企業(yè)“防傻”指南

無論我們怎么祈禱，也無論我們多么努力，幾乎每個企業(yè)網(wǎng)絡都不可避免地會面臨用戶由于誤操作所帶來的各種風險。這里記錄了11個用戶由于各種原因而給企業(yè)網(wǎng)絡帶來的種種威脅。他們或精通IT或?qū)T一無所知，其共同點是無意中給公司網(wǎng)絡造成很大的危害。

1. 自動更新惹禍

輝煌公司誕生在互聯(lián)網(wǎng)泡沫時代，由于公司迅速擴張，部門像雨后春筍一般出現(xiàn)，IT部門有些應接不暇，考慮公司的職員大多都是懂技術(shù)的IT人士，IT部門把桌面電腦的管理控制權(quán)交給了各個部門的經(jīng)理。

可是不久就出了大事故。當時，公司進了一批全新的戴爾臺式電腦，生產(chǎn)部門一次性地更換了75臺。就在剛剛安裝好的這天中午，公司的網(wǎng)絡突然崩潰。雖然所有設備都顯示一切正常，但是，網(wǎng)絡非常慢，網(wǎng)絡通信幾乎停止。

經(jīng)過仔細地檢查網(wǎng)絡通信的流量和日志，才找到了罪魁禍首。Windows XP的自動更新功能正是造成這次事故的元兇，系統(tǒng)默認地被配置為中午自動到微軟的官方網(wǎng)站下載最新的補丁，因此這天中午全部75臺電腦分別同時聯(lián)到微軟的網(wǎng)站下載數(shù)兆字節(jié)的Service Pack 2補丁，從而導致網(wǎng)絡接近崩潰。

解決辦法: 應該采用集中的IT控制，這樣可以有專人負責具體細節(jié)。這個公司吸取了教訓，很快采取了行動，建立了早該建的軟件更新服務（SUS）?，F(xiàn)在，Windows Server更新服務可以自動下載更新，這些更新經(jīng)過測試后會在合適的時間分發(fā)給各個客戶端電腦。

提示: 用戶懂得技術(shù)并不意味著他們在很多細節(jié)上會比普通人更加注意。如果網(wǎng)絡維護是你的責任，最好負起你該負的責任，管好你該管的事情。 

2. 用戶操作不當

這個故事是關于移動設備的使用的。一天，一位工作在外地的職員給IT部門打來電話說他的筆記本電腦不工作了。這位用戶最初否認進行過任何常規(guī)以外的操作，經(jīng)過反復詢問之后，他才終于承認他把一整杯的可樂灑在鍵盤上了。他說，他試圖使用吹風機把電腦鍵盤吹干，但是，吹干后電腦仍然不能啟動。IT人員只好讓他把電腦送回來，讓管理員看看到底是怎么回事。

第二天，IT部門如期收到了他寄來的筆記本電腦，等打開包裝盒時候吃了一驚。原來，這位用戶用的根本就不是吹風機而是從當?shù)胤止窘鑱淼臒犸L器，整個鍵盤都快熔成一塊了。

解決辦法: 對這樣的用戶，最好的辦法還是事前的培訓。

提示: 對移動辦公用戶進行技術(shù)支持，不僅要保證他們的移動設備正常，而且要對他們進行培訓，制定明確的規(guī)定，告訴他們在公司外哪些是可以做的、哪些是不可以做的。更進一步，要確保這些規(guī)定得到嚴格執(zhí)行，不論使用者是在公司，還是在家里。

3. 高管人員搗亂

公司的高級管理人員常常會給網(wǎng)管造成一些麻煩。高管大都希望管理員給他們訪問公司所有電腦的權(quán)限，而事實上，他們根本就不需要這些權(quán)限，而且有時他們也根本不知道如何使用這種權(quán)限。

另外，有些時候即使高管人員沒有高級管理權(quán)限，他們也會給網(wǎng)絡帶來威脅。這是來自美國的案例，約翰曾在美國國防部任職，他在“永久自由行動計劃”這個歷史上最大的網(wǎng)絡部署行動中就曾親眼目睹了高級管理人員是如何做出一些低智商的行為的。

據(jù)約翰介紹，軍事上出于安全方面的考慮，通常遵循“紅黑”分開的原則?！凹t”表示還沒有加密的數(shù)據(jù)，這就意味著很危險，網(wǎng)絡上的嗅探器很容易看到這些數(shù)據(jù)。“黑”表示這些數(shù)據(jù)已經(jīng)加密可以發(fā)送到外界?！凹t”色數(shù)據(jù)與“黑”色數(shù)據(jù)必須在物理上分開。

整個網(wǎng)絡部署都嚴格按照上述原則進行，但是就在網(wǎng)絡部署剛剛完成，人們吃過午餐后回來就發(fā)現(xiàn)防火墻工作很不正常了。調(diào)查發(fā)現(xiàn)，一位高級管理人員把聯(lián)到內(nèi)部路由器的網(wǎng)線直接聯(lián)到了互聯(lián)網(wǎng)上了，這樣所有的防火墻服務、加密都被旁路了，整個內(nèi)部網(wǎng)絡一下子全部暴露在互聯(lián)網(wǎng)上了。

解決辦法: 這位高級管理人員后來被調(diào)離了，如果他接觸不到網(wǎng)線和交換機等，他恐怕也就沒有犯類似錯誤的機會了。

提示: 管理那些魯莽的高級管理人員需要外交手段，有時甚至完全就是欺騙。比如，可以把Administrator賬號重新命名（如命名為IT），而只是給這個賬號一些很簡單的數(shù)據(jù)讀寫權(quán)限，同時限制它不能讀取Windows系統(tǒng)目錄和Unix的根目錄。多數(shù)情況下，這些高級管理人員根本就不會注意到這一點。而一旦他們發(fā)現(xiàn)了，也可以給他們一些其他的解釋: 為什么這些目錄被隔離了。 

4. 缺乏對法律問題的應對之策

律師可能會把所有事情搗亂，包括不讓公司網(wǎng)絡平平靜靜地運行。而那些忽視了法規(guī)帶來的影響的IT經(jīng)理常常因此把自己置于危險之中。

某公司接到了法庭的通知，要求公司的高級管理人員、IT部門接受法庭的調(diào)查，因為在這個公司的服務器上發(fā)現(xiàn)有兒童色情內(nèi)容。當時，公司不知道是該與調(diào)查人員合作查出到底是哪個雇員在做這樣的事情，還是應該馬上把這些違法的東西刪除，這可能導致被罰款，但可以保證公司不會被要求關門。

最后公司的律師與調(diào)查人員達成了妥協(xié)，公司的IT網(wǎng)絡照常運行，但協(xié)助調(diào)查到底是誰在從事違法的事情。這件事終于平靜地得到解決。

解決辦法: 與公司的高管、法律顧問在事情發(fā)生之前就法律問題進行交流，如公司在第三方審計時應承擔的責任和公司在保留涉及第三方的數(shù)據(jù)時的責任。這種討論有時可能會超出IT的范疇。管理者必須決定是否需要保存相應的資料（最主要的原因可能是第三方審計需要），或者自動刪除非法數(shù)據(jù)（例如被色情過濾器發(fā)現(xiàn)有色情內(nèi)容）。

IT和管理層都必須高度重視這一點，提前制定出在遇到法律方面的麻煩（如問詢、調(diào)查乃至強制搜查）時應該采取什么對策。如果國土安全部懷疑在公司職員中隱藏有恐怖分子或者在企業(yè)服務器上保存有恐怖分子的有關資料，國土安全部的人員可能會不請自來，他們幾乎可以采取一切他們認為有必要采取的行動。

制定最佳的應對策略需要公司高層、法律顧問、法律的執(zhí)行部門參與。法律機關這時通?？梢蕴峁┹^多的幫助，比如，當?shù)氐挠嬎銠C犯罪調(diào)查部門。

提示: 你在IT產(chǎn)業(yè)鏈的位置越高，你這方面的失誤越可能造成嚴重的后果。如果你確實與公司的高級管理人員就法律方面的問題進行過探討，在公司真正遇到這方面的問題，你就非?？赡転楣韭殕T提供這方面的幫助。如果公司方面拒絕就這方面的問題進行討論，你也要盡可能提前想好應對辦法，并且記錄下來。

5. 災難恢復時的災難

某公司正在檢查災難恢復計劃，負責人信誓旦旦地保證，公司熱備份站點已經(jīng)為任何災害做好了準備，包括存儲空間、存儲設備，甚至為備份設備提供電源的發(fā)電機的燃料也已經(jīng)準備好了。

大約半年后，一場颶風的襲擊導致公司的電源中斷，公司的IT系統(tǒng)不得不轉(zhuǎn)移到熱備份站點上運行。而受颶風的影響熱備份站點的電源也中斷了，于是，發(fā)電機被馬上啟動起來，公司的IT系統(tǒng)很順利地在熱備份站點上運行起來。可是，順利并沒有持續(xù)多久。大約8個小時后，發(fā)電機再也沒辦法運轉(zhuǎn)下去了，所有的電腦隨之停止了運行。

事后的調(diào)查發(fā)現(xiàn)，所謂的“足夠的燃料”事實上是一個55加侖的桶里裝有一半的汽油。

解決辦法: 災難恢復計劃除了要測試發(fā)電機是否能正常運轉(zhuǎn)外，也要檢查燃料是否足夠。

提示: 不深入調(diào)查核實，一個計劃或者策略永遠難說是完美的，這個觀點應該傳達給盡可能多的人。災難恢復并不是靜態(tài)的事情，應該定期進行檢查和完善。

6. 不安全的外圍設備

這個案例說的是某公司的網(wǎng)絡遭到外部黑客的入侵，主Exchange服務器上的數(shù)據(jù)被刪。由于防火墻日志看不出有何異樣，因此公司的IT管理人員不得不邀請一些專家?guī)兔?。專家們根?jù)自己的經(jīng)驗判斷，可能有人設置了不安全的無線熱點。通過檢查，這一點很快得到證實，這個公司的確有一個完全開放的熱點。

但IT管理員堅持說公司內(nèi)部網(wǎng)并沒有部署無線設備，也不會有熱點。借助網(wǎng)絡探測器，專家20分鐘后在一個高級經(jīng)理的辦公室找出了一個無線的AP。這位經(jīng)理解釋說，他在別的公司看到有人用它，感覺很方便也很便宜，就決定在他辦公室的另一個網(wǎng)絡端口上插上一個，這樣，他就可以無線地使用他的筆記本電腦，而不再需要聯(lián)上網(wǎng)線，這更方便些。

與此類似的還有USB端口。由于支持外圍設備即插即用地拷貝文檔，不用安裝驅(qū)動程序，因此作為一種個人使用的備份工具，USB設備迅速流行開來。由于有了這些設備，人們不再非要巴結(jié)系統(tǒng)管理員為他們安裝各種驅(qū)動程序，如打印機、外部的硬盤、DVD、語音設備、甚至還有顯示器等。但這些設備同時也帶來了安全上的風險，有些職員可能會把一個1G或者幾G的支持USB接口的存儲設備插入存有機密信息的電腦的USB端口，悄悄地把這些信息復制下來。源代碼、賬戶數(shù)據(jù)、歷史記錄等都可以很快被復制，然后放到某人的屁股口袋里不知不覺地被帶出公司。

解決辦法: 應該讓雇員知道哪些外圍設備是公司允許使用的、哪些是公司不允許使用的。準確地記錄哪些資產(chǎn)是屬于IT部門的，這樣可以更容易發(fā)現(xiàn)那些不該被使用的USB設備。如果數(shù)據(jù)竊賊是公司的一個很大威脅的話，可以考慮不要支持USB端口、卸載掉DVD光驅(qū)以及其他類似的辦法。這些工作做在前面可以大大增加公司數(shù)據(jù)安全的可能性。

提示: 資產(chǎn)管理不應該是一句空話。弄清楚到底是什么設備進入到網(wǎng)絡中，這是解決很多IT問題的第一步。

7. 安全糊涂蟲

安全是所有人的工作，從CTO到行政助理都有責任。而事實上，只有很少的公司真正認識到了這一點。

某公司的計算機系統(tǒng)簡直是個大雜燴，有Windows 95/98/ME，有裝有Netware的OS/2客戶端，還有Windows NT。由于多種操作系統(tǒng)并存，管理非常不方便。該公司決定利用周末對整個計算機網(wǎng)絡進行升級，統(tǒng)一為后臺使用Windows 2000 Server、前臺使用Windows XP。從上午一直忙到深夜，事情并不像想象的那樣順利，原計劃禮拜六中午完成，可到禮拜一早上事情還沒有搞定。

等到IT部門完成最后的測試（用于確信所有的本地磁帶備份系統(tǒng)工作正常），已經(jīng)到了中午了。大多數(shù)的用戶已經(jīng)登錄進了系統(tǒng)，并且接到通知，依據(jù)新的中等強度密碼指南他們需要確定一個新的密碼，所以他們也都選定了一個新的密碼。

等IT人員拖著疲憊的身子，準備進入餐廳吃點東西，其中一個人突然驚呼起來，順著他的手指方向，人們在秘書的辦公桌邊看到了一張密碼表。密碼表！沒錯，的確是密碼表，每一個用戶的新密碼、還有一些特殊的交換機密碼都被“好心”的秘書整理得清清楚楚地列了出來，貼在了桌邊的墻上。面對IT部門憤怒的質(zhì)詢，這位好心的秘書解釋說，把密碼張貼到墻上后，用戶忘了密碼就可以直接到這里來查看，這比打電話給她讓她告訴用戶要容易得多。因此，她以IT部門的名義，收集了每個用戶的新密碼。 

解決辦法: 這里再次強調(diào)用戶培訓。密碼不應該被視為障礙，而應該被看作一把非常重要的鎖的鑰匙，必須讓用戶有這樣的意識，而不是直接把他們推到一個全新的環(huán)境中。如果前面的這位秘書事先接受過這方面哪怕一點點培訓，她也絕不會做出這樣的事情來，而事實上，很多公司給予員工的培訓往往只是如何使用Word、Excel等。

提示: 布道是一件很痛苦的事情，但是，它能在事情發(fā)生或者變糟之前，讓人先在思想上有所準備。

8. 好奇心毀了數(shù)據(jù)

具體情形可能有所不同，但是這類事件都一個共同點，就是用戶明知有危險，還是執(zhí)意要嘗試，他們不相信最壞的結(jié)果真的會發(fā)生。

這件事情發(fā)生在一次大規(guī)模的病毒泛濫之后不久，一個好奇的工程師想試驗一下病毒到底有多大危害。但是，這位工程師沒有在一個與網(wǎng)絡隔絕、單獨的電腦上進行，或者在一個對這個病毒有免疫能力的操作系統(tǒng)上進行，于是病毒再度感染了整個公司局域網(wǎng)，給公司的經(jīng)營活動造成了很大影響。而這位好奇者一開始并沒有意識到問題的嚴重性，直到同時紛紛報告電腦又出了故障才趕緊報告。

解決辦法: 有很多防病毒的手段，既有在服務器端工作的，也有在客戶端工作的。現(xiàn)在，我們甚至能在硬件層上部署防病毒軟件，而且，這是一種更值得推薦的方法。另外，要提醒的是，病毒被殺滅，并不表示病毒就不會卷土重來。 

提示: 受病毒感染的公司隨后采取的策略值得學習。該公司選擇了一個開放式防病毒策略: 關于病毒的問題隨時可以問; 在發(fā)布有病毒警告的同時，提出有針對性的預防建議，同時反復提醒用戶，為預防病毒感染采取措施所需的時間要遠遠少于中毒后清除它們的時間。

9. 服務器的濫用

盡管IT部門對服務器都非常留心，可以把服務器擦得光亮照人，但用戶仍然有可能會濫用它——特別是在存儲方面。

網(wǎng)管員Fortin就有這方面的慘痛教訓。這天，F(xiàn)ortin正在像平常一樣檢查防火墻日志，突然，他接到一個用戶的電話，說無法進行網(wǎng)絡文件訪問了。一會兒又接到一個用戶類似的電話。Fortin趕緊停止了日志檢查，看看到底網(wǎng)絡文件訪問出了什么問題。

事實上，已經(jīng)有5封E-mail通知Fortin F盤的網(wǎng)絡共享空間嚴重不足。只是由于Fortin關閉了Windows的消息服務，因此他沒有接到這方面的報警，作為管理員，實在有些慚愧。

Fortin檢查了這個硬盤上所有50MB以上的文件，偶然地發(fā)現(xiàn)市場部的一位職員正在從DVD往網(wǎng)絡上拷貝30G的TIFF文件。Fortin趕緊給這位先生打電話，讓他停止這種行為。這個問題才算得以解決。

解決辦法: 這次事件后Fortin為服務器另外購買一個硬盤，同時在權(quán)限上對用戶拷貝文件的大小進行了限制，并同那位市場部的人員進行溝通，告訴他服務器硬盤空間是有限的。

提示: 向那些沒有多少經(jīng)驗的用戶或者甚至對技術(shù)有恐懼癥的用戶解釋一些東西可能是很痛苦，但是，著眼長遠，這有助減少問題出現(xiàn)，也會節(jié)約管理者不少時間。

10. 遠程辦公的潛在危險

遠程辦公已是一種常見的辦公方式。然而，這種方式也可能帶來一些意外。某公司就曾發(fā)生過遠程用戶訪問公司總部的網(wǎng)絡后導致真?zhèn)€公司網(wǎng)絡癱瘓的事情。事后的調(diào)查表明，這個用戶把它的筆記本電腦配置成他家庭網(wǎng)絡中的DHCP服務器，這樣他登錄進入公司總部的網(wǎng)絡后，他的電腦就成為所在網(wǎng)絡默認的網(wǎng)關。

類似的例子還有，和藹的爸爸媽媽們允許孩子們用他們公司的電腦玩高級游戲，更有甚者，允許他們在互聯(lián)網(wǎng)上沖浪。這些十多歲的孩子們喜歡的地方往往最容易隱藏病毒和木馬程序。在父母外出喝咖啡的時間，這些孩子們就可能讓電腦感染上病毒，而等家長們回來登錄到公司的網(wǎng)絡中的時候，就可能把病毒帶到公司。

解決辦法: 使用邊界防御，如思科的NAC和微軟的NAP等終端安全技術(shù)都是專門設計來防范此類風險的。在網(wǎng)絡外的電腦要訪問公司網(wǎng)時，它們會對這些電腦進行掃描。任何條件，從補丁到病毒掃描計劃，如果不符合指定的要求，這臺電腦就會被放到網(wǎng)絡的隔離區(qū)，在這里電腦可以被掃描、升級、殺毒，而不用擔心會感染其他的電腦。

提示: 同公司的遠程辦公用戶進行溝通。嚴格限制公司電腦的使用通常更好些，盡量讓媽媽們?yōu)樗齻兊暮⒆淤徺I一臺專用的電腦，這樣，即使孩子們的電腦中毒也不會給她們的工作帶來風險。

11. 不可思議的事情

這個案例可以榮獲最可笑獎。某公司的網(wǎng)管為了延長激光打印機硒鼓的使用時間，在一臺網(wǎng)絡激光打印機上貼了一張紙條，提醒打印機的使用者: “如果打印效果不太好，可以搖晃幾下，這樣可以多打印幾份文件?！?

不久發(fā)生的事情讓這位網(wǎng)管哭笑皆非。一位用戶指責說，看了他留下的紙條，用戶抱起HP Laser 4000試圖前后搖晃，結(jié)果讓他的背部受了傷。

解決辦法: 遇到這樣的使用者只能說沒有辦法。