文章內容

企業虛擬化設備以及安全問題

發布時間: 2012/5/25 19:39:22

公司員工安裝使用合法但未經授權的應用程序（如即時消息、VoIP、游戲、虛擬化軟件和未經允許的瀏覽器等），將會對企業安全和生產力造成了極大的影響。另外，可移動存儲截至和無線協議也讓企業的數據保護工作變得更加復雜。本文將討論企業控制未經授權應用程序和設備的使用的重要性，以及不同的方法，并將重點探討如何將這些功能整合到惡意軟件保護程序中以實現最簡單和最具成本效益的解決方案。
　　不斷改變的觀點
　　在Web 2.0技術的熏陶下，大家對企業內計算機的使用方式持有不同的觀點。大家對于共享信息和應用程序、發送電子郵件和即時消息的態度都發生了巨大的變化，新的 “員工2.0”時代重新定義了個人與互聯網以及與IT環境作為整體的關系。雖然這些新型網絡技術能夠幫助企業員工增進溝通、共享文件和網上協同工作，但同時對企業造成新威脅。
　　互聯網應用程序（如即時消息（IM）、P2P文件共享應用軟件以及VoIP服務等）已經引起人們的關注。一項Sophos網上民意調查，調查IT管理員希望阻止用戶使用哪些軟件程序，結果顯示早在2006年大家就意識到有必要對安裝和使用不必要應用程序進行控制。
　　如今，問題更加嚴重了。雖然企業們都部署了抵御惡意軟件的系統和程序，但是這些抵御措施通常不能對用戶行為造成的威脅進行控制。員工們（大部分員工有相當多的IT知識和技術）繼續向其計算機安裝各種程序，以使電腦更加符合自己的工作方式，而他們卻很少考慮相關的潛在風險。
　　互聯網瀏覽器
　　很多員工都拒絕使用公司推薦的Web瀏覽器，而支持其他瀏覽器。這將給企業帶來很大威脅，因為黑客們經常利用瀏覽器的漏洞來感染用戶計算機，Sohpos調查中有三分之一的受訪者表示，他們不認為控制瀏覽器使用是重要的事情。
　　虛擬化
　　目前最令人關注的安全問題就是企業內臺式機和筆記本電腦上的未經授權的虛擬化軟件安裝。
　　虛擬化技術實現了邏輯（軟件）從物理（硬件）分離，允許同一硬件上運行多個系統，這在如今IT預算緊缺的時候確實很有意義，但是部署虛擬桌面的企業也面臨著很大的風險。從另一方面看，不受管制的虛擬電腦其實已經成為企業的安全系統上的“黑洞”，因為虛擬電腦運行的應用程序完全不受IT管理員的控制。
　　虛擬電腦可以方便地下載圖像文件，這意味著那些運行未經授權應用程序的最終用戶為企業系統帶來巨大風險。并且，在虛擬環境運行未經授權軟件（游戲、瀏覽器和測試版軟件等）讓企業系統信息和數據處于危險的境地。
　　可移動存儲設備
　　另外，運行可移動存儲設備（如USB密鑰、CD和DVD）和無線網絡協議（如wifi、藍牙和紅外）上的未經授權軟件會擴大企業安全漏洞，特別是當在虛擬環境運行這些應用程序時。
　　使問題更加嚴重的就是，使用這些設備和協議傳輸企業內外的商業數據，最近的調查顯示，無意泄漏公司機密信息成為企業安全的頭號威脅，略高于病毒、木馬和蠕蟲。
　　企業風險
　　未經授權使用和安裝應用程序、設備和網絡協議可以在以下幾個方面對企業產生負面影響。
　　安全風險
　　未經授權應用軟件帶來的感染風險是顯而易見的。基于IM（即時通訊）的惡意軟件攻擊正在顯著增長，P2P應用程序的使用也正以同樣的速度增加，P2P應用程序成為執行惡意代碼（如遠程命令執行、遠程文件系統搜查或者文件傳播病毒等）的最常用途徑。感染文件也可以通過無線連接感染電腦。
　　一旦被感染，計算機就可以被黑客用來發送垃圾郵件或者發動拒絕服務攻擊，或者監控和獲取機密商業數據。如上文所述，數據也可以通過CD和USB密鑰等設備被帶出企業，最近報道的很多事件表明，這些設備能夠很輕易地帶出公司，然后意外丟失。
　　法律和合規問題
　　安裝未經授權的應用程序和設備不僅給企業帶來安全風險，同時也可能構成違法風險。保護數據是很重要的。
　　我們知道目前有很多政府制定的數據保護相關法案，如美國的SOA法案和HIPAA法案，加拿大的PIPEDA（個人信息保護和電子文檔法案），英國的數據保護法案（DPA）等，這些法案明確指出IT管理員必須維持和保護網絡內數據的完整性。
　　額外的IT支持負擔
　　正如上文所討論的，未經授權的應用程序和設備可能感染網絡，但是即使不會發生感染事件，也會對IT支持造成負擔。那些沒有經過正確測試或者部署的應用軟件也可能會影響整個網絡的穩定性能。
　　網絡和系統開銷
　　未經授權的應用程序消耗的企業網絡帶寬和計算機處理器能耗也對網絡資源有著直接影響。
　　例如，分布式計算項目需要利用百萬臺計算機的“備用”處理能力來幫助建立模型或者模擬氣候變化情景，而網絡電話也能夠使用這種備用能力。
　　員工的工作效率問題
　　雖然VoIP和即時通訊有一定的商業價值，但是大多數情況下，并沒有用于商業用途，從而嚴重影響員工工作效率。在虛擬環境中，企業禁止使用的應用程序能夠自由使用，或者用戶可以簡單利用虛擬環境來處理自己個人事務，這些都會嚴重影響員工工作效率。
　　解決方案
　　企業提高安全性和生產效率的基本方法就是創建和執行可接受使用政策，明確規定那些應用軟件和設備不能使用，并界定必須禁止的行為，同時提出解決方法。除此之外，從IT管理員的角度來看，還存在兩個直接挑戰：
　　·允許對授權應用軟件、設備和網絡協議的控制性使用
　　·禁止使用未經授權的應用軟件、設備和網絡協議
　　在實際操作中，以上兩個都是很大的挑戰，首先因為很多用戶是本地管理員，可以執行某些特權，例如下載輔助工作的應用軟件（下載最新Adobe Acrobat軟件等）。然而，這意味著他們也可以下載其他想要安裝和使用的軟件，這使IT管理員的工作很難進行：惡意軟件可以使用反病毒軟件來阻止，但是像即時通訊軟件卻很難杜絕。
　　控制策略
　　為了應對未經授權應用軟件和設備的使用所造成的廣泛威脅，IT管理員嘗試了很多不同的策略，不過每個策略都是有利有弊。
　　鎖定計算機
　　阻止未經授權軟件安裝的最直截了當的方法之一就是對所有電腦實行全面鎖定，或者禁止他人擅自使用可移動存儲介質，并只限定管理員權限。但是，這條策略并不好使。
　　有些部門（特別是IT和技術支持部門）對管理員權限有明顯的需求，答案似乎很簡單：只允許技術部門安裝軟件而阻止其他人使用軟件，但是實際操作中卻不那么簡單。
　　很多企業發現鎖定所有非技術最終用戶的計算機將為公司帶來很大開銷，并且必須建立無數條相應的策略來執行該策略。例如，很多簡單的windows功能（如添加打印機驅動器、改變時區和調整電影管理設置）都不能通過標準用戶帳號來執行，要求管理員分配權利才能執行。這樣的話，簡單的功能更改都會為公司增加成本。
　　安裝專家控制產品
　　市面上有很多相關產品可以控制哪些程序可以或者不可以在計算機上運行，這些產品一般都涉及驗證過程以及允許和阻止應用軟件的大型數據庫要求。
　　而對于IT管理員而言，他們又多了一個需要加以評估、購置、安裝和管理的產品。雖然對這些解決方案的管理并不是重要任務，但是由于任務繁重和允許阻止列表的復雜性，使管理員無從下手。此外，應用軟件控制產品能夠有效阻止應用程序的執行，但卻很難阻止初始安裝、
　　最后，專家應用軟件控制產品并不能提供全面保護，企業仍然需要購置其他安全產品以抵御病毒、間諜軟件和其他威脅。
　　部署企業防火墻規則和HIPS
　　防火墻和HIPS（主機入侵防御系統）主要側重于阻止潛在惡意網絡流量并試圖執行代碼，而不是控制用戶可以或者不可以安裝或運行某些應用程序。它們可以用于限制未經授權應用程序的使用，通過控制對網絡或者互聯網資源的訪問（如通過找尋并阻止VoIP流量），但是不能解決這里的根本問題。
　　反病毒解決方案
　　大多數防病毒和反間諜解決方案不提供應用軟件或者設備控制功能，但是，如果反病毒解決方案能夠使用相同的掃描和管理基礎設施來攔截和管理合法應用軟件和設備的使用，那么企業能夠更加省事，既抵御惡意軟件又保護系統和管理資源。
　　僅部署一個客戶端
　　防惡意軟件是IT管理員必須購買、安全和管理的必要投資項，部署集成防病毒、防間諜軟件、反廣告插件以及控制未經授權的應用軟件和設備的單一客戶端不僅可以節省時間，還能夠節省資金、系統資源，并且提高安全性。
　　簡化控制和策略設置
　　防惡意軟件解決方案允許為不同用戶組設置不同策略，能夠同時設置移除未經授權的應用軟件和設備的策略以及防惡意軟件策略，可以提高效率，并能夠滿足特定用戶的特殊要求，例如，可以阻止辦公室電腦使用VoIP和USB密鑰，但是授權遠程計算機使用。
　　減少管理開銷
　　使用與防惡意軟件相同的管理和更新機制來控制應用軟件和設備，具有明顯的基礎設施和成本優勢，但是，從效率角度來看。這種整合式功能能否成功取決于實際監測應用程序的方式。
　　有些解決方案需要管理員創建自己的應用軟件簽名（使用應用軟件中出現的文件名）來維護允許或阻止列表，這種方法很費時并且浪費IT資源。它將更新的負擔施予在管理員身上，并且用戶可以改變文件名以避免應用軟件被檢測出。
　　一個更好的做法就是，讓供應商采用與惡意軟件檢測自動更新相同的方式來創建和更新應用軟件檢測簽名，從而簡化管理、更新和檢測過程。
　　減輕支持負擔
　　通過使用簽名檢測不僅能夠阻止應用軟件的運行，同時也能阻止它們的下載和安裝，這樣就為企業的IT部門減輕了支持負擔，不再需要花費大量勞動力篩選出安裝了未經授權的應用軟件計算機。
　　結語
　　對未經授權應用軟件和設備的安裝和使用所帶來的風險是巨大的，不過也存在很多有效的解決方案能夠幫助IT管理員管理這些問題，有些解決方案需要額外的投資，并且價格昂貴，難以維護。最好的解決方案就是將對對未經授權應用軟件和設備的阻止整合到現有的惡意軟件檢測和管理基礎設施中，而惡意軟件檢測和管理設施通常是企業必備解決方案，這就為IT管理員提供了最簡單的解決方案，并節省了很多資金。