企业信息安全防范的24妙招

企业信息安全防范的企业信息安全防范的 2424 妙招妙招 随着企业上网的迅猛发展，网络安全问题变得尤为重 要，因为网络安全直接关系到企业的生存与发展，确保企 业信息安全、以便企业不受损失应该成为各级企业用户的 共识。那么作为企业，又该采取何种措施来保证自己的信 息不受“攻击”呢？本文就是作者总结出来的 24 种防范招 数。 二十世纪九十年代末出现的 Internet 标志着人类社会已 经进入了信息化时代,在这个时代，越来越多的人已经开始 离不开 Internet 网络。由于 internet 的共享性和对外开 外性，如何保证信息安全就成为发展 internet 的重要课题。 目前，我国整体的 internet 安全防护能力很弱，许多应用 系统还处于不设防的状态或系统安全维护得很不够。随着 企业上网的迅猛发展，网络安全问题变得尤为重要，因为 网络安全直接关系到企业的生存与发展，确保企业信息安 全、以便企业不受损失应该成为各级企业用户的共识。那 么作为企业，又该采取何种措施来保证自己的信息不受 “攻击”呢？ 妙招 1、提高网络安全防范意识。 现在许多企业没有意识到互联网的易受攻击性，盲目相信 国外的加密软件，对于系统的访问权限和密钥缺乏有力度 的管理。这样的系统一旦受到攻击将十分脆弱，其中的机 密数据得不到应有的保护。据调查，目前国内 90%的网站存 在安全问题，其主要原因是企业管理者缺少或没有安全意 识。某些企业网络管理员甚至认为其公司规模较小，不会 成为黑客的攻击目标，如此态度，网络安全更是无从谈起。 妙招 2、不轻易运行不明真相的程序 如果你收到一封带有附件的电子邮件，且附件是扩展名为 一类的文件，这时千万不能贸然运行它，因为这个 不明真相的程序，就有可能是一个系统破坏程序。攻击者 常把系统破坏程序换一个名字用电子邮件发给你，并带有 一些欺骗性主题，骗你说一些：“这是个好东东，你一定 要试试” ， “帮我测试一下程序”之类的话。你一定要警惕 了！对待这些表面上很友好、跟善意的邮件附件，我们应 该做的是立即删除这些来历不明的文件。 妙招 3、用防火墙将企业内部网（intranet）与互联网 （internet）之间进行隔离。 为自己的局域网或站点提供隔离保护，是目前普遍采用的 一种安全有效的方法。防火墙是一个位于内部网络与 Internet 之间的计算机或网络设备中的一个功能模块，是 按照一定的安全策略建立起来的硬件和软件的有机组成体， 其目的是为内部网络或主机提供安全保护，控制谁可以从 外部访问内部受保护的对象，谁可以从内部网络访问 Internet，以及相互之间采取哪种方式进行访问。所以为 了保护自己的计算机系统信息，不受外来信息的破坏和威 胁，我们可以在自己的计算机系统中安装防火墙软件。 由于网络攻击不断升级，对应的防火墙软件也应该及 时跟着升级，这样就要求我们企业的网管人员要经常到有 关网站上下载最新的补丁程序，以便进行网络维护，同时 经常扫描整个内部网络，以发现任何安全隐患并及时更改， 才能做到有备无患。 妙招 4、屏蔽小甜饼程序 小甜饼就是 Cookie，它是 Web 服务器发送到电脑里的数据 文件，它记录了诸如用户名、口令和关于用户兴趣取向的 信息。实际上，它使你访问同一站点时感到方便，比如， 不用重新输入口令。但 Cookies 收集到的个人信息可能会 被一些喜欢搞“恶作剧”的人利用，它可能造成安全隐患， 因此，我们可以在浏览器中做一些必要的设置，要求浏览 器在接受 Cookie 之前提醒您，或者干脆拒绝它们。通常来 说，Cookie 会在浏览器被关闭时自动从计算机中删除，可 是，有许多 Cookie 会一反常态，始终存储在硬盘中收集用 户的相关信息，其实这些 Cookie 就是被设计成能够驻留在 我们的计算机上的。随着时间的推移，Cookie 信息可能越 来越多，当然我们的心境也因此变得越来越不踏实。为了 确保万无一失，对待这些已有的 Cookie 信息应该从硬盘中 立即清除，并在浏览器中调整 Cookie 设置，让浏览器拒绝 接受 Cookie 信息。 妙招 5、屏蔽 ActiveX 控件 由于 ActiveX 控件可以被嵌入到 HTML 页面中，并下载到 浏览器端加以执行，因此会给浏览器端造成一定程度的安 全威胁。目前已有证据表明，在客户端的浏览器中，如 IE 中插入某些 ActiveX 控件，也将直接对服务器端造成意想 不到的安全威胁。同时，一些其他技术，如内嵌于 IE 的 VBScript 语言，用这种语言生成的客户端可执行的程序模 块，也同 Java 小程序一样，有可能给客户端带来安全性能 上的漏洞。此外，还有一些新技术，如 ASP(ActiveserverPages)技术，由于用户可以为 ASP 的输 出随意增加客户脚本、ActiveX 控件和动态 HTML，因此在 ASP 脚本中同样也都存在着一定的安全隐患。所以，用户如 果要保证自己在因特网上的信息绝对安全，可以屏蔽掉这 些可能对计算机安全构成威胁的 ActiveX 控件。 妙招 6、在不同的地方用不同的口令 对于经常上网的用户，可能会发现在网上需要设置密码的 情况有很多。有很多用户图方便记忆，不论在什么地方， 都使用同一个口令，殊不知他们已不知不觉地留下了一个 安全隐患。因为攻击者一般在破获到用户的一个密码后， 会用这个密码去尝试用户每一个需要甬道口令的地方！想 想看，别人用一个口令慢慢地盗用你的帐号上网；再去偷 看与冒发你的 Email；也许还会用你的身份去聊天室损害你 的形象，想想看那后果该有多严重呀！所以笔者强烈 建议各位用户，每个不同的地方用不同的密码，一定不能 相同，同时要把各个对应的密码记下来，以备日后查用。 另外一点就是我们在设定密码时，不应该使用字典中可以 查到的单词，也不要使用个人的生日，最好是字母、符号 和数字混用，多用特殊字符，诸如%、&、#、和$,并且在允 许的范围内，越长越好，以保证你的密码不易被人猜中。 妙招 7、定期清除缓存、历史记录以及临时文件夹中的内 容 我们在上网浏览信息时，浏览器会把我们在上网过程中浏 览的信息保存在浏览器的相关设置中，这样下次再访问同 样信息时可以很快地达到目的地，从而提高了我们的浏览 效率。但是浏览器的缓存、历史记录以及临时文件夹中的 内容保留了我们太多的上网的记录，这些记录一旦被那些 无聊的人得到，他们就有可能从这些记录中寻找到有关个 人信息的蛛丝马迹。为了确保个人信息资料的绝对安全， 我们应该定期清理缓存、历史记录以及临时文件夹中的内 容。 妙招 8、不随意透露任何个人信息 在网上浏览信息时，经常会发现需要用户注册自己个 人信息资料的表单。这些站点通过程序设计达到一种不填 写表单就不能获取自己需要的信息的目的。面对这种强迫 用户注册个人信息的情况，我们最好的办法是不要轻易把 自己真实的信息提交给他们，特别是不要向任何人透露你 的密码。还有，在使用 ICQ、OICQ 等网络软件以及注册免 费 Email 信息的时候，我们都需要填写一些个人资料。某 些资料是必须填写的，自然无法略过。但是对于可填可不 填但又涉及自己隐私的资料，还是能免就免，您有权利保 持沉默，否则您所说的一切，有可能在网络上被黑客利用。 妙招 9、突遇莫名其妙的故障时要及时检查系统信息 上网过程中，突然觉得计算机工作不对劲时，仿佛感觉有 人在遥远的地方遥控你。这时，你必须及时停止手中的工 作，立即按 Ctrl+Alt+Del 复合键来查看一下系统是否运行 了什么其他的程序，一旦发现有莫名其妙的程序在运行， 你马上停止它，以免对整个计算机系统有更大的威胁。但 是并不是所有的程序运行时出现在程序列表中，有些程序 例如 BackOrifice（一种黑客的后门程序）并不显示在 Ctrl+Alt+Del 复合键的进程列表中，所以如果你的计算机 中运行的是或者操作系统，最 好运行“附件”/“系统工具”/“系统信息” ，然后双击 “软件环境” ，选择“正在运行任务” ，在任务列表中寻找 自己不熟悉的或者自己并没有运行的程序，一旦找到程序 后应立即终止它，以防后患。 妙招 10、对机密信息实施加密保护 对机密信息进行加密存储和传输是传统而有效的方法，这 种方法对保护机密信息的安全特别有效，能够防止搭线窃 听和黑客入侵，在目前基于 Web 服务的一些网络安全协议 中得到了广泛的应用。在 Web 服务中的传输加密一般在应 用层实现。WWW 服务器在发送机密信息时，首先根据接收方 的 IP 地址或其他标识，选取密钥对，信息进行加密运算； 浏览器在接收到加密数据后，根据 IP 包中信息的源地址或 其他标识对加密数据进行解密运算，从而得到所需的数据。 在目前流行的 WWW 服务器和浏览器中，如微软公司的 IIS 服务器和浏览器 IE，都可以对信息进行加解密运算，同时 也留有接口，用户可以对这些加解密算法进行重载，构造 自己的加解模块。 妙招 11、拒绝某些可能有威胁的站点对自己的访问 我们在上网浏览信息时，应该做一个有心人，应经常通过 一些报刊杂志来搜集一些黑客站点或其他一些具有破坏站 点的相关信息，并时时注意哪些站点会恶意窃取别人的个 人信息。在了解了这类网站的基本信息的情况下，如果想 防止自己的站点不受上述那些站点的破坏，我们可以通过 一些相关设置来拒绝这些站点对你的信息的访问，从而能 使浏览器能够自动拒绝这些网站发出的某些对自己有安全 威胁的指令。 妙招 12、对重要的邮件进行加密 由于越来越多的人通过电子邮件进行重要的商务活动和发 送机密信息，而且随着互联网的飞速发展，这类应用会更 加频繁。因此保证邮件的真实性（即不被他人伪造）和不 被其他人截取和偷阅也变得日趋重要。所以，对于包含敏 感信息的邮件，最好利用数字标识对你写的邮件进行数字 签名后再发送。所谓数字标识是指由独立的授权机构发放 的证明你在 Internet 上身份的证件，是你在因特网上的身 份证。这些发证的商业机构将发放给你这个身份证并不断 效验其有效性。你首先向这些公司申请数字标识，然后就 可以利用这个数字标识对你写的邮件进行数字签名。如果 你获得了别人的数字标识那么你还可以跟他发送加密邮件。 你通过对发送的邮件进行数字签名可以把你的数字标识发 送给他人，这时他们收到的实际上是公用密钥，以后他们 就可以通过这个公用密钥对发给你的邮件进行加密，你再 使用私人密钥对加密邮件进行解密和阅读。 妙招 13、为客户/服务器通信双方提供身份认证，建立安 全信道 目前已经出现了建立在现有网络协议基础上的一些网络安 全协议，如 SSL 和 PCT。这两种协议主要是用于保护机密信 息，同时也用于防止其他非法用户侵入自己的主机，给自 己带来安全威胁。 SSL 协议是美国 Netscape 公司最早提出的一种包括服 务器的认证、签名、加密技术的私有通信，可提供对服务 器的认证，根据服务器的选项，还可提供对客户端的认证。 SSL 协议可运行在任何一种可靠的传输协议之上，如 TCP， 但它并不依赖于 TCP，并能够运行在 HTTP、FTP、TELNET 等 应用协议之下，为其提供安全的通信。SSL 协议使用认证标 准，RSA、diffieHellman 和 FortezzaKEA 算法作为其公钥 算法，使用 RC4128、RC128、DES、3 层 DWS 或 IDEA 作为其 数据加密算法。PCT 提供了比 SSL 更加丰富的认证方案、加 密算法，并在某些协议细节上作了改进。 妙招 14、尽量少在聊天室里或使用聊天 在聊天室里或者用与一些朋友轻松讨论问题，开 开玩笑，真是舒坦！然而在你轻松快乐之余，恶意破坏者 们利用网上聊天的一些漏洞，从中获取你的个人信息，比 如你所在机器的地址，你的姓名等等。然后他们利用 这些个人信息对你进行一些恶意的攻击，例如在聊天室里， 他们常常可以发给大家一个足以让用户计算机死机的 HTML 语句。因为这些 HTML 语句是不会在聊天室显示出来的，所 以你遭攻击可能还不知道！防治的办法是在你的浏览器中 预先关闭你的 JAVA 脚本。另外在网上有一种工具只要你在 网上，输入你的 QICQ 号，就可以知道你的 IP 地址，解决 办法只有你上网后，把 OICQ 状态设置为隐藏状态，这样破 坏者才不知道你在网上！ 妙招 15、企业的网管人员不应该在网上随意透露自己企业 的任何安全信息。 网管人员在网上经常需要与别人进行交流沟通，不过他们 应该注意在真正了解网上朋友之前，将交流限制在邮件、 网上聊天或公共交流区。不要轻信任何人，如他们的姓名、 性别、职业、住址和其他信息。统计表明多数网上聊天参 加者很少使用真实身份,小心确认向陌生人透露何种个人信 息和透露多少。不要随意在站点的来客登记簿上登录，这 可能会导致收到垃圾邮件。 妙招 16、内部网络系统的密码要定期修改。 由于许多黑客利用穷举法来破解密码，像 john 这一类的 密码破解程序可从因特网上免费下载，只要加上一个足够 大的字典在足够快的机器上没日没夜地运行，就可以获得 需要的帐号及密码，因此，经常修改密码对付这种盗用就 显得十分奏效。当然，设定密码也有很深的学问，只有随 意性强、有足够的长度并及时更新的密码才能算是比较安 全的密码。以下四个原则可提高密码的抗破解能力。 不要选择常用字做密码。 用单词和符号混合组成密码。 使用 9 个以上的字符做密码，使你的密码尽可能地 长，对 Windows 系统来说，密码最少要由 9 个字符组成才 算安全。 密码组成中最好混合使用大小写字母，一般情况下 密码只由英文字母组成，密码中可使用 26 或 52 个字母。 若对一个 8 个字母组成的密码进行破解，密码中字母有无 大小写之分将使破解时间产生 256 倍的差别。 妙招 17、尽量不要使用共享硬盘功能 使用了远程拨号接入局域网功能的 Windows98 用户要慎用 硬盘共享和文件共享功能，共享就意味着允许别人下载文 件。尽量减少企业资源暴露在外部网上的机会和次数，减 少黑客进攻的机会。尽量不要启动系统资源共享功能。因 为共享就意味着允许别人下载文件。当硬盘或文件夹图标 下有一只手托着时，表明启动了共享功能，选中该图标， 选择“文件”选单下的“共享” ，再选“不共享” ，这只手 就消失了。 妙招 18、要经常使用杀毒软件来维护局域网系统不受病毒 攻击 现在国内的杀毒软件如 kv300、kill98、瑞星等，可以不 定期地在脱机的情况下进行检查和清除。另外，有的杀毒 软件还提供网络实时监控功能，这一功能可以在黑客从远 端执行用户机器上的文件时，提供报警或让执行失败，使 黑客向用户机器上载可执行文件后无法正确执行，从而避 免了进一步的损失。 妙招 19、防止黑客的非法侵入 将网络的 tcp 起时限制在 15 分钟以内，减少黑客入侵的 机会。并扩大连接表，增加黑客填写整个连接表的难度。 另外，同其它企业进行联合，共同抵制黑客的入侵，一旦 被入侵要及时向有关部门汇报，并共同查找入侵来源，锁 定黑客 ip 地址。 妙招 20、请别人安装或调试后应立即修改密码 这是一个很容易忽略的细节，许多用户第一次不懂得如何 拨号上网，就请别人来教，这样常常把用户名和密码告诉 此人，这个人记住以后就可以回去盗用服务了。所以，用 户最好自己学会如何拨号后再去申请上网账号，或者首先 向 ISP 问清如何修改自己的密码，在别人教会自己如何拨 号后，立刻将密码改掉，避免被人盗用。 如果企业的局域网系统是请他人调试安装的，企业的 网管人员应该注意在网络调试好以后应及时对整个网络系 统加装安全保护系统，或者重新修改调试人员以前设定的 密码。所以，企业用户最好自己学会如何调试和管理自己 的局域网系统，不要经常请别人来协助管理。 妙招 21、删除后缀为.pwl 的文件 在 Windows 目录下往往有一些以“.pwl”为后缀名的密码 文件， “.pwl”是 password 的音译缩写。比如：在最初的 Windows95 操作系统中密码的保存即存在安全漏洞，从而使 黑客可以利用相应的程序轻松获取保存在 pwl 文件里的密 码。这一漏洞在 Windows98 中已经被修复。因此，你需要 为你的电脑安装 Windows98 以上版本的操作系统。pwl 文件 还常常记录其它地方要用到的密码，比如开启 Exchange 电 子信箱的密码、玩 Mud 游戏的密码等，要经常删除这些 pwl 文件避免将密码留在硬盘上。 妙招 22、禁止安装击键记录程序 很多人知道这个程序，这个在 DOS 下常用的外部命令能通 过恢复以前输入的命令来加快输入命令的速度，在 Windows 下也有了许多类似的程序，如 keylog，它不但能记录用户 的击键动作甚至能以快照的形式记录到屏幕上发生的一切。 还有些程序能将击键字母记录到根目录下的某一特定文件 中，而这一文件可以用文本编辑器来查看。密码就是这样 被泄露出去的，偷盗者只要在根目录下看看就可以了，根 本无需任何专业知识！ 妙招 23、对付特洛伊木马 特洛伊木马程序常被定义为当执行一个任务时却实际上执 行着另一个任务的程序，用“瞒天过海”或“披着羊皮的 狼”之类的词来形容这类程序一点也不为过。典型的一个 例子是：伪造一个登录界面，当用户在这个界面上输入用 户名和密码时，程序将它们转移到一个隐蔽的文件中，然 后提示错误要求用户再输入一遍，程序这时再调用真正的 登录界面让用户登录，于是在用户几乎毫无察觉的情况下 就得到了记录有用户名和密码的文件。现在互联网上有许 多所谓的特洛伊木马程序，严格地说它们属于客户机服 务器（CS）程序，因为它们往往带有一个用