8月第1周安全回顧0Day漏洞成企業最大威脅應重視網路監聽

文章同時發表在：[url]http://netsecurity.51cto.com/art/200708/52822.htm[/url]

 

本週（0730至0805）安全方面值得關注的新聞集中在安全管理、安全威脅和安全產品方面。

安全管理：0Day漏洞攻擊成為企業資訊保安的最大威脅

新聞：週一，根據全球領先的安全及漏洞管理企業Patchlink的最近的客戶調查報告，在超過250名的被調查IT專家中，有54%認為0Day漏洞攻擊是對企業資訊保安威脅最大的因素，這個比例明顯超過了排在威脅列表第二位的黑客攻擊（35%）和第三位的惡意軟體威脅（34%） 。

分析：0Day漏洞攻擊這個名詞從去年初開始就頻繁在安全業界和媒體上出現，但對許多企業使用者來說，這個名詞的概念仍比較模糊，許多企業在進行資訊保安風險分析和部署防禦方案的時候也沒有將其考慮在內。0Day漏洞攻擊指的是攻擊者利用未被公開的系統或應用程式漏洞發起的攻擊，常見的0Day漏洞包括系統漏洞、Office類軟體漏洞、Web應用程式漏洞。和其他型別的攻擊不同，0Day漏洞攻擊會影響到絕大部分的企業使用者，而不分企業大小；同時由於0Day漏洞都是未公開的，企業使用者在部署防禦方案時也無法全面覆蓋0Day漏洞可能發生的薄弱點。攻擊者還常常利用使用者的惰性和疏忽，將社會工程學和0Day漏洞攻擊結合使用。

筆者建議：因為0Day漏洞大部分是屬於緩衝區溢位型別的漏洞，因此在伺服器和客戶端上開啟系統的資料執行保護（DEP），部署帶有緩衝區溢位保護的安全軟體，即可有效防護緩衝區溢位型別的0Day漏洞攻擊；減少不必要的功能，對檔案系統進行嚴格的訪問許可權控制，也可在一定程度上防護針對Web應用程式的0Day漏洞攻擊；對於使用社會工程學的0Day漏洞攻擊，最有效的辦法是加強使用者的安全意識和安全操作教育，並對黑客有可能利用的攻擊路徑，如Office軟體、網頁瀏覽等部署對應的安全方案。

安全威脅：網際網路上的網路監聽有可能成為企業新的安全威脅

新聞：週三，在當天的Black Hat會議上，來自PGP等公司的4名研究人員發表了一個關於網際網路網路監聽威脅的研究報告。該報告中指出，網路監聽行為有可能會成為企業新的安全威脅，攻擊者可以直接在網際網路上對目標企業的網路通訊進行監聽，並結合一定的資料分析手段，不需要破解網路通訊的具體內容也可獲得目標企業內使用者、系統及網路通訊的情況。

分析：網路監聽常常被管理員用於監視企業內網的使用情況，發現內網中可能存在的異常流量或惡意軟體流量，但網路監聽也可能被黑客用來進行攻擊活動。週三Black Hat會議上提到的網路監聽攻擊就是一個例子，這種攻擊方式通常會發生在企業網路出口或ISP機房，攻擊者只需要收集並分析特定時間段內的資料，即可從資料包的型別和時間戳上推斷出目標企業日常的網路活動情況，但這種攻擊方式同樣可以運用在企業的內部網路，對特定的客戶端進行網路活動分析，最終黑客可以用獲得的資訊對企業網路進行進一步的攻擊。由於網路監聽攻擊不需要像網路嗅探那樣要獲取資料傳輸的具體內容，而是更多的使用統計學上的分析方法，因此常用的加密等防禦手段對網路監聽也沒有效果。

筆者認為：企業暫時還不需要太過擔心來自網際網路上的網路監聽攻擊，但應該警惕發生在企業內部網路中的網路監聽行為，可以通過部署IDS等安全裝置來檢查內網中是否存著網路監聽。如果不是經過授權的管理員行為，那就有可能是攻擊者已經侵入到企業內網，並正在進行網路活動的調查和特定網路資料的收集。

安全產品：WebSense部署Web 2.0威脅檢測方案

新聞：週五，內容安全廠商WebSense在過去的6到8個月裡，已經在網際網路上部署了一個Web2.0威脅檢測方案。這套稱為“HoneyJax”的系統通過模仿使用者在Web 2.0站點上的瀏覽行為，可以發現Web 2.0站點上可能存在的惡意軟體、網路釣魚等安全威脅。WebSense計劃於本週日的Black Hat會議上向安全業界介紹這套系統。

分析：從去年開始，Web 2.0時代的使用者瀏覽安全逐漸為安全業界所重視，但WebSense此次公開的系統卻是業界首個直接關注Web 2.0安全的產品。雖然這個名為“HoneyJax”（意指”Honey“+”Ajax“，Web 2.0蜜罐）的產品只是一個檢測型的產品，並不直接適用於客戶端，但也代表了Web 2.0瀏覽安全的產品正式登上了內容安全市場的舞臺。


可以預見的是，不久市場上便會出現可以用於客戶端的Web 2.0瀏覽安全產品，這種產品有可能以防禦查殺為主（整合到現在的反病毒產品）或檢測為主（如現有的SiteAdvisor等站點訪問提示工具），直接針對頁面上存在的惡意程式碼為使用者提供保護；還有另外一種可能的趨勢是，各大搜尋引擎商和安全廠商合作，為Web 2.0站點提供惡意程式碼檢測服務，或在搜尋結果中對使用者提供危險頁面的警告功能。