Web20安全技术.docVIP

如何将数据丢失防御整合到web 2.0安全政策？ 作者: valen, 　出处:IT专家网,　责任编辑: 林洪技,　 2010-05-04 09:41 　　现在各行各业都积极地投资于数据丢失防御技术，因为企业内部威胁日益严重。随着越来越多的员工开始使用web应用程序来进行实时通信，数据泄露防御也变得更加复杂。本文将探讨内部威胁的发展趋势以及企业如何将数据丢失防御技术整合到web 2.0安全政策中。 　　社交网络和web 2.0应用程序逐渐在企业内部普及，这是因为基于Web的工具在组群间建立连接并消除物理障碍，使用户和企业能够进行实时通信。虽然即时通信、网络会议、点对点文件共享和社交网站能够为企业提供便利，但它们也成为互联网威胁、违反合规和数据丢失的最新切入点。 　　web 2.0世界让安全变得更加复杂，企业都在寻找一种综合的安全技术来减少(而不是增加)威胁的数量，并简化IT管理人面临的管理和合规挑战。 　　对于很多公司而言，社交网络和web 2.0应用程序的优势不仅仅在于用户使用方面，而且能够帮助企业推销产品和优化劳动力。 　　例如，人力资源可以使用LinkedIn来研究员工发展前景，销售团队可以利用Facebook与客户进行交流，市场营销部门可以利用Twitter来共享资料或者最新消息。 　　轻松共享信息，实时通信，这些优势使web 2.0工具十分吸引人，并且这种趋势还将继续发展，预计到2013年全球范围内企业投资于web 2.0技术的资金将达到46亿美元。企业不能忽视通过利用这些新工具提高生产力的机会。 　　新一代互联网威胁 　　虽然社交网络和web 2.0应用程序提高了协作的能力，但是它们也带来了新一代互联网威胁。 　　社交网站的性质可以让用户根据信任因素建立一个扩大到企业外部的联系人网络，这使得用户可以轻松地交换或者传播信息、图片和文件，而且通常不需要在登录后进行额外的身份验证或者验证信息。 　　社交网络和P2P文件共享网站传播的恶意软件事故数量也正在迅速增加，这些新工具很适合用于基于社会工程学的攻击，攻击者可以很快利用这种攻击并危及重要数据。因此，企业应该确保入侵防御系统(IPS)处于监测模式，并重点关注对威胁的实时防御。 　　将近80%的数据丢失是无意识的情况下发生的，这种要是因为员工的疏忽或者不清楚写在企业员工手册内的安全政策。例如，员工可能会将包含重要文件的电子邮件发给错误的收信人，或者使用基于网络的P2P文件共享网站向商业伙伴发送大型文件，他们可能都不知道在上传资料后他们已经失去了对重要数据的所有权和控制。 　　避免问题的关键在于让员工清楚企业中哪些是重要数据，并教育他们哪些特定类型的数据分类可以或不可以发送出去。为了减少web 2.0应用程序带来的风险，企业应该部署技术解决方案来帮助重点员工通过自我学习技术避免有风险的操作行为。 　　Web浏览器虚拟化技术 　　为了有效保护用户客户端免受web 2.0威胁，有些领先的企业正在部署技术解决方案和一系列的行为和分析技术，让员工在不破坏安全的情况下合理利用协作工作。 　　例如，企业正在通过可以隔离已知和未知威胁的web浏览器虚拟技术来提前阻止用户登录威胁网站。现在，任何人通过浏览器就可以使用社交网络和Web 2.0应用程序，而web浏览器虚拟化技术能够帮助企业将企业数据与互联网分离，并为用户自由地进行网上冲浪提供了充分的保护。 　　正如同其他安全问题一样，保护企业系统安全的关键在于侧重预防的多层次保护，实施web 2.0保护的优秀策略应该保护以下七个特点。 　　1. 应用程序控制： 为web2.0、社交网络和互联网应用程序部署详细的安全控制 　　2. 合规: 对每条记录写日志和归档以满足合规要求或者电子发现需要。 　　3. Web过滤:对用户的web使用进行监测和控制 　　4. 恶意软件防御: 在网关阻止间谍软件、rootkits和蠕虫病毒 　　5. 带宽控制: 控制带宽密集型应用程序(如文件共享和视频流)的使用 　　6. Web浏览器虚拟化: 提供双浏览器模式，允许用户将企业数据和互联网相分离 　　7. 自我学习能力: 分析用户行为和预配置政策，当重要数据可能有危险时提醒用户 　　在web 2.0世界的安全是很复杂的，很多企业都面临如何处理这种威胁的挑战。有效的web 2.0安全政策可以通过全面的端点安全保护来弥补网络保护的不足，并能够让企业在现有基础设施上任意整合新安全服务，而不需要耗费有限的IT预算。最重要的是，企业应该部署这样的解决方案：拥有更好安全性、更简单管理功能和能够顺应不断变化安全需求的足够的灵活性。 Web 2.0的概念始于O’Reilly与 MediaLive International的一次会议，自此之后，尽管针对Web 2.0的准确定义还