关注内网安全,阻止最后的疯狂
来源:本站原创 更新时间:2012-04-13
案例1:2002年,原华为公司传输部技术人员王志骏、刘宁、秦学军因与华为公司发生法律纠纷,被国家公安机关羁押。华为称这几名员工以自主创业为名“盗窃”了公司的核心技术。离开华为后,他们在上海成立了上海沪科科技有限公司,并将“窃取”的核心技术资料卖给了华为公司的直接竞争对手。2002年8月,深圳市检察机关批准逮捕王志骏等人,并正式立案。

  案例2:2004年5月,某大型企业研发中心发现某国外竞争对手领先一步完成了A产品的设计开发,该研发中心领导一下就懵了。A产品的设计开发可是该企业的重大研发项目,该企业想依托A产品完成产品线的转换,大笔资金投入到该项目,众多研发人员也付出了艰辛的劳动。企业在项目立项及开发过程中,还从未听说有哪家单位也在进行A产品的开发,为什么竞争对手开发速度如此之快?

  情况汇报给企业老总后,老总的第一反应就是内部人员泄密,随即下令该项目所有人员停止开发,迅速离开工作岗位,并向公安部门报案。公安部门技术人员到达现场后,发现该研发中心保密工作存在重大疏漏:设计人员电脑与普通工作人员电脑连在同一个局域网内、计算机端口允许人员将资料随意拷出、设计人员将某些机密文件设成共享、打印资料随意带出、所有电脑都可以上互联网……经过检查,公安部门初步判定为内部人员泄密,但是要查出是谁将资料泄密,难度太大。最终该案不了了之,企业也只能对研发中心领导进行降职处罚,该企业付出的1000余万元研发费用、众多研发人员的辛勤劳动全部付诸东流。

  随着网络技术的发展和普及,人们对网络安全的认识也日益深入。防火墙、入侵检测、VPN、信息加密等安全产品也逐步得到认可,但是这些产品有一个共同点:防外不防内。各个企业和单位在网络安全建设上投资不小,但这些安全建设大部分都基于“内部人可信”这一假设。这样一来,网络内部几乎成了不设防地带,信息安全疏于防范,极可能被内部人员窃取重要信息并获取非法利益。一旦泄密事故出现,不仅损失惨重,而且很难追查到泄密人员。以往的很多泄密案例中,基本都是内部人员、前内部人员(已离职)或准内部人员(合作伙伴、技术维护人员)作案,其中相当一部分都是内部人员即将离职前作的案,可谓是“最后的疯狂”。
信息社会,信息就是价值,信息就是生产力。能否有效保护专有技术等内部信息,更是企业求存成功的关键,是业务保障的基础。IT技术的发展使得人们获取信息的速度日益加快,这也给犯罪分子提供了便利,通过一个U盘,一分钟的时间就可以拷走上百兆的资料,而这些资料可能具有难以估量的价值,因此说一分钟损失几千万绝对不是危言耸听。在安全建设上“重防外,轻防内”注定会给自己留下安全隐患。

  内部人员造成的危害如此巨大,为什么媒体披露的却比较少呢?这是因为黑客带来的危害是比较公开的,例如篡改主页、拒绝服务攻击、网络钓鱼、编写并传播病毒等。这些行为造成的后果影响的面比较广,因此媒体得到这些信息也比较便捷,曝光率也就比较高。相比之下,内部人员的破坏行为往往具有隐蔽性。另外有些单位怕曝光后社会影响不好,影响单位声誉,特别是涉及国家机密的案件就更不宜曝光,因此人们知道的就少了。

  目前的网络技术有许多漏洞可以被内部人员所利用,一般内部泄密主要是通过如下途径:

  1、内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走;

  2、内部人员通过互联网将资料通过电子邮件发送到自己的邮箱;

  3、将文件打印后带出;

  4、将办公用便携式电脑直接带回家中;

  5、电脑易手后,硬盘上的资料没有处理,导致泄密;

  6、随意将文件设成共享,导致非相关人员获取资料;

  7、移动存储设备共用,导致非相关人员获取资料;

  8、将自己的笔记本带到公司,连上局域网,窃取资料;

  9、趁同事不在,开启同事电脑,浏览、复制同事电脑里的资料。

  此外,还有很多其他途径可以被别有用心的内部人员利用来窃取资料。

  那么如何才能解决内部人员泄密问题呢?这就要求企业或单位配置必要的技术装备,同时加强管理,做好内部人员的保密教育、法制教育。“技术与管理”并重,才能从根本上杜绝内部人员泄密。

  在技术上,目前有许多产品可以对内部人员计算机操作行为进行审计。不久前,国家保密局涉密产品检测中心通过的“剑鱼网络安全监控审计系统”,就是专门针对内网安全设计的监控审计产品。它将设备安全管理、文件安全管理、网上行为管理有机地结合在一起,通过对每一个网络设备的监视和控制、网络用户行为的监视和记录,将网络的安全隐患可视化,能最大限度地防止敏感信息的泄漏、破坏和违规外传,并完整记录涉及敏感信息的操作日志,以便事后审计和追究泄密责任。同时它还对个人桌面系统的软硬件资源实施安全管理,通过对个人桌面系统的工作状况进行监控和审计,有效的控制和防范信息安全事故。

  在管理上,防范内部人员泄密要做到以下几点:一是要建立一整套规范的安全保密制度并严格执行;二是要加强员工的保密教育,使他们认识到保密工作的重要意义;三是要有奖惩制度,对保密先进个人、单位予以嘉奖,对于泄密事故加大惩处力度,做到以儆效尤。

  信息技术的运用正逐步渗透到日常工作的各个层面,由此而生的内网安全问题也会逐渐被各企业、政府单位所认知,如何应对内网安全问题将是摆在各个单位面前的重要问题。有政府的政策指引,有像理工先河、汉邦、中软等专业网络安全企业的参与,相信由内网安全问题所带来的损失将被大大缩减。当然最重要的还是需要单位自身认识到内网安全的严峻形势并采取有效措施加以防范,阻止那些以身试法者最后的疯狂。