網絡主管常犯的十個愚蠢安全錯誤
原創【51CTO.com快譯自7月9日外電頭條】仔細觀察一下那些最嚴重的企業安全漏洞，你會發現網絡主管們很明顯在一遍又一遍的犯著同樣的錯誤，而且這些錯誤都是很容易避免的。
2008年，Verizon Business對代表了2億8500萬次入侵記錄的90種安全漏洞進行了分析，其中大多數有組織的入侵事件都上了新聞頭條。這些犯罪活動遍布網絡，竊取信用卡數據、社會保險號碼或其他私人的身份信息。
但令人驚訝的是，這些安全漏洞頻繁發作的原因竟然是網絡管理者們忘掉了使用一些簡單的防護措施，尤其是對那些非關鍵的服務器。
“我們只是沒有做到最基礎的工作，”從事安全漏洞審計工作已有18年之久的Verizon Business創新與技術副總裁Peter Tippett這樣說。他幫助我們整理了一份錯誤操作的清單，列出了最容易出現的十項錯誤，只要你能夠照著清單來改正錯誤，那么絕大多數的安全漏洞將不會影響到你。
1. 沒有更改所有網絡設備的默認密碼
Tippett說，有些企業的服務器、交換機、路由或者網絡設備一直在使用默認密碼，而且這種情況常見的“難以置信”，那些通常設置為“password”或者“admin”的默認密碼仍然大量被使用。大多數CIO們都自以為這個問題絕不會在他們的公司出現，但是Tippett說他每天都會看到它發生。
為了避免這個問題，你需要對每臺占用IP地址網絡設備都進行漏洞掃描，而不僅僅對那些關鍵的設備或者上網的系統，Tippett說，然后你需要更改它們的默認密碼。Verizon Business的研究報告發現，去年的入侵統計中有超過一半是因為網絡設備使用默認密碼造成的。51CTO編者注：想了解如何擺脫默認密碼困擾，請看細節決定安全 杜絕網絡設備“默認”設置。
2. 多個網絡設備共享同一個密碼
IT部門經常在多臺服務器中使用相同的密碼，而且有不少人知道這個密碼。即使這個密碼的強度可能足夠，但是一旦在多個系統之間共享，這幾個系統就都處于危險之中。
例如，一個人知道密碼的員工可能會離開公司，在新公司他可能也會使用相同的密碼。或者比如你把一些非關鍵系統比如數據中心的制冷系統外包給了某公司，而他們就有可能使用他們經常使用的密碼。在任何一種情況下，如果密碼被黑客破解，他們就能夠入侵更多臺服務器，造成更大的傷害。
3. 沒有發現SQL代碼錯誤
最常見的一種黑客攻擊就是針對連接網絡服務器的SQL數據庫，據統計占到了入侵記錄的79%。黑客的攻擊方法是在Web表格中鍵入SQL命令行。而如果Web表格的編碼正確，它不應該接受SQL命令行。但有時開發者會犯錯，讓SQL注入攻擊有機可乘。
Tippett說，阻止錯誤發生的最簡單方法是在學習（learn）模式中運行應用防火墻，觀察用戶是怎樣在field中輸入數據，然后在運行（operate）模式下設置防火墻，這樣SQL命令就不會被注入field中。SQL代碼問題非常普遍。Tippett說，“如果測試100臺服務器，可能有90臺服務器都會發現存在SQL注入問題。”另外Tippett提醒到，企業經常只注意關鍵服務器，而忘記了大多數黑客是通過非關鍵系統入侵網絡的。
4. 沒有正確配置訪問控制清單
使用訪問控制清單來分割網絡，這是確保你的系統只和它們需要的對象相連接的最簡單方法。例如，如果你允許合作伙伴通過你的VPN（Virtual Private Network，虛擬專用網絡）來訪問兩臺服務器，你應該使用訪問控制清單來確保合作伙伴只能訪問這兩臺服務器。這樣即使有黑客通過開放的VPN入口入侵了你的網絡，他也只能得到這兩臺服務器上的數據。
“罪犯們經常會通過VPN入侵網絡，并且能夠得到所有權限，”Tippett說。Verizon的報告顯示，如果正確配置了訪問控制清單，那么去年的入侵事件中將有66%得到保護。CIO們不采取這種簡單措施的原因是要將路由作為防火墻，許多網絡管理者也不想這樣做。
5. 允許不安全的遠程訪問和管理軟件
黑客入侵網絡的最常用手段之一是利用遠程訪問和管理軟件包，比如PCAnywhere、Virtual Network Computing（VNC）或者Secure Shell（SSH）。這些軟件通常都缺乏最基本的安全防護措施，比如密碼就不夠強大。
發現這種問題的最簡單方法是對整個IT地址空間進行外部掃描，尋找PCAnywhere、VNC或者SSH的流量。一旦你發現了這些軟件，要對它們部署額外的安全措施，比如在密碼之外另加證書等方式。另一種方法是掃描外部路由器的Netflow數據，查找網絡內是否存在遠程訪問管理操作的流量。
這個問題非常普遍，在Verizon Business報告的入侵統計中占到了27%。
6. 沒有測試非關鍵應用的基本漏洞
根據Verizon Business的報告，將近80%的黑客攻擊是因為Web應用存在安全漏洞。網絡管理者們也知道最大的弱點就在于Web應用，因此他們不遺余力的測試關鍵的應用和面向互聯網的系統。
但問題是黑客攻擊的卻是那些網絡內部的非關鍵系統的安全漏洞。Tippett說，“主要問題是我們瘋狂的測試那些關鍵的Web應用，卻忽視了那些非關鍵的應用”。他建議網絡管理者應該對所有應用的基本漏洞都進行測試。
“人們總是過于關注關鍵的應用，但是罪犯們不會管什么關鍵什么不關鍵，他們只挑最容易的下手，”Tippett說。
7. 沒有充分保護服務器遠離惡意軟件
Verizon Business的報告說服務器上的惡意軟件占到了所有安全漏洞的38%。大多數惡意軟件是被遠程攻擊者安裝的，用來捕獲數據。某些惡意軟件可以自定義，因此防病毒軟件無法識別。對于網絡管理者來說，一種在服務器上查找惡意軟件比如木馬或間諜軟件的方法是在每臺服務器上本地運行入侵檢測系統軟件，當然不僅僅是針對關鍵服務器。
Tippett推薦了一種可以阻止這類攻擊的簡單方法：鎖定服務器，讓新的應用軟件無法在這些服務器上運行。“很多網絡管理者們不喜歡這么做，因為他們總想著以后可能會安裝新的軟件。但我要告訴他們的是，到時候再解鎖，然后安裝新軟件，然后再重新鎖定。”
8. 沒有讓路由禁止不必要的外部流量
惡意軟件的一種常用做法是在服務器上安裝后門或命令外殼。有一種阻止它們的方法是使用訪問控制清單分割網絡。這種方法可以阻止服務器發送不該發送的流量。例如，電子郵件服務器應該只發送郵件流量，而不是SSH流量。另一種辦法是讓路由默認拒絕出口過濾，阻止所有出站流量，除了那些你安排離開的。
“只有2%的企業這樣做。令我困惑的是另外的98%為什么不這么做。”Tippett說，“默認拒絕出口過濾是非常簡單的。”
9. 不知道信用卡或其他關鍵用戶數據存儲在哪里
大多數企業自認為他們知道關鍵數據比如信用卡信息、社會保險號碼或者其他私人身份信息等等的存儲位置，他們對這些服務器設置最高級別的安全防御措施。但是往往這些數據還會存儲在網絡的其它地方，比如備份站點或者軟件開發部門。
這些第二等級的非關鍵服務器經常遭到攻擊，導致絕大多數的數據泄露。查找關鍵數據存儲位置的一種簡單方法是進行網絡探測。“我們通常會在網絡上設置嗅探器，查找關鍵數據可能存在的位置，還要觀察它們可能流向哪里。”Tippett說。
10. 沒有遵守支付卡行業數據安全標準
支付卡行業數據安全標準（PCI DSS）為保護持卡人信息設置了12條控制條款，Tippett說，“然而大多數用戶甚至沒有試著去達到PCI標準。”有時，企業會遵循這些標準來管理他們已知的存儲信用卡數據的服務器，但對其他未知的服務器卻無法控制。
Verizon Business的報告顯示，盡管入侵記錄中有98%涉及到盜取支付卡數據，但是這些遭受入侵的企業中僅有19%遵守了PCI標準。“很顯然，遵循PCI規定，它們絕對可以保護你。”Tippett最后說。
【網管必讀】
【51CTO.com譯稿，非經授權請勿轉載。合作站點轉載請注明原文譯者和出處為51CTO.com，且不得修改原文內容。】
原文：The 10 dumbest mistakes network managers make 作者：Carolyn Duffy Marsan
