你應(yīng)當(dāng)把這些技術(shù)看成給人安全而不是讓人掃興的技術(shù)。要積極地調(diào)查研究虛擬化、企業(yè)搜索和智能電話等新興技術(shù)。你不能因為下面這些問題而保持現(xiàn)狀、不敢采用這些新技術(shù)。要有所準(zhǔn)備，然后一往無前。
一、智能電話帶來越來越大的風(fēng)險
還沒有誰因為使用“黑莓”智能電話而被炒魷魚。
這是空洞無物的安慰人的想法。你可能不會因選擇“穩(wěn)妥的”智能電話被炒魷魚，但沒有哪款智能電話滿足得了每個專業(yè)人員的要求，所以抱怨聲不絕于耳也就可想而知了。即使你謹(jǐn)慎行事，也要注意智能電話的三個隱藏問題以及相應(yīng)的規(guī)避方法。
1、產(chǎn)品周期與消費類電子產(chǎn)品一樣快。提供移動設(shè)備管理服務(wù)的Movero科技公司的首席執(zhí)行官(CEO)Bruce Friedman說：“有些公司在項目實施到一半時才發(fā)現(xiàn)，那款產(chǎn)品已停止供應(yīng)了，這樣的例子我見過很多。”高端移動電話和智能電話更新速度很快，所以習(xí)慣了三到五年技術(shù)更新周期的公司發(fā)現(xiàn)在測試、采購及部署新設(shè)備方面老趕不上步伐。辦法很簡單，但做起來不容易：設(shè)法加快產(chǎn)品采購審批及測試過程，比如確保新的應(yīng)用程序和升級不影響智能電話、操作系統(tǒng)和網(wǎng)絡(luò)連接。規(guī)劃好6到12個月的產(chǎn)品周期，并按照這個周期來更新。
2. 應(yīng)用程序泛濫。智能電話的優(yōu)點在于能夠運行多種應(yīng)用程序，于是有些員工覺得自行下載應(yīng)用程序是理所當(dāng)然的。禁止所有未授權(quán)的應(yīng)用程序，但人的本性決定了公司用戶會設(shè)法違反這樣的規(guī)定。比較好的辦法是：使用為應(yīng)用程序分配“信任級別”、并且只允許事先批準(zhǔn)的應(yīng)用程序訪問操作系統(tǒng)的一種安全協(xié)議，比如基于Symbian操作系統(tǒng)的平臺安全(Platform Security)協(xié)議，或者Windows Mobile的應(yīng)用安全(Application Security)協(xié)議。
3. 出租車因素。智能電話比筆記本電腦更容易丟失、失竊及受損。應(yīng)作好規(guī)劃，以便實時修復(fù)、清除關(guān)鍵數(shù)據(jù)及更換設(shè)備。這時候，Movero或者Mformation等公司的“托管移動服務(wù)”公司可以發(fā)揮作用：如果你要部署大量設(shè)備，他們幾乎總是能夠為你節(jié)省費用。
二、虛擬化威脅近在眼前
如果公司一味擴大服務(wù)器虛擬化，而不考慮虛擬機有別于物理機器的地方，就無異于為入侵者敞開了進入數(shù)據(jù)中心的新大門。我們還無法確認(rèn)這類威脅的具體性質(zhì)，因為它們還沒有切實出現(xiàn)過。因此而高枕無憂的任何人在過去兩年里肯定沒有注意過信息安全。
VMware和開源廠商XenSource提供的虛擬機管理程序(hypervisor)軟件是數(shù)據(jù)中心中一層新的特權(quán)軟件，類似操作系統(tǒng)，可以全權(quán)訪問其他軟件資源;但與操作系統(tǒng)不同，它沒有經(jīng)過多年的測試與評估。Gartner公司估計，直到2009年，60%的虛擬機不如物理機器來得安全。如果存在安全漏洞，入侵者只要能訪問虛擬化服務(wù)器的虛擬機管理程序，就能控制該虛擬機管理程序管理的所有虛擬機。
許多公司保護虛擬服務(wù)器的方法與保護物理服務(wù)器的方法一樣。如今只出現(xiàn)了少數(shù)幾款專門的工具可以監(jiān)控及保護VMware的ESX虛擬機管理程序，如Reflex Security公司的VSA和Blue Lane科技公司的VirtualShield。針對Xen的安全工具則比較粗糙、簡單。
VMware指出，銀行和軍隊使用ESX Server，這證明這是個安全的平臺。但是虛擬機管理程序的運行有別于操作系統(tǒng)在物理服務(wù)器上的運行。
Blue Lane公司的高級副總裁Allwyn Sequeira說，VMware的VMotion工具能夠找到虛擬機管理程序，然后轉(zhuǎn)移到另一臺物理服務(wù)器上來運行，但失去了原來的安全環(huán)境。Sequeira說：“采用虛擬化之前，防火墻、路由器和服務(wù)器都有一個相對靜態(tài)的架構(gòu)以確保安全。”安全策略針對某個特定的TCP/IP地址，這很常見。他說，當(dāng)VMotion把虛擬機轉(zhuǎn)移到新的服務(wù)器和新的TCP/IP地址時，新舊兩套安全策略應(yīng)該保持同步，但常常并不同步。
想跟蹤所有虛擬機、控制在視野范圍之內(nèi)也很難。Blue Lane公司的一個客戶曾忽視了一臺虛擬機，直到后來檢查時才發(fā)現(xiàn)它在6個月前就啟用了。要是入侵者偶爾發(fā)現(xiàn)了這臺虛擬機，危險就更大，因為沒有哪位管理員在跟蹤這臺虛擬機。
雖然BMC、冠群和惠普等系統(tǒng)管理廠商正在添加更多的虛擬機管理功能，但現(xiàn)在還是輕而易舉就能離開管理員的視線。
三、企業(yè)搜索關(guān)鍵在于掌握合適的度
企業(yè)搜索聽上去完美無缺：員工不用沒完沒了地搜索眾多FTP站點和奇怪的文件名，就能輕松找到所需的文件和文檔，從而提高了工作效率。但一旦人們開始搜到不該搜到的東西，搜索就成了安全和合規(guī)人員的噩夢。
搜索技術(shù)廠商Autonomy公司的美國區(qū)CEO Stouffer Egan說，有家國防承包商把機密信息網(wǎng)絡(luò)與絕密信息網(wǎng)絡(luò)“隔離”開來，但機密網(wǎng)絡(luò)上的員工仍能搜索到絕密網(wǎng)絡(luò)上的信息。真是糟透了。
標(biāo)準(zhǔn)做法是，如果你無法以其他方式訪問網(wǎng)絡(luò)上的信息，那么也無法通過搜索來找到這些信息。富國銀行在嘗試讓公司主管通過博客與客戶和員工進行交流，它甚至建立了自己的虛擬世界。不過該公司對企業(yè)搜索有所限制，限制了員工搜索數(shù)據(jù)存儲庫的能力，因為授權(quán)機制很復(fù)雜。富國銀行把應(yīng)用開發(fā)和部署時間的80%用于授權(quán)和驗證等安全措施上。
即使各類信息和特定應(yīng)用都受口令保護，也并不意味著它們保密起來。弗雷斯特研究公司的分析師Matt Brown說，有家公司發(fā)現(xiàn)，其搜索系統(tǒng)能在很少被訪問的一部分文件系統(tǒng)中發(fā)現(xiàn)敏感的工資單信息。所謂的“通過隱匿來實現(xiàn)安全”(security by obscurity)遲早會出問題。
最后一個風(fēng)險是，如果編入索引的資料不足，因而沒有價值;或者搜索關(guān)鍵詞要極其精確，員工會放棄使用搜索工具。針對250名商業(yè)技術(shù)專業(yè)人士的一項調(diào)查發(fā)現(xiàn)，大約四分之一的公司部署了集成搜索系統(tǒng)，卻很少使用。
四、迷失于NAC縮略語
最近炙手可熱的安全縮略語就是NAC――它對不同的廠商來說有著不同的含義。盡管吹得天花亂墜，但沒有哪家NAC廠商完全說到做到，概念的混淆讓安全效果大打折扣。
網(wǎng)絡(luò)準(zhǔn)入控制(NAC)是思科的產(chǎn)物，它旨在控制哪些設(shè)備可以連接到網(wǎng)絡(luò)上：設(shè)備是否沒有病毒?安全設(shè)置是不是最新?如果不是，就加以隔離。網(wǎng)絡(luò)訪問控制(或者用微軟的話來說，網(wǎng)絡(luò)訪問保護)著力解決的是，一旦設(shè)備連接到網(wǎng)絡(luò)上，可以進行哪些操作――對照目錄服務(wù)器或者訪問控制服務(wù)器，檢查個人電腦或打印機的安全狀況，查看具體權(quán)限。目前還沒有哪家廠商同時提供網(wǎng)絡(luò)訪問控制和網(wǎng)絡(luò)準(zhǔn)入控制;而廠商之間的合作也剛剛起步。
所以你說要部署完整的網(wǎng)絡(luò)準(zhǔn)入和訪問控制系統(tǒng)，好比你說要為孩子的下一次生日聚會弄一頭獨角獸來慶賀。除非思科、微軟和可信計算組織(TCG)以及最近互聯(lián)網(wǎng)工程任務(wù)組下設(shè)的一個工作組就大大簡化NAC部署的標(biāo)準(zhǔn)達成一致，否則這項IT技術(shù)不會露出廬山真面目。
對愿意等待的人來說，很快能得到廠商的幫助。弗雷斯特研究公司的分析師Robert Whiteley說，思科、邁克菲、微軟和賽門鐵克都正在把端點風(fēng)險管理功能集成到即將推出的產(chǎn)品中，但至少一年后才能準(zhǔn)備就緒。
作為一種概念，NAC值得人們積極采用――因為它結(jié)合使用反惡意軟件、訪問控制以及身份驗證和配置管理工具，阻止非法設(shè)備企圖連接到網(wǎng)絡(luò)上，或者在網(wǎng)絡(luò)上搞破壞活動。可是現(xiàn)在，利用各種工具來防止惡意行為需要從多臺服務(wù)器獲取數(shù)據(jù)，也就是說需要多臺服務(wù)器協(xié)同，這自然增加了復(fù)雜性。別欺騙自己，以為如今的哪個產(chǎn)品已經(jīng)完全具備了NAC理念。
五、統(tǒng)一通信尚未統(tǒng)一
統(tǒng)一通信領(lǐng)域顯得有點混亂，仍隨著不同技術(shù)的整合在逐漸成形。這意味要把合理的通信工具放到業(yè)務(wù)流程中所需的環(huán)節(jié)，無論是把點擊呼叫功能嵌入到應(yīng)用程序中;整合語音、電子郵件和呈現(xiàn)等技術(shù);還是讓員工的討論渠道從即時通信切換到視頻會議。不過，你還無法用哪家廠商的產(chǎn)品可以直接實施統(tǒng)一通信系統(tǒng)，所以企業(yè)最好做好準(zhǔn)備，因為將來需要大量的集成和帶崗學(xué)習(xí)。
貴公司可能已有北電網(wǎng)絡(luò)公司的IP PBX、IBM的統(tǒng)一通信軟件、思科的局域網(wǎng)設(shè)備以及Oracle的商業(yè)應(yīng)用軟件，希望借助統(tǒng)一通信項目，把它們都充分利用起來，卻苦于缺乏集成所有這些產(chǎn)品獲得實時通信方面的豐富經(jīng)驗。舉例說，微軟與北電網(wǎng)絡(luò)組成的聯(lián)盟正開始提供共同開發(fā)的統(tǒng)一通信產(chǎn)品，著眼于未來四年的發(fā)展遠景。與此同時，微軟也加大了與其他廠商的產(chǎn)品實現(xiàn)兼容的力度，包括思科、Avaya和西門子等公司的產(chǎn)品。
公司必須確認(rèn)哪種業(yè)務(wù)流程會受益于統(tǒng)一通信技術(shù);之后再來選擇合理的廠商。幫助公司客戶實施統(tǒng)一通信規(guī)劃的Vanguard通信公司的總裁Don Van Doren說：“如果你選擇的廠商無法滿足你的業(yè)務(wù)要求，你就會陷入困境。”公司也不應(yīng)該想當(dāng)然地以為，必須全面改用IP協(xié)議，才能部署統(tǒng)一通信系統(tǒng)。Don Van 說：“就某些應(yīng)用和業(yè)務(wù)問題而言，統(tǒng)一通信系統(tǒng)能夠與遺留系統(tǒng)很好地兼容。”
工業(yè)設(shè)備供應(yīng)商Ultrasonic Precisions公司的CIO Steven Fishman說，該公司把網(wǎng)絡(luò)會議系統(tǒng)、視頻會議、Outlook電子郵件和聯(lián)系人系統(tǒng)集成到基于微軟軟件和思科設(shè)備的單一系統(tǒng)上后，工作效率大大提高。不過部署工作要試好多次，還要與廠商緊密合作。而這需要妥協(xié)：Fishman決定避開集成任何非微軟應(yīng)用軟件的做法，因為它們與SharePoint、Exchange 2007和微軟Dynamics GP10不能很好地兼容。
六、SOA：規(guī)范你的行動
面向服務(wù)的架構(gòu)(SOA)本該可以讓技術(shù)基礎(chǔ)設(shè)施變得更加靈活、運轉(zhuǎn)更迅速。但要是創(chuàng)建的Web服務(wù)缺乏足夠有效的治理，就會出現(xiàn)失控、甚至適得其反的局面。
伯頓集團的分析師Anne Thomas Manes說，就最初的一批Web服務(wù)而言，你采取之前的做法恐怕不會有什么問題――極少跟蹤Web服務(wù)的性能、不同的開發(fā)人員無計劃地隨意改動生產(chǎn)環(huán)境的Web服務(wù)，或者很少使用自動化的監(jiān)控工具。但除了這批服務(wù)之外，她說：“你應(yīng)當(dāng)認(rèn)真考慮對整個生命周期進行適當(dāng)?shù)闹卫怼?#8221;
這就意味著確保新創(chuàng)建的服務(wù)歸納到注冊中心，并且存儲到存儲庫中;應(yīng)通過中央系統(tǒng)來實行變更管理;要么禁止使用不同版本的服務(wù)，要么詳細(xì)地記錄下來。服務(wù)需要進行測試，以便服務(wù)滿足其他許多流程的要求。如果服務(wù)要重復(fù)使用，它必須與許多系統(tǒng)協(xié)同使用，而不是只與當(dāng)初開發(fā)人員青睞的那些系統(tǒng)協(xié)同使用。要密切關(guān)注服務(wù)的使用情況、在什么情況下使用;還要找出并解決導(dǎo)致性能下降的環(huán)節(jié)。
畢博咨詢公司顧問Pete McEvoy最近撰寫的有關(guān)金融服務(wù)行業(yè)SOA的一份報告得出了類似結(jié)論：“SOA已有7年的歷史，但哪又怎樣?”他認(rèn)為，服務(wù)創(chuàng)建團隊的IT專業(yè)人員“要像產(chǎn)品經(jīng)理那樣來工作”，因為如果服務(wù)需要更新，就要有人承擔(dān)起責(zé)任。他寫道：“之前很少有哪家公司徹底全面地考慮諸如此類的操作問題。”
ZapThink公司的分析師Ron Schmelzer說，SOA旨在通過松散耦合、明確定義的服務(wù)來創(chuàng)建靈活的架構(gòu)，這種架構(gòu)針對應(yīng)用的重復(fù)使用作了優(yōu)化。他說：“人們以為SOA和Web服務(wù)是一回事。實際上，Web服務(wù)只是服務(wù)訪問方式的改變，SOA卻是做事方式的改變。”
七、警惕面向大眾的商業(yè)智能
隨著商業(yè)智能(BI)逐漸從分析師和金融專家的桌面走向大眾，就要警惕向大眾提供BI時出現(xiàn)的“最壞習(xí)慣”。
如果你任由用戶使用原始數(shù)據(jù)從頭開始生成報表，這種報表可能會誤導(dǎo)人，不同的團隊會得出不同的結(jié)果。所以，最初的報表創(chuàng)建工作最好交給專家去處理。但公司要向那些希望深入學(xué)習(xí)的員工提供“學(xué)習(xí)課程”，惠普公司信息管理實踐部門的負(fù)責(zé)人Jonathan Wu說。否則，“你就沒法培養(yǎng)出高級用戶(power user)。”
業(yè)務(wù)部門的經(jīng)理們應(yīng)當(dāng)與公司內(nèi)外的BI分析人員一起，幫助確定為員工們提供哪些衡量尺度和指標(biāo)。他們還要就數(shù)據(jù)定義和命名標(biāo)準(zhǔn)達成一致。Wu曾與一家開發(fā)與客戶關(guān)系管理(CRM)有關(guān)的報表系統(tǒng)的公司合作;對財務(wù)部門而言，這里的“客戶”是指支付服務(wù)使用費的員工;而對營銷部門來說，“客戶”也指潛在客戶。
適合使用BI的人會期待某些工具，比如儀表板，所以IT團隊?wèi)?yīng)該記下什么東西會添加到項目中。Wu說：“而更重要的是告訴用戶將來缺什么東西。”
大多數(shù)公司并沒有把BI當(dāng)成是災(zāi)難恢復(fù)規(guī)劃中的一項關(guān)鍵應(yīng)用，哪怕員工依靠這些工具來作出關(guān)鍵決策，也是這樣。Wu見過BI應(yīng)用系統(tǒng)因服務(wù)器出現(xiàn)故障而停頓幾周的例子。
IT團隊還要準(zhǔn)備好應(yīng)對要求更改數(shù)據(jù)類型和報表的眾多請求。除非員工開始使用BI系統(tǒng)，否則他們不會知道可以用它來做什么。Wu說：“如果他們不問，很可能是沒在使用。”沒有什么比花巨資搞起來的項目卻閑置不用更為失敗的了。
八、SaaS的缺點
當(dāng)然，你可以快速部署軟件即服務(wù)(SaaS)應(yīng)用。它們甚至能夠為貴公司避免費用、為IT部門避免麻煩。但是SaaS應(yīng)用到底適不適合你呢?
定制方面的限制是SaaS幾乎一開始就飽受詬病的地方。與許多內(nèi)部部署(on-premise)的應(yīng)用不同，SaaS應(yīng)用的代碼是無法改動的。
專業(yè)支持SaaS的服務(wù)公司Bluewolf的聯(lián)合創(chuàng)始人Eric Berridge說，另一方面，SaaS應(yīng)用的一大優(yōu)點在于，Salesforce.com等廠商在不斷添加功能，可以馬上提供給用戶。如果換成內(nèi)部部署軟件，新功能常常捆綁在重大版本里面，客戶有時會錯過這些功能。
因為新功能頻頻添加到SaaS應(yīng)用里面，客戶必須保持靈活。這可能意味著需要添加流程以適應(yīng)新功能，因而感到壓力的是用戶，而不是IT部門。Berridge說，不過對經(jīng)理們來說，這意味著要隨時了解變化，并且告知用戶，以便他們愿意并且能夠隨時應(yīng)變。
太多的變化并不好。他說，如果新功能意味著你要改動流程或者應(yīng)用本身的地方超過20%，最好還是采用內(nèi)部開發(fā)的軟件。
弗雷斯特研究公司的分析師Liz Herbert說，SaaS的另一個缺點是：簽署交易的常常是公司用戶，而不是技術(shù)人員，而用戶在安全和隱私方面可能毫無頭緒，特別是由于針對SaaS的安全標(biāo)準(zhǔn)還在發(fā)展當(dāng)中。雖然SaaS應(yīng)用還沒有出現(xiàn)任何重大的安全漏洞，“但人們要引起警惕，”她說。而Berridge認(rèn)為，SaaS的安全問題更多地涉及軟件在公司內(nèi)部如何使用。“你未必想讓紐約的銷售代表看到新澤西州代表的銷售數(shù)據(jù)。”他說，除非設(shè)定了規(guī)則，“否則每個人都能看到每個數(shù)據(jù)。”
另外，許多公司改用SaaS時，要牢記諸如《健康保險可攜性及責(zé)任性法案》和《薩班斯-奧克斯利法案》之類的法規(guī)。Berridge說，公司需要在本地保存數(shù)據(jù)副本，以免出現(xiàn)法規(guī)問題。這意味著要與SaaS廠商一起定好數(shù)據(jù)復(fù)制時間表。
至于數(shù)據(jù)集成方面，有第三方軟件包(包括Bluewolf的軟件包)有助于SaaS 軟件與SAP和Oracle等公司的內(nèi)部部署軟件連接起來。Berridge說，但如果數(shù)據(jù)交換的速度至關(guān)重要，如金融交易，這樣的連接可能變得很棘手。
九、JavaScript讓人不安
Web 2.0采用的是JavaScript動態(tài)語言。JavaScript通過Ajax編程，允許Web應(yīng)用和用戶個人之間進行交互。但JavaScript和Ajax也為網(wǎng)站入侵者帶來了眾多新的攻擊途徑。
一年前，Yamanner蠕蟲有段時間利用了雅虎郵箱的一處JavaScript漏洞，得以在網(wǎng)上迅速傳播開來，還把地址簿上的電子郵件地址轉(zhuǎn)發(fā)給垃圾郵件發(fā)送者。使用JavaScript允許用戶上傳內(nèi)容的MySpace發(fā)生了幾起這樣的事件：惡意代碼把跨站腳本安全漏洞植入到MySpace帳戶中，然后傳染給訪問者使用的計算機。有人把“Sammy是我的大英雄”這條消息植入到了成千上萬個MySpace頁面上。
為了評估將來的風(fēng)險，不妨考慮使用Jikto，SPI Dynamics安全公司的首席研究員Billy Hoffman在去年3月24日舉行的ShmoozCon黑客大會上演示了這個跨站腳本引擎。
JavaScript擁有內(nèi)置的安全模型，名為“同一來源”：JavaScript只能在來源網(wǎng)站上訪問內(nèi)容或者執(zhí)行操作，而在其他任何網(wǎng)站上無法訪問或者操作。但Jikto可用來繞過這種保護機制：把網(wǎng)站內(nèi)容發(fā)送到Google Translate等代理網(wǎng)站，然后代理網(wǎng)站把網(wǎng)站內(nèi)容從一種語言翻譯成另一種語言。惡意的Jikto用戶可以指示網(wǎng)站內(nèi)容在Google Translate上顯示，在此進行漏洞掃描，然后查看掃描結(jié)果。Jikto可以利用Google Translate或者原本另有其用的其他代理網(wǎng)站來檢索一個個網(wǎng)站的頁面，對它們進行掃描以查找漏洞，從而躲開JavaScript的安全模型。
JavaScript可以經(jīng)常變動，甚至按指令來改變自己，所以傳統(tǒng)的病毒掃描通常發(fā)現(xiàn)不了它們。雅虎郵箱事件就牽涉上傳照片的JavaScript功能，但該功能有可能被人惡意利用，因為雅虎的代碼并不檢查文件實際上是不是圖片。網(wǎng)上有許多這樣的后門。
公布了Jikto的風(fēng)險后，霍夫曼收到了為非作歹之徒發(fā)來的電子郵件，大意是“你可毀了我們的樂趣。”你要作好準(zhǔn)備，因為這批家伙會想出別的點子來尋樂。
本博客為學(xué)習(xí)交流用，凡未注明引用的均為本人作品，轉(zhuǎn)載請注明出處，如有版權(quán)問題請及時通知。由于博客時間倉促，錯誤之處敬請諒解，有任何意見可給我留言，愿共同學(xué)習(xí)進步。