你現(xiàn)在就應(yīng)該堵住的6個企業(yè)安全漏洞
原創(chuàng)【10月14日51CTO外電頭條】泰坦尼克號曾被認(rèn)為是不會沉沒的，盡管當(dāng)前的工程技術(shù)可以確保豪華游輪不大可能撞上巨大的冰山，但也不能100%保證它就是安全的。
在現(xiàn)代企業(yè)中，許多人也曾有類似的刀槍不入的看法，但對于大型企業(yè)，要想全年不發(fā)生一起事故難度可不小，我們應(yīng)該聽過很多關(guān)于暴力攻擊，無線網(wǎng)絡(luò)嗅探，藍(lán)牙狙擊的故事，這些行為的目的只有一個，就是想方設(shè)法搞到企業(yè)的商業(yè)機(jī)密。
有六個安全漏洞在很多企業(yè)中長期都處于打開狀態(tài)，即使是那些自認(rèn)為在安全方面做得還不錯的企業(yè)也如此，在你的企業(yè)撞上冰山之前，來聽聽安全顧問的建議吧。
1、無線網(wǎng)絡(luò)上未經(jīng)授權(quán)訪問的智能手機(jī)
智能手機(jī)給企業(yè)帶來的風(fēng)險(xiǎn)超過了傳統(tǒng)的PC設(shè)備，主要原因是有些員工不能抗拒在辦公室使用個人設(shè)備，即使公司明令禁止使用，但他們往往也會將這些條款拋諸腦后。
互聯(lián)網(wǎng)安全顧問公司SecTheory創(chuàng)始人Robert Hansen說：“危險(xiǎn)之源是智能手機(jī)屬于三穴設(shè)備：可連接藍(lán)牙，Wi-Fi和GSM網(wǎng)絡(luò)，員工在辦公室使用個人設(shè)備會引入一個潛在的攻擊點(diǎn)，通常，你使用的智能手機(jī)可以跨多個無線頻道，如果不懷好意的人在停車場安裝一個藍(lán)牙狙擊槍，那么他在一英里外就可以攔截藍(lán)牙通信，首先通過藍(lán)牙連接到智能手機(jī)，然后再連接到企業(yè)無線網(wǎng)絡(luò)，藍(lán)牙是給黑客接入Wi-Fi網(wǎng)絡(luò)，進(jìn)入進(jìn)入企業(yè)網(wǎng)絡(luò)敞開的一扇大門”。
Hansen說單純禁止智能手機(jī)是不現(xiàn)實(shí)的，相反，他認(rèn)為IT部門應(yīng)該只允許經(jīng)過授權(quán)的設(shè)備訪問網(wǎng)絡(luò)，并綁定MAC地址，這樣在出現(xiàn)問題時(shí)可以進(jìn)行追蹤，因?yàn)槊總€移動設(shè)備都具有一個唯一的MAC地址。
另一個策略是使用網(wǎng)絡(luò)訪問控制（NAC），無論是誰要訪問網(wǎng)絡(luò)，都必須經(jīng)過授權(quán)和登入驗(yàn)證，理想情況下，企業(yè)應(yīng)該從企業(yè)網(wǎng)絡(luò)中獨(dú)立出一個專門供來賓使用的Wi-Fi網(wǎng)絡(luò)，雖然這樣可能會造出兩個無線網(wǎng)絡(luò)，會顯得有些冗余和增加管理開銷，但為了安全起見，Hansen認(rèn)為這樣做是值得的。
還有一個比較武斷的做法，就是讓所有想使用移動設(shè)備的員工統(tǒng)一平臺，如Google的Android，從而阻止那些不受支持的設(shè)備，這樣IT部門就不用處理眾多的設(shè)備品牌和平臺了，可以將重心放在安全事件的預(yù)防，發(fā)現(xiàn)和處理上。
2、網(wǎng)絡(luò)打印機(jī)上開放的端口
誰能想到打印機(jī)也會帶來安全風(fēng)險(xiǎn)呢，想必大多數(shù)公司都認(rèn)為打印機(jī)是沒有危險(xiǎn)的，近幾年來，帶Wi-Fi功能的打印機(jī)已經(jīng)很常見，有些甚至還支持3G網(wǎng)絡(luò)和接入電話線發(fā)送傳真，有些型號會阻止訪問打印機(jī)上的某些端口，但Hansen說，如果一家大公司有200個打印機(jī)端口需要阻止訪問，那么可能有另1000個端口就是敞開的，黑客可以通過這些端口入侵企業(yè)網(wǎng)絡(luò)的，更惡毒的伎倆是采集所有打印輸出的內(nèi)容，要知道傳送給打印機(jī)的商業(yè)機(jī)密可不少。
安全專家Jay Valentine說：“你之所以沒有聽說過是因?yàn)槟壳斑€沒有一個有效的方法來關(guān)閉它們，在電力行業(yè)，我看到所有訪問都是網(wǎng)絡(luò)端口進(jìn)行的，風(fēng)險(xiǎn)真的是太高了”。
解決這個問題的最好辦法是禁用打印機(jī)上的無線功能，如果現(xiàn)實(shí)不允許這么做，應(yīng)確保所有端口阻止任何未經(jīng)授權(quán)的訪問。使用安全管理工具監(jiān)控和報(bào)告開放的打印機(jī)端口也很重要，ActiveXperts軟件公司的Active Monitor就是這樣的工具。
3、定制開發(fā)的Web應(yīng)用程序潛伏著的不良代碼
任何安全專家都非常害怕粗心程序員開發(fā)的程序，不管是定制開發(fā)的軟件，還是商業(yè)軟件或開源軟件，都存在這樣的問題，如果你的程序中使用了SQL Server的xp_cmdshell，那一定是沒有安全意識的人編寫的代碼，它會將攻擊面放得很寬，黑客可以藉此獲得數(shù)據(jù)庫的全部訪問權(quán)限，你的數(shù)據(jù)將毫無秘密可言，并且還可以利用這個漏洞在網(wǎng)絡(luò)上安裝后門。
Hansen說Web服務(wù)器上的PHP程序也常常成為攻擊的目標(biāo)，很小的編碼錯誤，如從應(yīng)用程序調(diào)用一個遠(yuǎn)程文件時(shí)的保護(hù)措施不當(dāng)，就會為黑客留下嵌入惡意代碼的機(jī)會，如果開發(fā)人員限制不嚴(yán)格，用戶在表單中的輸入就可以調(diào)用某個文件，或是公司博客使用trackback功能向文章原始出處報(bào)告鏈接時(shí)，可能未對URL進(jìn)行處理，進(jìn)而引發(fā)對數(shù)據(jù)庫的非法查詢。
避免這個問題的最好辦法是不使用免費(fèi)提供的PHP腳本，博客插件和其它可能不安全的代碼，如果確實(shí)需要，必須用安全監(jiān)控工具檢測出PHP腳本中的漏洞。
#p#
4、社交網(wǎng)絡(luò)欺騙
Facebook和Twitter用戶可能被欺騙而泄露敏感信息，通常，這種類型的攻擊是細(xì)微的，不一定有追查的必要。
Hansen說：“找工作的人通常會泄露一些個人信息，我的一個客戶曾告訴我，黑客利用求職網(wǎng)站的虛假郵件地址冒充招聘人員要求求職者提供登錄憑據(jù)信息，一般來說，求職網(wǎng)站的工作人員是不會要求求職者提供登錄信息的，這就好像信封上的地址，它寫的地址并一定代表信就真的是從那里寄出的”。
企業(yè)應(yīng)該使用電子郵件驗(yàn)證系統(tǒng)核實(shí)發(fā)件人的身份，一般采用向顯示的發(fā)件人地址發(fā)送一封郵件以確認(rèn)其真?zhèn)危行┑胤揭呀?jīng)將非法假冒他人電子郵件的做法列為非法行為。
5、員工非法下載電影和音樂
P2P網(wǎng)絡(luò)不會在打壓下消失，在大公司里并不難發(fā)現(xiàn)使用P2P網(wǎng)絡(luò)的員工，他們可能會用它非法下載電影和音樂，還有的人會用來分發(fā)軟件，安全培訓(xùn)公司Security Awareness的CEO Winn Schwartau說：“正常來說，企業(yè)應(yīng)該完全封鎖P2P網(wǎng)絡(luò)，P2P程序應(yīng)該通過企業(yè)服務(wù)器上的黑名單列表和過濾器全部禁行”。
Schwartau說：“紐約一家金融服務(wù)公司的網(wǎng)絡(luò)上開放了所有P2P端口，全天都有P2P程序在運(yùn)行，最后居然發(fā)現(xiàn)公司的一臺服務(wù)器被作為色情文件服務(wù)器了，黑客們很喜歡借用P2P服務(wù)器實(shí)施攻擊或見不得光的犯罪活動，向P2P文件注入惡意代碼對他們來說是小兒科，一旦有人運(yùn)行了被破壞的P2P文件，黑客就在他的電腦上落腳了，如果不幸是公司的電腦，那公司的網(wǎng)絡(luò)就向黑客敞開了大門”。
Schwartau建議實(shí)施資源隔離，這種技術(shù)可以根據(jù)用戶的權(quán)限控制對網(wǎng)絡(luò)資源的訪問，不同的操作系統(tǒng)方法有所不一樣，但在企業(yè)缺乏有效的安全策略或策略得不到有效遵守的情況下，采用這種技術(shù)的價(jià)值還是很大的。
Schwartau建議IT部門應(yīng)定期掃描企業(yè)網(wǎng)絡(luò)和服務(wù)器，查看是否有P2P活動，如果發(fā)現(xiàn)了P2P活動，應(yīng)保持警惕并及時(shí)采取措施加以限制。
6、短信欺詐和惡意軟件感染
智能手機(jī)上的短信是另一個潛在的攻擊點(diǎn)，黑客向目標(biāo)雇員發(fā)送SMS短信，誘使其泄露如登錄憑據(jù)等敏感信息，此外，它們還能利用智能手機(jī)操作系統(tǒng)的漏洞，通過短信直接在手機(jī)上安裝惡意軟件。
Schwartau說：“在我們的實(shí)驗(yàn)中證明，一個rootkit完全可以開啟智能手機(jī)的麥克風(fēng)，但其所有者一點(diǎn)也不知情，攻擊者可以向目標(biāo)手機(jī)發(fā)送一條看不見的短信，告訴它撥打指定電話，并開啟麥克風(fēng)，如果攻擊對象剛好在參加一個重要的會議，這種攻擊的威力就顯得無比強(qiáng)大了，手機(jī)將淪為一個永遠(yuǎn)不會被發(fā)現(xiàn)的竊聽器”。
Schwartau說有許多方法可以過濾SMS活動，但都得依賴于運(yùn)營商，因?yàn)镾MS不是基于IP的，系統(tǒng)要管理員通常拿它沒有辦法，最好的辦法是選擇部署了惡意軟件過濾，SMS過濾和重定向等攻擊過濾的運(yùn)營商。
最后，出臺嚴(yán)厲的管理制度，要求員工使用指定或公司配發(fā)的智能手機(jī)，確保政策得到完美執(zhí)行是減少這類風(fēng)險(xiǎn)的最佳辦法。
當(dāng)然，憑現(xiàn)在的技術(shù)，企業(yè)不可能阻止掉所有的安全攻擊，黑客也會不斷嘗試新的攻擊手段，現(xiàn)在你要做的是盡快堵住本文指出的六個安全漏洞，此外，你還應(yīng)該時(shí)刻關(guān)注最新的惡意軟件活動。
原文名：Six enterprise security leaks you should plug now 作者：John Brandon
【本文乃51CTO精選譯文，轉(zhuǎn)載請務(wù)必標(biāo)明作者和出處！】
【編輯推薦】
