Web浏览器漏洞任由黑客攻击

2009年12月一轮名为“极光行动”的网络攻击使数十家公司的知识产权受到严重侵害，这次事件唤起了人们对互联网浏览器安全的关注。Check Point指出，目前所有Web浏览器都存在各种各样的漏洞，是黑客最易攻击的对象之一，用户必须提高警惕，谨防千里之堤，溃于蚁穴。

Web浏览器是整个网络环境中最广泛应用的软件之一。尽管各厂商不断努力推出新型的、性能更好、更安全的Web浏览器——例如，谷歌公司最近推出了一款名为“Google Chrome”的浏览器，微软公司目前正在测试一个新的、名为“Gazelle”的浏览器，然而Web浏览器攻击和漏洞仍不绝如缕。仅2009年一年中，“常见漏洞及风险”组织(CVE)公报的浏览器漏洞就超过300个，每个浏览器厂商的产品都有几十个。

今天的浏览器集成了许多诸如ActiveX、Cookies、Plug-In、Flash Player, Java及 Acrobat Reader等复杂应用软件插件。这些插件增强了浏览器的功能，如处理图像、用户友好界面和各种各样的动画。实际上，很多网站需要用户安装额外的软件来支持这些功能。另外，大多数浏览器默认设置为自动运行这些捆绑的程序。而除了Web浏览器本身，运行每个应用软件都可能包含额外的缺陷和漏洞，因此又增加了用户的安全风险。

ActiveX

ActiveX是微软IE使用的插件，这种技术有各种漏洞及运行问题，最近期的漏洞是于去年7月在Microsoft DirectShow Video ActiveX Control 发现，路过式攻击通过这个漏洞攻陷数千个网站，并令端点设备感染恶意软件，令公司受到数据外泄的风险。

Java

Java 是一种面向对象的编程语言，用于支持Web的动画内容，很多使用Java的软件应用存在安全漏洞，令任意代码可以入侵，使黑客可以享有用户的使用权限。

插入应用(Plug-ins)

插入应用是Web浏览器常用的程序，它们可能有编程及设计破绽，例如跨域名攻击及缓冲区溢出攻击等。Adobe Flash Player 就是其中一种去年受到多种攻击的插件。

Check Point安全产品总监Guy Guzner表示：“Web浏览器存在严重的安全威胁。多年前用户从一个非常古怪的网页下载了一个恶意程序或者使用盗版软件时才会感染病毒，但是现在黑客直接在信誉良好的网站中植入恶意软件，包括用户每天浏览的新闻网站在内，以至于现在用户随意浏览一个网页，计算机就可能被感染。”

在端点层阻止Web浏览器攻击的最好方法就是把它“沙盒化”(Sandboxing)。“沙盒化”又称为浏览器虚拟化，防止浏览器的感染侵袭用户的数据、其他应用软件和操作系统。

Guzner表示：“Check Point 端点安全套件为用户提供安全虚拟浏览器和虚拟浏览会话的功能，用以防止零日攻击和路过式下载，并防止其他基于Web的各种类型威胁损害用户的个人电脑。Check Point的WebCheck虚拟化技术将Web攻击引向一个能始终困住它们的沙盒，使它们不能伤害操作系统。”

这项功能包含于Check Point的 Zone Alarm Extreme Security软件之中并已面市。

在一个企业环境中，为了更好地巩固对Web威胁的防御，还极其需要一个能探测和阻止这些攻击的入侵防御系统(IPS)来完善保护。Guzner补充道：“在软件刀片架构的基础上，Check Point IPS 软件刀片以多千兆级的速度提供完整的嵌入于防火墙的入侵防御功能，为服务器、操作系统漏洞、恶意软件或蠕虫感染等提供先发制人的抗击威胁覆盖。”

除了实施这些保护措施，互联网用户和管理员还应该定期修补和更新他们的浏览器，以确保他们使用的是最新版本。浏览器插件和相关应用程序都应该定期修补。最终极的保护是用户限制浏览器功能和配置安全设置，让Java小应用程序，JavaScript和VBScript，ActiveX 的控制不要自动运行。这将减少通过功能漏洞攻击的风险。