针对国内企业安全的十个漏洞

6. 传统的访问控制已经难以胜任。

利用数字证书取代使用入口点所用的弱口令和成本高昂的时间同步令牌来保护系统安全。数字证书比口令安全得多、成本低于安全令牌，而且如果完全托管，易于部署。

SSL支持两端：服务器和客户机的身份验证。如果服务器提供证书给客户机，这表明服务器已通过验证（拥有域控制权的组织获得了证书，并且身份得到验证），客户机（浏览器）证实：证书域和服务器域相匹配。如果客户机提供证书给服务器，这表明客户机已通过验证。客户机验证涉及对用户的身份进行验证，而该用户和证书同与服务器通信的客户机结合在一起。这些客户端SSL证书驻留在浏览器里面，这样一来，就取代了用口令访问安全网站的机制。

证书比口令安全得多，因为窃取另一个人的证书很困难，就算窃取了里面存有证书的电脑也无济于事，因为这仍需要口令才能激活证书。由于证书大大提高了安全系统，这样就可以放心地访问比较重要的应用，如CRM系统和企业内联网。

许多公司现在或者很快会安装VPN，以便远程用户安全访问重要系统。这是一个很好的举措，但不要通过口令来确认身份，这样会削弱VPN的好处，而是需要在VPN安装客户端证书才允许进入。

时间同步令牌是一种小巧设备，可以生成号码，用户可用来输入到网页上，从而安全地访问网络或者应用。遗憾的是，时间同步令牌成本高昂、人们会丢失、所用电池也会出问题，你还很容易把它借给别人使用。应当实施托管型的安全服务，从而颁发及管理客户端证书的生命周期。

7. 你的网站可能会被网络钓鱼所欺骗。

你可以通过让网站使用信任标记（Trust Mark）来表明及保护贵公司的身份，既向访客表明自己的真实身份，以能够让访客信任你的网站。

在处理敏感数据时，SSL对加密而言至关重要。但SSL并不提供有关被访问网站的身份——这是“网络安全领域的公开秘密”。为了保护你网站上公司的身份，就要使用无法复制的信任标记或者安全站点图标（Site Seal）。对组织来说，这杜绝了站点上当受骗的可能性；而对客户来说，这让他们确信自己是在访问合法网站。遗憾的是，许多现有的“身份”产品（站点图标）提供不了保护——它们可以点击复制。访问上面有图标或标记的任何网页，点击鼠标右键，就能看到菜单。

相反，应当使用动态生成的无法复制的站点图标。譬如说，有些公司的站点图标放在网页上，以表明该站点是合法的、真实的，并且已得到可信第三方的证实。首先，站点图标认为核实站点所有人的身份最重要。其次，站点图标旨在打击盗用现象。第三，它还提供了“自我监管”功能：如果无法证实站点所有人的身份，图标就根本不会出现。最后，它会链接至收集了有关站点及所有人的验证信息的庞大资料库，帮助用户、最终帮助站点本身。这让访客能够信任商家，从而促成众多交易。

8. 在生产环境中进行测试无异于玩火。

建立非军事区（DMZ），以便把有风险的网络活动隔离在你的关键业务型生产网络部分之外，模拟生产环境，或者让客户可以进行各种验收测试。

允许通过调制解调器访问安全网络的中心部位，这是导致入侵的最常见根源之一。如今许多人使用所谓的战争拨号器（War Dialer），试图通过调制解调器组（Modem Bank）来访问企业或者政府的网络系统。这些人往往能够得逞。

建立可以访问因特网、但只能有限制性地访问内部网络的DMZ。可通过认真设置防火墙来做到这一点：把DMZ封锁起来，远离网络其余部分，同时仍允许可以全面访问因特网。防火墙可以保护网络的关键部分，远离这个DMZ。

如果客户验收测试必须在公司网络上进行，只允许这种测试在DMZ进行。

9. 最薄弱的安全环节是你的人员。

定义安全规范。这也许是最容易被忽视的，也是十条指导准则中最重要的，不过也是最容易、可能也会带来最大影响的：把安全规范拟写成文、传达下去，并加以执行。

安全效果完全取决于贵组织的最薄弱环节。安全从来不是自动就能实现的，它需要人的参与。人员对组织的一项安全策略会取得多大成功具有最大的影响。不少实践已表明，从安全人员入手是突破组织安全体系的最简单方法。如果组织制订条文明确、解释清楚的安全策略，并加以执行，就能有效地对付这一点及简单的错误。

要明文规定有关设施访问、网络访问、合理使用公司系统与网络以及合理使用公司电子邮件和浏览器的相关流程和规则。

列出得到支持的标准和不得到支持的标准。包括允许在网络上使用的操作系统，并解释为什么不允许另外的操作系统。如果允许访客进入贵组织的会议室，而会议室里面有网络分接头，可以接入上网，那么这种很常见的方法闯入网络的速度不亚于“特洛伊木马”。

10.绕不过去的身份验证。

开始使用经过全面测试、成熟的验证技术，以查明网上匿名者的身份。通过无纸交易来简化你的公司业务。

“没人知道你在网上是一条狗”是《纽约客》杂志上的一幅著名漫画，如今被许多网站、简报甚至T恤衫所引用。这恰恰表明了使用网络进行重要交易所面临的最大的一个威胁。对某个人进行验证的一套标准程序是向他们询问只有你和对方知道的一系列共享秘密，但在网上进行交易所面临的难题就是，商家并不知道个人，因而也就没有共享秘密。

需要顾客订阅、登记或者填写表格的许多组织正期望消除人工纸张过程和人工审批过程。为了开展网上应用，商家必须能够验证：消费者就是他所说的那个人，并拥有生成电子签名的能力。