安全谈：有效管理是实现内网安全的核心

　　结合内网安全的种种现状和问题来看，单纯在技术上先进已经无法保证竞争力，甚至已经无法保证实际的防护效果了。这些引起内网安全问题的核心原因，只有在安全管理手段以及安全产品的管理能力达到一定的层次之后才有望解决。面对日益复杂的应用环境，管理员需要具有更深、更精、更高智慧程度的工具来开展自己的工作，否则难免被淹没于安全威胁的浪涛之中。

　　放之四海：具有通用性的内网安全管理体系

　　尽管很多时候人们不可遏止地觉得守护目标不让黑客对其进行攻击是一件很酷的事情，但是在绝大多数情况下，安全管理都是建构在规范和严谨之上的一件工作。这其中不但需要正确的应用安全技术，同时也需要前期的规划和设计以及后期的运营和支持。在这里我们将尝试给出一个内网安全管理体系的基本模型，我们希望它具有广泛和长期的适应性，同时覆盖内网安全各个主要的问题域。

　　一般来说，一个内网安全解决方案从形成到正式开始运行，要经历如图所示的一系列阶段。从认识到有需要解决的内网安全问题或者内网存在安全问题开始，首先需要形成一份需求定义文档。这份需求文档应由信息安全部门和行政部门的管理人员进行评估，然后表决通过。

　　在此之后，应根据需求进行实际内网安全防护体系的构建，这其中通常还可以展开很多子步骤，例如进行安全体系的具体设计等。当一个内网安全体系经过评估之后将融合到现有的信息基础设施当中，同样地，如果基础设施发生变化，相对应的也要进行评估。而在这些工作完成之后，需要对已经成型的安全体系进行评价和验证，以证明其有效性。

　　如果不存在漏洞和考虑不周之处，该内网安全体系将投产于实际的工作环境，而后续的针对应用环境变更所做出的调整、日常的安全管理、发生安全事件时的应急响应和支持等工作将会有序地开展。

　　按部就班：如何操作内网安全管理

　　从管理目标来说，内网安全所处理的主要问题还是内网中的信息也即数据。虽然说Web、电子邮件、即时通信、业务管理系统等建构在局域网和互联网上的应用为企业带来了大量的效率提升，但是并不是所有的人都明白这些应用会给企业的数据带来什么风险，更不知道如何来控制这种风险。

　　通过对信息进行分级并映射其可能的安全风险，以及在这些安全风险变成现实时可能遭受的损失，在拥有这些基础素材之后安全管理人员才能开发出有效的控制措施来将风险降低到可以接受的程度。在形成了完善的信息分级系统之后，组织就可以着手形成自己的基本安全策略。

　　安全策略除了确认信息作为受保护资产的地位之外，更重要的价值在于规定当信息依照其所在等级的风险情况应该受到何种程度的保护。而在预期的成本和目标效果的指导之下，安全管理人员应选择与之相适应的技术和产品来构建安全防护措施。

　　当然，在一切都被搭建起来之后，还有很多安全管理工作需要被周而复始地执行。然而不得不承认的是，很多情况下安全管理人员都直接将构建安全设施作为内网安全管理的起点，同时以很低的效率和很盲目的姿态来开展后续的工作，这样做最可能的结果就是形成一个可能发生安全事件的内部网络。从下面提供的一份示例清单中可以看出，这种未经足够准备就开始的安全工作到底遗漏了多少有益的要素。

　　见招拆招：实例解析内网安全管理

　　也许在95%的讲解内网安全管理的文章中，内网都用来代指与互联网相对的局域网络。但是在实际的安全管理情景中，内网往往还需要被划分成不同的区域。有的时候是因为组织业务的需要，网络已经被进行切割;而有的时候则是为了让安全体系更加具有层次，所以令不同安全等级的数据只能在自己的区域中流动。

　　有相当多的技术可以实现网络隔离，例如防火墙设备、中继网关、应用代理、三层交换机、VLAN等等。尽管很多企业都应用低层的物理隔离设备来分割网络，但是事实上应用最广泛的仍旧是防火墙类型的设备。而另外一个较为明显的趋势是，大部分组织都应用了一种以上的技术或设备来进行网络区域的划分和管理。

　　然而，如果只是利用这些传统的、基本的设施来进行网络隔离管理是相当低效的，也很难与数据隔离、应用隔离等安全管理手段相互融合。所以更加受到推崇的方式，是在一个统一的管理平台之下，将面向各种层面和各种方向的防护机能整合起来。

　　另外，对于那些出现安全问题同时可能对内网其它节点造成破坏的计算机，整个安全管理体系可以智能识别并将其与内网切断。这样的体系可以简化安全管理员的负担，甚至每一台计算机都可以被视为内网中的一个内网，管理弹性可见一斑。