泰坦尼克号被认为是永不沉没的，这证明了它当时的工程能力，以及豪华客轮很少与巨大的冰山相撞的事实。在现代企业中，有一种类似的不可破坏性的看法。然而，对于每一个在一年中没有任何不幸的大型组织来说，都有很多关于危险的闯入、Wi-Fi嗅探障碍的故事，以及蓝牙狙击步枪被用来窃取公司机密的事件。下面是六个安全漏洞，这些漏洞往往是大开的，即使是那些以其安全性为傲的公司也是如此。在你的企业船撞上冰墙之前，我们向安全顾问查询了一下你能做些什么。1.在Wi-Fi网络智能手机上，未经授权的智能手机给企业安全带来了一些最大的风险，主要是因为它们非常普遍，而且一些员工只是无法抗拒在办公室使用个人设备-即使他们的雇主已经制定了禁止使用它们的既定政策。“危险在于手机是三置设备-蓝牙、Wi-Fi和GSM无线，”互联网安全咨询公司Sec Theory的创始人罗伯特·汉森说。他解释说，在工作中使用个人智能手机的员工“引入了一个容易受到潜在攻击点攻击的管道”。如果你使用像智能手机这样跨越多个无线频谱的设备，“停车场里的人可以使用一支蓝牙狙击步枪，它可以从一英里外读取蓝牙，连接到智能手机，然后连接到公司的无线网络，”汉森说，他也知道他的别名RSnake。蓝牙是一个开放的门户，允许黑客访问Wi-Fi，因此公司网络。汉森说，那些简单地禁止智能手机的政策不太可能是有效的——员工即使被禁止，也会被诱惑在工作中使用他们的小工具。相反，他说IT应该只允许经批准的设备访问网络。这种访问应该基于MAC地址，这些地址是与特定设备绑定的唯一代码-使它们更容易跟踪。另一种策略是使用网络访问控制，以确保连接的任何人，实际上，被授权连接。汉森说，在一个理想的世界里，公司还应该将客人访问Wi-Fi网络与重要的公司网络分开，即使拥有两个无线局域网也意味着一些冗余和管理开销。另一种方法：在流行的平台上提供健壮的、公司认可的智能手机，如Google‘sAndroid，从而劝阻员工使用不支持的设备。通过鼓励使用经批准的手机，IT可以专注于对一个设备子集的安全预防措施，而不是必须与许多品牌和平台打交道。2.在网络打印机上打开端口办公室打印机是另一个看似无害的设备，代表着一种安全风险，尽管大多数公司对这种危险视而不见。在过去的几年里，打印机已经可以使用Wi-Fi，有些甚至使用3G接入和电话线传真。有些型号确实阻止了打印机上某些端口的访问，但正如汉森所说，如果一家大公司有200个被封锁的打印机端口，可能还会有另外1000个端口是大开放的。黑客可以通过这些端口闯入公司网络。安全专家杰伊？瓦伦丁（Jay Valentine）表示：“你之所以不知道这件事，原因之一是因为没有有效的方法来关闭它们。“我们看到电力行业一直通过网络端口接入，这是一个等待发生的重大事故。”解决这一问题的最佳方法是完全禁用打印机上的无线选项。汉森说，如果这是不可行的，IT应该确保所有端口都被封锁，以便任何未经授权的访问。同样重要的是使用安全管理工具来监视和报告开放的打印机端口。其中一个工具是ActiveXperts软件的活动监视器。3.定制开发的带有坏代码的Web应用程序几乎每个企业安全专业人员都害怕草率编程造成的漏洞。这可以通过定制开发的软件以及商业和开源软件来实现。汉森说，一个常见的技巧就是利用服务器上的xp_cmdshell程序，一个缺乏经验的程序员或系统管理员可能会对该程序进行大范围的攻击。这样做的黑客可以完全访问一个数据库，这提供了一个数据的入口和一个快速的网络后门。汉森说，在Web服务器上的PHP例程也可以攻击的时机成熟。小的编码错误，例如从应用程序调用远程文件时的不当保障，为黑客添加自己的嵌入式代码提供了一种方法..如果开发人员不小心休息，就会出现这种情况

可以根据用户的表单输入调用哪些文件，或者使用跟踪功能报告回到其帖子的链接的公司博客，而不首先对存储的URL进行消毒，以防止未经授权的数据库查询。解决这个问题最明显的办法是避免使用一些软件，如免费提供的PHP脚本、博客插件和其他可能被怀疑的代码。如果需要这样的软件，安全监控工具可以检测漏洞，即使在小型PHP脚本。4.社交网络欺骗Face book和Twitter用户可能会被骗泄露敏感信息。通常情况下，这些类型的攻击是微妙的，不一定可以追踪到。“找工作的人往往愿意泄露（个人）信息，”汉森说。他说，他的一位客户告诉他，黑客是如何利用求职网站上的假电子邮件地址冒充招聘人员的。他拒绝详细说明这个例子，以保护客户，但这是他所说的“困惑的副手”场景的一个例子。在这个场景中，有人声称自己是Monster.com的招聘人员，比如与一名员工联系，而该员工认为打电话的人实际上是Monster.com的招聘人员，并没有要求核实他的资历。汉森说，这和在邮件中得到一个信封是一样的-仅仅因为信封有一个特定的返回地址，这并不意味着内容实际上来自那个发件人。公司应使用确认发件人身份的电子邮件验证系统。这些验证将电子邮件发送回地址，以确认发件人的凭据。包括德克萨斯州在内的一些州规定，通过电子邮件冒充某人是非法的。5.员工下载非法电影和音乐P2P网络不会消失。在一家大公司，发现员工使用点对点系统下载非法商品或设置自己的服务器分发软件的情况并不少见。“根据政策，P2P网络应该在每个企业中完全被封锁，”安全培训公司“安全意识公司”首席执行官温·施瓦图（Winn Schwartau）表示。“P2P端口应该在所有周边和理想情况下在公司的端点完全关闭。通过企业服务器上的白色/黑色列表和过滤器，可以停止P2P程序。”Schwarau讲述了纽约一家金融服务公司的故事，该公司每天都在办公室里运行一个P2P端口。最终，它被发现并被发现是一个色情文件服务器。施瓦图说，他所说的“罪黑客”的不幸事实是，小偷通常被吸引到邪恶的活动中，所以他们可能首先看到的地方之一是P2P服务器和任何潜在的安全漏洞。“向P2P文件注入敌对代码是[不难]的，并且可以在一个组织内创建一个滩头，这取决于代码设计。”他说。他提出了一种名为“资源隔离”的技术，它基本上控制了哪些应用程序用户可以基于权限访问。施瓦图说，不同的操作系统以略有不同的方式做到这一点，但在缺乏或不遵循公司政策的情况下，这是值得追求的。施瓦图鼓励IT商店定期对所有公司网络和服务器进行扫描，以寻找P2P活动，并警惕阻止任何P2P活动。6.短信欺骗和恶意软件感染另一个潜在的攻击载体：智能手机上的短信。黑客可以利用短信与员工直接联系，试图让他们泄露网络登录凭证和商业情报等敏感信息，但他们也可以利用短信在手机上安装恶意软件。“在我们的概念验证工作中，我们展示了rootkit如何在业主不知道发生了情况下打开手机的麦克风，”Schwartau说。他指出：“攻击者可以向受感染的手机发送一条看不见的短信，告诉它打电话并打开麦克风。”这将是一种有效的策略，例如，如果手机的主人在开会，攻击者想偷听。施瓦图说，有一些方法可以过滤短信活动，但这通常是通过无线运营商完成的，因为短信不是基于IP的，因此通常不受公司管理人员的控制。阻止这种攻击的最佳选择是与运营商合作，以确保他们使用恶意软件阻塞软件，短信过滤器和重定向为这些类型的攻击。同样，制定鼓励或要求只使用公司认可或公司提供的手机和服务计划的智能手机使用政策可以降低这一风险。当然，公司不能用现有技术挫败每一种可能的安全攻击，黑客也在不断地转换战术。你应该设法堵住这六个安全漏洞，并努力确保它们保持堵塞状态-但是你