个不应犯的网络安全错误（ network security errors that should not be committed）.docVIP

19个不应犯的网络安全错误（19 network security errors that should not be committed） 管理资讯保安服务领导供应商Verizon Business对过去几年里危害程度比较深的90个安全漏洞进行了一次系统分析，发现与这90个安全漏洞相关的”犯案”记录竟然高达2.85亿条，惊人的数字，不是吗？其中大多数重头案件都涉及有组织犯罪，比如非法登录一个未加保护网络，并窃取信用卡资料、社会安全号码或其他个人身份信息等等。 而令人惊讶地是，这些安全漏洞大多是由于网络管理员没有对自己负责的网络系统，尤其是非关键服务器采取明显的防护措施造成而造成的。 “根本原因就在于网络管理员没有做好最基本的工作，就这么简单”。Verizon Business技术创新部副总裁Peter Tippett说，蒂皮特是安全领域的权威人士，从事安全漏洞审计工作长达18年之久。 在蒂皮特的帮助下，我们总结了以下网络管理人员们最常见的错误清单，这些错误将直接导致网络一片混乱并导致严重的安全漏洞。针对每个错误，我们给出了最简单的解决方案，希望能众多网络管理员有所帮助。 1。未更改网络设备的缺省密码 “我们发现，很多企业的服务器、交换机、路由器以及其它网络设备都使用缺省密码--通常是password”或admin ，这是多么令人难以置信。“蒂皮特说。”大多数CIO们认为，这个问题不可能发生在他们身上，而事实则恰恰相反。” 为了避免这个问题，你需要对你网络中的每一台网络设备进行一次彻底的漏洞扫描，而不仅仅是核心或关键设备，蒂皮特说。然后修改每台设备的缺省密码。根据Verizon Business的研究结果，在过去的一年中所发生的网络侵害案件中，有一半以上是由于某个网络设备使用缺省密码而给犯案人员留下了可乘之机。 2。多台网络设备”共享”同一个密码 企业的它部门常常对多个服务器使用相同的密码，并且很多人都知道这个密码。就密码本省而言，它的安全性可能非常高--一个数字和字母的复杂组合，但是，一旦它被多个系统共享，那么所有这些系统都处于危险之中。 例如，某个知道这一”通用”密码的人离职了，而他很有可能在新公司还是使用同一密码。或者某个负责部署非关键系统比如数据??心冷却系统的外包人员，很有可能对其负责的所有客户的所有系统使用相同的密码。在这些情况下，如果密码被某个黑客得到，那么他就可以进入许多服务器并且造成很大的破坏。 蒂皮特说，企业它部门需要制定一个流程--无论是自动还是手动--以确保服务器密码不会在多个系统之间共享，并且还要定期更换，这样才能保证密码安全。最简单也最有效的办法就是专门找一个人负责保管企业目前服务器的所有密码。 3。未能有效找出Web服务器的SQL编码错误 根据Verizon Business的研究结果，最常见的黑客攻击是对连接到Web服务器的SQL数据库的攻击，这大约占到了研究记录的79%。而黑客侵入这些系统的方式是利用Web表单提交一个SQL命令。如果表单的编码是正确的，那么它是不会接受SQL命令的。但是，有时开发人员的编码食物就可能”创造”所谓的SQL注入漏洞，黑客可以一用这些漏洞直接从数据库中查询他们所需要的信息。 蒂皮特说， The simplest way to avoid SQL injection attacks is running an application firewall, first set it as the learning mode, in order to be able to observe how the user to input the data field, and then the application of firewall operation mode, so that the SQL command cannot be injected in the field. The problem of SQL encoding is very common. If an enterprise tests its own 100 servers, they may find that 90 of them have SQL injection problems. Tippett says. Usually, enterprises only solve the SQL injection vulnerabilities of core servers, but they ignore the important point: hackers often enter into their networks through non critical systems. Tip