当说到测试操作系统和应用程序的安全漏洞时，我总要提起那些对我来说必不可少的工具。在我的工作中，端口扫描仪，网络分析器，密码破解器和漏洞评估工具是我的最爱。它们节省了数不清的信息搜集时间，并进行了手工作业所无法完成的自动检测。但是，自动安全检测也具有并不广为人知的不完善的一面，这些可能会对你的网络防御产生影响。
　　采用自动安全检测的一个问题涉及到只能通过受过训练后才能发现的文件方面的安全漏洞。文件存储的位置，它们的访问权限，它们是否经过加密，这些因素都会影响安全工具的有效性。我开始发现在_blank">防火墙后的所谓的“安全”系统内存在未被发现的漏洞，而且，这些问题很难仅仅通过采用操作系统策略来解决。
　　例如，当作为标准用户登陆Windows系统时，我经常可以访问本地驱动器以及网络共享，并偶然会发现包括企业的财政数据，工程计划以及源代码等敏感信息的文档。即使当网络管理员将文件系统锁定，并设定了适宜的权限，用户仍然可以创建他们自己的目录，将文档存储到不应该存储的地方，以便完成短期的工作。
　　对这个问题，并不能完全责怪用户，由于Windows和许多应用程序会将包括敏感信息的临时文件保存到本地硬盘的不同目录下。这些位置，如c:temp 和 c:windowstemp通常是不设安全保护的，在进行安全评估的时候也会被忽略，更少会被列入日常的网络管理。
　　我还发现文件加密系统(EFS)被用来对本地包括敏感信息的如c:Documents and Settings的目录进行加密。相反，EFS会被“重新分配”到另一个被认为更重要的目录以保护用户自己的个人信息，（图片，MP3，成人电影等，）或者被全部禁止。想一想如果进行了错误设置EFS的笔记本电脑丢失或者被盗将会有多么严重的后果吧。重新设置一下管理员密码就什么都可以得到了。
　　我肯定这些大意的用户很多都不是出于有意，但是这并不能阻止事情变糟，例如一个未被授权的雇员，也可能更糟，一个承包商或者其他访问者看到了他不应该看到的信息。
　　我认为有几个因素造成了这一问题。首先，是信息过载。网络管理员无法完全掌控谁把什么放在了网络的什么位置。这样，在大多数机构中普遍缺少数据分类。数据零散地分布在各处，对具有不同等级敏感度的数据没有采取相应的关注和管理办法。
　　这个故事的所在就是了解你的网络，了解什么是正确的，什么是错误的，不要依赖自动安全检测工具来侦测你所有的安全漏洞。
我所谈到的文件漏洞只是冰山的一角。在你培养自己的信息安全技能的时候，可以将自己想象为一名外科医生或者犯罪现场刑侦人员。这会花上一些时间，但是你可以从新的角度分析安全漏洞。尽量在进行自动检测的同时进行更多的手工浏览，探察和检测。不管销售上如何吹嘘他们的产品，没有什么能代替一双锐利的富于经验的眼镜，也只有你（一个活生生的安全顾问）可以发现这些漏洞。

http://www.heibai.net/article/info/info.php?infoid=19161