【51CTO.com 綜合消息】揚州市煙草專賣局（公司）長期以來立足信息化建設，在功能和技術上的革新塑造了一個基礎結構穩定、功能創新和執行高效的網絡平臺，通過近10年的努力，如今的揚州煙草已經取得了顯著的成績。擁有國際領先地位的網絡安全廠商——趨勢科技，針對揚州煙草的網絡和應用特點，結合趨勢科技多年在防病毒領域的成功經驗、以及對煙草行業網絡結構的深入剖析，在云安全（Smart Protection Network）全球防毒架構下，提供了針對煙草行業網絡有效抵御病毒與黑客入侵的多層次安全解決方案。雙方深入合作，在Internet邊界、內部網絡邊界、終端邊界上都分別配備了應對不同威脅的“守護神”，建造了一個病毒和木馬都無法生存的真空地帶。

安全是一個永恒的主題

據揚州煙草信息安全負責人張經理介紹：“隨著十年來信息化進程的深入，以及互聯網技術的迅速發展，揚州煙草的信息資源得到了最大程度的利用。從2000年建立的早期撥號網絡、卷煙‘進、銷、存’系統建設、到后來的呼叫中心（Call Center）、網上訂貨、電子計算，再到2005年就開始的資源整合中心建設，緊隨信息化發展而來的網絡安全問題日漸突出，如果不很好地解決這個問題，必將阻礙信息化發展的進程。因此，安全防御對于我們來說，這將是一個永遠不能停止的任務。”

經歷數年的建設，揚州煙草已經實現業務網絡數據的大集中，所有的日常辦公、購銷存流程等業務均實現信息化，并且建立了大型的物流中心，分揀到戶、送貨上門。如今的網絡平臺，已經包含了7臺小型機、50臺服務器分別承載著各自的業務系統，近千臺終端也已經通過防火墻、入侵檢測系統（IDS）、VLAN等安全技術分屬在各個部門當中，承擔重任。但是在信息化不斷深入發展的同時，各種網絡威脅也隨之進入網絡，原有的傳統防病毒體系已經不能應對多變威脅來源。張經理對近年來的Web安全十分擔憂，他表示：“由于煙草行業的特殊性，揚州煙草兼顧政府部門和企業運營的雙重角色，企業性質的銷售系統和政府行業中的煙草專賣管理、辦公OA、郵件、網站都依賴網絡而存在。但由于Web病毒本身的特性，早期建立的防火墻、VLAN、以及單機的防毒系統，都不能在應用層，徹底消除員工因為誤點擊某個惡意連接就遭遇病毒的情況發生。隨著最近互聯網威脅的復雜化，信息中心對單一的終端防毒體系是否能夠很好地防護當前新形態威脅存在疑慮，因木馬病毒爆發而導致的網絡中斷、系統崩潰的情況，時常讓IT部門直忙得不可開交。

部署TDA  從堅守到主動出擊

在業務系統和日常辦公應用都存在的網絡里面，不但要應對顯性的病毒，還要應對無形的木馬黑手，IT人員疲憊不堪，這些威脅無論是數量、手段，還是性質、規模，已經到了令人咋舌的地步。以前的“堅守原則”，可以應對企業信息化發展中的起步階段，但如今仍然采用這個原則必然會坐以待斃。針對這些威脅，更需要一個能夠支持從網絡層至應用層的多種綜合協議的網絡流量檢測產品，主動的探知相關事件的可疑威脅，還需要利用病毒掃描引擎分析文件內容，達到深層次的威脅檢測。為了實現主動出擊的策略，揚州煙草的IT部門開始廣泛接觸各個知名安全廠商。在經過需求量化、數據對比、現場測試、性能評估等一系列的動作之后，揚州煙草最終選擇了趨勢科技的威脅發現設備（Threat Discovery Appliance，簡稱TDA）。張經理表示：“針對我們當時提出來的‘第一時間發現，第一時間預警，第一時間消除’的原則，當試用階段結束后，TDA幾乎是我們唯一的選擇。”

在部署趨勢科技的TDA之前，最讓IT部門頭痛的是筆記本電腦，這些終端攜帶外出很容易受到感染，再加上頻繁使用移動硬盤和U盤，病毒通過這些途徑很容易進入到煙草局的內網。即使網絡中已經部署了防火墻，內部計算機也都有安裝客戶端防毒軟件，每天仍然會有計算機會中病毒。在部署TDA之后，發生在揚州煙草每一個網段的Web攻擊、網絡釣魚行為、病毒攻擊點和高危網絡通訊行為都在第一時間得到解決，這也就杜絕了向外界泄露數據或從僵尸網絡控制中心接收命令的木馬行為，這是傳統IDS和IPS安全產品所無法辦到的。另外，TDA同時還提供完善的網絡威脅日報、周報和月報信息，為計算運維成本、IT部門績效管理等，都提供了數據依據。對于張經理帶領的IT部門來說，TDA就像一部全能型的雷達，不僅僅接收來自網絡上所有的訊號進行智能的分析，還能夠評估企業業務的安全風險，把每個網段的每一個角落都安裝了“放大鏡”。

網關和終端的雙重保障

隨著將各地區的供銷網絡和辦公網絡統一之后，集中起來的網絡更加難以管理。員工每天要接觸大量的網頁以獲取信息，但如今的“網頁掛馬”非常流行，讓這種正常訪問變得十分兇險，在不知不覺中就將威脅下載到了本地，輕者造成系統損壞，重者則是機密資料泄露和丟失。應該說TDA的功能和效果讓揚州煙草IT部門十分滿意，這也就讓大家對趨勢科技提供的其他產品和解決方案更加信賴。在重新評估威脅來源之后，安全建設開始重新考慮如何從網絡關口上防堵這些惡意的程序進入到企業的內網中，并且希望利用終端防毒和網關防毒聯動起來，協作一致，在每個數據包通過的地方都攔截住病毒和木馬的攻擊。

在趨勢科技工程師的協助下，雙方一起對網關出的流量進行了細致的分析，并最終選擇了IWSA 5000這款安全網關設備。根據張經理介紹：“與TDA一樣，使用IWSA的效果是可以量化的。從控制臺可以看見阻止了哪些用戶下載和在線安裝間諜軟件，同時對已經感染間諜軟件的用戶設備，則可以攔截其對外部惡意網站主動發送用戶信息，一旦檢測到客戶端的間諜軟件行為在第一時間就能解決問題，極大的節省了人力投入。”部署IWSA之后，至少可以在網關阻擋住90%以上的Web威脅，這樣的安全防護實力，即減輕了內網的負載，也減輕了管理人員的工作壓力。根據揚州煙草的IWSA 5000報表顯示，現在平均每個月阻擋的惡意攻擊和惡意代碼下載為1000條左右，而在這之前，到底有多少惡意代碼已經進入到網絡當中，是無從知曉的。

雖然兩款硬件產品（TDA和IWSA）的結合，最少頂替了數十人的IT團隊24小時監控網絡，但每個終端的個體是否強壯,仍然是網絡安全中的難題，這些終端也是病毒和木馬的“最愛”。OfficeScan作為趨勢科技企業防護策略的經典拳頭產品，在云安全架構中可以利用Web信譽技術（WRT）、郵件信譽技術（ERT）、文件信譽技術（FRT）技術，不但可以檢查位于終端、服務器的安全，最重要得一點是因為它可以與IWSA和TDA聯動起來，進行統一安全策略的執行和部署。

三層防御體系之外還有一層

在部署了軟、硬件結合的立體化安全解決方案后，揚州煙草的網絡已經具備了網關層（IWSA）→網絡層（TDA）→終端（OfficeScan）多層防護的功能。并且憑借著這樣的三層體系結構，IT部門多次在上級單位檢查中順利通過評審，不過張經理提出“三層之后還有一層”的觀點。他認為：“這個觀點的基礎就是趨勢科技的云安全。絕大多數的組織和揚州煙草一樣，我們都在感嘆如今的網絡安全管理難度越來越大，復雜多變的威脅讓我無從應對，現在我們可以把更多的具體工作都交給云端處理，正是它讓將難以駕馭的安全管理變得簡單可控。”