网络安全解决方案实例参考(6)
杨文飞、边歆　2001-04-19 13:34:23

　　

　　PNC不仅是一家银行，而且是全美国服务项目最齐全的金融服务组织。它向客户提供的服务包括社区信贷、企业信贷、个人信贷、抵押信贷、担保借款、资产评估和共有基金服务。

　　面临的挑战
　　为了保障这样一个业务种类繁多的机构正常运转，PNC装备了超过700个服务器。所使用的操作系统包括Windows NT、UNIX、VMS和NetWare。鉴于技术环境如此复杂，PNC选择了赛门铁克的一致性评估（ESM-Enterprise Security Manager）和入侵探测（Intruder Alert）产品。

　　赛门铁克的企业安全管理员和产品在这家银行成功的安全程序中扮演了重要的角色，但是，PNC负责安全事务的团队经过了一些尝试和失误之后才意识到，工作重点应该优先考虑管理过程，而不是技术解决方案。

　　PNC的信息安全架构负责人说：“最初的发展是从传统银行业务的需要为出发点的，我们所制定的策略并没有考虑到PNC所处的环境，无论是技术上还是商务上看，现在的环境都和以前不同了。很显然，现在需要从团队的角度出发，而且我们不得不重新评估工作方法了。”

　　最初的部署是希望把已经按照PNC的特点进行了修改的赛门铁克的 ESM策略运用到整个企业的不同商务部门中去。但是，这样的做法并没有充分考虑操作系统环境和商务需求之间的差异。正是因为没有在部署ESM之前全盘考虑这个安全策略，导致了团队对系统和安全程序的运转状况留下了错误的印象。

　　PNC很快意识到了目前的状况并不适合企业的真实需要。因此，他们成立了一个团队，其成员代表着安全架构、信息安全和项目管理等不同领域，共同决定如何从战略和战术上解决这个问题。

　　解决的办法
　　PNC并没有把重新部署赛门铁克产品作为入手点，相反，他们重新设计了信息安全程序。这个过程包括策略、标准、手续、支持系统、数据库、评估和协调、技术基础设施和一个完整的安全工具套装。这个程序中一个关键的组成部分就是管理过程，它联系着整个公司的安全策略与商务部门的安全策略。在PNC，各个商务部门的执行委员会对本部门的安全策略直接负责。没有事先把这些东西准备好是PNC从中得到的教训。操作系统管理员和来自各个商务部门的代表也参与进来，提出他们的具体工作环境要求的各种改动。经过重新设计，形成一个综合性、面向整个企业的安全程序，这个安全程序涵盖安全问题的各个方面。

　　产生的效益
　　安全程序管理过程为战术部署提供了基础。这个团队现在必须用赛门铁克的产品设计出一个操作环境（测试、接收和部署），为程序提供支持。ESM的策略非常灵活，能够协调操作系统环境和具体业务部门需求之间的差异，这样确保了ESM安装以后它们之间的协作。赛门铁克能够满足所有商务部门在安全方面的需要，因为它可以在每个系统上支持多种策略，允许安全管理员建立多个域名（基于共同特性的服务器的分组）并且将同一台服务器注册到不同的域名上。


　　赛门铁克的产品通过基于Windows的控制台，允许管理员和安全分析员访问数据，来完成这个任务。在PNC，报告这一环节包括每个月向系统管理员提交的详细报告、向商务部门管理层提交的月度简报以及每个季度向公司的执行管理层提交的状态评估报告。

　　对于PNC来说，只有彻底地理解公司的安全程序和与此相关的策略，并且将这些信息转化成ESM产品，并且对服务器进行分析，才可能对整个过程带来益处。

　　PNC的项目经理说：“虽然我们最初因为没有能够考虑到管理过程而没有实现预定目标，但我们还是在弥补了漏洞之后将工作迅速推向前进了。我们现在更了解我们的安全环境，做事更有目的性，而且知道自己希望得到什么。我们希望其他的机构能够从我们的实践中吸取经验，并与我们一道迈向成功。”

|首　页||上一页|