这甚至更有趣，因为几乎所有的防火墙都以最不宽松的默认拒绝权限开始，然后在应用程序无法工作的某个地方开始。在进行了大量故障排除之后，有人怀疑是防火墙导致了这个问题，因此他们创建了一个“允许任意任意”规则。这个规则本质上告诉防火墙允许所有的流量，不阻止任何东西。请求或创建此规则的人通常只希望使用此规则一段时间，以确定防火墙在此问题中可能扮演的角色。至少，这是最初的想法。
不知何故，这些规则被保留了很长一段时间。我审计的大多数环境至少有一个启用了“ANY ANY”的主路由器。通常，防火墙管理员和IT安全人员会震惊地发现“临时”规则仍然有效。这些意外的永久性“ANY ANY”漏洞通常是由审计员(如我)或黑客发现的。不幸的是，后者的发现可能导致失业线。
教训:永远不要允许部署“任何任何”规则。
第9大安全错误:不更改密码
一个最常见的错误，可以把你的工作是不改变你的管理密码很长一段时间。我的审计经验已经很清楚地说明了这一点。几乎所有公司都有多个未过期的、多年前的管理密码。事实上，这是常态。
每个计算机安全配置指南都建议合理地、定期地更改所有密码，在实践中相当于每45到90天更改一次。管理员密码和提升密码应该比用户密码更强，更改频率更高。在大多数公司，管理密码又长又复杂，但几乎从未改变过。
更改这些密码的工作并不一定是繁重的。许多企业软件可以自动更改管理密码，甚至创建临时的一次性密码。不过，即使是在使用这款软件的公司，我也会发现大量未更改的密码。
这种漫不经心的密码做法背后的原理是什么?考虑一下本文开头提到的第一个错误:中断关键的业务功能。一个软件系统可以很容易地更改管理帐户的密码，但是当这些相同的帐户和密码在整个公司网络的其他应用程序和系统中使用时，会发生什么情况呢?如果只更改其中一个，而不更改另一个，那么只要两者不同步，就会导致服务中断。即使您同时更改了帐户和应用程序中的密码，也可能需要重新启动或重新启动才能进行更改。
这种操作复杂性最终会迫使管理员和应用程序所有者豁免他们的帐户强制更改密码。对中断关键业务系统的恐惧导致了鲁莽的密码实践。
更糟糕的是，许多人都知道，管理员密码经常在网络上共享。这些密码一开始就不应该被共享，但如果被共享，那么一旦知道密码的人离开公司，就需要立即更改密码。不遵守这一政策是使被解雇的、心怀不满的员工重返网络造成巨大伤害的第一步。
经验教训:定期更改所有密码，特别是管理员和服务帐户。在离职后立即更换密码。另外，不要使用管理帐户和密码来启动应用程序。
巨大的安全错误10:对待每个漏洞都像对待“大漏洞”一样
对你的职业生涯来说，最糟糕的事情之一就是太过频繁地喊“狼来了”。每年，在新发现的数千个漏洞中，都会有几个成为“大漏洞”。“今年,Heartbleed和弹震症符合要求，值得你关注和纠正。
但总会有大量的漏洞被同事和媒体吹捧为会削弱你的网络和系统的关键漏洞。认识到你真正需要担心的是什么需要经验和技能。如果你对每一个“大”漏洞都感到恐慌，你可能会被视为不了解自己工作的人，不能识别出对你的业务的真正威胁，不应该被认真对待，即使你的警报与一个漏洞同时出现，你的公司也绝对应该注意。当然，喊“狼来了”可能不会让你被解雇，但它肯定会给你长期向上流动设置障碍。
教训:正确地确定漏洞的优先级，注意不要用错误的警报浪费同事的时间，从而破坏他们对你的信任。
相关文章
- 11个确定的迹象表明你被黑客攻击了——以及如何反击
- 当今最狡猾的黑客使用的偷袭
- 真实的白帽黑客故事
- 14肮脏的IT伎俩，安全专业版
- 关于最可怕的安全威胁，我们吸取了6个教训
- 这是9个最大的安全威胁
- 流行的IT安全实践根本不起作用
- 10个真正有效的疯狂IT安全技巧
这个故事，“10个会让你被解雇的安全错误”最初是由信息世界 。