第五章 企業網路存取控制,第五章 企業網路存取控制,2,前言,5.1 存取安全政策制定、派送與管控 5.1.1 存取控制簡介 5.1.2 存取安全政策制定 5.1.3 存取管控 5.2 電子資料內容加密、實施權限控管 5.2.1 資料加密簡介 5.2.2 權限控管的實施 5.3 稽核使用者存取,隨著網路的發展，企業對網路的依賴越來越重，網路已成為現代化企業不可或缺的一環。員工、訪客、合作夥伴等等的使用者，都需要藉由網路存取企業資源(包括企業的機密資料)。 隨著透過網路存取資料的增加，企業網路被入侵的風險也日益增加。當用戶透過網路連進企業網路、或是遠距辦公時，很有可能在不知不覺中成為被攻擊的對象，進而成為有心人士入侵企業網路的跳板。 此外若有員工將被病毒感染的裝置連接到企業內部網路中，在同一個LAN中的使用者很有可能會跟著遭殃，使得企業網路面臨嚴重的資安威脅。 企業網路若沒有限制使用者的存取權限，任何訪客都可以使用未經管理的連線裝置，透過Internet連進企業網路，這將造成企業機密資料被竊取的危機。,5.1.1 存取控制簡介,如左圖所示，存取控制大概可分類為 系統存取控制 實體存取控制 網路存取控制 系統存取控制 即系統的使用權限控管與身分識別。 實體存取控制 即對各種資訊設備的實體保護，例如門禁管制等等。 網路存取控制 除了對內部系統與實體存取管控之外，對於外部連線 的網路存取也要有控管與保護。 本節將著重在網路存取控制的介紹,第五章 企業網路存取控制,3,存取控制的涵蓋範圍,5.1.1 存取控制簡介,網路存取控制 隨著網際網路的普及，企業使用網路存取資料的比重漸漸增加，以下介紹較常見的網路存取控制措施: 網路服務的限制 對於網路服務的提供應給予限制，避免疏於管理而造成重大的安全漏洞。也就是說使用者只能使用授權範圍內的網路服務，而且不能妨礙網路正常的運作。例如監控即時通訊軟體的通訊內容、禁止使用P2P軟體等等。 使用者身分鑑別 使用者透過外部網路存取企業內部網路資源時，應該要鑑別該使用者的身分，確認是合法的使用者且有對應的權限才執行存取的指令。 網路區隔 網路區隔的意思為利用網路技術將敏感性資料從企業網路區隔或設定為一獨立的網路，並限制一般員工或訪客的連結。左圖所示為將企業網路設定為三個獨立的子網路。 網路連線作業控制 我們應限制外部使用者只能執行特定的工作，例如只能使用E-mail、Http、存取特定的檔案等等。 安全通道 安全通道能確保用戶端與伺服端連線時，雙方資料傳遞的安全性。使用者透過外部網路存取企業內部網路資源時， ，應該要建立一條安全通道。,第五章 企業網路存取控制,4,將企業網路設定為三個獨立的子網路,5.1.1 存取控制簡介,網路存取控制的目的是為了確保使用者在任何時間、任何地點使用任何設備 ( 例如筆記型電腦、桌上型電腦、等等 )，存取資料的動作不會危害企業網路的正常運作，也不會造成企業的機密資料外洩。 網路存取控制整合了使用者、網路設備、安全存取的相關技術；主要包含認證、授權、計費 (稱為AAA)機制的實現，端點設備的整合及公司安全政策的管理及執行，網路隔離與修復區域的規劃等等。 左圖為一個網路存取控制的示意圖，當內部使用者想要存取外部網路的資源時，網路存取控制主機會根據網路管理員所設定的安全政策來檢查該使用者是否可以存取外部網路的資源；而外部使用者想要透過網路存取公司內部網路的資源時，網路存取控制主機也會檢查該外部使用者是否符合網路管理員所設定的安全政策。網路存取控制主機的部署，可以根據各種需求而有不同的部署方案，左圖並非唯一的部署方案。,第五章 企業網路存取控制,5,網路存取控制示意圖,5.1.1 存取控制簡介,網路存取控制除了實現存取控制機制，還需執行使用者驗證及端點安全評估。 網路存取控制的範圍很廣，比如說遠距工作的存取控管、企業內某一台電腦受到病毒的感染應立即隔離、訪客是否可以透過企業內部網路存取網際網路的資訊等等。 執行網路存取控制的主機可分為政策管理主機、政策遵循檢查及端點檢查主機、強制執行安全存取政策主機等。 左圖為端點安全檢查時的流程，當端點裝置連上網路時，系統會去找尋並安裝端點裝置(發現步驟) ，當安裝完後，系統會去檢查該裝置有沒有違反任何安全政策(執行步驟)，若有發現任何問題，例如沒有更新修補程式，則會強迫該裝置更新(修正步驟)，最後會持續監控該裝置有沒有一直遵守安全存取政策(監控步驟)。,第五章 企業網路存取控制,6,端點安全檢查流程,5.1.1 存取控制簡介,由於市場需求，許多網路相關業者 (Juniper、McAfee、Cisco、賽門鐵克、趨勢等等)都有推出網路存取控制的產品，因此造成一個企業網路可能存在多個執行網路存取控制的主機，但是網路存取控制機制是由不同廠商所開發的，造成各個主機彼此的存取安全政策可能沒有辦法統一存取控管(unified access control)。 為了解決上述的問題，如左圖所示，可信任網路連結 (Trusted Network Connect；TNC) 的架構被提出，TNC為一開放式的產業標準，目的是讓多家廠商的網路存取控制產品可以互相搭配使用。 (https:/www.trustedcomputinggroup.org),第五章 企業網路存取控制,7,第五章 企業網路存取控制,8,5.1.2存取安全政策制定,存取資源的對象是誰？ 必須明確規範可以存取系統資源的使用者。 如何將系統資源合適的分配使用？ 不同等級的使用者(例如員工、主管、訪客等等)有不同的存取權限，必須清楚定義不同等級的使用者可以存取的資源種類及範圍。 使用者的授權者是誰？ 必須確實掌控存取資源的使用者是原先系統授權或是經由第三者授權，若不確實掌控是誰授權使用者，那麼一旦發生問題，可能沒有辦法清楚知道誰應該負責。 哪些人擁有系統管理權？ 必須明確規範哪些人可以擁有系統管理權，若有人將系統管理者的帳號跟密號外洩，方便追查。 使用者的權利及責任為何？ 必須明確規定使用者的權利及責任，而使用者也必須要了解並遵守企業所訂定的安全政策。 管理員對使用者的責任為何？ 若有資安事件發生時，系統管理者可能會讀取使用者的私密資料，所以要明確規定系統管理者所能讀取使用者機密資料的程度。 對於敏感性資料所採取的動作為何？ 在授權前，應先決定該資料的機密程度；若是屬於高機密的文件，那麼就不能允許將資料儲存在其他儲存裝備，以防機密外洩。,資料參考來源: RFC1244.txt,5.1.2存取安全政策制定,上頁所提到的七個項目為一個通則，當制定安全政策時並不一定全部都要考慮進去，通常還是要根據企業網路實際應用的狀況及公司政策為考量重點。 舉例來說，考慮一個小型的公司，公司資料分為三類:公開資料、會計資料及價格資料；存取資料的對象分為訪客、員工、客戶、廠商；給予存取權限的人為系統管理員或是老闆，根據上述的條件，該公司的系統應該實現如左表所示之一個簡單的存取安全政策。,第五章 企業網路存取控制,9,存取安全政策範例,5.1.3 存取管控,存取控管定義: 使用者資料存取的權限應該要依照使用者工作職權來訂定，以降低未經授權存取系統資源的風險。 存取控管是指對主體(Subject)存取客體(Object)的權限或能力的限制，以及限制進入物理區域(稱為出入控管) 和限制使用資訊處理系統和儲存資料的過程(稱為存取控管)。 存取控管分為物理存取控管和邏輯存取控管，邏輯存取需要進行兩類控管，一是預防性控管，即用於識別每一個授權使用者並拒絕非授權使用者的存取；另一類為探測性控管，即用於記錄和報告授權使用者的行為及非授權存取或存取企圖，或者說對系統的使用與存取情況進行監控。 接下來介紹國際資訊安全管理的準則及規範 (BS7799 / ISO2701) ，對存取管控的控制目標及控制項目。 存取控管政策 企業運作需要資訊的支持，一方面需要充分利用資訊資源，例如透過網路系統進行資訊共享；另一方面，要對資訊的使用進行一定的限制，以逹到保護資訊資產的目的。 對資訊的存取應控管到何種程度取決於企業商務運作的要求與資訊安全要求。 1. 制定並實施存取控管政策 企業應根據商務運作的需要，制定一個文件化的存取控管政策，並明確規定存取控管的商務要求，即存取控管規則和每個使用者或群組的存取權力在存取政策中要有清楚的定義。 2. 如何制定存取控管規則 存取控管規則應該要明確規定允許和禁止的內容。,第五章 企業網路存取控制,10,5.1.3 存取管控,使用者存取管理 為了防止非授權的存取，企業應根據存取控管政策對使用者(包括內部使用者及第三方使用者)存取權限進行管理。 1. 建立使用者登入過程 為確保存取資訊系統和服務的使用者之合法性，企業透過建立一個正式的使用者登記(Registration)和解除登記(De-registration) 的授權程序對使用者存取資訊系統和服務的權限進行管理。 2. 對特權實行嚴格處理 特權(Privilege)是指使用者對資訊系統擁有特殊的權限。例如，系統管理員就擁有特權，其存取權限高於一般使用者。系統多餘特權的分發與使用，會造成系統被破壞的風險增加，例如發生資料篡改或是機密資料外洩等。 3. 使用者密碼管理 密碼是用來驗證存取資訊系統和服務的使用者身分的一種通用方法。 4. 定期對使用者存取權限進行審核 為避免非授權使用者或多餘使用者的存在，需要定期對使用者存取權限進行審核。一般來說特權使用者的審核週期要比一般使用者的審核週期短，建議特權使用者每三個月審核一次，而一般使用者每半年審核一次。若審核發現問題，應採取必要的措施並加以更正，例如取消過期的使用者帳戶。,第五章 企業網路存取控制,11,5.1.3 存取管控,使用者責任 除了控管政策的制定外，授權使用者的合作是有效保護系統的基本條件，即使用者要體認到他們也有存取控管方面的職責，尤其是在使用者設備與密碼的安全管理。 1. 使用者要安全選擇與使用密碼 大多數密碼都是由使用者自行選擇設定的，使用者應該要選擇較不易被破解的密碼，通常密碼長度最好要大於六個數字且不要採用跟自己相關的資訊，例如生日、電話號碼等等。 2. 對無人看守的設備應採取適當保護措施 無人看守設備 ( Unattended Equipments ) ，如伺服器、無人看管的通訊設備，存在著可能被錯誤使用、竊取的危脅，因此我們需要依照設備所處的環境條件以及設備的重要性，給予相對應的保護措施。 3. 桌面淨空與螢幕淨空政策 結束工作時，使用者應將其所使用具有機密性或敏感性的資料，妥善處理，以防非法使用者的盜用。,第五章 企業網路存取控制,12,5.1.3 存取管控,網路存取控管 我們使用企業的內部網路或是外部網路，其目的為透過網路得到相關的資源或是服務；當我們在享受網路服務所帶來的方便與快速的同時，也存在內部與外部使用者、無意與惡意對企業網路未經授權的存取，因此我們需要對內部與外部網路服務的存取加以控管，藉此保護企業網路的安全。 1. 建立並實施網路服務使用的政策 為確保網路服務的安全，使用者只能存取那些被授權的網路服務，這種控管對於連接到敏感性的商務應用、高風險使用者區域的網路特別重要。 2. 實施路徑控管 從使用者到提供網路服務主機的路徑必須受到控管，以減少非授權存取的風險。限制路徑控管可以透過設置防火牆、路由器的存取控管規則來實現。 3. 對外部連接的使用者進行認證 開放外部網路的使用者連接內部網路，可能使得非授權使用者可以存取企業相關的商業資料，所以外部連接使用者的存取必須經過一套身分認證 ( Authentication ) 機制，來對該使用者的真實身分進行確認，以防止非授權使用者的存取；身分認證機制可以根據使用者的生物特徵、所持設備、資訊等的組合來對使用者的身份做一個確認。 4. 網路設備識別 節點 ( Node，可能是路由器、通訊閘、伺服器等等 ) 可能成為非授權使用者存取企業網路資源的一個管道，因此，應該要對節點進行身分認證的動作；至於認證方法可以參考外部連接使用者認證的方