企业内部网络安全评估的四种方法
我记得我刚进入公司，公司的CIO给我试用期的工作就是评估企业网路的安全。说我什么时候可以做出一份令他满意的企业网络安全评估报告，就什么时候结束试用期。尽快做好网络安全评估，可以减少试用期时间，我就马不停蹄的开始了评估工作。在企业网络安全评估中，我主要用了四项指标。
一、 网络监测
现在各种黑客工具在网络上泛滥。其中最流行的一种莫过于网络监测工具。利用网络监测工具，我们可以看到在网络上传输的任何没有加密过的信息，如发送给客户的邮件内容以及一些个人的聊天信息等等。
我以前在学校里，出于写论文的需要，就玩过这款工具。利用这款工具，可以轻易的知道，在同一个局域网内，人家访问过哪些网页，利用QQ、MSN等聊天工具在跟帅哥、美女在聊什么内容，利用邮件给谁发情书了，等等，都可以一目了然的知道。
在企业中，网络监测的危害更大。如企业实现办公自动化以后，很多企业内部都有了文件服务器或者邮件服务器之类的系统。通过网络监测，不安好心的员工就可以轻松的略过权限控制与密码保护，在网络传输的时候，如用户在向服务器读取文件或者邮件传输的过程中，截取自己需要的信息。而现在因为计算机知识的普及与黑客工具的流行，这网络监测的难度已经大大降低。而因为我们公司是精细化工企业，对于化工配方、产品工艺等等信息都是高保密级别的，若一有泄露，对于公司来说，可能是致命的。公司在文件服务器与邮件服务器客户端级别上的权限控制是非常严格的，我担心的就是在网络传输级别上，能否被人轻易获取信息。
我用网络监测工具一查，果然不出我所料。公司在网络传输级别上，没有做任何的防护。只要在企业内部网络上传递的数据，通过网络监测工具监测，可以一目了然的看到所有在网络上传输的数据，包括机密的化工配方信息。
二、 数据非法修改
数据修改也是一个令人头疼的问题。数据修改大致包括两部分内容。一是在网络传输过程中进行修改。侦测网络传输数据与修改网络传输数
据是两码事情。若只是监测、窃取网络传输数据，只需要有工具，很容易实现，也很容易上手。但是，若想修改网络传输数据，那难度就高的多。所以，对于网络传输过程中的修改，不是我这次评估的重点。
我现在要评估的是，我们内部网络上有一文件服务器。这个文件服务器上的文件，能否会用户非法修改呢。如数据内容的修改或者文件的删除等等。其实，大部分时候可能修改或者删除操作是无意的、无心的，不小心就做了删除或者更改的操作。我在以前管理文件服务器时，经常听到用户的投诉，说他们的文件无缘无故就消失了，或者被更改了。
我测试了一下我们公司的文件服务器，在这方面还不错。基本上实现了从员工、到部门、到子公司、到总部的文件权限分级管理机制。每个用户根据其身份，都有阅读、修改、删除等权限，分的非常清楚。而且，通过文件服务器管理器，我们可以看到哪个用户在什么时候通过哪台电脑访问了哪个文件，做了哪些操作。这对于我们维护文件服务器，提供了很大的便利。
三、 密码保护
很多人，特别不是计算机专业的人，很相信密码。但是，密码是很容易被破解的。最直观的就拿我们QQ密码来说，我想很多人都碰到过QQ号码被盗的事件吧。其实，这就是QQ密码泄露所造成的。在外网上密码信息都这么容易被泄露，那在企业内网上，就更加不用说了。
其实，从我个人来看，在企业内部网络上，想破解用户的密码是比较容易的。
如财务人员可能会在工资表上设置密码。这个密码不可破吗?其实不然。因为财务人员可能出于方便，设置的密码不会很复杂，可能是一些纯数字或者纯字符的密码。这利用EXCEL密码破解器很容易破解出来。我以前做过测验，破解一个六位纯数字密码保护的Excel文件，只需要一个小时就可以了。当然，这要看计算机的运行速度了。若在密码设置中，数字与字符混用的话，那破解难度高多了。我随便在公司文件服务器上，获取了一个EXCLE文件。然后从网上下载一个破解器，用了一天一夜的时间，就破解了这个文件的密码。该文件实12位纯英文字母的密码。用户可能觉得这么长的密码肯定安全了。其实，密码的安全性，不仅仅取决于密码的长度，更多的是要看密码的复杂性。
再者，我们公司有自己的邮箱服务器。但是，登陆用户名与密码是明文传输的，没有做过任何的加密处理。我用一个简单的用户名与密码窃取工具，装在一电脑上，就轻易获取了用户的邮件登陆名与密码信息。
可见公司在密码管理上，也存在漏洞。只要有心，稍微有点网络知识的人都可以轻易的取得或者破解用户的密码。