2013年十大IT安全关键问题

对应攻击，在过去一年中，安全防御重点发生了巨大转变--从传统的外围防御转移至倾向以数据中心为核心的安全控制、基于情报的安全系统以及加强检测、响应并在攻击活动出现后缓解数据泄露影响的相关能力。与此同时，安全专业人员与业务部门的协同合作更加密切。

另外，随着互联网接入设备数量的进一步攀升，安全专家们预计物联网的全面兴起将给整个IT行业带来新一轮安全挑战。

下面我们就一起来看2013年中的十大IT安全关键问题：

1. 白帽Wi-Fi攻击暴露业务数据安全漏洞

白帽黑客们通过实际行动证明：电子商务账户以及银行信息当中所涉及的用户名、密码、联系人列表等敏感内容很容易被恶意人士通过公共Wi-Fi热点加以夺取。

2. 研究人士指出，针对数字签名的恶意软件正迅速成为主要威胁

数字签名恶意软件已经成为当下另一大发展迅猛的安全威胁，其主要诉求在于回避白名单以及沙箱安全控制机制。 "单单在过去一个季度当中，我们就发现了120万种新型签名恶意软件，"McAfee公司高级研究与威胁情报主管David Marcus表示。这类恶意软件所使用的合法数字证书并非通过窃取或者伪造所取得，而是真正从证书颁发机构或者其分包商处购得。

3. 联邦调查局警告称网络钓鱼攻击有增长趋势

今年七月，美国联邦调查局方面称针对多个行业的鱼叉式钓鱼攻击呈现出增长势头。鱼叉式钓鱼攻击--一种针对性较高的钓鱼邮件--是攻击者们入侵 端点并在企业内部网络中获取立足之地的主要工具之一。根据调查局的说法，攻击者会根据受害人所在的行业或者企业选择合适的攻击对象。

4. SQLi始终未能解决，这一切何时才能终结？

开放Web应用安全项目（简称Owasp）继续将SQL注入式攻击评选为全球十大关键性Web应用风险之一。不过自该项目15年前诞生以来就一 直面临着这样的问题：SQL注入式攻击是什么？这类攻击为什么如此重要？为什么始终无法将其彻底解决？不知道什么时候SQLi能够真正被安全人员制服。

5. RSA表示安全需求正在发生变化，但我们该如何理解这一说法？

RSA执行主席Art Coviello在RSA 2013欧洲大会的开幕主题演讲中向IT安全业界提出要求，希望欧洲能够再次像第二次世界大战结束后那样以同样的精神建立起共同化市场。但他到底想表达什么意思？其中内涵耐人寻味。

6. 安全最终可以促进业务

新型安全技术将最终使企业员工更轻松地保障业务安全并推动企业运营，Voltage安全公司高级主管Dave Anderson如是说。目前世界上很多大型企业都已经开始将信息安全作为战略性优势并希望借此重新实现数据价值。"尽管这个话题我们已经讨论了多年，但 直到过去一两年其实现过程才真正变得简单可行，"他在接受采访时指出。

7. 大部分企业的安全事件响应机制无法达标

大部分企业还没有准备好应对网络攻击活动，电子取证企业Guidance Software公司表示。不过随着对流程及沟通策略的合理评估，已经有高达七成的企业摆正了自己的安全定位。

8. 报告显示，过去一年中DDoS攻击数量比以往高出三倍

根据Arbor Networks发布的调查，从今年的监控统计来看，流量超过20Gbps的分布式拒绝服务（简称DDoS）攻击活动数量与2012年全年相比高出三倍以 上。尽管DDoS攻击已经成为不容忽视的巨大业务风险，但一项由通信企业Neustar于今年七月发布的调查显示，仍有约两成的英国受访者坦言自己的企业 并没有部署DDoS保护机制。

9. 《纽约时报》遭遇黑客主义攻击，域名注册机制遭到锁定

通信及分析企业Neustar公司认为，今年针对《纽约时报》的叙利亚黑客主义攻击让我们不得不正视锁定域名注册的必要性。支持叙利亚总统巴沙 尔？阿萨德的黑客组织叙利亚电子军在成功获取了对该网站域名系统（简称DNS）设置的访问权后使其陷入瘫痪。电子军破坏了《纽约时报》的域名注册服务商 Melbourne IT并通过修改使DNS记录指向位于叙利亚及俄罗斯的其它系统。

10. 物联网将带来"巨大的安全风险"

物联网的兴起将带来巨大的安全风险，这是某次CW500 Club会议通过研讨得出的结论。到2020年，全球将有数万亿个传感装置通过互联网传输数据，其内容涉及每个人日常生活中的方方面面。这类数据能够作为宝贵的辅助信息，用于指导城市规划或者提醒消费者在哪些商店能够以优惠价格买到自己喜欢的商品，但与此同时，它也将带来前所未有的个人隐私与安全性风险。