解读企业内应用程序、虚拟化及设备安全问题

核心提示： 虚拟化目前最令人关注的安全问题就是企业内台式机和笔记本电脑上的未经授权的虚拟化软件安装，虚拟化技术实现了逻辑(软件)从物理(硬件)分离，解读企业内应用程序、虚拟化及设备安全问题(2)，允许同一硬件上运行多个系统，这在如今IT预算紧缺的时候确实很有意义，企业禁止使用的应用程序能够自由使用，或

虚拟化

目前最令人关注的安全问题就是企业内台式机和笔记本电脑上的未经授权的虚拟化软件安装。

虚拟化

技术实现了逻辑(软件)从物理(硬件)分离，允许同一硬件上运行多个系统，这在如今IT预算紧缺的时候确实很有意义，但是部署虚拟桌面的企业也面临着很大的风险。从另一方面看，不受管制的虚拟电脑其实已经成为企业的安全系统上的“黑洞”，因为虚拟电脑运行的应用程序完全不受IT管理员的控制。

虚拟电脑可以方便地下载图像文件，这意味着那些运行未经授权应用程序的最终用户为企业系统带来巨大风险。并且，在虚拟环境运行未经授权软件(游戏、浏览器和测试版软件等)让企业系统信息和数据处于危险的境地。

可移动存储设备

另外，运行可移动存储设备(如USB密钥、CD和DVD)和无线网络协议(如wifi、蓝牙和红外)上的未经授权软件会扩大企业安全漏洞，特别是当在虚拟环境运行这些应用程序时。

使问题更加严重的就是，使用这些设备和协议传输企业内外的商业数据，最近的调查显示，无意泄漏公司机密信息成为企业安全的头号威胁，略高于病毒、木马和蠕虫。

企业风险

未经授权使用和安装应用程序、设备和网络协议可以在以下几个方面对企业产生负面影响。

安全风险

未经授权应用软件带来的感染风险是显而易见的。基于IM(即时通讯)的恶意软件攻击正在显著增长，P2P应用程序的使用也正以同样的速度增加，P2P应用程序成为执行恶意代码(如远程命令执行、远程文件系统搜查或者文件传播病毒等)的最常用途径。感染文件也可以通过无线连接感染电脑。

一旦被感染，计算机就可以被黑客用来发送垃圾邮件或者发动拒绝服务攻击，或者监控和获取机密商业数据。如上文所述，数据也可以通过CD和USB密钥等设备被带出企业，最近报道的很多事件表明，这些设备能够很轻易地带出公司，然后意外丢失。

法律和合规问题

安装未经授权的应用程序和设备不仅给企业带来安全风险，同时也可能构成违法风险。保护数据是很重要的。

我们知道目前有很多政府制定的数据保护相关法案，如美国的SOA法案和HIPAA法案，加拿大的PIPEDA(个人信息保护和电子文档法案)，英国的数据保护法案(DPA)等，这些法案明确指出IT管理员必须维持和保护网络内数据的完整性。

额外的IT支持负担

正如上文所讨论的，未经授权的应用程序和设备可能感染网络，但是即使不会发生感染事件，也会对IT支持造成负担。那些没有经过正确测试或者部署的应用软件也可能会影响整个网络的稳定性能。

网络和系统开销

未经授权的应用程序消耗的企业网络带宽和计算机处理器能耗也对网络资源有着直接影响。

例如，分布式计算项目需要利用百万台计算机的“备用”处理能力来帮助建立模型或者模拟气候变化情景，而网络电话也能够使用这种备用能力。

员工的工作效率问题

虽然VoIP和即时通讯有一定的商业价值，但是大多数情况下，并没有用于商业用途，从而严重影响员工工作效率。在虚拟环境中，企业禁止使用的应用程序能够自由使用，或者用户可以简单利用虚拟环境来处理自己个人事务，这些都会严重影响员工工作效率。