合法网站成企业IT安全命门

IBM近日公布旗下X-Force安全实验室所完成的安全研究报告，该指出有愈来愈多的黑客是透过入侵合法网站来攻击使用者，而这也成为企业IT安全的致命伤。

　　X-Force发现2008年的两大主要攻击趋势，一是合法网站成为黑客攻击使用者的媒介。黑客先攻陷网络应用程序再藉之影响使用者，同时，企业正在使用这些充满漏洞的应用程序，更糟的是企业所使用的客制化应用程序含有许多未知而无法修补的安全漏洞。

　　去年被揭露的漏洞中有超过一半（54%）与网络应用程序有关，而且其中的74%并未被修补；此外，去年初兴起的SQL注入（SQL injection）漏洞有增无减，资料密码攻击数量从去年夏天到去年底成长了30倍。

　　根据该报告，影响网络应用程序的大部份漏洞为跨站攻击（XSS）、SQL注入及含有安全漏洞的档案；在2008年SQL注入取代了跨站攻击成为最主要的网络应用程序漏洞，去年的SQL注入漏洞数量比2007年成长了134%。

　　X-Force分析，这是因为跨站攻击漏洞对黑客而言不再那么有价值，黑客只能透过该类型的漏洞取得使用者在被骇网站的账号数据，但SQL注入漏洞却能将使用者导到恶意网站并植入恶意程序，进而掌控使用者的计算机，对黑客而言更有实质上的效益。

　　IBM网络安全系统X-Force研究暨开发营运经理Kris Lamb表示，令人讶异的是这些SQL数据库攻击大量透过10年前被揭露但未被妥善修补的漏洞，黑客之所以锁定企业是因为这些企业让他们很容易攻击任何造访企业网站的使用者。

　　第二个趋势是，虽然黑客持续锁定IE浏览器及ActiveX控制器作为入侵使用者计算机的媒介，但黑客开始将攻击程序结合恶意的影片档案或文件，诸如Flash档案或是PDF档案。此外，X-Force亦指出含有攻击程序的网域是去年第四季就比2007年多了50%。

　　该研究的其它发现还包括去年所揭露的漏洞数量比2007年多了13.5%；截至去年底为止，2008年揭露的漏洞有53%未被修补，除了去年的漏洞未修补外，2007年的漏洞也有44%未被修补，2006年则有46%。发送垃圾信息的三大来源国依序是中国、美国及土耳其，总计占约30%。中国在去年首度超越美国成为托管最多恶意网站的国家，有近9成的网络钓鱼黑客锁定金融机构，其中大部份是针对北美地区；最普遍的恶意程序为木马，通常锁定在线游戏及网络银行使用者，X-Force预估这些群体在今年仍将是黑客的目标。（