简介在本文中，我将向您展示为什么使用 Web 2.0 工具进行在线协作会越来越流行，这种协作会带来哪些可能被黑客利用的漏洞。我将介绍如何通过识别资产、评估漏洞并在可能处实施安全措施，以缓解或消除漏洞。我将重点以 SQL、XML 和 Ajax 注入漏洞为例，说明如何修复它们，使您能够保证达到服务水平协议 (SLA) 中的正常运行时间。
在线协作基于 Web 的协作在许多组织中都借由 Web 2.0 工具（例如在线会议、社交网络、博客、wiki、书签、论坛、播客等等）得到促进，这些工具彻底改造了人们在 Web 上的互动方式。您能使用 RSS feed 来浏览最近的文档，以便经理、系统工程师、系统架构师和潜在客户进行分组讨论。使用这些工具，就能改进客户服务，而且您能在较短时间内完成更多工作。
简易漏洞评估如果您已经拥一些可以在复合应用程序中重用的组件，那么在线协作开发项目就可以很简单。这些协作工具中许多都基于开源软件，并且分布广泛。
然而，这些环境的宿主和安全措施可能多种多样。开源就意味着有许多双眼睛盯着代码寻找漏洞，但您必须考虑：您使用的组件是否足够成熟或足够普及，可接受那种程度的详细审查？通过 Internet 利用多种不同组件进行工作，就会有一些信息可能要通过不安全的渠道来传输。这些都是易受黑客及其他入侵者攻击的漏洞。要缓解这种漏洞，您需要执行漏洞评估。在您执行漏洞评估之前，一定要确立一条安全策略。
让我们看看简易评估的要素：
- 识别关键系统资产
- 评估漏洞
- 确定资产更换成本
- 实施安全措施
第一步表示您需要识别（有形或无形的）关键系统资产，这些资产罪可能受到恶意攻击。
有形资产是您能够看到、感觉到或接触到的对象。它可能是人力资源，例如您的 WebSphere Web 开发系统管理员。可能是一款软件，例如您用于开发在线协作项目的工具。还可能是硬件，例如服务器、网络基础设施等等。
无形的资产是您不能看到、感觉到或者接触到的对象，但它仍然有价值。例如，您通过协作而交换的信息就是无形资产。
识别了所有要评估的资产之后，下一个步骤就是识别并评估每种资产可能被黑客或攻击者利用的漏洞。接下来您确定每种有形资产在特定时期内（通常为一年）的更换成本。威胁的发生可能要利用多于一个漏洞。针对每种威胁，您应当为每种资产指定风险影响评级。
最后，您要确定可能的处理办法和安全措施，例如在线协作的非现场备份。您的目标是将漏洞被利用的风险减轻到可接受的程度。确保获益要超出或等于安全措施的成本。如果成本过高，您的在线协作项目也许最终要残留一些风险。
复杂漏洞评估如果在线协作开发项目是复杂的（例如从头开始开发），您能够扩充步骤：
首先识别与开发项目相关的（有形和无形）资产，并为之划分优先级。整理资产之后，您可按照常规来识别和评估漏洞。如果任何资产的漏洞在另一次预计评估时间之前发生变化，则重复前两个步骤。
接下来，根据您的安全策略，度量与您的资产相关的业务风险级别。在评估漏洞之后，根据业务风险为其划分优先级。始终要验证所实施的安全措施实现了通过跟踪审计的目的。在初始评估中经济有效地实现的安全措施可能需要替换为更佳方案，以节省资金。上一次评估完成以来，出现了更新的技术，许多事物可能产生了改变。
协作漏洞在线协作漏洞的范围取决于项目复杂程度、与相似项目的相互关系以及是否存在合适的安全策略。在本文中，我将重点介绍这些可利用来影响 SLA 中正常运行时间有效性的漏洞。它们是 SQL、XML 和 Ajax 注入漏洞。我们将着眼于您如何找到包含这些漏洞的代码行，并且消除漏洞，以便维持长久的正常运行时间。
代码中的问题修复后，您还需要考虑中断阈值（interruption thresholds）。中断阈值即为发起信息请求的时间和发送对该请求的回复的时间之间的距离。如果时间间隔较大，则中断阈值可能达到可被黑客利用的程度，于是对正常运行时间有效性造成不利影响。有时这仍然是编码问题。您也许需要调整信息发送方式。也许需要修改格式，或者以较小的字节片来处理信息。有时这些问题很简单，只需升级硬件，或者确认您正在运行的软件安装了最新补丁或版本。 |
