[實作] 解決svchost狂吃CPU資源

[實作] 解決svchost狂吃CPU資源


發現是svchost.exe在作祟，正常開機操作使用情況下，開機後每隔一小段時間就跳出來狂吃CPU資源，風扇聲大作而執行中的應用軟體則龜速進展。每次svchost發作，吃個70%～80%是很稀鬆平常的事，有時過份起來甚至可以吃到97%以上，甚至滿百，幾乎是瀕臨當機無法做正事。
由於XP內建的工作管理員所提供的效能資訊極有限，所以到微軟官網下載了Process Explorer for Windows v10.21來檢查svchost.exe到底都在忙什麼。下載解壓並執行Process Explorer之後，視窗上可一目瞭然發現原來是Windwos Update讓它忙得不可開交，每隔一段時間就Automatic Updates來狂吃CPU資源。
這種現象當然不是XP正常運作時會出現的，所以需要動點手腳幫已經後天失調的相關設定重新調校一下，步驟分為三大項整理如下：
（一）確認兩項系統服務。 （1）Automatic Updates

依序選取左下的「開始」－＞「執行」，輸入「services.msc」並按「確定」。（這個步驟主要是叫出服務視窗）
找到「Automatic Updates」這項服務，連點二下滑鼠左鍵開啟內容設定。
點選「登入」這個頁籤，先確認目前登入身分為「本機系統帳戶(L)」，而且不勾選底下的「允許服務與桌面互動(W)」。接著再確認「Automatic Updates」這項服務已在目前的「硬體設定檔」中被啟用，若未啟用，則按下「啟用」鍵。
（2）Background Intelligent Transfer Service (BITS)

在相同服務視窗找到「Background Intelligent Transfer Service」這項服務，連點二下滑鼠左鍵開啟內容設定。
點選「登入」這個頁籤，先確認目前登入身分為「本機系統帳戶(L)」，而且不勾選底下的「允許服務與桌面互動(W)」。接著再確認「Background Intelligent Transfer Service」這項服務已在目前的「硬體設定檔」中被啟用，若未啟用，則按下「啟用」鍵。
（二）修復 Windwos Update 執行元件。

依序選取左下的「開始」－＞「執行」，輸入「REGSVR32 WUAPI.DLL」並按「確定」。接著視窗會跳出「DllRegisterServer 在 WUAPI.DLL 成功」的訊息，按「確定」完成動作並關閉視窗。接著，依照上述步驟逐一執行以下Windwos Update 元件：
REGSVR32 WUAUENG.DLL
REGSVR32 WUAUENG1.DLL
REGSVR32 ATL.DLL
REGSVR32 WUCLTUI.DLL
REGSVR32 WUPS.DLL
REGSVR32 WUPS2.DLL
REGSVR32 WUWEB.DLL
（三）清除舊有 Windows Update 暫存目錄。

依序選取左下的「開始」－＞「執行」，輸入「cmd」並按「確定」以開啟命令提示視窗。
在命令提示視窗裡的命令提示字元右方輸入指令「net stop WuAuServ」暫停Automatic Updates服務。
依序選取左下的「開始」－＞「執行」，輸入「%windir%」並按「確定」以開啟系統資料夾。
在系統資料夾裡找到「SoftwareDistribution」這個目錄，並且把它更名為「SDbak」。
依序選取左下的「開始」－＞「執行」，輸入「cmd」並按「確定」以開啟命令提示視窗。
在命令提示視窗裡的命令提示字元右方輸入指令「net start WuAuServ」重新啟動Automatic Updates服務。
這樣整理後，svchost.exe就沒再出來亂了

exchange 2003 上面是否有在郵件中加入廣告簽名檔的功能

PS. 類似從yahoo寄出的信中都會有 "Yahoo!奇摩電子信箱 免費容量250MB，信件在多也不怕。更多說明 "


參考看看 http://support.microsoft.com/default.aspx?kbid=317680

IIS設定（包含windows directory service mapper）

https://thesource.ofallevil.com/technet/prodtechnol/WindowsServer2003/Library/IIS/96cef397-aefd-41cd-ac3a-c1d8f118aa40.mspx?mfr=true

韓國資安市場概況－全方位資安服務將成主流

閱讀原文，請至http://www.informationsecurity.com.tw/feature/view.asp?fid=820

近一、兩年來，資安相關的軟硬體系統市場有逐漸擴大的趨勢。連續發生的資安事件，讓資安的重要性、資安相關軟硬體以及資安服務都受到高度重視；也因為資安市場的需求擴大，韓國國內跟資安市場相關的人力也開始面臨短缺的情況。而資安服務的內容，也由過去單純的防毒、備份以及資料回復系統，擴大到如何讓企業以及企業經營不間斷，尤其是IT服務不被資安事件影響而能夠繼續運作。
資安服務主要是由包括資安系統軟體、資安系統硬體、備份回復系統以及與上述項目相關的支援設備建構而成。自從911事件發生對金融資安產生重大影響後，資安的重要性以及資安顧問的服務更顯重要。隨著資安市場日趨成熟，跟資安相關的軟硬體系統以及服務架構也正逐漸面臨轉換。除了備份、防毒、以及災害復原之外，如何讓企業在受到資安事件威脅時還能正常運作以減少損失，以及相關的專業人力也成為資安產業中被重視的議題。而這個趨勢也讓韓國資安市場開始朝向整合所有的資安系統服務，並使得整個資安產業的規模以及架構朝向資安顧問服務的領域前進，而IDC也預測資安顧問服務的比重將會逐年增加。
然而事實上，資安服務的內容越來越多樣化，也是導致資安服務規模越來越大的主因，因而反映在資安市場的營收規模上。先進的網際網路、以及企業跟網際網路越來越緊密的互存關係迫使企業必須更加重視資安，企業必須讓本身的IT環境足以抵擋可能發生的資安事件。隨著因網際網路的流通所遭到的入侵以及攻擊事件的愈趨頻繁，也讓企業必須在包括資安軟硬體設備更上一層樓，以確保在資安事件發生時企業可以按照事先計畫的資安流程，讓企業繼續作業。
在韓國， 除了政府單位以及ASP/ISP特別重視且較積極的投資相關設備之外，一般企業，尤其是金融業，也相當注重資安的維護。2001年10月， 金融監督院開始大力倡導，希望國內金融業可以成立災害回復系統；而2004年，韓國國內金融業便陸續開始導入災害回復系統。到2005年為止，韓國有90%以上的金融業已導入災害回復系統。同時，韓國金流網也成立了「資安非常應變計畫」，導入了資安防範以及資安事件應付方案。而從2005年開始，韓國國內銀行以及韓國國內各國際交付銀行(BIS)也開始針對可能發生的資安風險作長期分析以及長期監控，訂定並開始執行資安災害防治以及災害回復流程。
除了希望金融業者能夠更加重視資安的問題外，從2004年9月開始，韓國情報通信部也開始把原來是套用在ASP、ISP、IDC (Internet Data Center)，以及大型網站跟電子賣場的資安防範標準，用在一般的企業上。韓國國內整體資安市場的規模也從同時期開始逐漸擴大，並朝向資安軟硬體設備、資安顧問，以及整體資安管理整合的方向邁進。
目前整體資安市場最新的動向
資安市場的內容擴大：由於駭客以及病毒入侵的速度越來越快，網際網路資安事件也越來越頻繁，因此企業不只需要一般的防毒或備份軟硬體設備，更需要全面性資安架構的設置以及全方位的資安顧問服務(包括資安相關顧問服務、資安診斷、資安政策以及資安總體解決方案)。而在過去，由於一般企業礙於人力資源的關係，無法自行解決資安相關問題， 因此資安是單純的用資安產品來作遠端的管理及維護服務。而隨著資安事件的頻繁，對於資安服務內容的需求也越來越多樣化，提供全方位資安顧問服務的廠商也因此越來越多。
這些專門作資安顧問服務的廠商標榜的是資安維護技術的精進，不只是提供遠距離的資安維護以及顧問服務，實際派遣人力的比例也越來越高。隨著服務內容的豐富及規模的擴大，資安顧問服務公司本身的規模也越來越大。許多大型的資安顧問服務公司正逐漸形成。
隨著實際派遣資安人員到現場服務的趨勢越來越多，資安顧問服務內容的架構也在調整中：資安顧問服務市場中，應用服務(application services) 佔所有服務比例也有越來越高的趨勢，而這個調整也影響了提供相關設備的廠商，使得原本較重視資安軟體開發的廠商開始注重軟體的應用。
韓國國內IT服務企業
而目前韓國提供資安服務的廠商，以備份為中心概念的企業有三星、SDS、LGCNS、SKC & C等，而企業業務不中斷概念的規模也因這些企業的加入而變得更完整。雖然資安服務也個別提供防毒、病毒偵測、儲存、以及伺服器跟資料中心的服務，但是由於這些小型的資安服務個體戶在管理服務部分的經驗不夠，因此也有被大型企業併購的趨勢。除此之外，越來越多的大型資安公司與個體戶，也開始就各自專長的部份，針對資安顧問以及資安專案作協力合作。因此國內資安市場的委外(outsourcing)比重也越來越重。
而在市場未來展望方面，韓國國內資安市場因為資安概念已逐漸成熟，且相關建置也逐漸成形，各個領域對於資安的投資也都大同小異，主要的差別只在於每個企業的IT環境不同，因此預測將不會有太突破性的成長。而資安市場也將從單純的單點產品發展為綜合性的Total solution為導向的市場。因此，資安廠商也必須強化綜合性顧問服務的能力，和如何更有效率地利用資安產品。而資安市場，因產品核心價值已經達成，IDC也預測產品差異化的程度有限；因此，未來主要差異化將落在產品使用便利性及產品價格。
另外，由於服務大型企業的市場已近飽和，因此中小企業以及線上商店的市場將比較有開發性。最新的新興市場則包括醫院、教育、網站、線上購物等，其中線上商店跟IDC(Internet Data Center)資料中心合作也逐漸形成，未來，大型資安服務企業跟小型資安服務個體戶的分工合作的關係也將越來越緊密。
本文作者目前任職於IDC分析師／軟體市場研究

失敗計畫，計畫失敗

閱讀原文，請至http://www.informationsecurity.com.tw/feature/view.asp?fid=783

若疏於規劃，意味著計畫一定失敗
自從1 9 7 5 年展開顧問事業之後，初期工作忙於挑出直接採用最新科，疏於規劃形成問題的肇因，大多是因為直接接受供應商所建議的節省成本建議與來自執行階層的不成熟想法。如今，三十年過去了，我仍然在許多注定失敗的專案中看到相同的錯誤。以下是一些範例。
對升級疏於規劃
務長提出一個專案，建議投入佈署一個新的影印、傳真與掃描技術，銷售代表宣稱升級節省公司列印上的成本達到3,800萬美元，供應商宣稱的成本架構可將目前每份影印成本4.7美分，升級後將可降低到2.8美分。可理解地，財務長相當喜歡這個提議，但是當負責資訊科技的專案經理執行成本分析之後，他的分析結果表明目前的影印成本為1.9美分，新設備所產生的成本則為3.1美分，原本想要節省數千萬美元，反而因為這個專案增加了額外的1,800萬美元成本。
專案經理也發現到新設備將造成安全上的問題，新的機器上具備可移除式硬碟機，以便維護人員可以進行公司的資料存取，公司明智地放棄了這個計畫。在專案取消之後，原有的設備供應商的合作意願明顯降低，在進行續約談判時，在以先前的價格模式為基礎下增加了600萬的價格！
對競爭過於盲目
一位電子產品製造商執行長在每月行政會議中表示，公司在轉移到網頁服務上的速度落後於主要的競爭者，在會議之後，基礎建設管理總監與網頁設計供應商的業務人員進行對話，提及競爭者計劃積極地轉移到直接線上銷售。在幾天之內，基礎建設總監、業務人員與資訊科技專案經理提出了一份網頁專案計劃給資訊長，資訊長隨後便將專案提交給財務長，財務長馬上便核可該專案，並訂下四個月的時程與450萬美元的預算。
系統在六個月後上線，並花費了620萬美元，先不管時間上的延遲與成本超支，每個人對這件事還是異常地興奮，但之後一切隨之破滅，因為主要的零售商不滿公司與他們競爭，後來問題逐漸擴大，提升到執行長的層級，執行長於是提議要將線上價格提高於零售商價格的10%，這個決議惹惱了許多的客戶。
資訊長威脅要開除已經開除專案經理的那位基礎架構總監，財務長則要開除資訊長與基礎架構總監並終止專案，這個專案對公司的淨損失超過1,600萬美元。這兩種狀況都是因為缺乏足夠的思考所致，這些公司信任供應商提供的投資回報證明，並跳過概念建構的過程，導致無法提早發現這些極易發現的問題，焦急地將一個初步的想法變為一個完整執行計畫，這個現象仍持續地在許多組織的專案之中出現。
事情改變的越多， 便須花更多的時間思考。但是就如George Santayana（西班牙哲學家）所說，「那些無法從歷史中學習的人，注定必將重蹈覆轍。」
Gopal K. Kapur是加州San Ramon專案管理中心總裁。

您的資料庫是否出現裂縫？

閱讀原文，請至http://www.informationsecurity.com.tw/feature/view.asp?fid=818

您的公司可能未曾因為惡意的資料隱碼(SQL Injection)攻擊，而造成資料庫洩露了公司敏感資訊或顧客個人資料。然而如果資料缺乏良好的管理方式，就有可能會在資料儲存處出現和資料輸入驗證不嚴謹時一樣嚴重的安全問題。企業資訊安全長的工作就是要在企業的需求下取得資料分別被企業夥伴、供應商、顧客存取以及分享的平衡點，並且在適當的地方進行管理避免受信任的內部使用者、惡意的外部用戶、以及稽核者的誤用。現在，資料幾乎是無限量地成長並且透過網際網路和企業外部網路(extranet)等多種管道存取。而因應備份工作、高可用度以及程式開發者對於資料庫日常的複製作業也增加了管理人員的壓力。各式各樣的應用系統、企業夥伴和顧客會透過各種你可能不喜歡或者根本沒有預期到的方式來存取和儲存資料庫中的內容。總之，資料存在於各處而且必須保持這些會隨處移動的目標的安全。Oracle的資深安全主管 Wynn White說：「使用者存取的技術已經變得越來越強大以及容易取得，進而降低了管理的複雜度。」不論您的公司為了建立智慧型風險管理以及強健的資料管理，還是因為信用卡產業之資料安全標準(PCI)、沙賓法案(Sarbanes-Oxley)、健康保險流通與責任法案(HIPAA)、加州資料隱私法案(SB 1386)等法律規定才被迫進行某些資料安全機制，都可以很清楚的發現因為實行較差的資料安全所產生的後續成本會比實行嚴格控管所產生的成本還高。以下的文章將會說明我們所訪談的資深安全官、分析師、稽核師以及資料庫安全供應商在面對企業級資料庫安全挑戰時的策略，以及遵守這些策略的指引。
失敗的原因
我們所訪談的這些安全專家指出一些會造成公司資料安全風險的高度錯誤、誤解和實務運作。資料在哪裡？企業、公司常常會搞不清楚它們所有的資料都存放在哪裡，甚至只有少數的公司會根據資料對於商業行為的重要性來進行分類。公司很少或者是根本沒有使用應用系統來使用現有資料或者創造新資料，有的還會將資料存放在供公司存取的重要資料庫之外。
沒有進行中央控管和政策強制實施的大型分散式組織，它們的資料庫就很容易發生不一致性的問題。你該如何知道哪些資料應該被加密、如何去限制存取權限、或者是該監控什麼？每個企業體不再是獨立的了。
而透過公司的合併和併購更加深了這樣的問題。假設周邊環境是安全的。公司總是很容易滿足於目前已知的知識和過去曾經投入的財務和技術。防火牆和以IP為安全基礎的閘道器已經無法防止無心或者懷有惡意的內部使用將敏感資料拷貝到可攜式電腦或者可攜式儲存裝置、或者是防止沒有取得授權的惡意資料庫管理人員修改資料庫綱要(database schema)。
檔案資料保護不足。資料庫通常就是存放重要資料的地方，甚至是存放挑選過的標的物。許多公司卻常常將Excel試算表、Word文件、PDF檔案、掃描後的圖片等這些數千萬容量且沒有整理過的龐大資訊存放在檔案伺服器、備份磁帶或者舊式的大型系統上。
開發者使用實際的產品資料。怎麼會發生這樣的狀況？很可惜的許多開發者都是使用這樣的工作模式。而這樣的運作方式卻會造成敏感性資料透過非文件化、非可控制的方式被許多不需要看到這些資料的人讀取。
對複雜的網格架構束手無策。在過去的時代，資料庫是被個別的資料庫管理人員管理並獨立運作的。然而在現在，透過網格(grid)的技術，同樣的資料庫管理人員必須負責管理被許多應用系統存取的大型資料庫。透過這樣的方式可以幫助企業在商務上得到更好的效率以及支援，可是也造成使用者權限指派和權責區分 (separation of duties)的工作變得相對困難。
先考慮效能、可用性才是安全性。許多公司把安全當成是被強迫推銷的額外功能。優先考量產品功能是否符合公司的商業行為，造成實務操作上和政策規定產生差異。實際狀況是，忙碌的IT人員會因為優先權較低而傾向被指派參與後期工作。
三思而後行。公司經常只針對強化認證機制(Strong Authentication)、加解密以及桌面環境資料安全這些容易被攻擊的問題來進行管理，取代對公司重要資料的安全管理程序。這樣的運作結果導致公司必須執行一系列昂貴又花費大量資源的專案來滿足產業之資料安全標準和沙賓法案的安全規定。
成功的策略
雖然如同俗諺說的「魔鬼都在細節裡」，但是要達成有效的資料安全專案還是有些關鍵成功因素。詳細目錄、追蹤和分類資料。如果要問哪一項是公司最糟糕的作為，那麼當屬不了解資料在何處了。公司理所當然的應該清楚資料在哪裡存活、複製、及被哪個應用系統存取和修改。資料庫、記錄檔和各式的非結構化的資料都應該遵守這樣的原則。了解資料在哪裡才能進行資料分類，讓公司可以針對重要的資訊進行適當的控制。從另一方面來說，公司可以不需要浪費時間和金錢來保護那些就算在遺失或暴露的狀況下也不會對公司造成影響的資料。
「成熟的組織可以發掘出它們的資料風險」Gartner的Proctor說，「因為它們擁有良好的資料分類、清楚這些資料存放在哪裡。而且可以針對資料的控制做出優良的決策。」在進行「我們為何蒐集並儲存這份資料？」這個過程的時候，會產生資料綜合以及資料銷毀這兩個重要的副產物。資料也許會被不必要的重製或者是散亂地存放在異質的資料庫或檔案分享中。
權責區分。這對握有特殊權限的使用者是很重要的機制，尤其是像資料庫管理員這類的使用者。以往的資料庫管理人員擁有所有的權限去進行資料庫的授權管理和變更，也可以無限制的存取應用系統中的資料。然而現在已經有適當的管理機制來避免資料庫管理人員擁有過多的權限。
確保是誰對資料庫做出重大變更也是很重要的事情。應該透過不同管理人員的監控來管理並警告那些想要進行變更的使用者是否符合變更控制。
在開發階段的時候不要使用實際的產品資料。複製真實的產品資料來進行開發、修改和測試應用系統，對開發者應該是非常容易達成的。
「在理想狀況下，您應該將開發者和產品環境透過不同政策和不同基礎架構作實體分隔」，針對企業提供客戶關係管理Loyalty Lab的資訊安全長Barak Engel說。雖然可能需要花費少量的時間來產生模擬的測試資料，但是這些資料可以滿足開發者而且又可以保護敏感
資料不會被暴露在非控制的環境中。建立並實施變更控制。安全的組織不只會強制記錄哪些資料被產生、由誰產生，還會記錄是誰授權這些行為以及這些授權是如何被決策出來的。變更控制委員會負責發號施令。
安全從一開始就會被確保了，因為變更控制委員會的工作就是確保資料庫會按照規章進行變更。「如果有人針對資料庫進行了修改，他們必須建立變更控制記錄來顯示他們做了甚麼變動。如果記錄沒有被建立，就會發起調查行動。」五百大財務公司中的一位資訊安全專家說，「我們會針對重要的元件進行變更控制和變更快照。」
變更控制不能只針對資料，還必須包含資料庫綱要和資料結構。你必須能夠告訴沙賓法案的稽核師，你可以偵測並找出是否有人想不按照程序刪除資料庫中會影響財務報表的資料表。
時時監控。確保知道您的重要資料在何處，並且有清楚的政策來控制誰可以存取和變更這些資料（在特定的狀況下，例如只有星期一至五的早上九點到下午五點），以及您可以監控異常的行為。「我們總是時時監控發生了甚麼事！」Pi tney Bowes的技術和安全主管David Giambruno說。David負責組織內大約3萬台伺服器以及37,000名員工對於個人和組態變更、新資料庫架設等工作上的安全。「我們的工作就是要了解企業內正在發生甚麼事情。你如何能夠確定你在現在以及未來都是安全的？」
「注意監控者！」 Gartner的Proctor提出忠告。「監控王國中的主要成員：資料庫管理者、Windows網域的管理者，以及任何擁有特殊權限的人。」
加密。對重要資料進行加密。但是千萬不要低估了這項工作的重要性。金鑰管理是重要且困難的－在不會瓦解的狀況下替換和回收金鑰，確保正確的人可以擁有正確的金鑰，並確保金鑰不會遺失，甚至是遺失的金鑰不能再被用來存取資料。
「要求加密被破解的時間必須是花費數年的時間。」 Loyalty Lab的Engel說。「必須考量金鑰管理和發放的效率。金鑰的管理架構可能就需要花費長時間來建置。」
權責區分是另一項重要的考量。不是因為不信任資料庫管理者才進行這項機制，而是最好的實作經驗是你必須擁有兩套系統－一個提供資料的存取，另一個是由不同管理人員來提供金鑰。
最後，加密只能解決某些部分的問題。許多組織把加解密當成解決管理壓力上的權宜之計，可是這卻是一個既不簡單又複雜的權宜之計。加密只能確保外部駭客或者某個偷得可攜式電腦或者備份磁帶的人無法讀取您的資料。然而企業還是必須面對內部的威脅，而且加密無法阻止惡意的使用者進行的合法存取。
移除明顯的錯誤。注意小細節，消除最簡單以及最明顯的風險。你會驚訝的發現還是有為數不少的資料庫使用預設的管理者帳號和密碼。
「了解並管理這些簡單的目標－像是空白密碼。
如果你仔細的檢查過後，你可能會被得到的結果給嚇昏！」iambruno說。「你必須從基礎修補起，這樣才能從開始就保護資料。遵循最高的十點安全規則，您就可以取得基礎的安全能力。」

網路銀行虛虛實實，怎麼管才安全？

閱讀原文，請至http://www.informationsecurity.com.tw/feature/view.asp?fid=847

兩年前， 有個持槍歹徒跑到Happy State銀行位於德州Amarillo這個充滿沙塵的牛仔鎮的分行，準備大搶一筆。「這不是開玩笑，」他對行員說。他把錢塞進背包中，便馬上逃跑了。但是銀行的員工記下了歹徒駕駛的車輛（藍色的四門轎車），警察在幾週後逮到了嫌犯。在這個四周遍是草原的小鎮中，並沒有什麼地方可供躲藏。今年夏初， 有個年輕人架設了一個詐騙網站，企圖盜取Happy State Bank的帳號。IT員工根據一位住在德州San Antonio親切的陌生人所提供的線索，在歹徒取得該行4,500名線上顧客的帳號前，發現了這個詭計。他們在四小時內關閉了假網站。聯邦探員追蹤到了嫌犯來自Bronx的某個地方。不管盜賊是走路進來還是透過網路進來，有件事情是不會變的：不要惹毛德州人。「打從Jesse James（西部拓荒時代傳奇性的江洋大盜）與黨羽開始打劫銀行，安全問題早已存在許久了，」Happy State Bank的技術資深副總，Jason James說。「安全在這一行已經不是新鮮事了。」為了取得主要競爭者所沒有的競爭差異，Happy State採用了銀行界罕見的作法，即深度接觸的線上客服。網路銀行的出現，使得James與其他四位成員必須為該銀行最重要的企業雄心打頭陣。這個IT部門以自建的方式處理銀行的安全事務，甚至每周得出差一兩次，到客戶家中清除他們電腦裡的病毒、垃圾郵件，以及間諜軟體。「深度的客戶接觸才是我們與眾不同的關鍵！」該行總裁Gary Wells說。「在德州Panhandle地區，關係才是關鍵。這裡的人喜歡坐下來面對面說話，喝咖啡，打高爾夫球，或是打獵。」
開拓安全邊疆
聳立在Amarillo的郊區。挑高的屋頂與牆壁全都以舊西部的牛仔藝術來裝飾。可以看到的還有一個圓形的金庫大門，連六節炸藥都無法將其炸穿。不管用什麼方法，Happy State Bank與其他中型銀行都在努力開拓自己的疆界。今日的銀行不再依靠鋼製保險庫與雙管霰彈槍，而是利用各種科技工具（從防火牆、漏洞分析，到詐騙偵測以及客戶驗證等）以求在Internet這個化外之地自保。
無疑這就像是淘汰遊戲一樣。顧客若認為銀行無法好好保管他的錢，他寧可放棄這家銀行。同時，如果銀行無法符合Internet的安全需求，法規制定者也樂於將其關閉。到今年年終，聯邦金融機構檢查委員會（FEIEC，用來定義美國金融業標準的組織，與其他著名的單位一樣，背後有聯邦準備系統撐腰）將要求銀行在進行線上客戶驗證時，不得只採用單一驗證方式。研究機構Gartner預測2007年時將會有第一家不合規定的銀行收到禁制令（cease-anddesist order）。
但對於中型銀行的CIO來說，這不失為是一項轉機。網路銀行與相關法規的興起，讓IT高層主管在其公司具有更為顯著的角色。Happy State Bank便是如此，James與其四名組員在今年初才獲得勳章獎勵。33歲的James還升職為資深副總，讓他成為擁有超高職位的最年輕主管。「他們做的太好了，」該行總裁這麼說他的IT團隊。「我知道有他們在管控，晚上就睡得更香了。」
家鄉優勢
Happy State Bank不單單僅有舊西部的門面。該銀行早在近一世紀前的1908年便開始營運。J. PatHickman率領一群投資人買下了只有一間分行的銀行，然後在1990年時更名為First State Bank。董事長兼CEO Hickman透過一連串的併購，使得銀行能夠在新墨西哥、奧克拉荷馬，以及德州Panhandle所構成的三角區域成長茁壯。
一些新興的競爭銀行也使用了First State的名字，使得該銀行在幾年前更名為Happy State Bank。（該行的名稱源自於附近一個叫做Happy的小鎮，這個城鎮因為1999年的同名電影Happy, Texas而聲名大噪。）到現在，Happy State自稱擁有18,000名顧客，十多家分行，資產4.7億美元， 年營收4千萬美元。跟他最大的競爭對手Amarillo National Bank比起來，仍舊是小巫見大巫。Amarillo掌握了超過半數的市佔率，而Happy State Bank只有區區的3%。以整個Panhandle地區來說，Happy State Bank宣稱可以拿下了8%左右的市佔率。
儘管交易手續費很高，員工在資產上所佔的資金比率也很大，但是良好的客戶服務讓Happy State仍有其立足之地。他的服務能迎合鄉村的民眾，例如留著落腮鬍，穿著藍色牛仔褲、裝了馬剌的皮靴、頭巾的顧客，活像個走出歷史的牛仔，走到櫃員面前要求提款。「沒錯，這是真的牛仔！」James說。「我們的顧客就是這種型。」1999年，這些過時的高層主管為了取得主要競爭者所沒有的競爭差異，Happy State採用了銀行界罕見的作法，即深度接觸的線上客服。
1999年，這些過時的高層主管吝嗇地投注了資源在網路銀行服務上。「我們必須這麼做。」Wells 說。他還說他兩個正值讀大學年紀的小孩，也比較喜歡線上銀行，而不是傳統的紙本支票以及印刷的存摺。即使Wells已邁向網路時代。「我老婆和我在今年第一次決定開始在網路上付帳單。」他說。
隨著網路銀行服務的建置，Happy State總算是駛進了科技紀元。該銀行將IT部門由原來的一個人擴編為五個人，其中還包括了Duane Hall，他是個網路仲裁者以及安全神槍手，James也獲得晉升，他在這土生土長，1993年就開始進入銀行業。在過去幾年，該銀行每年大概花了500,000美元在科技設備上。
在第一年，有500位顧客註冊了Happy State網路銀行的服務，現在數字更增加到4,500位。IT部門要不斷地防治來自網路的盜賊，他們很會鑽系統漏洞， 不管是透過網址嫁接（Pharming）、詐欺網站與哄騙手法，還是惡意軟體以及網域名稱伺服器污染等。「隨著我們日漸龐大，安全已成為IT部門的主要機能。」Hall說。
高度科技，深度接觸
總裁Gary Wells說線上銀行的客戶仍需要深度接觸的客戶服務。為了因應，該銀行已佈署了各項安全措施，以維護線上客戶的安全。顧客的帳號密碼會透過郵件寄送，而銀行還採用了Netscape的SSL來保護客戶瀏覽器與銀行防火牆內伺服器的通訊。Cookie則採用了多一層的驗證與授權機制。但cookie只是驗證客戶的方法之一。其他的方法還包括了昂貴的生物特徵辨識設備到金鑰基礎建設等。銀行通常會採用最適合其客戶的驗證方法。矽谷的一家中型金融機構Technology Credit Union，在兩年前便為顧客採用了指紋辨識機，他們熟稔科技的顧客都對此設備大表贊同。而cookie則被認為是過時的技術，無法獲得使用者的青睞。
軟體廠商也不斷地推陳出新，並接受金融機構的委外工作。領導廠商包括了最近買下RSA Security的EMC；他們推出了一套異常交易偵測軟體，可以找出不符合顧客過去交易習慣的交易行為。PassMark Software推出的驗證平台則能夠支援1,400萬的網路銀行客戶。許多銀行的IT供應商也與像Certegy Inc.之類的委外廠商合作，他們可為中型銀行提供網路銀行的服務。
DEL RIO事件
回到德州，Happy State Bank正面對著另一項挑戰：內部詐騙測試。2002年時，法規制定者要求銀行必須透過第三人來評估內部的安全措施，因此James調查了業界的各家廠商。他發現有家稽核廠商為銀行每台內部伺服器的基本評估開價9,000美元，而利用便宜的Linux軟體就可找出未關閉的通訊埠數目。
這些都可以令法規制定者滿意，但James要的更多。「這是我的線上事業。」他補充道。IT高層主管決定以每年3,000美元的測試費用，向Core Security Technologies採購「較具侵略性」的偵測產品。該產品可以透過大量的同步攻擊來找出問題，為每個漏洞標記風險等級，並提供改善的建議。「我們試著以更積極的作為來面對安全問題，而非只是反應而已，」James說。「亡羊補牢，為時已晚。」
到目前為止還沒出現過一隻亡羊，Happy State Bank宣稱連一個帳號都沒有被偷過。該銀行深思熟慮，並未在網上銀行使用委外的產品。大多數中型銀行會依賴協力廠商，以求最大的資源應用。但就像是Lone Star的傳統一樣，Happy State Bank習慣什麼事都自己來。
Gartner的分析師Avivah Litan主張，委外通常對中型銀行來說是較好的作法。當發現線上有異常交易時，委外廠商會派出詐欺分析師來排除異常的交易。「小銀行不會有詐欺分析師。」Litan說，他還補充，「當他們遭到攻擊，且沒有委外廠商協助的話，那麼銀行便會面臨到嚴厲的不利情境，因為他們沒有適當的資源能夠處理。」James不同意這種說法。若找了委外廠商，他說，「你是將你的名聲交到他人之手。我需要一年的時間才能夠證明這點，不過若考慮到顧客服務損失以及商譽風險，我相信委外是比較昂貴的。」
事實上，今年初James就慶幸他不需受委外廠商之累。有個充滿疑惑的顧客打電話到銀行來，想知道為什麼他從未註冊網路銀行，也會收到帳號密碼函。「他們是我們的老主顧了，具有科技恐懼症，對這件事憂心忡忡。」網路高手Hall回憶道。
James相信提供多家中型銀行服務的委外廠商一定不會理這個案子。但Hall還是花了好幾個小時仔細地檢查了記錄檔與日期。線上註冊表格中的地址與原先開戶的地址並不一致，這讓Hall感到吃驚。在打了幾通電話之後，Hall追蹤到這地址是Del Rio的一個圖書館。Hall將這些資訊轉給帳戶的主人，他們馬上便發現了關聯性。他們的女兒才搬到Del Rio不久，很明顯地是要做壞事。「我們猜測他女兒是想（透過網路銀行）把錢轉出來。」Hall說。由於這是家務事，因此銀行終止了調查，也沒收取調閱費用。而這對夫婦也成為了Happy State Bank的忠實客戶。
圈住客戶
在建置網路銀行服務之前，IT部門鮮少與客戶直接接觸。但現在有了戲劇化的轉變。該團隊定期在銀行的網站上發佈與安全相關的文章，教育線上客戶，並進行客戶滿意度調查。CEO Hickman也參與該項計畫。現在大家都知道他會直接寫信給客戶，並快速地回答他們的問題，即使是星期天晚上也一樣。
「如果顧客有問題來電，像是他們無法連上網頁，或是一直蹦現視窗等，我會親自過去他們那裡幫他們掃毒。」James說。IT部門每天平均會接到8通來自網銀客戶的來電。
Happy State是一家地區性的銀行，客戶也都住在附近，因此James與其團隊會在必要時到客戶家中。「這聽起來很詭異，似乎也不太可行。」Gartner的Litan這麼認為。
但James與Wells則為這項勞力密集的工作辯護，因為這與該行的客戶信條緊緊相關。「我一開始會擔心每個人都會打進來，但我們這麼做已經有五、六年了，而線上註冊人數也一直在攀升。」James說。「隨著下一代電腦教育的提升，我想將來到府服務的機會將持續減少。例如，我們曾在一個月之內抓到10,000隻病毒，但現在卻只有300個。為什麼會掉這麼多？因為人們已普遍認知到病毒掃描以及間諜軟體移除的重要性了。」
Wells則更是直接。「我知道這麼做很花錢，隨著我們的擴大，可能還需要更多的資源！」他說。「但我們還是會繼續這麼做，因為這是我們該為顧客做的事。」
如何破解詐欺網站
Wells承認最初要他提高在科技上的支出，的確很難接受。在網路銀行之前，該行只有一台萬能的電腦來處理線上轉帳、文字編輯，以及有限的網路功能。James必須自己爭取所有與IT安全有關的預算。這場戰役提醒了他去年在Y2K上的花費。「高層會抱怨，『你給我花了那麼多錢，卻什麼東西也看不到！』」他回憶。「我告訴他，『也許就是因為花了這麼多錢，才會什麼事也沒發生。』」另外非競爭中型銀行所組成的一個協會也對James有所幫助。該組織每年聚會兩次，分享成功的安全實務。透過內部情報交換可以確定Happy State Bank不是站在科技與實務的最前端。但是在企業領袖像Wells看到了IT部門的安全價值之後，情況可能有所改觀。今年夏天，James接到了來自San Antonio一通陌生人的來電，告訴他有個網站長的酷似Happy StateBank的網站。「那個人告訴我他受夠了，希望我們能教訓教訓他們。」James說。Hall去電網路服務商，4小時之內，假網站便關閉了，而下一通電話則打到聯邦機構。即使假網站已經關閉，隨後該行的客服部還是打電話給4,500位網銀客戶，警告他們關於詐欺網站的事情。
當James將假網站秀給Wells與其他高層主管看過後，他得到了實質的獎賞。「我真不敢相信它竟然那麼像，」Wells驚訝道。「我自己差點就登入進去了，真是嚇人。」James花了好大的功夫跟Happy State Bank的董事會解釋網路銀行的安全性，許多董事會成員都是農夫出身。董事會要求James承認將來不會再有任何安全侵害。當然，這根本不切實際。除了要對抗Internet上充斥的盜賊（更不用說內部盜賊了），只要哪天哪家廠商的更新程式出的比較晚的話，James與其團隊還得面臨零時差（zero-day）攻擊。「你對它束手無策！」James說。「我告訴董事會安全攻擊就像狗在家中後院挖洞一樣，你幾乎不可能阻止的了。」IT主管說。「狗還是有可能在一些地方挖洞—但我們必須盡力而為。」
Tom Kaneshige是CIO Decisions的資深編輯。