第50章

    第50章 (第1/3页)



    对于单独的幵发者，另一种方法（在拥有大量人员请求访问开 发中的产品源代码的大型团队环境下，这个方法可能不实用）就是 釆取加密极度敏感的数据，例如产品源文件：例如PGP Disk或 PGP Corporate Disk.为这些产品创建虚拟的加密磁盘，但是对用 户来说是透明的。

    保护备份如上面故事中所提到的，雇员们--即使是那些特别在意安 全事宜的雇员--都会很容易忽视非授权人员对备份文件可读性入侵的艺术的安全保护，其中包括电子邮件备份文件。在我自己以前的黑客生 涯中，我发现许多系统管理员会留下未保护的敏感文件夹的压缩档 案。同时在一家较大的医院IT部门工作时，我注意到职工工资数 据库被例行备份后没有任何文件保护措施--所以任何在行的人 都可以获取它。

    当Robert通过在Web服务器上可公共访问目录中的商用邮件 列表应用程序而找到了源文件备份时，他实际也是利用了这个工作 人员未保护好备份的疏忽。

    保护MS免遭SQL注入攻击故意从基于Web且被设计为避免SQL注入攻击的应用 程序里移除了输入确认检测。以下几步可以让你不会再被类似 Robert这样的黑客用同样的方法欺骗你的系统了。

    不要在系统上下文中运行Microsoft SQL服务器。考虑在不同账户上下文中运行SQL服务器。 ?当开发程序时，不要写生成动态SQL查询的语句。 ?利用存储过程来执行SQL查询。建立一个只用于执行存 储过程的账户，同时在账户上建立必要的许可去完成所需 任务。

    利用 Microsoft VPN 服务利用Windows认证作为认证方式，这使得黑客 搜寻脆弱口令去获取VPN访问权限的难度降低。在某些环境下， 要求对VPN访问的智能卡认证可能会比较适合--有些地方使用 一个认证功能更强的形式，而不是使用一个共享的密钥将会增加黑 客攻击的难度。还有在某些情况下，控制基于客户IP地址的VPN 访问可能比较适合。

    在Robert的攻击中，系统管理员应该监视VPN服务器，以便 发现任何新加入到VPN组的用户。前面还提到一些方法，包括从 系统中移除匿名账户，保证一个适当的进程来移除被辞退的雇员账第8草：知识产权并不安全户，或使之不能再被启用，同时，严格控制在工作日并且工作时间 里进行VPN及拨号访问。

    移除安装文件并没有搜寻邮件列表自身程序，而是利用了应用程序默 认脚本的弱点，最终获取到了邮件列表。因此，一旦一个应用程序 被成功安装，安装脚本就应该立刻移除。

    重命名管理员账户任何连接到Internet上的人可以在Google上输入“ default p

    （本章未完，请点击下一页继续阅读）