- 相關(guān)推薦
小心企業(yè)網(wǎng)站悄悄泄密
人們上網(wǎng)遨游時,會不會順便去你家后院挖寶?信息科技(IT)安全專家說,企業(yè)必須分清楚那些類型的訊息可在自家網(wǎng)站上公布、哪些則不宜,因為若是粗心大意,可能打開潘多拉的盒子,讓劫持者、黑客和工業(yè)間諜有機可乘。以下是專家的建議。揣摩竊賊的想法
明尼蘇達(dá)州Data Security Systems公司總裁Sandy Sherizen建議,企業(yè)網(wǎng)站內(nèi)容的守門員應(yīng)該「學(xué)習(xí)揣摩小偷的想法,揣測他們可能會想竊取什么資料,或搜集什么樣的商業(yè)競爭情報」。公司網(wǎng)站上貼出的零星數(shù)據(jù)乍看下可能無關(guān)緊要,但一旦拼湊起來,揭露出的公司內(nèi)部訊息、策略聯(lián)盟關(guān)系和客戶數(shù)據(jù),可能遠(yuǎn)超過你的想象。
Sherizen說,企業(yè)網(wǎng)站不該只交給網(wǎng)站維護員和公關(guān)部門負(fù)責(zé)。在貼出任何訊息前,IT安全人員應(yīng)先從安全性的觀點把內(nèi)容檢視一番,畢竟他們的職責(zé)是隨時留意技術(shù)弱點,設(shè)法防止黑客入侵。換句話說,他們已受過從竊賊角度思考的訓(xùn)練。
提防下游把關(guān)責(zé)任
當(dāng)今執(zhí)行的各種新法規(guī)都要求企業(yè)善盡責(zé)任。因此,Sherizen警告,疏于維護網(wǎng)站的安全,可能讓自己背負(fù)下游的法律責(zé)任。若你公司的信息系統(tǒng)已和供應(yīng)鏈商業(yè)伙伴的系統(tǒng)密切結(jié)合,或你透過自家網(wǎng)站搜集客戶的資料,更要當(dāng)心。
他舉一個法律個案為例。某人在甲公司的網(wǎng)站東張西望,因為防火墻防護不足,竟摸索出一條旁門左道,可經(jīng)由該網(wǎng)站闖入乙公司的信息系統(tǒng),進(jìn)而大肆破壞。盡管實際執(zhí)行入侵動作的是第三者(一個名下沒什么財產(chǎn)的青少年黑客),但乙公司后來控告甲公司的求償官司仍獲判勝訴。
遵行最低權(quán)限原則
賓州匹茲堡RedSiren公司產(chǎn)品策略副總裁Nick Brigman建議,在網(wǎng)站上公布數(shù)據(jù),要遵行「最低權(quán)限規(guī)則」(rule of least-privilege)。這位IT安全管理主管提醒:「只貼出要執(zhí)行某種功能絕不能少的數(shù)據(jù)。」他說,要訂出這樣的規(guī)則,首先必須確定企業(yè)網(wǎng)站的目標(biāo)和用途何在。他解釋:「若目標(biāo)是吸引潛在顧客,把他們導(dǎo)向銷售團隊,那么就不必把公司的資料巨細(xì)靡遺貼在網(wǎng)站上!固峁┨敱M的信息,可能泄露公司的運作細(xì)節(jié)。
RedSiren提供客戶一種服務(wù),稱為「公共信息偵察」,也就是到因特網(wǎng)上搜索任何找得到的、與客戶有關(guān)的公開訊息!肝覀兂30l(fā)現(xiàn),只要挖掘的時間夠久,什么數(shù)據(jù)都找得著,」Brigman說。他甚至尋獲客戶僅供內(nèi)部參考的網(wǎng)頁,只因為網(wǎng)頁被不經(jīng)意地上載。即使企業(yè)網(wǎng)站未提供這些網(wǎng)頁的連結(jié),但Google等搜尋引擎公司如今已設(shè)計出聰明絕頂?shù)乃饕绦,能把這些數(shù)據(jù)給找出來,晾在網(wǎng)絡(luò)上供全世界檢視。
Brigman堅稱,即使你認(rèn)為已做好充分的安全防護,只給少數(shù)人士有限度的存取權(quán)限,也絕不該把某些內(nèi)容張貼在全球信息網(wǎng)上。這些「企業(yè)的傳家之寶」包括諸如策略計劃、未來的營銷策略,以及與商業(yè)伙伴協(xié)商有關(guān)的任何信息。
維吉尼亞州Anteon公司Homeland Security公司經(jīng)理Ray Donahue強調(diào),在檢查自家網(wǎng)站的同時,也要以批評的眼光檢視主要供貨商的網(wǎng)站,了解他們怎么描述你的公司。對你的商業(yè)伙伴而言,宣布新的策略聯(lián)盟可能是極佳的廣告宣傳,但那些訊息也許也會對全世界宣告你公司用的是哪一種軟件系統(tǒng),或哪一種網(wǎng)絡(luò)設(shè)備──不啻是引狼入室,把邀請函發(fā)給樂于探知你系統(tǒng)弱點何在的黑客。
費城律師事務(wù)所Caesar, Rivise, Bernstein, Cohen & Pokotilow, Ltd.的智慧財產(chǎn)權(quán)律師兼合伙人Barry Stein則提醒,網(wǎng)站內(nèi)容若不嚴(yán)加把關(guān),可能導(dǎo)致法律后果和銷售額損失。小心翼翼避免商業(yè)機密和專業(yè)知識與技術(shù)外泄時,也不要忘了維護專利權(quán);谝蛱鼐W(wǎng)全球無疆界的特性,「讓原本可申請專利的發(fā)明細(xì)節(jié)曝光,若是數(shù)據(jù)外泄之前未申請到專利,可能造成公司喪失海外的專利權(quán),」他說。
電子郵件住址避免指名道姓
企業(yè)網(wǎng)站上貼出的訊息中,最常見也最危險的一種,就是「詳情請洽某某人」的電子郵件住址。Nick Brigman警告:「在網(wǎng)站上直接使用電子郵件姓名,是你必須防范的漏洞之一。」濫發(fā)郵件者常常從網(wǎng)站上搜集這些姓名,并以大量訊息疲勞轟炸這些電郵住址。惡意的黑客也可能擷取這些名字,用來偽造電子郵件,或把蠕蟲和病毒傳給不知情的收信人,讓他們誤以為是貴公司主管發(fā)的訊息。
Brigman建議,避開這種潛在危險的一種辦法,是以網(wǎng)絡(luò)表格作為透過網(wǎng)站連絡(luò)的管道,而不是讓外人傳來的連絡(luò)函直通公司內(nèi)部的電子郵件系統(tǒng)。
Ray Donahue另建議檢驗公司網(wǎng)站上公告的其它連絡(luò)點。若你公布一個供潛在顧客打電話查詢的專線號碼,就必須確定接電話的人員已被充分告知可對外提供哪些信息。來電查詢者也許想破壞你的公司、搶客戶,或從事其它不勝枚舉的卑鄙活動。時時謹(jǐn)慎就能提高警覺。
避免透露公司使用的基礎(chǔ)設(shè)施
紐約市IT咨詢公司SBI的科技長Ray Velez說:「有些公司公布出標(biāo)明應(yīng)用服務(wù)器類型的URL(全球資源尋址器),或系統(tǒng)供貨商,這是一大錯誤。」比方說,舊版Sun One應(yīng)用服務(wù)器的URL里包含一個標(biāo)準(zhǔn)的目錄,稱為NASAPP,Velez建議移除那個目錄。
Nick Brigman指出網(wǎng)站設(shè)計師可能犯的另一種常見錯誤:從公司網(wǎng)絡(luò)擷取一個商標(biāo)圖案或檔案,然后把它貼在網(wǎng)頁上!高@個數(shù)據(jù)經(jīng)常會泄露數(shù)據(jù)取得途徑的線索──文件名稱、系統(tǒng)名稱甚至檔案結(jié)構(gòu)。提供那些信息,就等于把搜尋數(shù)據(jù)的工具交給外人,」他說:「如蜘蛛結(jié)網(wǎng)一般,他們把數(shù)據(jù)組織起來,就能探知足夠的訊息,進(jìn)入下一層關(guān)卡,進(jìn)而取得更多信息!
從html/asp/jsp/php原始檔中刪除技術(shù)評論
Ray Velez說,程序開發(fā)者的評論也可能泄露你正在使用的技術(shù)類型,及其破解之道。這些評論可能在最終使用者的瀏覽器顯現(xiàn)出來。「切記,」Velez再叮嚀一句:「黑客常閱讀訊息留言板和貼文,很清楚最新發(fā)布的安全更新程序是用來修補什么漏洞。這是個問題,因為許多企業(yè)或個人并未安裝最新版本的修補程序。所以,這些[開發(fā)者]評論可被當(dāng)作破解某網(wǎng)站的指南。」
避免顯示因技術(shù)問題產(chǎn)生的錯誤訊息
Velez指出,這類錯誤訊息會暴露出你程序代碼的弱點,且讓基本架構(gòu)技術(shù)的相關(guān)訊息外泄。拿掉404狀態(tài)碼和其它40x錯誤訊息,改用使用者更容易了解、而且不透露基本技術(shù)訊息的錯誤訊息頁。
使用數(shù)字權(quán)管理以保護智能財產(chǎn)權(quán)
Velez建議,以密碼保護你不想讓網(wǎng)站
訪客任意重復(fù)使用的數(shù)據(jù)。安全控制不足,是網(wǎng)站一大常見的破綻。
使用無法修改的文/圖張貼格式
俄勒岡州波特蘭市SwiftView公司的產(chǎn)品經(jīng)理Glenn Widener另外提到,你把數(shù)據(jù)張貼在公司網(wǎng)站上的方式,也可能留下安全漏洞。不論是文字或圖形文件,若以原始的規(guī)格(如 Word、Visio、AutoCAD等等)儲存,難保不會遭到竄改。即使是可攜式文件格式(PDF)檔案,任何人用Adobe Acrobat軟件都能加以修改。
發(fā)展防竄改的安全措施可能既復(fù)雜又費時。他推薦使用根本無法修改的通用格式,像是PCL、HPGL、TIFF和JPG這類。打印格式(如PCL和HPGL)具有一些勝過bitmap格式的優(yōu)點:檔案較小、即使壓縮也可檢視,而且本文可供搜尋、索引和選取。
Widener說明:「就PCL而言,企業(yè)可允許商業(yè)伙伴從一份商業(yè)計劃中抽取一段文字,但那些數(shù)據(jù)無法更改。企業(yè)只要把欲擇取的那些頁輸出、設(shè)定成共享檔案,然后傳送該檔案,商業(yè)伙伴即可用各式各樣的瀏覽器,例如SwiftView的瀏覽器,來檢視、選擇和打印內(nèi)文!
Widener指出,PCL在金融界使用甚廣,例如抵押貨款銀行就因為潛在的安全性考慮,而使用PCL格式來傳送結(jié)清的文件。
培養(yǎng)員工的安全意識
「這是我們從客戶那里聽來的一個觀念,現(xiàn)在我們把它運用在自己的營銷文宣上,」Nick Brigman說:「在后911時代,你必須養(yǎng)成居安思危的意識!箘e漫不經(jīng)心把數(shù)據(jù)往網(wǎng)站上丟,而未嚴(yán)加檢視這些信息可能會被人怎么利用。而且,切莫以為既然數(shù)據(jù)未直接擺在網(wǎng)站上,別人就無從取得。他強調(diào):「網(wǎng)站可能是取得那個數(shù)據(jù)的一個途徑。所以,事前的檢查非常重要!谷绻緝(nèi)部IT小組的安全防護專業(yè)不足,宜聘請能勝任此任務(wù)的第三者。(Debra Young著.唐慧文譯/KMCenter)(來源::中國知識管理網(wǎng))
【小心企業(yè)網(wǎng)站悄悄泄密】相關(guān)文章:
企業(yè)泄密高危人群及管理08-05
業(yè)內(nèi)部的泄密行為08-05
企業(yè)門戶網(wǎng)站的興起08-05
企業(yè)網(wǎng)站策劃書08-14
微信泄密自查報告范文06-29