從訪問控制的角度，分析傳統(tǒng)的企業(yè)網(wǎng)絡(luò)的安全狀況，存在三種嚴(yán)重的安全缺陷。（1）不能保證企業(yè)網(wǎng)內(nèi)主機可信，即沒有明確的企業(yè)網(wǎng)安全設(shè)備邊界，這樣造成的嚴(yán)重安全隱患是惡意主機可以方便地接入企業(yè)網(wǎng)絡(luò)，進行恣意的網(wǎng)絡(luò)破壞和竊密活動。（2）不能保證企業(yè)網(wǎng)內(nèi)用戶的可信，即沒有明確的企業(yè)網(wǎng)安全用戶邊界，這樣不僅造成終端使用者行為不可控，而且造成了他們的行為不能有效審計，在安全事故發(fā)生后，出現(xiàn)了難以有效追蹤和定位泄露源以及追究泄密者安全責(zé)任的尷尬局面。（3）不能保證服務(wù)資源的使用者可信，即沒有可靠的服務(wù)資源的安全使用邊界，因此惡意竊密者可以利用可以接觸的網(wǎng)內(nèi)任意主機進行暴力攻擊（如密碼的字典攻擊）和旁路攻擊（如繞過信息系統(tǒng)的認(rèn)證機制，直接登入該信息系統(tǒng)依賴的數(shù)據(jù)庫）而竊密網(wǎng)絡(luò)內(nèi)重要的服務(wù)資源。

因此，為了保障企業(yè)網(wǎng)的安全，必須要保證網(wǎng)內(nèi)所有接入主機可信，保證網(wǎng)內(nèi)所有接入用戶可信，以及保證服務(wù)資源的使用者可信。

u       單位的計算機數(shù)量越來越多，無法集中管理；

u       不清楚哪些用戶能夠使用計算機或者正在使用計算機；

u       用戶可以隨意地登錄其同事的計算機并獲取一些敏感數(shù)據(jù)；

u       外部筆記本電腦接入內(nèi)部網(wǎng)絡(luò)，獲取敏感數(shù)據(jù)或進行網(wǎng)絡(luò)破壞活動；

u       隨意進入敏感服務(wù)器并獲取非授權(quán)資料；

u       帳號/口令的用戶認(rèn)證方式太脆弱，容易被竊取。

u       計算機集中管理。對內(nèi)網(wǎng)中的所有計算機信息采集后統(tǒng)一進行顯示和管理，采集的信息包括終端計算機ID、名稱、IP地址、版本、所屬組等?？梢葬槍μ囟ǖ挠嬎銠C設(shè)置規(guī)則和策略。

u       用戶集中管理。對內(nèi)網(wǎng)中的所有用戶進行統(tǒng)一分配和管理，可以針對特定的用戶設(shè)置規(guī)則和策略。提供用戶ID和USB令牌兩種模式來標(biāo)識用戶。

u       用戶登錄授權(quán)?？梢栽O(shè)定某個用戶能夠使用哪些計算機，也可以設(shè)定某臺計算機只允許指定的一個或者多個用戶使用。同時記錄用戶登錄計算機的信息，包括登錄時間，登錄用戶名等。

u       計算機接入認(rèn)證。任何接入內(nèi)部網(wǎng)絡(luò)的計算機都必須安裝NiordSec內(nèi)網(wǎng)安全平臺，未經(jīng)許可的計算機將被隔離在內(nèi)網(wǎng)之外。

u       服務(wù)資源分布式授權(quán)和審計。對內(nèi)部業(yè)務(wù)服務(wù)器群細(xì)粒度的統(tǒng)一身份認(rèn)證，各類業(yè)務(wù)應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器都在保護的范圍之內(nèi)。同時提供對服務(wù)器資源的訪問操作進行日志記錄。

u       身份認(rèn)證擴展功能。除了用戶ID和USB令牌兩種身份標(biāo)識模式外，還提供了智能存儲型USB硬件認(rèn)證設(shè)備、智能指紋型USB硬件認(rèn)證設(shè)備以及數(shù)字證書的支持。

為了提高企業(yè)或單位的競爭力，現(xiàn)今幾乎所有的辦公環(huán)境都已實現(xiàn)了計算機化，它們在網(wǎng)絡(luò)中共同或獨立地處理任務(wù)。隨著計算機數(shù)量的快速增長，網(wǎng)絡(luò)也變得越來越復(fù)雜，使得管理員不僅要處理單機問題，還要處理復(fù)雜的網(wǎng)絡(luò)問題。如果每一個問題的出現(xiàn)都需要管理員親自到現(xiàn)場去維護，顯然會使他們感到工作繁重，最終導(dǎo)致效率低下。另外，企業(yè)或單位的敏感信息以及員工的行為需要得到有效的控制：一是杜絕員工的非許可行為，如工作時間處理工作以外的事情；二是對敏感信息的操作監(jiān)視和外泄控制，如將信息通過外設(shè)拷貝或傳輸?shù)狡髽I(yè)外部，對敏感文檔執(zhí)行了不該執(zhí)行的操作等。因此，如何針對日益增加的計算機進行遠(yuǎn)程清查、控制和管理，使得管理員不用到現(xiàn)場就可以解決終端發(fā)生的眾多問題，是桌面管理非常值得關(guān)注的問題。

u       計算機軟、硬件數(shù)量無法確實掌握，盤點困難；

u       無法有效防止員工私裝軟件，造成非法版權(quán)使用威脅；

u       硬件設(shè)備私下挪用、竊取，造成財產(chǎn)損失；

u       應(yīng)用軟件購買后，員工真正使用狀況如何，無從分析；

u       員工在工作時間處理與工作無關(guān)的事情；

u       員工通過移動磁盤拷貝、刻錄、打印、非法撥號外聯(lián)等途徑將內(nèi)部資料泄露到外部；

u       對于特定類型的敏感信息，無法對其操作進行監(jiān)視；

u       無法統(tǒng)計終端的軟、硬件信息，從而掌握企業(yè)或單位的資產(chǎn)，并能跟蹤資產(chǎn)的變更情況；

u       無法按照企業(yè)或單位的統(tǒng)一規(guī)劃、分發(fā)及自動安裝軟件和補丁；

u       無法即時發(fā)送公告，通知終端用戶某類消息或工作指令，或者終端用戶即時發(fā)送公告給管理員，請求解決某類問題；

u       無法監(jiān)視終端用戶的桌面，掌握終端的運行進程以及CPU、內(nèi)存和磁盤的使用狀況，從而約束他們的行為；

u       不能夠查看和控制終端的帳戶和共享，減少信息外泄的風(fēng)險；

u       居高不下的信息化資源成本，不知如何改善。

u       敏感信息拿不走。系統(tǒng)提供外設(shè)管理功能，通過控制終端外設(shè)的使用，實現(xiàn)終端用戶在非授權(quán)的條件下無法拷貝或傳輸敏感信息到企業(yè)或單位外部。

u       敏感信息看不懂。系統(tǒng)通過透明加、解密敏感信息，實現(xiàn)非授權(quán)用戶即使帶走了敏感信息也無法閱讀。

u       文件操作強審計。系統(tǒng)提供文件控制功能，通過嚴(yán)密審計敏感文檔的操作，實現(xiàn)用戶違規(guī)操作的事后追查；

u       用戶行為的可監(jiān)控。在監(jiān)視方面，系統(tǒng)提供遠(yuǎn)程終端監(jiān)視功能，使管理員可以實時地監(jiān)控用戶正在運行的應(yīng)用程序、桌面狀況、內(nèi)存和硬盤的使用狀況等。如果某個用戶的行為不符合企業(yè)或單位的規(guī)定，則可通過鎖定或截屏操作終止其行為或進行實時取證。在控制方面，系統(tǒng)提供進程控制功能，控制用戶是否允許運行某個程序。該功能一方面可以規(guī)范用戶的行為，有效提高員工的工作效率，另一方面也保證了終端的穩(wěn)定性，防止病毒的攻擊。

u       終端資產(chǎn)的可計量。管理員能夠?qū)K端的軟、硬件資產(chǎn)進行統(tǒng)計，并能跟蹤其變更，防止企業(yè)或單位資產(chǎn)的流失。

u       數(shù)據(jù)分發(fā)的可自動。管理員能夠?qū)⑽臋n、軟件或補丁分發(fā)給終端，并根據(jù)它們的性質(zhì)選擇存儲、安裝或執(zhí)行。

u       信息交互的可即時。管理員和終端用戶之間的信息交流，用于企業(yè)或單位內(nèi)公告的發(fā)布和反饋。

從用戶的網(wǎng)絡(luò)行為的角度，分析傳統(tǒng)的企業(yè)網(wǎng)絡(luò)的安全和管理狀況，存在三個方面的缺陷。（1）不能保證網(wǎng)絡(luò)的可用性，隨著網(wǎng)絡(luò)病毒的泛濫，特別是針對企業(yè)網(wǎng)的ARP病毒的泛濫，造成網(wǎng)絡(luò)時常癱瘓，網(wǎng)絡(luò)資源無法共享。雖然企業(yè)網(wǎng)大多配置有效的殺毒軟件，但是實踐表明再先進的殺毒軟件面對新的病毒都具有遲后性，根本無法保證網(wǎng)絡(luò)的安全可用。此外，由于IP地址是主機在企業(yè)網(wǎng)中的唯一有效標(biāo)示和寶貴資源，惡意的篡改主機的IP地址會占用其他主機的合法IP，造成該主機不能使用網(wǎng)絡(luò)，因此迫切需要對網(wǎng)絡(luò)中IP地址進行有效統(tǒng)一的強制性管理。（2）網(wǎng)絡(luò)流量和帶寬無法可控、可管。由于網(wǎng)絡(luò)中P2P軟件的普遍應(yīng)用，如BT軟禁，網(wǎng)絡(luò)流量資源逐漸捉襟見肘。網(wǎng)絡(luò)流量和帶寬作為一種重要的網(wǎng)絡(luò)資源，迫切需要能夠根據(jù)用戶或用戶組進行強制性統(tǒng)一規(guī)劃、優(yōu)化配置和有效審計。（3）網(wǎng)絡(luò)郵件可控、可管。收發(fā)郵件是重要的網(wǎng)絡(luò)信息交換行為，但是由于郵件往往包含大量的企業(yè)或單位的涉密信息，這就迫切需要能夠?qū)λ杏脩羿]件的網(wǎng)絡(luò)操作行為進行有效控制和日志審計，從而保證企業(yè)或單位的信息的完全性。可信網(wǎng)絡(luò)監(jiān)控系統(tǒng)的目標(biāo)是實現(xiàn)可信用戶網(wǎng)絡(luò)行為在這三個層次的可管、可控和可審計。

u       玩網(wǎng)絡(luò)游戲、瀏覽與工作無關(guān)的網(wǎng)站、進行與工作無關(guān)的聊天；

u       瘋狂下載電影、歌曲、程序，在線看網(wǎng)絡(luò)電影、聽音樂；

u       隨意修改IP地址和MAC地址，導(dǎo)致內(nèi)部網(wǎng)絡(luò)十分混亂，影響他人正常的工作；

u       通過Web郵件、Outlook等終端郵件的方向?qū)?nèi)網(wǎng)系統(tǒng)中的敏感信息泄露出去；

u       通過在網(wǎng)絡(luò)論壇發(fā)帖和粘貼附件的方式泄露內(nèi)部數(shù)據(jù)；

u       無法對網(wǎng)絡(luò)訪問操作進行日志審計；

u       內(nèi)部網(wǎng)絡(luò)經(jīng)常感染ARP病毒，無法開展正常業(yè)務(wù)。

u       端點防火墻。集中管理和控制的客戶端防火墻，其策略由管理員根據(jù)單位管理需要指定，可以根據(jù)IP地址、URL地址、網(wǎng)絡(luò)端口和數(shù)據(jù)流向等設(shè)定客戶端計算機或者用戶訪問的權(quán)限，以白名單或者黑名單的方式工作。例如發(fā)現(xiàn)蠕蟲病毒，可以及時全網(wǎng)統(tǒng)一封鎖相應(yīng)的傳播端口，從而有效控制該類型病毒的破壞效果。

u       能夠?qū)RP病毒免疫，確保主機獲取網(wǎng)關(guān)MAC的正確性以及網(wǎng)關(guān)獲取主機MAC的正確性。能夠?qū)RP病毒免疫自動攔截和預(yù)警，管理員可以根據(jù)豐富的預(yù)警信息追溯ARP病毒的源頭，從而可以徹底的消除該病毒。

u       可以將主機的IP地址與MAC地址進行強制性綁定，防止員工隨意修改IP地址，造成IP經(jīng)常沖突，以及無法對安全事件源追溯定位，給管理人員造成很大的麻煩。

u       網(wǎng)絡(luò)常規(guī)應(yīng)用層協(xié)議解析。對常規(guī)網(wǎng)絡(luò)應(yīng)用層協(xié)議進行解析，從而進行了詳細(xì)的日志記錄，主要包括了HTTP協(xié)議日志、FTP協(xié)議日志、郵件協(xié)議日志和其他日志。

u       終端郵件控制。通過解析SMTP協(xié)議，可以對指定的發(fā)件人、收件人進行郵件和附件收發(fā)控制。

u       終端郵件內(nèi)容記錄?？梢杂涗浲ㄟ^POP3和SMTP協(xié)議收發(fā)的郵件正文內(nèi)容及附件，如：OUTLOOK、Foxmail等。

u       Web附件控制。能夠?qū)νㄟ^WEB方式上傳文件的行為進行控制，包括通過WEB郵箱發(fā)送附件、通過WEB論壇粘貼附件、通過網(wǎng)絡(luò)硬盤傳輸文件等方式。

u       Web附件記錄。能夠?qū)νㄟ^WEB方式上傳的文件進行緩存，管理員可以進行上傳文件的內(nèi)容審計。

為了方便數(shù)據(jù)交換，內(nèi)部網(wǎng)絡(luò)使用了大量的移動存儲介質(zhì)，例如U盤，移動硬盤等。但同時由于技術(shù)和歷史原因，對于移動存儲介質(zhì)的管理很不規(guī)范，甚至未被納入保密管理的范疇；沒有嚴(yán)格的保密管理措施，或者是保密管理措施不具體，有的甚至根本未被納入保密管理范疇：如對涉密軟盤、磁盤、移動硬盤等沒有登記，沒有加密標(biāo)識，與普通磁盤混合使用，出現(xiàn)故障后隨便丟棄或重新格式化后繼續(xù)使用等。這些現(xiàn)象無疑給單位內(nèi)部的涉密和敏感信息資源帶來了相當(dāng)大的安全隱患。

這些由于移動存儲介質(zhì)的大量使用而引起的安全問題給企業(yè)信息化建設(shè)帶來了很大的困擾，隨著移動存儲介質(zhì)越來越輕便、存儲容量越來越大，這些問題隨著信息化建設(shè)的逐步深入也會越來越突出、越來越嚴(yán)重！因此，企業(yè)目前迫切需要一套完整的移動存儲介質(zhì)管理方案，從技術(shù)和管理層面對內(nèi)部使用的移動存儲介質(zhì)進行嚴(yán)格控制，同時兼顧移動存儲介質(zhì)管理與使用的方便性和內(nèi)部文件交換的安全性。

u       許多企業(yè)對計算機存儲介質(zhì)的管理不規(guī)范，甚至未被納入保密管理的范疇，導(dǎo)致無法對內(nèi)部使用的移動存儲介質(zhì)進行統(tǒng)一管理；

u       私人的U盤、移動硬盤等，可以在單位的計算機上隨意使用，容易造成計算機病毒感染和泛濫，導(dǎo)致內(nèi)部網(wǎng)絡(luò)運行出現(xiàn)故障；

u       使用移動存儲介質(zhì)，懷有惡意的內(nèi)部人員可以隨意將單位內(nèi)部涉密信息復(fù)制出去，容易造成單位敏感信息泄密；

u       企業(yè)內(nèi)部使用的移動存儲介質(zhì)被隨意帶出，在外網(wǎng)中使用時容易造成失泄密；

u       企業(yè)涉密移動存儲介質(zhì)在使用時，缺乏身份認(rèn)證和訪問控制，導(dǎo)致任何人可以使用任何介質(zhì)在任何機器上進行文件拷貝，造成企業(yè)文件流失；

u       企業(yè)涉密移動存儲介質(zhì)被內(nèi)部人員在非涉密計算機上使用，容易遭受“輪渡攻擊”，導(dǎo)致機密數(shù)據(jù)流失；

u       內(nèi)部人員在使用移動存儲介質(zhì)進行文件交換時，無法對文件流向進行審計和控制，在出現(xiàn)文件流失時難以對責(zé)任人進行追究；

u       企業(yè)移動存儲介質(zhì)使用時存在明密不分、公私不分的現(xiàn)象，導(dǎo)致企業(yè)的內(nèi)部文件出現(xiàn)失泄密；

u       企業(yè)移動存儲介質(zhì)在被盜或遺失時，會導(dǎo)致內(nèi)部數(shù)據(jù)丟失。

針對上述隱患，NiordSec內(nèi)網(wǎng)安全平臺推出了可信移動存儲介質(zhì)管理系統(tǒng)。該系統(tǒng)根據(jù)國家涉密介質(zhì)管理要求，采用身份認(rèn)證、訪問控制、磁盤驅(qū)動、內(nèi)核加密和安全審計等核心技術(shù)，對企業(yè)內(nèi)部的移動存儲介質(zhì)進行嚴(yán)格、方便的管理，同時確保企業(yè)核心數(shù)據(jù)的安全。

u       非認(rèn)證介質(zhì)進不來。企業(yè)內(nèi)網(wǎng)中使用的移動存儲介質(zhì)均需進行注冊，管理員能夠禁止未注冊移動存儲介質(zhì)在內(nèi)網(wǎng)中使用。

u       涉密文件拿不走。管理員能夠?qū)σ苿哟鎯橘|(zhì)的訪問進行靈活、嚴(yán)格地控制，對于沒有授權(quán)的移動存儲介質(zhì)，無法從機器上將涉密文件拷貝出去。

u       認(rèn)證介質(zhì)外部沒法用。管理員能夠?qū)?nèi)部流通的移動存儲介質(zhì)注冊為內(nèi)網(wǎng)專用的加密格式，內(nèi)部人員將注冊后的介質(zhì)拿出后將無法使用。

u       內(nèi)部數(shù)據(jù)讀不懂。管理員能夠制定對特定移動存儲介質(zhì)的讀寫實施透明加密防護，是數(shù)據(jù)在寫入后被自動加密，即使介質(zhì)丟失也不會導(dǎo)致數(shù)據(jù)的丟失。

u       移動介質(zhì)操作跑不了。管理員能夠?qū)σ苿哟鎯橘|(zhì)的接入和文件操作進行嚴(yán)格審計，從而能夠追蹤泄密事件，事故責(zé)任人跑不了。

企業(yè)或單位的組織結(jié)構(gòu)由若干職能部門組成，涉及不同的敏感信息，使得不同的職能部門存在安全等級的差異，因此部門之間以及部門與外網(wǎng)之間的安全訪問顯得尤為重要，它需要利用某種技術(shù)或手段實現(xiàn)不同等級部門之間的網(wǎng)絡(luò)阻斷和信息加密，從而防止特定部門內(nèi)部信息的外泄。針對這一問題，安全域的概念應(yīng)運而生，它要求企業(yè)或單位能夠根據(jù)自身的業(yè)務(wù)特點、安全目標(biāo)以及保護等級的不同對內(nèi)部網(wǎng)絡(luò)進行劃分，實現(xiàn)不同強度的安全保護。

u       整個內(nèi)部網(wǎng)絡(luò)系統(tǒng)被劃分為一個大子網(wǎng)，經(jīng)常大規(guī)模感染網(wǎng)絡(luò)病毒，同時容易產(chǎn)生網(wǎng)絡(luò)阻塞；

u       沒有將內(nèi)部網(wǎng)絡(luò)系統(tǒng)按照保密需求劃分為不同等級，經(jīng)常導(dǎo)致敏感信息被竊??；

u       某些保密等級較高的計算機能夠隨意訪問外網(wǎng)；

u       外部網(wǎng)絡(luò)能夠通過網(wǎng)關(guān)中轉(zhuǎn)后到達某些保密等級較高的計算機。

u       系統(tǒng)可將網(wǎng)絡(luò)中的計算機按照管理需求劃分成多個虛擬安全域，實現(xiàn)內(nèi)部網(wǎng)絡(luò)的分域分級管理；

u       同一個安全域內(nèi)的計算機可以相互訪問，非同一個安全域的計算機則不能相互訪問，只有在獲得管理員授權(quán)的情況下才能建立信任關(guān)系，實現(xiàn)網(wǎng)絡(luò)連接；

u       在保障網(wǎng)絡(luò)統(tǒng)一維護的前提下，通過虛擬安全域的劃分，單位內(nèi)部不同職能部門之間的重要敏感數(shù)據(jù)可以實現(xiàn)有效隔離；

u       能夠禁止某些保密等級較高的安全域終端訪問外部網(wǎng)絡(luò)；

u       能夠禁止外部網(wǎng)絡(luò)主機通過多次中轉(zhuǎn)后達到內(nèi)部網(wǎng)絡(luò)。