【TechTarget中国原创】研究人员每天都会公布大量的软件漏洞和攻击，总是有人对此过分关注，但是安全专家认为，这样会分散IT人士的注意力，使他们忽略一个日益严重的问题——网络的配置和维护十分松散，导致黑客可以在不引起注意的情况下通过网络攻击虚拟服务器。

　　IT咨询人员最先看到这些问题，他们认为主要问题包括：应用程序和硬件匹配错误，虽然具有安全系统但是没有经常维护，以及没有连接任何防御系统就开放无线网关。

　　“我遇到的一个问题是IT基础设施的连接在一起的方式。”位于麻萨诸塞州华森市的ExchangeGuy Consulting公司的主管Lee Benjamin说，“举个例子，看看旅馆中的Wi-Fi接入点。通常会有5到6个接入点一直在运行。进入一个停车场，你就能找到好多接口。”
　　
　　除此之外，Benjamin还发现，有些设备看起来运行良好，实际上并没有正确地配置，IT基础设施与这些设备相连，将很容易成为一些人在寻求安全漏洞时的首要攻击目标。

　　上网看看，不用花多长时间就能发现在这么做的人。印度学生兼研究员Ajay Shivaa最近在Jambai blog中指出，黑客可以用多种方法通过配置薄弱、维护较差的无线网络。其中有个例子，他这么说：“如果你的无线网络通过site-to-site VPN连接到某个公司的网络，那么开放的无线网络就会产生网络漏洞，将VPN两端都向任何连接到网络的人员开放。另外，还有一个危险， VPN客户端如果没有正确配置，就会很容易受感染，从而给黑客提供了VPN访问接口。”他列举了五种攻击行为，并敦促IT专业人士正确配置他们的无线网络。

　　位于宾夕法尼亚州Chester Springs的Core Competence公司的副总裁Lisa Phifer20多年来一直从事数据通信、网络互联、安全和网络管理产品的设计、实施和评估工作，她为大大小小的公司提供安全需求、产品评估、以及新兴技术和最佳方案的采用等方面的建议。她说， IT界普遍认为，错误配置和错漏补丁是企业面临的最重要漏洞。

　　她在邮件采访中指出，尽管CodeRed病毒的服务器补丁和病毒签名在2001年就已经出现了，这一臭名昭著的蠕虫病毒还是在2007年末的时候感染了许多服务器。“如果你是一名Web服务器管理员，但是却没有修复这个臭名昭著的漏洞，无疑等于配置不当。”她说。她还补充到：Gartner公司预测到2009年，错误配置将会占据WLAN攻击的70％。

　　Benjamin认为，在常规的侵入测试和安全控制审计方面，大型企业、IT商店比小型、中型企业做得更好。如果公司想要在坏人之前发现由错误配置引起的安全漏洞，必须具备这些方案。在许多情况下，实现网络安全有一种叫做“一设即忘”的方法，但通常会使情况更加糟糕。

　　“一些企业和小公司通常会具有那种心态，”他说，“他们设定好规则，使得安全设备看起来像在工作，接着做一些测试，随后就忘了。”

　　同时他还说，随着在分公司之间的忙碌的人越来越多，边界开始消失。确保网络跨越长远距离还能得到良好配置将变得越来越困难。“边界在哪呢？”他问道，“我们根本不知道。在分公司和总公司都有人使用移动设备。当一切都在改变的时候，怎么才能保证安全呢？” Benjamin说如果Wi-Fi接口随处可得，他都不敢想象会发生什么事。

　　位于麻萨诸塞州华森市的Partners安全管理公司的信息安全咨询服务部副总裁Peter Bamber说，一些受统一管理的行业如银行业拥有牢固的安全程序和合理的配置条件，而且检查员会定期检查。但是没有统一管理的的私人组织，尤其是资金有限的公司，就是另外一回事了。

　　他还补充到，一些公司非常关注TJX数据安全泄漏之类的新闻头条事件，考虑如何更好地保证无线配置的安全，但是他们没有注意基础条件。他注意到，在许多情况下，如果公司，比如Phifer公司，及时更新IT基础设施、安装补丁，就不会再遭受攻击。

　　“IT网络通常会有很多的缺陷设置，但并没有引起注意，这是因为公司没有给员工提供合适的培训，员工也就不能发现不同的设置。”他说，“我的一个客户受到rootkit攻击，病毒以五种不同的形式攻击缺少某些补丁的Windows 2000。这件事发生在去年。这次攻击破坏性很大，但是如果他们能够重视基础设施，攻击就不会成功。”

　　Bamber说，IT商店如果不能替换以前的技术，至少也要安装所有的补丁，这是我们要吸取的教训。在基础设施周围建立安全网络时，公司不能只是设置防火墙或者IDS系统，还需要做更多的事。

　　“你需要覆盖基础设施，为系统安装补丁，使用更复杂的密码，以及培训员工，让他们了解如何检查没有正确配置的设备。”

　　他说，认真听取这些建议，你受到针对错误配置系统的攻击威胁才会减少。