消防知识安全常识 [安全源于架构]

　　企业数据泄密 　　安全危机“十面埋伏” 　　 　　不久前，某企业遭遇了机密外泄的安全事故：企业内部的一台PC机在访问互联网过程中，被类似于木马程序的恶意间谍软件攻击，造成该PC机上保存的一份高度机密的文件被窃取，给企业带来不可估量的损失，该员工的职业发展也因此而蒙上难以抹去的阴影。
　　这种由于网络访问而导致数据泄密的状况在企业中屡见不鲜，这也是目前CIO和IT经理们最为头疼的安全隐患之一。由于业务的需要，企业网和外网的连接不可避免。为确保网络访问的安全，目前企业普遍采用防火墙这样的隔离技术，来识别、屏蔽那些写有恶意攻击程序的网页。但是，如今不少恶意网络攻击却往往来自于正常的访问，例如HTTP的80端口。在这种情况下，单一的网络层隔离技术显然无法确保应用层的安全。
　　
　　数据大集中 管理更省心
　　
　　实现防范泄密的第一方面就是将应用和敏感数据集中存放在服务器中，而不是PC机上。这一理念与思杰一直倡导的集中化管理互相吻合。举个比较极端的例子：虽然IT管理人员可以在PC机上安装各种管理防范和限制的软件，但是，用户只要把PC机的硬盘卸下来，所有的数据都可以拿走。
　　这是PC机的功能定位所决定的，PC机一般为了方便用户的使用，往往做不到更高的安全级别。而服务器则不同，由于其处于数据中心，置于企业最完备的安全防范之下，从物理防范到程序安全都是如此。这是企业可信赖、最安全的地方，窃取服务器设施的难度不言而喻，而窃取之后读取其中数据的难度也决定了存放在数据库中数据的安全。
　　很多用户在访问和使用数据中常常存在着误区：似乎不把数据下载到本地就用不了，或者服务器端的高安全性会导致数据使用的不便。这样的担心大可不必。思杰的虚拟技术在大集中模式中的作用之一，就是使用户可以像使用本地数据一样方便地使用所有存放于数据中心的应用和数据。
　　虚拟技术的另一个重要意义就是在数据大集中模式中，可以更好地利用安全域技术规范用户行为。采用大集中模式后，企业的核心应用系统集中到服务器上，从而规范了用户在使用核心应用过程中的行为。
　　
　　高级别隔离
　　数据保护高枕无忧
　　
　　防范泄密的另一个重要方面，就是要隔离数据与外界攻击。思杰的虚拟化技术在这方面起到了高强度隔离级别的作用。在通过思杰构筑的大集中架构中，用户必须通过位于隔离网段中的思杰服务器间接地访问后台，如图所示。
　　在这一体系架构中思杰的虚拟应用技术帮助用户在网络层、系统层和应用层构筑了三道混合防线：
　　・网络隔离：通过防火墙，严格规定了用户访问后台的协议，可以只打开虚拟应用端口1494，关闭易受攻击的网络端口。
　　・系统隔离：思杰服务器隔离了用户对后台的访问，攻击后台需要先攻击思杰服务器，而思杰服务器可以通过安全加固升级为类似堡垒主机的作用。
　　・应用隔离：虚拟应用使得用户的应用位于服务器，通过ICA协议的显示逻辑显示在用户显示器上，和用户本机应用实现了隔离。
　　当这三道隔离组合起来后，整个系统架构安全防范能力将得到极大的提高。理论上，外界攻击需要通过1494端口模拟某一个应用的ICA数据才能攻击到高安全强度的思杰服务器。
　　但实际上，这种攻击在现实世界里很难存在，有两点难以逾越：1.ICA数据因应用而变化，没有统一规律。同时ICA数据又和业务逻辑无关，攻击算法无法转换出业务逻辑或系统逻辑；2.ICA是私有协议，不对外公开，而互联网上大量的攻击其实都是基于公开协议如HTTP的，因此基于ICA的攻击很难形成。
　　综上所述，集中化管理和高强度隔离，是思杰安全源自架构这一理念的技术阐释。思杰在安全接入和访问领域已经有20年历史，全球大量的成功案例验证了以思杰的虚拟应用作为企业内网和公网之间高强度隔离级别，能够在企业的系统安全性和使用方便性两方面取得良好的平衡。