Gartner：IT安全威胁谣传混淆视听 危害更大

　　Gartner将在其首次举行的安全峰会上详细披露五种被过份夸大的安全风险，以及对全球和部分地区的IT安全趋势进行分析和预测。

　　被夸大的五种安全隐患分别是:IP话音 (VoIP) 技术是不安全的;针对移动设备的恶意软件将造成大规模破坏;互联网会因Warhol 蠕虫病毒而不能安全可靠地处理业务通信及VPNS (虚拟专用网);遵守了监管法规便足够安全，以及无线热点不安全。

　　Gartner信息安全及私隐保护部总监Amrit Williams表示:“长期夸大安全威胁会误导用户，这反而会造成危险。为防御这些不实的威胁，用户得花费时间及精力，但最终受益的只是那些但求促销产品而危言耸听的技术供应商。我们建议企业在采取行动前要三思而后行，以免被骗。”

　　谣传一:IP话音是不安全的

　　这种观点不正确。安全设置IP话音系统绝无难度。由于语音是大部分企业最核心的应用，时刻保持警觉固然是明智的做法，但只要安装适宜，其效益远超过风险。而现实中，IP话音系统极少受到袭击。这也正是为什么一旦有此类事件发生，就很有新闻性的原因。不幸的是，这类新闻往往被断章取义。电话被窃听 (Eavesdropping) 就是一个被夸大的IP 电话安全问题。其实，要想窃听，前提是要先与IP电话机连接在同一本地网络内。因此，在多数情况下，窃听传统电话比窃听IP电话更容易。窃取语音包和数据包难度是一样的，所以毋须过于惧怕IP话音通讯会被中途截听并被不法分子利用。企业应关注更有可能发生的攻击，例如防范针对IP电话服务器的服务中断 (Denial of Servce) 袭击。

　　Gartner建议，只要IP电话对业务有帮助，企业就可以采用，所要做的就是运用目前最佳的IT安全措施来保护IP电话服务器即可。若担心被窃听，最佳的保护措施是使用与数据通信相同的方法将话音通信做加密处理。

　　谣传二:针对移动设备的恶意软件将造成大规模破坏

　　其实，要以这种威胁手段破坏数以百万计的移动设备的事件恐怕在2006年底前不太可能发生。IT安全业旨在通过让市场相信针对移动设备的恶意软件所造成的威胁已迫在眉睫，从而使众多的手机和PDA用户购买相应的安全解决方案。然而，由于智能电话和PDA的兴起，30%的全球市场被这些新设备占据，他们运行在与以往不同的平台上，使那些恶意软件失去了肆虐之地。大规模的破坏需要一个通用的运作平台，这样的平台在近期内不会出现。

　　Gartner建议企业慎重选择移动设备与无线服务，力求购买最安全的产品。企业还应制定相应的流程，同时管理企业配备的和员工自有的移动设备。分析现有的安全政策，确保其能够找出移动设备使用中的安全漏洞，能堵截在网络中的移动恶意软件。若企业向无线服务供应商寻求安全计划，即使到2006年年底，他们是否能提供有效的防御移动恶意软件的措施还是悬而未决的事。

　　谣传三:互联网会因Warhol蠕虫而不能可靠地处理业务通信及VPNS

　　“Warhol蠕虫”能在15分钟内感染互联网内所有有漏洞的电脑。多年来，业界对互联网灾难的预测不断，但说到Warhol蠕虫病毒能拖垮整个互联网，是过分夸张了。

　　就算在2003年SQL Slammer蠕虫发作时，互联网也被证明在灾难性攻击下仍能迅速恢复运作，有很强的免疫力。Gartner预期到2007年，互联网的性能和安全性将满足所有的企业至消费者通信、七成的企业到企业通信，以及半数以上的公司广域网络 (WAN) 的通信要求。企业应确保在未来两年内部署可靠的域名服务及能在中途阻截服务中断攻击的防护措施，以确保持续提供可靠的互联网服务，以切合业务的需要。

　　Gartner建议企业毋须为顾忌Warhol蠕虫而延迟对互联网VPN的部署计划。相反，网络及安全管理人员应着眼于目前已有的措施，如为安全网络存取提供实施最佳的措施。现在，越来越多的企业运用网址过滤解决方案阻止用户进入已知会散播间谍软件及恶意软件的网站。

　　谣传四:遵守了监管法规便足够安全

　　企业往往为遵从监管法规的要求而为信息安全项目提供资金，却很少注意到安全问题的真正核心。虽然加强安全性确是有助于遵从法规，但遵守了法规却不代表企业就可以高枕无忧了。大部分法规只要求企业多做报告，却不一定能提升企业的安全水平，且法规的要求也往往赶不上技术更新及安全威胁变化的速度。

　　美国的《萨班斯·奥克斯利》法案(简称SOX) 便是一个突出的例子。它原本旨在针对欺诈性财务报告所涉及的个人不当行为，后来才被扩展到IT系统和用作评估IT项目的效益。可是，SOX审核的项目与实际提升企业安全水平的关联不大。

　　Gartner建议企业先建立更有效的安全流程，再制作能证明其合规的文件。SOX要求解决的首要安全问题是身份识别和存取管理，然后是漏洞管理。因此，企业应先为制定相关框架，以便实施以上流程，再按照业务需要来评估有关采购是否合乎效益。

　　谣传五:无线热点不安全(恶魔双子威胁)

　　使用无线热点时欠谨慎固然会危及企业信息安全，但大部分关于无线网络安全威胁的传言是过分夸大的。真正的风险包括:没有使用恰当的保护措施而造成用户名、密码或专有数据被窃。又，不法分子透过建立一个信号较强的假冒无线的接入点(恶魔双子)，把用户直接连接到网钓网站，再施骗套取用户的保密资料。

　　上述威胁确实存在，但在宣传上明显言过其实了。无知的消费者固然容易跌入无线黑客的陷阱，但企业则能够教育用户，为用户提供适当工具和知识，以减少风险，并通过使用无线热点增加业务收入。

　　Gartner建议若无线热点确有商业价值，就应该使用，不必出于对于安全性的过度担忧而牺牲了移动领域的生产利润。企业应为移动工作者提供安全工具来防御威胁，例如采用有无线报警功能的个人版防火墙以及严格的身份密钥等。用户可选用支持802.1X安全协议的接入点，并透过企业的虚拟专用网络上网。企业也可安装能监测假冒热点的软件，并采用设置个人防火墙及关掉档案或打印共享等最佳安全措施。