企业网络安全观察之图便利还是重安全

　　UAC的架构基本上是由三个主要的组件所组成，包含了Policy Server (政策服务器，即控制器)、Agent（代理器）以及 Enforcer（执行器）。政策服务器（控制器）的作用是检查从网络接入装置转送来的端点安全凭证，判定并给予其适当的接入权限 (如允许进入、隔离或拒绝进入)；Agent 的功能在于搜集端点的安全信息与设定等信息，并把这些信息传递到网络接入装置 (Enforcer)；Enforcer 则是强制执行的设备，负责阻挡或隔离不符合网络政策的网络行为。

　　UAC是业界对企业网络更高的安全需求所产生的反应，是一种更为全面性的防护方式，持续监控使用者的联机，而不是单纯假设只要使用者通过网络联机一开始的安全和恶意软件检查，便不会做出其它违反安全规范的行为。基本上，完整而有效的UAC 架构应该要能提供以下几个层面的安全功能：

　　端点安全状态检查 - 评估联机装置的"安全健康状况"。

　　零时攻击防御 - 主动预测出潜在威胁，而非只针对已发现的威胁做出反应。

　　动态执行政策 - 能够实时对网络上的高风险活动立即采取行动。

　　精确进行隔离与矫正 - 隔离威胁来源并排解疑难。

　　提供网络情报 - 提供 IT 管理人员进行管理决策所需的信息。

　　政策决定和政策执行 - 将网络接入对应至企业需求。

　　有了安全没了方便?

　　病毒与蠕虫不断的透过网络来影响企业营运，因为它而导致企业必须面对停工、恢复所需费用、无止尽的修补、公共责任、收入损失等等。零时差攻击表明了，系统安全更新 (patch) 远跟不上脆弱的系统被攻击的速度，往往系统在安全管理者提供最新的更新码 (patch、病毒码) 前就已经遭受了攻击。UAC 是应对无所不在的攻击模式所产生的防护架构，只是，防堵了因为图一己之便所衍生出的网络安全问题，却有可能因此降低了企业流程的便利性?

　　企业在部署 UAC或其它安全防护机制时，一定要在安全维护与使用便利性上取得平衡。根据知名研究机构 Current Analysis调查指出，企业在部署安全防护方案时有四点基本的考虑与需求，第一个要求是部署简单，可以快速完成；第二个考虑是开放标准，也就是希望未来新的解决方案要能支持各端点的安全需求，要能整合各种增值应用，如此才不会被特定安全提供商所牵绊住，各项产品才有机会整合成一个完美的防护机制；第三个考虑则是希望除了内部员工之外，包括合作厂商、访客等在进入企业网络范畴之前都能够受到管控；最后一项则是，希望能够分阶段部署这些安全机制与设备，不管是按照部门或是依照网络层的不同来分段设置，也希望能够整合不同时间所设置的安全设备。

　　接入控制机制除了要针对内部员工之外，也常需针对外在的访客来作出反应。目前，一些先进的科学园区中许多企业在访客携带笔记本计算机进入公司之前，都会要求其填写一份安全防护问卷表，若是填写的问卷表中显示，访客没有符合该公司的安全防护规定，如未安装某些防毒软件等，常会被要求须在特定区域等候负责人员替访客执行笔记本计算机的扫毒动作，确认安全无虞之后才准在企业内部上网。如此的安全维护动作虽然很确实，但却是非常不方便，除了会增加企业 IT 人员的负担外，也耽误到访客的宝贵时间。

　　平衡方案与未来趋势

　　有了安全就没了方便，要方便使否就要忽略安全呢?有企业开始使用无代理的方式来平衡便利接入与安全防护这两个难以取舍的网络安全议题(下图)。许多企业开始以较简易而不用直接安装防护机制的方式来做到安全与便利性的并重；譬如当外来访客上网准备进入内网体系时，类似UAC架构中Enforcer（执行器）的机制，若发现访客电脑尚未安装某些防毒程序或是病毒码未更新等违反企业安全规范的状况，便会自动将其导引至某些特定的网页，让其自动可以更新病毒码，或是干脆让其只能接入特定网页，而无法接入企业网络内的资源，这就是系统的矫正以及隔离功能。

图2-灵活、标准的接入控制

　　随着可选择的网络连结方式增加，企业网络的发展正逐步摆脱传统的思考模式与过去的约束。现在的企业开始认识到，互联网联机的普遍性所带来的弹性和赋予的能力，必须与完善详尽的安全措施达到一个平衡点，以保持企业的优势不受到负面影响。UAC 技术可说是应对此种趋势适时发展出来的技术，不但可解决目前及正在浮现的远程安全接入的需求，还可能成为接入控制机制的公认标准，完全改写目前有关使用者应该如何接入重要企业信息的想法。只是，对于UAC的架构，业界标准尚未完全确定，TNC 等团体的出现，为开放标准的统一拨开的一道曙光，也让企业网络安全的建构，有了更大的未来性。