卓越始于足下

 
 
       自去年CSDN网站、天涯、开心网、人人网等网站被曝大量用户的密码被泄漏以来，密码的安全问题已引起用户和业界的极大关注和重视。你的密码安全吗？上互联网站还会不会泄漏密码?......这些问题都引起了广大用户的恐慌。站在一个信息安全工作者的角度来讲，这个问题虽然严重，但还没有到草木皆兵的地步。因此，本文将客观地分析密码安全问题的原因，提供给用户安全设定密码的基本原则，并介绍如何使用密码分析工具来验证密码安全性的方法，以帮助用户安全设定自己的密码。
一、密码安全问题的原因分析
       从密码泄露或者被窃取的原因来分析，主要有如下几方面的原因：
l        密码明文存储：在2000年左右，随着互联网的飞速发展，互联网站也在如雨后春笋般地涌现出来，当时网站对安全问题没有重视，因此出现了部分网站对用户的注册信息（其中也包括密码）均采用明文存储的方式。在这样的前提下，一旦网站的数据库被黑客攻击，或者是内部人员的数据库拷贝，都会造成大量用户信息的泄露；
l        弱密..

又是一个5-1到来了,祝各位筒子们5-1节快乐!
 
在辛勤劳动的同时,别忘了多多休息,注意身体!

 
又到了春季了，这个时节是万物复苏的时候，也是职场精英们忙于跳槽和涨薪的时期。无论是对于刚毕业的，还是富有丰富工作经验的职场达人们来说，他们都会通过智联招聘等招聘网站来寻求更好的职位和发展。
 
然而，我今天在这里需要跟大家分享的是，这些只是外在的途径和因素，如何在激烈的职场中获得自己的一席之地，还需要自己提升“内功”，在追求“薪途”的同时，先要理顺自己的“心途”，这样，才能在纷繁复杂的职业道路上走出自己的一片天地来。
 
回想我这么多年来的求学和职场之路，我总结了三条不败的“法门”，那就是学习、学习、还是学习！
 
大家不免感到奇怪，不都是学习吗？为什么是三条法门呢？大家不要着急，听我慢慢道来。
 
第一个“学习”：指的是要扎实的掌握自然科学知识，尤其是自己的专业知识，这是大家在职场上的立足之本，也是公司花高薪来请你的主要原因，因为通过你的知识能够为企业带来效益，创造价值，这个当然不能丢。这个也是大家最为重视的，在面试的时候，在工作的时候，大家都会下意识地突出自己的强项，显示自己的价值，这是非常自然的，此为第一个学习。
 
第二个“学习”：指的是要学习社..

原文请见：http://os.51cto.com/art/201202/320300.htm
 
 
最近，公司部分用户反映在使用公司相关微软系统（包括Microsoft Share Point 2010、Microsoft Outlook 2010、Lync）时会不定期出现弹出密码框且无法登陆的问题（如图1）。在正常情况下，用户只需要登录系统后，不需要再次输入用户名和密码就能访问这些基于AD的应用系统。
一、现象分析
通过抓包分析，并结合采用微软提供的LockoutStatus工具，我们发现此问题是由于相关域帐号在与用户PC（或服务器）无关的机器上发起了多次失败的登陆，造成这些账户在域中被锁定而导致的（根据公司AD（Active Directory，活动目录）安全策略，连续5次密码登录失败，AD帐号会被锁定5-10分钟，这个根据AD策略设置会有所不同，如图2）。

图1

图2
二、原因分析
通过病毒扫描判定帐号被锁定是由“W32.Downadup.B”病毒引起。经分析，W32.Downadup.B可利用Microsoft Windows服务器服务RPC（Remote Procedure Call，远程过程调用）的远程代码执行漏洞进行传播，或使用密码字典猜测用户的密码，连接用弱密码保护的网络共享进行感染。病毒可能造成如下问题：
（1）阻止受感染的计算机访问某些网站（如安全更新网站），从而无法清除病毒威胁；
（2）由于病毒自动使用密码尝试使用局域网资源，导致部分AD帐户非正常锁定。
三、病毒防范方法
防范W32.Downadup.B病毒需要安装微软官方补丁MS08-067，详见：http://www.microsoft.com/security/pc-security/conficker.aspx。并结合使用最新的病毒库对所有服务器已经进行全面扫描。发现有帐号锁定的情况，马上通知IT的管理员进行帐号解锁，来避免由此造成的问题。[/img]..

 
 
企业信息安全框架漫谈
      
随着数据泄露、黑客攻击等安全事件在全球范围内的不断出现，信息安全工作的重要性已经为全世界所接受，尤其是企业，目前都将信息安全工作提到了战略性的高度。然而，企业信息安全究竟要做什么？要关注哪些方面？如何来落实？这些问题一直困扰着各个企业的CSO、CIO和CEO们，因此，本文将从信息安全的定义出发，来对企业信息安全框架及其实施内涵进行讨论。
1、传统信息安全的定义
“信息安全”曾经仅是学术界所关心的术语，就像是五、六十年前“计算机”被称为“电算机”那样仅被学术界所了解一样。现在，“信息安全”因各种原因已经像公众词汇那样被广大公众所熟知，尽管尚不能与“计算机”这个词汇的知名度所比拟，但也已经具有广泛的普及性。问题的关键在于人们对“计算机”的理解不会有什么太大的偏差，而对“信息安全”的理解则往往各式各样。种种偏差主要来自于从不同的角度来看信息安全，因此出现了“计算机安全”、“网络安全”、“信息内容安全”之类的提法，也出现了&ldq..

在2012新年伊始之际，非常荣幸获得了2011年度十大杰出IT博客的殊荣，非常感谢各界朋友和同仁、51CTO的编辑、《网络协议本质论》和《蜕变：从菜鸟到Linux安全专家》等个人专著的热心读者在大赛期间对我的支持、关心和陪伴。
 51CTO博客是一个非常好的展示自己、促进交流、提升自我的平台。我以前专注于技术研究和项目管理，2年前通过51CTO这么一个好的平台找到了一条与大家分享知识和认识朋友的道路。我会坚持一如既往地抽出时间来将自己多年来在信息安全、IT架构、操作系统、移动平台等方面的积累在我的51CTO专家博客（http://patterson.blog.51cto.com/）中与大家分享和交流。同时，也非常欢迎大家通过我的新浪围脖（@信息安全顾问-卓越始于足下 ）对我的博文、书籍提出问题、建议和意见，很乐意与大家进行交流互动。

 

    获得这个称号，为我的2011年画上了一个圆满的句号，也为2012年开了一个好头。在过去的一年中，项目实施、管理、著书、沙龙、交流、博客大赛等等，365个日日夜夜，都让我难以忘怀，期间得到了社会各界朋友的关注、关心和支持。

 

    作为一个在信息安全领域从技术到管理、从科研到产品一路..

值新年到来之际，特赠51CTO的各位朋友元旦快乐！送对联一副：
 
上联： 玉兔踏雪折桂去
下联：金龙腾云衔宝来
横批：继往开来
 
祝大家元旦快乐，阖家幸福！

 
目前，针对Web的攻击手段日益增多，拒绝服务攻击、网络钓鱼、SQL注入等等层出不穷，而企业门户网站是企业的“脸面”，如何保证其安全是运维人员、安全管理人员、CIO等需要深思熟虑、全盘考虑的问题。本文将针对这个问题，首先对企业门户Web系统进行详细的安全威胁分析，然后给出相应的解决方案的原则和技术，并根据原则来提供具体实施的网络拓扑和部署要点。
一、   企业门户网站系统面临的威胁
企业门户网站系统在运行安全和数据安全方面面临着非常大的威胁，主要包括运行安全威胁和数据安全威胁。
（1）           运行安全威胁
主要是指企业门户网站在提供对外服务的过程中，恶意用户（黑客）可以通过一些公开的服务端口、公开的服务信息等来组织和实施攻击，从而使得企业门户网站服务不可用，从而导致其运行安全问题。
主要的攻击行为包括：恶意用户采用黑客工具构造恶意报文对暴露在公网的网上系统进行拒绝服务攻击，甚至是利用多个网络结点形成的僵尸网络，构成分布式拒绝服务攻击；并且，面临在遭受攻击后，由于服务器侧网络架构划分和隔离措施不严谨，黑客可能利用这个部署上..