越來越復(fù)雜的威脅、持續(xù)提高的規(guī)章要求以及持續(xù)發(fā)展的應(yīng)用程序，不斷帶來企業(yè)網(wǎng)絡(luò)安全新問題。由于管理問題，增加更多的單點(diǎn)式解決方案并不總是最佳方案。Fortinet公司亞太區(qū)銷售副總裁Jens Andreasssen先生考慮的是企業(yè)如何才能夠開展一種實(shí)用的安全差距分析，以及選擇合適的廠商來幫助提高網(wǎng)絡(luò)安全而無須增加管理的復(fù)雜性。

　　試圖保證網(wǎng)絡(luò)安全的IT管理者們每天面臨復(fù)雜的挑戰(zhàn)，因?yàn)樗麄兠鎸?duì)的威脅越來越復(fù)雜化，合規(guī)負(fù)擔(dān)不斷增加，并且新的應(yīng)用和技術(shù)也帶來了更多漏洞。

　　黑客們目前更多關(guān)注的是獲取經(jīng)濟(jì)利益而不是揚(yáng)名立萬，而有組織的犯罪在網(wǎng)絡(luò)安全斗爭(zhēng)中開始占據(jù)越來越大的比重。此外，因?yàn)榫W(wǎng)絡(luò)層要求保持持續(xù)的警惕并且已經(jīng)開發(fā)了各種防火墻和入侵防御系統(tǒng)（IPS），因此這不僅是網(wǎng)絡(luò)層的安全問題，它還包括內(nèi)容（數(shù)據(jù)）層。

　　信息安全、防病毒、反垃圾郵件、網(wǎng)頁過濾、反間諜軟件…這個(gè)所需技術(shù)的清單還在不斷地加長(zhǎng)，小型企業(yè)要想跟上這個(gè)速度很困難。

　　規(guī)章與最佳應(yīng)用的指導(dǎo)原則給IT管理者們帶來了責(zé)任的重?fù)?dān)。他們不僅必須采用最新的技術(shù)來應(yīng)對(duì)潛在的威脅，而且必須證明已竭盡所能來保護(hù)敏感的數(shù)據(jù)和網(wǎng)絡(luò)。

　　各種流量和活動(dòng)都必須記入日志，以便于審查并證明其合規(guī)，另外也是為了方便取證。這一點(diǎn)對(duì)于查明并迅速修補(bǔ)網(wǎng)絡(luò)安全制度方面的漏洞至關(guān)重要。這些更加重了他們的負(fù)擔(dān)。

　　因此，為了全力提高經(jīng)營效率和獲得競(jìng)爭(zhēng)優(yōu)勢(shì)及業(yè)務(wù)成功，IT管理者們辛勤工作，努力提供更好的用戶移動(dòng)性、互連互通性和第三方網(wǎng)絡(luò)接入。

　　通過增加新的應(yīng)用或升級(jí)現(xiàn)有的應(yīng)用來實(shí)現(xiàn)對(duì)各個(gè)新技術(shù)的最基本改善，或許可以提高業(yè)務(wù)績(jī)效，但不幸的是，也增加了新的攻擊漏洞。

　　實(shí)用的網(wǎng)絡(luò)安全 

　　IT安全一般只是總體IT預(yù)算的一部分，而總體IT預(yù)算又只是總體業(yè)務(wù)預(yù)算的一小部分。我們不僅需要按照各種威脅對(duì)業(yè)務(wù)的潛在影響對(duì)它們進(jìn)行分級(jí)，而且還需要平衡IT預(yù)算中與之相關(guān)的技術(shù)和產(chǎn)品及其它東西。所有這一切都必須按照規(guī)則進(jìn)行，以降低與資本支出相關(guān)的運(yùn)營費(fèi)用。

　　這就解釋了為什么大家對(duì)整合網(wǎng)絡(luò)安全功能越來越感興趣，因?yàn)樗軌蚪档筒捎煤凸芾戆踩O(shè)施的復(fù)雜性和成本。

　　但它同時(shí)還為關(guān)注這種統(tǒng)一的IT管理者提供了一種特別實(shí)用的方法，該方法可總結(jié)為如下三點(diǎn)：

　　1）安全更多地被視為網(wǎng)絡(luò)和應(yīng)用可用性的一個(gè)重要部分，這種可用性使得用戶能夠完成他們的工作。在實(shí)踐中，安全技術(shù)和產(chǎn)品的選擇是通過它們?nèi)绾畏?wù)于這一目標(biāo)而決定的。這種方法的一個(gè)好處就是能夠按照總體IT目標(biāo)和業(yè)務(wù)底線輕松地做出安全方面的決定。

　　2）許多公司認(rèn)為廠商整合要么完全不做，要么就做完全，而另一些公司則仍然堅(jiān)持購買完全不同的“最佳血統(tǒng)”單功能產(chǎn)品。但實(shí)際情況是：即使整合兩、三項(xiàng)功能也能帶來莫大的好處，如減少管理的復(fù)雜性、降低對(duì)環(huán)境的影響（因?yàn)樵O(shè)備較少）和提供更高的投資回報(bào)。當(dāng)采用完全不同的廠商設(shè)備時(shí)，這些因素將有助于減少問題，使網(wǎng)絡(luò)免受不斷演變的安全“威脅”。

　　3）無論采用什么，都必須對(duì)現(xiàn)有的安全投資進(jìn)行補(bǔ)充。這個(gè)幾乎是顯而易見而毋庸贅述的，但太多的廠商好像認(rèn)為他們的解決方案勝過IT管理者多年的謹(jǐn)慎投資、實(shí)施、培訓(xùn)和經(jīng)驗(yàn)。管理的復(fù)雜性永遠(yuǎn)不可能完全避免，但卻可以通過選擇合適的廠商來降低。

　　發(fā)現(xiàn)并填補(bǔ)網(wǎng)絡(luò)安全缺陷 

　　制定小規(guī)模網(wǎng)絡(luò)整合計(jì)劃和從統(tǒng)一威脅管理中受益的一個(gè)方法是：將IT基礎(chǔ)設(shè)施劃分為功能性網(wǎng)絡(luò)分區(qū)，這些分區(qū)可以是物理的（例如：數(shù)據(jù)中心或核心網(wǎng)）或者是邏輯的（例如：訪客接入或電子郵件通信）。通過這個(gè)計(jì)劃，就能夠弄清楚存在什么樣的安全缺陷，以及如何才能使IT管理員最終確定適當(dāng)?shù)慕鉀Q方案。

　　IT管理員應(yīng)該問一個(gè)簡(jiǎn)單的問題：各功能網(wǎng)絡(luò)分區(qū)是否采用了適當(dāng)?shù)漠a(chǎn)品和技術(shù)。

　　·周邊 

　　·數(shù)據(jù)中心 

　　·核心網(wǎng) 

　　·ROBO/SOHO 

　　·安全的電子郵件通信 

　　·終點(diǎn)

　　周邊 

　　網(wǎng)絡(luò)周邊是第一道防線，是各種外部威脅的焦點(diǎn)，特別是網(wǎng)絡(luò)和內(nèi)容層上有犯罪目的的外部威脅。潛在的缺陷常見于VPN（IPSEC或SSL）、防火墻、入侵防御系統(tǒng)（IPS）以及各種防病毒解決方案——吞吐量、可用性、最新的威脅程序等等。

　　數(shù)據(jù)中心 

　　數(shù)據(jù)中心有著各種服務(wù)器和應(yīng)用程序，幫助企業(yè)用戶開展工作。這里的最大挑戰(zhàn)是吞吐量和實(shí)時(shí)操作，特別是與重要應(yīng)用程序防病毒和內(nèi)容掃描有關(guān)的吞吐量和實(shí)時(shí)操作。如果安全解決方案跟不上，某些東西就會(huì)溜進(jìn)來，對(duì)許多用戶造成影響，即便不是全部用戶。

　　核心網(wǎng) 

　　核心網(wǎng)上的挑戰(zhàn)包括巨大帶寬和大量的并發(fā)會(huì)話，以及小數(shù)據(jù)包實(shí)時(shí)應(yīng)用程序的存在，如IP語音（VoIP）。

　　許多解決方案聲稱針對(duì)512字節(jié)的高吞吐量。但實(shí)際上，處理較小數(shù)據(jù)包時(shí)性能通常會(huì)顯著下降。盡管核心網(wǎng)主要與防火墻、VPN及IPS運(yùn)營有關(guān)，但是選擇的解決方案必須提供可擴(kuò)展的容量、性能、高可用性和冗余性。這屬于加速網(wǎng)絡(luò)和內(nèi)容層保護(hù)能力的ATCA硬件和專用ASIC處理器的范疇。

　　遠(yuǎn)程辦公/分支機(jī)構(gòu)辦公（ROBO）和小型辦公/家庭辦公 

　　遠(yuǎn)程辦公/分支機(jī)構(gòu)辦公（ROBO）和小型辦公/家庭辦公（SOHO）帶來了許多同樣的問題，同時(shí)還增加了無線網(wǎng)絡(luò)和各種接入設(shè)備（如：DSL調(diào)制解調(diào)器）的漫游用戶和攻擊漏洞，以及語音和其它實(shí)時(shí)應(yīng)用程序的存在。簡(jiǎn)單查看任意解決方案的小數(shù)據(jù)包吞吐量非常重要。

　　安全的電子郵件通信 

　　電子郵件占據(jù)了病毒感染的第一位，它是數(shù)據(jù)不安全的主要源頭，法律爭(zhēng)議的主要媒介。在合規(guī)性方面，先進(jìn)的歸檔功能是一項(xiàng)重要的功能，而外發(fā)內(nèi)容過濾能夠保護(hù)重要的機(jī)密信息。

　　終端 

　　深度防范要求密切關(guān)注網(wǎng)絡(luò)上的各終端：臺(tái)式電腦、筆記本電腦以及越來越多的PDA等。這方面的安全缺陷可能損害網(wǎng)絡(luò)和應(yīng)用的完整性，而能夠符合企業(yè)安全標(biāo)準(zhǔn)是關(guān)鍵。防范間諜軟件和病毒的能力尤其重要。個(gè)人防火墻和可靠的VPN客戶端可以再增加一道防護(hù)。

　　融為一體 

　　考慮統(tǒng)一威脅管理（UTM）解決方案時(shí)，無論對(duì)于整個(gè)網(wǎng)絡(luò)安全功能還是其中的一部分，重要的是選擇的廠商不僅要提供各種安全技術(shù)，而且還要提供統(tǒng)一的管理、報(bào)告及威脅分析。否則，各種完全不同的終端產(chǎn)品還是會(huì)產(chǎn)生同樣的管理負(fù)擔(dān)，對(duì)操作費(fèi)用帶來更大的影響。

　　 統(tǒng)一的管理、報(bào)告及分析 

　　安全基礎(chǔ)設(shè)施的管理主要涉及到安全策略的制定、發(fā)布和實(shí)施，以及網(wǎng)絡(luò)各部分多種安全設(shè)備配置的管理。UTM解決方案應(yīng)提供一種單一的管理控制平臺(tái)，具備統(tǒng)一的安全功能、策略提供及配置修訂控制，從而實(shí)現(xiàn)精細(xì)的管理控制。

　　策略管理要求強(qiáng)大的報(bào)告功能，這些功能能夠?qū)⒏鞣N設(shè)備和技術(shù)的活動(dòng)整合起來，同時(shí)提供網(wǎng)絡(luò)容量并利用各種數(shù)據(jù)來實(shí)現(xiàn)良好的網(wǎng)絡(luò)管理。預(yù)定及按需提供的報(bào)告，加上大量的標(biāo)準(zhǔn)報(bào)告，意味著在需要的時(shí)候能夠輕松地進(jìn)行定制。這些功能包括事件相互關(guān)系、取證分析及漏洞掃描等，在與管理控制平臺(tái)更密切地整合后，都變得非常重要。

　　 統(tǒng)一威脅研究 

　　任何UTM解決方案都依賴于資料、特征、URL和其它威脅信息的及時(shí)更新，以便跟進(jìn)迅速演變的威脅。自動(dòng)更新就能夠做到這一點(diǎn)，但是以小時(shí)而不是天數(shù)計(jì)算的最新服務(wù)層協(xié)議卻通常無法保護(hù)網(wǎng)絡(luò)。

　　總結(jié) 

　　

　　統(tǒng)一的安全解決方案，即便只有兩、三項(xiàng)功能，也能夠?yàn)殛P(guān)注網(wǎng)絡(luò)安全的IT管理者們提供一種方法，在他們的網(wǎng)絡(luò)基礎(chǔ)設(shè)施中整合多種新型的安全技術(shù)。解決方案必須提供統(tǒng)一的管理和報(bào)告控制平臺(tái)，將所有的東西融合為一體。如果沒有這些東西，該解決方案就無法實(shí)現(xiàn)降低操作成本的要求。

　　網(wǎng)絡(luò)應(yīng)該受到端到端UTM解決方案的全面和統(tǒng)一的保護(hù)，這樣的解決方案使IT管理員能夠靈活地利用適用于環(huán)境的安全功能來保護(hù)網(wǎng)絡(luò)的各個(gè)部分。    

　　關(guān)于作者：Fortinet公司亞太區(qū)銷售副總裁Jens Andreasssen先生簡(jiǎn)介 

　　Jens Andreassen先生現(xiàn)任亞太區(qū)銷售副總裁，負(fù)責(zé)開拓亞太區(qū)市場(chǎng)并推動(dòng)銷售業(yè)績(jī)。Jens于2002年加盟Fortinet公司，擔(dān)任歐洲、中東及非洲地區(qū)新創(chuàng)立的地區(qū)分支機(jī)構(gòu)總經(jīng)理，并于2004年被任命為全球銷售副總裁，負(fù)責(zé)管理公司收入70%的業(yè)務(wù)。

　　Jens擁有20年的全球銷售和業(yè)務(wù)開發(fā)經(jīng)驗(yàn)，此前曾在Narus,Micromuse和TandbergASA擔(dān)任重要的銷售和行政職位。

　　Jens擁有位于奧斯陸的挪威管理學(xué)院工科學(xué)士學(xué)位和商業(yè)及營銷學(xué)碩士學(xué)位，還獲得麻省巴布森學(xué)院MBA學(xué)位。

文章作者：慧聰網(wǎng)通信行業(yè)頻道