工作輔助 2
即使最新的技術和優秀的整體 IT 安全人員，也有可能遭到漫不經心或未收到通知的使用者搞亂。下面這份失策清單，共分為在用戶端電腦發生 (或者由使用者造成) 的事件，以及在伺服器發生 (或者由 IT 人員造成) 的事件兩種：
前 11 名的用戶端安全性失策
密碼失策
- **密碼不安全。**使用者通常會選擇好記的密碼，但正因為好記，所以也容易破解。雖然您可以透過 Windows 2000 安全性原則，強制採用複雜的密碼，不過最終的密碼安全性仍要視每一個使用者而定。密碼通常是取材自孩子或寵物的名字、紀念日或工作環境隨身用具的用字。更糟的是，有的密碼竟然可在一般畫面上看到！
- **與其他使用者共用密碼。**尤其是在使用者共用電腦的環境下，使用者通常也會共用密碼。這種做法非常不安全，最好不要採用。
- **在外部網站上使用內部組織的密碼。**如果您的使用者在貴公司以外洩露他們的密碼，那麼貴公司就很容易招致攻擊。使用者密碼通常是與電子郵件一起儲存。攻擊者只要利用這個組合，就可以判斷該使用者的服務公司，網路使用者名稱 (如果它是 SMTP 位址字首的話)，以及該使用者的密碼。
**無法在本機 (而不是中央) 充份執行備份和 (或) 儲存重要資訊。**在許多組織當中，用戶端電腦 (尤其是膝上型電腦) 多半沒有備份。如果您把資訊儲存在用戶端電腦本機 (而不是管理的伺服器)，一旦遭受攻擊之後，很可能無法將資料復原。
**任由工作站呈開放式、無人管理的狀態。**您有沒有制定一項原則，鼓勵使用者在離開工作站之前將它們鎖住？如果沒有，那麼只要有人經過，就可以趁機設定方法，在幾個小時之後存取這個工作站 (比方說，隨處安裝終端機伺服器和 PC，或者擴大本端權限)
**忽略廠商更新和補強。**所有的軟體和硬體都有弱點，它們的開發作業從未間斷。除非產品不再使用，否則該產品都會持續增強功能、改善設計和修正錯誤。由於軟體和硬體 (後者比較少見) 一直不斷在改變，因此 IT 人員必須不斷利用補強、更新和修正，讓系統資料保持在最新狀態。如果沒有保持在最新狀態，就會讓攻擊者有機可乘。
**並未實際保護電腦設備的安全。**設備 (尤其是膝上型電腦) 是經常被竊盜者覬覦的目標。攻擊者所掌握的膝上型電腦 (尤其是由具有系統重要存取權的使用者所擁有)，很可能是一個嚴重的安全性威脅。
**停用或降低現有的安全性控制。**使用者常常為了加快處理速度，而停用病毒保護。此外為了方便起見，他們還會降低或移除生產應用程式 (例如 Microsoft Word、Microsoft Excel 等) 的巨集安全性保護。您一定要強力灌輸使用者維護安全性控制的重要性。
**安裝不必要和 (或) 未經核准的軟體。**使用者常常會安裝未經授權或未經核准的軟體，因為執行含有「木馬」病毒的應用程式，或其他帶有危險性的工具，而讓公司暴露在危險當中。
**洩露過多的個人資訊。**採用孩子的名字以及完整的生日日期等，都讓攻擊者有機會猜測密碼，或者透過社交工程取得未經授權的存取權。資訊可以經由電話口頭直接透露給攻擊者；或者透過電子郵件；或者根據儲存在工作區的資訊 (孩子的照片，含有身份證字號的資訊，健保卡等)，以被動方式傳達。
**繁殖病毒和其他騙局。**透過電子郵件大量分送的錯誤病毒和警告，不但耗費時間，也耗費金錢。您一定要讓使用者將這些資訊直接傳送給 IT 部門，而不是分送給全公司。
**開啟非預期的電子郵件附件。**在接收和開啟附件時保持高度的警覺，比較能夠防止安全性意外發生。
**沒有訓練使用者認識安全性意外事件，以及回應意外事件的方法。**如果使用者事先受到妥善訓練，讓他們認識攻擊跡象、錯誤設定、病毒或其他意外事件等等，其實是可以避免或減少許多意外事件的發生。此外，在識別攻擊行動之後，還必須學習如何妥善加以回應。
前 8 名的伺服器端安全性失策
密碼失策
- **密碼不安全。**IT 工作成員常常會建立後門，不讓自己被鎖在外面。這些後門的密碼通常比較簡單好記，但也因此不太安全。雖然這種情況可以藉由實作和強制執行 Windows 2000 安全性原則而稍微減輕，但是具有高階存取權的使用者，還是要確實遵守群組原則才行。
- **IT 人員與 IT 人員共用密碼。**比方說，如果容許一個以上的使用者存取系統管理員帳戶，而如果剛好有某個安全性意外事件牽涉到這個帳戶，那就很難或者根本不可能進行審核及帳戶作業。使用者 (尤其是 IT 人員) 必須對他們的帳戶具備個別、可以審核的責任。在使用者和 IT 人員簽署的安全性原則當中，必須列有禁止共用密碼這項規定。
- **在外部網站使用內部組織密碼。**如果您的使用者在貴公司以外洩露他們的密碼，那麼貴公司就很容易招致攻擊。使用者的密碼通常是與電子郵件一起儲存。攻擊者只要利用這個組合，就可以判斷該使用者的服務公司，他們的使用者名稱 (如果它是 SMTP 位址字首的話更是)，以及使用者的密碼。
**沒有實作所有層級的深度防禦策略。**雖然實作和妥善設定防火牆與入侵偵測系統都相當重要，但是安全性反制動作絕不止於此。比方說，深度防禦策略必須指定管理和人事層級的控制權。許多公司都沒有充分訓練對外人員 (如櫃台人員和接線生) 來識別和保護敏感資訊。沒有充分防範所有層級的潛在攻擊，是誤導安全性感應常犯的一個錯誤。有關深度防禦的詳細資訊，請參閱本手冊的《第 2 章》。
**沒有穩定執行和驗證系統備份。**有許多公司 (包括大型公司在內) 都沒有將重要的系統資料做好充分備份。而少數確實執行備份的公司當中，也沒有幾個願意花時間來還原檔案，或者驗證每一個備份作業是否順利完成。這時候，如果整組備份媒體已經全部損毀，便無法用來還原因攻擊或重大失誤而遺失的資料。
**執行不必要的服務。**預設安裝通常會為作業提供過量的服務。而這些額外的服務正可為潛在攻擊行動提供更多有機可乘的途徑，因此必須停用才行。您最好只執行必要的服務，而且必須定期審核服務，看看它們是否仍有需要。
**沒有發現內部的安全性威脅。**一般人通常會把精力和資源都集中在來自公司以外的攻擊行動，因此常常對於更大的潛在威脅 (公司內部的人員) 缺乏警覺。不管有意還是無意，但公司內部人員所具備的存取權最大卻是不爭的事實，因此對於公司的潛在威脅也最大。
**沒有持續強制執行安全性原則。**再好的安全性原則，一旦疏於遵守，對公司就發揮不了作用。安全性原則如果疏於遵守，也會讓員工對於安全性保護日趨忽視，而產生負面的副作用。
**授與過多權限給服務。**服務需要有特定層級的存取權，才能在系統內部執行特定的作業。在安裝或排解這些服務的疑難時，可能會為了快速發揮功能，而核准多於所需的存取權。但其實服務應該儘量降低權限，來維護系統的安全性才是，而這一點必須由設定服務權限的系統管理員，以及建立服務相依性的應用程式開發人員共同執行。
**沒有充份讓內部開發的應用程式足夠強固。**內部應用程式所具備的審慎程度，至少要大於或等於協力廠商應用程式。
本檢查清單內的資訊係按「現狀」提供，並不提供任何保證。MICROSOFT 不承擔任何責任擔保，不論其為明示或默示者，其中包括適售性以及適合某特定用途之擔保責任。MICROSOFT CORPORATION 或其供應商對於任何損害絕不負責，包括直接、間接、意外、負面影響、損失業務利潤或特殊損害。即使 MICROSOFT CORPORATION 或其供應商已告知此類損害的可能性亦同。某些地區並不允許公司排除或限制自然影響或意外損害責任，因此前述的限制並不適用於這些地區。