※ 引述《nmonkey (dfafd)》之銘言： : 我任職的公司最近被駭客入侵,據IT部門表示駭客的手法是使用合法的port(?)進入 : 公司內部, 再利用先前已被植入木馬程式的個人電腦, 遠端操控以獲取需要的資料, : 所以據他們表示, 能採取的行動只有以下幾點: : 1. 將所有員工的電腦都封鎖USB port 禁止傳輸資料 : 2. 將員工的windows權限變成只有user 而不是原先的administrator(據IT表示, : 此舉是為了讓駭客入侵電腦後, 也無足夠權限竊取公司資料) : 3. 嚴格執行下班後關電腦(因為駭客都利用大家下班後才使用VNC來操縱電腦....) : 4. 員工的自設電腦密碼強度不夠, 所以以後要統一由IT代設強度夠的密碼 : 我對資訊安全不是很熟悉, 可是我對上述的幾個說法實在是不太能理解, : 對於一般公司的資安來說, 防駭客不是應該先利用類似防火牆之類的東西把駭客阻擋在 : 公司的網域之外嗎? 先讓駭客進來, 再想辦法降低駭客的權限, 好像不太有道理.... 防火牆的能力有限，在現在的網路環境很多情況它是無法阻擋的， (技術細節在此不提)的確有其他的防護設備能補強防火牆不足的部 份，但是要另外花錢花時間購置，如果你能幫忙說服公司高層購買 相信 IT 部門會很開心(?) 現在很多攻擊會直接攻擊使用者，比如說入侵網站以後在上面加入 惡意連結等，當使用者瀏覽這些網站，若防毒軟體沒有擋住，那就 中獎了，單純說只要把入侵者阻擋在外就沒有問題，就太小看現在 的攻擊技術了 也因為安全不是100%，因此我們通常會提一個觀念叫做「縱深防禦」 不會僅依賴單一設備/技術作防護，而會布置多道防線，以避免單一 設備/技術被突破以後就沒有任何防護 但由 IT 統一設定密碼倒是很奇怪的事情，若你們有 AD，應該可以 直接設定密碼長度和強度的限制、多久需更換一次密碼等安全政策， 若沒有的話，可能就得一台一台設定，但會比統一代設密碼好 --

※ 發信站: 批踢踢實業坊(ptt.cc) ◆ From: 220.135.85.142