针对国内企业安全的十个漏洞

对日益依赖互联网应用的现代企业来说，不断变化的安全威胁和不断变化的法规标准使得维护可信赖的网络环境成为一大难题。

　　在如今的全球化经济环境下，公司企业从来没有像现在这样离不开互联网——企业通过因特网开展电子商务交易，并为供应商、业务合作伙伴、客户及远程员工提供访问网络资源的便利。 

不过，尽管在网上做生意变得更方便了，要确保数据交换和通信安全、可靠却变得更困难了。对大大小小的企业来说，不断变化的安全威胁和不断变化的法规标准使得维护可信赖的网络环境成为一大难题。

　　这里介绍了十个安全策略，以便在企业内外建立网上信任关系。虽然这些策略并不全面，但它们侧重于企业面临的十个最大威胁：电子邮件系统、传统的口令安全机制、身份认证、网络钓鱼等。

　　1. 缺少SSL的保护，数据完整性就会受到危及。

　　应尽快为你的整个企业部署SSL服务器证书。SSL是世界上部署最广泛的安全协议，它应当部署在任何服务器上，以保护从浏览器传输到服务器的各种机密和个人信息。

　　安全套接层（SSL）加密是如今用来保护网站、内联网、外联网以及基于服务器的其他应用的最主要的技术之一。如果没有它，通过公共和专用网络交换的数据其完整性就会受到危及，最终影响业务连续性和利润。SSL可以保护网络访问、网上联系和数字交易，因为它能够在服务器和用户之间建立一条安全通道。

　　在过去几年间，人们对SSL技术所具有的优点的认识和理解有了大为提高。越来越多的用户留意表明会话采用SSL加密的那个挂锁符号

　　如今成千上万的网站安装了X.509特殊服务器数字证书，它可以激活浏览器和服务器之间的SSL。所有现代的Web浏览器和服务器里面已经集成了支持SSL的功能，因此，从企业角度来看，只要在服务器上安装证书即可。一旦浏览器和服务器进行了信号交换，从一方传送到另一方的所有数据都经过了加密，从而可以防止可能会危及传送数据的安全性或者完整性的任何窃听行为。

　　2. 没有可靠的物理和网络安全，敏感的企业数据就会岌岌可危。

　　使用防火墙、入侵检测、客户端PC病毒软件、基于服务器的病毒检查，并且确保所有系统上的安全补丁版本最新，这可以防止大多数类型的威胁影响公司业务、破坏敏感数据或者威胁业务连续性。

　　网络安全涉及计算机系统和网络访问控制、检测及响应入侵活动。安全不力会带来巨大风险：数据失窃、服务中断、物理破坏、系统完整性受到危及、未授权披露公司专有信息。

　　为了保护网络访问通道，就要从基本方面着手，譬如把没有使用的计算机锁起来。除了基本方面之外，更可靠的解决方案包括：利用密钥卡、硬件令牌和生物识别技术来控制访问特别敏感的地方。

　　防火墙是网络安全的必要组成部分。防火墙限制从一个网络到另一个网络的访问，并且检查及限制通过网络的所有流量。防火墙应当限制从因特网及一个内部网络（如应用服务器）进入到另一个网络（如数据库）。认真考虑防火墙应该允许开放哪些IP地址和端口，这很有必要。此外，建议为网络上功能明显不同的部分使用多层防火墙——一个防火墙用于非军事区（DMZ）、第二个用于Web服务器、第三个用于应用服务器，第四个可能用于数据库。

　　入侵检测系统可以监视攻击、分析审查日志、出现攻击时向管理员报警、保护系统文件、揭示的手法、表明哪些需要加以堵住，并且有助于跟踪实施攻击的不法分子。

　　另一个必不可少的手段就是确保所有客户机上的病毒和特洛伊木马检查软件版本最新。外面有成千上万的病毒，每个新病毒都比原来的那种病毒来得狡猾、更具破坏性。最近通过电子邮件传播、在全球肆虐的几个病毒已造成了巨大破坏和损失。一种特别可靠的解决方案就是，在电子邮件传输系统（如微软Exchange）上运行基于服务器的病毒软件，以防止被感染的邮件传送给用户或者通过一个客户机感染其他客户机。

　　最后，最简单也是最有效的方法是，确保已打上了针对所有操作系统和应用软件的每个最新版本的安全补丁。黑客对微软的IIS Web服务器存在的漏洞一清二楚，一直把运行IIS Web服务器的站点作为下手目标。多年来，堵住IIS安全漏洞的补丁可以免费获得，不过网上仍有30%以上的IIS系统没有打上最新补丁。因此，有必要重申这一点：立即打上所有安全补丁。

　　3. 自己开发PKI系统或者选择托管型PKI服务。

　　值得信赖的第三方在扩建复杂、安全、昂贵的公钥基础设施（PKI）并为你管理时，采用完全托管的安全服务可以让你把精力集中在促进公司业务发展所需的应用上。

　　公钥基础设施（PKI）这种工具能够以过去不可能实现的方式来使用各种应用。要是缺乏有效的方法来颁发、撤销及管理证书，公司在内联网上部署福利系统后，别指望员工使用该系统只用于查询福利信息，如果相当大比例的员工远地办公的话，更是如此。同样，如果访问不安全、可靠，销售队伍就无法完全利用公司的重要系统：CRM系统。如今不少公司在限制使用电子邮件，许多公司禁止使用即时消息传送——这一切都是因为这些系统还不是安全的。

　　上一代PKI从理论上来说很好，但实际上需要安装复杂的软硬件，还需要专门的IT人员以及特殊的安全措施来保护系统。不用说，这一切意味着庞大的财务费用。不过，PKI已不断成熟，并且技术上有了足够创新，可以成为应用系统的一个外包部分。值得信赖的第三方认证中心（CA）可以构建、维护及管理企业所需的公钥基础设施，并确保其安全。提供完全托管型服务的CA在验证技术和方法方面具有专长。企业就要知道想要实施的业务规则以及为了实现业务流程自动化需要部署的应用。集成点在于如何在应用中使用证书以落实安全。许多应用已经具有证书就绪功能（certificate-ready），譬如浏览器、电子邮件和虚拟专用网（VPN）；日益使用证书成了大势所趋。

　　完全托管的安全服务有几个重要部分：灵活的验证模型（我们如何才能知道某人就是他所说的那个人）、管理界面（组织中的哪个人被授权可进行更改、控制流程）和操作界面（组织中的不同群体如何获得证书）。

　　大多数组织需要外包给可信第三方的应用满足以下一种或者多种要求：安全访问、安全消息传送和无纸交易。对所有大组织来说，员工可以安全访问企业网络如内联网、访问关键应用如CRM系统是一项重要需求。电子邮件或者即时消息传送程序安全传送消息为安全地确认消息发送方身份、保护内容避免被人窃听提供了一种机制。而无纸交易可以把如今需要用原始签名（Wet Signature）来表明内容的基于纸张的流程完全实现数字化，从而节省基于纸张的流程的时间和成本。

　　4. 免费软件可以在30分钟内破解口令。

　　口令安全性很差，而且变得越来越差，从而导致你的安全系统易受攻击。可以执行严格的口令使用规则，从而大大增强这种防御能力。

　　随着计算机的运行速度加快，破解口令带来的诱惑加大，对那些不法分子更有吸引力。由于更多的关键业务系统实现了联网，破解口令能够得到更大收获。利用可以的免费软件，谁都能够在30分钟内破解6个字符长的口令、6小时内破解8个字符长的口令。

　　你需要立即在人们如何创建口令以及口令更改频率方面制订规则。口令创建规则包括：混合使用大小写字母；至少始终要有一个数字和标点符号；不要使用个人资料当中的名字；长度至少要有8个字符。最重要的是，如果你需要不断使用口令，如果五次输入都不正确后，就要确保所有口令都被禁用，以防范企图借助蛮力破解口令的行为。在内部运行口令破解程序，查出安全性很差的口令。然后，开始改用低成本、外包的验证和数字SSL证书服务，替换这些弱口令。

　　5. 电子邮件会泄露你的商业机密。

　　为所有员工发放数字客户端证书，用于签名/加密的电子邮件，从而保护企业数据，进一步让员工对企业所有通信的来源、真实性和机密性都感到放心。

　　安全消息传送（想想最初的电子邮件以及随后的即时消息和IP语音传输[VoIP]等）旨在确保，只有消息的预期接收方才能够读取。电子邮件使用越频繁，它对公司的机密信息而言就越重要。发送到企业外

　　面的电子邮件更是如此。电子邮件以明文格式，通过公共网络从一台服务器传送到另一台服务器上。一路上的服务器能够而且确实保存收到的所有消息，也有权利这么做。在大多数电子邮件系统上，发送方无法控制谁可以接收到转发的电子邮件消息，也没有表明有人接到转发消息的审查踪迹。

　　任何两名员工现在只要简单地交换客户端证书，就可以对发给对方的消息进行签名及加密，从而确保：这些消息没有被篡改；消息来源得到证实；对两者之间的任何系统进行窃听的人都无法读取消息。公司的机密电子邮件需要采用这种做法。此外，组织还应当迅速部署安全的即时消息传送（IM）产品，禁止使用任何不安全的IM。即时消息传送已成为公司中的一个常见部分，起到了非常重要的作用。不过，公司的关键信息也在通过IM系统传送，可能会被没有证书的人所获取。有了安全的IM，这将不再成为问题。

　　6. 传统的访问控制已经难以胜任。

　　利用数字证书取代使用入口点所用的弱口令和成本高昂的时间同步令牌来保护系统安全。数字证书比口令安全得多、成本低于安全令牌，而且如果完全托管，易于部署。

　　SSL支持两端：服务器和客户机的身份验证。如果服务器提供证书给客户机，这表明服务器已通过验证（拥有域控制权的组织获得了证书，并且身份得到验证），客户机（）证实：证书域和服务器域相匹配。如果客户机提供证书给服务器，这表明客户机已通过验证。客户机验证涉及对用户的身份进行验证，而该用户和证书同与服务器通信的客户机结合在一起。这些客户端SSL证书驻留在浏览器里面，这样一来，就取代