工作輔助 2

 

即使最新的技術和優秀的整體 IT 安全人員,也有可能遭到漫不經心或未收到通知的使用者搞亂。下面這份失策清單,共分為在用戶端電腦發生 (或者由使用者造成) 的事件,以及在伺服器發生 (或者由 IT 人員造成) 的事件兩種:

前 11 名的用戶端安全性失策

  1. 密碼失策
    1. 密碼不安全。使用者通常會選擇好記的密碼,但正因為好記,所以也容易破解。雖然您可以透過 Windows 2000 安全性原則,強制採用複雜的密碼,不過最終的密碼安全性仍要視每一個使用者而定。密碼通常是取材自孩子或寵物的名字、紀念日或工作環境隨身用具的用字。更糟的是,有的密碼竟然可在一般畫面上看到!
    2. 與其他使用者共用密碼。尤其是在使用者共用電腦的環境下,使用者通常也會共用密碼。這種做法非常不安全,最好不要採用。
    3. 在外部網站上使用內部組織的密碼。如果您的使用者在貴公司以外洩露他們的密碼,那麼貴公司就很容易招致攻擊。使用者密碼通常是與電子郵件一起儲存。攻擊者只要利用這個組合,就可以判斷該使用者的服務公司,網路使用者名稱 (如果它是 SMTP 位址字首的話),以及該使用者的密碼。

  2. 無法在本機 (而不是中央) 充份執行備份和 (或) 儲存重要資訊。在許多組織當中,用戶端電腦 (尤其是膝上型電腦) 多半沒有備份。如果您把資訊儲存在用戶端電腦本機 (而不是管理的伺服器),一旦遭受攻擊之後,很可能無法將資料復原。
     
  3. 任由工作站呈開放式、無人管理的狀態。您有沒有制定一項原則,鼓勵使用者在離開工作站之前將它們鎖住?如果沒有,那麼只要有人經過,就可以趁機設定方法,在幾個小時之後存取這個工作站 (比方說,隨處安裝終端機伺服器和 PC,或者擴大本端權限)
     
  4. 忽略廠商更新和補強。所有的軟體和硬體都有弱點,它們的開發作業從未間斷。除非產品不再使用,否則該產品都會持續增強功能、改善設計和修正錯誤。由於軟體和硬體 (後者比較少見) 一直不斷在改變,因此 IT 人員必須不斷利用補強、更新和修正,讓系統資料保持在最新狀態。如果沒有保持在最新狀態,就會讓攻擊者有機可乘。
     
  5. 並未實際保護電腦設備的安全。設備 (尤其是膝上型電腦) 是經常被竊盜者覬覦的目標。攻擊者所掌握的膝上型電腦 (尤其是由具有系統重要存取權的使用者所擁有),很可能是一個嚴重的安全性威脅。
     
  6. 停用或降低現有的安全性控制。使用者常常為了加快處理速度,而停用病毒保護。此外為了方便起見,他們還會降低或移除生產應用程式 (例如 Microsoft Word、Microsoft Excel 等) 的巨集安全性保護。您一定要強力灌輸使用者維護安全性控制的重要性。
     
  7. 安裝不必要和 (或) 未經核准的軟體。使用者常常會安裝未經授權或未經核准的軟體,因為執行含有「木馬」病毒的應用程式,或其他帶有危險性的工具,而讓公司暴露在危險當中。
     
  8. 洩露過多的個人資訊。採用孩子的名字以及完整的生日日期等,都讓攻擊者有機會猜測密碼,或者透過社交工程取得未經授權的存取權。資訊可以經由電話口頭直接透露給攻擊者;或者透過電子郵件;或者根據儲存在工作區的資訊 (孩子的照片,含有身份證字號的資訊,健保卡等),以被動方式傳達。
     
  9. 繁殖病毒和其他騙局。透過電子郵件大量分送的錯誤病毒和警告,不但耗費時間,也耗費金錢。您一定要讓使用者將這些資訊直接傳送給 IT 部門,而不是分送給全公司。
     
  10. 開啟非預期的電子郵件附件。在接收和開啟附件時保持高度的警覺,比較能夠防止安全性意外發生。
     
  11. 沒有訓練使用者認識安全性意外事件,以及回應意外事件的方法。如果使用者事先受到妥善訓練,讓他們認識攻擊跡象、錯誤設定、病毒或其他意外事件等等,其實是可以避免或減少許多意外事件的發生。此外,在識別攻擊行動之後,還必須學習如何妥善加以回應。

前 8 名的伺服器端安全性失策

  1. 密碼失策
    1. 密碼不安全。IT 工作成員常常會建立後門,不讓自己被鎖在外面。這些後門的密碼通常比較簡單好記,但也因此不太安全。雖然這種情況可以藉由實作和強制執行 Windows 2000 安全性原則而稍微減輕,但是具有高階存取權的使用者,還是要確實遵守群組原則才行。
    2. IT 人員與 IT 人員共用密碼。比方說,如果容許一個以上的使用者存取系統管理員帳戶,而如果剛好有某個安全性意外事件牽涉到這個帳戶,那就很難或者根本不可能進行審核及帳戶作業。使用者 (尤其是 IT 人員) 必須對他們的帳戶具備個別、可以審核的責任。在使用者和 IT 人員簽署的安全性原則當中,必須列有禁止共用密碼這項規定。
    3. 在外部網站使用內部組織密碼。如果您的使用者在貴公司以外洩露他們的密碼,那麼貴公司就很容易招致攻擊。使用者的密碼通常是與電子郵件一起儲存。攻擊者只要利用這個組合,就可以判斷該使用者的服務公司,他們的使用者名稱 (如果它是 SMTP 位址字首的話更是),以及使用者的密碼。

  2. 沒有實作所有層級的深度防禦策略。雖然實作和妥善設定防火牆與入侵偵測系統都相當重要,但是安全性反制動作絕不止於此。比方說,深度防禦策略必須指定管理和人事層級的控制權。許多公司都沒有充分訓練對外人員 (如櫃台人員和接線生) 來識別和保護敏感資訊。沒有充分防範所有層級的潛在攻擊,是誤導安全性感應常犯的一個錯誤。有關深度防禦的詳細資訊,請參閱本手冊的《第 2 章》。
     
  3. 沒有穩定執行和驗證系統備份。有許多公司 (包括大型公司在內) 都沒有將重要的系統資料做好充分備份。而少數確實執行備份的公司當中,也沒有幾個願意花時間來還原檔案,或者驗證每一個備份作業是否順利完成。這時候,如果整組備份媒體已經全部損毀,便無法用來還原因攻擊或重大失誤而遺失的資料。
     
  4. 執行不必要的服務。預設安裝通常會為作業提供過量的服務。而這些額外的服務正可為潛在攻擊行動提供更多有機可乘的途徑,因此必須停用才行。您最好只執行必要的服務,而且必須定期審核服務,看看它們是否仍有需要。
     
  5. 沒有發現內部的安全性威脅。一般人通常會把精力和資源都集中在來自公司以外的攻擊行動,因此常常對於更大的潛在威脅 (公司內部的人員) 缺乏警覺。不管有意還是無意,但公司內部人員所具備的存取權最大卻是不爭的事實,因此對於公司的潛在威脅也最大。
     
  6. 沒有持續強制執行安全性原則。再好的安全性原則,一旦疏於遵守,對公司就發揮不了作用。安全性原則如果疏於遵守,也會讓員工對於安全性保護日趨忽視,而產生負面的副作用。
     
  7. 授與過多權限給服務。服務需要有特定層級的存取權,才能在系統內部執行特定的作業。在安裝或排解這些服務的疑難時,可能會為了快速發揮功能,而核准多於所需的存取權。但其實服務應該儘量降低權限,來維護系統的安全性才是,而這一點必須由設定服務權限的系統管理員,以及建立服務相依性的應用程式開發人員共同執行。
     
  8. 沒有充份讓內部開發的應用程式足夠強固。內部應用程式所具備的審慎程度,至少要大於或等於協力廠商應用程式。


本檢查清單內的資訊係按「現狀」提供,並不提供任何保證。MICROSOFT 不承擔任何責任擔保,不論其為明示或默示者,其中包括適售性以及適合某特定用途之擔保責任。MICROSOFT CORPORATION 或其供應商對於任何損害絕不負責,包括直接、間接、意外、負面影響、損失業務利潤或特殊損害。即使 MICROSOFT CORPORATION 或其供應商已告知此類損害的可能性亦同。某些地區並不允許公司排除或限制自然影響或意外損害責任,因此前述的限制並不適用於這些地區。



顯示: