企业网络管理员常犯的19大愚蠢错误(1)(2)

4.未正确配置访问控制列表

使用访问控制列表分割网络是确保服务器不会越界的最简单有效的方式，它能确保每台网络设备或系统只与它们需要的服务器或系统进行通讯。例如，如果你允许业务合作伙伴可以通过你的VPN访问你内网中的两台服务器，那么你应该在访问控制列表中进行设置，确保这些业务合作伙伴只能访问这两台服务器，而不能越界。即便是某个黑客利用合作伙伴的这个通道进入你的企业内网，那么他也仅仅能窃取这两台服务器上的数据，危害范围大大降低。

“但是，现实情况却是，利用VPN进入企业网络的黑客往往在内网中畅通无阻，” Tippett说。事实上，如果所有企业都能正确配置访问控制列表，那么过去的一年中所发生的网络侵害事件就能减少66%。配置访问控制列表是一件非常简单的工作，而CIO们不愿做这件事的理由是它涉及到将路由器用作防火墙，这是许多网络管理员并不希望的。

5.允许不安全的远程访问和管理软件

黑客侵入企业内网最常用的手段之一就是使用远程访问和管理软件包，比如PCAnywhere、Virtual Network Computing (VNC)或Secure Shell (SSH)。通常，这些应用软件都缺乏最基本的保障措施，比如安全的密码。

解决这一问题的最简单方法就是对你的整个IP地址空间运行一个外部扫描，寻找PCAnywhere、Virtual Network Computing (VNC)或Secure Shell (SSH)。一旦检测到这些应用，立刻对其增加额外的保障措施，比如令牌或证书。除此以外，另一种方法就是扫描外部路由器的NetFlow数据，看看有没有远程访问管理流量出现在你的网络中。

根据Verizon Business的报告，不安全的远程访问和管理软件所占的比例也是非常高的，达到了27%。

6.没有对非关键应用进行基本漏洞扫描或测试

根据Verizon Business的研究结果，近80%的黑客攻击都是由于Web应用存在安全漏洞造成的。网络管理人员知道，系统最大的漏洞就在Web应用中，所以他们用尽浑身解数对关键系统和Web系统进行测试。

现在的问题是，大多数黑客攻击利用的都是企业内网非关键系统的安全漏洞。“主要问题是，我们疯狂的测试核心网络应用，而忽略了非Web应用测试，” Tippett说。因此，他建议网络管理员在做漏洞扫描或测试时应该把网撒的更大更广泛。

“我们从小受的教育就是一定要根据轻重缓解安排工作，但是不良分子却不管所谓的轻重缓急，哪个容易攻破，他们就进入哪个。”Tippett说。“一旦他们进入你的网络，他们就在里面为所欲为。”

7.未能对服务器采取有效的保护措施，恶意软件泛滥

Verizon Business的研究报告表明，服务器恶意软件大约占到了所有安全漏洞的38%。大多数恶意软件是由黑客远程安装的，用来窃取用户的数据。通常情况下，恶意软件都是定制的，所以它们不能被防病毒软件发现。网络管理员查找服务器恶意软件(比如键盘记录软件或间谍软件)的一个有效手段就是在自己的每台服务器上运行一个基于主机的入侵检测系统软件，而不仅仅是核心服务器。

Tippett表示，一些非常简单的方法就可以避免许多这类攻击，比如服务器锁定，这样新的应用就无法在它上面运行。“网络管理人员通常不愿意这样做，因为他们认为这可能会使安装新软件变得有些复杂，”Tippett说。“而事实上，如果你要安装新应用，你可以先开锁，安装完毕后，再锁上就OK了。”