大型企业内网终端常见安全风险及应对措施

吴体康 王博滟

南京莱斯电子设备有限公司 江苏 南京 210000

引言

随着计算机技术、网络技术和通信技术的飞速发展和广泛应用，给我们的工作和生活带来了极大的便利，它支撑了企业业务的快速高效运转，让人们进行便利的工作与生活，“云大物移”正在快速改变世界。但科学技术本身就是一把双刃剑，互联网给人们带来便利的同时也存在着较大的风险，这就是频繁发生的信息安全问题。为此，许多重点行业企业，为了规避风险，将企业财务预算、项目管理、公文档案等重要应用部署在内网，以防止商业秘密、内部敏感信息泄露[1]。但是由于在运行维护、人员意识、技术防护等方面的不足，今年近年来发生的内网泄密案件可谓层出不穷，例如：汇丰银行因一员工离职导致大量客户资料泄露，国内某大型船厂的关键技术数据被非法拷贝等。企业内网中的用户终端（下文简称：终端）是企业员工进行业务流程处理、项目管理、数据存储等工作的主要设备，企业往往对应用系统、网络设施、边界防护等方面较为重视，负责操作管理人员的技术水平和安全意识较高，发生问题的概率较低。但在内网终端管理这方面，往往存在较大的管理缺失，有数据提示大型信息系统60%以上的违规和攻击行为来自内网计算机终端，因此对内网终端的管控非常重要。

1 内网终端安全风险分析

1.1 终端运维不规范

内网的运行维护是为了适应系统的环境和其他因素的各种变化、保证系统正常工作而对系统所做的修改，包括系统功能的改进和解决系统在运行期间发生的问题。涉及内网终端运维主要工作内容为[2]：制定运行维护操作规程、台账维护、安装部署、策略配置、变更实施、设备维修、日常安全管理、安全检查和审计等。出于对内部信息安全保密的考虑，大型企业往往趋向于内部机构人员负责运行维护工作，同时往往是注重与核心服务器、存储、应用系统和骨干网络的运行维护工作，忽略了信息系统终端运行维护的重要性。存在维护操作规程编写不细致、与实际操作不符，运维人员兼职不专业，安全检查和审计流于形式等情况，造成终端安全策略配置有误，安全监控软件未正确安装，终端审计功能异常等各类问题。并且安全审计员对于显而易见的安全风险和漏洞也不能及时发现，不能及时报告和处置。

1.2 员工信息安全意识和知识技能不足

为提升员工安全保密意识和技能，大型企业会制定年度培训计划，内容涵盖信息安全方面，但公司级培训参与人员主要是安全管理人员，很难兼顾到每一位员工。而部门级培训往往流于形式，部门大多重视业务工作而轻视信息安全，培训组织者通常是将学习内容通过邮件发给员工，员工往往只是粗略浏览一下，没有实际掌握相关要求。在某近五千人的大型企业进行抽样调查：终端选择数字、字母、符号、大小写这种相对最为安全的组合密码设置规则的人仅为三分之一；接近一半的受访者不设置计算机屏保密码验证，70%的受访者短时离开电脑不进行锁屏；大约60%的受访者计算机数据不做备份或不定期做备份[3]。员工信息安全意识及技能的不足，往往造成在“不知不觉”中泄露企业涉密信息。比如：内网终端违规连接互联网、使用私人移动介质拷贝内网机密文件等等，会给企业造成重大损失。

1.3 信息数据交换存在隐患

大型信息系统内/外部数据交换频繁，内网用户之间数据交换通常采用即时通信工具、内网邮件系统和涉密文件传输系统等途径。而用户自主选择文件发送通道，存在一定的隐患漏洞。例如：用户为避免烦琐的审批程序或者一时疏忽，在即时通信工具中直接发送涉密信息，造成信息失控。与外部的信息交换中，一般管理较为严格的企业建立统一的输入输出终端，由专人管理，但是也可能会存在非密信息输出流程中夹带涉密信息的隐患。

1.4 终端技术防护手段不足

企业购置的内网终端一般是普通的台式计算机或者工作站，在安全防护方面的设计较为简单，企业根据自身情况在安全加固、数据备份等方面做了些工作，但总体上归纳起来还有以下四点不足：一是物理防护不足，企业场地内人员出入管控宽松，计算机机箱及端口无防护，可以随意开启，外来人员有机会窃取设备内涉密信息；二是病毒、木马在内网终端间传播，造成严重损失。根据BlueVoyant最新发布的《高等教育网络安全报告》，勒索病毒成为2020年高等教育行业的头号威胁，攻击数量增加了100%，平均支出总计近45万美元；三是终端缺少重要数据备份手段，一旦终端存储介质物理故障，很难恢复数据，给企业造成重大损失[4]。

2 终端安全风险应对措施

2.1 运维工作规范化

2.1.1 持续改进运维制度和操作规程。按照企业信息系统安全策略的总要求，对运维制度和操作规程进行优化改进。运维工作制度应包含终端设备和存储设备的管理、使用、维护等各方面的要求，明确信息化部门、运维机构、保密管理部门以及相关人员的具体职责，以充分保障安全策略相关的各项规定和要求，确保安全策略的有效实施与落实。操作规程应按照企业安全现状明确实施安全策略的资源、设备、工具和人员，确定系统管理员、安全保密员和安全审计员管理权限的划分和变更流程，明确实施安全策略时应当履行的规定程序和具体步骤，让策略确实能够一步步的指导实际操作。当终端物理环境、安全产品、风险威胁发生变化时，要及时调整安全策略、运维制度和操作操作规程。如企业周边环境发生变化，设备安全距离发生变化，应采取相应的物理防护、电磁防护手段，并采取相应的管理措施，确保设备内存储、处理的内部信息不被窃取。

2.1.2 提升运维人员专业化水平。专业的事应当由专业的人来做，对于大型企业来说，内部人员分工精细化，在运行维护工作方面，应当建立一只专业化的团队。专业的运维人员，往往是“一次性把事情做对”。这看似企业在专职人员方面多投入了，其实减少了不必要的差错和损失，也大大减少了发生重大安全事故的概率，总的人力成本反而少了。另外，对于人员的专业化能力要有一定的评价机制，鼓励运维人员参加信息安全工程师、系统规划师、涉密信息系统安全管理人员等专业培训，取得专业能力证书，一方面能够使运维人员具备足够的信息安全技能，另一方面也有助于企业人才培养，为企业信息安全持续发展打下好的基础。

2.1.3 建立统一整合的一体化运维管理平台。建立一体化态势感知运维管理系统，对终端状态及用户行为进行采集、存储和分析，智能识别终端违规行为并报警，系统能够自动出具标准的安全审计报告，为安全保密管理员、安全审计员及时掌握企业内部终端安全状况提供手段，进而提升系统总体安全事件的应急响应及处置能力。

2.2 提升员工安全意识与技能

企业信息安全“责任重于泰山”。内网终端大量存储、处理内容涉及企业内部的敏感信息和商业秘密，信息泄露不仅是对企业的重大损失，也可能会对社会秩序和公共利益造成损害，有的还甚至关系到国家的安全和利益[5]。因此，加强企业各级管理人员和员工的安全意识与技能刻不容缓。一方面，企业要通过各种活动与各种平台进行网络信息安全意识的宣传，比如制作应知应会手册发放，拍摄专题宣传片，使用电子屏、展板进行安全提醒，开展专题讲座与培训，组织信息安全知识考试和有奖竞赛，让员工深入领会信息安全的危害性，从而引起重视。另一方面，也可以鼓励员工主动通过手机App、公众号等多种途径学习，提高自身信息安全意识和自身防范信息安全的素质。

2.3 有效把控信息流向

2.3.1 部署电子文档密级标识管理系统。针对内外部数据交换过程中存在保密风险，保障数据信息在安全的状态下进行交流、存放和管理，部署电子文件密级管理系统。系统兼容商密和国密加标算法，其核心功能是终端进行电子文件标密与使用的过程中，确保密级标志和电子文件不可分离，其自身不可篡改。还可借助系统实现电子文件的定密管理功能，对终端进行标密电子文件访问控制，并对标密电子文件的操作使用和密级标志变更等行为进行审计记录。

系统从定密流程开始，到标志管理、标志警示、标志保持、解密提醒、文件管控、文件外发、审计与日志等各个过程实施管控。涉密文件在终端用户编写生成过程中必须生成相应的密级标识属性，它绑定到电子文件中，不能被用户随意去除，即使将文件另存或者转换格式，也无法消除密级属性，防止了违规除去密级标识的行为。使用系统可实现对标密文件细颗粒度的权限管控，对哪些人具有阅读、打印、编辑、复制等权限进行管控，没有权限的终端即使接收了文件也无法打开。通过密级标识系统的部署，不但能够减少故意违规行为，也能减少不必要的误操作，减轻系统的维护成本，使电子文件信息的知悉范围管控更加智能化。

2.3.2 对即时通信、邮件内容进行审计。实施即时通信工具和邮件系统的审计，通过对通信内容进行抓取，对比敏感关键字发现违规通信内容。实际应用过程中，不光比对“商业秘密”、“内部资料”、“机密”等常见密级标识字段，还可选择企业涉及的具体项目/业务敏感关键词语进行比对，通过大数据分析筛选出可疑通信内容。安全管理机构组织对可疑通信内容进行专业化研判，如确认违规则实施进一步的调查和处理。

2.4 完善技术防护手段

2.4.1 物理防护。企业首先要保障办公区域、终端设备和各种线路不受自然环境、自然灾难、人为物理破坏、电力中断等影响正常运行，同时防止因电磁泄漏而影响系统的保密性，保证环境安全，从而保障终端的正常运行及数据的安全保密。环境防护通常包括配置安保人员值班，配置电子门禁系统、红外报警系统和视频监控系统，并定期由相关部门对周界安防设备进行检测、维修，保证设备正常使用。终端本身的防护包括采用机箱铅封、机箱铁笼、物理封闭多余端口等多形式，从物理接口上杜绝违规外联的发生，虽然做法上显得有些简单粗暴，但是实际应用过程中，配合计算机安全策略的设置及管理口令的严格管控，取得了很好的防护效果。

2.4.2 病毒、恶意代码防护。首先要解决企业采用手工进行病毒库分发、升级、配置和查杀的问题，企业可建立集中、智能和自动化的防病毒体系，在内网终端上自动化的完成客户端安装、维护、配置，以及病毒特征库和扫描程序的升级、定时扫描、实时防护、防病毒策略的分发等功能，同时可根据需要实行灵活的多级管理。管理功能的强制性可以保证所有的终端防病毒客户端及时升级、查杀，并保持防护策略的一致性。另外，终端本地也要关闭不必要的端口和应用程序，及时更新系统补丁，最大限度地减少攻击者可以利用的漏洞；要关闭存在安全隐患的服务，使用最小权限策略，将那些利用root权限的恶意软件影响到最低；用于数据交换的计算机要使用不同种类的杀毒软件，提高病毒木马发现和查杀的能力。

2.4.3 云终端的安全应用。云终端是通过虚拟化技术实现“集中终端、分布显示”，终端数据不在本机存储，都在服务器端集中进行处理，终端设备仅负责输入输出与界面显示，云终端的模式使得数据存储更安全可靠。企业应用云终端模式后，终端无法被病毒、恶意代码攻击，同时由于后台服务是由专业人员维护，大大减少了被病毒、恶意代码攻击的可能性。另外，由于云终端所有数据都存在云端，由专业人员定期进行备份，数据存储安全性大大提高，保证数据不丢失。云终端身份认证和访问控制策略更加严格，企业可采用USBKey+口令或者生理特征等方式对用户身份进行认证，所有数据的访问都是基于用户权限的，本地无硬盘也避免了暴力拆解机箱窃密的可能。云终端也可对终端安全运维带来很大便利，不用一台台安装安全保密产品、配置策略，大大减少现场安全检查的工作量。系统的漏洞修复也非常简便，基本可以忽略终端数量对工作量的影响，只要在服务器端进行批量部署操作。

3 结束语

信息系统目标是服务于用户，用户终端的安全是企业信息安全的重要内容。本文对大型企业内网终端的安全风险进行了分析和阐述，并针对问题提出了文件标识系统、物理防护、云终端安全等互补的解决措施和建议。通过采取相应的措施和手段，可以进一步强化企业内网终端安全，保障企业信息安全。通过本文的研究可以对一些企业和单位强化内部网络安全起到一定的借鉴作用。