最近我侵入了一臺醫(yī)院的計算機的系統(tǒng)中。雖然不能更改系統(tǒng)設置、不能修改門診記錄，當然我也不能侵入五角大樓或者發(fā)射核導彈，但是我確實能夠從未授權的終端發(fā)送和接收電子郵件、上網(wǎng)并且隨意瀏覽醫(yī)院官方的文件。我的經(jīng)歷可以讓你注意防范一些簡單、低技術含量以及常識性的攻擊。
當時是在某天晚上，我的朋友剛在中西部教育醫(yī)院做了一次外科手術。院方稱我需要在等候區(qū)等2到3個小時。等候區(qū)里的雜志太舊了，我就在空曠昏暗的走廊里到處溜達、打發(fā)時間。醫(yī)院向病人提供免費網(wǎng)絡，因此我就向護士打聽有公用機器上網(wǎng)的地方。她給我大致指了個方向。
我發(fā)現(xiàn)一個桌子上有些小的紅綠燈，那邊有一間沒人的、有臺工作站的小房間。我走進去看了看。沒有人阻止我進入?？赡茉悍秸J為這間房子白天人來人往的沒有人會隨便進去，但是現(xiàn)在所有東西都暴露在那里隨意供我取用。
提示：下班時也應注意物理安全。將所有的門都應該鎖好。
我動了動鍵盤。哇！看到操作系統(tǒng)了。根本沒有什么有密碼保護的屏保程序或者使用提示以及需要認證的警示屏幕。
桌面有個打開的文本文檔。它只是個每周日程表，但是在其他狀態(tài)它也有可能是保密報告。由于用戶仍然是登陸狀態(tài)的，任何路過的人可以復制、修改或者保存該文件。
提示：設置自動的會話超時操作。
開始按鈕的功能只是部分禁止的——一些程序無法啟動。但是一些本地程序仍然可以使用。IE圖標被改了名字，但是我很容易就識別出來了。
于是我點擊并啟動了瀏覽器。網(wǎng)絡就任我隨意使用。
好吧，其實網(wǎng)絡差不多是供我隨意使用了。醫(yī)院的系統(tǒng)組攔截了一些站點。我嘗試幾次后，就明白了它攔截的規(guī)律。他們攔截了所有.com .org域名的站點，但是沒有屏蔽.edu域的站點。我不能訪問1-800-flowers.com但是我能訪問幾乎所有的學?；虼髮W的網(wǎng)站。（這里我就有個有趣的問題了：醫(yī)院如何能屏蔽合法用戶訪問.org域呢？難道他們不想讓員工訪問像美國醫(yī)學聯(lián)盟和醫(yī)學鑒定處這樣的醫(yī)療組織嗎？）
我有很多學校的郵箱帳戶。我查看了一個學校郵箱的郵件并用另一個郵箱發(fā)送了電子郵件。我可以查看學生名單，在線申請大學的職位或者預約圖書館的書籍。有些站點通過下載并安裝的JAVA小控件來提供安全殼功能。如果我訪問了這些站點，我肯定能夠遠程連接到我的服務器，并利用它繞過屏蔽障礙。
提示：在下班后禁止下載和安裝功能。
該工作站連有一臺打印機，這就給人搞惡作劇和浪費資源提供了機會。簡單的巡邏警衛(wèi)就可以發(fā)現(xiàn)敲鍵盤或者打印機的異常響動。但實際上只有一個清掃的人經(jīng)過，而他根本沒有注意到我。毫無疑問，他以為我就是那里的員工，正在加班。
提示：跟耳目有關的安全問題。
醫(yī)院IT系統(tǒng)組采取了鎖定他們計算機的措施，但是有太多漏洞讓我可以輕易通過。我從當前的系統(tǒng)退出，這樣其他人不會對醫(yī)院造成損失，然后我安靜地離開。前臺的職員在我出去的時候根本沒有問我要訪客通行證。
你的站點也會發(fā)生這樣的事情嗎？也許。但是如果辦公室的門鎖好了，沒有人能訪問工作站。如果系統(tǒng)有密碼保護的屏保程序，那么別人就看不到桌面和文件。如果用戶自動退出登錄了，那么別人就無法啟動本地程序。等等諸如此類的。
提醒：簡單、低技術、常識性的預防措施就能防止安全泄露問題。
當時是在某天晚上，我的朋友剛在中西部教育醫(yī)院做了一次外科手術。院方稱我需要在等候區(qū)等2到3個小時。等候區(qū)里的雜志太舊了，我就在空曠昏暗的走廊里到處溜達、打發(fā)時間。醫(yī)院向病人提供免費網(wǎng)絡，因此我就向護士打聽有公用機器上網(wǎng)的地方。她給我大致指了個方向。
我發(fā)現(xiàn)一個桌子上有些小的紅綠燈，那邊有一間沒人的、有臺工作站的小房間。我走進去看了看。沒有人阻止我進入?？赡茉悍秸J為這間房子白天人來人往的沒有人會隨便進去，但是現(xiàn)在所有東西都暴露在那里隨意供我取用。
提示：下班時也應注意物理安全。將所有的門都應該鎖好。
我動了動鍵盤。哇！看到操作系統(tǒng)了。根本沒有什么有密碼保護的屏保程序或者使用提示以及需要認證的警示屏幕。
桌面有個打開的文本文檔。它只是個每周日程表，但是在其他狀態(tài)它也有可能是保密報告。由于用戶仍然是登陸狀態(tài)的，任何路過的人可以復制、修改或者保存該文件。
提示：設置自動的會話超時操作。
開始按鈕的功能只是部分禁止的——一些程序無法啟動。但是一些本地程序仍然可以使用。IE圖標被改了名字，但是我很容易就識別出來了。
于是我點擊并啟動了瀏覽器。網(wǎng)絡就任我隨意使用。
好吧，其實網(wǎng)絡差不多是供我隨意使用了。醫(yī)院的系統(tǒng)組攔截了一些站點。我嘗試幾次后，就明白了它攔截的規(guī)律。他們攔截了所有.com .org域名的站點，但是沒有屏蔽.edu域的站點。我不能訪問1-800-flowers.com但是我能訪問幾乎所有的學?；虼髮W的網(wǎng)站。（這里我就有個有趣的問題了：醫(yī)院如何能屏蔽合法用戶訪問.org域呢？難道他們不想讓員工訪問像美國醫(yī)學聯(lián)盟和醫(yī)學鑒定處這樣的醫(yī)療組織嗎？）
我有很多學校的郵箱帳戶。我查看了一個學校郵箱的郵件并用另一個郵箱發(fā)送了電子郵件。我可以查看學生名單，在線申請大學的職位或者預約圖書館的書籍。有些站點通過下載并安裝的JAVA小控件來提供安全殼功能。如果我訪問了這些站點，我肯定能夠遠程連接到我的服務器，并利用它繞過屏蔽障礙。
提示：在下班后禁止下載和安裝功能。
該工作站連有一臺打印機，這就給人搞惡作劇和浪費資源提供了機會。簡單的巡邏警衛(wèi)就可以發(fā)現(xiàn)敲鍵盤或者打印機的異常響動。但實際上只有一個清掃的人經(jīng)過，而他根本沒有注意到我。毫無疑問，他以為我就是那里的員工，正在加班。
提示：跟耳目有關的安全問題。
醫(yī)院IT系統(tǒng)組采取了鎖定他們計算機的措施，但是有太多漏洞讓我可以輕易通過。我從當前的系統(tǒng)退出，這樣其他人不會對醫(yī)院造成損失，然后我安靜地離開。前臺的職員在我出去的時候根本沒有問我要訪客通行證。
你的站點也會發(fā)生這樣的事情嗎？也許。但是如果辦公室的門鎖好了，沒有人能訪問工作站。如果系統(tǒng)有密碼保護的屏保程序，那么別人就看不到桌面和文件。如果用戶自動退出登錄了，那么別人就無法啟動本地程序。等等諸如此類的。
提醒：簡單、低技術、常識性的預防措施就能防止安全泄露問題。