當(dāng)然我知道以下的建議并不完全，還應(yīng)考慮物理安全等，但這已經(jīng)是個(gè)不錯(cuò)的開(kāi)始了。選擇一個(gè)建議并專(zhuān)注地將它從頭到尾完成。然后再開(kāi)始另一個(gè)。跳過(guò)那些你不能完成的，集中到你所能完成的建議上去。如果你確實(shí)必需昂貴的IDS，就去買(mǎi)吧——但先完成這些基礎(chǔ)的工作吧。

1、盡可能地使用默認(rèn)禁用和最小化權(quán)限。當(dāng)執(zhí)行最小化權(quán)限的安全策略的時(shí)候，使用基于規(guī)則的安全。你應(yīng)當(dāng)一個(gè)IT規(guī)則一個(gè)組，而不是只有一個(gè)“IT安全組”。

　　2、定義和加強(qiáng)安全域。誰(shuí)需要訪問(wèn)什么？什么類(lèi)型的通信連接是合法的？回答這些問(wèn)題然后設(shè)計(jì)周邊防御。定義基準(zhǔn)值，記錄反常的通信量。

　3、在可能的情況下加密所有的機(jī)密數(shù)據(jù)，特別是在便攜式電腦和存儲(chǔ)設(shè)備上。沒(méi)有任何借口偷這個(gè)懶——你因丟失的數(shù)據(jù)而惡化的公共關(guān)系就可以說(shuō)明一切了（當(dāng)然，你可以看看AT&T，Veteran Affair美國(guó)*，美國(guó)銀行的下場(chǎng)）。

　　4、操作系統(tǒng)和所有程序的升級(jí)補(bǔ)丁管理。自我一下，你最近有沒(méi)有升級(jí)你的Macromedia Flash，Real Player，和Adobe Acrobat呢？

　　5、盡可能地在網(wǎng)關(guān)和主機(jī)上裝配反病毒、反垃圾郵件和反間諜套件。

1、避免安裝或運(yùn)行未經(jīng)認(rèn)證的不明軟件或內(nèi)容。了解電腦上正在運(yùn)行哪些程序以及它們?yōu)槭裁催\(yùn)行。如果你不知道你的系統(tǒng)上都有什么，你就不能充分對(duì)你的系統(tǒng)進(jìn)行保護(hù)。

　　6、不要讓非管理員用戶以系統(tǒng)管理員或者根權(quán)限身份登錄。

　　7、保護(hù)你的e-mail.將所有進(jìn)入的HTML內(nèi)容轉(zhuǎn)換為普通文本格式，阻止所有文件默認(rèn)文件擴(kuò)展，除了少數(shù)你希望允許通過(guò)的。

　　8、保護(hù)你的密碼。設(shè)置較長(zhǎng)的密碼，普通用戶來(lái)說(shuō)，以10個(gè)字符或更長(zhǎng)為佳，系統(tǒng)管理帳戶為15個(gè)字符或更長(zhǎng)為佳。執(zhí)行帳戶鎖定，甚哪怕就只是一分鐘的。在Windows系統(tǒng)里，禁用LM密碼hash.在Unix/Linux下，使用較新的crypt（3）hash，MD5類(lèi)型hash，或者如果你的操作系統(tǒng)支持的話，選擇更好的bcrypt hash.10、模糊化地設(shè)置安全信息。重命名你的管理員和根權(quán)限帳戶。不要以ExchangeAdmin來(lái)命名一個(gè)帳號(hào)。不要將你的文件服務(wù)器命名為如 FS1，Exchange1或者GatewaySrv1登。在條件允許時(shí)將服務(wù)置于非默認(rèn)端口：比如，你可以為內(nèi)部用戶和商業(yè)伙伴將SSH服務(wù)移到 30456端口，RDP到30389，HTTP到30080等等。

　　9、在你的網(wǎng)絡(luò)上掃描并調(diào)查未知TCP或者UDP端口監(jiān)聽(tīng)。

　　10、跟蹤記錄每個(gè)用戶在Internet上所瀏覽的區(qū)域和時(shí)間。將結(jié)果置于一個(gè)人人都可以接觸到的實(shí)時(shí)在線報(bào)告中。這個(gè)建議就是使用戶對(duì)自己互聯(lián)網(wǎng)沖浪習(xí)慣進(jìn)行自我管理（我敢打賭，這樣同樣會(huì)帶來(lái)生產(chǎn)力上的突然提高）。

　　11、自動(dòng)化安全策略。如果你不設(shè)為自動(dòng)的話，它將處于一個(gè)不和諧的狀態(tài)。

　12、對(duì)全體雇員進(jìn)行有關(guān)信息安全的教育，并制定合適的策略和程序。習(xí)慣于變化的和結(jié)構(gòu)化的管理。對(duì)于不依從者經(jīng)行嚴(yán)厲處罰。