制定网络终端安全政策　防御恶意攻击

企业安全所涉及的范围正在迅速减少。从公司的财务信息、源代码邮件、非结构化文件到其他形式的数据都游离于企业防火墙之外，在非IT控制设备上。剑桥和Forrester研究公司发现北美和欧洲的企业里有一半左右（47%）企业认为为第三方合作伙伴执行安全需求是很重要的。

IT界的安全长期以来都遵循一个简单的原则：公司拥有所有用户的终端设备（访问公司信息），设备安全了其上的数据也就安全了。但是如果这个原则不再适用，那会怎么样呢？敏感信息在非公司所属设备的储存和传输的不便越来越明显，表明这个原则是行不通的。

从事制造、媒体和季节性服务的企业之间的对话揭示了一个非常规的但却充满智慧的概念：控制并不一定需要所有权。不仅这样，要成功地控制敏感信息在网络上的传播就需要彻底扭转传统的概念，即假设企业没有任何设备的控制权。Forrester研究公司把这个策略称为零信托模型。对这个策略更为简单的解释就是：假设所有终端设备都是不友好的。

在最近的研究中，Forrester研究公司列出实行零信任策略的五个数据安全设计模式：瘦客户机、瘦设备、进程保护、数据保护和跟踪。所有的这些模式都假设企业没有终端设备的拥有权。将所有权和控制权分开，企业能够设计出一个网络终端安全政策，它包含了所有可能的所有权形式，如“技术大众主义”、境外生产和外包。最终用户可以通过以下方式来保障公司的信息安全。

1.瘦客户端：进程集中化，信息本土化

瘦客户端很早就被零信托计划策略采用，它集中了很多技术。像流媒体服务器、虚拟主机桌面技术和虚拟工作间技术。为了加强它的安全性，须将敏感数据集中在安全性能更好的设备里，远程设备只有通过瘦客户机的终端应用程序才能进行数据访问。由于这里需要与网络对接，所以瘦客户端不支持脱机使用。

瘦客户端的优点是数据从不离开服务器：它只将数据提供给终端设备。出于安全考虑，IT能够限制主机的粘贴复制操作，限制数据转移，并要求使用tokens.Client进行两方身份验证。

2.瘦设备：出于设备安全考虑，使用备份数据

瘦形设备模式通过限制允许访问数据的设备类型来控制访问途径。智能手机等设备只能储存一定量的敏感信息。它们所储存的信息是复制而来的，原始数据则储存在数据中心。由于它们的体积、储存容量和处理速度的限制，应用程序被局限在电子邮件、小规模浏览网页和简单的网页程序中，根本谈不上通常的数据处理。而在薄形设备模式中，IT安全团队仍能控制设备的安全，即使他们并不具备设备的拥有权。使用本土的管理工具或者第三方移动设备平台，如Sybase公司的产品，可以通过备份和强制加密等加强智能手机的安全。出于安全考虑，瘦形设备可以被远程移除，做到真正意义上的可控制，这点与PC机不同。然而，在不属于自己的设备上强加IT安全政策会存在技术上或者政策上的不便。

3.进程保护：在一个安全的环境中处理本地信息

瘦客户机模式中用户设备不储存敏感信息，但进程保护模式与此不同，它允许数据运行在非IT所有的设备中。一个独立进程环境中的敏感信息，即从用户的本地操作系统环境中分离出来——基本上是一个“气泡”——其中的安全和备份性能是由IT控制。进程保护模式有很多优势：本地执行、脱机操作、中央管理和一个高精度的安全控制，包括远程擦除功能。但是要记住，大多数操作系统和应用虚拟化产品仅支持英特尔或Windows。

4.数据保护：文档自我保护不受位置限制

鉴于以前的模式都设法通过控制运行环境来处理信息，而数据保护模式保护的是数据本身。如企业版权管理（ERM）这样的技术可直接访问文件规则。无论文件放置在何处，这些依靠密码方式强制执行的规则都是适用的，这是一个重要的优势。所有零信托数据安全战略里的模式保护数据都是最精细、最有效的，因为它的重点是信息，而不是信息的载体。

这种模式缺点之一是，ERM的每个终端都需要客户端代理。该技术还会给部署带来挑战：一些机构告诉弗里斯特研究公司，ERM的商业客户制定的政策有时过于严厉，使得数据难以获取，而且政策不能很好地适应机构改革。

5.跟踪：明确重要的信息移除的时间

零信托数据安全设计的第五种模式使用的是补充数据检测控制技术，用来检测、记录和选择性封杀物理或逻辑企业边界的敏感数据。数据泄漏防护（DLP）技术和较小程度的安全信息和事件管理（SIEM）工具，是这一模式的重要组成部分。

该模式的主要优点是，它可以检测敏感数据，因为它在逻辑安全边界以外运行，所以它能很好地理解信息流的速度和方向，并发现异常传输。不幸的是，大多数企业都不能要求其业务伙伴在他们的计算机上安装的DLP代理。基于这个原因，企业应把空中监管模式作为个人电脑保护的一种补充。

【编辑推荐】