制定網絡終端安全政策 防御惡意攻擊
企業安全所涉及的范圍正在迅速減少。從公司的財務信息、源代碼郵件、非結構化文件到其他形式的數據都游離于企業防火墻之外，在非IT控制設備上。劍橋和Forrester研究公司發現北美和歐洲的企業里有一半左右（47%）企業認為為第三方合作伙伴執行安全需求是很重要的。
IT界的安全長期以來都遵循一個簡單的原則：公司擁有所有用戶的終端設備（訪問公司信息），設備安全了其上的數據也就安全了。但是如果這個原則不再適用，那會怎么樣呢？敏感信息在非公司所屬設備的儲存和傳輸的不便越來越明顯，表明這個原則是行不通的。
從事制造、媒體和季節性服務的企業之間的對話揭示了一個非常規的但卻充滿智慧的概念：控制并不一定需要所有權。不僅這樣，要成功地控制敏感信息在網絡上的傳播就需要徹底扭轉傳統的概念，即假設企業沒有任何設備的控制權。Forrester研究公司把這個策略稱為零信托模型。對這個策略更為簡單的解釋就是：假設所有終端設備都是不友好的。
在最近的研究中，Forrester研究公司列出實行零信任策略的五個數據安全設計模式：瘦客戶機、瘦設備、進程保護、數據保護和跟蹤。所有的這些模式都假設企業沒有終端設備的擁有權。將所有權和控制權分開，企業能夠設計出一個網絡終端安全政策，它包含了所有可能的所有權形式，如“技術大眾主義”、境外生產和外包。最終用戶可以通過以下方式來保障公司的信息安全。
1.瘦客戶端：進程集中化，信息本土化
瘦客戶端很早就被零信托計劃策略采用，它集中了很多技術。像流媒體服務器、虛擬主機桌面技術和虛擬工作間技術。為了加強它的安全性，須將敏感數據集中在安全性能更好的設備里，遠程設備只有通過瘦客戶機的終端應用程序才能進行數據訪問。由于這里需要與網絡對接，所以瘦客戶端不支持脫機使用。
瘦客戶端的優點是數據從不離開服務器：它只將數據提供給終端設備。出于安全考慮，IT能夠限制主機的粘貼復制操作，限制數據轉移，并要求使用tokens.Client進行兩方身份驗證。
2.瘦設備：出于設備安全考慮，使用備份數據
瘦形設備模式通過限制允許訪問數據的設備類型來控制訪問途徑。智能手機等設備只能儲存一定量的敏感信息。它們所儲存的信息是復制而來的，原始數據則儲存在數據中心。由于它們的體積、儲存容量和處理速度的限制，應用程序被局限在電子郵件、小規模瀏覽網頁和簡單的網頁程序中，根本談不上通常的數據處理。而在薄形設備模式中，IT安全團隊仍能控制設備的安全，即使他們并不具備設備的擁有權。使用本土的管理工具或者第三方移動設備平臺，如Sybase公司的產品，可以通過備份和強制加密等加強智能手機的安全。出于安全考慮，瘦形設備可以被遠程移除，做到真正意義上的可控制，這點與PC機不同。然而，在不屬于自己的設備上強加IT安全政策會存在技術上或者政策上的不便。
3.進程保護：在一個安全的環境中處理本地信息
瘦客戶機模式中用戶設備不儲存敏感信息，但進程保護模式與此不同，它允許數據運行在非IT所有的設備中。一個獨立進程環境中的敏感信息，即從用戶的本地操作系統環境中分離出來——基本上是一個“氣泡”——其中的安全和備份性能是由IT控制。進程保護模式有很多優勢：本地執行、脫機操作、中央管理和一個高精度的安全控制，包括遠程擦除功能。但是要記住，大多數操作系統和應用虛擬化產品僅支持英特爾或Windows。
4.數據保護：文檔自我保護不受位置限制
鑒于以前的模式都設法通過控制運行環境來處理信息，而數據保護模式保護的是數據本身。如企業版權管理（ERM）這樣的技術可直接訪問文件規則。無論文件放置在何處，這些依靠密碼方式強制執行的規則都是適用的，這是一個重要的優勢。所有零信托數據安全戰略里的模式保護數據都是最精細、最有效的，因為它的重點是信息，而不是信息的載體。
這種模式缺點之一是，ERM的每個終端都需要客戶端代理。該技術還會給部署帶來挑戰：一些機構告訴弗里斯特研究公司，ERM的商業客戶制定的政策有時過于嚴厲，使得數據難以獲取，而且政策不能很好地適應機構改革。
5.跟蹤：明確重要的信息移除的時間
零信托數據安全設計的第五種模式使用的是補充數據檢測控制技術，用來檢測、記錄和選擇性封殺物理或邏輯企業邊界的敏感數據。數據泄漏防護（DLP）技術和較小程度的安全信息和事件管理（SIEM）工具，是這一模式的重要組成部分。
該模式的主要優點是，它可以檢測敏感數據，因為它在邏輯安全邊界以外運行，所以它能很好地理解信息流的速度和方向，并發現異常傳輸。不幸的是，大多數企業都不能要求其業務伙伴在他們的計算機上安裝的DLP代理。基于這個原因，企業應把空中監管模式作為個人電腦保護的一種補充。
【編輯推薦】
