一、漏洞的定义漏洞的分类漏洞的修复

据人民网报道于今年8月份，武汉政府网站进行了一次大规模的网站安全测试，结果显示：66家政府网站在网络安全测试中发现63个漏洞。而信息安全和网络安全是政府网站提供便民服务的基础，漏洞给政府以及人们带来很大的困扰。其实在早期这样类似的现象也经常发生，各方学者专家也在致力于漏洞的研究工作。就连在迈克菲实验室 (McAfee Labs) 的威胁警告中，漏洞这个字眼几乎随处可见。那么究竟什么是“漏洞”?

漏洞是一种在某些情况下会导致程序错误运行的程序错误（bug）。攻击者常常会利用漏洞来滥用程序实施破坏。漏洞就像苍蝇一样，不盯无缝的鸡蛋，入侵者只要找到复杂的计算机网络中的一个缝，就能轻而易举地闯入系统。每一个漏洞都是不尽相同的，根据漏洞的风险级别的不同，可将漏洞分为：高风险漏洞、中风险漏洞、低风险漏洞。

1、高风险漏洞:

远程代码执行 (RCE) ：攻击者能够充分利用这一风险最高的漏洞来完全控制易受攻击的系统。由于这种漏洞使恶意软件能够在用户尚未得到警告的情况下运行，一些最危险的恶意软件便常常需要利用这种漏洞来发起攻击。若出现针对某一漏洞，系统商提供了安全补丁，这通常意味着这个漏洞就属于高风险漏洞，用户最好不要忽视任何相关警告。拒绝服务 (DoS)：作为另一种高风险漏洞，DoS会导致易受攻击的程序（甚至硬件）冻结或崩溃。Anonymous Group 就是利用DoS漏洞发起攻击的。如果遭到攻击的结构是路由器、服务器或任何其他网络基础设施，不难想象局面的混乱程度。DoS漏洞的严重性视被隔离的房间而定。比如和储藏室比起来, 浴室或者客厅要重要得多。

2、中等风险漏洞：

这些漏洞就像“兄弟姐妹”，虽然非常相似，但在具体情况上存在细微差别。中等风险包括权限提升 (Privilege Escalation)　这对“双胞胎”和它们被称为安全旁路(Security Bypass)　的“兄弟”。 中等风险漏洞本身并不太危险，如果系统得到妥善保护，不会造成灾难性的后果。真正的危险在于权限提升和安全旁路产生的连锁反应。如攻击者以普通用户或来宾身份进入，躲过安全措施，然后安装或更改程序，从而会造成大量破坏。相比远程代码执行，虽然攻击者很难利用权限提升和安全旁路的方法进入我们的“建筑物”（指系统），但并不是不可能。

3、低风险漏洞：

信息泄露 (ID)：该漏洞使攻击者能够浏览正常情况下无法访问的信息。信息泄露是一种低风险漏洞，攻击者只能浏览信息，无法执行其他实质性操作。如果想使用这里的信息，攻击者必须利用其他漏洞或找到关键信息，如密码文件等。不过，我们必须视具体情况对信息泄露进行分析，因为它的风险级别非常容易发生变化，受攻击的程序、泄露的信息和网络环境的变化都会导致风险等级的变化。比如，如果类似Comodo或DigiNotar的证书颁发机构存在信息泄露显然会导致灾难性后果。信息泄露对存储着非常重要信息的关键网络或机器同样非常危险，即使信息泄露看起来没有那么危险，也不要被表象所迷惑。根据入侵方式的不同，漏洞也可以分为本地漏洞和远程漏洞。他们也有着异同之处。

4、本地漏洞:

本地漏洞需要入侵者利用自己已有的或窃取来的身份，以物理方式访问机器和硬件。在我们的类比中，入侵者要么必须是建筑物中的住户，要么必须假冒成建筑物中的住户。

5、远程漏洞:

相比本地漏洞远程漏洞则不需要入侵者出现。攻击者只需要向系统发送恶意文件或者恶意数据包就能实现入侵。这就是远程漏洞比本地漏洞更危险的原因。尽管本地漏洞没有远程漏洞那么危险，但我们同样不可掉以轻心。经验老道的攻击者有时不需要利用这些漏洞就可以造成破坏，如：窃取知识产权。虽然这些攻击都留下了明显的踪迹，但由于存储在活动日志中的信息量过大，用户只能通过缓慢且细致的搜索才能发现可疑行迹，同时，我们的用户通常也不会将其作为一项预防性措施。往往只会在攻击者已造成破坏后才仔细查看。

二、AnyView(网络警)网络监控软件通过多年的实践总结了以下几点：

    首先是对机密信息的加密，对不同类型的电子文档强制加密、实时、透明加密，从文件的创建、存储、使用、流转和销毁全过程进行保护。即使文档流失到外部，也因为进行了加密处理而无法打开，确保核心机密不被泄露。它就好像是给每个文档都配置了一个专门的贴身保险柜，这就是加密的诱人之处----多重保险。加密可以很好的避免了内部员工因为个人的一己私欲把企业的重要文件外发出去泄露机密。不过企业在选用加密产品时也需小心谨慎，对产品的稳定性、可用性和易用性要严格的考察。

    其次就是权限的管理，将每个区域设置权限，凡是有权限访问的人才能进去查看，这就相当于是通行证，无证件者不得入内，一来要在存有重要信息的地方设好关卡，比如财务部、文档服务器等，避免无关的人员获取到重要信息;二来要在消息的各个出口设置关卡，比如U盘、E-mail、QQ等，限制文档的传播，杜绝信息不知不觉外流出去。

    第三，审计这关也很重要，不要以为有了文件加密又设置了权限就可以高枕无忧了，还需要一一筛选的，以防有漏网之鱼，做到准备充分，有备无患，防范于未然。回顾一下，鑫富药业员工窃取商业秘密一案， 那几个员工面临牢狱之灾，鑫富药业也同样损失惨重，其实如果鑫富药业早早做好了内部审计防护措施，通过审计及早发现泄密并非难事，鑫富药业就可以避免损失，那几个员工也避免了犯罪，总不至于造成最终这个“两败俱伤”的结局。事后追责，仅仅是让“偷窃者”受到了应有的惩罚，对企业再无更多益处。所以也可以说审计就像是张网，法网恢恢疏而不漏，但是这张网的责任是及早阻止内网信息泄漏。

    因此，企业要想在这个大环境下稳中求发展，信息防泄漏一定要把好关。当然，一些公司也可以根据自己公司的情况选择最合适自己的防泄漏方法，根据不同的情况来对症下药。但是我们这边说到的都是最基本的防数据泄漏方法了，这三种措施相辅相成的，在实际的实施中，首先我们肯定要对公司整体用网范围进行全面的审计，及早发现问题，其次设置管控策略，针对不同部门设置不同的通行证，最后就是加密，最机密文件进行加密，防止泄漏。三种措施同时抓，有的放矢，即保证公司正常的运行效率又实现最优化安全的信息防泄漏管理。