《小心企业网站悄悄泄密.docx》由会员分享，可在线阅读，更多相关《小心企业网站悄悄泄密.docx（7页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、小心企业网站悄悄泄密人们上网翱翔时，会不会顺便去你家后院挖宝？信息科技IT安全专家讲，企业必须分清楚那些类型的讯息可在自家网站上公布、哪些则不宜，由于若是粗心大意，可能打开潘多拉的盒子，让劫持者、黑客和工业间谍有机可乘。下面是专家的建议。揣测窃贼的想法明尼苏达州DataSecuritySystems公司总裁SandySherizen建议，企业网站内容的守门员应该学习揣测小偷的想法，揣测他们可能会想窃取什么资料，或搜集什么样的商业竞争情报。公司网站上贴出的零星数据乍看下可能无关紧要，但一旦拼凑起来，揭露出的公司内部讯息、策略联盟关系和客户数据，可能远超过你的想象。Sherizen讲，企业网站不该
2、只交给网站维护员和公关部门负责。在贴出任何讯息前，IT安全人员应先从安全性的观点把内容检视一番，毕竟他们的职责是随时留意技术弱点，设法防止黑客入侵。换句话讲，他们已受过从窃贼角度考虑的训练。提防下游把关责任当今执行的各种新法规都要求企业善尽责任。因而，Sherizen警告，疏于维护网站的安全，可能让本人背负下游的法律责任。若你公司的信息系统已和供给链商业伙伴的系统密切结合，或你透过自家网站搜集客户的资料，更要留神。他举一个法律个案为例。某人在甲公司的网站左顾右盼，由于防火墙防护缺乏，竟探索出一条歪门邪道，可经过该网站闯入乙公司的信息系统，进而大肆毁坏。尽管实际执行入侵动作的是第三者一个名下没什
3、么财产的青少年黑客，但乙公司后来控告甲公司的求偿官司仍获判胜诉。遵行最低权限原则宾州匹兹堡RedSiren公司产品策略副总裁NickBrigman建议，在网站上公布数据，要遵行最低权限规则ruleofleast-privilege。这位IT安全管理主管提醒：只贴出要执行某种功能绝不能少的数据。他讲，要订出这样的规则，首先必须确定企业网站的目的和用处何在。他解释：若目的是吸引潜在顾客，把他们导向销售团队，那么就不必把公司的资料巨细靡遗贴在网站上。提供太详尽的信息，可能泄露公司的运作细节。RedSiren提供客户一种服务，称为公共信息侦察，也就是到因特网上搜索任何找得到的、与客户有关的公开讯息。我
4、们经常发现，只要挖掘的时间够久，什么数据都找得着，Brigman讲。他甚至寻获客户仅供内部参考的网页，只由于网页被不经意地上载。即便企业网站未提供这些网页的连结，但Google等搜索引擎公司如今已设计出聪明绝顶的索引程序，能把这些数据给找出来，晾在网络上供全世界检视。Brigman坚称，即便你以为已做好充分的安全防护，只给少数人士有限度的存取权限，也绝不该把某些内容张贴在全球信息网上。这些企业的传家之宝包括诸如策略计划、将来的营销策略，以及与商业伙伴协商有关的任何信息。维吉尼亚州Anteon公司HomelandSecurity公司经理RayDonahue强调，在检查自家网站的同时，也要以批评的
5、目光检视主要供货商的网站，了解他们怎么描绘你的公司。对你的商业伙伴而言，公布新的策略联盟可能是极佳的广告宣传，但那些讯息也许也会对全世界宣告你公司用的是哪一种软件系统，或哪一种网络设备不啻是引狼入室，把邀请函发给乐于探知你系统弱点何在的黑客。费城律师事务所Caesar,Rivise,Bernstein,CohenPokotilow,Ltd.的智慧财产权律师兼合伙人BarryStein则提醒，网站内容若不严加把关，可能导致法律后果和销售额损失。小心翼翼避免商业机密和专业知识与技术外泄时，也不要忘了维护专利权。基于因特网全球无疆界的特性，让本来可申请专利的发明细节曝光，若是数据外泄之前未申请到专利
6、，可能造成公司丧失海外的专利权，他讲。电子邮件住址避免指名道姓企业网站上贴出的讯息中，最常见也最危险的一种，就是详情请洽某某人的电子邮件住址。NickBrigman警告：在网站上直接使用电子邮件姓名，是你必须防备的漏洞之一。滥发邮件者经常从网站上搜集这些姓名，并以大量讯息疲惫轰炸这些电邮住址。恶意的黑客可以能撷取这些名字，用来伪造电子邮件，或把蠕虫和病毒传给不知情的收信人，让他们误以为是贵公司主管发的讯息。Brigman建议，避开这种潜在危险的一种办法，是以网络表格作为透过网站连络的管道，而不是让外人传来的连络函直通公司内部的电子邮件系统。RayDonahue另建议检验公司网站上公告的其它连络
7、点。若你公布一个供潜在顾客打电话查询的专线号码，就必须确定接电话的人员已被充分告知可对外提供哪些信息。来电查询者也许想毁坏你的公司、抢客户，或从事其它不胜枚举的卑鄙活动。时时慎重就能提高警惕。避免透露公司使用的基础设施纽约市IT咨询公司SBI的科技长RayVelez讲：有些公司公布出标明应用服务器类型的URL全球资源寻址器，或系统供货商，这是一大错误。比方讲，旧版SunOne应用服务器的URL里包含一个标准的目录，称为NASAPP，Velez建议移除那个目录。NickBrigman指出网站设计师可能犯的另一种常见错误：从公司网络撷取一个商标图案或档案，然后把它贴在网页上。这个数据经常会泄露数据
8、获得途径的线索文件名称、系统名称甚至档案构造。提供那些信息，就等于把搜索数据的工具交给外人，他讲：如蜘蛛结网一般，他们把数据组织起来，就能探满足够的讯息，进入下一层关卡，进而获得更多信息。从/asp/jsp/php原始档中删除技术评论RayVelez讲，程序开发者的评论可以能泄露你正在使用的技术类型，及其破解之道。这些评论可能在最终使用者的阅读器显现出来。切记，Velez再叮咛一句：黑客常阅读讯息留言板和贴文，很清楚最新的安全更新程序是用来修补什么漏洞。这是个问题，由于很多企业或个人并未安装最新版本的修补程序。所以，这些开发者评论可被当作破解某网站的指南。避免显示因技术问题产生的错误讯息Vel
9、ez指出，这类错误讯息会暴露出你程序代码的弱点，且让基本架构技术的相关讯息外泄。拿掉404状态码和其它40x错误讯息，改用使用者更容易了解、而且不透露基本技术讯息的错误讯息页。使用数字权管理以保护智能财产权Velez建议，以密码保护你不想让网站访客任意重复使用的数据。安全控制缺乏，是网站一大常见的破绽。使用无法修改的文/图张贴格式俄勒冈州波特兰市SwiftView公司的产品经理GlennWidener另外提到，你把数据张贴在公司网站上的方式，可以能留下安全漏洞。不管是文字或图形文件，若以原始的规格如Word、Visio、AutoCAD等等储存，难保不会遭到窜改。即便是可携式文件格式PDF档案，
10、任何人用AdobeAcrobat软件都能加以修改。发展防窜改的安全措施可能既复杂又费时。他推荐使用根本无法修改的通用格式，像是PCL、HPGL、TIFF和JPG这类。打印格式(如PCL和HPGL)具有一些胜过bitmap格式的优点：档案较小、即便压缩可以检视，而且本文可供搜索、索引和选取。Widener讲明：就PCL而言，企业可允许商业伙伴从一份商业计划中抽取一段文字，但那些数据无法更改。企业只要把欲择取的那些页输出、设定成分享档案，然后传送该档案，商业伙伴即可用各式各样的阅读器，例如SwiftView的阅读器，来检视、选择和打印内文。Widener指出，PCL在金融界使用甚广，例如抵押货款银行就由于潜在的安全性考虑，而使用PCL格式来传送结清的文件。培养员工的安全意识这是我们从客户那里听来的一个观念，如今我们把它运用在本人的营销文宣上，NickBrigman讲：在后911时代，你必须养成居安思危的意识。别漫不经心把数据往网站上丢，而未严加检视这些信息可能会被人怎么利用。而且，切莫以为既然数据未直接摆在网站上，别人就无从获得。他强调：网站可能是获得那个数据的一个途径。所以，事前的检查非常重要。假如公司内部IT小组的安全防护专业缺乏，宜聘请能胜任此任务的第三者。新晨