企业Web2.0应用安全风险分析及对策

    在企业IT世界中，安全风险随处可遇，例如不够强壮的密码，意料之外的电子邮件附件，浏览网页时误点了恶意网址，还有不请自来的流氓软件。诸如防火墙、杀毒软件等安全工具基本可以处理这些安全威胁。不过，随着Web 2.0应用逐渐增多，企业IT部门又迎来了新的安全威胁，传统的安全工具在面对Web 2.0应用时往往显得心有余而力不足，那么企业IT部门应该如何应对Web 2.0应用所带来的安全威胁呢？

    Web 2.0应用安全风险加剧

    随着互联网和Web 2.0应用的日益普及，无论是个人用户，还是企业用户，都将面临着巨大的安全威胁。

    安全公司Sophos曾经表示，每天有15000多个新网页将被感染，90%的Web威胁位于合法的黑客站点上，同时在全部搜索结果中有1%包含被感染的网页。

    其中，对于多数IT经理或信息安全管理者来说，社交网站所带来的安全威胁日渐增大。黑客们已经把目光转向了众多知名社交网站。

    在过去一年中，著名社交网站Facebook用户已经屡次遭到了多种蠕虫病毒的袭击。恶意分子首先获得某Facebook用户帐户，然后向其好友发送一条消息，告诉他们点击这个链接观看来自谷歌Picasa的相片或者是一段视频。缺乏防范意识的用户点击链接后，会被提示下载一个视频控件，但这实际上是一个传播木马病毒的恶意程序。

    去年8月份，Facebook的1800多名用户的信息遭到秘密安装的木马程序窜改。

    而微博客Twitter也同样成为网络罪犯散播恶意软件和商业广告讯息的工具。最近Twitter用户就遭遇到了钓鱼攻击，黑客首先用伪冒网站骗取用户的账号和密码，然后向被攻击用户的好友发送销售讯息或利用Twitter特有的缩址服务，欺骗网友进入第三方网站。

    除了社交网站之外，其它很多Web 2.0应用同样深受用户喜欢，因为它们非常易用和实用，用户一般主动去安装这些工具，但是同时它们也将其固有的风险引入到了企业此前非常牢固的网络架构之内，让企业数据面临着安全风险。

    Web 2.0应用安全防护的难点

    对于IT经理来说，防护Web 2.0应用所带来的安全风险是一件非常麻烦的事情，因为这些安全威胁的特点已经与传统的安全威胁有了很大区别。

    在过去，可以在网络入口处保护网络终端，但是现在，Web内容逐渐趋于动态化，用户需要持续不断的更新现有内容、共享应用程序，并通过多种渠道进行即时通讯。

    很多Web 2.0应用都对算法进行了优化，以确保不被阻挡，另外，这些应用还可以将自己伪装成HTTP、FTP、SMTP和Telnet通信，来绕开防火墙和目前统一威胁管理系统的探测。

    另外，企业IT人员无法采取一刀切的形式，禁止员工使用所有Web 2.0应用，这是不现实的。因为这样做只会阻扰员工，切断本应通过这些应用得到的具有潜在价值的商机。

    如何应对Web 2.0应用安全风险

    企业IT人员需要根据当今世界的Web2.0调整自己的安全策略，为社交网站、博客和所有其他类型的网站创建规则，同时借助于新的安全工具来检测和屏蔽恶意Web 2.0应用。

    为了避免Web 2.0应用导致企业数据面临威胁，企业安全人员应对企业内部的核心数据进行分门别类，并通过高质量的加密保证非常有价值的数据不被拦截和非授权用户利用。

    另外，加强企业内部员工的安全意识教育，通过不断强化员工的风险意识，实际操作培训等使员工自觉遵守相关的策略，帮助企业避免核心数据从内部泄露。

    除了加强安全策略和提高员工安全意识外，市场也在呼唤新的技术来加强对Web 2.0应用的管理和防护。

    美国FaceTime Communications公司最近推出了名为ACE的新探测分类技术，“ACE”是应用程序控制引擎（Application Control Engine）的首字母缩写。这种专利安全技术可以扫描网络，识别1400多个Web 2.0应用和5万多个社交网络插件。

    扫描网络上的恶意应用程序对IT人士来说或许不是一件新鲜的事情，但是FaceTime的ACE技术关注于扫描Web 2.0应用，这就颇具新意了。

    通过FaceTime的ACE，这1400多个Web应用可以被识别，同时更多的社交网络插件也可以被单独认出。不管这些应用使用什么端口、协议或逃避技术，ACE都可以发现并关闭它们。

    另外，ACE软件开发工具可以让第三方解决方案提供商进行扩展开发，可以帮助它们的客户管理即时通讯、端对端文件共享、社交网络、Web 2.0、VOIP等方面的应用。