追求网站安全微软助企业建立纵深防御体系

来源：天极网作者：出处：巧巧读书 2006-05-06 进入讨论组

谢谢收藏 http://www.qqread.com/erp/26/h698157004.html

　　对于一家企业来说，网站遭到黑客入侵、破坏或停止服务，不仅仅是公司网站停机的损失而已，其背后还可能牵涉到客户损失赔偿问题，也有触犯沙宾法案、巴塞尔法案或个人资料保护法等法规的可能，当然，公司的信誉也可能遭受无情的摧毁。

面对如此严重的后果，微软认为企业必须要有开发安全网站程序的决心与做法才能因应，也就是通过强化网路、主机与应用程序的做法来抵抗网路上的各种威胁与黑客入侵。

　　根据Forrester的研究报告指出，2010年全球将会有140亿台主机连接至Internet;Information Week曾报导2005年全球远程使用者的人数可达350万人，上述趋势反应了目前全球企业所将面临许多潜在的风险，尤其远程连网需求的激增更增加了企业身份管理上的困难性，以及黑客入侵的机率。

　　对于黑客入侵的惯有手法，微软分析指出，其步骤不外从窥探缝隙开始，接着进行列举扫描目标伺服器并获得远程存取权，或将权限提升、掠夺SAM、倾印杂凑(Hash)、破解密码等，再不然就安装秘密通道或后门程序，接下来会将所有踪迹加以遮掩，然后开始放手窃取机密资料，如果上述入侵措施全部失败，黑客便会展开分散式阻断服务攻击(DDoS)，以瘫痪企业网路。

　　微软认为，要因应不断变化的网路漏洞攻击或威胁，单单做好网路或主机方面的防护是不够的。依据美国CSI/FBI电脑犯罪与安全观察报告指出，全球有高达70%的网站攻击是发生在应用程序层，所以除了网路层的反监听、反阻断服务攻击等防护措施外，应用层方面的资料验证、身份认证、授权、加密或审核等措施都是必要的。不仅如此，微软甚至进一步提出所谓的纵深防御措施架构，来强化网站的安全性，它包括网路、主机、应用程序与资料库等不同层面的综合式防御体系。

　　据Gartner Gorup研究发现在所有的安全性漏洞中有95%的比例可通过正确设定来排除，所以微软也建议除了建立上述网路、主机、应用程序与资料库等威胁清单外，另外还要建立弱点清单并加以管理，如此才可将风险降至最低。

　　微软建议，企业网管人员可依照上述纵深防御的概念来开发建设企业专属的安全网站架构与模型，有了基本的安全架构与模型之后，接下来即使外在威胁、漏洞或攻击如何的日新月异，也不会影响网站基本的安全性。