深圳婦幼信息泄露事件雖然已經(jīng)過(guò)去一年，但"企業(yè)內部控制基本規范"將在7月實(shí)施，這再次提醒我們：當前的企業(yè)網(wǎng)絡(luò )信息正面臨各種各樣的風(fēng)險，外部攻擊、內網(wǎng)泄露、違規上網(wǎng)行為、應用業(yè)務(wù)壓力風(fēng)險等等，我們如何才能掌控全局？
警醒：企業(yè)高層內鬼現形記！
對于企業(yè)來(lái)說(shuō)，時(shí)刻在保護企業(yè)的關(guān)鍵數據信息。然而，除了防護外部的攻擊，內部的威脅同樣巨大。某銀行企業(yè)為了保護數據，專(zhuān)門(mén)部署了RSA enVision審計系統，某天，監管部門(mén)收到了一條奇怪的警報……
enVision報警顯示：某高層主管Timak在一小時(shí)內創(chuàng )建了一個(gè)用戶(hù)賬號Kpbrady，然后又把它刪除了。
Timak是該銀行某部門(mén)的主管，因業(yè)務(wù)需要具有銀行客戶(hù)系統的管理員權限。從表面上看，這個(gè)舉動(dòng)并沒(méi)有什么異常。
然而，當我們進(jìn)行關(guān)聯(lián)分析時(shí)，就可判斷其為：超級用戶(hù)的異?；顒?dòng)。
Timak創(chuàng )建了一個(gè)賬號，單獨的創(chuàng )建動(dòng)作沒(méi)有任何的問(wèn)題，每天會(huì )有很多次的創(chuàng )建動(dòng)作，這是一個(gè)正常的操作，他刪除了一個(gè)賬號也是正常的動(dòng)作。但是他一小時(shí)之內先創(chuàng )建后刪除，這就是異常動(dòng)作。
因為這種嫌疑，通過(guò)enVision系統進(jìn)行追查：
首先，從眾多的用戶(hù)賬號中，過(guò)濾出用戶(hù)賬號Kpbrady，并找出這個(gè)賬號所做的所有行為，包括數據訪(fǎng)問(wèn)、撰寫(xiě)、修改等各種操作。對它進(jìn)行單獨審查、分析。我們通過(guò)回放會(huì )發(fā)現他過(guò)去一個(gè)小時(shí)所有的活動(dòng)，從他創(chuàng )建到刪除的生命周期里他做了哪些事情。
通過(guò)審看發(fā)現，用戶(hù)賬號Kpbrady修改了單位Oracle里的數據庫。因為Oracle里的數據庫是不應該被Kpbrady修改的，也不應該被管理員Timak修改。
由此，審計推斷出，這種訪(fǎng)問(wèn)行為是非法的。
從以上的記錄可見(jiàn)，企業(yè)的很多威脅來(lái)自于企業(yè)內部，特別是特定的人群。讓我們再來(lái)看一下婦幼信息泄露事件過(guò)程：如果這家醫院對婦幼資料進(jìn)行了適當的安全存放，還會(huì )走盜走么？如果對之進(jìn)行了訪(fǎng)問(wèn)控制權限處理，還會(huì )發(fā)生此事么？如果對婦幼資料的訪(fǎng)問(wèn)進(jìn)行了訪(fǎng)問(wèn)歷史記錄，誰(shuí)還敢把數據拷走？
婦幼信息泄露事件之所以發(fā)生，并非外力所為，而是這家醫院自身的網(wǎng)絡(luò )信息系統的管理體制缺陷問(wèn)題。企業(yè)網(wǎng)絡(luò )除了受外界攻擊外，自身的缺陷也是很?chē)乐氐膯?wèn)題，甚至可以將自己打侄。
互聯(lián)網(wǎng)上存在著(zhù)各種各樣的危險，這種危險要能是惡意的，也可能是非惡意的，如因失誤而造成的事故；惡意的危險又分為理智型的 ( 如故意偷取企業(yè)機密) 和非理智型的( 如毀壞企業(yè)的數據) ?？偟恼f(shuō)來(lái)，比較典型的危險主要包括如下幾個(gè)方面：
1、 軟硬件設計故障導致網(wǎng)絡(luò )癱瘓。
如防火墻意外癱瘓而導致失效，以致安全設置形同虛設；由于內外部人員同時(shí)訪(fǎng)問(wèn)導致服務(wù)器負載過(guò)大以致死機、嚴重者導致數據丟失等等；
2、 黑客入侵。
一些不壞好意的人強行闖入企業(yè)網(wǎng)實(shí)施破壞；冒充合法的用戶(hù)進(jìn)行企業(yè)網(wǎng)內部，偷盜企業(yè)機密信息和破壞企業(yè)形象等等；
3、 敏感信息泄露。
企業(yè)內部的敏感信息被入侵者偷看，導致這種狀況的有幾種原因，如尋徑錯誤的電子郵件、配置錯誤的訪(fǎng)問(wèn)控制列表，沒(méi)有嚴格地設置好不同用戶(hù)的訪(fǎng)問(wèn)權限等等；
4、 信息刪除。
有時(shí)網(wǎng)管員對安全權限設置不當，導致某些懷有惡意的人故意破壞企業(yè)商業(yè)機密的完整性以及向競爭對手故意泄露商業(yè)機密等等。
該基本規范還開(kāi)創(chuàng )性地建立了以企業(yè)為主體、以政府監管為促進(jìn)、以中介機構審計為重要組成部分的內部控制實(shí)施機制，要求企業(yè)實(shí)行內部控制自我評價(jià)制度，并將各責任單位和全體員工實(shí)施內部控制的情況納入績(jì)效考評體系；國務(wù)院有關(guān)監管部門(mén)有權對企業(yè)建立并實(shí)施內部控制的情況進(jìn)行監督檢查；明確企業(yè)可以依法委托會(huì )計師事務(wù)所對本企業(yè)內部控制的有效性進(jìn)行審計，出具審計報告。
在這種背景下，RSA等網(wǎng)絡(luò )安全廠(chǎng)商針對性地推出了最新版的企業(yè)IT審計平臺：RSA enVision 4.0。RSA enVision 4.0平臺旨在簡(jiǎn)化合規性，提高安全措施執行和風(fēng)險減緩的效率和效果，通過(guò)對IT日志數據進(jìn)行自動(dòng)化的收集、分析、告警、審計、報告和存儲來(lái)優(yōu)化IT和網(wǎng)絡(luò )的運行。除了對來(lái)自所有事件源的日志數據的告警進(jìn)行關(guān)聯(lián)分析，RSA enVision平臺的目的是為了能讓組織有效地確定潛在的安全問(wèn)題最有可能在哪里發(fā)生。
enVision 4.0是一套閉環(huán)的分析系統，它由日志數據收集、關(guān)聯(lián)分析、存儲、審計報警等幾大環(huán)節組成，從而組成了一個(gè)完善的信息風(fēng)險審計的整體平臺。
在以上環(huán)節中，關(guān)聯(lián)分析非常重要，它是進(jìn)行審計的重要法寶。如華丹介紹：關(guān)聯(lián)分析，就是把所有的事件攏到一塊兒，看它們之間有什么問(wèn)題。比如"9.11"，可能單獨某一架飛機撞到大樓，這可能是一個(gè)偶然事件。但是如果兩個(gè)小時(shí)之內同時(shí)五架飛機撞上大樓，這是有內在聯(lián)系的，可能是基地組織干得。比如輸出密碼的動(dòng)作，你可能覺(jué)得是毫無(wú)價(jià)值的事情，但是你把操作系統整個(gè)200臺機器攏在一起看，發(fā)現半個(gè)小時(shí)可能有200多個(gè)密碼輸錯了，而且來(lái)自于同一個(gè)客戶(hù)端，這代表有人猜你的密碼，有人在攻擊你。
RSA推出的enVision，新設備旨在使安全信息和事件管理能更輕松地被中型企業(yè)所承受。
2009年3月13日-RSA, EMC（紐約證券交易所：EMC）信息安全事業(yè)部今天宣布增強版的RSA enVision ?，即市場(chǎng)領(lǐng)先的，用于安全信息事件管理（SIEM）的"3合1"集成日志管理解決方案。RSA enVision 4.0平臺旨在簡(jiǎn)化合規性，提高安全措施執行和風(fēng)險減緩的效率和效果，通過(guò)對IT日志數據進(jìn)行自動(dòng)化的收集、分析、告警、審計、報告和存儲來(lái)優(yōu)化IT和網(wǎng)絡(luò )的運行。
除了對來(lái)自所有事件源的日志數據的告警進(jìn)行關(guān)聯(lián)分析，RSA enVision平臺的目的是為了能讓組織有效地確定潛在的安全問(wèn)題最有可能在哪里發(fā)生。
"安全威脅的快速演變以及對安全專(zhuān)業(yè)人員預算的緊縮，意味著(zhù)我們的用戶(hù)更加倚重于他們的SIEM系統，以更好地進(jìn)行威脅確認和信息風(fēng)險管理"，RSA產(chǎn)品部高級副總裁Christopher Young說(shuō)。"RSA enVision平臺通過(guò)增強的安全和IT執行能力，在其業(yè)界領(lǐng)先的產(chǎn)品中為用戶(hù)帶來(lái)一個(gè)由其值得信賴(lài)的安全合作伙伴提供的更加強大的解決方案。通過(guò)提供為中型組織定價(jià)和配置的新模塊，我們可以幫助這些客戶(hù)在今天更加緊縮的預算背景下滿(mǎn)足他們更高的安全性和合規性要求。"
RSA enVision ?4.0的增強功能
最新版本的RSA enVision包含了一些增強的功能：可以讓用戶(hù)將風(fēng)險值分配給確定的風(fēng)險，可以讓IT組織調整安全政策、流程和資源的效果。這些增強的功能旨在幫助客戶(hù)降低安全事件的響應時(shí)間，同時(shí)提高他們的安全措施執行人員的效率和生產(chǎn)力。其他的新功能包括：
向安全分析師提供關(guān)聯(lián)實(shí)時(shí)信息的能力：
集成了通用配置管理和漏洞評估解決方案，并提供定期的威脅和漏洞信息，以簡(jiǎn)化導入最新準確數據并將其映射至當前威脅的流程。
加強了告警功能，以在發(fā)現高風(fēng)險漏洞，或在攻擊者試圖利用這些漏洞時(shí)通知分析師。
提供了改進(jìn)的關(guān)聯(lián)規則，可以很容易地適應客戶(hù)的環(huán)境，以幫助檢測最高優(yōu)先級的威脅。
簡(jiǎn)化事件處理流程：
提供專(zhuān)為調查安全問(wèn)題而設計的界面，分析師可以輕松地對導致事故發(fā)生的事件進(jìn)行評估，并實(shí)時(shí)監控特定問(wèn)題的演變。
向安全分析師提供更多的資產(chǎn)和漏洞信息，在分析師調查事件時(shí)給他們提供額外的背景信息。
提供與票據系統的閉環(huán)集成，自動(dòng)將事件升級到故障單系統，并且在關(guān)閉后將狀態(tài)送回至RSA enVision平臺。這使安全措施的執行流程能更好地切合企業(yè)更廣泛的運營(yíng)職能，如服務(wù)級別管理。
提高安全措施有效性的可視性：
針對事件如何創(chuàng )建、升級和響應，提供了更加強大的報告，這可以讓安全管理人員能夠確定事件處理流程中的瓶頸。
在報告中提供了更為豐富的資產(chǎn)和漏洞信息，幫助安全管理人員和分析師評估哪臺主機存在著(zhù)最嚴重的漏洞或存在著(zhù)最大的攻擊風(fēng)險，從而對活動(dòng)作出優(yōu)先排序。
使管理人員和架構師可以更好的訪(fǎng)問(wèn)風(fēng)險和攻擊趨勢信息，以確定哪些安全控制措施正發(fā)揮著(zhù)功效，哪些地方需要追加投資。
安全評估、授權和集成服務(wù)：
利用RSA enVision支持安全措施執行的服務(wù)包括安全評估與授權服務(wù)包。額外的服務(wù)還包括與票據系統的集成，以進(jìn)行事件處理、漏洞和資產(chǎn)管理以及定制的報告。
聯(lián)系客服
