企業(yè)信息安全

社會(huì)學(xué)名詞企業(yè)信息安全01重要性威脅因素發(fā)展過(guò)程我國(guó)現(xiàn)狀分析安全產(chǎn)品目錄030502040607方法技巧十大威脅構(gòu)建安全體系制定方法目錄0908010基本信息國(guó)際、國(guó)內(nèi)對(duì)信息安全的論述大致分為兩大類(lèi)：一類(lèi)是指具體的信息安全技術(shù)系統(tǒng)的安全；另一類(lèi)是指某些特定的信息體系（如銀行系統(tǒng)、軍事指揮系統(tǒng)）的安全。但也有人認(rèn)為這兩種定義也不能完全概括信息安全問(wèn)題?；緝?nèi)容特征特征信息入侵者不管懷有什么用意，采用什么手段，他們都要通過(guò)攻擊信息的4個(gè)安全特征來(lái)達(dá)到目的。這4個(gè)安全特征是：完整性（Integrity）、可用性(Availability)、保密性(Confidentiality)、可控性(Controllability)。在技術(shù)上，信息安全就是保證在客觀上杜絕對(duì)信息的4種特征的安全威脅，使信息的所有者在主觀上對(duì)其信息的本源性放心?；緝?nèi)容信息安全的基本內(nèi)容包括：實(shí)體安全、運(yùn)行安全、信息資產(chǎn)安全和人員安全等內(nèi)容。實(shí)體安全實(shí)體安全是保護(hù)計(jì)算機(jī)設(shè)備、設(shè)施（含網(wǎng)絡(luò)）以及其他媒體免遭地震、水災(zāi)、火災(zāi)、有害氣體和其他環(huán)境事故破壞的措施和過(guò)程。實(shí)際上，實(shí)體安全是指環(huán)境安全、設(shè)備安全和媒體安全。運(yùn)行安全運(yùn)行安全是為了保障系統(tǒng)功能的安全實(shí)現(xiàn)，提供的一套安全措施來(lái)保護(hù)信息處理過(guò)程的安全。為了保障系統(tǒng)功能的安全，可以采取風(fēng)險(xiǎn)分析、審計(jì)跟蹤、備份與恢復(fù)、應(yīng)急處理等措施。信息資產(chǎn)安全信息資產(chǎn)安全是防止信息資產(chǎn)被故意的或偶然的非授權(quán)泄露、更改、破壞或使信息被非法的系統(tǒng)辨識(shí)、控制，即確保信息的完整性、可用性、保密性和可控性。信息資產(chǎn)包括文件、數(shù)據(jù)等。信息資產(chǎn)安全包括操作系統(tǒng)安全、數(shù)據(jù)庫(kù)安全、網(wǎng)絡(luò)安全、病毒防護(hù)、訪問(wèn)控制、加密、鑒別等。發(fā)展過(guò)程定義我國(guó)的發(fā)展作用發(fā)展過(guò)程定義企業(yè)信息化(Enterprisesinformatization)，企業(yè)信息化是指企業(yè)廣泛利用現(xiàn)代信息技術(shù)，充分開(kāi)發(fā)和利用企業(yè)內(nèi)部或外部的，企業(yè)可能得到和利用的，并與企業(yè)生產(chǎn)經(jīng)營(yíng)活動(dòng)有關(guān)的各種信息，以便及時(shí)把握機(jī)會(huì)，做出決策，增進(jìn)運(yùn)行效率，從而提高企業(yè)競(jìng)爭(zhēng)力水平和經(jīng)濟(jì)效益的過(guò)程。作用1、企業(yè)信息化，能提高企業(yè)經(jīng)營(yíng)管理信息的準(zhǔn)確性和及時(shí)性，有助于企業(yè)決策的進(jìn)一步科學(xué)化。2、企業(yè)信息化，能促使企業(yè)業(yè)務(wù)辦事程序和管理程序更加合理，從而有助于增強(qiáng)企業(yè)的快速反應(yīng)能力。3、企業(yè)信息化，能進(jìn)一步促進(jìn)企業(yè)資源的合理組合及利用，使其在現(xiàn)有資源條件下達(dá)到最佳利用效果，從而大大提高企業(yè)的生產(chǎn)經(jīng)營(yíng)效率和管理效率。4、企業(yè)信息化能給企業(yè)提供一個(gè)的強(qiáng)大、快捷的信息交流平臺(tái)，有助于我們緊緊跟蹤一些先進(jìn)經(jīng)驗(yàn)和成果，從而有助企業(yè)的發(fā)展，提高員工的創(chuàng)新能力。我國(guó)的發(fā)展中國(guó)的企業(yè)信息化建設(shè)大致經(jīng)歷了下面四個(gè)階段：（一）準(zhǔn)備階段（1993年以前）1982年10月4日，國(guó)務(wù)院成立了計(jì)算機(jī)與大規(guī)模集成電路領(lǐng)導(dǎo)小組。1984年為了加強(qiáng)對(duì)電子和信息事業(yè)的集中統(tǒng)一領(lǐng)導(dǎo)，有效地推動(dòng)這項(xiàng)工作，國(guó)務(wù)院決定將國(guó)務(wù)院計(jì)算機(jī)與大規(guī)模集成電路領(lǐng)導(dǎo)小組改為國(guó)務(wù)院電子振興領(lǐng)導(dǎo)小組。在“七五”期間，電子振興領(lǐng)導(dǎo)小組重點(diǎn)抓了十二項(xiàng)應(yīng)用系統(tǒng)工程：郵電通信系統(tǒng)、國(guó)家經(jīng)濟(jì)信息系統(tǒng)、銀行業(yè)務(wù)管理系統(tǒng)、電網(wǎng)監(jiān)控系統(tǒng)、京滬鐵路運(yùn)營(yíng)系統(tǒng)、天氣預(yù)報(bào)系統(tǒng)、科技情報(bào)信息系統(tǒng)、民航旅客服務(wù)計(jì)算機(jī)系統(tǒng)、航天實(shí)時(shí)測(cè)控與數(shù)據(jù)處理系統(tǒng)、公安信息系統(tǒng)、財(cái)稅系統(tǒng)、軍事指揮系統(tǒng)，并建立電子信息技術(shù)推廣應(yīng)用貼息貸款，支持應(yīng)用電子信息技術(shù)改造傳統(tǒng)產(chǎn)業(yè)。1986年3月，經(jīng)**同志批準(zhǔn)，投資100億元啟動(dòng)了國(guó)家高技術(shù)研究發(fā)展計(jì)劃，即“863”計(jì)劃。1988年5月，機(jī)電部成立并承擔(dān)電子產(chǎn)業(yè)的任務(wù)。隨后，國(guó)務(wù)院電子振興領(lǐng)導(dǎo)小組辦公室，更名為國(guó)務(wù)院電子信息系統(tǒng)推廣應(yīng)用辦公室。從1988年至1992年，國(guó)家經(jīng)濟(jì)委員會(huì)、機(jī)電部、國(guó)家科委和電子信息技術(shù)推廣應(yīng)用辦公室，在推動(dòng)傳統(tǒng)產(chǎn)業(yè)技術(shù)改造、EDI技術(shù)、CAD/CAM以及MIS等領(lǐng)域，做了大量工作，不斷推動(dòng)電子信息技術(shù)應(yīng)用向縱深發(fā)展。重要性重要性中國(guó)電子信息產(chǎn)業(yè)發(fā)展研究院曾經(jīng)做過(guò)預(yù)測(cè)，針對(duì)中國(guó)中小企業(yè)調(diào)查他們對(duì)信息安全需求，企業(yè)對(duì)于信息安全的認(rèn)知也跨出了一大步，有相當(dāng)一部分的企業(yè)擔(dān)心信息安全問(wèn)題，而網(wǎng)絡(luò)問(wèn)題則是他們關(guān)心的第一位，調(diào)查還顯示只有五分之一的企業(yè)沒(méi)有信息泄密的事實(shí)，卻也足以讓人心驚膽戰(zhàn)。企業(yè)的正常運(yùn)作離不開(kāi)信息資源的支持，包括企業(yè)的經(jīng)營(yíng)計(jì)劃、知識(shí)產(chǎn)權(quán)、生產(chǎn)工藝、流程配方、方案圖紙、客戶資源以及各種重要數(shù)據(jù)等，這些都是企業(yè)全體員工努力拼搏、刻苦鉆研、殫精竭慮、長(zhǎng)期積累下來(lái)的智慧結(jié)晶，是企業(yè)發(fā)展的方向和動(dòng)力，關(guān)乎著企業(yè)的生存與發(fā)展，企業(yè)的重要信息一旦被泄露會(huì)使企業(yè)頓失市場(chǎng)競(jìng)爭(zhēng)優(yōu)勢(shì)，甚至?xí)馐軠珥斨疄?zāi)。因此，企業(yè)要保持健康可持續(xù)性發(fā)展，信息安全是基本的保證之一。隨著網(wǎng)絡(luò)環(huán)境的日益惡化以及企業(yè)自身的發(fā)展伴隨著越來(lái)越多的商業(yè)泄密事件的發(fā)生，信息安全問(wèn)題逐漸被提上議事日程，企業(yè)管理者也逐漸走出以往的誤區(qū)，信息安全建設(shè)成了企業(yè)首要任務(wù)，一些中小企業(yè)也紛紛加入到這個(gè)日益龐大的隊(duì)伍中來(lái)。所以，在不久的將來(lái)，信息安全將更多的被企業(yè)所**，會(huì)有更多的企業(yè)加入到安全行列中來(lái)的，這也是企業(yè)生存和發(fā)展的關(guān)鍵步驟之一。隨著計(jì)算機(jī)技術(shù)的不斷發(fā)展，計(jì)算機(jī)被廣泛地應(yīng)用于各個(gè)領(lǐng)域，如數(shù)值計(jì)算、數(shù)據(jù)處理、輔助設(shè)計(jì)與制造、人工智能、家電產(chǎn)品等。在企業(yè)（包括政府機(jī)關(guān)、事業(yè)單位、生產(chǎn)企業(yè)、商品流通企業(yè)、金融財(cái)稅等）中，利用計(jì)算機(jī)進(jìn)行管理的目的是為了提高工作效率，使企業(yè)管理水平有一個(gè)明顯的提高。我國(guó)現(xiàn)狀分析我國(guó)現(xiàn)狀分析天災(zāi)，也叫“不可抗力”的災(zāi)難，通常指水火無(wú)情的自然災(zāi)害，而在科技越來(lái)越發(fā)達(dá)的今天，企業(yè)可能要面臨另一種“天災(zāi)”，那就是——信息安全威脅。二十世紀(jì)九十年代末出現(xiàn)的Internet標(biāo)志著人類(lèi)社會(huì)已經(jīng)進(jìn)入了信息化時(shí)代，在這個(gè)時(shí)代，越來(lái)越多的人已經(jīng)開(kāi)始離不開(kāi)Internet。由于internet的共享性和對(duì)外開(kāi)外性，如何保證信息安全就成為發(fā)展internet的重要課題。我國(guó)整體的企業(yè)信息安全防護(hù)能力還很不夠，許多應(yīng)用系統(tǒng)還處于不設(shè)防的狀態(tài)或系統(tǒng)安全維護(hù)得很不夠。隨著企業(yè)上網(wǎng)的迅猛發(fā)展，企業(yè)信息安全問(wèn)題變得尤為重要，因?yàn)槠髽I(yè)信息安全問(wèn)題直接關(guān)系到企業(yè)的生存與發(fā)展，確保企業(yè)信息安全、以便企業(yè)不受損失應(yīng)該成為各級(jí)企業(yè)用戶的共識(shí)。

現(xiàn)在許多企業(yè)沒(méi)有意識(shí)到互聯(lián)網(wǎng)的易受攻擊性，盲目相信國(guó)外的加密軟件，對(duì)于系統(tǒng)的訪問(wèn)權(quán)限和密鑰缺乏有力度的管理。這樣的系統(tǒng)一旦受到攻擊將十分脆弱，其中的機(jī)密數(shù)據(jù)得不到應(yīng)有的保護(hù)。據(jù)調(diào)查，目前國(guó)內(nèi)90%的網(wǎng)站存在安全問(wèn)題，其主要原因是企業(yè)管理者缺少或沒(méi)有安全意識(shí)。某些企業(yè)網(wǎng)絡(luò)管理員甚至認(rèn)為其公司規(guī)模較小，不會(huì)成為黑客的攻擊目標(biāo)，如此態(tài)度，企業(yè)信息安全更是無(wú)從談起。當(dāng)企業(yè)的業(yè)務(wù)、管理越來(lái)越多地依賴(lài)網(wǎng)絡(luò)的時(shí)候，決策者們必須意識(shí)到企業(yè)的命運(yùn)已經(jīng)跟信息安全緊緊聯(lián)系在一起。但令人遺憾的是，雖然信息安全將企業(yè)推上死路的例子數(shù)不勝數(shù)，因?yàn)榘踩珕?wèn)題造成的損失紀(jì)錄也不斷刷新，可是信息安全還沒(méi)有被企業(yè)決策者們真正重視起來(lái)。威脅因素威脅因素病毒木馬、黑客攻擊、局域網(wǎng)內(nèi)部ARP、溢出攻擊、內(nèi)部人員故意泄密、內(nèi)部人員無(wú)意泄密、數(shù)據(jù)信息存儲(chǔ)設(shè)備故障、自然災(zāi)害等等。安全產(chǎn)品現(xiàn)代安全產(chǎn)品傳統(tǒng)安全產(chǎn)品安全產(chǎn)品傳統(tǒng)安全產(chǎn)品所謂傳統(tǒng)信息安全產(chǎn)品，就是指那些功能單一型的信息安全產(chǎn)品，他大致包括：用戶身份認(rèn)證，如靜態(tài)密碼、動(dòng)態(tài)密碼（短信密碼、動(dòng)態(tài)口令牌、手機(jī)令牌）、USBKEY、IC卡、數(shù)字證書(shū)、指紋虹膜等。防火墻：即訪問(wèn)控制系統(tǒng)，它在內(nèi)部網(wǎng)絡(luò)與不安全的外部網(wǎng)絡(luò)之間設(shè)置障礙，阻止外界對(duì)內(nèi)部資源的非法訪問(wèn)，防止內(nèi)部對(duì)外部的不安全訪問(wèn)。但它其本身可能存在安全問(wèn)題，也可能會(huì)是一個(gè)潛在的瓶頸。安全路由器：由于WAN連接需要專(zhuān)用的路由器設(shè)備，因而可通過(guò)路由器來(lái)控制網(wǎng)絡(luò)傳輸。通常采用訪問(wèn)控制列表技術(shù)來(lái)控制網(wǎng)絡(luò)信息流。安全服務(wù)器：安全服務(wù)器主要針對(duì)一個(gè)局域網(wǎng)內(nèi)部信息存儲(chǔ)、傳輸?shù)陌踩Ｃ軉?wèn)題，其實(shí)現(xiàn)功能包括對(duì)局域網(wǎng)資源的管理和控制，對(duì)局域網(wǎng)內(nèi)用戶的管理，以及局域網(wǎng)中所有安全相關(guān)事件的審計(jì)和跟蹤。安全管理中心：由于網(wǎng)上的安全產(chǎn)品較多，且分布在不同的位置，這就需要建立一套集中管理的機(jī)制和設(shè)備，即安全管理中心。它用來(lái)給各網(wǎng)絡(luò)安全設(shè)備分發(fā)密鑰，監(jiān)控網(wǎng)絡(luò)安全設(shè)備的運(yùn)行狀態(tài)，負(fù)責(zé)收集網(wǎng)絡(luò)安全設(shè)備的審計(jì)信息等?，F(xiàn)代安全產(chǎn)品其實(shí)任何一種企業(yè)信息化安全產(chǎn)品產(chǎn)品，不論是軟件還是硬件都不可能做到100%的防護(hù)企業(yè)信息化安全，何況新的信息安全隱患也在不斷的出現(xiàn)，這在一定程度上也導(dǎo)致了企業(yè)信息安全產(chǎn)品的局限性。歐美等信息化發(fā)展較早的國(guó)家在2004年前就發(fā)現(xiàn)了這個(gè)問(wèn)題，因此在2000年左右就開(kāi)始著手研發(fā)側(cè)重于信息安全事故應(yīng)急補(bǔ)救，也就是專(zhuān)業(yè)數(shù)據(jù)恢復(fù)和安全數(shù)據(jù)擦除銷(xiāo)毀的信息安全產(chǎn)品，為了與以前的防火墻、殺毒軟件等信息安全產(chǎn)品相區(qū)別，國(guó)際企業(yè)信息安全行業(yè)稱(chēng)這種信息安全產(chǎn)品為“現(xiàn)代企業(yè)信息安全產(chǎn)品”。據(jù)了解，我國(guó)大多數(shù)的數(shù)據(jù)信息安全產(chǎn)品都局限于殺毒軟件、防火墻、備份工具等等這些歐美國(guó)家早在2004年前就已經(jīng)淘汰了的傳統(tǒng)數(shù)據(jù)信息安全產(chǎn)品。這些過(guò)時(shí)產(chǎn)品功能大多只能抵御外部攻擊、簡(jiǎn)單數(shù)據(jù)信息二次存儲(chǔ)等等，對(duì)于內(nèi)部泄密的防范、信息系統(tǒng)的日常維護(hù)、以及數(shù)據(jù)信息安全事故發(fā)生后的補(bǔ)救等都沒(méi)有很好的解決辦法。這些落后的數(shù)據(jù)信息安全產(chǎn)品早已經(jīng)遠(yuǎn)遠(yuǎn)不能適應(yīng)信息化高速發(fā)展時(shí)代數(shù)據(jù)信息安全保障的需求。因此研發(fā)出具有全球頂尖數(shù)據(jù)安全保障技術(shù)的數(shù)據(jù)信息安全保障系統(tǒng)，對(duì)于數(shù)據(jù)信息安全來(lái)說(shuō)就顯得尤為重要。隨著中國(guó)企業(yè)信息化發(fā)展的不斷完善，國(guó)產(chǎn)企業(yè)信息安全產(chǎn)品的研發(fā)也進(jìn)入了現(xiàn)代企業(yè)信息安全產(chǎn)品階段，其中代表作就是國(guó)家高新技術(shù)企業(yè)效率源科技的數(shù)據(jù)信息安全保障系統(tǒng)SD-DSM，他將數(shù)據(jù)信息安全防御、數(shù)據(jù)信息安全日常監(jiān)管、數(shù)據(jù)信息安全事故應(yīng)急補(bǔ)救融為一體，可以徹底排查數(shù)據(jù)信息安全隱患，為單位的數(shù)據(jù)信息系統(tǒng)提供全程、全方位的數(shù)據(jù)信息安全保障。方法技巧正確配置打破壁壘過(guò)程自動(dòng)化減少?gòu)?fù)雜性反思網(wǎng)絡(luò)安全12345方法技巧正確配置多數(shù)防火墻損害是由于其錯(cuò)誤配置造成的，而不是由防火墻的缺陷造成的。這至少說(shuō)明一點(diǎn)，保障安全設(shè)備的正確配置很有意義。在防御自己的網(wǎng)絡(luò)時(shí)，實(shí)施恰當(dāng)?shù)陌踩ぞ吆筒呗允呛苤匾?。因而，如果企業(yè)的設(shè)備過(guò)期了，遺漏了關(guān)鍵的補(bǔ)丁或沒(méi)有配置，企業(yè)網(wǎng)絡(luò)遭受暴露的可能性就很大了。有人也許會(huì)說(shuō)，我擁有強(qiáng)健的防火墻規(guī)則，我的網(wǎng)絡(luò)固若金湯。但是，如果路由器運(yùn)行在一個(gè)有嚴(yán)重漏洞的老操作系統(tǒng)上，其中的安全漏洞隨時(shí)可被利用，這不是相當(dāng)于摟著一顆隨時(shí)有可能發(fā)生爆炸的定時(shí)炸彈嗎?打破壁壘企業(yè)的低效安全是企業(yè)文化問(wèn)題的一個(gè)癥狀。IT和IT運(yùn)營(yíng)團(tuán)隊(duì)都要為管理、支持、保障越來(lái)越復(fù)雜的網(wǎng)絡(luò)環(huán)境負(fù)責(zé)，并呼吁更多的資源參與到安全工作中。隨著工作日益增多，每一個(gè)部門(mén)都非常重視自己的業(yè)務(wù)應(yīng)用，復(fù)雜的連通性需求也牽涉到多個(gè)方面，如應(yīng)用程序的所有者和防火墻的管理員等。企業(yè)應(yīng)當(dāng)考慮打破無(wú)形的壁壘，讓有關(guān)各方都能夠相互有效交流，在不影響工作效率的前提下改善安全性。過(guò)程自動(dòng)化如果你解決了上述兩個(gè)問(wèn)題，就需要自動(dòng)化來(lái)強(qiáng)化安全和運(yùn)營(yíng)了。許多企業(yè)認(rèn)為，在管理網(wǎng)絡(luò)安全設(shè)備時(shí)，耗時(shí)過(guò)多、手工操作、易于出錯(cuò)等是最大的困難。如果讓人工去發(fā)現(xiàn)由于某個(gè)變化而影響的防火墻規(guī)則，這是相當(dāng)耗時(shí)且易于出錯(cuò)的。企業(yè)不妨借助自動(dòng)化技術(shù)來(lái)保障準(zhǔn)確性，減少風(fēng)險(xiǎn)，極大地減少處理變化時(shí)所花費(fèi)的時(shí)間。這時(shí)，IT就可以更快捷地應(yīng)對(duì)變化的業(yè)務(wù)需求。減少?gòu)?fù)雜性企業(yè)IT環(huán)境中往往有多種設(shè)備和策略都與關(guān)鍵業(yè)務(wù)應(yīng)用緊密聯(lián)系，因而在保障網(wǎng)絡(luò)、應(yīng)用程序、信息安全時(shí)，往往存在諸多困難。而且通常一種設(shè)備、策略或應(yīng)用對(duì)另一種設(shè)備或策略、應(yīng)用的影響并不明顯。例如，如果安全策略發(fā)生了變化，那么它對(duì)維持企業(yè)運(yùn)行的關(guān)鍵業(yè)務(wù)應(yīng)用會(huì)產(chǎn)生怎樣的影響?反過(guò)來(lái)也是一樣，如果應(yīng)用程序發(fā)生了變化，對(duì)安全策略和網(wǎng)絡(luò)會(huì)有影響嗎?這不僅是一個(gè)安全問(wèn)題(應(yīng)當(dāng)移除與退役應(yīng)用程序相關(guān)的不再使用的規(guī)則)，而且還是一個(gè)保障業(yè)務(wù)高效運(yùn)行的問(wèn)題。反思網(wǎng)絡(luò)安全上述標(biāo)題是什么意思？在規(guī)劃防御時(shí)，根據(jù)一個(gè)干凈的沒(méi)有遭受損害的網(wǎng)絡(luò)來(lái)制定計(jì)劃也為了一種標(biāo)準(zhǔn)。但是，如今惡意軟件深藏不露，針對(duì)性攻擊日益強(qiáng)烈，而且網(wǎng)絡(luò)越來(lái)越開(kāi)放，上述標(biāo)準(zhǔn)就成為了一種錯(cuò)誤的假設(shè)。反思網(wǎng)絡(luò)安全意味著IT要從一種不同的假設(shè)開(kāi)始，要假定自己已經(jīng)遭受了黑客攻擊。IT應(yīng)當(dāng)重新規(guī)劃企業(yè)防御，只有這樣才能使安全狀況煥然一新。

構(gòu)建安全體系安全體系安全技術(shù)演變構(gòu)建安全體系安全技術(shù)演變?cè)陉P(guān)于企業(yè)信息安全的報(bào)告中，專(zhuān)家們都期望著信息安全能夠隨著近幾年來(lái)幾項(xiàng)截然不同的技術(shù)的不斷發(fā)展，而得到進(jìn)步。這幾項(xiàng)技術(shù)所包含的元素毫不相干，例如，Web應(yīng)用防火墻，應(yīng)用程序安全測(cè)試解決方案，數(shù)據(jù)庫(kù)活動(dòng)監(jiān)測(cè)（DAM），數(shù)據(jù)標(biāo)記以及身份管理等等。對(duì)于如何整合這些完全不同的技術(shù)以及來(lái)自于他們的數(shù)據(jù)就成了一個(gè)關(guān)鍵性的需求。根據(jù)一位ESI的一位分析師的觀點(diǎn)，當(dāng)前這些互不相干的數(shù)據(jù)安全技術(shù)，實(shí)際上限制了安全分析系統(tǒng)來(lái)獲得監(jiān)控日志并取得報(bào)告，缺乏必要的數(shù)據(jù)管理，分析以及規(guī)劃的能力。而當(dāng)前確有很多企業(yè)采用這些獨(dú)立的安全技術(shù)，由于很多獨(dú)立的產(chǎn)品之間并不能很好的協(xié)作，這實(shí)際上是對(duì)追求完整的企業(yè)信息安全體系是一種阻礙。而且從另一方面來(lái)講，獲得安全信息并不意味著只是收集安全日志，你還需要了解到你的敏感數(shù)據(jù)在哪，數(shù)據(jù)的內(nèi)容是什么。在2014年的四月，得克薩斯州審計(jì)辦公室曾經(jīng)發(fā)生一起數(shù)據(jù)泄露事件，大約350萬(wàn)人的姓名、社會(huì)安全號(hào)碼和郵寄地址，另外還有一些人的出生日期和駕駛執(zhí)照號(hào)碼在網(wǎng)上被公開(kāi)泄露。正是由于得克薩斯州審計(jì)辦公室的一臺(tái)沒(méi)有加密的誰(shuí)都可以訪問(wèn)的服務(wù)器，得克薩斯州三個(gè)政府機(jī)構(gòu)的數(shù)據(jù)庫(kù)所收集的敏感信息被泄密了將近整整一年，這三個(gè)政府機(jī)構(gòu)是得克薩斯州教師退休中心、得克薩斯州勞動(dòng)力委員會(huì)和得克薩斯州雇員退休系統(tǒng)。據(jù)稱(chēng)負(fù)責(zé)把數(shù)據(jù)發(fā)布到網(wǎng)上的幾個(gè)員工違反了部門(mén)的工作程序，這起泄密事件披露后已被開(kāi)除。安全體系如果不安裝技術(shù)性的監(jiān)控解決方案來(lái)認(rèn)真執(zhí)行程序，那么就沒(méi)有太大意義。員工能夠?qū)?shù)據(jù)庫(kù)信息置于如此不堪一擊的險(xiǎn)境，證明要是整個(gè)安全體系的規(guī)則沒(méi)有采取"強(qiáng)制實(shí)施的有效手段"，會(huì)給企業(yè)帶來(lái)多大的風(fēng)險(xiǎn)。得克薩斯州因這起泄密事件而面臨兩起集體訴訟，其中一起要求對(duì)該州判以向每個(gè)受影響的人賠償1000美元的賠償處罰，考慮到這起事件影響到數(shù)百萬(wàn)人，這筆費(fèi)用無(wú)疑如同天文數(shù)字。因此，一個(gè)真正全面的安全體系，還要考慮到執(zhí)行程序的員工的角色以及職責(zé)。例如，如果某個(gè)雇員可以接觸到實(shí)際的客戶數(shù)據(jù)，那么他會(huì)不會(huì)利用工作之便取得這些數(shù)據(jù)，這是一個(gè)不得不考慮的問(wèn)題。而采用一套合理的規(guī)則就成了防范此類(lèi)時(shí)間發(fā)生的關(guān)鍵，例如，對(duì)那些可以接觸到客戶數(shù)據(jù)的員工強(qiáng)制執(zhí)行“最低權(quán)限”可以有效的防止發(fā)生員工數(shù)據(jù)泄露事件，因?yàn)闊o(wú)論是誰(shuí)，都可能因?yàn)樨澙坊蛘咂渌颢@得企業(yè)的數(shù)據(jù)?？梢钥隙ǖ氖牵@些數(shù)據(jù)所能驅(qū)動(dòng)的商業(yè)價(jià)值是肯定要遠(yuǎn)遠(yuǎn)超出部署安全體系所花費(fèi)的成本的。廠商通過(guò)分析數(shù)據(jù)來(lái)做出更好的商業(yè)決策就是一個(gè)很明顯的證據(jù)。就像商業(yè)情報(bào)提供商可以通過(guò)軟件來(lái)讓一家保險(xiǎn)公司利用客戶數(shù)據(jù)來(lái)取得更好的決策一樣，數(shù)據(jù)安全提供商也可以通過(guò)幫助企業(yè)保護(hù)他們的關(guān)鍵性數(shù)據(jù)來(lái)使企業(yè)充分利用這些數(shù)據(jù)做出最有利的決策，從而促進(jìn)整個(gè)企業(yè)的發(fā)展。

十大威脅DDoS攻擊舊版本瀏覽器不良網(wǎng)站移動(dòng)應(yīng)用程序SQL注入證書(shū)的危害010302040506十大威脅跨站腳本問(wèn)題“物聯(lián)網(wǎng)”漏洞情報(bào)機(jī)器人新技術(shù)舊問(wèn)題十大威脅DDoS攻擊IT專(zhuān)家認(rèn)為分布式拒絕服務(wù)攻擊就是：大量數(shù)據(jù)包涌入受害者的網(wǎng)絡(luò)，讓有效請(qǐng)求無(wú)法通過(guò)。但這只是最基本的DDoS攻擊形式，防御方面的改進(jìn)已經(jīng)迫使攻擊者改變了他們的攻擊方式。DDoS攻擊使用的數(shù)據(jù)包越來(lái)越多，攻擊流量最多達(dá)到100Gbps。攻擊者還開(kāi)始針對(duì)基礎(chǔ)設(shè)施的其他部分，其中企業(yè)域名服務(wù)的服務(wù)器的攻擊者最喜歡的目標(biāo)。因?yàn)楫?dāng)攻擊者成功攻擊DNS服務(wù)器后，客戶將無(wú)法訪問(wèn)企業(yè)的服務(wù)。大規(guī)模DDoS攻擊通常會(huì)采用“低且慢”的攻擊，這種攻擊使用特制的請(qǐng)求來(lái)讓web應(yīng)用程序或設(shè)備來(lái)處理特定的服務(wù)，以快速消耗處理和內(nèi)存資源。這種應(yīng)用層攻擊占所有攻擊的四分之一。此外，攻擊者還會(huì)尋找目標(biāo)網(wǎng)站的網(wǎng)址，然后呼叫該網(wǎng)站的后端數(shù)據(jù)庫(kù)，對(duì)這些網(wǎng)頁(yè)的頻繁呼叫將很快消耗掉網(wǎng)站的資源。在速度慢的攻擊中，路由器將崩潰，因此，企業(yè)無(wú)法使用設(shè)備來(lái)阻止不好的流量。這些攻擊還可以通過(guò)云DDoS防護(hù)服務(wù)。企業(yè)應(yīng)該采用混合的方法，使用web應(yīng)用程序防火墻、網(wǎng)絡(luò)安全設(shè)備和內(nèi)容分發(fā)網(wǎng)絡(luò)來(lái)建立一個(gè)多層次的防御，以盡可能早地篩選出不需要的流量。舊版本瀏覽器每年涉及數(shù)百萬(wàn)美元的銀行賬戶欺詐網(wǎng)絡(luò)攻擊都是利用瀏覽器漏洞，更常見(jiàn)的是，利用處理Oracle的Java和Adobe的Flash及Reader的瀏覽器插件。漏洞利用工具包匯聚了十幾個(gè)針對(duì)各種易受攻擊組件的漏洞利用，如果企業(yè)沒(méi)有及時(shí)更新，攻擊者將通過(guò)這種工具包迅速侵入企業(yè)的系統(tǒng)。例如，最新版本的Blackhole漏洞利用工具包包含7個(gè)針對(duì)Java瀏覽器插件的漏洞利用，5個(gè)針對(duì)AdobePDFReader插件，2個(gè)針對(duì)Flash。企業(yè)應(yīng)該特別注意Oracle的Java插件，因?yàn)镴ava被廣泛部署，但卻鮮少修復(fù)。企業(yè)應(yīng)該利用補(bǔ)丁修復(fù)管理產(chǎn)品來(lái)阻止這種漏洞利用攻擊。不良網(wǎng)站知名的合法網(wǎng)站開(kāi)始成為攻擊者的目標(biāo)，因?yàn)楣粽呖梢岳糜脩魧?duì)這些網(wǎng)站的信任。企業(yè)不可能阻止員工訪問(wèn)這些知名網(wǎng)站，并且企業(yè)的技術(shù)防御總是不夠。還有另一種更陰險(xiǎn)的攻擊--惡意廣告攻擊，這種攻擊將惡意內(nèi)容插入廣告網(wǎng)絡(luò)中，惡意廣告可能只是偶爾出現(xiàn)在廣告跳轉(zhuǎn)中，這使這種攻擊很難察覺(jué)。同樣的，企業(yè)應(yīng)該采用多層次的防御方法，例如，安全代理服務(wù)器結(jié)合員工計(jì)算機(jī)上的反惡意軟件保護(hù)來(lái)阻止已知威脅的執(zhí)行。移動(dòng)應(yīng)用程序BYOD趨勢(shì)導(dǎo)致企業(yè)內(nèi)消費(fèi)者設(shè)備激增，但移動(dòng)應(yīng)用程序安全性很差，這使企業(yè)數(shù)據(jù)處于危險(xiǎn)之中。60%的移動(dòng)應(yīng)用程序從設(shè)備獲取獨(dú)特的硬件信息并通過(guò)網(wǎng)絡(luò)接口傳出去，更糟糕的是，10%的應(yīng)用程序沒(méi)有安全地傳輸用戶的登錄憑證。此外，支持很多移動(dòng)應(yīng)用的Web服務(wù)也很不安全。由于用戶不喜歡輸入密碼來(lái)使用移動(dòng)設(shè)備上的服務(wù)，移動(dòng)應(yīng)用經(jīng)常使用沒(méi)有過(guò)期的會(huì)話令牌。而攻擊者可以在熱點(diǎn)嗅探流量并獲取這些令牌，從而訪問(wèn)用戶的賬戶。企業(yè)很難限制員工使用的應(yīng)用程序，但企業(yè)可以限制員工放到其設(shè)備的數(shù)據(jù)以及限制進(jìn)入企業(yè)的設(shè)備。SQL注入對(duì)于SQL注入攻擊，最簡(jiǎn)單的辦法就是檢查所有用戶提供的輸入，以確保其有效性。企業(yè)在修復(fù)SQL漏洞時(shí)，通常專(zhuān)注于他們的主要網(wǎng)站，而忽視了其他連接的網(wǎng)站，例如遠(yuǎn)程協(xié)作系統(tǒng)等。攻擊者可以利用這些網(wǎng)站來(lái)感染員工的系統(tǒng)，然后侵入內(nèi)部網(wǎng)絡(luò)。為了減少SQL注入問(wèn)題的風(fēng)險(xiǎn)，企業(yè)應(yīng)該選擇自己的軟件開(kāi)發(fā)框架，只要開(kāi)發(fā)人員堅(jiān)持按照該框架來(lái)編程，并保持更新，他們將創(chuàng)造出安全的代碼。證書(shū)的危害企業(yè)不能盲目地信任證書(shū)，攻擊者可能使用偷來(lái)的證書(shū)創(chuàng)建假的網(wǎng)站和服務(wù)，或者使用這些證書(shū)來(lái)簽署惡意代碼，使這些代碼看起來(lái)合法。此外，糟糕的證書(shū)管理也會(huì)讓企業(yè)付出巨大的代價(jià)。企業(yè)應(yīng)該跟蹤證書(shū)使用情況，并及時(shí)撤銷(xiāo)問(wèn)題證書(shū)。跨站腳本問(wèn)題跨站腳本利用了瀏覽器對(duì)網(wǎng)站的信任，代碼安全公司Veracode發(fā)現(xiàn)，超過(guò)70%的應(yīng)用程序包含跨站腳本漏洞，這是影響商業(yè)開(kāi)源和內(nèi)部開(kāi)發(fā)軟件的首要漏洞問(wèn)題。企業(yè)可以利用自動(dòng)代碼檢查工具來(lái)檢測(cè)跨站腳本問(wèn)題，企業(yè)還應(yīng)該修改其開(kāi)發(fā)流程，在將程序投入生產(chǎn)環(huán)境之前，檢查程序的漏洞問(wèn)題?！拔锫?lián)網(wǎng)”漏洞在物聯(lián)網(wǎng)中，路由器、打印機(jī)、門(mén)鎖等一切事物都通過(guò)互聯(lián)網(wǎng)連接，在很多情況下，這些設(shè)備使用的是較舊版本的軟件，而這通常很難更新。攻擊者很容易利用這些設(shè)備來(lái)侵入企業(yè)內(nèi)部網(wǎng)絡(luò)。企業(yè)應(yīng)該及時(shí)發(fā)現(xiàn)和禁用其環(huán)境中任何UPnP端點(diǎn)，并通過(guò)有效的工具來(lái)發(fā)現(xiàn)易受攻擊的設(shè)備。情報(bào)機(jī)器人并非所有攻擊的目的都是攻擊企業(yè)的防御系統(tǒng)。自動(dòng)web機(jī)器人可以收集你網(wǎng)頁(yè)中的信息，從而讓你的競(jìng)爭(zhēng)對(duì)手更了解你的情況，但這并不會(huì)破壞你的網(wǎng)絡(luò)。企業(yè)可以利用web應(yīng)用程序防火墻服務(wù)來(lái)判斷哪些流量連接到良好的搜索索引機(jī)器人，而哪些連接到競(jìng)爭(zhēng)對(duì)手的市場(chǎng)情報(bào)機(jī)器人或者假的谷歌機(jī)器人。這些服務(wù)可以防止企業(yè)信息流到競(jìng)爭(zhēng)對(duì)手。新技術(shù)舊問(wèn)題不同企業(yè)可能會(huì)遇到不同的威脅，有網(wǎng)上業(yè)務(wù)的企業(yè)可能會(huì)有SQL注入和HTML5問(wèn)題，有很多遠(yuǎn)程辦公人員的企業(yè)可能會(huì)有移動(dòng)問(wèn)題。企業(yè)不應(yīng)該試圖將每一種威脅降到最低，而應(yīng)該專(zhuān)注于最常被利用的漏洞，并解決漏洞問(wèn)題。同時(shí)，培養(yǎng)開(kāi)