十措施防止雇員給單位帶來的安全損害

申請免費(fèi)試用、咨詢電話：400-8352-114

越來越多的事實(shí)證明，公司安全的最大敵人是內(nèi)部人員。公司網(wǎng)絡(luò)安全的最大威脅并不是某個(gè)神秘的黑客從世界的某個(gè)地方發(fā)動攻擊，而是公司的內(nèi)部員工。

事實(shí)證明，電子郵件是進(jìn)入網(wǎng)絡(luò)的一個(gè)重要途徑。黑客們通過電子郵件把網(wǎng)絡(luò)搞慢，甚至將整個(gè)網(wǎng)絡(luò)搞垮。

隨著時(shí)間的推移，黑客們已經(jīng)將其戰(zhàn)略重點(diǎn)從搞破壞轉(zhuǎn)到了賺錢。其技術(shù)也發(fā)生了變化，而且隨著USB移動設(shè)備的普及，它日益成為一種竊取數(shù)據(jù)的快捷有效的手段。

黑客們將鍵盤記錄器軟件和其它的惡意軟件嵌入到這種設(shè)備中，并通過各種途徑肆意傳播。人們帶著這種設(shè)備去上班，將其插入到其PC中，卻不知道它已經(jīng)開始感染到自己的計(jì)算機(jī)。鍵盤記錄器會軟件會包含用戶名和口令。

據(jù)微軟的有關(guān)安全情報(bào)報(bào)告，木馬下載器和各種形式的惡意軟件在2007年下半年增加了300%。這份報(bào)告發(fā)現(xiàn)惡意軟件是犯罪分子用于攻擊目標(biāo)計(jì)算機(jī)的主要工具。

隨著移動工作人員的增加，閃盤成為一種日益流行的數(shù)據(jù)竊取設(shè)備。在用戶離開筆記本電腦期間，別有用心的人將閃盤插入到設(shè)備中，就可以為所欲為。

不過，Vista用戶可以解決這個(gè)特定的問題，它可以準(zhǔn)許用戶禁止沒有經(jīng)過授權(quán)的USB驅(qū)動器。計(jì)算機(jī)不會識別沒有經(jīng)過注冊的閃盤。

釣魚陰謀是黑客們的另外一種用于獲取個(gè)人數(shù)據(jù)和財(cái)務(wù)信息的流行詭計(jì)。企業(yè)的雇員可能并不知道，釣魚詭計(jì)是不斷循環(huán)往復(fù)的。

近來的電子郵件中的釣魚攻擊日益增加。這種電子郵件看似來自客戶的銀行，它們一般要求用戶在電子郵件中單擊一個(gè)鏈接，然后將用戶帶到一個(gè)貌似銀行網(wǎng)站的網(wǎng)頁中，并要求用戶更新用戶名、口令和其它個(gè)人信息。

企業(yè)要培訓(xùn)雇員，使其知曉釣魚攻擊的屬性，首要的一點(diǎn)，要教育員工不要單擊電子郵件中的鏈接，這有助于防止雇員將公司的關(guān)鍵數(shù)據(jù)、個(gè)人的敏感信息落于犯罪分子之手。

筆者推薦使用較新瀏覽器中的釣魚過濾器，或者使用第三方的安全過濾軟件。過濾器是通過訪問一個(gè)已知的釣魚網(wǎng)站列表來運(yùn)行的。在用戶從一個(gè)網(wǎng)站轉(zhuǎn)到另外一個(gè)網(wǎng)站時(shí)，過濾器會告訴用戶某個(gè)特定的網(wǎng)站是否安全。例如，如果一個(gè)站點(diǎn)位于黑名單中，IE7地址欄會閃爍紅色。此外，筆者還推薦以下的十條措施，以作為單位教育雇員安全問題的選擇：

要教育雇員目前的威脅類型及其特點(diǎn)、表現(xiàn)形式、手段等。要讓雇員知道其行為如何增強(qiáng)或損害網(wǎng)絡(luò)安全。

要教育雇員從整體上看待網(wǎng)絡(luò)安全。要緊密關(guān)注如何保護(hù)現(xiàn)有的架構(gòu)，包括服務(wù)器、桌面機(jī)器和手持式移動設(shè)備。

要保證雇員所使用的系統(tǒng)擁有完整的、最新的惡意代碼保護(hù)，這包括反病毒、反間諜軟件、反釣魚軟件。

要保障遠(yuǎn)程雇員的筆記本電腦、桌面計(jì)算機(jī)和移動設(shè)備滿足單位的安全要求。要采取措施限制雇員使用家庭中的計(jì)算機(jī)訪問單位網(wǎng)絡(luò)所造成的風(fēng)險(xiǎn)，如采用SSL VPN技術(shù)。否則，其惡意代碼有可能感染整個(gè)網(wǎng)絡(luò)。

選用合適的NAC或NAP方案，這種方案能夠掃描試圖訪問公司網(wǎng)絡(luò)的任何設(shè)備。如果設(shè)備并不滿足安全標(biāo)準(zhǔn)(例如，如果反病毒太陳舊等)，在其滿足標(biāo)準(zhǔn)之前，這種設(shè)備將被隔離。

配置防火墻或UTM設(shè)備等，使其僅接受經(jīng)準(zhǔn)許的互聯(lián)網(wǎng)使用。

要制定防止隨意將軟件下載到桌面系統(tǒng)上的強(qiáng)健策略和措施。

要告知雇員遇到哪些可疑情況應(yīng)該尋求安全管理人員的幫助，要讓雇員知道該找誰。

要糾正雇員的一些錯(cuò)誤說法和做法，如“強(qiáng)口令很記憶，所以需要寫下來”，再如將太多的信息給一個(gè)打來電話的人(防止社交工程攻擊)等都需要避免。

要警告雇員在外出時(shí)如何保護(hù)筆記本電腦免受無線威脅損害，如不要隨意使用其它不了解的無線網(wǎng)絡(luò)連接。

從長遠(yuǎn)的觀點(diǎn)來看，雇員和終端用戶是對付各種網(wǎng)絡(luò)威脅的最重要的、最根本的防線。公司機(jī)構(gòu)的安全措施都依賴于雇員遵守和執(zhí)行相關(guān)的規(guī)則和策略。（IT專家網(wǎng)）