Re: 請問公司的防駭客措施 - 資安

※ 引述《nmonkey (dfafd)》之銘言：
: 我任職的公司最近被駭客入侵,據IT部門表示駭客的手法是使用合法的port(?)進入
: 公司內部, 再利用先前已被植入木馬程式的個人電腦, 遠端操控以獲取需要的資料,
: 所以據他們表示, 能採取的行動只有以下幾點:
: 1. 將所有員工的電腦都封鎖USB port 禁止傳輸資料
: 2. 將員工的windows權限變成只有user 而不是原先的administrator(據IT表示,
: 此舉是為了讓駭客入侵電腦後, 也無足夠權限竊取公司資料)
: 3. 嚴格執行下班後關電腦(因為駭客都利用大家下班後才使用VNC來操縱電腦....)
: 4. 員工的自設電腦密碼強度不夠, 所以以後要統一由IT代設強度夠的密碼
: 我對資訊安全不是很熟悉, 可是我對上述的幾個說法實在是不太能理解,
: 對於一般公司的資安來說, 防駭客不是應該先利用類似防火牆之類的東西把駭客阻擋在
: 公司的網域之外嗎? 先讓駭客進來, 再想辦法降低駭客的權限, 好像不太有道理....

防火牆的能力有限，在現在的網路環境很多情況它是無法阻擋的，
(技術細節在此不提)的確有其他的防護設備能補強防火牆不足的部
份，但是要另外花錢花時間購置，如果你能幫忙說服公司高層購買
相信 IT 部門會很開心(?)

現在很多攻擊會直接攻擊使用者，比如說入侵網站以後在上面加入
惡意連結等，當使用者瀏覽這些網站，若防毒軟體沒有擋住，那就
中獎了，單純說只要把入侵者阻擋在外就沒有問題，就太小看現在
的攻擊技術了

也因為安全不是100%，因此我們通常會提一個觀念叫做「縱深防禦」
不會僅依賴單一設備/技術作防護，而會布置多道防線，以避免單一
設備/技術被突破以後就沒有任何防護

但由 IT 統一設定密碼倒是很奇怪的事情，若你們有 AD，應該可以
直接設定密碼長度和強度的限制、多久需更換一次密碼等安全政策，
若沒有的話，可能就得一台一台設定，但會比統一代設密碼好



--