[企業(yè)管理專題]企業(yè)中網(wǎng)絡(luò)管理常犯的十個(gè)問題
2012-07-03 12:32:57 訪問：
【內(nèi)容導(dǎo)讀】
很多企業(yè)會(huì)存在一些安全漏洞，這些安全漏洞頻繁發(fā)作的原因竟然是網(wǎng)絡(luò)管理者們忘掉了使用一些簡(jiǎn)單的防護(hù)措施，尤其是對(duì)那些非關(guān)鍵的服務(wù)器，詳細(xì)了解這些細(xì)節(jié)，讓管理更加細(xì)化。
仔細(xì)觀察一下那些最嚴(yán)重的企業(yè)安全漏洞，你會(huì)發(fā)現(xiàn)網(wǎng)絡(luò)主管們很明顯在一遍又一遍的犯著同樣的錯(cuò)誤，而且這些錯(cuò)誤都是很容易避免的。
2008年，Verizon Business對(duì)代表了2億8500萬次入侵記錄的90種安全漏洞進(jìn)行了分析，其中大多數(shù)有組織的入侵事件都上了新聞?lì)^條。這些犯罪活動(dòng)遍布網(wǎng)絡(luò)，竊取信用卡數(shù)據(jù)、社會(huì)保險(xiǎn)號(hào)碼或其他私人的身份信息。
但令人驚訝的是，這些安全漏洞頻繁發(fā)作的原因竟然是網(wǎng)絡(luò)管理者們忘掉了使用一些簡(jiǎn)單的防護(hù)措施，尤其是對(duì)那些非關(guān)鍵的服務(wù)器。
“我們只是沒有做到最基礎(chǔ)的工作，”從事安全漏洞審計(jì)工作已有18年之久的Verizon Business創(chuàng)新與技術(shù)副總裁Peter Tippett這樣說。他幫助我們整理了一份錯(cuò)誤操作的清單，列出了最容易出現(xiàn)的十項(xiàng)錯(cuò)誤，只要你能夠照著清單來改正錯(cuò)誤，那么絕大多數(shù)的安全漏洞將不會(huì)影響到你。
1. 沒有更改所有網(wǎng)絡(luò)設(shè)備的默認(rèn)密碼
Tippett說，有些企業(yè)的服務(wù)器、交換機(jī)、路由或者網(wǎng)絡(luò)設(shè)備一直在使用默認(rèn)密碼，而且這種情況常見的“難以置信”，那些通常設(shè)置為“password”或者“admin”的默認(rèn)密碼仍然大量被使用。大多數(shù)CIO們都自以為這個(gè)問題絕不會(huì)在他們的公司出現(xiàn)，但是Tippett說他每天都會(huì)看到它發(fā)生。
為了避免這個(gè)問題，你需要對(duì)每臺(tái)占用IP地址網(wǎng)絡(luò)設(shè)備都進(jìn)行漏洞掃描，而不僅僅對(duì)那些關(guān)鍵的設(shè)備或者上網(wǎng)的系統(tǒng)，然后你需要更改它們的默認(rèn)密碼。Verizon Business的研究報(bào)告發(fā)現(xiàn)，去年的入侵統(tǒng)計(jì)中有超過一半是因?yàn)榫W(wǎng)絡(luò)設(shè)備使用默認(rèn)密碼造成的。51CTO編者注：想了解如何擺脫默認(rèn)密碼困擾，請(qǐng)看細(xì)節(jié)決定安全 杜絕網(wǎng)絡(luò)設(shè)備“默認(rèn)”設(shè)置。
2. 多個(gè)網(wǎng)絡(luò)設(shè)備共享同一個(gè)密碼
IT部門經(jīng)常在多臺(tái)服務(wù)器中使用相同的密碼，而且有不少人知道這個(gè)密碼。即使這個(gè)密碼的強(qiáng)度可能足夠，但是一旦在多個(gè)系統(tǒng)之間共享，這幾個(gè)系統(tǒng)就都處于危險(xiǎn)之中。
例如，一個(gè)人知道密碼的員工可能會(huì)離開公司，在新公司他可能也會(huì)使用相同的密碼。或者比如你把一些非關(guān)鍵系統(tǒng)比如數(shù)據(jù)中心的制冷系統(tǒng)外包給了某公司，而他們就有可能使用他們經(jīng)常使用的密碼。在任何一種情況下，如果密碼被黑客破解，他們就能夠入侵更多臺(tái)服務(wù)器，造成更大的傷害。
3. 沒有發(fā)現(xiàn)SQL代碼錯(cuò)誤
最常見的一種黑客攻擊就是針對(duì)連接網(wǎng)絡(luò)服務(wù)器的SQL數(shù)據(jù)庫，據(jù)統(tǒng)計(jì)占到了入侵記錄的79%。黑客的攻擊方法是在Web表格中鍵入SQL命令行。而如果Web表格的編碼正確，它不應(yīng)該接受SQL命令行。但有時(shí)開發(fā)者會(huì)犯錯(cuò)，讓SQL注入攻擊有機(jī)可乘。
Tippett說，阻止錯(cuò)誤發(fā)生的最簡(jiǎn)單方法是在學(xué)習(xí)(learn)模式中運(yùn)行應(yīng)用防火墻，觀察用戶是怎樣在field中輸入數(shù)據(jù)，然后在運(yùn)行(operate)模式下設(shè)置防火墻，這樣SQL命令就不會(huì)被注入field中。SQL代碼問題非常普遍。如果測(cè)試100臺(tái)服務(wù)器，可能有90臺(tái)服務(wù)器都會(huì)發(fā)現(xiàn)存在SQL注入問題。企業(yè)經(jīng)常只注意關(guān)鍵服務(wù)器，而忘記了大多數(shù)黑客是通過非關(guān)鍵系統(tǒng)入侵網(wǎng)絡(luò)的。
4. 沒有正確配置訪問控制清單
使用訪問控制清單來分割網(wǎng)絡(luò)，這是確保你的系統(tǒng)只和它們需要的對(duì)象相連接的最簡(jiǎn)單方法。例如，如果你允許合作伙伴通過你的VPN(Virtual Private Network，虛擬專用網(wǎng)絡(luò))來訪問兩臺(tái)服務(wù)器，你應(yīng)該使用訪問控制清單來確保合作伙伴只能訪問這兩臺(tái)服務(wù)器。這樣即使有黑客通過開放的VPN入口入侵了你的網(wǎng)絡(luò)，他也只能得到這兩臺(tái)服務(wù)器上的數(shù)據(jù)。
“罪犯?jìng)兘?jīng)常會(huì)通過VPN入侵網(wǎng)絡(luò)，并且能夠得到所有權(quán)限， Verizon的報(bào)告顯示，如果正確配置了訪問控制清單，那么去年的入侵事件中將有66%得到保護(hù)。CIO們不采取這種簡(jiǎn)單措施的原因是要將路由作為防火墻，許多網(wǎng)絡(luò)管理者也不想這樣做。
5. 允許不安全的遠(yuǎn)程訪問和管理軟件
黑客入侵網(wǎng)絡(luò)的最常用手段之一是利用遠(yuǎn)程訪問和管理軟件包，比如PCAnywhere、Virtual Network Computing(VNC)或者Secure Shell(SSH)。這些軟件通常都缺乏最基本的安全防護(hù)措施，比如密碼就不夠強(qiáng)大。
發(fā)現(xiàn)這種問題的最簡(jiǎn)單方法是對(duì)整個(gè)IT地址空間進(jìn)行外部掃描，尋找PCAnywhere、VNC或者SSH的流量。一旦你發(fā)現(xiàn)了這些軟件，要對(duì)它們部署額外的安全措施，比如在密碼之外另加證書等方式。另一種方法是掃描外部路由器的Netflow數(shù)據(jù)，查找網(wǎng)絡(luò)內(nèi)是否存在遠(yuǎn)程訪問管理操作的流量。
這個(gè)問題非常普遍，在Verizon Business報(bào)告的入侵統(tǒng)計(jì)中占到了27%。
6. 沒有測(cè)試非關(guān)鍵應(yīng)用的基本漏洞
根據(jù)Verizon Business的報(bào)告，將近80%的黑客攻擊是因?yàn)閃eb應(yīng)用存在安全漏洞。網(wǎng)絡(luò)管理者們也知道最大的弱點(diǎn)就在于Web應(yīng)用，因此他們不遺余力的測(cè)試關(guān)鍵的應(yīng)用和面向互聯(lián)網(wǎng)的系統(tǒng)。
但問題是黑客攻擊的卻是那些網(wǎng)絡(luò)內(nèi)部的非關(guān)鍵系統(tǒng)的安全漏洞。主要問題是我們瘋狂的測(cè)試那些關(guān)鍵的Web應(yīng)用，卻忽視了那些非關(guān)鍵的應(yīng)用。建議網(wǎng)絡(luò)管理者應(yīng)該對(duì)所有應(yīng)用的基本漏洞都進(jìn)行測(cè)試。
7. 沒有充分保護(hù)服務(wù)器遠(yuǎn)離惡意軟件
Verizon Business的報(bào)告說服務(wù)器上的惡意軟件占到了所有安全漏洞的38%。大多數(shù)惡意軟件是被遠(yuǎn)程攻擊者安裝的，用來捕獲數(shù)據(jù)。某些惡意軟件可以自定義，因此防病毒軟件無法識(shí)別。對(duì)于網(wǎng)絡(luò)管理者來說，一種在服務(wù)器上查找惡意軟件比如木馬或間諜軟件的方法是在每臺(tái)服務(wù)器上本地運(yùn)行入侵檢測(cè)系統(tǒng)軟件，當(dāng)然不僅僅是針對(duì)關(guān)鍵服務(wù)器。
8. 沒有讓路由禁止不必要的外部流量
惡意軟件的一種常用做法是在服務(wù)器上安裝后門或命令外殼。有一種阻止它們的方法是使用訪問控制清單分割網(wǎng)絡(luò)。這種方法可以阻止服務(wù)器發(fā)送不該發(fā)送的流量。例如，電子郵件服務(wù)器應(yīng)該只發(fā)送郵件流量，而不是SSH流量。另一種辦法是讓路由默認(rèn)拒絕出口過濾，阻止所有出站流量，除了那些你安排離開的。
9. 不知道信用卡或其他關(guān)鍵用戶數(shù)據(jù)存儲(chǔ)在哪里
大多數(shù)企業(yè)自認(rèn)為他們知道關(guān)鍵數(shù)據(jù)比如信用卡信息、社會(huì)保險(xiǎn)號(hào)碼或者其他私人身份信息等等的存儲(chǔ)位置，他們對(duì)這些服務(wù)器設(shè)置最高級(jí)別的安全防御措施。但是往往這些數(shù)據(jù)還會(huì)存儲(chǔ)在網(wǎng)絡(luò)的其它地方，比如備份站點(diǎn)或者軟件開發(fā)部門。
這些第二等級(jí)的非關(guān)鍵服務(wù)器經(jīng)常遭到攻擊，導(dǎo)致絕大多數(shù)的數(shù)據(jù)泄露。查找關(guān)鍵數(shù)據(jù)存儲(chǔ)位置的一種簡(jiǎn)單方法是進(jìn)行網(wǎng)絡(luò)探測(cè)。
10. 沒有遵守支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)
支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)(PCI DSS)為保護(hù)持卡人信息設(shè)置了12條控制條款，Tippett說，“然而大多數(shù)用戶甚至沒有試著去達(dá)到PCI標(biāo)準(zhǔn)。”有時(shí)，企業(yè)會(huì)遵循這些標(biāo)準(zhǔn)來管理他們已知的存儲(chǔ)信用卡數(shù)據(jù)的服務(wù)器，但對(duì)其他未知的服務(wù)器卻無法控制。
Verizon Business的報(bào)告顯示，盡管入侵記錄中有98%涉及到盜取支付卡數(shù)據(jù)，但是這些遭受入侵的企業(yè)中僅有19%遵守了PCI標(biāo)準(zhǔn)。再解鎖，然后安裝新軟件，然后再重新鎖定。”
