安全补丁管理做法两极对立 巨头间的较量

以什么方式来修补企业操作系统的漏洞？

就商业层面而言，这是一个很棘手的问题。一方面，安全问题的产生势必会造成不良的公众影响；而另一方面，及时处理这些问题就可能带来正面的公众影响。

早在2003年，微软在推出"星期二补丁"的时候就默认了其台式机和服务器操作系统并不安全的事实，于是在每个月的第二个星期二微软都会定期发布在过去的四个星期里开发的安全升级补丁。微软通过这一补丁发布周期勇敢地承认自己存在的安全问题，并且希望为解决这些问题而做一些努力。与此同时，它也为管理员们提供了更新操作系统的准备方案。

相比之下苹果的OS X操作系统的安全漏洞就要少得多，而该公司也采取了一种完全不同的方式来处理这些漏洞。为了让尽可能少的人知道该系统已经出现的安全漏洞，苹果不会对外公布其问题所在，而是悄悄地对其进行特别安全更新。（相关文章请参阅51CTO报导："苹果发布针对 Mac OS X 的41个漏洞补丁"）

事实上，这两种处理安全漏洞的方式都存在明显的缺陷。上周，为防止后门木马HellRTS侵袭OS X系统，苹果进行了一次安全更新，该木马可以在Mac用户的电脑里进行截图、访问文件夹和发送垃圾邮件等操作。Sophos的高级技术顾问Craham Cluley评论说：

"不幸的是，很多Mac用户对那些在他们电脑上可能存在的安全隐患完全忽视。而苹果这种暗中发布反恶意软件安全更新的做法似乎对帮助用户们解除这些威胁起不到任何作用。你一定会认为他们在发布反恶意软件安全更新的时候保持缄默是出于某种市场目的。苹果会说：嘘！不要告诉人们我们必须保护Mac OS X免受恶意软件的侵害！"然而，就好像鲁迅先生笔下的阿Q，头上长了疮，为了不让别人看见，所以一直用手捂着，结果越捂疮越烂。等到大家都发现的时候，这个疮已经很难看了。当您发现Mac OS X存在多处严重漏洞的时候，您很可能已经中招了。当然，苹果也一直在发布它的漏洞补丁，但是对外公布的力度显然不是很大，所以，请您注意51CTO关于Mac OS的漏洞和补丁报道。

那么，微软的做法是不是很完美呢？也不是！因为它的安全补丁每个月只发布一次（特殊时期除外，比如微软发布不定期补丁的时候）。理论上，聪明的黑客可以利用时间上的漏洞发起病毒攻击，即在补丁发布的后一天制造之前没被发觉的病毒，这个时间往往被称之为漏洞星期三，而在下一次漏洞修补之前，黑客们有足足四周时间进行肆意活动。黑客们也因此通力合作，共同研究每个月的漏洞补丁，并会试图在未来的几天里利用其缺陷来给那些没有在"补丁星期二"进行及时更新的电脑制造更多的麻烦。尽管如此，请您还是注意51CTO.com安全频道关于微软漏洞补丁的信息，毕竟，亡羊补牢犹未晚也。

鉴于这两种做法，苹果因为其出于某些市场目的而隐瞒OS X安全隐患的做法收到了更多的反对呼声。尽管苹果一再试图让其的用户相信他们对于其产品的安全问题有知情权，但是它始终没有做出应有的安全措施评估。结果是，大多数OS X用户可能对Mac木马也像HellRTS那样存在的事实毫不知情。

你可能会认为反病毒软件厂商的雇员总向你推销一些你根本不需要的产品，认为他们的安全警告毫无意义。在很多情况下，你可能是正确的。但是，为了避免风险，你必须知道这个世界上到底在发生什么？

比如蒙蔽用户的双眼的苹果公司正在用一种安全的假象给他们的用户制造不必要的风险。就像另一名来自反病毒厂商ESET的安全顾问，David Harley说的那样，"任何相信一种系统是完全安全可靠的，不用关心安全问题的电脑用户是社会工程学进行研究的最好素材。"