新攻击如雨后春笋 你需要知道的六个安全问题

　　在安全专家手忙脚乱地处理各种现有威胁的同时，又有新的威胁接踵而至。

　　在2010年，新攻击如雨后春笋般出现，而同时一些已有攻击又被赋予了新的生命，这些让安全专家们措手不及。自从新零日漏洞被发现以来，Adobe Acrobat和Flash都逐渐沦为了恶意程序和渗透测试器的头号攻击目标，有些公司几周甚至几个月内都未修复这些漏洞，导致问题变得更加恶劣。

　　在安全专家每天面对的问题中，恶意软件位居问题之首，因为恶意软件数量似乎不断在增加，而且从各个方向袭来。根据Panda安全的报告显示，2010年总共出现的恶意软件数量占所有已知恶意软件数量的三分之一。

　　那些已经被发现的攻击，以及那些卷土重来的攻击很可能将继续在2011年为非作歹。这些攻击是否会对你们企业造成影响，最好通过适当的风险评估来进行判断;有些评估方法可能并不适用。例如，如果你的电脑没有连接到互联网，并且USB闪存驱动器被禁止使用，那么，恶意软件窃取网上银行交易信息就不可能发生。

　　下面是2011年安全专家们将要面临的安全问题：

　　1. 管理

　　几乎对于所有的安全专家来说，管理都是一个威胁问题。因为当C级管理人员不明白数据的存储位置以及不明白要如何来保护数据而不支持安全计划时，管理将会成为良好规划安全计划的无形的杀手。关键在于对商业风险的有效沟通以及如何在不影响业务底线的前提下降低风险。

　　2.恶意软件

　　我们都知道，恶意软件，在一般情况下，是一个问题。然而，在近几年，有针对性的恶意软件不断增加，Stuxnet的出现更加是“雪上加霜”。恶意软件能够以很多不同的方式来渗透网络，安全专家需要花时间和精力，并且理解如何在各个层面来打击恶意软件，另外在政策中部署必要的保护来限制员工的行为。

　　3.社交网络

　　社交网络是一把双刃剑，它可以让安全专家通过Twitter等网站获取最新信息，然而又为黑客提供了方便的攻击途径，特别是对于那些喜欢电机所有他们接收的链接的用户。除了恶意软件，这里还涉及重要信息意外泄漏的问题，例如我们会看到军人或者政治家使用社交网络。制定良好的使用政策是关键问题，同时用户也需要了解社交网络会对他们自身已经雇主造成怎样的影响。

　　4. DLL劫持攻击

　　一个在2010年重新露面的攻击是DLL劫持攻击，它被赋予了很多名称，例如二元植入或者DLL预加载荷等，这个攻击早在10年前就已经出现。有趣的是，新研究发现这种攻击既是获取系统控制的一种攻击方法，又是恶意软件维持其持久性的方法。让安全专家更头痛的是，通过Metasploit Projecet发布的新代码让这种攻击更加容易被利用了。微软公司已经提供了一些解决方案和补丁，但是这个问题还没有完全解决，因为这个涉及很多供应商。

　　5. Shodan

　　Shodan在去年受到了极大的关注，因为安全研究人员展示了在没有扫描系统的情况下能够很容易地找到漏洞系统。有了Shodan，他们能够利用由其他人执行的扫描，并且支付一点资金就可以输出所有数据到他们的攻击工具中。漏洞SCADA设备的Shodan的曝露促使CERT发布关于潜在攻击的建设性警告，不过该网站在研究人员和渗透测试人员间的知名度只会有助于Shodan的进一步增长，并最终曝露世界各地存在漏洞的系统设备，提醒大家，最好清楚你的网络中有些什么以及那些被泄漏。

　　6. 嵌入式系统

　　随着越来越多的攻击开始侧重于打印机、智能仪表、工业控制系统等，嵌入式系统也逐渐走到聚光灯下。8月份公布的VxWorks漏洞展示了如何轻松地利用光钎通道交换机、打印机和SCADA设备，当然这些也能够轻松地通过Shodan来发现。在部署这些设备的时候，企业应该向供应商咨询并弄清楚这些设备有那些网络接入，因为它们可能会为攻击者进入企业网络打开方便之门。

　　这些2010年造成轰动的攻击仍然将继续飞扬跋扈一段时间，那些难以修复或者涉及系统问题的攻击需要花费更多的精力来解决。并且，保持系统的最新更新也是关键。作为防御者，你需要做到面面俱到，但是作为攻击者，却可以一击即中。