分析：五种方法防止企业数据外泄

《分析：五种方法防止企业数据外泄》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、分析：五种方法防止企业数据外泄～教育资源库　　很多企业都会利用防火墙限制员工可联机的网站，但其实现在已经有很多可以自动和代理服务器联机的软件，只要安装就能轻易穿透企业防火墙的控管，使得防火墙等于形同虚设。这除了造成企业数据外泄的风险，实际上许多代理服务器本身就是恶意程序的。企业必须建立起一套管理的制度，要管到多严？目的是为了什么？这些都是必须在搭配各种配套的工具时，事先想好的重点。在有了这样前提的体认之后，我们就介绍怎么利用上述不同的工具，达到防堵此类代理软件的效果。　　方法1：网络存取控制(NAC)　　目前有许多厂商都已推出NAC(NetployeeInterManagemen

2、t，EIM)，此类设备也能减轻一定程度的风险，也是比较多人目前有在使用的做法。达友科技信息安全顾问林皇兴表示，目前台湾约半数的金融业都装有设备。以下就将以较多人使用的irror)的流量，判断出封包的特征，进而与已知的特征比对，如果发现是上述的代理软件，就会自动将其联机阻断。　　至于那些没有办法透过特征发现的代理服务器联机，林皇兴表示，可以透过设备的继续模式达到阻挡的效果。该模式是指设备除了支持阻断与开放外，还支持一种介于两者之间的继续功能，对于无法分类或是企业设定规则的联机类别，会自动在浏览器页面跳出一个继续的按钮，使用者必须按下继续的按钮，才能浏览网页。而当内部使用者透过代理软

3、件试图与代理服务器连接时，由于代理软件虽然伪装成HTTP联机，但是在与代理服务器进行连结时，本身并不会开启浏览器页面，自然也不会自动按下页面中的继续按钮，如此一来便无法与代理服务器建立连结，使用者也就无法以代理服务器为跳板，穿透防火墙，规避公司管理。　　不过，正如前面谈到，此种以网关器过滤的方法，都有一个共通的不足之处，那就是这些网关器设备都必须透过特征来判断连结的流量是否有异，但是偏偏自由门、Tor等代理软件，种类过多，又更新快速，这使得网关器产品在防堵内部员工使用此类软件穿透防火墙时，总是有未逮之处，例如如果封包内容加密，或是新版本的代理软件出现，都很有可能无法侦测出。　　而

4、EIM产品虽然能够控管员工的上网行为，设立政策分类管理，并且有效的阻断联机，但当员工使用代理软件试图穿透其防范时，此类产品也会有特征更新的问题。举例来说，如果使用自由门，现在的设备可能就无法侦测出。此外，上述提到的继续模式，虽然能够阻挡代理软件联机，但这必须在企业联机政策涵盖范围很广的状况下，才有用。如果企业为了减少对使用者上网的冲击，而没有对所有人都采用继续模式的政策，那么防堵的效果还是有限。不过类似此种EIM产品还是可以留下容易调阅联机的记录，如果搭配企业内部自己架设的代理服务器，还能针对内容做过滤与检查，让信息人员在真正发生资安事件时仍有证据与记录可以提出。123下一页友情

5、提醒：，特别！　　整体来说，使用此类产品来防范员工穿透防火墙，还是有一定的减轻效果，但无法像从终端着手来得全面，不过也由于设备建置在网络端，对于使用者的影响较小，受到的反弹较低。　　方法3：实体管理政策　　这是所有防堵方法中最重要的一环，因为无论终端计算机上如何做限制，或是透过网关器如何防阻，如果没有实体设备的管理政策做配合，内部员工还是很有可能透过由外携带进来的计算机或无线网卡，直接连网，绕过防火墙、终端计算机或网关器的控管，形成资安风险。但若政策制定得过度严谨，势必会影响到使用者使用计算机的习惯，通常是非常重视机密数据安全保护的企业才会使用。　　举例来说，敦阳科技资深经理李欣

6、阳就表示，他们某个高科技制造业的客户就将所有终端计算机的USB接口封锁，并且将能够存取研发数据的计算机集中到一区，从实体网络上与企业其它单位的内网分离，并且不与因特网连结，并且出入会检查是否有携带网卡或计算机、相机，确保机密数据的安全，要求所有人工作就必须在该区完成。部分金融业也会将可以连上因特网的计算机集中到同一区，其它计算机则让它们没有办法与因特网连结。　　当然这些可能都是较为极端的例子，但是也可显示出搭配管理政策的重要性。如果企业管理员工上网行为，希望员工不要由内穿透防火墙，其背后的最重要的目的就是要保护机密数据不外泄，那么此类的配套管理措施就是必需的，否则很有可能会成为管

7、理上的漏洞。员工只要带一张3G网卡，加上自己的计算机，然后透过USB接口的随身碟将机密数据转存至自己的计算机上，轻而易举就能将机密数据外泄。当然，为了防范这种情况发生，有效的实体管理政策，搭配上数据加密的方案，将能够降低风险。　　许多技术上的防范方法，总结到最后还是必须搭配相对应的管理政策才会有效，举例来说，如果企业在终端计算机做了应用程序白名单的防堵、网关器端装设过滤的设备。但内网没有做存取控制，使用者自行带入的计算机只要与网络连结，同样可以透过安装代理软件达到穿透防火墙的效果