兩種策略選擇開源安全產品
隨著互聯網在企業應用中越來越廣泛，越來越多的企業將信息安全引入到技術和管理體系中。大量的安全產品也接踵而來，實際上在某些特定的領域中，開源安全技術有相當大的優勢。
策略一：針對安全需求的選擇策略
首先，用戶根據企業的安全策略和風險分析，確定信息資產的保護范圍。企業進行開源安全技術選擇的第一步，要了解自己打算部署的開源安全技術的保護對象。比如對電子商務類企業來說，客戶數據和財務數據是最重要的數據，存儲和處理這些信息的信息系統是最重要的IT資產。因此，電子商務類企業在選擇開源安全技術之前，就要先根據自己的安全策略，確定客戶端數據和財務數據、以及存儲和處理這些信息的信息系統是要優先進行保護的對象，然后再從保護這些信息資產的目標出發選擇開源安全技術。
其次，用戶根據自身具體的安全需求，確定開源安全技術的選擇范圍。企業用戶確定使用開源安全技術之后，便可以采用風險評估的方法來對安全威脅進行辨別和分類，并確定采用哪種可以防御已識別威脅的技術手段，進行完善的文檔記錄，進而選擇對應的開源安全產品。
如果用戶希望獲得網域分隔、入侵防護及網絡流量控制等與網絡底層操作有關的安全功能，可以考慮開源安全技術中的邊界安全方案，如基于Linux的防火墻、集成基礎安全功能的路由器或網關等。如果用戶有控制針對企業內部網絡、系統及信息資產的訪問需求的話，可以考慮開源安全技術中的訪問控制方案，如基于Linux的VPN服務器、Free RADIUS/Open LDAP等單點登錄等，這些開源安全方案都能夠給用戶提供認證、授權及記賬服務。
最后，用戶可對特定范圍內的開源安全產品進行橫向比較，選擇最適應企業安全需求的產品。由于每個開源安全技術領域內都有幾個甚至十幾個功能類似，各有長處的產品或解決方案，因此，企業接下來需要進行的步驟便是在模擬或真實的企業內部網絡環境內，對這些選定的開源安全產品進行評測和橫向比較，再從中選出最適應企業安全需求的產品。
策略二：方案與成本的平衡策略
企業在部署一個安全方案時，往往希望能夠用盡可能少的成本來獲得盡可能多的安全功能和可靠性， 這也是許多企業選擇開源安全方案的出發點。但我們也應該了解到，成本和收獲并不是一定成正比或反比的：在實踐中常有企業付出相當多的費用，部署的安全產品沒有多大的效果;但也有一些企業沒有消耗多少預算，就實現了覆蓋整個企業內部網絡的安全方案。因此，企業需要在自己的安全需求和安全方案成本之間進行平衡，以達到最佳的安全效果。
舉個例子，企業需要部署一套開源的邊界安全產品，企業應該針對內部網絡的規模、工作時間的網絡流量情況、用戶日常使用的服務等多個要素來確定這套方案的預算，不能一味地追求盡可能低的成本。如果企業不大，內部網絡的用戶不多，工作時間的流量也不大，企業可以直接使用運行在一個較老的機器上的開源防火墻作為邊界安全方案，這種開源安全技術的部署方案能夠完全滿足目標企業的需求;但對于一個內部網絡巨大，用戶眾多，工作時間的網絡流量以Gb來計算的大型企業來說，邊界安全方案的性能和穩定性就成為首要考慮因素，企業用戶在選擇時就應該考慮能夠進行集群操作、管理方便的開源安全方案，甚至要考慮更貴的針對目標企業網絡環境定制過的開源安全方案，以保證企業內部網絡所有用戶的網絡使用及業務的正常運行。
綜上所述，企業如果選擇開源安全技術，將只須付出比商業方案更低的成本乃至免費便可獲得充分滿足企業安全需求的安全解決方案。當然，企業也需要在部署的安全方案上投入比使用商業安全產品更多的精力來對開源安全技術進行維護，提供支持。企業只有在充分地認識自己的實際情況和安全需求的前提下，同時仔細地對開源安全產品或方案進行篩選，才能最終實現特定的安全目標。
【編輯推薦】
