防火牆規則：嚴格限制檔案傳輸範圍

限制檔案傳輸的通道的範圍是防火牆使用的基本規則，但是一旦指定了一個或幾個系統作為你的sFTP樞紐，那麼要確保下面幾個問題：

• 只有包含在規則允許的sFTP流量系統可以通過防火牆；
• 只有遠端的被認可的系統可以作為sFTP資料包的源端或目的端；
• SFTP是通過這些系統的防火牆的唯一的加密流量。儘管sFTP流量是加密的，但它是不透明的管理工具，所以你要確保它是唯一流向這些系統或從這些系統流出的不透明流量。

大多陣列織都沒有需要和外部實體或做批量檔案的安全傳輸快速增長或系統的變化清單。所以如果你確實需要頻繁或快速的變化，你可能需要利用一些安全協調工具，把必要的規則調整為源端或目的端。

使用主機工具

考慮到你的環境的其餘部分，你需要仔細考慮基於主機的緩解方式。安全和系統管理供應商最近幾年有所改變，在他們的基於主機的系統監控工具中引入了高 速分析。特別是有一些已經發現既可以用於正常行為模式，比如作業系統服務呼叫（惡意軟體、企業內部人員以及外部攻擊人員必須使用的），也可以發現系統上對 於效能影響最小的異常情況。執行基於主機的異常行為檢測可以減少敏感資料移到未經許可的通道中。

不要關注內容，要關注網路行為

除了主機，網路行為分析還可以發現數據流的變化，甚至是一些工具無法看到的加密資料流的內容。由於它們可以看到流出系統的資料流的數量、目的端以及 持續時間，這些工具可以幫助監控該過程中的資料洩露問題。有效利用這種系統很難，尤其是當標識流量“正常”的早期階段；比如

做你自己的中間人

預防洩露的最極端的方法是開通所有流經能夠執行這些中間人功能的裝置容量網路的相關部分的加密流量。這些裝置內的加密流量面向內部，終止於系統，而 通道面向外部，到資料流的另一端結束。通道會對其進行加密解密。然後它可以利用深度資料包檢測工具對內容敏感性進行分析，並標記為可疑，然後完全阻隔或允 許通過。如果允許通過，流量將被重新加密，然後傳送到目的端。這是一個計算量非常大的任務，而且非常昂貴。但是，通過檢查所有進出的加密流量，可以明顯降 低資料被隱藏在加密資料流中的風險。這可以引入他們自己的合理風險，所以加密資料流捕獲的範圍需要仔細定義，並與企業風險管理者討論。如果這個範圍需要擴 展到覆蓋使用者端點裝置和非sFTP加密流，那麼使用者需要知道，他們的加密流量可能要暴漏在IT人員面前。

總結

這些措施可以幫助你降低使用sFTP引入的風險。要知道，資料洩露設計的範圍非常廣，通過直接從桌面和膝上型電腦到網路上的多種服務使用加密通道是 非常困難的。鎖定sFTP周圍的環境，甚至是整個資料中心，可以降低資料洩露的風險，但是不能完全消除。在面對Facebook或Tumblr方面的智慧 手機相機和敏感資料保密的時代，已經沒有辦法完全避免資料洩露問題了。但是，還是有一些方法可以緩解資料洩露問題。