重大威脅外 十個不該被忽略的安全隱患
IT管理員們整天都忙于阻擋安全雷達上顯示的各種大型攻擊，而下面要列出的十個安全隱患，可能一直存在于企業中，卻沒有被IT管理員察覺。
1:企業雇員
企業自己的雇員就是企業最大的安全風險來源。有時候，企業雇員導致的安全事故是蓄意的，有時候則是無意的。但不管怎么說，企業雇員是接觸企業系統和數據最頻繁的人員。我們經常過度的擔心來自外部的安全攻擊，但是老實說，病毒可以輕易的從企業雇員的U盤上傳播到企業系統中，讓企業長久以來巨資搭建的防護網絡形同虛設。有時候，對企業不滿的員工會通過破壞企業系統的方式發泄不滿情緒。而且，就算沒有故意行為，員工的工作失誤也是經常出現的。良好的管理，安全教育，安全策略，都是預防此類風險的必要措施，此外還要意識到雇員才是企業安全屏障的最大漏洞。
2:常規代碼錯誤
編程過程中出現錯誤的情況在現在的技術條件下依然會出現。大多數常見的編碼錯誤會導致SQL注入以及跨站腳本漏洞。這種情況是經常出現的，就連一些大型軟件廠商也不能避免(WordPress就是個例子)。而且對于企業來說，一旦購買并安裝了某個商業軟件，就很難立即將其廢棄，因此企業必須及時的為軟件的安全漏洞進行修補，防止漏洞被黑客利用。
3:未驗證的終端設備
此類現象非常普遍。有些員工會將自己家里的老PC搬到辦公室，用老PC做一些公司電腦不能做的事情。他們可能會覺得，在IT部門的各種限制下，這樣的做法能帶來很大方便。比如，如果IT部門沒有給某個部門弄個自己的Web網站或BBS，這個部門可能會自己弄個PC放在辦公室角落，并在其上搭建一個Web服務，方便部門同事之間進行交流。但這樣做風險很大。而預防此類問題的最佳方法就是執行嚴格的IP地址審核策略，同時經常掃描并列出網絡上的終端設備。如果新加入的終端無法獲取IP地址，他們帶來的安全威脅也就相對小一些了。
4:古老的服務器
每個企業都有這樣的服務器，多年來一直呆在機房的角落，就是不肯退休。一般來說，這種服務器都在運行某種無法被移植到其它服務器上的軟件包。但是這類服務器確實是一個極大的安全隱患，因為他們太古老，可能已經沒有廠商在為它們提供安全補丁了，或者就算有補丁，IT管理員們也怕萬一弄不好，把這個服務器弄癱了，其上的服務軟件將再也無法恢復運行。另外，那些古老的操作系統本身就會包含很多安全漏洞，并且廠商也早已不在提供對應的補丁了。總之，IT管理員必須通過各種辦法更換掉這些陳舊的服務器。第一步最好是將其虛擬化，然后就可以比較方便的對他們進行升級了。
5:遺留程序
嚴重的安全風險來源并不只存在于老舊的服務器系統，還包括其上運行的各種軟件，甚至我們在日常辦公中使用的古老軟件。如果能及時打補丁，這些老舊軟件的安全風險并不會太大，但是現實中能及時打補丁的老程序不多。而且由于管理不及時，我們經常會錯過重要的升級版本。另一種情況就是該軟件的開發廠商已經不再為軟件提供升級服務了。因此企業要么對全部程序進行檢查并想辦法升級到最新版本，要么就更換相同功能的替代軟件。
6:本地管理員
我們都知道讓用戶總是以管理員特權登錄系統是非常危險的。但是很多企業的用戶仍然是以本地管理員身份登陸終端系統。這種情況很常見，其原因可能是由于用戶在使用系統過程中出現了某些問題，IT管理員讓用戶以本地管理員權限登錄系統，通過電話指導其排除故障，但事后卻沒有將權限恢復。不管是什么原因導致的，這種現象都是企業安全的定時炸彈。企業IT管理員可以通過集中化的管理工具確保只有特定用戶擁有本地管理員權限。
7:不正確的共享和文件權限
文件的讀取權限是一個很復雜的問題，而且很多普通用戶根本不知道該如何對其進行設置。因此，企業用戶在聯網的環境中建立了一個敏感文件，卻使用了默認的讀取權限，導致同一網絡環境的其他用戶可以直接查看該文件的內容。企業的IT安全管理員要做的是預先設置好共享和文件權限方面的架構。比如，給每個員工一個獨立的根目錄，用來存放個人文檔，并根據員工職責，工作項目以及團隊等建立共享文件夾，并設置相應的讀取權限。這個過程中會出現一個問題，即培訓員工正確使用這種文件存放規則，但這應該比教會員工為每個文檔設置訪問權限要簡單的多。
8:隱藏軟件本身的web服務
我最近發現越來越多的應用程序使用Web服務作為管理控制臺。大多數情況下，此類程序都是未經許可，由企業員工自行安裝的。但是有時候IT部門也不清楚這些軟件會帶來什么樣的問題。雖然此類管理控制臺可以被屏蔽，但是仍要確保程序本身是健康無害的。
9:VPN客戶
很多企業員工都在想辦法讓自己的家用電腦能夠接入公司的VPN。對于管理員來說，這并不是難事。但是管理員無法很好的管理員工的家用電腦，而一旦這些電腦接入公司的VPN，電腦中存在的各種安全問題會通過VPN四處傳播。作為管理員，能做的是經常檢查VPN系統，看看哪些PC正在使用VPN，并與認證系統進行對比。你還可以在VPN外圍建立防火墻，封鎖部分終端。另外，也可以使用一些第三方的管理工具對加入VPN的客戶端進行驗證。
10:關閉安全軟件
有時候安全軟件會成為工作的“障礙”，因此員工們的正常做法就是找一種方式來繞開安全軟件的阻攔。比如我就見過有員工在家建立一個無害的跳轉網頁來繞過公司的IT安全策略。而更有權限的用戶(一般是公司的開發人員和系統管理員)知道更多如何繞過安全軟件的方法。同時這些用戶處于工作需要，可能還擁有本地管理員權限，可以輕易的關閉系統中的安全軟件。
此類安全隱患不好解決，因為這些用戶都自認為自己足夠聰明，不會導致系統出現安全漏洞。而這些人都忽視了一個問題，即如今的攻擊行為并不需要用戶出現明顯的疏失，比如訪問不安全的網站或者下載盜版軟件。比如每個Acrobat文件，現在都有可能成為攻擊源。作為管理員，應該隨時關注那些異常的現象，比如某個IP的數據流量突然增大，并通過集中化的管理工具檢查每個終端的策略設置，確保所有終端的安全策略都達到標準。同時，管理員也要取消任何用戶不必要的本地管理員權限，并利用防火墻將不同的用戶組規范在自己的網段內，防止風險擴散。
【編輯推薦】
