zz 关于内网管理的一些误区

关于内网管理的一些误区 « 上一主题 | 下一主题 »
scb99	发表于：2005-07-06 15:53 回复
发帖： 6 积分： 0 注册： 2004-10-21	本来帖在公司内网的，现转过来： 最近一段时间，好象网管的需求越来越多了，内部好象也有很多分歧，一方面Sales希望技术人员多去用户那里沟通需求，看是否能转换成机会，另一方面技术人员却感到无从下手。 我观察了一下最近的客户需求，总结一下，无非有以下两类： 第一类：传统的网络管理需求 所谓的传统网络管理需求，即为基于SNMP的网络节点设备（包括服务器、路由器、交换机等）的管理。那么这类网管需求可谓是最典型的网络需求了，这类的需求已经发展了几十年，现有市场已经有很成熟很完善的产品和解决方案。HP OpenView, IBM Tivoli, CA Unicenter TNG等都是经典的解决方案。 由于这类需求不是新的需求，而且定义明确，解决方案成熟，当我们遇到这类需求时，无非是根据客户不同的喜好及我们的资源优势提供相应的产品或解决方案既可，所以这类需求不是我们讨论的重点。之所以引起我们困惑或分歧的是所谓的第二类需求。 第二类：另类的网管需求 我们先看客户问题有哪些： 1、上周我们的网络瘫痪了，我们4个网管用了一个下午的时间才查出来，原来是人事部的一台电脑感染了蠕虫病毒，我们用什么办法杜绝此类事情的发生？一旦发生了如何快速定位？ 2、为什么我们安装了防病毒软件，还会感染病毒？ 3、老板说公司好多人都在上网聊天，怎么样才能限制他们聊天？怎么样才能不让他们玩网络游戏？ 4、怎么样限制内部用户无限制的下载？ 5、老板要监控内部某些用户的网络行为； 6、公司ERP服务器上的重要数据莫名其妙的丢失了，怎么样才能查找到是被谁破坏的？ 7、如何限制让某些人对某些资源的访问？ 8、如何不让外部未经允许的人连入我们的网络？ …… 还有很多类似的问题，比如网络资产的管理、软件的分发等等，诸如此类的问题，看似跟网络的管理有关系，但如果把它们都归类于网管系统能做的事情，那这个网管也太复杂了。 实际上，不论上述问题的哪一个，都可以归类到标准的安全产品或解决方案的中去的，只是不同的是，或者某个问题只需要一个产品和解决方案，而另一个问题可能需要多个产品或解决方案的结合。 一般来讲，根据国际上对安全产品及解决方案市场划分大致为： Firewall/VPN Antivirus/Content Filtering IDS/IPS Encryption Internet Management Indentity Management PKI Vulnerability Management Security Mgnt Tools Others 所以根据这些分类，可以很轻松的得出上述问题的解决方案： 1、2都是需要完善的防病毒方案及蠕虫的快速定位：Antivirus + Vulnerablitity Mgnt + Indentity Mgnt + IDS 3、4、5都属上网行为管理：Content Filtering + Internet Mgnt 6属于加密和审计：Encryption + Indentity Mgnt + IDS/IPS 7、8都属于认证和授权相关：FW + Encryption + Indentity Mgnt，PKI等 实际上，往往当客户提到相应的安全需求时，我们不能仅仅以此来套用相应的解决方案，因为往往这样是不现实的。实际上的情况应该是我们充分与用户沟通，切实的发现用户的问题及其根源，这样才能发掘出用户真实的需求是什么。 举一个典型的例子： 一个800-1000人的企业，客户端及服务器基本上都是基于微软的平台，企业配备了最基本的防火墙系统和防病毒系统。同时提出了上述8个问题，请问你的解决方案是什么？ 如果你没有站在客户的立场上，或许你会提出了一大堆的产品解决方案。当客户盲目的上了一系列的安全产品后，他会发现，他的问题不是解决了，而是问题更严重了或者又出现了更多的新的问题。 其实在这种情况下，客户之所以提出了这么多的问题，可能是他们本身的安全管理存在着巨大的问题，所以我们应该从安全管理入手： 1）合理健全的安全管理制度： 这个安全管理制度不是用来看的，而是用来执行的。公司规定上班时间不得玩游戏，发现一个玩游戏的fire掉他以后，还有第二个敢玩吗？安全管理制度是上行下效，Top-Down Approach， 所以执行从企业领导开始。 2）合理正确利用现有资源： 微软Windows提供了完善的内网管理方案，Win2000域功能强大，在企业内推行完善Win2000域管理方案： 客户端必须登录域才能使用网络资源； 用户名密码的强制策略，密码策略的使用； 防病毒系统的安装和更新通过域策略强制执行； 内部建立补丁服务器，通过域策略强制更新； 关键服务器建立登录审核及日志记录； 建立ISA代理服务器，所有对Internet的访问，通过ISA代理服务器进行验证和许可，针对不同的用户定制不时的访问策略； …… 3）合理的增加新的安全解决方案： 在采用了上述手段后，仍不能解决的问题，我们再讨论一下是否真的需要上一些其它的解决方案。比如IDS/IPS, Content filtering等等。 实际上，采用前两步方法以后，客户所面临的问题基本上已经解决了，上述8个问题也解决得差不多了，即使有个别没有解决的问题，因为随着其它问题的消失，这些问题未必会再提出了。比如监控员工行为的，如果公司有完善的管理制度及优秀的控制手段，员工生产力得到了最大的发挥，企业领导还会提出这个要求吗？ 有的销售可能会认为，这样做，我们的利益不是得不到保证了吗？ 实际上，在这个解决方案里，第一和第二部分客户自己往往是无法完成的，他们需要借助外部的专业的安全服务供应商来协助他们建立健全完善的安全管理制度和有效的安全控制手段。如果通过我们的技术服务团队协助用户完成相应内容，使客户认识到既解决了他们的核心问题，又最大限度的节省了他们的成本，我们的服务价值与核心优势不就体现了吗？而且在我们的服务过程中，我们会对该企业的核心业务及核心问题有了更进一步的了解，也就更容易为用户量身定制出真正适合他们的高效的信息安全解决方案了。 所以，作为一个信息安全解决方案的提供商，我们的销售人员与售前人员就必须具备的一个基本能力是：充分沟通、发现用户的真实需求、引导和说服客户采用正确的解决方案来解决问题。而这个正确的解决方案必须具备的条件是：解决了客户的核心问题、对客户的利益最优、对我们的利益最优，缺一不可。如果每一个客户提出我需要XXX，那么我们的sales和技术就去市场上找XXX，那我们的这个工作也未免太累了，也太没价值了…… 原发在： http://blog.hexun.com/scb99/viewarticle.aspx?articleid=525284 scb99 编辑于 2005-07-06 15:54
blackhole	发表于：2005-07-06 18:07 回复
发帖： 827 积分： 11 注册： 2001-03-29	blog不错：） --- 我自豪，因为我基本不买日货。
topgun	发表于：2005-07-07 14:34 回复
发帖： 76 积分： 0 注册： 2005-04-09	搞不懂，怎么又跑出个“内网管理”概念出来了？文中罗列的不全是传统的网管和安全问题吗？ 问题1、上周我们的网络瘫痪了，我们4个网管用了一个下午的时间才查出来，原来是人事部的一台电脑感染了蠕虫病毒，我们用什么办法杜绝此类事情的发生？一旦发生了如何快速定位？ 我的答案是：发生这种事，HR那帮家伙难咎其责！因为他们录用了没用的网管，而且不是一个，是四个！杜绝办法是fire掉人事部四个人即可。须知此类问题两年前我们，相信还有大多数称职的网管都可以一个人在五分钟内定位问题。其他问题类似啦。记得有一年多前有个领导对我们说，我听说别的单位都爆发了这个波，那个波病毒，破坏好厉害，在我们这里却从未见过，看来你们工作还是搞得不错嘛。我们听了呵呵笑了两声。是啊，你以为我们上班光上网泡妞吗？懒可以偷，但是有一些基本的功课还是要做好的。不要动辄谈什么溢出了，连简单的打补丁之类事情都做不好，不仅证明人对技术不敏感，更证明人的失职！ 因此从这件事情上引申，对于大中型组织来讲，要真正走出误区，就不要过分执着于安全管理的技术倾向或管理倾向，有一些称职的员工可能是最重要。不管组织采用了什么样的技术或管理策略，安全工作要做好，由于安全这东西对人的素质的高度依赖性，关键还全在于一个称职的人事经理身上。因为一个称职的HR运气不坏的话可以找到一个称职的安全管理者，依据20/80原则，一个称职的安全管理者本人就可解决80%的安全管理问题，因此，很多问题本身就不应该成为问题。我们不是成天谈安全以预防为主吗，如果没有一个得力的人看住系统，拿什么谈预防呢？哪怕是有专业的外包商帮你服务，但我相信只有自己人才最了解自己的系统（弱点）。我的观点是70%的安全问题自己解决，30%可能还是得靠外力。 谈谈技术，技术重不重要，当然重要，那么搞技术是否一定要大钱去外面买呢？答案是不一定的，这里很多搞技术的牛人，大家都知道，70％的安全技术是可以不花钱的，大多数安全功能系统本身就带有；一台配置良好的系统可以减少95%以上被入侵的机会。极端地讲，不挑剔或不想花钱的话，FIREWALL啊，IDS, SCANNER啊什么都有开源的，一分钱都不用，只要我们多养一两个具专业精神的安全管理员就可以了....哦，好象防毒产品没有free？话说回来，有钱的话那30%还是应该购买商业产品，毕竟应该是好用些的。 也谈管理。大家知道安全问题不局限于IT部门，与组织内每个人有关；有个常识，说不管我们做什么事，通常20%的努力，就可以解决80%的问题。那么为什么在我们的组织里，往往一件简单的事都没人做或做不好呢？原因在于组织的管理层领导无方，我相信下面做事的人都是没有错的，80%的问题都是管理层导致的。这也是中国的现状，讲到这就悲观了，扯远了。。 topgun 编辑于 2005-07-12 09:08 --- 坦白说，亲爱的，我才不在乎。
yuye	发表于：2005-07-11 16:57 回复
发帖： 224 积分： 0 注册： 2004-01-02	楼上的不错，其实一个企业网络管理起来，没有那么多太复杂的东西。 --- …………风追云，我追梦…………
taoz	发表于：2005-07-11 21:26 回复
发帖： 36 积分： 0 注册： 2005-07-10	恩，我觉得内网管理平时的监控和正常数据的收集比较重要 平时没做准备，问题暴露了当然就手忙脚乱了 哎，渴望做一个高级的网管，就是从系统到设备到安全的，可惜现在网管似乎不被看好，身价也不高 --- 大力发展?aoz家族
yanbing	发表于：2005-07-12 11:46 回复
发帖： 352 积分： 0 注册： 2001-08-31	to topgun: 朋友，如果让你一个人面对二三十台服务器，2000多客户终端这样中小企业的网络管理环境，面对参差不弃的应用人员，就是一个金刚，恐怕不靠商业产品有些难吧。 我承认你所说的以人为核心，以技术和管理配合起来运作的模式是很好的选择。 但是，别忽略了技术的产物有很多商业产品可以解决你很多问题。 免费的午餐，吃起来可并不是一件容易的事情呀。 动不动今天改造，明天搬家； 时不时电话响起，跑到跟前一看软驱插着软盘造成无法开机。。 人员流动的几乎每天面对的都是陌生面孔。 。。。。 天哪。。。。想起来真的太可怕了。。。 网管员，我当了几年。。。。 --- 将通九变之利者，知用兵矣。 治兵不知九变之术，虽知五利，不能得人之用矣。 自由的岩冰－－自由的家－－www.yanbing.org
yanbing	发表于：2005-07-12 11:52 回复
发帖： 352 积分： 0 注册： 2001-08-31	网络管理需要的并不只是系统管理员。 谁忽略了安全，谁就要为安全买单。。。。 --- 将通九变之利者，知用兵矣。 治兵不知九变之术，虽知五利，不能得人之用矣。 自由的岩冰－－自由的家－－www.yanbing.org
xtiger	发表于：2005-07-12 15:13 回复
发帖： 174 积分： 0 注册： 2002-10-25	呵呵，山雨欲来风满楼。 在我看来，这一切都只是一个新点开始前的热身宣传动作。
yuye	发表于：2005-07-12 16:59 回复
发帖： 224 积分： 0 注册： 2004-01-02	我也曾管理过500台以上的网吧网络，也曾负责过几十所中小学校机房电脑的售后维护工作，感觉比较轻松。 我一个朋友在家企业当网管员，大概1000台pc吧，天天向我诉苦，什么小问题都得亲自动手，其实他说的那些事情完全可以避免的，只要他稍微用点心，完全非常轻松的应付工作的。我有点想不通，为什么他那么忙！ --- …………风追云，我追梦…………
Blue-Freeman	发表于：2005-07-12 17:24 回复
发帖： 725 积分： 0 注册： 2003-07-28	企业有别与网吧和学校的。 网吧搬家，就意味着拆家伙撤退。。。学校机房可能一年也不会改造那么一两次。 企业就不同了，三天两头换办公室，你要考虑布线、设备等等的筹备，更换。 人员的增减、变动，就要考虑处理他们的事情。 增人就要增加机器，增加线路，还要考虑交换机端口够不够，还有IP怎么划分，VLAN。。。。。 人员离职，你就要在最短时间内搞定他的机器。。验收。。。签名画押。。。 员工新来，电脑用不熟练，你就要细心培训。。。减少各个部门投诉。。。 我没有学过建筑，不懂建筑，可是经过网管的布线学习后，我几乎看到房子就知道哪堵墙不能打孔穿线，那个地方去弱电竖井走线距离最短。。。。 当网管不仅仅考虑路由器配置，交换机、防火墙、服务器怎么搞，还要考虑性能、机房布线、机柜摆放。。偶尔有一天晚上加班把夜宵饭盒忘了打扫，可能第二天的ISO审查队伍就给你来个大红叉，月底奖金可能就要给别人吃了。 --- 生来一贫如洗 死的时候决不能两手空空。 岩冰家－－www.yanbing.org
Blue-Freeman	发表于：2005-07-12 17:41 回复
发帖： 725 积分： 0 注册： 2003-07-28	做为网吧管理员和学校管理员，每年你肯定不会写个年终总结上边详细的列举历年来详细的各种数据。 更不会在公司年会总结完之后，根据各个老总、领导的考虑思路写一个来年的规划，规划你的网络改造具体到每一个终端节点上。还要报采购计划，维护方案。。。。。 烂事多。。。 杂事多。。。。 可这些东西都是你信息中心的活。。。。你说做不做？ --- 生来一贫如洗 死的时候决不能两手空空。 岩冰家－－www.yanbing.org
snoopy306	发表于：2005-07-15 08:36 回复
发帖： 1 积分： 0 注册： 2005-07-14	学校网吧和公司企业的网管是完全不一样的。
ha0zi	发表于：2005-07-18 18:57 回复
发帖： 2 积分： 0 注册： 2005-07-11	Blue-Freeman真是道出了偶的心声啊。。。 老板（尤其是民营企业老板）都巴不得把你掰成八瓣用，DBA、系统管理员、网络管理员   All in one ... 想要老板出钱买点安全产品，第一句话就说：有开源的，自己做吧。。。 Snort、Mrtg、Bandwidth、M0N0 ，做。。。 想让老板买点Oracle的服务，第一句话就说：小伙子，好好干，有钱（应该是这个钱吧）途。。。 Oracle rac 、灾难恢复、备份 ，啃。。。 有次去阿里参观，看到阿里巴巴的DBA、SA一拨一拨的，口水直流啊。。。 最怕是半夜收到报警短信、最烦是睡午觉的骚扰电话、最痛苦是大冬天跑机房里吹冷空调。。。 还有，最最最最最最让人受不了的。。。 咋就没有PLMM看上我呢。 ha0zi 编辑于 2005-07-18 18:58