安全防范始于意識

隨著網(wǎng)絡(luò)與信息技術(shù)的普及，針對數(shù)字資產(chǎn)的攻擊呈現(xiàn)出日趨復(fù)雜和嚴(yán)重的態(tài)勢。惠普公司近日發(fā)布的《2011年主要網(wǎng)絡(luò)安全風(fēng)險(xiǎn)報(bào)告》對這一現(xiàn)象進(jìn)行了調(diào)研、歸納和解讀。

這一報(bào)告主要由惠普安全研究機(jī)構(gòu)HP DVLabs完成。惠普公司企業(yè)安全產(chǎn)品部北亞區(qū)總經(jīng)理姚翔將《2011年主要網(wǎng)絡(luò)安全風(fēng)險(xiǎn)報(bào)告》的重要內(nèi)容歸納為應(yīng)用和漏洞兩個(gè)方面，而這兩個(gè)方面的安全問題都與安全意識相關(guān)。

報(bào)告顯示，商業(yè)應(yīng)用的漏洞數(shù)量正在逐漸減少。據(jù)統(tǒng)計(jì)，2011年業(yè)界整體的漏洞數(shù)量比2010 年減少了20%，而定制應(yīng)用的漏洞數(shù)量卻在逐步增加。姚翔認(rèn)為，這一現(xiàn)象并不能代表用戶的數(shù)據(jù)會因此而更加安全，“漏洞數(shù)量之所以減少，是由于用戶并不重視一些已知的漏洞，也沒有進(jìn)行修補(bǔ)。換句話說，黑客認(rèn)為從已知漏洞中就可獲得足夠的利益，因此沒有必要去尋找新的漏洞。”

此外，應(yīng)用已經(jīng)成為黑客攻擊的主要目標(biāo)，其中Web應(yīng)用尤其容易受到攻擊。根據(jù)調(diào)研，有81%的Web服務(wù)器暴露其類型，52%暴露具體版本。實(shí)際上，類似于這種輕易暴露內(nèi)部基礎(chǔ)設(shè)施信息的情況由來已久，而這種做法很容易遭受外界攻擊。姚翔表示：“如今很多用戶在IT建設(shè)時(shí)都急于推出新產(chǎn)品、新功能，卻忽視了安全。這是一個(gè)用戶安全意識的問題，在全球范圍內(nèi)普遍存在。”

《2011年主要網(wǎng)絡(luò)安全風(fēng)險(xiǎn)報(bào)告》將目前主要的Web應(yīng)用攻擊類型歸納為SQL注入、跨站腳本和PHP文件包含三種形式，其中應(yīng)用SQL注入方式的攻擊最多。

姚翔認(rèn)為，想要保護(hù)企業(yè)數(shù)據(jù)安全，需要從根本上做到保護(hù)商業(yè)應(yīng)用、定制應(yīng)用并且阻斷內(nèi)部主機(jī)與惡意站點(diǎn)間的通信，同時(shí)要盡早為系統(tǒng)打補(bǔ)丁、在網(wǎng)絡(luò)上部署“虛擬”補(bǔ)丁、盡早測試應(yīng)用系統(tǒng)并且部署具有自適應(yīng)能力的應(yīng)用保護(hù)體系。