您当前位置:首页 > 资讯中心 > 业内新闻

2016年网络安全:向前看不如回头看

与其试图搞清将会发生什么,不如处理好现存的各种问题。

每年伊始的时候,厂商和科技预测师之类的总要对IT安全的未来做一番前瞻预言。这是可以理解的,毕竟能帮助人们辨别即将到来的威胁和新兴趋势。但事实真相却是:对广大IT用户而言,当前现有的威胁才是较应该关注的。

2016年网络安全:向前看不如回头看

网络犯罪是一门产业,与大多数现代产业一样,传播速度和市场大小才是成功的关键。这也是为什么漏洞利用工具包,比如Angler、Rig之类的,在2015年大为流行,且将在未来几年继续保持广为传播势头的原因。漏洞利用工具包可以使潜在攻击者轻易侵入用户系统。它不是一次性用过即弃的工具,但确实是为了大规模漏洞利用而设计的。而利用的通路,通常,恰是那些已经被受影响的软件厂商打了补丁的漏洞。

软件厂商发布了补丁程序未必意味着漏洞就不再被利用。你可以看看那些关于修复率的产业调查报告,无论你看的是哪家的报告或数据,2015(或者随便哪一年吧)漏洞修复率从未达到过100%,连逼近都称不上。终端用户修复从来就不是容易达成的任务。漏洞修复问题不是2016新趋势,也不是2015或2014的,但却是任意一年大量数据泄露事件的根源所在。

公平的说,2016年的修复工作应该比前几年更简单些。如今,自动更新机制已经成为众多操作系统和应用程序厂商常用的较佳实践。其中表现较好的,要数谷歌的Chrome浏览器,默认提供自动更新。Adobe的Flash和Acrobat Reader,以及流行开源内容管理系统WordPress同样提供自动更新。

其他科技公司,比如出品Windows的微软和带来OS X和iOS的苹果,自动更新不是默认设置,但都会以明确的方式通知用户什么时候该更新了。

但是,仍然有很多应用程序既没有自动更新系统,也没有适当地集成进操作系统级的通知。有时候,通过App商店,集成更新问题能够得以方便地解决。比如,OS X、iOS和Google Play就提供单一界面供用户更新App。Linux服务器和桌面系统从Linux发行版软件资料库安装更新包也是同样道理。

若是非自动化的更新,检查是否有更新的责任就落到了用户身上。这是老生常谈的问题了,2016年也将继续见证此类威胁。

真正令人惊讶的,是那些已经过时的软件还在被频繁使用的程度。这些过时软件,可以说某种程度上规避掉了自动更新或个人常规进行的更新检查。

更新问题也不总是归咎于用户的不作为。今天的手机世界中,真正的问题是那些不再从手机厂商那里获取安全更新的安卓手机。进一步的风险,则来自于不跟紧谷歌月度更新周期的那些安卓手机厂商。仅过去6个月里,谷歌就发布了93个安全漏洞补丁包。但,尽管谷歌已经为手机合作商准备好了补丁,却不是所有的厂商都能及时向全部受影响的设备发放更新。

综上所述,从桌面系统到手机平台和App应用,每一年都有大量漏洞曝出,但却不是所有的漏洞都会被用户打上补丁。其结果,就是形成了一个任君采撷的巨大果园,让攻击者可以携漏洞利用工具包随心所欲地采摘。画面太美,不忍直视。

IT安全里,另一个一直以来让人无言以对的问题就是:用户密码往往是安全防护中较弱的一环。同样,这不是个新趋势,是自现代IT诞生的那刻起就一直存在的问题。较近几年的变化,是双因子身份验证(2FA)系统的使用增多。

攻击者带着数据库泄露的用户名和密码溜之大吉的情况屡见不鲜。但如果你的账户设置了2FA,这些信息基本等于没用,风险也就相对降低了。这种经验教训,不仅仅是2016,而是每年都应该重新警醒一遍的。

2016 IT安全中应该注意的其他重点,与之前十几年一样,是常见类型的漏洞。在服务器方面,源源不断引发数据泄露的老问题,是SQL注入。这个问题能造成应用程序无法恰当地执行数据库输入验证。可供公司企业扫描SQL注入漏洞的工具很多,修复代码通常也就区区几行。

当然,新的零日漏洞肯定会出现,2016年也免不了要见证那么几个。但若说到数据泄露,大部分泄露事件还得归因于本可以规避掉的已知漏洞。

展望2016的安全,不应该拒绝了解若是回避新的威胁,但更重要的是先要“回头看”。

作者:Grabsun - 发布时间:2016-02-01 - 点击量:8645
公司简介:大势至公司是国内较早的企业网管软件提供商,可以为企事业单位提供整体的企业网络管理方案和企业网络管理平台,通过全系列的公司监控员工电脑软件教你如何控制员工上网、如何控制局域网内电脑上网以及如何保护电脑文件安全等。公司核心产品“聚生网管系统”是一款专门的公司网管必备软件、查看网络流量软件、网络流量监控软件和办公室电脑监控软件;“网络特警”则是一款专门的网络流量监控设备、上网行为管理服务器、网络行为管理设备,可以实现更为强大的局域网网络行为管理;大势至USB接口禁用软件则是一款专门的数据防泄密产品、屏蔽U盘软件、电脑USB端口禁用软件,可以严防通过一切途径泄露电脑文件,保护单位无形资产和商业机密安全;大势至共享文件夹管理软件则是一款专门的共享文件权限设置软件和共享文件设置密码软件,全面保护共享文件安全;大势至共享文件审计系统则是一款专门的服务器共享文件夹设置软件、服务器共享文件访问日志记录软件,可以详细记录局域网用户访问共享文件的行为,更好地管理共享文件的安全;大势至局域网网络准入控制系统则是一款专门防止未经授权的电脑接入公司局域网的行为,防止外来电脑访问局域网共享文件、防止蹭网以及绑定IP和MAC地址,保护网络安全;大势至FTP服务器日志记录软件则是一款专门记录局域网用户访问FTP服务器日志的软件,可以有效保护FTP服务器文件安全。
联系我们