十大安全错误
6.没有对非关键应用软件做基本风险测试
根据Verizon Business报告的统计，大约有80%的黑客攻击是网络应用软件中存在安全漏洞的结果。网络管理者知道他们最大的风险就存在于网络应用软件，因此他们在测试关键应用软件和网络系统上用了最大的努力。
问题是黑客攻击利用的是网络上非关键系统的安全错误。提比特表示"主要问题是我们对关键性网络应用软件疯狂测试，却没有对非关键性应用软件进行测试"。提比特推荐网络管理者对所有应用软件的基本风险都进行测试。
提比特表示"人们在危险程度方面总是屡遭教训，但是犯罪分子不知道什么是关键什么是不关键，他们只看哪里是薄弱环节。一旦他们入侵了你的网络，他们就会设置建立站点，观察你的流量"。
7.没有为服务器防御木马提供足够的保护
Verizon Business在报告中称，服务器上的木马占到了所有安全缺口的38%。多数木马是被远程攻击者安装的，主要用来窃取数据。具有代表性的是，木马是自定义的，因此他无法被防病毒软件查获。对于网络管理者来说发现服务器上诸如keylogger这样的木马或者间谍软件的方法是在每台服务器上运行基于主机的入侵检测系统软件，而不仅是针对关键服务器。
提比特推荐了一种阻止这些攻击的简单方法：锁定这些服务器，以便新的应用软件无法在这些服务器上运行。"网络管理者不喜欢这么做是因为他们可以之后会增加新的软件。我告诉大家只需解锁这个服务器锁定，安装新的软件，然后再重新锁定即可"。
8.没有配置禁止非法外界流量的路由器
木马程序常用的一种做法是在服务器上设置后门或者命令解释器。阻止黑客利用后门或者命令解释器的一种方法是使用访问控制清单的网络分割。这种方法可以阻止服务器发送不该发送的流量。举例来说，一台电子邮件服务器只该发送邮件流量，而不是SSH流量。另一种选择是利用你的路由器缺省拒绝出口过滤，阻止所有流向外部的流量，除非你打算离开网络。
提比特表示"只有2%的公司采取了这种做法。令我困惑的是另外的98%为什么不这么做。缺省拒绝出口过滤是非常简单的"。
9.不了解信用卡或者其他管件用户数据存储的位置
多数企业认为他们知道诸如信用卡信息，社会保险号码或者其他私人身份信息等关键数据存储的位置，他们对这些服务器设置了最高级别的安全防御措施。但是通常，这种数据还会被存储在网络的某些地方，诸如备份网站或者软件研发部门。
就是这些经常招致攻击的二级非关键服务器导致了多数数据的泄露。发现关键数据存储位置的一种简单方法是执行网络侦测。提比特表示"我们通常会在网络上设置探测器，观察关键数据所在的位置，然后他们可能其他的流向"。
10.没有遵守支付卡行业数据安全标准协议
支付卡行业数据安全标准协议对保护持卡人信息设置了12条控制条款。提比特表示"多数用户甚至不曾尝试去遵守支付卡行业数据安全标准协议"。有时企业遵守了支付卡行业数据安全标准协议，按照条款规定了解服务器上存储的信用卡数据，但是在其他未知的服务器上也托管了这种关键数据。
根据Verizon Business的报告，尽管所有存在风险的记录中有98%都涉及支付卡数据，但是存在安全缺口的企业中仅有19%在遵守支付卡行业数据安全标准协议。提比特表示"很显然，遵循支付卡行业数据安全标准协议的规定，他们能起到基本的保障作用"。
网友评论