企业桌面安全系统应用与研究

《企业桌面安全系统应用与研究》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、企业桌面安全系统应用与研究随着社会信息化程度的不断提高，企业的信息化进程也在加速，然而，信息化在给企业带来效益的同时也给企业的信息安全和经营管理带来了一些负面影响，如信息泄密、员工利用计算机从事与业务无关的活动等等，因此，企业在制定齐种信息安全规章制度的同时，也迫切需要通过技术手段来防范各种安全漏洞、规范员工的计算机操作行为，于是，为满足企业需求的桌面安全管理系统（也称Z为内网安全管理系统）便应运而生。笔者所工作的单位曾经先后使用过三种桌面安全系统，因而对于桌面安全系统有较多的体验，木文根据笔者的经验，谈谈在桌面安全系统使用方面的体会。•、桌面安全系统的功能冃前，市面上的桌面安全系统有

2、很多，较为知名的系统有VRV、LanSecs,Topdesk以及D-Securer等，这些系统从大的方面看功能比较接近，通常都具有以下功能：1.网络管理：对客户端的IP地址和计算机名进行管理；非法接入报警与阻断；违规外联报警与阻断。2•行为审计：对客户端的文件操作、文档打印、共享设置、移动介质存储、黑白名单、注册表、账户密码强度、病毒库版本等进行审计，一些系统还提供对客户端的即时通讯、邮件收发和网站访问行为的审计，甚至对客户端的屏幕进行截屏。3.应用服务：远程协助；补丁升级；软件分发；文件加密。4.资产管理：对客户端的软硬件资源进行统计、监控和预警。随着功能的不断丰富，桌面安全系统的已

3、经成为集网络管理、上网行为管理和资源管理等诸多功能为一身的综合性安全系统。二、桌而安全系统的组织架构对于屮小规模的计算机网络，其桌面安全系统的组织架构较为简单，不须分级管理，然而对于拥有几千个甚至几十万个网络节点的大规模和超大规模的计算机网络，则需要实行分级管理，不同级别的管理员拥有不同的管理权限，最高级别的管理员可以查询全网的各种信息，并制定全局性的安全策略，低级别的管理员只能查询本单位的信息，并制定仅适用于木单位的安全策略。三、桌面安全系统的部署方式冃前，儿乎所有的桌而安全系统都是采取客户端/服务器方式部署，在网络内的每一台计算机上安装客户端软件，计算机在安装了客户端软件后，系统自

4、动将客户端的网络参数和软硬件信息上传至服务器，并定时与服务器进行信息交换。通常在一个网段内，系统会自动或由人工设定一台或多台计算机作为该网段的“探针”（也有称Z为“警察”或者“种子”的。“探针”负责对木网段内的计算机进行扫描检查，一旦发现非法入侵者，便向服务器发出警报，同时向入侵者发起阻断攻击，除此之外，“探针”还可以担负补丁中转分发的功能。四、桌面安全系统的关键技术对于企业的信息化工作，企业负责人最为关心的是耍保证企业的信息安全，因此，桌而安全系统必须能够做到事前防止非法接入，事后能够进行追溯。从技术角度分析，事后追溯比较容易实现，事前防范的难度较大。冃前，实现非法接人阻断的方式通常

5、有两种，一是“硬阻断”，即将桌面安全系统与交换机实现联动，当发现本网段内有非法接入的计算机时，立即通知交换机将所连接的端口关闭，通常凡是支持802.1X协议的智能交换机都可以实现这个功能。二是“软阻断”,桌面安全系统通过“探针”对非法接人者进行ARP“广播”欺骗攻击。方式一的阻断效果较好，但是，它要求网内的所有交换机都支持802.lx协议，对于小规模的的计算机网络，由于投资不人，比较容易实现，但是，对于规模较大的企业网络而言，将原有的普通交换机升级为智1能交换机，需要投入巨额的改造资金，实现起来难度较大。方式二不需要另外的投资，但是，出于这种方式是通过“广播”來实现的，“广播”少的时候

6、不起作用，“广播”多的时候又会造成网络阻塞，另外，如果入侵者采取了反ARP攻击的措施，也不会起到阻断的效果。除了阻断方式外，跨平台应用也是目前桌面安全系统中的一项关键技术，桌面安全系统不仅耍兼容用户量最大的各种Windows版木，而且还要支持各种版本的UNIX平台和LINUX平台，冃前，多数系统仅支持Windows平台，支持多平台的桌面安全系统并不多见。五、桌面安全系统存在的问题首先，目前市场上的桌面安全系统在安装部署阶段都是在用户计算机上执行安装程序，系统通过安装程序采集用户端的信息。根据实践经验，由于管理上的不到位，或者用户出于抵触心理，在此过程中系统采集到的信息有很多都是不准确的

7、，如果事后讣管理员一一进行核实更正，理论上这么做是可行的，实际上不仅费时费力，而見对于一个大型网络也是不现实的。比较科学合理地解决的办法就是对部署方式和安装程序进行改进，即在安装部署Z前，对网内所有计算机的IP地址和计算机名进行统一规范，并将这些信息提前导人到系统的数据库中，安装程序执行时，首先要把用户计算机的IP地址和计算机名与事先导入系统屮的数据进行比较验证，若不匹配则不能继续执行。笔者所在单位的实践证明，这是一种比较有效的部署方式，既保证