建站
咨詢
售后
建站咨詢
新聞中心
無(wú)論是在現(xiàn)實(shí)生活中，還是在虛擬的網(wǎng)絡(luò)世界，永遠(yuǎn)都是內(nèi)患難防——許多企業(yè)電腦網(wǎng)絡(luò)安全問(wèn)題往往是由于內(nèi)部員工引起的。所謂的“內(nèi)患”不一定是真正仇視企業(yè)的員工，很多都是無(wú)心為之。如員工訪問(wèn)了被掛馬的網(wǎng)站，間諜軟件、廣告軟件等惡意軟件就會(huì)不知不覺(jué)地下載到他們的電腦中，接下來(lái)，這些惡意軟件就會(huì)在企業(yè)內(nèi)部網(wǎng)絡(luò)中進(jìn)行傳播。
成都創(chuàng)新互聯(lián)公司服務(wù)項(xiàng)目包括天山網(wǎng)站建設(shè)、天山網(wǎng)站制作、天山網(wǎng)頁(yè)制作以及天山網(wǎng)絡(luò)營(yíng)銷策劃等。多年來(lái)，我們專注于互聯(lián)網(wǎng)行業(yè)，利用自身積累的技術(shù)優(yōu)勢(shì)、行業(yè)經(jīng)驗(yàn)、深度合作伙伴關(guān)系等，向廣大中小型企業(yè)、政府機(jī)構(gòu)等提供互聯(lián)網(wǎng)行業(yè)的解決方案，天山網(wǎng)站推廣取得了明顯的社會(huì)效益與經(jīng)濟(jì)效益。目前，我們服務(wù)的客戶以成都為中心已經(jīng)輻射到天山省份的部分城市，未來(lái)相信會(huì)繼續(xù)擴(kuò)大服務(wù)區(qū)域并繼續(xù)獲得客戶的支持與信任！
員工給企業(yè)造成的危害，無(wú)論是否有意而為，其行為導(dǎo)致的結(jié)果卻是一樣：不當(dāng)使用網(wǎng)絡(luò)從事各種活動(dòng)極有可能導(dǎo)致公司信息系統(tǒng)被入侵、機(jī)密資料被竊以及公司網(wǎng)絡(luò)堵塞等問(wèn)題。企業(yè)的商業(yè)機(jī)密泄露，資產(chǎn)必將遭受巨額損失。
數(shù)據(jù)泄露對(duì)企業(yè)和員工都是極大損失
當(dāng)企業(yè)數(shù)據(jù)泄露時(shí)，遭受損失不僅是企業(yè)，與之相關(guān)的員工都成為最終的受害者。
06年8月，就職于美國(guó)在線公司（AOL）首席技術(shù)官莫林·高文（Maureen Govern）辭職，其原因就是AOL公司在之前的三個(gè)月里泄露了658000位匿名用戶的約2000萬(wàn)個(gè)關(guān)鍵詞搜索信息。
此外，AOL技術(shù)研究部門(mén)的一位研究人員和他的主管也因數(shù)據(jù)泄露而離開(kāi)了公司。為平息網(wǎng)上的如潮批評(píng)之聲，AOL表示將成立一個(gè)專門(mén)的小組審查公司客戶隱私保護(hù)政策。
數(shù)據(jù)泄露事件甚至讓一個(gè)國(guó)家蒙受損失，讓其政府執(zhí)政能力遭受質(zhì)疑——英國(guó)首相布朗曾因2500萬(wàn)人信息丟失遭質(zhì)疑。
07年10月份，英國(guó)稅務(wù)及海關(guān)總署弄丟兩張重要數(shù)據(jù)光盤(pán)，其中包括2500萬(wàn)人的敏感信息。在英國(guó)，兒童福利補(bǔ)貼都經(jīng)過(guò)銀行轉(zhuǎn)賬方式直接存入補(bǔ)助對(duì)象的賬戶，而稅務(wù)和海關(guān)總署丟失的兩張光盤(pán)就保存了補(bǔ)助人的個(gè)人資料等重要信息。
此次信息丟失牽涉到的英國(guó)家庭數(shù)目很大，幾乎所有擁有16歲以下兒童的家庭，都丟失了個(gè)人信息，甚至連首相布朗一家也未能幸免。丟失信息涉及所有兒童福利補(bǔ)貼受益人，包括2500萬(wàn)人、725萬(wàn)個(gè)家庭。英國(guó)幾乎一半人口的機(jī)密信息不慎丟失，其中包含銀行賬號(hào)等重要內(nèi)容，英國(guó)首相布朗21日遭到議員們的強(qiáng)烈質(zhì)疑。
#p# 很多企業(yè)在數(shù)據(jù)庫(kù)、電子郵件以及一些信息管理等方面也制定了一些安全策略，但這些安全策略若只是一
個(gè)框架，其產(chǎn)生的效果是值得懷疑的。
讓企業(yè)IT負(fù)責(zé)人最為頭痛的就是企業(yè)關(guān)鍵數(shù)據(jù)泄密，他們最不愿意看到的就是這些數(shù)據(jù)被一些惡意用戶所
掌握。然而泄密真是在所難免，因?yàn)闊o(wú)論企業(yè)配備多么強(qiáng)大技術(shù)與設(shè)備，具有如何全面直觀的檢測(cè)系統(tǒng)也
不能全面的避免非法侵入者利用企業(yè)某些信息安全防護(hù)“短板”。
業(yè)內(nèi)專業(yè)人士曾警告：企業(yè)信息泄密點(diǎn)通常也是最被企業(yè)所忽視的——數(shù)據(jù)庫(kù)超級(jí)用戶管理權(quán)限、簡(jiǎn)單的電
子郵件設(shè)置以及那些漫不經(jīng)心的安全策略。
數(shù)據(jù)庫(kù)超級(jí)用戶管理權(quán)限
很多企業(yè)所用數(shù)據(jù)庫(kù)都存在超級(jí)管理員權(quán)限，這種權(quán)限存在是數(shù)據(jù)庫(kù)權(quán)限濫用的一種體現(xiàn)。存在此類權(quán)限
的數(shù)據(jù)庫(kù)環(huán)境也是非常危險(xiǎn)的，因?yàn)樗浅Ｈ菀妆灰恍┎涣既藛T所利用，導(dǎo)致關(guān)鍵數(shù)據(jù)泄露。
約翰遜提供三種設(shè)想和建議，以使數(shù)據(jù)得到充分保護(hù)：
1、在企業(yè)，讓IT 運(yùn)維人員根據(jù)用戶的實(shí)際需求分配權(quán)限是一個(gè)費(fèi)力不討好的工作。所謂的費(fèi)力，是指IT運(yùn)維人員若要按需分配首先要從單位行政角度摸清員工（這里也包括高層管理者）的實(shí)際需求，其工作量可想而知；很多企業(yè)高層管理者要求IT 運(yùn)維人員要將其數(shù)據(jù)庫(kù)的權(quán)限設(shè)置成“超級(jí)管理員”，但這種要求與這些高層實(shí)際需求不一定相符，使得IT 運(yùn)維人員左右為難。
不過(guò)作為IT主管，即便你很為難，但我還是建議你要堅(jiān)持原則——相關(guān)人員數(shù)據(jù)庫(kù)使用權(quán)限與其實(shí)際工作權(quán)限相配套，尤其是要弄清楚那些具有超級(jí)用戶管理權(quán)限的人員獲得權(quán)限的原因。公司管理層在這方面有一個(gè)明確的判斷，是要方便還是要安全。不過(guò)從前面的這些安全事故中我們可以看出，要想從如此競(jìng)爭(zhēng)激烈的市場(chǎng)環(huán)境中脫穎而出，穩(wěn)妥的安全措施勢(shì)在必行。
2、很多大型企業(yè)還存在這樣一個(gè)問(wèn)題，數(shù)據(jù)庫(kù)管理員（DBA）和網(wǎng)絡(luò)管理員到底誰(shuí)應(yīng)該賦予更多的更全的管理權(quán)限，以完成他們的工作。按照員工比例來(lái)講，即便是數(shù)據(jù)庫(kù)管理員和網(wǎng)絡(luò)管理員二者相加，其總量也是少數(shù)。對(duì)他們實(shí)施管理相對(duì)簡(jiǎn)單。但這里還是存在管理上的漏洞：是不是DBA就可以無(wú)限制的看到所有的數(shù)據(jù)？誰(shuí)可以擁有數(shù)據(jù)庫(kù)備份副本的管理權(quán)限？即便是這些擁有超級(jí)權(quán)限的人是值得信賴的人，就沒(méi)有數(shù)據(jù)泄露的隱患了嗎？
建議還是取消數(shù)據(jù)庫(kù)管理員以及網(wǎng)絡(luò)管理員（系統(tǒng)管理員）的超級(jí)用戶管理權(quán)限。因?yàn)樗麄冎灰龊米约汗ぷ骶秃昧?，不必也沒(méi)有任何理由完全掌握企業(yè)的數(shù)據(jù)庫(kù)管理權(quán)限。對(duì)這些IT管理人員的職責(zé)也應(yīng)該細(xì)分，讓他們?cè)谧约郝殭?quán)范圍內(nèi)設(shè)定自己的用戶名和密碼，并自己保存。這些管理員們向CIO提交他們的用戶與密碼副本，而這些副本也不應(yīng)該有CIO隨意掌控，而是將其放進(jìn)“LOCKBOX”這樣的密碼保護(hù)軟件中。這種方法可以說(shuō)基本上沒(méi)什么技術(shù)含量，但它可以防止企業(yè)過(guò)度分配超級(jí)管理員權(quán)限。
3、還有種情況可能出現(xiàn)：某些IT用戶可能不需要擁有強(qiáng)大的特權(quán)，但由于他們的工作性質(zhì)，有可能使用別人的超級(jí)管理特權(quán)。一個(gè)典型的例子就是一個(gè)低級(jí)別的數(shù)據(jù)中心業(yè)務(wù)人員，他或者僅負(fù)責(zé)生產(chǎn)調(diào)度環(huán)境，而他有些工作卻有可能涉及到數(shù)據(jù)庫(kù)管理和系統(tǒng)管理員的用戶名和密碼。這對(duì)于任何企業(yè)而言都是一個(gè)重大潛在威脅。
這種情況看似難辦，實(shí)際上也不是很難解決。無(wú)論是最終用戶還是那些具有超級(jí)用戶權(quán)限的人，對(duì)他們賦予權(quán)限的規(guī)則是幫助誠(chéng)實(shí)的人留下誠(chéng)實(shí)。讓所有的人都知道，在企業(yè)中的網(wǎng)絡(luò)行為都會(huì)受到監(jiān)控，這樣就可以阻止數(shù)據(jù)泄露事故的大量發(fā)生。
停止大規(guī)模郵寄您的機(jī)密信息
“核心商業(yè)機(jī)密對(duì)于企業(yè)的價(jià)值自是不言而喻。而核心機(jī)密的頭號(hào)泄露途徑確實(shí)最為普通的電子郵件?！盤(pán)roofpoint公司 CEO 加里斯蒂爾如此認(rèn)為。
上述言論正好說(shuō)明了最近的一項(xiàng)調(diào)查的準(zhǔn)確性——據(jù)Forrester進(jìn)行的調(diào)查發(fā)現(xiàn)，IT主管和經(jīng)理們認(rèn)為，出站電子郵件的最容易造成數(shù)據(jù)泄露，尤其是想機(jī)密備忘錄、極具價(jià)值的知識(shí)產(chǎn)權(quán)和交易信息。
然而觀察一些泄密事件后，你就會(huì)發(fā)現(xiàn)，這些事件中惡意泄露的只占很小的一部分。絕大部分都是疏忽造成的。在加利福尼州，亞康特拉科斯塔縣的一位雇員就因?yàn)檫x錯(cuò)了郵件列表這個(gè)疏忽，將很多機(jī)密文件通過(guò)郵件誤發(fā)給瑞典的一個(gè)朋友。法院庭審檔案無(wú)疑是機(jī)密的，而某個(gè)粗心大意的法庭聽(tīng)證會(huì)書(shū)記員曾復(fù)制科比強(qiáng)奸案的法院謄本后，將其不小心放入了錯(cuò)誤的郵件組發(fā)送了……
不可否認(rèn)，現(xiàn)實(shí)生活中確實(shí)存在惡意泄露事件。企業(yè)用戶應(yīng)對(duì)此有防范意識(shí)，如采用Proofpoint這樣的保護(hù)服務(wù)器軟件等，可以幫助企業(yè)搭建信息保護(hù)平臺(tái)，防范入站郵件威脅（如垃圾郵件和病毒） ，并確保出站郵件符合公司的政策和外部法規(guī)。
#p#TELXAR公司創(chuàng)始人見(jiàn)首席執(zhí)行官Jeff Bowling強(qiáng)調(diào)說(shuō)，堵住數(shù)據(jù)泄露的最好的方法是執(zhí)行一個(gè)比較好的安全計(jì)劃——應(yīng)該包括拒絕服務(wù)攻擊和內(nèi)部網(wǎng)絡(luò)的安全注意事項(xiàng)，同時(shí)還應(yīng)該對(duì)網(wǎng)絡(luò)管理員的指南服務(wù)。下列信息應(yīng)該包含在計(jì)劃之中，卻又被忽視的：
1. 表明獲得小時(shí)
2. 指定的登錄憑證和權(quán)利
3. 禁用外部軟件
4. 考慮內(nèi)部審計(jì)/入侵監(jiān)測(cè)應(yīng)用
5. 鎖定內(nèi)部硬件組件
6. 進(jìn)行定期審計(jì)，安全和資源
7. 禁用USB或FireWire端口
8. 限制郵件大小和/或阻止所有附件
9. 不允許使用相機(jī)裝置內(nèi)限制/敏感領(lǐng)域
10. 定義一個(gè)嚴(yán)格的政策，接受設(shè)備及其使用情況
11. 確定一個(gè)聯(lián)絡(luò)點(diǎn)，政策問(wèn)題的網(wǎng)絡(luò)和它的內(nèi)容
12. 執(zhí)行保密和保密協(xié)議
13. 確定的指揮鏈和升級(jí)程序
14. 確保管理人員和用戶了解的安全計(jì)劃和政策
非技術(shù)的方法也值得考慮
Johnson提出了另一種安全策略：“現(xiàn)在的企業(yè)太沉迷于技術(shù)手段保護(hù)數(shù)據(jù)的安全了。這是讓我非常驚訝的——實(shí)際上使用一些飛技術(shù)手段會(huì)打到意想不到的效果。在可能的情況下，企業(yè)應(yīng)該對(duì)在敏感職位上員工的真是背景進(jìn)行深入調(diào)查，察看這些員工的可信度是否適宜目前的工作。這一策略并不是我的發(fā)明，我過(guò)去工作過(guò)的國(guó)防工業(yè)中，這樣的審查程序是必須的，也是絕對(duì)必要的?！?/p>
作為企業(yè)安全主管有一條原則，那就是安全系統(tǒng)是不能只由一個(gè)人負(fù)責(zé)——進(jìn)入機(jī)房的時(shí)候，應(yīng)該是一對(duì)伙伴共同操作。一個(gè)人操作時(shí)，另外一個(gè)人將密切關(guān)注對(duì)方登錄和登出等動(dòng)作。
本文題目：利用簡(jiǎn)單方法即可阻止數(shù)據(jù)泄漏危害
網(wǎng)頁(yè)URL：http://m.fisionsoft.com.cn/article/cceeeji.html
