假设你刚提了新车，在签署订单时，销售员告诉你安全带、防抱死制动系统和安全气囊都放在后备箱的一个盒子里，若想更安全，可能需要请昂贵的专家安装。那正是你会大骂脏话并逃离展厅的时候。
那么，为何我们允许软件交付时将安全功能设为默认关闭，让恶意内容贩子存储数据甚至窃取银行账户信息？对此又能做些什么？
互联网安全中心
这些问题困扰着克林特·克莱特纳（Clint Kreitner）。作为美国海军学院毕业生及前IT公司经营者，他在准备退休时被老友邀请成立非营利组织，致力于帮助企业和个人提升网络安全。八年前，互联网安全中心（CIS）应运而生。
CIS是一家依据授权规则为社会福祉存在的504(c)(4)非营利组织，旨在协助企业级用户在更安全的网络社区中工作生活。
“过去八年，我们专注于企业级IT安全并影响供应商做法，因为长期以来供应商交付不安全系统却未被追责。”Kreitner表示。
他将当前计算机安全状况比作买车后安全功能全在后备箱：不占地方但救不了命，需找专家安装才能发挥作用。
IT供应商影响巨大
“IT供应商的做法亟需改进。”克莱特纳指出。非专业人士开箱安装系统时，往往使用默认安全设置，这些设置远未达到应有安全水平。开启这些功能并非易事，可能非常复杂，这正是CIS的用武之地。
“自2000年以来，CIS专注使命两方面：一是与技术安全专家合作，就如何配置Windows桌面、Solaris服务器等技术达成共识，使其更安全。”克莱特纳说。
Windows XP或Mac OS X等平台出厂时包含数百个可配置安全功能，从密码长度到IP地址锁定等。但这些功能通常不以最佳配置交付。CIS现被广泛认为是提供即时执行安全指导或配置规则的来源。
“其他来源的指导往往较抽象，实施前需详细说明。我们的指导立即可用且对所有人开放。”克莱特纳解释道。
访问Cisecurity.org可找到一系列CIS基准指南，为Windows、Cisco路由器、Linux服务器等设备提供即时安全加固指导。部分指南适合中级至高级用户，另一些则需专业人士操作。
CIS基准备受尊重，因其经深入研究、测试并由顶尖专家达成共识，代表了理解漏洞问题的IT专业人士共识，也是一种行动号召。这涉及使命第二部分：推动国家层面改变。
Kreitner表示：“我们正试图影响正确配置系统的出货。联邦政府通过桌面核心配置工作朝此迈进，明确表示除非Windows XP或Vista符合我们的基准配置，否则不予采购。”Kreitner带领三名工作人员和志愿者队伍，致力于扭转这场计算机安全海啸。
为扭转局势，Kreitner最有效的工具之一是让企业级用户意识到自我保护措施。
CIS基准有效
Kreitner说：“首先是对系统中可用安全参数进行正确配置。NSA研究表明，扫描未配置系统查找漏洞后，实施CIS基准配置再次扫描同一系统，漏洞减少90%。”
Kreitner表示，了解并修补软件缺陷是用户加固防御的另一领域。
“作为社会一员，我们或许被软件迷惑，接受了远低于其他制造产品的质量标准。”
“这加剧了脆弱性，因绝大多数软件入侵利用配置不当或未打补丁的系统。更糟的是，绝大多数成功入侵利用已知存在配置方案或补丁的漏洞。”
及时更新软件补丁
“太多企业级用户未跟上系统补丁更新。他们可能下载安装一套补丁后便遗忘，直到被攻击。令人沮丧的是：安装新补丁很可能将系统重置为默认设置，使其同样脆弱。这是基准配置的又一案例，也强烈呼吁改变软件发布商交付产品的方式。”
作为安全专家，Kreitner深知任何连接计算机系统、本地网络或互联网的人都必须始终问：“他们需要知道这些信息吗？”
当允许通过用户名和密码访问企业系统时，每个人都必须采取更严谨方法。
克雷特纳表示：“授予系统信息访问权限前，我们必须问‘这个人真的需要了解这些信息吗？’我们需要提出这个问题，并采取诸如不为同一账户多人共用密码、定期要求更改密码等措施。”
尽管不断强调加强安全措施，克雷特纳深知保障安全如履薄冰。
“安全的本质与安全一样，始终在便利性、效率、经济性、生产力和盈利能力间处于持续张力。这是自然现象。我们应扪心自问：‘为获得安全保障，愿意接受多少不便、生产力下降或效率损失？’这就是需要进行的平衡。”
就互联网和企业系统安全前景而言，克雷特纳有时乐观有时悲观。与航空安全不同——后者能从灾难汲取反馈使未来更安全——网络世界不存在此类机制。
CIS负责人表示：“在网络领域，公共部门和私营部门不得不以不自然方式学会合作。政府部门认为出台良好法规一切就会好起来；私营部门坚决反对，称拥有大部分基础设施，政府不能强加法规。目前双方正在争夺合适角色定位。”
与此同时，私营部门未充分披露数据泄露信息，这也是缺乏反馈问题的另一因素。只有停止掩盖问题、提高透明度，安全状况才能真正改善。克雷特纳表示，大量隐瞒和虚张声势行为仍存，每当看到都感到沮丧。
“另一方面，人类面临威胁时通常会迎难而上。长远来看我们也会做到。在弄清楚如何应对之前，让我们保持透明态度并转向解决方案。”
_互联网安全中心是由行业合作伙伴支持的非营利组织。志愿IT专业人员持续工作，为数十种软件系统提供基准配置。要了解更多信息，请访问Cisecurity.org._