解析网络安全设计中的常见错误（2）

网络安全设计常见错误—使用自签名证书

由于一些企业完全忽视了SSL加密的重要性，因此微软开始在它的一些产品中加入了自签名的证书。这样用户在浏览网页时，就算企业的网站没有要求获得证书情况下，也可以使用SSL加密。

虽然自签名证书要比没有证书强，但它并不能作为一个来自受信的证书颁发机构所颁发的证书的替代品。自签名证书的主要作用其实只是用来激活软件的安全功能，直到管理员采取了相应的安全措施。虽然自签名证书可以实现SSL加密，但是用户会收到浏览器的警告信息，提示用户系统并不信任此类证书。另外，一些基于SSL的web服务（比如ActiveSync），由于信任关系，并不完全兼容自签名证书。

网络安全设计常见错误—过多的安全记录

虽然记录各种网络事件很重要，但是避免记录内容过于冗长也是很重要的。太长的日志会让管理员很难从中发现重要的安全事件。因此，与其将所有系统事件都记录下来，还不如将重点放在那些真正重要的事件上。

网络安全设计常见错误—随机分组虚拟服务器

虚拟服务器一般会根据其性能在主机上进行分组。比如在一台服务器上搭建了一个对性能要求较高的虚拟服务器应用后，与之搭配几个对系统性能要求较低的虚拟服务器，可以实现资源的合理化应用。从资源利用的角度上说，这么做非常正确，但是从安全性的角度看，就不见得了。

从安全的角度，我建议在一台独立的服务器上放置针对互联网应用的虚拟服务器。换句话说，如果你需要搭建三个针对互联网用户的虚拟服务器，你可以考虑将这三个虚拟服务器分为一组，放置在同一台主机上，但是不要将架构类服务器（如域控制器）放在同一台主机上。

之所以这样建议，是针对虚拟服务器上的溢出攻击。所谓溢出攻击，是指黑客从一个虚拟服务器中溢出，进而控制主机的攻击。虽然就我所知，目前现实生活中还没有真正出现过此类攻击，但是我肯定这是迟早的事。一旦那一天到来，同一台主机上如果还安装了其它重要的虚拟服务器，那么对整个企业网络来说，将是一个灾难，对于网络管理员来说，解除威胁也将变得更困难。

网络安全设计常见错误—将成员服务器置于DMZ

能避免的话，就尽量不要将任何成员服务器置于DMZ中。否则，一旦被入侵，这台成员服务器将可能泄露出很多有关活动目录的信息。

网络安全设计常见错误—升级补丁需要用户自己安装

最近我见到很多公司网络中的电脑都依赖于Windows的自动更新服务进行自动打补丁。不幸的是，这类设计需要用户自己点击鼠标来进行补丁安装确认，而很多用户都知道，安装完补丁后系统会重新启动。为了避免这种麻烦，很多用户选择了停止自动更新。因此，与其将安装补丁的权利交给用户，不如通过某种补丁管理解决方案，自动将系统补丁分发到每台电脑上，绕过用户的任何操作。

网络安全设计中的常见错误就为大家介绍完了，希望大家结合以前的文章一起来了解网络安全的相关问题。

【编辑推荐】