十大不变安全法则
法则 6：计算机的安全性只等同于可靠的系统管理员。
每台计算机须有位系统管理员：这个人能够安装软件、设定操作系统、新增与管理使用者账户、建立安全性政策，与处理所有其它有关保持计算机开机与运作的管理工作。根据定义，这些工作必须在系统管理员能够控制计算机的情况下运作，如此系统管理员的地位有着无与伦比的力量。一位不可信任的系统管理员能反转所有您采取的安全措施。他可以变更计算机上的使用权限、变更系统安全性政策、安装有害的软件、新增不存在的使用者，或是做其它各式各样的事情。事实上，他可以破坏任何操作系统的保护措施，因为他就是控制操作系统的人，最糟的是他还可以掩饰他的行为。如果您有位不可信任的系统管理员，就很明显的没有安全性。
雇用系统管理员时，要认知系统管理员所具有之信任的地位，而且只能雇用能担保那份信任的人。打电话给该系统管理员的推荐人，询问有关他过去的工作纪录，特别是在过去雇主公司有关安全性的事件。如果您的公司能够接受银行与其它安全意识高的公司所采取的步骤，您可以照样操作，并要求系统管理员通过雇用时以及雇用后定期的完全背景检查。不管您选用什么标准，都要贯彻实施。在您的网络上，不要给任何人管理上的特殊权限，除非这些人已经过调查，对象包括临时雇员与承包商。
下一步，采取行动帮助诚实的人保持诚实。使用登入/注销工作表以追踪谁曾出入服务器机房 (您一定有间上锁的服务器机房，对吧？如果没有，请重读法则 3)。在安装或为软件升级时，采用“两人”制度。尽可能把管理工作多元化，如此可以把每个系统管理员所拥有的权力降到最低。还有，不要使用系统管理员账户，取而代之，给每个系统管理员拥有系统管理员特殊权限的个别的账户，如此您可以知道谁在做什么。最后，考虑进一步让系统管理员更难掩饰他的所作所为。例如，将稽核数据储存在唯写媒体，或是将系统甲的稽核数据放置于系统乙，并确定两个系统的系统管理员是不同的人。当您的系统管理员愈可靠，您的问题就越少。
法则 7：加密数据的安全性只等同于解密金钥。
假设您安装全世界最大、最强固、最安全的锁在您家的前门，但是钥匙就放在门前的垫子底下，那么不管您的锁有多坚固也没有用，不是吗？关键因素在于钥匙没有好好的保存，因为如果小偷找到它，要开锁可说易如反掌。加密数据的运作方式是一样的－不管加密的算法有多强，数据的安全性只等同于能够解密的金钥。
许多操作系统与加密的软件产品，让您选择把加密金钥储存在计算机里。这个作法的优点是方便－您就不必处理金钥，但是所牺牲的是安全性。这些金钥通常是隐藏的，有的隐藏方式非常好，但最后不管金钥隐藏的多好，如果它就在计算机里，总是可以找得出来。最后一定会有软件能够找到金钥，因此动机不良之士也可以找得到。只要有机会，请使用离线的存放区放置金钥。如果机码是一个字或词，请予以牢记；如果不是，就将它汇出到磁盘上、制作备份复本，并把复本储存到不同且安全的地点。(所有 Syskey 以“本机存放区”模式使用 Syskey 的系统管理员们：您会马上重新设定您的服务器，对吧？)
法则 8：过期的扫毒程序比起没有扫毒程序好不了多少。
病毒扫描仪的运作方式，是把计算机上的数据与一组的病毒“签名”互相比较。每一个签名是一种病毒的特征，扫描仪在文件、电子邮件或其它地方发现数据与签名符合时，它就认定找到病毒。但是病毒扫描仪只能扫描它所知道的病毒。保持最新的病毒扫描仪签名档案是很重要的，因为每天都有新的病毒产生。
但问题其实比这个概念还要深一点。一般而言，新的病毒在其早期的生命阶段会造成最大的损坏，正是因为很少人能够侦测到它。消息一旦传开，指出有新的病毒在散布，然后人们更新手上的病毒签名文件，之后病毒的散布程度就大幅下降。重点是要赶在散布曲线的前端，意即病毒大肆散布前，在计算机上更新病毒签名文件。
事实上每一家防毒软件的供货商都提供由网站取得免费签名文件的方式。其实，许多厂商已经“推进”他们的服务，每当新的签名文件发行时，他们会传送通知。请您善加利用这些服务，同时，也要持续使用这些服务，让扫描仪本身 (也就是扫描软件) 更新。病毒的建立者会定期发展新的技术，使得扫描仪本身运作的方式也有变更的需要。
网友评论