摘要：我很诧异的发现，大多数企业，即使当他们遭遇到了攻击，而致使企业的声誉受到严重损害，也无法正确的对抗黑客的恶意攻击。相反，他们所建立的安全防御体系对于他们所想要避免的安全威胁几乎没有什么作用。

　　让我来向您描述一个比较常见的场景吧：我经常看到某些大公司成为APT（高级持续性威胁）攻击的受害者。通常情况下，这些攻击的发生是因为企业中的一个或多个用户无意中感染了供应商补丁的漏洞。这种案例超过50％的情况是由于这些用户未安装Java修补程序，但还有一些其他常见的罪魁祸首，包括未打Windows补丁、AdobeAcrobat补丁未安装等等。另一大风险是来自于用户安装了他们原本不应该安装的应用程序，如假的防病毒扫描器、假的磁盘整理工具，或伪造的软件驱动程序。
　　
　　上述这两种攻击手段所占的比例远远超过您所听说过的其他案例，包括SQL注入攻击、密码猜测攻击、蠕虫和中间人攻击。
　　
　　您的防守手段是错误的！为什么呢？通常是因为一些所谓的“专家”的误导：即那些其实是与某产品供应商的销售部门有利益关系的“专家”，或者那些只懂得纸上谈兵的“专家”。他们一个劲儿的误导您，需要安装先进的防火墙、IDS扫描仪、多因素认证日志、以及其他各种各样的并不奏效的解决方案。
　　
　　当我问这些频繁受到APT攻击的企业负责人：您企业花费数以百万计美元的资金所购买的那些复杂的解决方案是否已经使您的企业免受恶意攻击了呢？在大多数情况下，真实的答案其实都是否定的。但我通常得到的答复是：“是的。”或“也许没有，但这些解决方案的采用会使恶意攻击变得更难。”
　　
　　这简直让我无语了。于是，我只好请教他们，告诉我到底可以采取什么样的步骤才能彻底免于受到恶意攻击的影响。这些人所提出的其他的解决方案，要么是过分夸大自己所喜爱的奇异的防御系统的能力；要么则是他们自己也开始陷入摸索的尴尬。
　　
　　然而，我所遇到的几乎所有的客户都是不断的在新的华而不实的项目上浪费钱，而不是将焦点集中在那些真正能够帮助企业降低风险的工作的基础上。
　　
　　您真的想成为您企业环境中的安全专家吗？那么，请开始瞄准那些对贵公司构成实际威胁的因素下属，解决好这些潜在的威胁因素，并针对他们做好进一步的防御措施吧。请问，还有比这更简单的方法吗？
　　
　　这里便是我的建议：假设在您的企业，最为常见的攻击是来自客户端。就像上文中所介绍的来自于最终用户曾启动过的恶意软件。通过耐心的长期观察，我发现即使是采用更长更复杂的密码、采用磁盘加密、摆脱脆弱的认证协议也是大有益处的。这个简单的措施能否帮助您的企业成功的免于受到恶意入侵者的攻击吗？
　　
　　遗憾的是，我所获得的大部分回答都是坚定的：“不能！”有的甚至还敲着桌子拒绝我的建议。
　　
　　所以，我建议他们说，这就像处理人际关系一样，过去的状况往往是未来的状况的最佳预示指标。如果您的企业在过去常常被攻击的主要原因是因为您的系统未打Java补丁。那么请务必从开始及时打好Java修补开始。为了使上述这个例子更直观：如果您企业过去遭遇恶意攻击的案例50%的情况源于未打Java补丁，另有49%的情况涉及到用户运行了不该安装的应用程序，而其他黑客攻击的情况则仅仅只占到了剩下的1%。
　　
　　管理就像演示PowerPoint幻灯片一样。首先，需要准备五张幻灯片。第一张，将您企业所面临的各种威胁的风险水平进行权重排列：
　　
　　1、未打补丁的软件
　　
　　2、 无意中下载了恶意软件
　　
　　3、其他相关威胁因素
　　
　　在第二张幻灯片上，展示您将如何将应对在您企业排名第一的风险。例如，您企业是否能快速修补Java补丁，这样，您就可以成功消除大约50%的黑客对您的公司的攻击情况。第三张幻灯片上应显示的是如何防御您企业的第二大风险。然后，在第四张幻灯片上，列出了所有占剩下的1％的风险的具体情形。在最后一张幻灯片上，添加您要如何进行防御，消除这剩下的1％的风险。
　　
　　最后，您可以问您的老板：“您希望我把钱花在哪方面的防御措施上？”
　　
　　责任编辑：余芯