WebSphere Application Server V7 高级安全性加强，第 1 部分：安全性加强概述和方法（上）

核心提示： 雇员可能对公司有攻击动机，雇员具有非常高的内部访问级别和系统知识水平，WebSphere Application Server V7 高级安全性加强，第 1 部分：安全性加强概述和方法（上）(2)，但他们的资源和黑客技能可能很有限， 外部黑客也许是安全性攻击方面的专家，那么也能够相信他们永远不犯

雇员可能对公司有攻击动机。雇员具有非常高的内部访问级别和系统知识水平，但他们的资源和黑客技能可能很有限。

外部黑客也许是安全性攻击方面的专家，但是他们对您可能没有攻击动机。

外国间谍机构可能对攻击您很感兴趣（这取决于您的业务）并拥有极其丰富的资源。

入侵者可能出于两个原因之一入侵您的系统：为了获取他们本不应该拥有的信息，或者为了以某种方式改变系统的正常行为。在后一种情况中，通过改变系统行为，他们可以尝试执行对其有利的事务，或者只是为了用某种有意思的方式导致系统崩溃，以造成对您的组织的损害。

要点是，有很多不同类型的入侵者、很多不同的入侵动机以及（我们后面将会看的）许多不同的攻击类型。在规划安全性时，必须认识到这些。

同时关注内部和外部威胁

安全性措施不应该仅仅视为阻挡 “外人” 的大门。那是一个过于简单化的观点。当前，许多组织将他们的安全性措施完全集中在针对组织以外的人群，他们错误地认为只有外人才是危险的。实际上并不是这样。对于大型公司，往往有数千人能够访问内部网络（其中许多人并不是雇员）。这些人都可能成为入侵者，而且由于他们在内部，他们访问网络更方便。常常只需把笔记本电脑插上网线，就能够访问公司网络。一些研究表明，有将近一半的入侵是 由组织内部的雇员或者承包人造成的（或涉及到他们）。

就算您相信网络中的每个人都是值得信任的，那么也能够相信他们永远不犯错误吗？考虑到通过电子邮件传播的病毒如此猖獗，而且基于 JavaScript™ 的攻击程序和其他程序很容易通过插入计算机的优盘和 CD 进入公司网络并从内部发起攻击，所以假设整个内部网络都可以信任是鲁莽之举 —— 不能这样做。