“我們上班時(shí)不可以使用任何即時(shí)通訊(IM)軟件的，可以使用工作電子郵箱，但發(fā)的郵件是被監(jiān)控的，主要是公司為了防止員工將程序源代碼泄露出去。”這是一位在國(guó)內(nèi)著名IT上班的朋友對(duì)我描述他們的工作環(huán)境。當(dāng)然，雖然都是每天面對(duì)電腦、面對(duì)網(wǎng)絡(luò)，但是工作性質(zhì)不同，不同的公司在對(duì)IM軟件使用上的限制自然也有所區(qū)別。
事實(shí)上，大家一談到IM軟件應(yīng)用，往往首先想到的就是聊天。現(xiàn)在，諸如MSN、ICQ、Yahoo、QQ、UC等IM軟件越來(lái)越多地進(jìn)駐辦公室，仍然主要是作為聊天工具，或者就是個(gè)傳傳文件，發(fā)發(fā)消息的小玩意，只不過(guò)現(xiàn)在大家聊的話題涉及公事更多而已。對(duì)企業(yè)的管理者而言，多半并不喜歡員工進(jìn)行工作以外的事情，因此企業(yè)需要在便利及安全之間作選擇。
雖然說(shuō)目前大部分企業(yè)還是把IM軟件定義為聊天而非溝通工具。因此國(guó)內(nèi)有些大企業(yè)還是以限制與監(jiān)控網(wǎng)絡(luò)通訊過(guò)程，作為員工考核與獎(jiǎng)懲的依據(jù)。不少企業(yè)為了避免員工在上班時(shí)沒(méi)事就跟人聊天閑扯，便主張禁止IM軟件的使用;然而，把IM軟件列為禁忌，可能有點(diǎn)因噎廢食，畢竟，使用IM軟件好比雙刃劍，利弊參半。一項(xiàng)針對(duì)IM軟件使用情況所做的調(diào)查報(bào)告指出，有39%的使用者認(rèn)為IM可以提升工作效率;若以即時(shí)溝通的觀點(diǎn)出發(fā)，有82%的使用者認(rèn)為網(wǎng)絡(luò)即時(shí)通訊可以快速解決工作上溝通的問(wèn)題;另有70%認(rèn)為可以快速知道對(duì)方是否在線。由這些數(shù)據(jù)可以看出，IM軟件對(duì)企業(yè)具有正面的效益。對(duì)于這樣一個(gè)雙刃劍，如何才能揚(yáng)長(zhǎng)避短，就需要考驗(yàn)企業(yè)的管理功力了。
最近，Gartner分析也指出，目前全球有30%以上的企業(yè)使用IM來(lái)從事商業(yè)溝通，但是只有少于1%的企業(yè)對(duì)IM做過(guò)管控。然而，面對(duì)近年來(lái)不斷出現(xiàn)的通過(guò)IM軟件傳播的網(wǎng)絡(luò)，(IM)軟件的有效管理就要提到企業(yè)的管理日程上來(lái)
脆弱的IM
大多數(shù)IM系統(tǒng)在設(shè)計(jì)的時(shí)候都考慮了可擴(kuò)展性，但卻沒(méi)有充分地考慮安全問(wèn)題。一個(gè)普遍的現(xiàn)象是，幾乎所有免費(fèi)的在線即時(shí)信息系統(tǒng)都缺乏加密功能，其中大多數(shù)都具備繞過(guò)傳統(tǒng)的企業(yè)的功能，為網(wǎng)絡(luò)管理帶來(lái)了很大的困難。此外，這些系統(tǒng)中的密碼管理不夠安全，使賬戶容易受到攻擊，還可能受到拒絕服務(wù)等方式的攻擊。Gartner研究部副總裁Carl Claunch在談起(IM)軟件的安全問(wèn)題時(shí)曾經(jīng)憂心忡忡地說(shuō)，安全顧慮、缺乏事后可追查的文件記錄、服務(wù)品質(zhì)有限、整合問(wèn)題和欠缺對(duì)非文字媒體的支持，令企業(yè)對(duì)投資即時(shí)通信技術(shù)裹足不前?！癐M的安全性不足，因?yàn)榛镜腎M架構(gòu)不是專為信息保全而設(shè)計(jì)，”Claunch說(shuō)：“你不會(huì)想電子轉(zhuǎn)賬10億美元到瑞士的某家銀行，然后用IM來(lái)確認(rèn)這筆交易?！?/P>
事實(shí)上，IM一些自身的特點(diǎn)使很多IM系統(tǒng)成為迅速傳播計(jì)算機(jī)和混合病毒的理想平臺(tái)。例如，IM普及迅速、應(yīng)用廣泛，為病毒傳播提供了環(huán)境;IM集成可用來(lái)查找新目標(biāo)目錄，適合病毒的集群傳播;在很多情況下，IM可以被簡(jiǎn)單易編的腳本控制，并容易被懷有惡意的人利用。
據(jù)了解，現(xiàn)在大多數(shù)IM系統(tǒng)采用了C/S結(jié)構(gòu)。在大多數(shù)情況下，IM的傳播是借助于的，用戶之間發(fā)送的信息未經(jīng)加密(也沒(méi)有辦法加密)，信息對(duì)于攻擊者是清楚可見(jiàn)的，很容易導(dǎo)致信息被竊取。另外，即時(shí)信息系統(tǒng)還允許用戶用非加密形式傳輸、交換文件，這樣會(huì)導(dǎo)致蠕蟲、特洛伊以及混合病毒的大量傳播。而且，到目前為止，還沒(méi)有安全軟件提供商提供相應(yīng)的掃描解決。
如果我們剖析一下IM軟件的系統(tǒng)內(nèi)部就會(huì)發(fā)現(xiàn)，很多IM系統(tǒng)都提供腳本編寫功能，可以幫助用戶編寫VB、javascript等標(biāo)準(zhǔn)Windows程序，以便控制不同方式的信息代理。但它在為用戶提供方便的同時(shí)，也為一些蠕蟲和混合病毒的傳播提供了途徑。因此，專家提醒用戶：非常有必要在個(gè)人計(jì)算機(jī)或終端計(jì)算機(jī)上實(shí)施防病毒保護(hù)，預(yù)防這類基于IM的惡意編碼。
尋找某個(gè)軟件的漏洞可以說(shuō)是網(wǎng)絡(luò)的“主營(yíng)業(yè)務(wù)”，而對(duì)這些基于Internet的應(yīng)用軟件，尋找程序漏洞對(duì)他們來(lái)說(shuō)更是樂(lè)趣之一。黑客可以借助緩沖器溢出和畸形數(shù)據(jù)包等方式，攻擊者可以訪問(wèn)任一臺(tái)安裝帶有易攻擊點(diǎn)的即時(shí)信息的客戶端。有時(shí)候，系統(tǒng)供應(yīng)上位用戶提供的很多IM軟件附加功能提高了即時(shí)信息系統(tǒng)客戶端軟件向Internet的開放程度，增加了系統(tǒng)遭受攻擊的可能，也成了漏洞產(chǎn)生的“溫床”，增加了系統(tǒng)遭受攻擊的可能。此外，很多即時(shí)信息系統(tǒng)很容易受到賬戶竊取和哄騙程序的攻擊，這些易攻擊點(diǎn)允許攻擊者竊取其他用戶的即時(shí)信息賬戶，并扮演該用戶與他人通信。此外，最要命的就是大多數(shù)人為了方便記憶，經(jīng)常使用同一個(gè)密碼，這樣攻擊者在打開沒(méi)有安全措施的加密即時(shí)信息交換文件以后，還可通過(guò)同一密碼進(jìn)入其它的企業(yè)信息系統(tǒng)。
安全保衛(wèi)戰(zhàn)
雖然說(shuō)IM軟件發(fā)展的時(shí)間較短、協(xié)議專有，造成了現(xiàn)有工具在安全防護(hù)方面的不配套。但由于它已具有了廣泛的用戶群，并且發(fā)展十分迅速，所以，用戶對(duì)相應(yīng)的安全防護(hù)工具的要求十分迫切。現(xiàn)在已經(jīng)有很多IT公司開發(fā)出了專門針對(duì)IM軟件的安全保障系統(tǒng)。對(duì)來(lái)講，有兩種行之有效的方法可以對(duì)IM軟件進(jìn)行管理
“封閉式”管理
所謂“封閉式”管理就是建置企業(yè)內(nèi)部的“實(shí)時(shí)信息系統(tǒng)”。企業(yè)必需設(shè)置自己內(nèi)部的信息，每臺(tái)個(gè)人計(jì)算機(jī)必需安裝特定的實(shí)時(shí)信息程序，該實(shí)時(shí)信息系統(tǒng)完全運(yùn)作在企業(yè)的Intranet環(huán)境并不與外界有任何聯(lián)系。“封閉式”實(shí)時(shí)信息系統(tǒng)的優(yōu)點(diǎn)是可以提供企業(yè)更為安全文件及信息傳輸服務(wù)，同時(shí)信息管理人員又可對(duì)企業(yè)內(nèi)部實(shí)時(shí)信息的使用加以管理，目前提供這方面解決的廠商有、Jabber、Bantu等。
設(shè)置器
設(shè)置實(shí)時(shí)信息網(wǎng)關(guān)器(Messaging Gateway)：使用公開的“實(shí)時(shí)信息”程序(如、ICQ、MSN)，但在公司內(nèi)部設(shè)置實(shí)時(shí)信息網(wǎng)關(guān)器(Messaging Gateway)。與其讓使用者“非法”(不在企業(yè)的Security Policy之內(nèi))使用這些具有安全考量的實(shí)時(shí)信息，企業(yè)可以考慮將這些“非法使用”的情形“合法化”并加以管理，主要的精神就在于“凡走過(guò)必留下痕跡”，任何進(jìn)出的信息都必須留下記錄，必要時(shí)信息管理人員才能根據(jù)這些記錄追查來(lái)龍去脈。而目前提供這方面解決方案的廠商有Akonix Systems、FaceTime等。
而對(duì)于流行的即時(shí)通訊語(yǔ)音服務(wù)，竊聽和攜帶的數(shù)碼照片的傳播是主要的不安全因素之一。世界著名的咨詢機(jī)構(gòu)Gartner提醒各大企業(yè)要尤其注意即時(shí)通訊的安全性問(wèn)題。Gartner建議企業(yè)用戶采用三個(gè)方法進(jìn)行預(yù)防：應(yīng)用企業(yè)級(jí)的IM工具，對(duì)公共IM服務(wù)提供具體的管理工具和配套服務(wù)，或是這兩種方法同時(shí)使用。
當(dāng)我們無(wú)法抗拒Windows桌面右下角種著的ICQ綠色小花，或是佇立著MSN Messenger的藍(lán)色小人帶來(lái)的“魅力”，但又害怕這朵帶刺的玫瑰時(shí)，回避問(wèn)題不是辦法，勇敢面對(duì)并解決問(wèn)題才是首選!