讓內(nèi)部網(wǎng)絡(luò)管理員降低風(fēng)險(xiǎn)的策略
您當(dāng)前位置：首頁(yè) > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-02-15
如今內(nèi)部人員給公司的安全造成的威脅非同小可。近來(lái)的一些報(bào)告指出，內(nèi)部人員對(duì)公司的損害在所有的危害事件中已從80%上升為86%，而且超過(guò)半數(shù)發(fā)生在雇員的終端。無(wú)疑，擁有訪問(wèn)公司系統(tǒng)權(quán)限的內(nèi)部雇員極有可能被誤導(dǎo)到那些欺詐性的或危險(xiǎn)的鏈接上。而在所有的雇員中，IT工作人員擁有的這種訪問(wèn)權(quán)限最多。因此，IT審核應(yīng)關(guān)注從多個(gè)方面確認(rèn)風(fēng)險(xiǎn)。下面我們給出實(shí)施有關(guān)控制和減少工作人員對(duì)管理員欺詐的方法。
1.IT安全策略
管理人員應(yīng)該審視那些能夠管理特權(quán)賬戶(如域管理員賬戶、應(yīng)用程序管理員賬戶、數(shù)據(jù)庫(kù)管理員)的IT安全策略，要保障安全策略的存在，還要清楚存取訪問(wèn)是如何被處理、驗(yàn)證、證明的，要確保對(duì)這些策略定期進(jìn)行審查。否則，基本上就不存在管理特權(quán)訪問(wèn)的基礎(chǔ)了。在沒(méi)有相關(guān)報(bào)告的情況下，管理特權(quán)賬戶的策略是不完整的。特權(quán)賬戶的口令審核報(bào)告經(jīng)常要涉及到如下的問(wèn)題：口令何時(shí)更新、更新失敗有哪些，以及在一個(gè)共享賬戶下，個(gè)別用戶如何執(zhí)行任務(wù)等等。
制定的策略應(yīng)具有這樣的目標(biāo)：能夠終止明顯的不可防御的用戶活動(dòng)。要確保所有的雇員、訂約人和其它用戶清楚其責(zé)任，從而與IT的安全策略、方法以及與其角色相適應(yīng)的相關(guān)指導(dǎo)等。
2.“超級(jí)用戶”賬戶和訪問(wèn)
了解公司與用戶訪問(wèn)有關(guān)的暴露程度是很重要的。應(yīng)該決定擁有訪問(wèn)特權(quán)的賬戶和用戶的人員，并獲得對(duì)網(wǎng)絡(luò)、應(yīng)用程序、數(shù)據(jù)和管理功能的訪問(wèn)有較高權(quán)力的所有賬戶列表。包括通常被忽視的所有計(jì)算機(jī)賬戶。由此，要確保用戶訪問(wèn)能夠被檢查，并確保其擁有恰當(dāng)?shù)脑S可。一個(gè)好方法是定期地審查用戶訪問(wèn)，并決定數(shù)據(jù)和系統(tǒng)的“所有者”已經(jīng)得到明確授權(quán)。
3.賬戶和口令配置標(biāo)準(zhǔn)
要保證所有的管理員賬戶能夠根據(jù)策略更新。在特定設(shè)備上，不應(yīng)存在默認(rèn)的口令設(shè)置。對(duì)那些擁有足夠的默認(rèn)賬戶和口令資源的用戶來(lái)說(shuō)，其信息是很豐富的。有一些安全賬戶，其賬戶名就是口令，這簡(jiǎn)直是自尋煩惱。設(shè)置口令的期限也是很重要的，禁用某些明顯的臨時(shí)賬戶也是很聰明的作法。
4.對(duì)口令的受控訪問(wèn)
對(duì)權(quán)力有所提升的賬戶和管理員的口令存取要加以管理。其道理可能很明顯，不過(guò)對(duì)口令的共享訪問(wèn)并非總能得到控制。離線的記錄或開(kāi)放性的訪問(wèn)，如包含口令的電子郵件，就不應(yīng)當(dāng)存在。即使一個(gè)加密的口令文件也是不足取的。在最糟的情形中，口令文件的口令并沒(méi)有得到控制。
5.服務(wù)賬戶( “機(jī)器” 賬戶)
服務(wù)器也可以被提升權(quán)限，并用于各種罪惡的目的。這些賬戶典型情況下并不分配給人類(lèi)用戶，并且也不包括在傳統(tǒng)的認(rèn)證或口令管理過(guò)程中。這些賬戶可被輕易地隱藏。管理員應(yīng)該保障服務(wù)賬戶只擁有必要的訪問(wèn)權(quán)。這些賬戶應(yīng)該定期檢查，因?yàn)樗鼈兘?jīng)常擁有超級(jí)用戶的能力。這種用戶的數(shù)量是很多的，而且還有許多不用的賬戶也需要注意。
6.高風(fēng)險(xiǎn)用戶和角色
有一些公司積級(jí)地監(jiān)視某些角色，這些角色對(duì)企業(yè)會(huì)造成極高的風(fēng)險(xiǎn)，企業(yè)的監(jiān)視會(huì)發(fā)現(xiàn)其潛在的“不可接受”的行為。許多企業(yè)擁有一些風(fēng)險(xiǎn)極高的關(guān)鍵角色。例如，一位采購(gòu)經(jīng)理為謀求一個(gè)職位可能會(huì)將自己能夠訪問(wèn)的敏感數(shù)據(jù)帶到另外一家競(jìng)爭(zhēng)公司那里去。這種情況下，其訪問(wèn)是被授權(quán)的，不過(guò)卻存在著濫用的情況。崗位、職責(zé)的輪換以及設(shè)定任命時(shí)間是對(duì)付高風(fēng)險(xiǎn)的一個(gè)重要方案。注意：IT安全專(zhuān)家通常都屬于高風(fēng)險(xiǎn)角色的范圍。
來(lái)源：紅訊頻道