企业“防傻”指南

无论我们怎么祈祷，也无论我们多么努力，几乎每个企业网络都不可避免地会面临用户由于误操作所带来的各种风险。这里记录了11个用户由于各种原因而给企业网络带来的种种威胁。他们或精通IT或对IT一无所知，其共同点是无意中给公司网络造成很大的危害。

1. 自动更新惹祸

辉煌公司诞生在互联网泡沫时代，由于公司迅速扩张，部门像雨后春笋一般出现，IT部门有些应接不暇，考虑公司的职员大多都是懂技术的IT人士，IT部门把桌面电脑的管理控制权交给了各个部门的经理。

可是不久就出了大事故。当时，公司进了一批全新的戴尔台式电脑，生产部门一次性地更换了75台。就在刚刚安装好的这天中午，公司的网络突然崩溃。虽然所有设备都显示一切正常，但是，网络非常慢，网络通信几乎停止。

经过仔细地检查网络通信的流量和日志，才找到了罪魁祸首。Windows XP的自动更新功能正是造成这次事故的元凶，系统默认地被配置为中午自动到微软的官方网站下载最新的补丁，因此这天中午全部75台电脑分别同时联到微软的网站下载数兆字节的Service Pack 2补丁，从而导致网络接近崩溃。

解决办法: 应该采用集中的IT控制，这样可以有专人负责具体细节。这个公司吸取了教训，很快采取了行动，建立了早该建的软件更新服务（SUS）。现在，Windows Server更新服务可以自动下载更新，这些更新经过测试后会在合适的时间分发给各个客户端电脑。

提示: 用户懂得技术并不意味着他们在很多细节上会比普通人更加注意。如果网络维护是你的责任，最好负起你该负的责任，管好你该管的事情。 

2. 用户操作不当

这个故事是关于移动设备的使用的。一天，一位工作在外地的职员给IT部门打来电话说他的笔记本电脑不工作了。这位用户最初否认进行过任何常规以外的操作，经过反复询问之后，他才终于承认他把一整杯的可乐洒在键盘上了。他说，他试图使用吹风机把电脑键盘吹干，但是，吹干后电脑仍然不能启动。IT人员只好让他把电脑送回来，让管理员看看到底是怎么回事。

第二天，IT部门如期收到了他寄来的笔记本电脑，等打开包装盒时候吃了一惊。原来，这位用户用的根本就不是吹风机而是从当地分公司借来的热风器，整个键盘都快熔成一块了。

解决办法: 对这样的用户，最好的办法还是事前的培训。

提示: 对移动办公用户进行技术支持，不仅要保证他们的移动设备正常，而且要对他们进行培训，制定明确的规定，告诉他们在公司外哪些是可以做的、哪些是不可以做的。更进一步，要确保这些规定得到严格执行，不论使用者是在公司，还是在家里。

3. 高管人员捣乱

公司的高级管理人员常常会给网管造成一些麻烦。高管大都希望管理员给他们访问公司所有电脑的权限，而事实上，他们根本就不需要这些权限，而且有时他们也根本不知道如何使用这种权限。

另外，有些时候即使高管人员没有高级管理权限，他们也会给网络带来威胁。这是来自美国的案例，约翰曾在美国国防部任职，他在“永久自由行动计划”这个历史上最大的网络部署行动中就曾亲眼目睹了高级管理人员是如何做出一些低智商的行为的。

据约翰介绍，军事上出于安全方面的考虑，通常遵循“红黑”分开的原则。“红”表示还没有加密的数据，这就意味着很危险，网络上的嗅探器很容易看到这些数据。“黑”表示这些数据已经加密可以发送到外界。“红”色数据与“黑”色数据必须在物理上分开。

整个网络部署都严格按照上述原则进行，但是就在网络部署刚刚完成，人们吃过午餐后回来就发现防火墙工作很不正常了。调查发现，一位高级管理人员把联到内部路由器的网线直接联到了互联网上了，这样所有的防火墙服务、加密都被旁路了，整个内部网络一下子全部暴露在互联网上了。

解决办法: 这位高级管理人员后来被调离了，如果他接触不到网线和交换机等，他恐怕也就没有犯类似错误的机会了。

提示: 管理那些鲁莽的高级管理人员需要外交手段，有时甚至完全就是欺骗。比如，可以把Administrator账号重新命名（如命名为IT），而只是给这个账号一些很简单的数据读写权限，同时限制它不能读取Windows系统目录和Unix的根目录。多数情况下，这些高级管理人员根本就不会注意到这一点。而一旦他们发现了，也可以给他们一些其他的解释: 为什么这些目录被隔离了。 

4. 缺乏对法律问题的应对之策

律师可能会把所有事情捣乱，包括不让公司网络平平静静地运行。而那些忽视了法规带来的影响的IT经理常常因此把自己置于危险之中。

某公司接到了法庭的通知，要求公司的高级管理人员、IT部门接受法庭的调查，因为在这个公司的服务器上发现有儿童色情内容。当时，公司不知道是该与调查人员合作查出到底是哪个雇员在做这样的事情，还是应该马上把这些违法的东西删除，这可能导致被罚款，但可以保证公司不会被要求关门。

最后公司的律师与调查人员达成了妥协，公司的IT网络照常运行，但协助调查到底是谁在从事违法的事情。这件事终于平静地得到解决。

解决办法: 与公司的高管、法律顾问在事情发生之前就法律问题进行交流，如公司在第三方审计时应承担的责任和公司在保留涉及第三方的数据时的责任。这种讨论有时可能会超出IT的范畴。管理者必须决定是否需要保存相应的资料（最主要的原因可能是第三方审计需要），或者自动删除非法数据（例如被色情过滤器发现有色情内容）。

IT和管理层都必须高度重视这一点，提前制定出在遇到法律方面的麻烦（如问询、调查乃至强制搜查）时应该采取什么对策。如果国土安全部怀疑在公司职员中隐藏有恐怖分子或者在企业服务器上保存有恐怖分子的有关资料，国土安全部的人员可能会不请自来，他们几乎可以采取一切他们认为有必要采取的行动。

制定最佳的应对策略需要公司高层、法律顾问、法律的执行部门参与。法律机关这时通常可以提供较多的帮助，比如，当地的计算机犯罪调查部门。

提示: 你在IT产业链的位置越高，你这方面的失误越可能造成严重的后果。如果你确实与公司的高级管理人员就法律方面的问题进行过探讨，在公司真正遇到这方面的问题，你就非常可能为公司职员提供这方面的帮助。如果公司方面拒绝就这方面的问题进行讨论，你也要尽可能提前想好应对办法，并且记录下来。

5. 灾难恢复时的灾难

某公司正在检查灾难恢复计划，负责人信誓旦旦地保证，公司热备份站点已经为任何灾害做好了准备，包括存储空间、存储设备，甚至为备份设备提供电源的发电机的燃料也已经准备好了。

大约半年后，一场飓风的袭击导致公司的电源中断，公司的IT系统不得不转移到热备份站点上运行。而受飓风的影响热备份站点的电源也中断了，于是，发电机被马上启动起来，公司的IT系统很顺利地在热备份站点上运行起来。可是，顺利并没有持续多久。大约8个小时后，发电机再也没办法运转下去了，所有的电脑随之停止了运行。

事后的调查发现，所谓的“足够的燃料”事实上是一个55加仑的桶里装有一半的汽油。

解决办法: 灾难恢复计划除了要测试发电机是否能正常运转外，也要检查燃料是否足够。

提示: 不深入调查核实，一个计划或者策略永远难说是完美的，这个观点应该传达给尽可能多的人。灾难恢复并不是静态的事情，应该定期进行检查和完善。

6. 不安全的外围设备

这个案例说的是某公司的网络遭到外部黑客的入侵，主Exchange服务器上的数据被删。由于防火墙日志看不出有何异样，因此公司的IT管理人员不得不邀请一些专家帮忙。专家们根据自己的经验判断，可能有人设置了不安全的无线热点。通过检查，这一点很快得到证实，这个公司的确有一个完全开放的热点。

但IT管理员坚持说公司内部网并没有部署无线设备，也不会有热点。借助网络探测器，专家20分钟后在一个高级经理的办公室找出了一个无线的AP。这位经理解释说，他在别的公司看到有人用它，感觉很方便也很便宜，就决定在他办公室的另一个网络端口上插上一个，这样，他就可以无线地使用他的笔记本电脑，而不再需要联上网线，这更方便些。

与此类似的还有USB端口。由于支持外围设备即插即用地拷贝文档，不用安装驱动程序，因此作为一种个人使用的备份工具，USB设备迅速流行开来。由于有了这些设备，人们不再非要巴结系统管理员为他们安装各种驱动程序，如打印机、外部的硬盘、DVD、语音设备、甚至还有显示器等。但这些设备同时也带来了安全上的风险，有些职员可能会把一个1G或者几G的支持USB接口的存储设备插入存有机密信息的电脑的USB端口，悄悄地把这些信息复制下来。源代码、账户数据、历史记录等都可以很快被复制，然后放到某人的屁股口袋里不知不觉地被带出公司。

解决办法: 应该让雇员知道哪些外围设备是公司允许使用的、哪些是公司不允许使用的。准确地记录哪些资产是属于IT部门的，这样可以更容易发现那些不该被使用的USB设备。如果数据窃贼是公司的一个很大威胁的话，可以考虑不要支持USB端口、卸载掉DVD光驱以及其他类似的办法。这些工作做在前面可以大大增加公司数据安全的可能性。

提示: 资产管理不应该是一句空话。弄清楚到底是什么设备进入到网络中，这是解决很多IT问题的第一步。

7. 安全糊涂虫

安全是所有人的工作，从CTO到行政助理都有责任。而事实上，只有很少的公司真正认识到了这一点。

某公司的计算机系统简直是个大杂烩，有Windows 95/98/ME，有装有Netware的OS/2客户端，还有Windows NT。由于多种操作系统并存，管理非常不方便。该公司决定利用周末对整个计算机网络进行升级，统一为后台使用Windows 2000 Server、前台使用Windows XP。从上午一直忙到深夜，事情并不像想象的那样顺利，原计划礼拜六中午完成，可到礼拜一早上事情还没有搞定。

等到IT部门完成最后的测试（用于确信所有的本地磁带备份系统工作正常），已经到了中午了。大多数的用户已经登录进了系统，并且接到通知，依据新的中等强度密码指南他们需要确定一个新的密码，所以他们也都选定了一个新的密码。

等IT人员拖着疲惫的身子，准备进入餐厅吃点东西，其中一个人突然惊呼起来，顺着他的手指方向，人们在秘书的办公桌边看到了一张密码表。密码表！没错，的确是密码表，每一个用户的新密码、还有一些特殊的交换机密码都被“好心”的秘书整理得清清楚楚地列了出来，贴在了桌边的墙上。面对IT部门愤怒的质询，这位好心的秘书解释说，把密码张贴到墙上后，用户忘了密码就可以直接到这里来查看，这比打电话给她让她告诉用户要容易得多。因此，她以IT部门的名义，收集了每个用户的新密码。 

解决办法: 这里再次强调用户培训。密码不应该被视为障碍，而应该被看作一把非常重要的锁的钥匙，必须让用户有这样的意识，而不是直接把他们推到一个全新的环境中。如果前面的这位秘书事先接受过这方面哪怕一点点培训，她也绝不会做出这样的事情来，而事实上，很多公司给予员工的培训往往只是如何使用Word、Excel等。

提示: 布道是一件很痛苦的事情，但是，它能在事情发生或者变糟之前，让人先在思想上有所准备。

8. 好奇心毁了数据

具体情形可能有所不同，但是这类事件都一个共同点，就是用户明知有危险，还是执意要尝试，他们不相信最坏的结果真的会发生。

这件事情发生在一次大规模的病毒泛滥之后不久，一个好奇的工程师想试验一下病毒到底有多大危害。但是，这位工程师没有在一个与网络隔绝、单独的电脑上进行，或者在一个对这个病毒有免疫能力的操作系统上进行，于是病毒再度感染了整个公司局域网，给公司的经营活动造成了很大影响。而这位好奇者一开始并没有意识到问题的严重性，直到同时纷纷报告电脑又出了故障才赶紧报告。

解决办法: 有很多防病毒的手段，既有在服务器端工作的，也有在客户端工作的。现在，我们甚至能在硬件层上部署防病毒软件，而且，这是一种更值得推荐的方法。另外，要提醒的是，病毒被杀灭，并不表示病毒就不会卷土重来。 

提示: 受病毒感染的公司随后采取的策略值得学习。该公司选择了一个开放式防病毒策略: 关于病毒的问题随时可以问; 在发布有病毒警告的同时，提出有针对性的预防建议，同时反复提醒用户，为预防病毒感染采取措施所需的时间要远远少于中毒后清除它们的时间。

9. 服务器的滥用

尽管IT部门对服务器都非常留心，可以把服务器擦得光亮照人，但用户仍然有可能会滥用它——特别是在存储方面。

网管员Fortin就有这方面的惨痛教训。这天，Fortin正在像平常一样检查防火墙日志，突然，他接到一个用户的电话，说无法进行网络文件访问了。一会儿又接到一个用户类似的电话。Fortin赶紧停止了日志检查，看看到底网络文件访问出了什么问题。

事实上，已经有5封E-mail通知Fortin F盘的网络共享空间严重不足。只是由于Fortin关闭了Windows的消息服务，因此他没有接到这方面的报警，作为管理员，实在有些惭愧。

Fortin检查了这个硬盘上所有50MB以上的文件，偶然地发现市场部的一位职员正在从DVD往网络上拷贝30G的TIFF文件。Fortin赶紧给这位先生打电话，让他停止这种行为。这个问题才算得以解决。

解决办法: 这次事件后Fortin为服务器另外购买一个硬盘，同时在权限上对用户拷贝文件的大小进行了限制，并同那位市场部的人员进行沟通，告诉他服务器硬盘空间是有限的。

提示: 向那些没有多少经验的用户或者甚至对技术有恐惧症的用户解释一些东西可能是很痛苦，但是，着眼长远，这有助减少问题出现，也会节约管理者不少时间。

10. 远程办公的潜在危险

远程办公已是一种常见的办公方式。然而，这种方式也可能带来一些意外。某公司就曾发生过远程用户访问公司总部的网络后导致真个公司网络瘫痪的事情。事后的调查表明，这个用户把它的笔记本电脑配置成他家庭网络中的DHCP服务器，这样他登录进入公司总部的网络后，他的电脑就成为所在网络默认的网关。

类似的例子还有，和蔼的爸爸妈妈们允许孩子们用他们公司的电脑玩高级游戏，更有甚者，允许他们在互联网上冲浪。这些十多岁的孩子们喜欢的地方往往最容易隐藏病毒和木马程序。在父母外出喝咖啡的时间，这些孩子们就可能让电脑感染上病毒，而等家长们回来登录到公司的网络中的时候，就可能把病毒带到公司。

解决办法: 使用边界防御，如思科的NAC和微软的NAP等终端安全技术都是专门设计来防范此类风险的。在网络外的电脑要访问公司网时，它们会对这些电脑进行扫描。任何条件，从补丁到病毒扫描计划，如果不符合指定的要求，这台电脑就会被放到网络的隔离区，在这里电脑可以被扫描、升级、杀毒，而不用担心会感染其他的电脑。

提示: 同公司的远程办公用户进行沟通。严格限制公司电脑的使用通常更好些，尽量让妈妈们为她们的孩子购买一台专用的电脑，这样，即使孩子们的电脑中毒也不会给她们的工作带来风险。

11. 不可思议的事情

这个案例可以荣获最可笑奖。某公司的网管为了延长激光打印机硒鼓的使用时间，在一台网络激光打印机上贴了一张纸条，提醒打印机的使用者: “如果打印效果不太好，可以摇晃几下，这样可以多打印几份文件。”

不久发生的事情让这位网管哭笑皆非。一位用户指责说，看了他留下的纸条，用户抱起HP Laser 4000试图前后摇晃，结果让他的背部受了伤。

解决办法: 遇到这样的使用者只能说没有办法。