù)應(yīng)用服務(wù)器、數(shù)據(jù)庫(kù)服務(wù)器都在保護(hù)的范圍之內(nèi)。同時(shí)提供對(duì)服務(wù)器資源的訪問操作進(jìn)行日志記錄。

u       身份認(rèn)證擴(kuò)展功能。除了用戶ID和USB令牌兩種身份標(biāo)識(shí)模式外，還提供了智能存儲(chǔ)型USB硬件認(rèn)證設(shè)備、智能指紋型USB硬件認(rèn)證設(shè)備以及數(shù)字證書的支持。

為了提高企業(yè)或單位的競(jìng)爭(zhēng)力，現(xiàn)今幾乎所有的辦公環(huán)境都已實(shí)現(xiàn)了計(jì)算機(jī)化，它們?cè)诰W(wǎng)絡(luò)中共同或獨(dú)立地處理任務(wù)。隨著計(jì)算機(jī)數(shù)量的快速增長(zhǎng)，網(wǎng)絡(luò)也變得越來越復(fù)雜，使得管理員不僅要處理單機(jī)問題，還要處理復(fù)雜的網(wǎng)絡(luò)問題。如果每一個(gè)問題的出現(xiàn)都需要管理員親自到現(xiàn)場(chǎng)去維護(hù)，顯然會(huì)使他們感到工作繁重，最終導(dǎo)致效率低下。另外，企業(yè)或單位的敏感信息以及員工的行為需要得到有效的控制：一是杜絕員工的非許可行為，如工作時(shí)間處理工作以外的事情；二是對(duì)敏感信息的操作監(jiān)視和外泄控制，如將信息通過外設(shè)拷貝或傳輸?shù)狡髽I(yè)外部，對(duì)敏感文檔執(zhí)行了不該執(zhí)行的操作等。因此，如何針對(duì)日益增加的計(jì)算機(jī)進(jìn)行遠(yuǎn)程清查、控制和管理，使得管理員不用到現(xiàn)場(chǎng)就可以解決終端發(fā)生的眾多問題，是桌面管理非常值得關(guān)注的問題。

u       計(jì)算機(jī)軟、硬件數(shù)量無法確實(shí)掌握，盤點(diǎn)困難；

u       無法有效防止員工私裝軟件，造成非法版權(quán)使用威脅；

u       硬件設(shè)備私下挪用、竊取，造成財(cái)產(chǎn)損失；

u       應(yīng)用軟件購(gòu)買后，員工真正使用狀況如何，無從分析；

u       員工在工作時(shí)間處理與工作無關(guān)的事情；

u       員工通過移動(dòng)磁盤拷貝、刻錄、打印、非法撥號(hào)外聯(lián)等途徑將內(nèi)部資料泄露到外部；

u       對(duì)于特定類型的敏感信息，無法對(duì)其操作進(jìn)行監(jiān)視；

u       無法統(tǒng)計(jì)終端的軟、硬件信息，從而掌握企業(yè)或單位的資產(chǎn)，并能跟蹤資產(chǎn)的變更情況；

u       無法按照企業(yè)或單位的統(tǒng)一規(guī)劃、分發(fā)及自動(dòng)安裝軟件和補(bǔ)丁；

u       無法即時(shí)發(fā)送公告，通知終端用戶某類消息或工作指令，或者終端用戶即時(shí)發(fā)送公告給管理員，請(qǐng)求解決某類問題；

u       無法監(jiān)視終端用戶的桌面，掌握終端的運(yùn)行進(jìn)程以及CPU、內(nèi)存和磁盤的使用狀況，從而約束他們的行為；

u       不能夠查看和控制終端的帳戶和共享，減少信息外泄的風(fēng)險(xiǎn)；

u       居高不下的信息化資源成本，不知如何改善。

u       敏感信息拿不走。系統(tǒng)提供外設(shè)管理功能，通過控制終端外設(shè)的使用，實(shí)現(xiàn)終端用戶在非授權(quán)的條件下無法拷貝或傳輸敏感信息到企業(yè)或單位外部。

u       敏感信息看不懂。系統(tǒng)通過透明加、解密敏感信息，實(shí)現(xiàn)非授權(quán)用戶即使帶走了敏感信息也無法閱讀。

u       文件操作強(qiáng)審計(jì)。系統(tǒng)提供文件控制功能，通過嚴(yán)密審計(jì)敏感文檔的操作，實(shí)現(xiàn)用戶違規(guī)操作的事后追查；

u       用戶行為的可監(jiān)控。在監(jiān)視方面，系統(tǒng)提供遠(yuǎn)程終端監(jiān)視功能，使管理員可以實(shí)時(shí)地監(jiān)控用戶正在運(yùn)行的應(yīng)用程序、桌面狀況、內(nèi)存和硬盤的使用狀況等。如果某個(gè)用戶的行為不符合企業(yè)或單位的規(guī)定，則可通過鎖定或截屏操作終止其行為或進(jìn)行實(shí)時(shí)取證。在控制方面，系統(tǒng)提供進(jìn)程控制功能，控制用戶是否允許運(yùn)行某個(gè)程序。該功能一方面可以規(guī)范用戶的行為，有效提高員工的工作效率，另一方面也保證了終端的穩(wěn)定性，防止病毒的攻擊。

u       終端資產(chǎn)的可計(jì)量。管理員能夠?qū)K端的軟、硬件資產(chǎn)進(jìn)行統(tǒng)計(jì)，并能跟蹤其變更，防止企業(yè)或單位資產(chǎn)的流失。

u       數(shù)據(jù)分發(fā)的可自動(dòng)。管理員能夠?qū)⑽臋n、軟件或補(bǔ)丁分發(fā)給終端，并根據(jù)它們的性質(zhì)選擇存儲(chǔ)、安裝或執(zhí)行。

u       信息交互的可即時(shí)。管理員和終端用戶之間的信息交流，用于企業(yè)或單位內(nèi)公告的發(fā)布和反饋。

從用戶的網(wǎng)絡(luò)行為的角度，分析傳統(tǒng)的企業(yè)網(wǎng)絡(luò)的安全和管理狀況，存在三個(gè)方面的缺陷。（1）不能保證網(wǎng)絡(luò)的可用性，隨著網(wǎng)絡(luò)病毒的泛濫，特別是針對(duì)企業(yè)網(wǎng)的ARP病毒的泛濫，造成網(wǎng)絡(luò)時(shí)常癱瘓，網(wǎng)絡(luò)資源無法共享。雖然企業(yè)網(wǎng)大多配置有效的殺毒軟件，但是實(shí)踐表明再先進(jìn)的殺毒軟件面對(duì)新的病毒都具有遲后性，根本無法保證網(wǎng)絡(luò)的安全可用。此外，由于IP地址是主機(jī)在企業(yè)網(wǎng)中的唯一有效標(biāo)示和寶貴資源，惡意的篡改主機(jī)的IP地址會(huì)占用其他主機(jī)的合法IP，造成該主機(jī)不能使用網(wǎng)絡(luò)，因此迫切需要對(duì)網(wǎng)絡(luò)中IP地址進(jìn)行有效統(tǒng)一的強(qiáng)制性管理。（2）網(wǎng)絡(luò)流量和帶寬無法可控、可管。由于網(wǎng)絡(luò)中P2P軟件的普遍應(yīng)用，如BT軟禁，網(wǎng)絡(luò)流量資源逐漸捉襟見肘。網(wǎng)絡(luò)流量和帶寬作為一種重要的網(wǎng)絡(luò)資源，迫切需要能夠根據(jù)用戶或用戶組進(jìn)行強(qiáng)制性統(tǒng)一規(guī)劃、優(yōu)化配置和有效審計(jì)。（3）網(wǎng)絡(luò)郵件可控、可管。收發(fā)郵件是重要的網(wǎng)絡(luò)信息交換行為，但是由于郵件往往包含大量的企業(yè)或單位的涉密信息，這就迫切需要能夠?qū)λ杏脩羿]件的網(wǎng)絡(luò)操作行為進(jìn)行有效控制和日志審計(jì)，從而保證企業(yè)或單位的信息的完全性?？尚啪W(wǎng)絡(luò)監(jiān)控系統(tǒng)的目標(biāo)是實(shí)現(xiàn)可信用戶網(wǎng)絡(luò)行為在這三個(gè)層次的可管、可控和可審計(jì)。

u       玩網(wǎng)絡(luò)游戲、瀏覽與工作無關(guān)的網(wǎng)站、進(jìn)行與工作無關(guān)的聊天；

u       瘋狂下載電影、歌曲、程序，在線看網(wǎng)絡(luò)電影、聽音樂；

u       隨意修改IP地址和MAC地址，導(dǎo)致內(nèi)部網(wǎng)絡(luò)十分混亂，影響他人正常的工作；

u       通過Web郵件、Outlook等終端郵件的方向?qū)?nèi)網(wǎng)系統(tǒng)中的敏感信息泄露出去；

u       通過在網(wǎng)絡(luò)論壇發(fā)帖和粘貼附件的方式泄露內(nèi)部數(shù)據(jù)；

u       無法對(duì)網(wǎng)絡(luò)訪問操作進(jìn)行日志審計(jì)；

u       內(nèi)部網(wǎng)絡(luò)經(jīng)常感染ARP病毒，無法開展正常業(yè)務(wù)。

u       端點(diǎn)防火墻。集中管理和控制的客戶端防火墻，其策略由管理員根據(jù)單位管理需要指定，可以根據(jù)IP地址、URL地址、網(wǎng)絡(luò)端口和數(shù)據(jù)流向等設(shè)定客戶端計(jì)算機(jī)或者用戶訪問的權(quán)限，以白名單或者黑名單的方式工作。例如發(fā)現(xiàn)蠕蟲病毒，可以及時(shí)全網(wǎng)統(tǒng)一封鎖相應(yīng)的傳播端口，從而有效控制該類型病毒的破壞效果。

u       能夠?qū)RP病毒免疫，確保主機(jī)獲取網(wǎng)關(guān)MAC的正確性以及網(wǎng)關(guān)獲取主機(jī)MAC的正確性。能夠?qū)RP病毒免疫自動(dòng)攔截和預(yù)警，管理員可以根據(jù)豐富的預(yù)警信息追溯ARP病毒的源頭，從而可以徹底的消除該病毒。

u       可以將主機(jī)的IP地址與MAC地址進(jìn)行強(qiáng)制性綁定，防止員工隨意修改IP地址，造成IP經(jīng)常沖突，以及無法對(duì)安全事件源追溯定位，給管理人員造成很大的麻煩。

u       網(wǎng)絡(luò)常規(guī)應(yīng)用層協(xié)議解析。對(duì)常規(guī)網(wǎng)絡(luò)應(yīng)用層協(xié)議進(jìn)行解析，從而進(jìn)行了詳細(xì)的日志記錄，主要包括了HTTP協(xié)議日志、FTP協(xié)議日志、郵件協(xié)議日志和其他日志。

u       終端郵件控制。通過解析SMTP協(xié)議，可以對(duì)指定的發(fā)件人、收件人進(jìn)行郵件和附件收發(fā)控制。

u       終端郵件內(nèi)容記錄?？梢杂涗浲ㄟ^POP3和SMTP協(xié)議收發(fā)的郵件正文內(nèi)容及附件，如：OUTLOOK、Foxmail等。

u       Web附件控制。能夠?qū)νㄟ^WEB方式上傳文件的行為進(jìn)行控制，包括通過WEB郵箱發(fā)送附件、通過WEB論壇粘貼附件、通過網(wǎng)絡(luò)硬盤傳輸文件等方式。

u       Web附件記錄。能夠?qū)νㄟ^WEB方式上傳的文件進(jìn)行緩存，管理員可以進(jìn)行上傳文件的內(nèi)容審計(jì)。

為了方便數(shù)據(jù)交換，內(nèi)部網(wǎng)絡(luò)使用了大量的移動(dòng)存儲(chǔ)介質(zhì)，例如U盤，移動(dòng)硬盤等。但同時(shí)由于技術(shù)和歷史原因，對(duì)于移動(dòng)存儲(chǔ)介質(zhì)的管理很不規(guī)范，甚至未被納入保密管理的范疇；沒有嚴(yán)格的保密管理措施，或者是保密管理措施不具體，有的甚至根本未被納入保密管理范疇：如對(duì)涉密軟盤、磁盤、移動(dòng)硬盤等沒有登記，沒有加密標(biāo)識(shí)，與普通磁盤混合使用，出現(xiàn)故障后隨便丟棄或重新格式化后繼續(xù)使用等。這些現(xiàn)象無疑給單位內(nèi)部的涉密和敏感信息資源帶來了相當(dāng)大的安全隱患。

這些由于移動(dòng)存儲(chǔ)介質(zhì)的大量使用而引起的安全問題給企業(yè)信息化建設(shè)帶來了很大的困擾，隨著移動(dòng)存儲(chǔ)介質(zhì)越來越輕便、存儲(chǔ)容量越來越大，這些問題隨著信息化建設(shè)的逐步深入也會(huì)越來越突出、越來越嚴(yán)重！因此，企業(yè)目前迫切需要一套完整的移動(dòng)存儲(chǔ)介質(zhì)管理方案，從技術(shù)和管理層面對(duì)內(nèi)部使用的移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行嚴(yán)格控制，同時(shí)兼顧移動(dòng)存儲(chǔ)介質(zhì)管理與使用的方便性和內(nèi)部文件交換的安全性。

u       許多企業(yè)對(duì)計(jì)算機(jī)存儲(chǔ)介質(zhì)的管理不規(guī)范，甚至未被納入保密管理的范疇，導(dǎo)致無法對(duì)內(nèi)部使用的移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行統(tǒng)一管理；

u       私人的U盤、移動(dòng)硬盤等，可以在單位的計(jì)算機(jī)上隨意使用，容易造成計(jì)算機(jī)病毒感染和泛濫，導(dǎo)致內(nèi)部網(wǎng)絡(luò)運(yùn)行出現(xiàn)故障；

u       使用移動(dòng)存儲(chǔ)介質(zhì)，懷有惡意的內(nèi)部人員可以隨意將單位內(nèi)部涉密信息復(fù)制出去，容易造成單位敏感信息泄密；

u       企業(yè)內(nèi)部使用的移動(dòng)存儲(chǔ)介質(zhì)被隨意帶出，在外網(wǎng)中使用時(shí)容易造成失泄密；

u       企業(yè)涉密移動(dòng)存儲(chǔ)介質(zhì)在使用時(shí)，缺乏身份認(rèn)證和訪問控制，導(dǎo)致任何人可以使用任何介質(zhì)在任何機(jī)器上進(jìn)行文件拷貝，造成企業(yè)文件流失；

u       企業(yè)涉密移動(dòng)存儲(chǔ)介質(zhì)被內(nèi)部人員在非涉密計(jì)算機(jī)上使用，容易遭受“輪渡攻擊”，導(dǎo)致機(jī)密數(shù)據(jù)流失；

u       內(nèi)部人員在使用移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行文件交換時(shí)，無法對(duì)文件流向進(jìn)行審計(jì)和控制，在出現(xiàn)文件流失時(shí)難以對(duì)責(zé)任人進(jìn)行追究；

u       企業(yè)移動(dòng)存儲(chǔ)介質(zhì)使用時(shí)存在明密不分、公私不分的現(xiàn)象，導(dǎo)致企業(yè)的內(nèi)部文件出現(xiàn)失泄密；

u       企業(yè)移動(dòng)存儲(chǔ)介質(zhì)在被盜或遺失時(shí)，會(huì)導(dǎo)致內(nèi)部數(shù)據(jù)丟失。

針對(duì)上述隱患，NiordSec內(nèi)網(wǎng)安全平臺(tái)推出了可信移動(dòng)存儲(chǔ)介質(zhì)管理系統(tǒng)。該系統(tǒng)根據(jù)國(guó)家涉密介質(zhì)管理要求，采用身份認(rèn)證、訪問控制、磁盤驅(qū)動(dòng)、內(nèi)核加密和安全審計(jì)等核心技術(shù)，對(duì)企業(yè)內(nèi)部的移動(dòng)存儲(chǔ)介質(zhì)進(jìn)行嚴(yán)格、方便的管理，同時(shí)確保企業(yè)核心數(shù)據(jù)的安全。

u       非認(rèn)證介質(zhì)進(jìn)不來。企業(yè)內(nèi)網(wǎng)中使用的移動(dòng)存儲(chǔ)介質(zhì)均需進(jìn)行注冊(cè)，管理員能夠禁止未注冊(cè)移動(dòng)存儲(chǔ)介質(zhì)在內(nèi)網(wǎng)中使用。

u       涉密文件拿不走。管理員能夠?qū)σ苿?dòng)存儲(chǔ)介質(zhì)的訪問進(jìn)行靈活、嚴(yán)格地控制，對(duì)于沒有授權(quán)的移動(dòng)存儲(chǔ)介質(zhì)，無法從機(jī)器上將涉密文件拷貝出去。

u       認(rèn)證介質(zhì)外部沒法用。管理員能夠?qū)?nèi)部流通的移動(dòng)存儲(chǔ)介質(zhì)注冊(cè)為內(nèi)網(wǎng)專用的加密格式，內(nèi)部人員將注冊(cè)后的介質(zhì)拿出后將無法使用。

u       內(nèi)部數(shù)據(jù)讀不懂。管理員能夠制定對(duì)特定移動(dòng)存儲(chǔ)介質(zhì)的讀寫實(shí)施透明加密防護(hù)，是數(shù)據(jù)在寫入后被自動(dòng)加密，即使介質(zhì)丟失也不會(huì)導(dǎo)致數(shù)據(jù)的丟失。

u       移動(dòng)介質(zhì)操作跑不了。管理員能夠?qū)σ苿?dòng)存儲(chǔ)介質(zhì)的接入和文件操作進(jìn)行嚴(yán)格審計(jì)，從而能夠追蹤泄密事件，事故責(zé)任人跑不了。

企業(yè)或單位的組織結(jié)構(gòu)由若干職能部門組成，涉及不同的敏感信息，使得不同的職能部門存在安全等級(jí)的差異，因此部門之間以及部門與外網(wǎng)之間的安全訪問顯得尤為重要，它需要利用某種技術(shù)或手段實(shí)現(xiàn)不同等級(jí)部門之間的網(wǎng)絡(luò)阻斷和信息加密，從而防止特定部門內(nèi)部信息的外泄。針對(duì)這一問題，安全域的概念應(yīng)運(yùn)而生，它要求企業(yè)或單位能夠根據(jù)自身的業(yè)務(wù)特點(diǎn)、安全目標(biāo)以及保護(hù)等級(jí)的不同對(duì)內(nèi)部網(wǎng)絡(luò)進(jìn)行劃分，實(shí)現(xiàn)不同強(qiáng)度的安全保護(hù)。

u       整個(gè)內(nèi)部網(wǎng)絡(luò)系統(tǒng)被劃分為一個(gè)大子網(wǎng)，經(jīng)常大規(guī)模感染網(wǎng)絡(luò)病毒，同時(shí)容易產(chǎn)生網(wǎng)絡(luò)阻塞；

u       沒有將內(nèi)部網(wǎng)絡(luò)系統(tǒng)按照保密需求劃分為不同等級(jí)，經(jīng)常導(dǎo)致敏感信息被竊??；

u       某些保密等級(jí)較高的計(jì)算機(jī)能夠隨意訪問外網(wǎng)；

u       外部網(wǎng)絡(luò)能夠通過網(wǎng)關(guān)中轉(zhuǎn)后到達(dá)某些保密等級(jí)較高的計(jì)算機(jī)。

u       系統(tǒng)可將網(wǎng)絡(luò)中的計(jì)算機(jī)按照管理需求劃分成多個(gè)虛擬安全域，實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)的分域分級(jí)管理；

u       同一個(gè)安全域內(nèi)的計(jì)算機(jī)可以相互訪問，非同一個(gè)安全域的計(jì)算機(jī)則不能相互訪問，只有在獲得管理員授權(quán)的情況下才能建立信任關(guān)系，實(shí)現(xiàn)網(wǎng)絡(luò)連接；

u       在保障網(wǎng)絡(luò)統(tǒng)一維護(hù)的前提下，通過虛擬安全域的劃分，單位內(nèi)部不同職能部門之間的重要敏感數(shù)據(jù)可以實(shí)現(xiàn)有效隔離；

u       能夠禁止某些保密等級(jí)較高的安全域終端訪問外部網(wǎng)絡(luò)；

u       能夠禁止外部網(wǎng)絡(luò)主機(jī)通過多次中轉(zhuǎn)后達(dá)到內(nèi)部網(wǎng)絡(luò)。