3.未能有效找出Web服务器的SQL编码错误

　　根据Verizon Business的研究结果，最常见的黑客攻击是对连接到Web服务器的SQL数据库的攻击，这大约占到了研究记录的79%.而黑客侵入这些系统的方式是利用Web表单提交一个SQL命令。如果表单的编码是正确的，那么它是不会接受SQL命令的。但是，有时开发人员的编码食物就可能“创造”所谓的SQL注入漏洞，黑客可以一用这些漏洞直接从数据库中查询他们所需要的信息。

　　Tippett说，避免SQL注入攻击的最简单方法就是运行一个应用防火墙，首先把它设置为“学习”模式，以便能够观察用户如何把数据输入字段中，然后将该应用防火墙设置为“操作”模式，这样SQL命令就不能“注入”字段中了。SQL编码问题十分普遍。“如果一个企业对自己的100台服务器进行测试，它们可能会发现其中90台有SQL注入问题。” Tippett说。

　　通常情况下，企业仅仅解决了核心服务器的SQL注入漏洞，但是他们忽略了很重要的一点：黑客往往是通过非关键系统进入到他们的网络的。Tippett建议网络管理员利用访问控制列表对网络进行划分，限制服务器同非重要设备的通讯。这样就可以有些地防止黑客利用一个小小的SQL编码错误非法获取数据。

　　4.未正确配置访问控制列表

　　使用访问控制列表分割网络是确保服务器不会越界的最简单有效的方式，它能确保每台网络设备或系统只与它们需要的服务器或系统进行通讯。例如，如果你允许业务合作伙伴可以通过你的VPN访问你内网中的两台服务器，那么你应该在访问控制列表中进行设置，确保这些业务合作伙伴只能访问这两台服务器，而不能越界。即便是某个黑客利用合作伙伴的这个通道进入你的企业内网，那么他也仅仅能窃取这两台服务器上的数据，危害范围大大降低。

　　“但是，现实情况却是，利用VPN进入企业网络的黑客往往在内网中畅通无阻，” Tippett说。事实上，如果所有企业都能正确配置访问控制列表，那么过去的一年中所发生的网络侵害事件就能减少66%.配置访问控制列表是一件非常简单的工作，而CIO们不愿做这件事的理由是它涉及到将路由器用作防火墙，这是许多网络管理员并不希望的。

　　5.允许不安全的远程访问和管理软件

　　黑客侵入企业内网最常用的手段之一就是使用远程访问和管理软件包，比如PCAnywhere、Virtual Network Computing (VNC)或Secure Shell (SSH)。通常，这些应用软件都缺乏最基本的保障措施，比如安全的密码。

　　解决这一问题的最简单方法就是对你的整个IP地址空间运行一个外部扫描，寻找PCAnywhere、Virtual Network Computing (VNC)或Secure Shell (SSH)。一旦检测到这些应用，立刻对其增加额外的保障措施，比如令牌或证书。除此以外，另一种方法就是扫描外部路由器的NetFlow数据，看看有没有远程访问管理流量出现在你的网络中。

　　根据Verizon Business的报告，不安全的远程访问和管理软件所占的比例也是非常高的，达到了27%。