终端安全风险管理：14个防火墙风险点

2023-11-23 理论教育版权反馈

【摘要】：这些风险出现在系统运行阶段，如果终端软件防火墙不能启用IP地址、端口以及协议控制规则，很容易导致安全隐患，恶意程序可能会控制终端系统，造成泄密事件的发生。外来人员风险点：该风险不涉及此类人员。重要（敏感）信息终端只能访问授信的IP地址及端口，指定终端仅开放与业务系统相关的应用协议。管理员可对远程IP地址、本地端口

1.风险分析

（1）风险描述

终端未安装软件防火墙软件：如果终端不安装软件防火墙软件，就不能对终端的访问端口与应用协议进行控制，终端将面临数据流不可控的风险。恶意进程、端口、协议不加以及时阻断，终端安全性得不到保证，会威胁整个网络系统。

终端安装软件防火墙软件：如果终端安装了软件防火墙软件，但不能检测软件防火墙软件的版本和规则特征库等信息，就不能对软件防火墙软件进行有效的升级，进而影响软件防火墙软件的正常使用。如果软件防火墙软件停止启动，而又不能恢复启动，就相当于没有安装软件防火墙软件，可能会导致泄密事件的发生。此外，如果防火墙软件不能进行IP、端口和协议的有效访问控制，就会给恶意进程可乘之机，引起泄密事件的发生；如果软件防火墙配置了访问控制规则，但访问控制规则没有生效，防火墙将形同虚设。

（2）相关风险点

终端防火墙风险点见表A-15。

表 A-15

（a）基于资产使用生命周期分析

资产使用生命周期包含入网前、运行阶段、维修阶段、报废阶段，终端防火墙风险在资产使用生命周期的体现如下：

风险点（1-2）：这些风险主要出现在运行阶段，入网前、维护和报废阶段，不安装软件防火墙软件只会影响终端本身，且因为终端未接入网络，不会给网络造成威胁。如果终端未安装软件防火墙软件就接入网络，可能会导致终端泄密事件的发生，如果在入网前阶段如果没有进行控制，将会带来很大的风险；在运行阶段，如果终端都安装了防火墙软件并且正确使用，将不会带来更大的风险，如果没有做好控制措施，会带来更大的安全风险。

风险点（3-8）：这些风险主要出现在运行阶段。入网前、维护和报废阶段，软件防火墙软件不更新只会影响终端本身，且因为终端未接入网络，不会给网络造成威胁。这些风险出现在系统运行阶段，如果不能发现防火墙软件的版本特征库等信息，就不能对软件防火墙软件进行有效的升级，进而影响防火墙软件的正常使用。如果防火墙软件停止启动，而又不能恢复启动，就相当于没有安装防火墙软件。恶意程序可能会控制终端系统，造成泄密事件的发生。该类风险如果不加以防范，会导致安全事件的发生，导致的损失较大，风险较高。

风险点（9-14）：这些风险主要出现在运行阶段。入网前、维护和报废阶段，终端不接入网络，不会对外访问，不存在这些风险。这些风险出现在系统运行阶段，如果终端软件防火墙不能启用IP地址、端口以及协议控制规则，很容易导致安全隐患，恶意程序可能会控制终端系统，造成泄密事件的发生。该类风险如果不加以防范，会导致安全事件的发生，导致的损失较大，风险较高。

（b）相关信息风险分析

在线信息风险

风险点（1-2）：软件防火墙软件对于终端运行的所有工作均起到保护作用，未安装软件防火墙软件的终端容易被恶意程序控制，进而导致在线信息相关系统不能正常工作，或者导致敏感信息泄漏。

风险点（3-14）：软件防火墙软件的正常运行，与程序版本和特征库版本的实际情况相结合，在线信息与此关联更为明显，不能及时更新软件防火墙软件程序版本和特征库版本，可能无法有效针对新发现的攻击。软件防火墙在不运行或者访问控制规则不合理时，恶意程序可能控制终端或者有意无意地进行非授权的访问，进而导致在线信息相关系统不能正常工作，或者导致敏感信息泄漏。

存储信息风险

风险点（1-14）：该风险可能导致终端上存储的信息被恶意代码窃取，造成信息泄漏。

（c）基于资产使用人员风险分析

内部人员

风险点（1-14）：该类风险发生在内部人员高级管理岗位（如区域负责人等高层领导），由于其终端含有企业核心信息和涉密信息，风险非常高；该类风险发生在地市部门主管、网络管理员、配置管理员、系统管理员、财务部人员等关键岗位业务人员，则由于该类终端对业务支撑非常关键，且一般包含关键业务信息，风险较高；如果该类风险发生在开发人员、研发人员等，则由于该类终端支持业务和对正常运营起保障作用，相当重要，风险为中。

临时人员

风险点（1-14）：如果该类风险发生在辅助人员岗位（如食堂、车队、绿化等人员），该类终端一般不涉及业务、不包含敏感信息，风险为低。

外来人员

风险点（1-14）：该风险不涉及此类人员。(www.chuimin.cn)

（d）合规性要求

合规性要求见表A-16。

表 A-16

2.风险管控

（1）风险点（1-2）

事前处置：终端在接入网络前，必须安装终端防火墙软件，并根据业务需要配置合理的访问控制规则，然后才能接入到网络中使用。没有安装防火墙的软件的终端不允许接入网络，并通知相关管理人员给终端安装防火墙软件。

事中处置：在运行中发现终端未安装防火墙软件（可能是被人卸载或者禁用），马上将该终端断开网络访问，并上报管理人员。

事后处置：对于该类风险，保留日志记录，如果出现安全事件，可以追溯责任人。

控制流程见图A-10。

图 A-10

（2）风险点（3-8）

事前处置：终端入网前按照实际业务需求情况，先配置好访问控制策略和软件防火墙特征库升级策略，然后接入网络。

事中处置：接入网络后，关闭与业务系统无关的端口，除授信的IP地址可以访问重要（敏感）信息终端外，其他IP地址全部禁止访问。重要（敏感）信息终端只能访问授信的IP地址及端口，指定终端仅开放与业务系统相关的应用协议。如果终端未启用软件防火墙，应该禁止访问网络，待启用后再准入网络；终端有未授权的访问行为，应禁止访问网络并及时通知管理员；另外，软件防火墙特征库要及时更新，未更新的采取强制更新的措施。

事后处置：对于该类风险，保留日志记录，如果出现安全事件，可以追溯责任人。

控制流程见图A-11。

图 A-11

（3）风险点（9-14）

事前处置：终端安装前安全管理人员应评估软件防火墙软件的功能与性能，保障软件防火墙软件的功能正常后再安装并接入网络。

事前处置：软件防火墙访问控制规则失效后，先暂时断网处理并通知安全管理人员，然后检查原因，排查故障，处理完成后再接入网络运行。

事后处置：对于该类风险，保留日志记录，如果出现安全事件，可以追溯责任人。

控制流程见图A-12。

图 A-12

3.风险控制效果

终端软件防火墙软件，可以对终端的IP访问、端口访问、协议访问、共享服务访问等进行限制。管理员可对远程IP地址、本地端口、远程端口、网络协议、是否开启共享端口等进行设置，确保终端仅能访问指定的合法IP、端口和协议，从而可以有效应对非法访问和保障业务数据安全。