防御內部人員攻擊的基本措施 下篇
防御內部人員攻擊安全策略
1、最少特權。為實現最佳的安全和對內部人員的最好防護，務必保證僅給用戶最有限的特權，使其僅能用這些特權完成所需工作。在配置DLP產品或防火墻的發出規則時，該原則也適用，剛開始應當先阻止所有的訪問，然后僅準許那些確實需要的訪問，而不應該反過來，先準許所有的訪問隨后再有選擇地限制某些訪問。同樣，訪問加密數據的密鑰只能給與那些工作職責要求訪問這些數據的用戶，而不是給所有的雇員或有特殊地位的用戶。
2、文件訪問審核。實施文件系統的訪問審核有助于檢測用戶是否正在訪問他們完成其工作時并不需要的信息。
3、職責或職務的分離。該策略確保任何人都無法單獨處理一項重要業務(如貨幣資金的轉賬)。某個人也許能夠啟動某個過程，但如果沒有其它人的授權就無法完成。這會提供一種檢查機制，從而防止具有欺詐意圖的雇員或滲透進入公司的間諜的不法行為。
4、控制USB設備。DLP、防火墻、郵件內容過濾器有助于防止內部人員將敏感的公司信息發送到網絡之外。然而，可移動的USB設備常被內部人員用于復制敏感的公司信息，并帶到公司之外。為防止這種現象，你可以禁用那些并不絕對需要USB設備的系統上的USB端口。你可以使用Windows的組策略或第三方的軟件來限制或阻止USB設備的安裝。如GFI的Endpoint Security可用于管理用戶訪問，并記錄USB設備、CD、閃存卡、MP3設備、智能電話、PDA以及通過USB端口連接到計算機的其它設備的活動。
5、權限管理服務。權限管理允許你管理用戶的數據訪問權，有助于防止用戶與無權訪問這些數據的用戶共享數據。Windows的權限管理服務(RMS)準許你阻止文檔的復制或打印，阻止轉發或復制電子郵件消息等等。Windows還可以阻止對受保護的文檔或消息執行快照。對于內部人員來說，盜用受保護的信息會變得更加困難。
6、變更管理。配置和變更管理工具有助于在雇員對系統做出配置變更時進行確認，防止訪問他不應當訪問的信息。市場上有不少產品可以跟蹤網絡上的變化。
7、身份管理。因為訪問特權是根據用戶身份來授予的，所以很有必要部署一個身份管理系統。在當今的網絡環境中，這尤為重要，因為由于公司的合并或將數據遷移到云中的趨勢都會使問題復雜化。
以上這些僅僅是你可用來防護內部人員威脅的基本措施，防御內部人員攻擊還需要完善的安全策略和各方面的共同努力。
【編輯推薦】
