1.1 围绕安全的业务挑战

作者: Christopher Steel, Ramesh Nagappan, Ray Lai 出处:机械工业出版社　 (  ) 砖  (  ) 好  评论 ( ) 条 　进入论坛

更新时间：2007-06-26 11:50
关 键 词：J2EE  Web服务  身份管理  J2EE、Web服务和身份管理最佳实践与策略
阅读提示：《J2EE、Web服务和身份管理最佳实践与策略》是一本安全从业者实用指南，介绍在J2EE企业应用、Web服务、身份管理、服务供应和身份识别解决方案中，如何建立健壮的端到端安全性。本书由三位杰出的Java安全架构师编写，其中的模式驱动方法全面反映了确保大型应用安全的最佳实践。本文是围绕安全的业务挑战。

1.1 围绕安全的业务挑战
目前，以网络和互联网为核心的应用和服务大行其道，从而为企业和组织提供了无限的机会，让其客户、合作伙伴和员工方便快捷地访问所需的信息。这提高了效率、移动性和协作性，并且显著降低了成本。但这项变革也为黑客、心存不满的员工以及计算机犯罪分子的恶意行为、破解和攻击大开方便之门。现如今，企业和机构都面临不断增长的内部和外部安全威胁和漏洞，而不幸的是，针对这些威胁和漏洞尚没有任何简便的解决方案。造成如今这
种业务漏洞激增局面的罪魁祸首是目前在满足业务需求时所采用的方式及其实施安全措施时的无所作为。导致无所作为的重要因素如下:
将安全措施视为附加措施:在典型的软件开发周期中，安全特性的应用通常视为部署阶段的收尾工作。这导致在设计阶段没有采用积极主动的方法，而当安全措施成为事后诸葛时，系统只能以不设防的姿态来面对众多威胁及相关的风险。
架构效率低下:没有在架构设计过程中就安全风险进行分析和权衡，其结果是系统架构效率低下，与设计过程中考虑了安全的系统相比，可利用的漏洞和将招致的攻击更多。
安全补丁包和升级包:没有及时安装和配置与安全相关的补丁包和升级包，存在于部署基础设施中的安全漏洞未能消除。
专用解决方案和兼容性:采用专用解决方案常常导致兼容性问题，从而不仅影响与其他基于标准的系统环境的互操作性，还将影响整个安全基础设施未来的可伸缩性和可扩展性。
选择了薄弱的基础设施:如果所选平台基础设施中存在已知的安全问题和缺陷，那么与平台相关的威胁和漏洞将会增多。
不良的运营实践:缺乏对生产运营的审计和控制，导致无法检测出恶意行为和漏洞。
糟糕的认证和验证过程:在业务应用中缺乏认证和验证过程，导致身份盗用、假冒和身份欺诈。拙劣的配置管理:不正确的安全配置以及缺乏对配置参数和设置的验证将对运营效率产生重大的影响，并增大遭受攻击的可能性。
不完善的安全策略和控制:缺乏与业务应用相关的安全策略以及未能实施更严格的安全控制将削弱数据的机密性，并对目标数据及相关的拥有者产生负面影响。
缺乏专业知识:大多数安全管理员都很重视网络和基础设施的安全，但常常忽视应用特定的漏洞和内容级漏洞，从而导致应用和内容级攻击，如恶意代码注入、跨站脚本和XML攻击等。
意识和培训问题:缺乏对员工安全意识的培养将导致机密数据和过程的无意间泄漏，而缺乏对员工安全意识的培训导致无法预知的安全问题和基础设施滥用。
在管理上缺乏优先级:拙劣的管理只关注安全事件和对业务造成负面影响的安全事件的处理，从而导致因不恰当的选择或错误的指导方针带来不可估量的损失。
除上述挑战外，还有很多未解决的技术和管理问题。在确定潜在威胁的性质和程度并采取行之有效的保护措施时，这些问题将成为绊脚石。

回书目   上一节   下一节

滚动新闻　术语词典　问题悬赏

我也说两句