電腦安全領域的6個最笨的想法

在Slashdot上面看到這個連結，很有意思：
http://www.ranum.com/security/computer_security/editorials/dumb/

簡單用中文轉述一下，感興趣的請看原文。

作者認為在電腦安全領域有很多我們常識性的錯誤的理解和觀點，最嚴重的6條分別是：
1- 預設允許 - 很多東西在我們的系統中都是預設允許的，如程式、連接埠等，有必要嗎？
2- 枚舉不好的東西 - 如果我們只需要關心那些東西是我們真正需要的，豈不是比列出那些我們不需要的來得更方便？（我們真的需要和駭客們搞“軍備競賽”？）
3- 滲透然後打補丁- 很多軟體廠商都是找人來測試系統安全性漏洞，然後爭取在駭客利用它們之前發布給客戶讓客戶去打補丁，這樣真的是一個好辦法嗎？（作者舉的例子是IE）
4- 駭客很酷 - 很多媒體都有意無意在美化一些不好的事物和行為，比如駭客。
5- 培訓/教育使用者 - 為什麼我們要教育使用者不要這樣不要那樣，有這個必要嗎？很多簡單的道理和使用習慣往往是你無法預知和阻止使用者去做的，除非你從源頭上杜絕使用者作出這種選擇的可能。
6- 為好過無為 - 這就跟中國的道家思想有關了，在我們準備要開始安裝和使用一個新的軟體或工具時，我們最好停下來先想一想，觀察觀察。

作者還總結了一些相對不那麼嚴重的錯誤觀點，如：

- 我們不會是攻擊對象
- 如果大家都隨時打補丁所有人就安全了
- 我們不需要防火牆因為我們有很好的主機安全機制
- 我們不需要主機安全機制因為我們有很好的防火牆
- 我們先用起來，稍後再處理安全性問題
- 我們無法阻止偶然發生的問題

最後這一點很逗，作者舉的例子是如果你認為航空業用這種方式來對待你的生命時，你還會乘坐商業航空公司的飛機嗎？