网络安全“十大信条”并非金科玉律

　　摘要:网络发展的日益成熟让网络管理员从最初的四顾茫然、无所适从的尴尬局面中挣脱，建立起诸多实践基础上的安全理论信条。这类理论与实践策略在网络管理人员之间手口相传、耳濡目染，逐渐变成了无人质疑的金科玉律。

　　但是这些貌似合理的理论与实践策略却也不尽正确，它们不仅不能给网络带来丝毫益处，甚至还会蕴含巨大的危机与隐患。

　　经过多年的发展，当前网络安全已成为一个相对成熟的领域，积累了大量理论与实践经验的网络管理人员也相继探索出了各自独到的安全理论与实践策略。

　　而实际上，这其中许多貌似合理的实践策略却是完全错误的。下面，就从中选出当前盛行于网络安全领域的十大信条逐一进行剖析，看看其中究竟有多少以讹传讹之处。

　　信条一:在公司网络与Internet间部署了防火墙后，客户端PC无需另行安装个人防火墙。

　　作者看法:在公司IT管理部门，有此想法者大有人在。但实际上，这种想法十分错误。部署于公司网络与外部网络之间的防火墙只能防范来自外部的威胁，对诸如心怀不满的员工发动的恶意攻击、或者员工经由便携机自家中等途径带入网络内的病毒及恶意程序等来自内部的威胁却无能为力。

　　信条二:除个人防火墙外，企业网络内部署一个大型硬件防火墙就可以高枕无忧。

　　作者看法:这种想法是错误的。一个明显的例子就是公司普通网段与带有公司敏感数据的网段之间就需要部署防火墙，以确保公司敏感数据流量的安全。

　　信条三:设置复杂的用户密码，并定期频繁更换。

　　作者看法:这是被许多网络管理人员奉为至臬的一条安全准则。诚然，象“aX-1r6&d+n7S9tU!”这种包含16个随机字符的密码的确很难被人猜到，但实际上，这类密码泄露比例远比密码被猜中的比例高。因此，更可行的策略是选择易于记忆、并且他人较难推测出来的字符组合。

　　信条四:在已安装有反病毒软件的情况下，没有必要另行在电子邮件服务器上安装木马检测或反病毒产品。

　　作者看法:不能认为反病毒软件就能将所有安全威胁一网打尽。对于新出现的病毒，反病毒软件无法识别的现象时有发生。而且，反病毒软件多数情况下并不能对木马等间谍软件进行有效检测，当然也就不能提供足够的防护。

　　信条五:垃圾邮件虽令人讨厌，但并不会带来实质性安全威胁。

　　作者看法:这种认识是片面的。垃圾邮件能否带来安全威胁，取决于垃圾邮件本身。实际上，不少垃圾邮件本身就带有病毒、木马或恶意程序，而且会占用大量服务器资源与网络带宽，甚至最终导致网络瘫痪。

　　信条六:无线网络采用数据加密技术就可以确保安全。

　　作者看法:毫无疑问，这一技术能对数据安全起到一定程度的保护作用。但要确保无线网络安全，仅仅依靠WPA等更先进的数据加密技术远远不够，还需要关闭接入点SSID广播功能、以及无线用户身份认证技术等措施双管齐下。

　　信条七:人体特征识别技术可以提高公司网络安全系数。

　　作者看法:就理论角度而言，这是正确的。但由于技术与成本等方面因素的限制，目前人体特征识别设备本身并不完全可靠，误识别现象经常存在，这不仅给系统安全带来了隐患，还可能将合法用户拒之门外。

　　信条八:对工作站与便携机上的硬盘进行整体加密就可以防止数据被非法访问。

　　作者看法:这种认识也有其偏颇之处。多数硬盘整体加密软件只能在关机时对硬盘上的数据加以保护。系统启动后，这类软件会自动将加密数据进行解密。因此，更理想的解决之道是在进行硬盘整体加密的同时，设置用户身份认证。

　　信条九:转向Linux可以增强系统与网络安全。

　　作者看法:虽然目前针对Linux的病毒与恶意程序相对较少，但实际上，在美国系统网络安全协会和美国联邦调查局共同发布的二十大安全漏洞中，Linux安全漏洞占据的比例并不比Windows低。就这个意义上而言，Linux并非是一种更为安全的操作系统。

　　信条十:培训投资是网络安全最重要的投资。

　　作者看法:这个观点非常正确。对网络管理人员与用户进行经常性、系统性的培训，使其及时了解各种网络安全知识，才能使公司网络内的各种安全产品物尽其用，真正发挥效用，有效防范各类安全威胁。