err0r的网志

版权声明：转载时请以超链接形式标明文章原始出处和作者信息及本声明
http://err0r.yourblog.org/logs/177325.html

原因： 企业的信息化变革是当今每个现代化的企业里最大的、也是最重要的变革。它从根本上改变了企业传统的工作模式，提高了工作效率，改善了企业管理、增强了员工间的沟通、极大的加强了企业的竞争力。 企业通过构建100M、1G甚至10G骨干网络环境，100M到用户桌面，用VPN走公网、或用专线连接远程分支机构或移动用户，从而组成基本的企业内网。 同时，企业通过使用基于B/S的应用系统、使用基于C/S的应用系统、使用VOD、FTP、MAIL等等这些基于TCP/IP的网络应用，从而组成基本的企业用户应用环境。 然而，目前很多企业、或企业中核心部门的信息系统应用还处于基本的仅能满足实际工作需要的水平上。 企业一些关键部门或核心部门在一些网络规划中，并没有得到应有的体现。往往财务部门和其他部门在一个企业中处于同等的安全区域。 以下的论述针对单位内部财务、审计、人事等敏感部门，针对B/S方式系统： 比如：一个标准的财务人员的工作模式：打开连接企业内网的桌面PC，输入开机口令，输入Windows 2000 登录用户名和密码，打开IE浏览器，输入财务系统WWW服务器地址，输入财务系统登录用户名和密码，进行财务业务操作，操作完成后退出财务系统，关闭IE浏览器，关闭机器。 那么，从这个流程中，我们可以发现很多问题。 1、 可能处于同样安全区域的其他PC有可能得到财务人员的密码。比如：通过Sniffer，后门 2、 很多人以为有了开机密码，Windows登录密码就可有可无。最后的安全防线完全依赖于财务软件的密码。 3、 工作环境容易受整个网络环境影响。比如：大网的网络阻塞，可能影响财务工作的进行。 4、 基于Microsoft IIS的B/S环境漏洞百出。 5、 未经加密的http数据可能被篡改，密码可能被截获。 6、 数据的存储都在服务器端，服务器是否冗余、数据是否实时备份，影响数据的可靠。 7、 财务人员个人的数据存储在个人桌面PC本地。往往财务个人的一些数据也是企业的一些重要资料，数据的丢失同样是企业的损失。 另一方面，在服务器端，一个基本的服务器管理员对财务服务器的安装和调试基本类似于下面的例子： 安装Windows 2000 Server + SP4 ，安装MS SQLServer2000 +SP3 ，安装MS Offices 2000，安装基于B/S的网络版财务软件。 同样，从中可以看出： 1、 MS SQL2000往往安装人员为省事，密码为空。 2、 Windows 2000和MS SQL2000往往补丁没有打全。 3、 往往管理员为了省事，建立默认通用帐号。 4、 为了备份方便，往往管理员建立everyone有读写权限的共享目录。 5、 人为降低windows默认安全级别。如：改DCOM设置，降低IE安全级别，允许安装未授权组件。 6、 服务器数据库无备份或简单的本地备份。