企業遠程接入配置 不宜貪小失大

　　幾個月前發生的『灰鴿子事件』，表明黑客行為及行為者已然發展成一條產業鏈，並且是一個賺錢快速成長的產業。數以百萬的網民，為了方便從互聯網下載方便實用的的軟件，但很可能會在無意間外泄電腦中所有的信息，甚至成為攻擊第三者的跳板。以前的黑客，大多的是出於技術炫耀，或是好奇而采取黑客行為；隨著時代的發展，現在黑客行為卻常常和金錢與利益掛勾，並且大批用戶被黑的事件更是頻頻爆發。可以想象，未來黑客行為會更加趨向於以竊取網民用戶的利益為出發點，並且手段會更加高明。

　　Qno俠諾的技術人員在最近的交流中，也談論到這個事件。由於Qno俠諾在全國各個城市都有技術人員，因此對於用戶應用互聯網的情況也有全面性的了解。在『灰鴿子事件』的討論中發現，很多企業用戶由於觀念不正確或者專業知識不足，常常因此而導致在網絡配置上留下很大的漏洞，未來可能成為企業信息外泄的重要渠道。

　　一、ERP遠程接入配置

　　隨著企業信息化國家發展政策出臺，很多中小企業也建置了像ERP、財務管理、CRM等方面的軟件系統，作為企業運作的核心。近一兩年，據Qno俠諾工程師調查發現，更多的中小企業又更進一步地建置了遠程接入的系統。這也許是因為經營擴張的需要，或者是因為經營者希望能更迅速地掌握企業現狀，希望隨時可登陸相關系統。

　　但是，由於企業希望最大程度地節省成本，因此有些軟件商、SI或者是項目公司會根據客戶的需求，采取直接開放內網資源的方式，讓互聯網用戶可以直接使用路由器的虛擬路由功能，直接登陸企業內部服務器。常見的作法包括：第一，直接開放數據庫端口給公網；第二，通過應用服務器開放一個端口對公網，再把此端口傳來的請求，通過應用服務器轉成標准的數據庫請求後，交給數據庫服務器處理；第三，通過終端服務、Citrix等軟件，讓用戶直接使用中心的應用系統。

　　對於這些作法，大多數用戶不會感到任何不同，因此也可以達到終端接入的目的。但是由於大部分企業SQL服務器和應用服務器放在一臺PC機上，因此給攻擊者一個很好的機會和渠道。例如，早期做法是直接把SQL服務器的TCP1433端口開放給外部用戶，這樣就相當於給所有用戶都開放了此端口；即使現在大量的軟件都是做一個應用服務器中轉一下，也是開放了應用服務器的計算機；而B/S的應用，同樣要對外開放SQL服務器或者其它端口。由於計算機的端口開放，黑客只要使用類似Portscan的軟件，就可以很快的查到企業服務器。

　　這樣的情況，在臺灣、香港或外企公司，由於已經具備很強的安全意識，所以基本上都是用VPN來做遠程，沒有人願意冒風險以直接開放的方式進行配置。但是在國內，一般項目實施的供應商在項目洽談的時候，可能考慮控制成本或者是迎合客戶決策者的低成本暗示，一般會掩蓋此問題，只有在出了安全問題的時候纔有可能暴露。所以，企業用戶使用路由器虛擬服務的方式，會容易被競爭對手或黑客入侵，導致報價信息、商業機會外泄、投標輸掉等情況都有可能發生。

圖：企業用戶應用情況分析

　　用戶A：不論是存取終端服務器、ERP應用服務器，或是SQL服務器，都極有可能被黑客侵入；

　　用戶B：服務器都配置於同一硬件計算器上，風險更大；

　　用戶C：采用VPN，使用VPN隧道隔離對外聯系，黑客無從進入。

　　二、方便的黑客工具

　　由於信息交流的方便，再加上有很多像『灰鴿子』這樣的服務廠商，利用以上漏洞攻擊企業並不困難。

　　早期應用軟件一般采取直接開放TCP的1433 (SQL常用端口)或3389(開放終端服務)端口，因此只要知道服務器域名，很容易就可以發動攻擊。即使不知道，網絡上許多免費工具軟件都可以幫助找到，非常簡單，初級黑客即可實現。例如，先用IPSCAN掃公網上已經開機的IP，再用PortScan掃已經開機的IP的開放端口，同時目前還有很多免費軟件直接可以幫你一次性把IP和端口都掃出來。

　　由於服務器的對應端口開放給用戶，這樣做也同時開放給了互聯的所有人，包括黑客。一旦找到服務器及端口，用戶如果不強制斷開，IP一般是不會變，在相對的時間內就是一個固定的IP，此時的黑客就有足夠的時間來進行入侵服務器。之後，再用工具軟件去猜測SQL的密碼，一旦SQL密碼被猜中，所有用戶的數據都會被看到。並且，SQL一般默認密碼為空，所以很多時候不用猜測，或者密碼很簡單，1234，abcd等，會更容易造成信息外漏。

　　即使無法入侵，容易造成被網絡攻擊的風險，例如以DDoS進行攻擊，導致1433端口繁忙，無法回應正常的請求，或者是服務器直接被攻死掉。這都是因為開啟端口，所可能引發的問題！

　　三、中小企業宜防范未然

　　Qno俠諾旳技術服務人員發現，大多數中小企業大量采用路由器的虛擬服務作為遠程接入，主要原因是成本問題。但是一半以上的業主，並不了解以上的風險，也無法了解『灰鴿子事件』和自身的網絡安全相關連。由於對於網絡知識的不足，即使受到攻擊，也常常意識不到。

　　事實上，由於現在很多黑客個人或是工作室，都通過收費的方式提供攻擊服務，只不過之前攻擊對象主要以網吧和大型企業為主。這是由於網吧對於網絡知識比較了解，有些業主會以這種方式打擊鄰近的網吧，把客人搶過來。隨著網吧設備對於攻擊的防御能力越來越高，不肖的黑戶難免會把主意打到中小企業上來。對於企業而言，招標數據或商業秘密的取得，利益價值是很高的。這樣買賣相合，未來針對特定客戶的攻擊或是盜取資料事件，肯定會更多。

　　對於中小企業而言，現在的VPN產品價格已經不再高不可攀。只要適當地配置，也可用以很省錢的方式建置VPN聯機，例如Qno俠諾的QVM330產品，同時支持IPSec、PPTP及SmartLink VPN協議，中小企業若是只要移動用戶或是幾臺電腦要上線，只要采用PPTP即可，建置成本也只在幾千元之間。相較於把企業重要的資料，以虛擬服務器的作法開放在互聯網上，再采用加密的VPN的作法，可達到預防的效果。