搜索

[18460] 2019-01-04_企业安全体系建设之路之系统安全篇

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2019-01-04_企业安全体系建设之路之系统安全篇 企 业 安 全 体 系 建 设 之 路 之 系 统 安 全 篇 m o s i n   H A C K 学 习 呀   2 0 1 9 - 0 1 - 0 4 概 述 概 述 : 企 业 的 信 息 安 全 体 系 的 建 设 都 是 大 同 小 异 ， 只 有 把 握 好 了 风 险 控 制 点 ， 一 个 企 业 的 信 息 安 全 完 全 可 以 做 到 相 对 安 全 ， 至 少 能 够 防 止 9 0 % 以 上 的 网 络 攻 击 ， 其 他 的 0 d a y 漏 洞 或 者 新 型 的 攻 击 手 法 包 括 在 1 0 % 以 内 ， 这 1 0 % 就 需 要 重 点 监 控 防 御 。 一 般 来 说 ， 一 个 企 业 想 要 防 御 好 外 部 或 者 内 部 的 攻 击 ， 首 先 企 业 是 想 要 搞 好 安 全 的 ， 否 则 就 算 是 给 了 你 最 好 的 团 队 ， 那 也 是 浪 费 资 源 。 安 全 在 于 意 识 和 防 御 ， 有 了 出 发 点 ， 那 么 一 切 都 顺 理 成 章 。 安 全 这 个 行 业 待 得 久 了 ， 就 会 发 现 路 越 来 越 难 走 ， 曾 经 的 技 术 氛 围 渐 渐 不 在 ， 搞 安 全 的 也 渐 渐 转 行 ， 当 激 情 不 在 ， 我 们 还 剩 下 什 么 ？ 到 底 我 们 在 追 寻 什 么 ？ 安 全 圈 浮 躁 的 人 太 多 ， 愿 初 心 不 变 吧 。 写 这 篇 文 章 呢 ， 一 是 想 把 自 己 的 经 验 做 个 总 结 ， 二 是 想 用 笔 者 的 经 验 给 企 业 一 点 建 议 和 分 享 。 安 全 不 是 盲 目 的 ， 而 是 有 计 划 ， 有 手 段 的 。 攻 击 者 一 般 的 手 段 也 就 那 么 几 样 ， 即 使 再 怎 么 变 ， 也 是 万 变 不 离 其 中 ， 至 少 这 么 多 年 没 怎 么 变 过 ， 未 来 可 能 稍 微 会 转 变 方 向 ， 但 只 要 掌 握 了 它 其 中 的 变 化 基 础 ， 就 掌 握 了 其 攻 击 防 御 的 命 门 。 由 于 笔 者 技 术 水 平 问 题 ， 可 能 文 中 会 有 遗 漏 或 不 正 确 地 方 ， 还 望 批 评 指 出 。 全 文 分 5 个 篇 ， 5 个 部 分 ， 详 细 的 介 绍 了 企 业 当 前 面 临 的 各 个 风 险 点 ， 从 信 息 安 全 的 几 个 大 点 重 点 描 述 企 业 安 全 体 系 建 设 ， 一 个 企 业 再 大 ， 只 要 规 划 合 理 ， 安 全 管 理 结 构 清 晰 ， 那 么 安 全 建 设 和 保 障 就 不 会 再 是 难 事 。 文 中 有 些 部 分 可 能 不 适 用 于 较 小 企 业 ， 因 为 防 御 成 本 的 问 题 嘛 ！ 其 他 国 家 级 的 等 保 体 系 不 在 讨 论 范 围 内 ， 毕 竟 对 于 一 般 企 业 来 说 ， 也 不 适 用 。 目 录 ： 系 统 安 全 建 设 篇 网 络 安 全 建 设 篇 产 品 安 全 建 设 篇 W e b 安 全 建 设 篇 人 员 安 全 建 设 篇 本 文 纯 属 个 人 经 验 和 见 解 ， 如 有 语 言 不 妥 之 处 ， 还 望 批 评 指 出 。 本 文 纯 属 个 人 经 验 和 见 解 ， 如 有 语 言 不 妥 之 处 ， 还 望 批 评 指 出 。
一 ： 系 统 安 全 建 设 篇 一 ： 系 统 安 全 建 设 篇 0 x 0 0   前 言 前 言 系 统 的 安 全 是 在 企 业 安 全 体 系 建 设 中 的 基 础 ， 只 有 系 统 的 安 全 基 线 合 规 ， 才 能 够 保 证 其 部 署 在 系 统 上 的 服 务 能 够 安 全 稳 定 的 运 行 。 0 x 0 1   物 理 安 全 物 理 安 全 首 先 ， 要 提 到 的 必 须 是 物 理 上 的 安 全 。 一 个 安 全 性 高 的 机 房 或 者 公 司 内 部 电 脑 环 境 保 证 了 企 业 不 被 攻 击 ， 切 实 的 保 障 了 物 理 的 安 全 。 当 然 ， 还 有 其 他 影 响 机 房 运 行 的 因 素 ， 比 如 ： 温 度 、 灰 尘 、 湿 度 等 等 。 这 里 主 要 讨 论 ， 人 对 物 理 安 全 的 影 响 。 从 物 理 攻 击 的 角 度 来 讲 ， 不 外 乎 是 与 物 理 设 备 进 行 接 触 ， 主 要 有 下 面 几 种 。 1 . 存 储 介 质 存 储 介 质 攻 击 者 可 以 用 U 盘 来 进 行 攻 击 ， 可 以 提 到 的 是 比 较 出 名 并 且 比 较 成 功 的 就 是 美 国 的 震 网 病 毒 。 如 果 一 个 机 房 管 理 员 或 者 一 个 员 工 捡 到 一 个 来 路 不 明 的 U 盘 ， 由 于 人 的 好 奇 心 驱 使 ， 难 免 会 有 偷 窥 他 人 隐 私 的 心 理 ， 而 如 果 恰 巧 U 盘 就 是 一 个 攻 击 工 具 ， 那 么 这 就 将 会 导 致 公 司 内 部 网 络 的 沦 陷 。 所 以 存 储 介 质 也 是 要 分 私 用 和 公 用 的 ， 不 可 混 用 。 2 . 身 份 伪 造 身 份 伪 造 一 个 攻 击 者 要 进 入 一 家 公 司 或 者 企 业 ， 肯 定 会 经 过 身 份 验 证 。 如 果 恰 巧 公 司 安 保 措 施 不 严 ， 就 会 让 攻 击 者 进 入 公 司 内 部 ， 获 取 有 价 值 的 信 息 ， 严 重 一 点 的 通 过 各 种 社 工 手 段 物 理 接 触 公 司 内 部 网 络 服 务 器 ， 盗 取 各 种 机 密 文 件 或 者 安 装 后 门 ， 长 期 实 施 信 息 盗 取 和 监 控 。 3 . 网 络 窃 听 网 络 窃 听 攻 击 者 通 过 搭 线 或 者 其 他 手 段 ， 在 公 司 网 络 的 出 站 口 搭 建 监 听 设 备 ， 监 控 企 业 网 络 流 量 ， 达 到 窃 取 文 件 的 目 的 。 4 . A I 攻 击 攻 击 随 着 时 代 的 发 展 ， 人 工 智 能 将 成 为 主 流 ， 攻 击 者 可 以 通 过 自 制 机 器 人 、 无 人 机 等 设 备 绕 过 人 为 的 监 控 ， 达 到 自 身 目 的 。 它 们 可 以 使 用 干 扰 等 手 段 来 扰 乱 当 前 现 状 ， 它 们 隐 蔽 性 较 强 ， 即 使 被 发 现 ， 控 制 人 员 可 以 通 过 销 毁 程 序 进 行 销 毁 ， 从 而 减 少 背 后 操 控 人 员 风 险 。 5 . 硬 件 攻 击 硬 件 攻 击 如 果 企 业 不 小 心 买 到 了 安 装 有 后 门 的 设 备 ， 那 么 企 业 所 有 的 安 全 防 护 策 略 都 会 失 效 ， 这 将 导 致 企 业 在 安 全 上 的 所 有 努 力 全 部 白 费 。 所 以 一 定 要 选 择 正 规 渠 道 购 买 设 备 ， 并 且 要 在 安 装 组 网 前 进 行 相 关 安 全 检 测 ， 以 防 万 一 。 那 么 ， 企 业 应 该 如 何 防 范 呢 ？ 首 先 ， 企 业 内 外 部 监 控 是 必 不 可 少 的 ， 确 保 各 个 重 要 角 落 能 够 无 死 角 监 控 ， 进 入 核 心 设 备 需 要 加 强 安 保 ， 不 是 加 一 把 锁 就 能 锁 住 一 切 ， 要 多 重 验 证 ， 比 如 多 因 子 验 证 ， 要 打 开 或 进 入 一 个 核 心 机 房 需 要 两 个 人 或 者 多 个 人 的 授 权 ， 要 多 个 人 的 钥 匙 或 者 身 份 验 证 才 能 进 入 。 进 入 或 者 登 录 核 心 设 备 需 要 登 记 身 份 信 息 ， 对 信 息 进 行 备 案 。
落 实 责 任 人 制 度 ， 确 保 发 生 安 全 事 件 能 够 找 到 责 任 人 ， 这 样 能 够 提 高 安 保 人 员 的 责 任 意 识 ， 对 物 理 安 全 的 管 控 也 会 更 深 。 相 对 于 物 理 安 全 ， 重 要 的 就 是 安 保 ， 身 份 验 证 是 重 点 。 0 x 0 2   系 统 安 全 系 统 安 全 现 代 社 会 ， 一 个 公 司 还 没 有 不 用 计 算 机 的 ， 所 以 使 用 计 算 机 就 会 产 生 各 种 各 样 的 问 题 。 一 台 不 联 网 的 计 算 机 也 会 受 到 攻 击 ， 大 多 是 物 理 层 面 的 ， 如 存 储 介 质 的 交 互 。 对 于 联 网 的 设 备 也 时 时 刻 刻 受 到 网 络 木 马 病 毒 的 攻 击 威 胁 ， 虽 然 安 装 有 杀 毒 软 件 ， 能 够 防 住 大 部 分 攻 击 ， 但 是 少 部 分 木 马 病 毒 和 高 级 的 攻 击 手 法 杀 毒 软 件 是 防 不 住 的 ， 所 以 就 需 要 使 用 者 有 安 全 意 识 来 进 规 避 了 。 一 般 做 法 1 . 时 常 更 新 杀 毒 软 件 版 本 2 . 不 允 许 混 用 私 用 和 公 司 计 算 机 3 . 不 打 开 来 路 不 明 软 件 和 文 件 4 . 勤 打 补 丁 5 . 配 置 好 计 算 机 自 身 防 火 墙 6 . 对 计 算 机 进 行 安 全 基 线 合 规 配 置 攻 击 者 如 果 要 攻 击 一 台 服 务 器 一 般 步 骤 就 是 端 口 扫 描 、 C 段 、 系 统 漏 洞 、 0 D a y 等 手 段 。 下 面 说 一 说 一 般 的 防 护 手 段 。 1 . 端 口 端 口 对 于 企 业 级 服 务 器 设 备 来 说 ， 配 置 好 防 火 墙 是 必 要 的 。 以 前 一 个 案 例 就 是 ， 笔 者 还 在 一 家 公 司 实 习 时 ， 每 天 不 断 面 临 外 部 I P 对 服 务 器 进 行 端 口 扫 描 ， 于 是 想 到 了 一 个 做 法 ， 就 是 常 用 的 封 I P 手 段 ， 那 么 我 们 又 要 思 考 ， 如 果 对 方 是 一 个 正 常 访 问 者 呢 ？ 这 样 会 不 会 对 用 户 造 成 不 好 的 用 户 体 验 ， 我 们 也 知 道 ， 通 常 一 个 网 站 也 就 开 个 w e b 端 口 与 用 户 进 行 交 互 ， 一 般 的 用 户 访 问 网 站 ， 是 不 会 去 尝 试 访 问 其 他 端 口 的 ， 所 以 笔 者 的 做 法 是 ， 如 果 一 个 I P 扫 描 5 个 端 口 ， 直 接 封 I P 一 天 。 那 么 这 个 地 方 又 会 有 个 问 题 ， 如 果 对 方 使 用 代 理 ， 不 就 可 以 全 端 口 扫 描 了 吗 ？ 没 错 ， 所 以 在 防 火 墙 里 配 置 个 策 略 来 欺 骗 攻 击 者 ， 无 论 攻 击 者 扫 描 那 个 端 口 ， 端 口 都 是 开 放 的 ， 如 果 效 果 不 好 ， 封 住 其 他 端 口 不 会 对 服 务 器 造 成 问 题 的 话 ， 那 么 就 直 接 封 死 相 关 端 口 ， 不 对 外 开 放 。 其 实 这 里 比 较 好 的 做 法 就 是 ， 把 设 备 放 到 内 网 ， 需 要 哪 个 端 口 对 外 开 放 就 映 射 哪 个 端 口 出 去 ， 中 间 加 上 防 火 墙 ， 这 样 的 话 ， 就 不 怕 端 口 扫 描 了 。 2 . 日 志 日 志 系 统 日 志 是 必 不 可 少 的 ， 它 能 够 详 细 的 记 录 端 口 扫 描 、 用 户 登 录 登 出 、 操 作 等 信 息 ， 一 旦 发 生 信 息 安 全 事 件 ， 我 们 能 够 第 一 时 间 进 行 攻 击 溯 源 。 不 过 需 要 记 录 的 是 日 志 的 记 录 最 好 不 要 放 到 同 一 服 务 器 上 ， 要 记 录 在 专 门 的 日 志 文 件 系 统 上 ， 当 然 日 志 服 务 器 的 安 全 也 要 有 所 保 证 ， 日 志 服 务 器 只 接 收 信 息 存 储 ， 不 处 理 日 志 信 息 ， 处 理 日 志 就 需 要 专 门 的 分 析 工 具 。 这 样 可 以 保 证 日 志 服 务 器 的 安 全 。
3 . C 段 段 外 网 的 C 段 如 同 内 网 的 C 段 ， 在 同 一 C 段 意 味 着 他 们 有 相 同 的 网 关 ， 一 般 攻 击 者 在 无 法 攻 破 C 段 中 的 一 台 机 器 时 ， 就 需 要 寻 找 一 台 C 段 中 安 全 防 护 比 较 薄 弱 的 设 备 ， 在 这 台 设 备 被 攻 破 后 ， 攻 击 者 就 能 对 C 段 进 行 信 息 嗅 探 ， 网 关 挟 持 等 内 网 能 做 的 一 切 操 作 。 防 止 C 段 相 关 攻 击 最 有 效 的 方 法 就 是 绑 定 网 关 M A C 地 址 或 者 双 重 绑 定 ， 如 果 攻 击 者 劫 持 了 网 关 ， 而 你 又 不 能 操 控 网 关 的 话 ， 可 以 向 网 关 所 有 者 （ 运 营 商 ） 求 助 ， 或 者 自 求 多 福 吧 。 4 . 安 全 基 线 安 全 基 线 基 线 在 系 统 安 全 里 面 也 是 比 较 重 要 的 ， 基 线 主 要 包 括 了 漏 洞 补 丁 、 计 算 机 系 统 安 全 配 置 、 防 火 墙 安 全 配 置 、 数 据 库 安 全 配 置 等 ， 配 置 合 规 率 能 够 很 大 程 度 上 提 高 了 系 统 的 安 全 防 御 性 能 。 相 关 具 体 的 安 全 配 置 可 以 查 看 各 厂 家 安 全 配 置 手 册 ， 在 网 上 也 是 可 以 找 相 关 基 线 合 规 资 料 的 。 0 x 0 3   运 维 安 全 运 维 安 全 运 维 安 全 作 为 企 业 安 全 保 障 的 基 石 ， 因 为 运 维 安 全 位 于 最 底 层 ， 或 涉 及 到 服 务 器 、 网 络 设 备 。 基 础 应 用 等 ， 一 旦 出 现 安 全 问 题 ， 会 直 接 威 胁 到 服 务 器 的 安 全 。 而 在 企 业 日 常 运 营 中 ， 运 维 安 全 事 件 的 出 现 通 常 预 示 着 这 个 企 业 的 安 全 规 范 、 流 程 有 问 题 ， 这 种 情 况 下 就 会 不 止 一 台 机 器 有 同 样 的 漏 洞 ， 会 是 一 大 片 ， 甚 至 波 及 整 个 公 司 的 核 心 业 务 。 运 维 这 个 点 不 是 几 句 话 就 能 说 的 清 楚 的 ， 其 最 核 心 的 问 题 还 是 那 么 几 个 。 1 . 弱 口 令 弱 口 令 弱 口 令 是 运 维 安 全 中 的 核 心 问 题 ， 比 如 一 台 主 机 被 攻 陷 ， 由 于 设 备 密 码 大 多 数 都 是 相 同 的 ， 很 少 有 运 维 人 员 会 每 个 设 备 都 设 置 不 同 的 密 码 。 所 以 ， 一 个 弱 口 令 就 足 以 导 致 整 个 内 网 服 务 器 的 沦 陷 。 攻 击 者 一 般 会 使 用 密 码 字 典 、 拿 到 密 码 加 密 文 件 、 网 络 嗅 探 等 手 段 进 行 攻 击 ， 在 拿 到 相 关 信 息 时 ， 他 们 会 分 析 加 密 的 算 法 ， 再 针 对 性 的 进 行 攻 击 。 再 一 个 就 是 口 令 的 防 御 ， 都 知 道 ， 加 密 只 是 用 于 防 破 解 ， 而 密 码 猜 解 是 不 需 要 知 道 你 的 密 码 是 什 么 算 法 的 ， 直 接 用 字 典 穷 举 。 那 么 这 里 就 会 有 一 个 怎 么 防 止 这 类 问 题 的 要 求 。 首 先 ， 密 码 的 设 置 必 须 符 合 密 码 安 全 策 略 ， 大 小 写 字 母 数 字 加 特 殊 字 符 的 组 合 ， 长 度 不 低 于 8 位 ， 口 令 要 定 期 更 换 ， 使 用 随 机 密 码 、 使 用 强 加 密 算 法 ， 至 少 不 是 像 b a s e 6 4 那 样 的 弱 加 密 算 法 。 至 于 口 令 认 证 的 话 ， 需 要 根 据 公 司 自 身 情 况 进 行 而 定 。 防 御 只 要 企 业 有 自 己 的 一 套 规 范 ， 运 维 有 自 己 的 良 好 安 全 意 识 ， 那 么 这 类 攻 击 成 功 率 是 不 大 的 。 2 . 信 息 泄 漏 信 息 泄 漏 结 合 今 年 来 一 些 运 维 相 关 的 信 息 泄 漏 事 件 来 看 ， 大 多 数 都 是 运 维 不 小 心 把 帐 号 密 码 上 传 到 网 上 ， 如 g i t h u b （ 代 码 泄 漏 ） 、 b l o g （ 敏 感 信 息 截 图 ） ， 还 有 的 就 是 被 攻 击 ， 企 业 数 据 库 被 拖 库 、 企 业 帐 号 密 码 规 律 性 、 各 种 被 钓 鱼 等 。 对 于 这 些 ， 企 业 一 定 要 制 定 一 些 规 范 ， 建 立 一 个 审 核 机 制 或 者 安 全 操 作 手 册 ， 来 减 轻 或 规 避 一 些 可 能 导 致 信 息 泄 漏 的 风 险 点 。 3 . 系 统 权 限 系 统 权 限
一 般 来 讲 ， 如 果 不 是 必 须 要 最 高 权 限 启 动 的 服 务 或 应 用 ， 最 好 设 置 一 个 普 通 权 限 来 管 理 系 统 ， 以 此 来 减 轻 权 限 所 带 来 的 安 全 风 险 。 4 . 系 统 补 丁 系 统 补 丁 时 常 关 注 网 络 安 全 状 态 是 必 要 的 ， 最 近 出 了 什 么 漏 洞 ， 自 身 在 用 设 备 是 否 受 此 漏 洞 影 响 ， 要 自 身 知 道 。 关 注 自 身 在 用 的 相 关 版 本 ， 出 了 漏 洞 补 丁 马 上 进 行 处 理 并 跟 进 最 新 漏 洞 相 关 进 展 。 5 . 网 络 攻 击 网 络 攻 击 运 维 人 员 关 注 最 新 的 网 络 攻 击 时 态 也 是 很 有 必 要 的 ， 这 样 可 以 根 据 具 体 的 攻 击 手 法 来 对 企 业 进 行 防 御 体 系 的 调 整 。 6 . 虚 拟 化 虚 拟 化 当 前 网 络 安 全 现 状 不 容 乐 观 ， 很 多 的 企 业 选 择 了 虚 拟 化 来 管 理 自 身 设 备 ， 这 样 的 好 处 是 ， 当 设 备 被 攻 击 后 ， 如 果 系 统 或 数 据 被 破 坏 并 无 法 修 复 时 ， 企 业 可 以 选 择 之 前 新 建 的 快 照 进 行 恢 复 ， 进 而 避 免 损 失 。 如 果 换 了 物 理 机 的 话 ， 而 企 业 又 没 有 进 行 系 统 的 备 份 ， 对 于 企 业 有 可 能 就 是 灾 难 性 的 。 7 . 安 全 域 安 全 域 域 的 安 全 在 运 维 里 算 是 重 要 的 了 ， 域 的 安 全 性 就 是 内 网 的 安 全 ， 这 么 说 一 点 也 不 为 过 。 域 最 重 要 的 也 是 弱 口 令 的 问 题 ， 其 次 就 是 域 系 统 的 相 关 配 置 。 域 是 个 很 复 杂 的 环 境 ， 因 为 涉 及 到 的 范 围 太 广 ， 涉 及 成 员 太 多 ， 所 以 就 简 单 的 描 述 一 下 。 计 算 机 的 策 略 大 体 上 分 为 四 类 ， 他 们 分 别 是 本 地 策 略 ， 域 策 略 ， 站 点 策 略 以 及 o u 策 略 。 起 作 用 的 先 后 顺 序 为 l o c a l   p o l i c y （ 本 地 ） — — 〉 s i t e   p o l i c y （ 站 点 ） — — 〉 d o m a i n   p o l i c y （ 域 ） — — 〉 o u   p o l i c y 。 一 般 来 讲 ， 域 主 机 控 制 了 整 个 域 环 境 的 其 他 域 设 备 ， 它 还 负 责 整 个 域 的 用 户 权 限 分 配 。 域 的 安 全 主 要 在 配 置 ， 严 格 执 行 分 权 策 略 ， 相 关 设 备 的 关 联 性 尽 量 低 权 限 ， 只 要 策 略 得 当 ， 就 算 其 中 一 台 设 备 被 攻 陷 ， 那 么 也 是 很 难 拿 到 域 控 权 限 的 。 0 x 0 4   应 用 安 全 应 用 安 全 一 台 计 算 机 肯 定 是 会 跑 应 用 的 ， 要 不 然 拿 来 干 嘛 。 应 用 安 全 ， 顾 名 思 义 就 是 保 障 应 用 程 序 使 用 过 程 和 结 果 的 安 全 。 简 言 之 ， 就 是 针 对 应 用 程 序 或 工 具 在 使 用 过 程 中 可 能 出 现 计 算 、 传 输 数 据 的 泄 露 和 失 窃 ， 通 过 其 他 安 全 工 具 或 策 略 来 消 除 隐 患 ， 一 般 软 件 为 了 增 加 用 户 体 验 ， 可 能 会 要 求 收 集 用 户 的 一 些 信 息 ， 我 们 可 以 关 闭 这 个 选 项 。 应 用 一 般 来 说 是 属 于 第 三 方 的 ， 所 以 ， 这 里 就 有 一 个 安 全 应 用 临 界 点 问 题 的 产 生 。 许 多 运 维 人 员 认 为 他 们 的 网 络 是 安 全 的 ， 因 为 他 们 部 署 了 有 防 火 墙 ， 但 是 ， 攻 击 者 很 有 可 能 攻 击 应 用 层 ， 因 为 在 应 用 层 存 在 更 大 的 漏 洞 。 比 如 配 置 不 当 、 弱 口 令 、 软 件 漏 洞 等 等 。 举 个 例 子 ， F T P 的 远 程 溢 出 漏 洞 ， 有 很 多 F T P 的 应 用 都 在 早 年 的 版 本 中 存 在 这 个 问 题 ， 以 至 于 我 们 向 F T P 端 口 发 送 超 过 一 定 字 节 数 将 导 致 F T P 崩 溃 ， 从 而 构 造 E X P 攻 陷 服 务 器 。 系 统 的 相 对 安 全 不 代 表 没 有 办 法 攻 陷 系 统 。 1 . 应 用 部 署 应 用 部 署
我 们 在 部 署 一 个 应 用 时 ， 应 该 考 虑 到 应 用 场 景 的 方 方 面 面 ， 首 先 这 个 产 品 是 否 是 成 熟 的 ， 安 全 性 在 业 界 是 什 么 水 平 ， 我 们 都 需 要 知 道 ， 从 近 年 来 曝 光 的 应 用 后 门 来 讲 ， 数 不 胜 数 ， 其 中 包 括 非 常 出 名 的 厂 商 在 内 。 虽 然 不 是 他 们 的 刻 意 为 之 ， 但 是 对 于 我 们 用 户 来 讲 还 是 个 安 全 隐 患 。 应 用 在 部 署 前 ， 应 该 做 好 权 限 的 划 分 ， 比 如 启 动 a p a c h e 这 类 应 用 ， 我 们 应 该 单 独 设 置 一 个 账 户 来 启 动 这 类 应 用 ， 而 且 权 限 只 能 限 制 在 服 务 的 范 围 内 。 如 果 条 件 允 许 ， 我 们 可 以 考 虑 用 虚 拟 镜 像 （ 如 d o c k e r ） 来 部 署 这 类 应 用 。 2 . 沙 盒 沙 盒 沙 盒 是 在 受 限 的 安 全 环 境 中 运 行 应 用 程 序 的 一 种 做 法 ， 这 种 做 法 是 要 限 制 授 予 应 用 程 序 的 代 码 访 问 权 限 。 例 如 ， 下 载 到   I n t e r n e t   E x p l o r e r   的 控 件 使 用   I n t e r n e t   权 限 集 运 行 。 驻 留 在 局 域 网 共 享 上 的 应 用 程 序 在 计 算 机 上 使 用   L o c a l I n t r a n e t   权 限 集 运 行 - 百 度 百 科 。 有 些 时 候 ， 我 们 运 行 一 些 应 用 时 ， 它 可 能 会 存 在 风 险 ， 那 么 在 沙 盒 里 运 行 它 可 以 减 少 系 统 风 险 ， 纵 使 有 沙 盒 逃 逸 这 个 技 术 。 在 沙 盒 里 运 行 软 件 在 一 些 环 境 下 应 该 还 是 必 要 的 。 3 . 未 知 软 件 未 知 软 件 未 知 的 软 件 也 是 威 胁 应 用 安 全 的 一 部 分 ， 比 如 常 见 的 钓 鱼 软 件 ， 某 些 攻 击 者 利 用 受 害 者 心 里 ， 通 过 播 放 器 、 外 挂 等 进 行 木 马 病 毒 传 播 ， 如 果 企 业 员 工 在 家 用 电 脑 使 用 了 感 染 了 病 毒 木 马 的 U 盘 到 企 业 电 脑 上 使 用 ， 那 么 就 会 导 致 企 业 内 网 的 感 染 ， 从 而 导 致 一 个 点 全 盘 扩 大 的 一 个 过 程 。 所 以 ， 还 是 那 句 话 ， 企 业 制 度 很 重 要 ， 私 用 和 公 司 电 脑 包 括 存 储 介 质 不 可 混 用 ， 未 知 软 件 不 可 随 意 点 开 ， 一 定 要 先 杀 毒 （ 尽 管 杀 毒 软 件 并 不 那 么 可 靠 ） ， 如 果 不 确 定 那 就 不 要 点 开 。 4 . 软 件 渠 道 软 件 渠 道 软 件 的 下 载 一 定 要 到 公 司 官 网 里 去 下 载 ， 不 要 去 第 三 方 下 载 。 一 个 公 司 应 该 还 是 有 买 一 个 正 版 软 件 的 钱 ， 不 要 用 盗 版 软 件 ， 这 和 安 全 风 险 相 比 还 是 值 得 的 。 购 买 正 版 软 件 还 是 是 对 安 全 的 一 种 投 资 。 0 x 0 5   杀 毒 安 全 杀 毒 安 全 有 句 话 怎 么 说 来 着 ： 杀 毒 软 件 就 是 最 大 的 病 毒 软 件 。 其 实 ， 话 也 不 能 这 么 说 的 这 么 狠 ， 杀 毒 软 件 是 我 们 的 安 全 防 卫 者 ， 时 时 刻 刻 都 保 护 着 我 们 的 计 算 机 安 全 不 被 入 侵 ， 但 是 呢 ， 杀 毒 软 件 开 发 者 为 了 有 更 好 的 杀 毒 效 果 和 能 够 防 御 新 型 病 毒 木 马 ， 通 常 他 们 是 会 收 集 一 些 病 毒 样 本 来 分 析 ， 比 如 我 们 常 看 到 的 云 端 杀 毒 。 做 的 流 氓 点 的 就 是 不 通 知 用 户 直 接 上 传 用 户 文 件 样 本 。 那 么 在 这 个 上 传 过 程 中 就 出 现 了 信 息 泄 漏 的 问 题 。 尽 管 这 些 问 题 杀 软 厂 商 是 不 会 承 认 的 ， 但 是 事 实 各 人 都 心 知 肚 明 。 那 么 这 里 又 会 有 个 需 求 ， 怎 么 样 来 防 止 此 类 事 情 的 发 生 呢 ？ 答 案 是 ， 如 果 企 业 自 身 有 条 件 的 话 ， 可 以 和 杀 软 厂 商 合 作 ， 特 别 定 制 版 杀 软 。 据 笔 者 了 解 这 方 面 做 的 比 较 好 的 就 是 赛 门 铁 克 ， 企 业 版 本 可 以 放 到 自 身 内 网 中 ， 升 级 操 作 都 是 由 总 服 务 器 代 替 的 下 发 的 ， 所 以 可 以 减 少 这 类 问 题 的 产 生 。 下 面 画 一 个 草 图 ， 大 概 就 是 这 么 个 样 子 。
图 1 - 1 如 果 公 司 条 件 不 允 许 的 话 ， 但 是 又 不 能 电 脑 裸 奔 ， 只 能 是 关 闭 杀 软 的 上 传 功 能 ， 虽 然 这 会 影 响 到 杀 毒 效 果 ， 但 是 能 避 免 上 传 敏 感 信 息 到 杀 软 厂 商 那 去 （ 虽 然 说 这 话 连 我 都 不 信 ， 不 过 我 们 还 是 要 抱 点 希 望 ） ， 再 一 个 ， 可 能 杀 软 也 会 像 其 他 应 用 软 件 一 样 ， 为 了 增 加 用 户 体 验 ， 会 收 集 用 户 的 一 些 信 息 ， 我 们 一 样 可 以 关 闭 这 个 。 还 有 杀 毒 软 件 一 定 要 在 正 规 渠 道 下 载 ， 比 如 官 网 ， 否 则 会 有 什 么 事 情 就 不 可 预 知 了 ， 笔 者 曾 经 就 遇 到 过 修 改 过 的 杀 毒 软 件 ， 引 以 为 鉴 。 总 之 ， 选 择 一 款 好 的 杀 毒 软 件 是 很 有 必 要 的 ， 杀 毒 软 件 用 的 好 ， 那 叫 防 御 ， 用 的 不 好 ， 那 叫 后 门 。 来 源 ： h t t p : / / i m o s i n . c o m 作 者 ： m o s i n
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理