管理資訊保安服務領導供應商Verizon Business對過去幾年里危害程度比較深的90個安全漏洞進行了一次系統分析，發現與這90個安全漏洞相關的“犯案”記錄竟然高達2.85億條，驚人的數字，不是嗎？其中大多數重頭案件都涉及有組織犯罪，比如非法登錄一個未加保護網絡，并竊取信用卡資料、社會安全號碼或其他個人身份信息等等。
而令人驚訝地是，這些安全漏洞大多是由于網絡管理員沒有對自己負責的網絡系統，尤其是非關鍵服務器采取明顯的防護措施造成而造成的。
“根本原因就在于網絡管理員沒有做好最基本的工作，就這么簡單。” Verizon Business技術創新部副總裁Peter Tippett說，Tippett是安全領域的權威人士，從事安全漏洞審計工作長達18年之久。
在Tippett的幫助下，我們總結了以下網絡管理人員們最常見的錯誤清單，這些錯誤將直接導致網絡一片混亂并導致嚴重的安全漏洞。針對每個錯誤，我們給出了最簡單的解決方案，希望能眾多網絡管理員有所幫助。
1.未更改網絡設備的缺省密碼
“我們發現，很多企業的服務器、交換機、路由器以及其它網絡設備都使用缺省密碼——通常是‘password’或‘admin’，這是多么令人難以置信。” Tippett說。“大多數CIO們認為，這個問題不可能發生在他們身上，而事實則恰恰相反。”
為了避免這個問題，你需要對你網絡中的每一臺網絡設備進行一次徹底的漏洞掃描，而不僅僅是核心或關鍵設備，Tippett說。然后修改每臺設備的缺省密碼。根據Verizon Business的研究結果，在過去的一年中所發生的網絡侵害案件中，有一半以上是由于某個網絡設備使用缺省密碼而給犯案人員留下了可乘之機。
2. 多臺網絡設備“共享”同一個密碼
企業的IT部門常常對多個服務器使用相同的密碼，并且很多人都知道這個密碼。就密碼本省而言，它的安全性可能非常高——一個數字和字母的復雜組合，但是，一旦它被多個系統共享，那么所有這些系統都處于危險之中。
例如，某個知道這一“通用”密碼的人離職了，而他很有可能在新公司還是使用同一密碼。或者某個負責部署非關鍵系統比如數據中心冷卻系統的外包人員，很有可能對其負責的所有客戶的所有系統使用相同的密碼。在這些情況下，如果密碼被某個黑客得到，那么他就可以進入許多服務器并且造成很大的破壞。
Tippett說，企業IT部門需要制定一個流程——無論是自動還是手動——以確保服務器密碼不會在多個系統之間共享，并且還要定期更換，這樣才能保證密碼安全。最簡單也最有效的辦法就是專門找一個人負責保管企業目前服務器的所有密碼。
3.未能有效找出Web服務器的SQL編碼錯誤
根據Verizon Business的研究結果，最常見的黑客攻擊是對連接到Web服務器的SQL數據庫的攻擊，這大約占到了研究記錄的79%.而黑客侵入這些系統的方式是利用Web表單提交一個SQL命令。如果表單的編碼是正確的，那么它是不會接受SQL命令的。但是，有時開發人員的編碼食物就可能“創造”所謂的SQL注入漏洞，黑客可以一用這些漏洞直接從數據庫中查詢他們所需要的信息。
Tippett說，避免SQL注入攻擊的最簡單方法就是運行一個應用防火墻，首先把它設置為“學習”模式，以便能夠觀察用戶如何把數據輸入字段中，然后將該應用防火墻設置為“操作”模式，這樣SQL命令就不能“注入”字段中了。SQL編碼問題十分普遍。“如果一個企業對自己的100臺服務器進行測試，它們可能會發現其中90臺有SQL注入問題。” Tippett說。
通常情況下，企業僅僅解決了核心服務器的SQL注入漏洞，但是他們忽略了很重要的一點：黑客往往是通過非關鍵系統進入到他們的網絡的。Tippett建議網絡管理員利用訪問控制列表對網絡進行劃分，限制服務器同非重要設備的通訊。這樣就可以有些地防止黑客利用一個小小的SQL編碼錯誤非法獲取數據。
管理資訊保安服務領導供應商Verizon Business對過去幾年里危害程度比較深的90個安全漏洞進行了一次系統分析，發現與這90個安全漏洞相關的“犯案”記錄竟然高達2.85億條，驚人的數字，不是嗎？其中大多數重頭案件都涉及有組織犯罪，比如非法登錄一個未加保護網絡，并竊取信用卡資料、社會安全號碼或其他個人身份信息等等。
而令人驚訝地是，這些安全漏洞大多是由于網絡管理員沒有對自己負責的網絡系統，尤其是非關鍵服務器采取明顯的防護措施造成而造成的。
“根本原因就在于網絡管理員沒有做好最基本的工作，就這么簡單。” Verizon Business技術創新部副總裁Peter Tippett說，Tippett是安全領域的權威人士，從事安全漏洞審計工作長達18年之久。
在Tippett的幫助下，我們總結了以下網絡管理人員們最常見的錯誤清單，這些錯誤將直接導致網絡一片混亂并導致嚴重的安全漏洞。針對每個錯誤，我們給出了最簡單的解決方案，希望能眾多網絡管理員有所幫助。
1.未更改網絡設備的缺省密碼
“我們發現，很多企業的服務器、交換機、路由器以及其它網絡設備都使用缺省密碼——通常是‘password’或‘admin’，這是多么令人難以置信。” Tippett說。“大多數CIO們認為，這個問題不可能發生在他們身上，而事實則恰恰相反。”
為了避免這個問題，你需要對你網絡中的每一臺網絡設備進行一次徹底的漏洞掃描，而不僅僅是核心或關鍵設備，Tippett說。然后修改每臺設備的缺省密碼。根據Verizon Business的研究結果，在過去的一年中所發生的網絡侵害案件中，有一半以上是由于某個網絡設備使用缺省密碼而給犯案人員留下了可乘之機。
2. 多臺網絡設備“共享”同一個密碼
企業的IT部門常常對多個服務器使用相同的密碼，并且很多人都知道這個密碼。就密碼本省而言，它的安全性可能非常高——一個數字和字母的復雜組合，但是，一旦它被多個系統共享，那么所有這些系統都處于危險之中。
例如，某個知道這一“通用”密碼的人離職了，而他很有可能在新公司還是使用同一密碼。或者某個負責部署非關鍵系統比如數據中心冷卻系統的外包人員，很有可能對其負責的所有客戶的所有系統使用相同的密碼。在這些情況下，如果密碼被某個黑客得到，那么他就可以進入許多服務器并且造成很大的破壞。
Tippett說，企業IT部門需要制定一個流程——無論是自動還是手動——以確保服務器密碼不會在多個系統之間共享，并且還要定期更換，這樣才能保證密碼安全。最簡單也最有效的辦法就是專門找一個人負責保管企業目前服務器的所有密碼。
3.未能有效找出Web服務器的SQL編碼錯誤
根據Verizon Business的研究結果，最常見的黑客攻擊是對連接到Web服務器的SQL數據庫的攻擊，這大約占到了研究記錄的79%.而黑客侵入這些系統的方式是利用Web表單提交一個SQL命令。如果表單的編碼是正確的，那么它是不會接受SQL命令的。但是，有時開發人員的編碼食物就可能“創造”所謂的SQL注入漏洞，黑客可以一用這些漏洞直接從數據庫中查詢他們所需要的信息。
Tippett說，避免SQL注入攻擊的最簡單方法就是運行一個應用防火墻，首先把它設置為“學習”模式，以便能夠觀察用戶如何把數據輸入字段中，然后將該應用防火墻設置為“操作”模式，這樣SQL命令就不能“注入”字段中了。SQL編碼問題十分普遍。“如果一個企業對自己的100臺服務器進行測試，它們可能會發現其中90臺有SQL注入問題。” Tippett說。
通常情況下，企業僅僅解決了核心服務器的SQL注入漏洞，但是他們忽略了很重要的一點：黑客往往是通過非關鍵系統進入到他們的網絡的。Tippett建議網絡管理員利用訪問控制列表對網絡進行劃分，限制服務器同非重要設備的通訊。這樣就可以有些地防止黑客利用一個小小的SQL編碼錯誤非法獲取數據。
4.未正確配置訪問控制列表
使用訪問控制列表分割網絡是確保服務器不會越界的最簡單有效的方式，它能確保每臺網絡設備或系統只與它們需要的服務器或系統進行通訊。例如，如果你允許業務合作伙伴可以通過你的VPN訪問你內網中的兩臺服務器，那么你應該在訪問控制列表中進行設置，確保這些業務合作伙伴只能訪問這兩臺服務器，而不能越界。即便是某個黑客利用合作伙伴的這個通道進入你的企業內網，那么他也僅僅能竊取這兩臺服務器上的數據，危害范圍大大降低。
“但是，現實情況卻是，利用VPN進入企業網絡的黑客往往在內網中暢通無阻，” Tippett說。事實上，如果所有企業都能正確配置訪問控制列表，那么過去的一年中所發生的網絡侵害事件就能減少66%.配置訪問控制列表是一件非常簡單的工作，而CIO們不愿做這件事的理由是它涉及到將路由器用作防火墻，這是許多網絡管理員并不希望的。
5.允許不安全的遠程訪問和管理軟件
黑客侵入企業內網最常用的手段之一就是使用遠程訪問和管理軟件包，比如PCAnywhere、Virtual Network Computing （VNC）或Secure Shell （SSH）。通常，這些應用軟件都缺乏最基本的保障措施，比如安全的密碼。
解決這一問題的最簡單方法就是對你的整個IP地址空間運行一個外部掃描，尋找PCAnywhere、Virtual Network Computing （VNC）或Secure Shell （SSH）。一旦檢測到這些應用，立刻對其增加額外的保障措施，比如令牌或證書。除此以外，另一種方法就是掃描外部路由器的NetFlow數據，看看有沒有遠程訪問管理流量出現在你的網絡中。
根據Verizon Business的報告，不安全的遠程訪問和管理軟件所占的比例也是非常高的，達到了27%.
6.沒有對非關鍵應用進行基本漏洞掃描或測試
根據Verizon Business的研究結果，近80%的黑客攻擊都是由于Web應用存在安全漏洞造成的。網絡管理人員知道，系統最大的漏洞就在Web應用中，所以他們用盡渾身解數對關鍵系統和Web系統進行測試。
現在的問題是，大多數黑客攻擊利用的都是企業內網非關鍵系統的安全漏洞。“主要問題是，我們瘋狂的測試核心網絡應用，而忽略了非Web應用測試，” Tippett說。因此，他建議網絡管理員在做漏洞掃描或測試時應該把網撒的更大更廣泛。
“我們從小受的教育就是一定要根據輕重緩解安排工作，但是不良分子卻不管所謂的輕重緩急，哪個容易攻破，他們就進入哪個。”Tippett說。“一旦他們進入你的網絡，他們就在里面為所欲為。”
7.未能對服務器采取有效的保護措施，惡意軟件泛濫
Verizon Business的研究報告表明，服務器惡意軟件大約占到了所有安全漏洞的38%.大多數惡意軟件是由黑客遠程安裝的，用來竊取用戶的數據。通常情況下，惡意軟件都是定制的，所以它們不能被防病毒軟件發現。網絡管理員查找服務器惡意軟件（比如鍵盤記錄軟件或間諜軟件）的一個有效手段就是在自己的每臺服務器上運行一個基于主機的入侵檢測系統軟件，而不僅僅是核心服務器。
Tippett表示，一些非常簡單的方法就可以避免許多這類攻擊，比如服務器鎖定，這樣新的應用就無法在它上面運行。“網絡管理人員通常不愿意這樣做，因為他們認為這可能會使安裝新軟件變得有些復雜，”Tippett說。“而事實上，如果你要安裝新應用，你可以先開鎖，安裝完畢后，再鎖上就OK了。”
