终端安全风险管理：违规软件安装的20大风险点

2023-11-23 理论教育版权反馈

【摘要】：入网前，终端安装了违规软件，只会对终端本身的安全带来一些风险，如果是病毒软件，会造成终端感染的风险；如果是与工作无关的软件，会影响工作效率。违规软件的安装和运行，会开放一些端口，进而造成终端上的一些存储信息被窃取或者修改；违规软件如果是病毒程序，安装和运行后，主机感染病毒或木马，会造成存储信息感染病毒或被篡改，风险非常高。

1.风险分析

（1）风险描述

违规软件安装的风险主要表现为一些终端客户端在没有管控的情况下，出现个人私自安装与客户端工作无关的非必要软件，这些私自下载安装的应用程序，有些是非授权的软件，也有些是占用资源很大的游戏软件、电影、P2P下载类软件等，还有些甚至是隐藏了后门的黑客软件，这些软件轻则分散工作时的注意力，重则引起带宽消耗、网络风暴、病毒、黑客攻击等。如果是核心的业务所在终端上运行了这些违规软件，还有可能造成敏感信息泄漏的高风险。如果不对软件的安装情况进行管控，由用户随意安装、卸载、使用，存在下面的风险：

√ 如果用户日常工作需要的软件没有安装，会导致用户无法正常进行工作

√ 如果用户日常工作需要的软件被卸载，同样会导致用户无法正常进行工作

√ 如果用户安装了与工作无关的某些软件并使用，可能会在工作时间做与工作无关的事情，影响工作效率

√ 如果用户安装了某些大量占用带宽的下载软件，在使用时会对网络带宽造成严重影响，使得网络的可用性下降

违规软件的定义：结合一般业务系统的特点，按不同的终端类型对违规软件做如下定义：

核心业务主机：此类主机，上面运行的就是核心业务，不应该允许一些个人化的软件，比如聊天软件、游戏软件、下载软件、播放软件等。

个人正常办公终端：如果是正常办公终端，只允许安装与工作处理相关的软件，一些游戏软件、下载软件等是不允许安装的。

备注：违规软件的定义需要结合实际情况进行，上面只是一部分可以参考的内容，软件种类比较多，违规与否需要与实际结合。建议项目实施时，对该部分内容进行详细调研，确定不同类型终端上对应的违规软件。

（2）相关风险点

违规软件安装的风险点详见表B-11。

表 B-11

（a）基于资产使用生命周期分析

该类风险涉及入网前、运行阶段。入网前由于终端资产不包含敏感信息和数据，风险较低。入网后，由于运行过程中涉及敏感信息和生产数据，如果不加以控制，导致的损失较大，风险较高。违规软件安装的风险对终端的影响在资产使用生命周期的体现如下：

风险点（1-9）：违规软件在终端上安装，这些风险主要涉及入网前和运行阶段。维修和报废阶段，终端不运行，不存在该类风险。

入网前，终端安装了违规软件，只会对终端本身的安全带来一些风险，如果是病毒软件，会造成终端感染的风险；如果是与工作无关的软件，会影响工作效率。但影响的范围在终端本身，不会对整体系统造成大的风险，风险一般。

终端入网处于运行阶段后，如果核心业务主机上安装了下载软件，因为下载，会占用大量带宽，进而影响业务运行的正常通信，风险较高；如果核心业务主机上安装了下载软件，如果下载到了病毒程序，会导致业务主机中毒，不能运行，影响业务运行，风险较高；如果核心业务主机上安装了下载软件，如果下载到了病毒程序，导致业务主机中毒，同时通过网络，还会将病毒传播到整个网络，风险较高；如果核心业务主机上安装了游戏软件，会占用业务主机的磁盘空间，同时，因为游戏软件的运行，会消耗主机上的CPU和内存资源，从而影响主机业务的运行，风险较高；如果核心业务主机上安装了播放软件，会占用业务主机的磁盘空间，同时，因为播放软件的运行，会消耗主机上的CPU和内存资源，从而影响主机业务的运行，风险较高；如果个人办公终端安装了下载软件，如果下载到了病毒程序，导致个人办公终端中毒，同时通过网络，还会将病毒传播到整个网络，风险较高；如果个人办公终端安装了下载软件，如果下载到了病毒程序，导致个人终端中毒，影响个人日常工作的正常开展，风险较高；如果个人终端安装了下载了软件，占用了带宽资源，影响其他用户的正常网络使用，风险较高；如果个人终端安装了游戏软件，因为游戏软件的安装，影响正常的办公工作，同时，因为终端上运行游戏，会降低工作效率，风险较高；如果个人终端安装了电影播放软件，会影响工作效率，同时电影播放软件的资源会占用大量硬盘空间，因而影响工作开展，风险较高。

风险点（10-17）：必须安装的软件在终端上没有安装，这些风险主要涉及入网前和运行阶段。维修和报废阶段，终端不运行，不存在该类风险。

在入网前阶段，此时终端未接入网络，不涉及数据传输，必须安装的软件安装不完全，只会影响终端本身的使用，不会影响体系内其他机器，风险比较低。

终端入网运行后，如果是核心业务主机，如果必须安装的软件安装不完整，会造成核心业务不能运行，正常业务无法开展；如果是个人终端，会导致一些特定的工作无法进行，影响正常工作的开展。

风险点（18）：该风险主要是必须安装软件列表制定方面的风险，与资产生命周期无关。

风险点（19-20）：这两个风险与资产入网运行后阶段相关。资产入网前，无法对终端上的安装软件进行检测，与该阶段无关。在资产入网运行后，如果不对终端软件安装的变化情况记录和告警，会出现终端用户随意变更终端上安装的软件的情况，风险较高。维护和报废阶段，终端不运行，无法检测终端软件的安装情况，不存在这两个风险。

（b）与信息安全关系

风险点（1-9）：终端上安装了违规软件，违规软件的运行，会导致正常的业务进程因为得不到运行所需要的硬盘、CPU、内存等资源而无法运行，进而造成正常业务的不可用。对在线信息而言，可能会因为缺少必要的资源造成在线信息得不到及时的处理和存储；同时，由于违规软件的安装运行，会开放一些端口，进而造成终端上的一些在线信息被窃取或者修改；如果违规软件的运行，导致业务主机感染病毒或木马，会造成在线信息被篡改，风险非常高。违规软件的安装和运行，会开放一些端口，进而造成终端上的一些存储信息被窃取或者修改；违规软件如果是病毒程序，安装和运行后，主机感染病毒或木马，会造成存储信息感染病毒或被篡改，风险非常高。

风险点（10-17）：必须安装的软件如果没有安装，取决于软件的类型，如果是防病毒软件没有安装，会导致在线信息和存储信息感染的风险，风险较高；如果只是应用类软件，不安装仅仅是影响正常工作使用，不会对在线信息和存储信息造成风险。

风险点（18）：与信息安全无关。

风险点（19-20）：这两个风险对信息安全的影响，同样取决于软件的类型，如果用户违规安装了软件或者卸载了不允许卸载的软件，会对在线信息和存储信息带来泄漏和篡改的风险。

（c）基于资产使用人分析（外来人员、临时工、内部人员）

风险点（1-9）：任何岗位角色都可能存在在终端上进行违规软件安装的问题。因此，该风险与内部人员相关：高级管理岗位，如区域负责人等高层领导，地市部门主管、网络管理员、配置管理员、系统管理员、财务部人员等关键岗位业务人员，开发人员、研发人员等，考虑根据业务和工作需要执行相关的软件安装权限。临时人员：辅助人员岗位，如食堂、车队、绿化等人员，该类人员在使用终端的过程中，一般不应允许在终端上安装软件。外来人员：外来厂家人员、外来维护人员一般情况下，是不赋予软件安装权限的，如果因为工作需要，需要先将要安装的软件的相关情况报批，在软件安装允许列表中备案后，再进行软件安装。

风险点（10-17）：只有那些在终端上进行软件安装的人员才有软件安装的控制管理权，必须安装的软件安装不完整的风险与人员无关，与终端的类型相关。

风险点（18）：管理制度相关，与内部人员相关：高级管理岗位，如区域负责人等高层领导；地市部门主管、网络管理员、配置管理员、系统管理员、财务部人员等关键岗位业务人员相关。

风险点（19-20）：同风险点（1-9）。

（d）合规性要求

合规性要求见表B-12。

表 B-12

该风险属于运行时风险，一般来说，一个终端上所需要安装的软件，对于不同类型的终端来说，要求安装的软件和对违规软件的定义不尽相同，与实际运维环境密切相关。等级保护方面在这块没有明确的要求。

相关技术和管理的风险管控措施参见以下小节阐述。

2.风险管控

（1）风险点（1-9）：违规软件安装检测管理流程

事前处置：定义违规软件的范围，哪些是明确不允许在终端上安装的软件。这个违规软件列表是随着运维过程变化而变化的，不同类型的终端上，违规软件的定义不尽相同。

事中处置：(www.chuimin.cn)

√ 定时检测终端上安装的软件列表

√ 将获取的软件列表与事前定义的违规软件列表进行比较

√ 如果有违规软件之列的软件安装，提示用户安装了违规软件（通知终端用户，消息的方式）

√ 根据违规软件策略执行操作，提示终端使用者，并且发送防护平台

√ 记录违规软件安装的行为及终端使用者的操作，发送至防护平台服务器

事后处置：根据整体安全态势分析，调整安全策略，针对终端下发新的违规软件安装运行安全策略。

处置流程见图B-18。

图 B-18

（2）风险点（10-17）：必须安装软件检测管理流程

事前处置：定义必须安装的软件列表，不同类型的终端上，必须安装的软件不尽相同，必须安装的软件列表是随着运维过程变化而变化的。

事中处置：

√ 定时检测终端上安装的软件列表

√ 将获取的软件列表与事前定义的必须安装的软件列表进行比较

√ 如果有必须安装的软件没安装，提示用户软件安装不完整（通知终端用户，消息的方式）

√ 根据软件分发策略执行操作，提示终端使用安装必装软件，并且发送防护平台

√ 记录软件安装不完整的终端及软件信息，发送至防护平台服务器

事后处置：根据整体安全态势分析，调整安全策略，针对终端下发新的软件分发安全策略。

处置流程见图B-19。

图 B-19

（3）风险点（19-20）：终端软件安装变化审计和告警管理流程

事中处置：

√ 发现终端软件安装情况有变化时，记录软件变化的审计记录，保存至防护平台服务器。同时以告警的方式通知安全管理员和终端使用者

√ 对安装违规软件的行为进行取证（违规软件的名称、违规软件安装的终端、终端使用者、终端IP等原始记录信息），保存至防护平台服务器

√ 对违规卸载软件的行为进行取证（卸载的是必须安装软件列表中的软件，被卸载的必须安装的软件的名称、终端使用者、终端IP等原始记录信息），保存至防护平台服务器

事后处置：管理员通过违规软件安装和必须安装软件的卸载记录对随意改变终端软件安装的情况进行追溯，并通过管理流程进行相应的处罚，处罚时以防护平台保存的访问原始记录作为处罚依据。

（4）风险点（18）：必须安装软件的检测，不能用已有的必须安装软件列表来检测，导致必须安装的软件检测无法进行；属于残余风险处理的内容。

安装软件的黑白名单是需要根据实际情况调整的，具体的黑白名单需要在运维中确定；实施初期，可能出现一些违规软件的安装。

√ 具体的违规软件名单需要在运维中确定；实施初期，违规软件的内容可能不完整

√ 在违规软件内容还不完整时，一些违规软件会在终端上被安装但不能检测出来。一些违规软件如果是病毒软件，会造成终端感染，如果病毒继续传播，将感染其他终端，风险较高

√ 在违规软件内容还不完整时，一些违规软件会在终端上被安装但不能检测出来。一些违规软件如果是开机就自动运行的软件，会占用大量资源，导致正常工作软件所需要的资源使用得不到保证，从而影响正常的工作开展，风险较高

因此，尽管部署了完备的检测和管理技术手段，但违规软件名单是需要根据运维情况随时改进的，如果这个软件违规名单不及时更新，违规软件安装的风险继续存在。

针对该问题，建议增加以下几方面工作：

√ 加强安全意识培训和教育，加强违规软件名单的建设工作

√ 注意违规软件名单内容的与时俱进工作，及时根据运维情况，调整违规软件的详细内容

√ 提供制度保障，要求定期对违规软件的内容进行检查和更新

√ 建立定期检查和整改制度，定期对组织内违规软件的更新情况进行检查，并督促其整改

√ 设立针对违规软件安装的考核管理措施，将该项工作作为终端使用人、终端所有单位安全工作考评中的考核指标

3.技术管控中存在的问题和对策

如果终端操作系统有错误，其安装的软件信息可能无法获取，会造成无法控制，需要先修复操作系统，保证其安装的软件信息可获取；一些违规软件，如果安装信息不写入注册表或其他配置文件，可能无法获取其安装信息，也不能将其与违规软件比对。可能会存在软件安装信息遗漏的情况，目前暂无解决的方法，但是该类软件一旦在终端上运行，可以通过进程/服务监控手段监控到，具体管控措施参见B.3.1节。

4.风险控制效果

通过软件安装信息检测，可以监控终端违规软件的安装情况。从而能够保证终端安装必需的软件，能够保证终端不安装禁止使用的软件，能够保证网络带宽不被下载软件占用，管理员可以设置查询条件对软件安装情况进行统计。同时，可以对违规安装软件的终端责任人进行记录，可以给后续的考评管理提供依据。

终端安全风险管理：违规软件安装的20大风险点

相关推荐