安全專家通常發(fā)現(xiàn)，不起眼的工作站往往正是工作場所安全當(dāng)中最薄弱的環(huán)節(jié)。

　　很多攻擊事件就是通過入侵企業(yè)里面的工作站來破壞其數(shù)據(jù)資產(chǎn)的完整性。這是因為大多數(shù)組織采用同類環(huán)境，而且大多數(shù)組織未能采取安全措施防范攻擊。沒錯，許多組織通常部署了專業(yè)的邊界防御系統(tǒng)，包括面向因特網(wǎng)的安全配置服務(wù)，可遺憾的是，一臺臺工作站并不安全。

　　安全人員經(jīng)常能夠發(fā)現(xiàn)內(nèi)部安全存在的這類漏洞。譬如，安全人員完成安全評估或者道德黑客攻擊（ethical hacking）演練之后，最后一步就是提交最終報告。這免不了會顯露往往牽涉邊界電子郵件防御系統(tǒng)及工作站配置方式的一系列問題。

　　典型的道德黑客攻擊報告中含有大量高度機(jī)密的資料，其中包括成功侵入重要主機(jī)所用的漏洞檢測代碼（exploit code）的樣本。不僅僅客戶的網(wǎng)關(guān)防病毒系統(tǒng)或內(nèi)容過濾系統(tǒng)會對報告中的文本作出反應(yīng)，而且資料的機(jī)密性意味著，資料必須采用某種方式進(jìn)行加密。因而，資料往往遭到防御系統(tǒng)的拒絕，永遠(yuǎn)也到不了目的接收方。此時，有人就開始喜歡設(shè)法繞開這些邊界防御系統(tǒng)。幸運(yùn)的是，防御系統(tǒng)往往存在足夠多的漏洞，以便測試報告安全通過。遺憾的是，別人也能輕而易舉地同樣這么做。

　　幾乎無一例外的是，不管對電子郵件的附件采取了什么策略，內(nèi)部總有人知道如何繞開組織的安全配置。把含有可執(zhí)行內(nèi)容（譬如自解密的PGP文件）的電子郵件發(fā)到公司的“技術(shù)人員”特別容易，因為這些人往往知道如何繞開自己的系統(tǒng)。這種規(guī)避機(jī)制包括對文件擴(kuò)展名進(jìn)行簡單的改名，或者把可執(zhí)行內(nèi)容加入到受口令保護(hù)的ZIP文件里面。這里要強(qiáng)調(diào)的是，可執(zhí)行代碼暢通無阻地發(fā)送到工作站用戶可謂小菜一碟，從而為攻擊者通過邊界防御系統(tǒng)、內(nèi)部執(zhí)行所嵌入內(nèi)容提供了可趁之機(jī)。

　　無論惡意內(nèi)容的執(zhí)行是由于用戶有意繞過邊界防御系統(tǒng)、由于通過普通網(wǎng)絡(luò)瀏覽器發(fā)動的嵌入在HTML的各種內(nèi)容攻擊（譬如跨站腳本執(zhí)行），還是由于大多數(shù)組織里面的任何普通工作站應(yīng)用軟件存在的安全漏洞，安全機(jī)制不夠的工作站迅速成了對公司內(nèi)部安全構(gòu)成最大威脅的隱患。

　　但在連有1000臺工作站的一個網(wǎng)絡(luò)中，可能只有少數(shù)一部分上面有機(jī)密資料。問題在于，要找出這些少數(shù)者其實相當(dāng)容易。只要找到款式最新、速度最快、功能最強(qiáng)的計算機(jī)就行，因為它們幾乎肯定屬于公司賬號方面享有特權(quán)的管理人員和高級用戶（power user）。這些用戶還往往輕視大多數(shù)安全策略，這樣一來，這些系統(tǒng)就更容易成為攻擊目標(biāo)。

　　雖然許多組織總是把重點(diǎn)放在了關(guān)鍵的服務(wù)器上面，但參加過多次內(nèi)部安全評估的人士發(fā)現(xiàn)，訪問公司重要資源最簡單的途徑幾乎總是不起眼的工作站。一般而言，工作站環(huán)境越是龐大，受到威脅的可能性就越高。

　　公司的工作站環(huán)境勢必要求大部分系統(tǒng)的配置幾乎一模一樣，并且采用同樣的應(yīng)用軟件套件。這意味著，它們同樣作為一個單位加以集中管理，包括同一本地管理員口令賬號、同一共享機(jī)制和網(wǎng)絡(luò)映射、同一補(bǔ)丁級別以及同一防御配置。因而，倘若一個工作站的安全受到危脅，就會導(dǎo)致整個環(huán)境的完整性蕩然無存。

　　盡管組織往往把保護(hù)內(nèi)部資源的重任交給邊界防御系統(tǒng)，但常常未把預(yù)算分配給功能日益強(qiáng)大、安全日益重要的工作站。遺憾的是，由于缺乏嚴(yán)格的安全執(zhí)行、監(jiān)控及用戶培訓(xùn)，普通工作站的入侵日益成為發(fā)動惡性攻擊的最簡單方法。貴公司的工作站又有多安全呢？

　　提高工作站安全的方法

　　● 采用合理的指導(dǎo)準(zhǔn)則，加強(qiáng)工作站系統(tǒng)的安全，只安裝公司正常運(yùn)行所需的最少數(shù)量的軟件。

　　● 打上所有相關(guān)的安全補(bǔ)丁。一旦出現(xiàn)新補(bǔ)丁，就立即予以更新。

　　● 確保所有工作站用戶接受了因特網(wǎng)安全知識培訓(xùn)，知道自己可能會遭到哪幾種危脅。

　　● 部署工作站級別的防御系統(tǒng)，包括防病毒、防火墻、內(nèi)容過濾、流量出站封阻以及IDS技術(shù)。

　　● 定期利用漏洞掃描器掃描工作站環(huán)境，以便迅速找出不安全或已受到入侵的主機(jī)。