2014安全形势：安全漏洞存在于应用程序而非操作系统当中

没错，一部分操作系统的安全性确实并另一部分更出色。举例来说，OpenBSD系统确实能够保护我们免受攻击者的侵扰。而其它系统，尤其是Windows，在安全性方面的名声实在有些狼藉——但近几年来情况已经有所好转。除此之外，Linux与Mac OS X都拥有良好的安全声誉，但近来Mac OS X遭遇严重的SSL跳转安全漏洞，这严重损害了它在我们心目中的形象。

不过说一千道一万，真正方兴未艾的安全问题并不存在于操作系统之中、而是潜伏在应用程序之内，安全企业FireEye与Secunia指出。

Secunia发布报告称，2013年当中有76%的安全漏洞源自个人PC平台上的五十款人气最高的程序，这些漏洞会给第三方程序带来后续威胁。也就是说根据Secunia的报告，Windows继续成为安全威胁最严重的操作系统。就目前流行程度最高的Windows 7方案来说，人气高涨的同时也吸引到了众多黑客的关注。再向前看，微软预计XP用户将由于官方安全支持的中止而面临所谓“永远的零日漏洞”威胁。

Secunia还发现，“与前一年相比，微软程序在2013年所曝出的安全漏洞呈现显著增加的趋势。微软应用程序出现安全问题的比率由前一年的8.4%上升到15.9%。2013年，微软程序当中出现的实际安全漏洞数量为192个，相当于2012年同一数字的128.6%。”即使如此，恶意软件攻击主体（75.7%）所针对的仍然是第三方应用程序。

那么这些攻击活动到底有多严重？根据 FireEye公司的报告，2012年企业用户每三秒钟就会遭遇一次攻击。而到2013年，攻击活动的频率已经增加到每1.5秒一次。没错，他们不是在开玩笑。

Secunia公司的一份研究结果显示，与大家想象的一样，网络浏览器以及其它涉及互联网连接的程序属于攻击活动的主要受害对象。与以往一样，网络浏览器几乎始终受到恶意攻击。有鉴于此，谷歌与惠普拿出超过三百万美元来奖励那些能够在Pwn2Home以及Pwnium安全大会上攻克热门浏览器的黑客。

具体来说，FireEye在研究中发现“2013年上半年，Java成为攻击者们发掘零日攻击机会的主要目标。其主要原因之一在于，针对Java进行漏洞利用难度要远低于大部分其它软件。作为专门为了预防不明代码付诸运行的保护机制，操作系统攻击防御方案往往无法在Java漏洞面前正常起效，因为攻击者破坏的仅仅是Java安全管理器当中的一个‘指针’而已。”

随着时间的推移，虽然Java仍然属于安全问题的重灾区、但其重要程度却在不断下降。“在2013年下半年期间，FireEye公司的研究人员发现针对IE浏览器零日漏洞的攻击活动呈现出爆发性增长，其中一位攻击者甚至突破了特定得益群体经常光顾的某个重要网站——而这部分访问者才是最终攻击目标（如果他们的浏览器存在同样的漏洞，那么他们也就同时成为了受害者）。我们认为这些攻击活动的严重程度不容忽视，而且中心让IE浏览器成为2013年当中最为高危的零日攻击载体。”

想听点好消息？“这部分攻击活动主要针对旧版本IE，例如IE 7.0以及8.0。”

坏消息当然也是有的。FireEye公司“还发现一部分针对较新版本IE浏览器的零日攻击活动，外加一部分用于绕过地址空间布局随机化（简称ASLR）以及数据执行保护（简称DEP）的新型攻击技术——其中包括对释放后使用（简称UAF）以及信息泄露漏洞的利用。遗憾的是，这意味着即使是较新版本的IE浏览器同样有可能遭遇攻击，而且ASLR/DEP等传统安全保护手段本身也存在纰漏。”

当然，Adobe Acrobat与Flash同样是吸引攻击者眼球的好靶子。举例来说，“最近的两次攻击活动——一次指向Adobe Flash、另一次则指向Adobe Reader——利用的就是其中的关键性沙箱漏洞。另有一次攻击利用Windows XP内核中的安全漏洞规避了Adobe Reader的沙箱机制。第四个案例则将Flash案例漏洞嵌入到了微软Office文件当中，从而一口气绕开了沙箱机制——但其影响范围仅限于使用Office 2008的用户。”

说了这么多沉重的话题，下面来聊聊好的一面。零日攻击活动的普遍性正在逐步减弱。Secunia公司发现“在整体产品当中，78.6%的安全漏洞都会以每天一个补丁的速度被逐步修复；而在使用频率最高的五十款软件产品当中，这一修复比例更是高达86.1%。这意味着随着时间的推移软件安全性将日益改善，特别是相较于过去五年的情况而言——其中修复率最低的一年仅为61.6%。对于这种持续向好的安全形势，最合适的解释可能是研究人员开始不断将其安全漏洞报告与软件供应商进行共享，从而保证大多数情况下相关问题都能立刻得到解决。”

当然，如果大家不尽快为程序安装更新补丁的话，情况就没这么乐观了。总之，如果大家保证自己的软件始终保持在最新状态，那么当下的互联网安全性还是可以令人放心的。不过请务必注意这个重要前提——让软件保持在最终状态。