两种策略选择开源安全产品

　　随着互联网在企业应用中越来越广泛，越来越多的企业将信息安全引入到技术和管理体系中。大量的安全产品也接踵而来，实际上在某些特定的领域中，开源安全技术有相当大的优势。

　　策略一：针对安全需求的选择策略

　　首先，用户根据企业的安全策略和风险分析，确定信息资产的保护范围。企业进行开源安全技术选择的第一步，要了解自己打算部署的开源安全技术的保护对象。比如对电子商务类企业来说，客户数据和财务数据是最重要的数据，存储和处理这些信息的信息系统是最重要的IT资产。因此，电子商务类企业在选择开源安全技术之前，就要先根据自己的安全策略，确定客户端数据和财务数据、以及存储和处理这些信息的信息系统是要优先进行保护的对象，然后再从保护这些信息资产的目标出发选择开源安全技术。

　　其次，用户根据自身具体的安全需求，确定开源安全技术的选择范围。企业用户确定使用开源安全技术之后，便可以采用风险评估的方法来对安全威胁进行辨别和分类，并确定采用哪种可以防御已识别威胁的技术手段，进行完善的文档记录，进而选择对应的开源安全产品。

　　如果用户希望获得网域分隔、入侵防护及网络流量控制等与网络底层操作有关的安全功能，可以考虑开源安全技术中的边界安全方案，如基于Linux的防火墙、集成基础安全功能的路由器或网关等。如果用户有控制针对企业内部网络、系统及信息资产的访问需求的话，可以考虑开源安全技术中的访问控制方案，如基于Linux的VPN服务器、Free RADIUS/Open LDAP等单点登录等，这些开源安全方案都能够给用户提供认证、授权及记账服务。

　　最后，用户可对特定范围内的开源安全产品进行横向比较，选择最适应企业安全需求的产品。由于每个开源安全技术领域内都有几个甚至十几个功能类似，各有长处的产品或解决方案，因此，企业接下来需要进行的步骤便是在模拟或真实的企业内部网络环境内，对这些选定的开源安全产品进行评测和横向比较，再从中选出最适应企业安全需求的产品。

　　策略二：方案与成本的平衡策略

　　企业在部署一个安全方案时，往往希望能够用尽可能少的成本来获得尽可能多的安全功能和可靠性， 这也是许多企业选择开源安全方案的出发点。但我们也应该了解到，成本和收获并不是一定成正比或反比的：在实践中常有企业付出相当多的费用，部署的安全产品没有多大的效果;但也有一些企业没有消耗多少预算，就实现了覆盖整个企业内部网络的安全方案。因此，企业需要在自己的安全需求和安全方案成本之间进行平衡，以达到最佳的安全效果。

　　举个例子，企业需要部署一套开源的边界安全产品，企业应该针对内部网络的规模、工作时间的网络流量情况、用户日常使用的服务等多个要素来确定这套方案的预算，不能一味地追求尽可能低的成本。如果企业不大，内部网络的用户不多，工作时间的流量也不大，企业可以直接使用运行在一个较老的机器上的开源防火墙作为边界安全方案，这种开源安全技术的部署方案能够完全满足目标企业的需求;但对于一个内部网络巨大，用户众多，工作时间的网络流量以Gb来计算的大型企业来说，边界安全方案的性能和稳定性就成为首要考虑因素，企业用户在选择时就应该考虑能够进行集群操作、管理方便的开源安全方案，甚至要考虑更贵的针对目标企业网络环境定制过的开源安全方案，以保证企业内部网络所有用户的网络使用及业务的正常运行。

　　综上所述，企业如果选择开源安全技术，将只须付出比商业方案更低的成本乃至免费便可获得充分满足企业安全需求的安全解决方案。当然，企业也需要在部署的安全方案上投入比使用商业安全产品更多的精力来对开源安全技术进行维护，提供支持。企业只有在充分地认识自己的实际情况和安全需求的前提下，同时仔细地对开源安全产品或方案进行筛选，才能最终实现特定的安全目标。