病毒的突發(fā)性與不可控，引發(fā)了“安全網(wǎng)絡(luò)”需求，對(duì)網(wǎng)絡(luò)安全性的重視也逐級(jí)升溫。思科安全網(wǎng)絡(luò)的框架中有不少可借鑒的思想，就此，本報(bào)獨(dú)家采訪了思科系統(tǒng)（中國(guó)）公司IT部門經(jīng)理Greg 
Dixon先生，他
目前，防病毒軟件種類繁多，而且越來(lái)越復(fù)雜。黑客的攻擊也越來(lái)越頻繁，或者一些惡意攻擊也逐漸增多，我們需要在這種攻擊下確保系統(tǒng)的安全，能夠及早地測(cè)試、探測(cè)到攻擊的企圖。
過(guò)去，網(wǎng)絡(luò)分界非常明晰，分為Intranet（內(nèi)部網(wǎng)）、Extranet（外部網(wǎng)）、Internet（互聯(lián)網(wǎng)）三部分，過(guò)去互聯(lián)網(wǎng)只跟外部網(wǎng)發(fā)生關(guān)聯(lián)，與企業(yè)內(nèi)部網(wǎng)沒(méi)有任何關(guān)系。隨著電子商務(wù)日益頻繁、不斷地發(fā)展，企業(yè)內(nèi)有一種迫切的需求出現(xiàn)，需要允許人們直接從互聯(lián)網(wǎng)上訪問(wèn)公司內(nèi)部網(wǎng)。由于網(wǎng)絡(luò)界限已變得模糊，界限越是不清晰存在的危險(xiǎn)性就越大。就安全網(wǎng)絡(luò)的架構(gòu)，記者和Greg先生進(jìn)行了深入的交流。
信息安全部門獨(dú)立運(yùn)作
記者：思科公司的組織架構(gòu)是如何設(shè)計(jì)的，誰(shuí)在負(fù)責(zé)安全這項(xiàng)工作？
Greg: 思科系統(tǒng)公司成立了一個(gè)專門負(fù)責(zé)信息安全的部門，稱為Info-Sec，整個(gè)部門大約有30人。它集中匯報(bào)工作給一個(gè)人，然后由這個(gè)人再匯報(bào)給負(fù)責(zé)整個(gè)公司運(yùn)營(yíng)的主管，但同時(shí)也“支線匯報(bào)（與直接匯報(bào)相區(qū)別）”給CIO。Info-Sec部門毫無(wú)疑問(wèn)與技術(shù)有關(guān)系，雖然它與CIO有一定的關(guān)系，但不直接隸屬CIO，是希望保持一定的獨(dú)立性。因?yàn)槊總€(gè)系統(tǒng)的安全都由系統(tǒng)管理員負(fù)責(zé)，他有權(quán)對(duì)信息進(jìn)行存儲(chǔ)操作。我們不希望所有的權(quán)力都掌握在一個(gè)人手中，否則他可以進(jìn)入所有的系統(tǒng)，存在安全隱患。而我們期望設(shè)計(jì)一種權(quán)限分散的架構(gòu)，一個(gè)系統(tǒng)的安全由不同的人共同負(fù)責(zé)。Info Security作為獨(dú)立的部門，它起到監(jiān)督系統(tǒng)管理員的作用，它具有進(jìn)入所有系統(tǒng)的權(quán)限，是一個(gè)負(fù)責(zé)監(jiān)督所有管理者的部門。它負(fù)有更多的監(jiān)督功能，它負(fù)責(zé)查看在系統(tǒng)上進(jìn)行的數(shù)據(jù)交換的內(nèi)容、時(shí)間以及誰(shuí)在傳送這些內(nèi)容，而不是查看誰(shuí)進(jìn)入了這個(gè)系統(tǒng)。
記者：為什么這個(gè)部門直接向負(fù)責(zé)運(yùn)營(yíng)的主管匯報(bào)？
Greg: 最重要的原因是：Info-Sec這個(gè)部門有很多的職責(zé)，不局限于監(jiān)督的功能。之所以由公司內(nèi)負(fù)責(zé)運(yùn)營(yíng)的管理者承擔(dān)，而不是由純技術(shù)人員管理，目的就是為了保持其獨(dú)立性。因?yàn)槿绻粋€(gè)人除了負(fù)責(zé)技術(shù)之外還負(fù)責(zé)安全，他有可能會(huì)在某些時(shí)候做出妥協(xié)，或許他認(rèn)為安全不是很重要。因?yàn)樵诎l(fā)生沖突的時(shí)候，他必須做出決定或者達(dá)成某種妥協(xié)。而現(xiàn)在這種狀態(tài)，它有充分的空間來(lái)管理、策劃各個(gè)部門的安全藍(lán)圖；另外，Info-Sec部門還需要做些調(diào)查工作，而它所調(diào)查的部門有可能就是IT部門的人，所以還是需要獨(dú)立的空間。
記者：部門內(nèi)的成員（30人）是否有具體的分工？
Greg: 這個(gè)部門成長(zhǎng)特別快，他們的職能也在不斷地變化。我們現(xiàn)在希望有特別好的平衡，整個(gè)信息安全策略的設(shè)想是能照顧到不僅是密碼的設(shè)置、系統(tǒng)的設(shè)置，而是兼顧很多方面。
記者：具體變化能否有事例說(shuō)明，例如去年與今年的對(duì)比？
Greg: 部門業(yè)務(wù)、人員等三年翻了一倍。
記者：是什么因素導(dǎo)致了這種變化，需要不斷地增加職位？
Greg: 最重要的原因，是對(duì)安全意識(shí)的加強(qiáng)，對(duì)安全的需求在不斷增長(zhǎng)，包括在思科公司內(nèi)部也需要加強(qiáng)安全意識(shí)；另外，惡意攻擊日益頻繁，我們也需要根據(jù)實(shí)際情況加強(qiáng)自己的反攻擊力量。例如我們公司的員工通過(guò)一種安全的檢測(cè)、認(rèn)證之后就可以從互聯(lián)網(wǎng)訪問(wèn)到內(nèi)部網(wǎng)。如果整個(gè)鏈條中有一個(gè)節(jié)點(diǎn)非常薄弱，那整個(gè)鏈條的強(qiáng)壯度就跟最弱的節(jié)點(diǎn)強(qiáng)度一樣（類似于木桶理論），這對(duì)安全同樣適用。安全有兩個(gè)重要因素:第一,確保整個(gè)系統(tǒng)的一致性、統(tǒng)一性和完整性；第二，就是企業(yè)中的人。比如在美國(guó)我們有一個(gè)很好的安全系統(tǒng)，但在中國(guó)，由于中國(guó)的需求與國(guó)際的標(biāo)準(zhǔn)不同，那整個(gè)系統(tǒng)將會(huì)變得非常脆弱。例如思科有自己的產(chǎn)品IDS（入侵檢測(cè)系統(tǒng)），這個(gè)系統(tǒng)放在了公司網(wǎng)絡(luò)的很多節(jié)點(diǎn)上，確保公司的安全。我們公司還有一套安全系統(tǒng)CSA（Cisco Security Agent），由于我們的設(shè)備配置幾乎都是一樣的，所以在一個(gè)星期之內(nèi)，這個(gè)軟件就安裝完畢，它可以非常迅速地對(duì)攻擊進(jìn)行檢測(cè)和做出反應(yīng)。
加強(qiáng)外部訪問(wèn)管理
記者：思科內(nèi)部網(wǎng)絡(luò)有35000個(gè)節(jié)點(diǎn)需要管理，是否也涉及思科的合作伙伴？
Greg: 對(duì)合作伙伴的安全管理，就是設(shè)定他們?cè)L問(wèn)的區(qū)域，對(duì)于區(qū)域之外的環(huán)境是不允許進(jìn)入的。另外網(wǎng)絡(luò)層之外，應(yīng)用層也有這樣的策略，需要實(shí)現(xiàn)軟件的統(tǒng)一性、規(guī)范化。在每一種應(yīng)用之間都有軟件防火墻，需要認(rèn)證才能進(jìn)入下一層。對(duì)于外部的人，由于每一層都有安全防護(hù)，他們想訪問(wèn)核心的數(shù)據(jù)是不容易的。
記者：他們能訪問(wèn)到哪一層？
Greg: 水平訪問(wèn)的控制比較容易實(shí)現(xiàn)，而垂直方向的訪問(wèn)就不太容易。不是說(shuō)我們不讓他訪問(wèn)，而是需要根據(jù)他自身的需求，確定他能訪問(wèn)哪一層，而且也要經(jīng)過(guò)很嚴(yán)格的認(rèn)證。對(duì)于某些用戶，他也能訪問(wèn)我們的核心數(shù)據(jù)，例如訂單等，最終還是看他自身的需求。我們采用了惟一的系統(tǒng)軟件，而不是說(shuō)誰(shuí)的好，重要的就是惟一。例如我們的數(shù)據(jù)庫(kù)就用Oracle，而我們的郵件系統(tǒng)也只有一個(gè)，避免發(fā)生沖突。在軟件統(tǒng)一性的基礎(chǔ)上，我們Web Server的安全重點(diǎn)在于及時(shí)更新，如果操作系統(tǒng)有潛在的漏洞就需要及時(shí)堵住，同時(shí)每個(gè)服務(wù)器需要及時(shí)更新，只要一個(gè)沒(méi)有打補(bǔ)丁，病毒就會(huì)廣泛傳播。
記者：思科公司如何管理自己的服務(wù)器？
Greg: 我們的服務(wù)器放在一起，進(jìn)行統(tǒng)一管理。數(shù)據(jù)中心（數(shù)據(jù)、財(cái)務(wù)）在美國(guó)，每一個(gè)國(guó)家有一個(gè)呼叫中心，中國(guó)就以北京作為中心。另外，也有一些合作伙伴的網(wǎng)絡(luò)與我們相連，但都設(shè)置了防火墻。目前，由于部署內(nèi)部、外部和互聯(lián)網(wǎng)這種模式比較昂貴，而且現(xiàn)在多數(shù)應(yīng)用虛擬的概念，在物理上很難區(qū)分這個(gè)層次，而且物理上劃分也非常麻煩。現(xiàn)在的狀況就是在邏輯上可以進(jìn)行區(qū)分，在網(wǎng)絡(luò)結(jié)構(gòu)上差別比較模糊。
記者：有多少個(gè)合作伙伴的網(wǎng)絡(luò)連接到思科的網(wǎng)絡(luò)。
Greg: 這個(gè)情況太復(fù)雜了，不只是合作伙伴的問(wèn)題，很難說(shuō)清楚具體的數(shù)量。但可以設(shè)置安全的通道（Tunnel）來(lái)與我們連接，中國(guó)可能就有二三十家能夠訪問(wèn)我們。
重視安全網(wǎng)絡(luò)技術(shù)
記者：在安全網(wǎng)絡(luò)中，哪些技術(shù)比較重要？
Greg: IDS、控制管理是非常重要的，Info-Sec部門要求公司內(nèi)部員工做正確的事情，而且要有保證。另外應(yīng)用層的內(nèi)部控制，我們有一個(gè)認(rèn)證的技術(shù)——令牌、一次性口令。不是所有的人都需要認(rèn)證，只是涉及跟應(yīng)用相關(guān)的人。再有還是強(qiáng)調(diào)統(tǒng)一性，如果利用同樣的認(rèn)證方式、軟件、協(xié)議，非常方便管理。我們的防火墻本身就有防病毒的功能，在E-mail服務(wù)器里也有，層層關(guān)卡監(jiān)測(cè)病毒。
記者：這樣部署成本會(huì)很高，怎樣考慮？
Greg: 由于量比較大就會(huì)有一個(gè)折扣。例如在防火墻這層全球有8個(gè)網(wǎng)關(guān)，在E-mail和PC上有很多，因?yàn)榱亢艽缶蜁?huì)有折扣。全球統(tǒng)一用一個(gè)品牌的系統(tǒng)，防火墻上是統(tǒng)一的，E-mail服務(wù)器上、PC上也分別是統(tǒng)一的。因?yàn)橛靡粋€(gè)品牌可以保證經(jīng)銷商更新軟件時(shí)的全球同步。因?yàn)檠a(bǔ)丁總是伴隨著病毒出現(xiàn)，也只有病毒發(fā)作之后才推出補(bǔ)丁，對(duì)于我們來(lái)說(shuō)關(guān)鍵就是這個(gè)時(shí)間差，時(shí)間長(zhǎng)短決定受侵害的程度。而使用統(tǒng)一的軟件可以保證在病毒發(fā)作后的第一時(shí)間自動(dòng)地得到補(bǔ)丁。由于病毒發(fā)作與推出補(bǔ)丁之間的時(shí)間永遠(yuǎn)不可能是零，在這個(gè)間隙思科就利用CSA軟件。CSA軟件裝進(jìn)系統(tǒng)之后，它不知道什么是病毒，但它會(huì)把一些沒(méi)有預(yù)定義或者帶有攻擊性的軟件進(jìn)行屏蔽，雖然對(duì)用戶有些打擾（有時(shí)會(huì)彈出窗口，讓你進(jìn)行選擇。），目前也不是最優(yōu)的方式，但仍不失為一個(gè)好的預(yù)警措施。
記者：CSA與防病毒軟件有何區(qū)別？
Greg: 最大的區(qū)別是CSA可以監(jiān)視一些非正常的行為，例如可以監(jiān)測(cè)到非法修改注冊(cè)表的動(dòng)作；而防病毒軟件是偵側(cè)已知的非法行為。其實(shí)二者可以相互補(bǔ)充，互為應(yīng)用。CSA目前也是一個(gè)正在推廣的產(chǎn)品，也就此正在和一些合作伙伴進(jìn)行合作。
記者：如果PC系統(tǒng)因?yàn)槟承┰驔](méi)有得到及時(shí)更新，如何管理？
Greg: 如果員工的系統(tǒng)在第一時(shí)間沒(méi)有得到自動(dòng)更新，在他下次連接到網(wǎng)絡(luò)的時(shí)候，系統(tǒng)會(huì)自動(dòng)實(shí)施更新，這一功能是防病毒廠商提供的。另外我們對(duì)防病毒軟件的更新也實(shí)行一定質(zhì)量的控制，先要在分步服務(wù)器上進(jìn)行驗(yàn)證，需要1個(gè)小時(shí)，然后才放到服務(wù)器上讓員工進(jìn)行更新。
記者：如果員工的機(jī)器在其他地方染毒，如何處理？
Greg: 我舉一個(gè)自己的例子，上周我得到系統(tǒng)管理員的通知：我的機(jī)器染毒，但自己不知道；過(guò)了一會(huì)兒，又有一個(gè)本地的技術(shù)工程師提示我，你的機(jī)器上的病毒已經(jīng)被清除了，這項(xiàng)工作也是在我不知情的情況下完成的。由于現(xiàn)在的病毒衍變非常迅速，而且似乎是不可阻擋的，在你覺(jué)察之前已經(jīng)侵害了你的系統(tǒng)。CSA像是一個(gè)防火墻，對(duì)個(gè)人PC起到保護(hù)的作用。
利用各種方式加強(qiáng)安全意識(shí)
記者：安全小組如何保證員工執(zhí)行這些安全策略？
Greg: 人的活動(dòng)在安全網(wǎng)絡(luò)中是關(guān)鍵因素，這也是我此前提到的。其實(shí)技術(shù)本身沒(méi)有安全與否的區(qū)分，關(guān)鍵是人。不是說(shuō)我們不信任我們的員工，而是在有些時(shí)候員工不知道。處理這個(gè)問(wèn)題，思科有一個(gè)策略：相信員工是第一位的，第二就是很多時(shí)候需要提醒員工。
記者：在安全策略上，公司是不是需要加強(qiáng)宣傳？
Greg: 舉個(gè)例子說(shuō)明，在密碼管理上，要求員工在設(shè)置密碼時(shí)必須將數(shù)字和字母混合使用；一個(gè)密碼使用期限不能超過(guò)3個(gè)月；以前用過(guò)的密碼不能再用，這些都是強(qiáng)迫性的手段，提醒員工加強(qiáng)安全意識(shí)；另外也通過(guò)溝通宣傳的手段提高大家的意識(shí)，譬如通過(guò)E-mail的提醒、高層（錢伯斯）或者我們?nèi)肆Y源主管的提醒，利用多種手段達(dá)到相同的目的；再有，Info-Sec這個(gè)部門還有自己的一個(gè)網(wǎng)站，上面專門存放公司這方面所有的政策、流程等。如果員工需要將家中的網(wǎng)絡(luò)連接到公司，就必須熟悉公司的規(guī)定，并按照一定方式進(jìn)行連接，以確保此連接不會(huì)出現(xiàn)什么安全問(wèn)題，不會(huì)給公司帶來(lái)任何的隱患；還有，思科有一個(gè)電子學(xué)習(xí)的平臺(tái)，平時(shí)會(huì)有一些強(qiáng)制性學(xué)習(xí)的任務(wù)，包括關(guān)于各個(gè)方面的問(wèn)題，你必須在正確回答問(wèn)題之后才能通過(guò)，而且公司會(huì)有統(tǒng)計(jì)，記錄哪些員工通過(guò)，哪些沒(méi)有通過(guò)，類似于考試，這也是一個(gè)手段。
記者：這種策略要求每個(gè)員工都學(xué)習(xí)與認(rèn)識(shí)，但如果員工就是沒(méi)有學(xué)，怎么處理？
Greg: 除了Info-Sec制定的這些策略，還有一個(gè)監(jiān)控部門，所有通過(guò)防火墻的流量都是被監(jiān)控的，所有的E-mail都是被查看的，如果有違規(guī)的內(nèi)容，我們都可以發(fā)現(xiàn)。如果性質(zhì)嚴(yán)重，就構(gòu)成犯罪，會(huì)被公司辭退。
記者：監(jiān)控部門大概有多少人？
Greg: 他們非常低調(diào)，從來(lái)不做宣傳，人數(shù)不大清楚。
記者：他們不向你進(jìn)行匯報(bào)嗎？
Greg: 他們不是Info-Sec部門的人，是隸屬另外一個(gè)部門。
記者：這種策略很復(fù)雜嗎？
Greg：我認(rèn)為不是很復(fù)雜，因?yàn)槲覀兊恼軐W(xué)是：簡(jiǎn)單的就是好的。
記者：如果由于做了不恰當(dāng)?shù)氖露晦o退，這樣的消息在公司會(huì)公布嗎？
Greg: 一般不會(huì)公布，如果行為很嚴(yán)重或者具有惡劣影響的，此時(shí)我們的管理人員就會(huì)發(fā)通知。例如去年有員工通過(guò)點(diǎn)對(duì)點(diǎn)的軟件下載非法音樂(lè)，這樣的做法就是不合適的，我們也進(jìn)行了提示。另外，思科對(duì)員工操守的要求還是非常高的，企業(yè)文化上對(duì)職業(yè)操守有明確的要求。這是完全超越安全的范疇，要求員工必須去學(xué)習(xí)和了解，包括各種制度等，而且需要上網(wǎng)學(xué)習(xí)，并點(diǎn)擊進(jìn)入以表示你曾經(jīng)學(xué)習(xí)過(guò)，這些都會(huì)有記錄，如果你明知故犯就會(huì)比較被動(dòng)了。思科認(rèn)為競(jìng)爭(zhēng)是好的，關(guān)鍵是需要公平的競(jìng)爭(zhēng)，如果思科發(fā)現(xiàn)公司的信息傳送給競(jìng)爭(zhēng)對(duì)手，這些都是公司不允許的。
重視前期安全投入
記者：思科在信息安全上的投入大概占公司每年總投入的百分比是多少？
Greg: 這是個(gè)非常好的問(wèn)題，但同時(shí)是一個(gè)非常難以回答的問(wèn)題。因?yàn)槲覀兊陌踩菬o(wú)處不在的，是一個(gè)植入性的工程，例如我們的IOS里面也有安全的考慮。在公司每一個(gè)層面、每一個(gè)環(huán)節(jié)上都會(huì)有安全的花費(fèi)，如果要匡算的話，大概是15％。安全的花費(fèi)處在一個(gè)不斷升級(jí)、不斷增加的狀態(tài)。例如現(xiàn)在我們要加密我們所有無(wú)線入網(wǎng)的功能，本身就需要花費(fèi)，再有IP電話也需要認(rèn)證，這也是安全的費(fèi)用，因此安全的花費(fèi)是在不斷增長(zhǎng)的。我們的無(wú)線認(rèn)證協(xié)議（802.1x）保證了無(wú)線網(wǎng)絡(luò)的安全，下一步在有線局域網(wǎng)上也需要實(shí)施，這就是花費(fèi)。
記者：新的病毒出現(xiàn)時(shí)，我們的系統(tǒng)如何應(yīng)對(duì)？
Greg: 至少我們沒(méi)有受到任何影響，因?yàn)槲覀兌际菢?biāo)準(zhǔn)、統(tǒng)一的應(yīng)用，不需要很多人去操作，只要有一個(gè)人立刻更新防病毒軟件，整個(gè)公司就安全了。雖然說(shuō)部署這套系統(tǒng)時(shí)需要花很多的錢，但后期的維護(hù)費(fèi)用卻是經(jīng)濟(jì)的，而且保證業(yè)務(wù)只受到最小的影響。
我們還有一個(gè)職位是網(wǎng)絡(luò)執(zhí)勤工程師，他們的工作模式是跟著太陽(yáng)走，24小時(shí)實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)的狀況，在新病毒出現(xiàn)時(shí)，可以及時(shí)發(fā)現(xiàn)并發(fā)出預(yù)警；另外我們還有一個(gè)企業(yè)管理（Enterprise Management）的系統(tǒng)，當(dāng)出現(xiàn)異常狀況時(shí)，同樣會(huì)發(fā)出警示，根據(jù)病毒的來(lái)源交給其他負(fù)責(zé)部門處理。由于這個(gè)系統(tǒng)具有很強(qiáng)的客戶定制性，需要根據(jù)不同公司進(jìn)行開(kāi)發(fā)；再有還是強(qiáng)調(diào)統(tǒng)一性，我們的設(shè)備，從防火墻到個(gè)人PC，都實(shí)行了統(tǒng)一標(biāo)準(zhǔn)，例如我們新員工的PC都是IT部門進(jìn)行安裝的，非常統(tǒng)一，細(xì)化到硬盤的每個(gè)分區(qū)、每個(gè)目錄下放置什么都會(huì)交待清楚。
記者：企業(yè)網(wǎng)中最不容易經(jīng)受的考驗(yàn)是什么？
Greg: 最難的是大家把安全當(dāng)作一種成本，是一種花銷。但如果你不考慮安全的話，日后將會(huì)有更大的花銷。其實(shí)，中國(guó)的企業(yè)是有優(yōu)勢(shì)的。例如國(guó)外有幾十年歷史的公司，它必然有很強(qiáng)的傳承性，有可能就會(huì)成為拖累。思科之所以少受負(fù)累，是因?yàn)樗伎剖呛苣贻p的公司，我們關(guān)注的都是IT，相對(duì)受制約比較少，但是很多其他公司在技術(shù)上受很多的制約。而中國(guó)國(guó)內(nèi)的企業(yè)在基礎(chǔ)架構(gòu)上投資比較少，它是一張白紙，可以全新地去做，這是個(gè)很好的前提。另外技術(shù)本身很關(guān)鍵的一點(diǎn)在于如何管理這些技術(shù)。管理說(shuō)起來(lái)很容易，做起來(lái)很難。例如思科的平臺(tái)，最關(guān)鍵的就是標(biāo)準(zhǔn)化平臺(tái)，實(shí)現(xiàn)它是非常困難的，畢竟每個(gè)工程師都會(huì)有自己的喜好，這些就需要時(shí)間和策略。國(guó)內(nèi)的企業(yè)有優(yōu)勢(shì)，但需要解決管理這些技術(shù)的難題。最大的問(wèn)題是PC（Personal Computer），在實(shí)現(xiàn)標(biāo)準(zhǔn)化的情況下不會(huì)給公司帶來(lái)影響。
結(jié)束了訪談，體會(huì)了安全網(wǎng)絡(luò)的精髓還是在于人和最初設(shè)計(jì)的理念，對(duì)于一個(gè)公司而言，需要設(shè)計(jì)并制定符合自己的安全策略，并依靠有效的方式、方法來(lái)執(zhí)行這些策略，并在平時(shí)進(jìn)行合理有效地監(jiān)督、監(jiān)控，確保策略被有效地實(shí)施。
