在网络技术的万花筒中，当技术的复杂性迷茫了双眼的时候，重新审视一些明显的法则，可以让用户透过迷雾而看清事物的本质。这些法则是用户在感到困惑的时候可以信赖的东西。有鉴于此，这里总结了经过长期实践证明的安全经验法则，它们一直都是行之效的。

    写下安全策略
    出色的安全性不可能一蹴而就。如果企业文化趋向于凡事都不正规，要想达到出色的安全性基本上就只有靠运气。要想获得最好的企业安全，必须经过坚持不懈的努力，以及强大的决心。每个公司都需要一个安全策略，不要等到发生入侵之后才想起来制定这个策略。现在就开始制定一个，才能防患于未然。请访问WatchGuard的Security Awareness网站，上面提供了一份免费的白皮书，它描述了如何拟定策略（PDF），同时省去昂贵的专家咨询费用或者长达几个季度的自行摸索。

    防火墙必不可少
    令人吃惊的是，现在许多组织（最典型就是大学）都在运行着没有防火墙保护的公共网络。姑且忽略有关“硬件防火墙好，还是软件防火墙好”的争论，无论采用哪一种防火墙，总比没有防火墙好。这里的重点在于，连接到Internet的每一个人都需要在其网络入口处采取一定的措施来阻止和丢弃恶意的网络通信。虽然Windows XP SP2自带的防火墙也勉强可用，但为了满足某些特殊需要，市场上还存在着大量产品可供挑选。最主要的事情就是去使用它们。

    随时更新桌面防病毒系统
    鼓励用户“每周”检查一次防病毒更新。如今，各个厂商都提供了自动的签名更新。只要一直都连在Internet上，它们就能在一个新的安全威胁被发现后的数小时内下载到您的机器上。但基本的道理是一样的：良好的安全性要求用户在每个桌面都配备防病毒功能，并随时更新它。虽然在一个网络的网关那里建立防病毒机制能解决一部分问题，但在整个防病毒战线中，只能把网关防病毒视为一道附加的防线，而不能把它视为桌面防病毒的一个替代品。

    强化您的服务器
    “强化”（Hardening）涉及两个简单的实践法则：购买商业软件时，删除不需要的所有东西；如果不能删除，就把它禁用。可以通过强化来删除的典型对象包括示例文件、使用向导演示、先用后付费的捆绑软件以及在可以预见的将来不准备使用的高级特性。安装越复杂，越有可能留下安全隐患，所以要将安装精简到不能再精简的程度。除此之外，设备和软件通常配置了默认用户名/密码访问、来宾（guest）和匿名帐户以及默认共享。删除不需要的，并修改所有身份验证凭据的默认值（由于有像这样的列表，所以黑客也知道它们）。在这个充斥着大量“臃肿件”（bloatware）的年代，这个实践法则与5年前相比更重要了。

    补丁策略必不可少
    当“红色代码”（Code Red）浮现的时候，它攻击的一个漏洞，是Microsoft提供了免费补丁以便用户修补的。但是，这个蠕虫仍然快速和大面积地蔓延，原因是管理员们没有下载和安装这个补丁。今天，从一个新的漏洞被发现开始，到新的大规模攻击工具问世为止，两者间隔时间已经缩短了许多。在厂商发布安全补丁的时候，IT管理员需要做出快速响应。补丁管理目前是最热门的IT主题之一，但是和许多事情一样，80/20规则在这里仍然适用。如果没有商业评估工具以及较多的预算，可以用已经淘汰掉的“太慢”的机器来组建一个小的测试网络。Microsoft，Apple以及其他许多组织都基本上每个月提供一次安全补丁。访问和安装那些补丁应该成为工作内容和计划任务的一部分。

    笔者按：在这个充满不安定因素的网络中，掌握一些已知不变的基本经验，是抵抗的法宝，当用户产生任何疑虑的时候，请参考它们来整理自己的思路。