IBM安全报告:合法网站成企业IT安全的罩门
2009-02-07 17:16
281 查看
IBM近日公布旗下X-Force资安实验室所做的安全研究报告(PDF檔,4.6MB),指出有愈来愈多的黑客是透过入侵合法网站来攻击使用者,而这也成为企业IT安全的致命伤。
X-Force发现2008年的两大主要攻击趋势,一是合法网站成为黑客攻击用户的媒介。黑客先攻陷网络应用程序再藉之影响用户,同时,企业正在使用这些充满漏洞的应用程序,更糟的是企业所使用的客制化应用程序含有许多未知而无法修补的安全漏洞。
去年被揭露的漏洞中有超过一半(54%)与网络应用程序有关,而且其中的74%并未被修补;此外,去年初兴起的自动数据隐码(SQL injection)漏洞有增无减,资料隐码攻击数量从去年夏天到去年底成长了30倍。
根据该报告,影响网络应用程序的大部份漏洞为跨站攻击(XSS)、数据隐码及含有安全漏洞的档案;在2008年数据隐码取代了跨站攻击成为最主要的网络应用程序漏洞,去年的数据隐码漏洞数量比2007年成长了134%。
X-Force分析,这是因为跨站攻击漏洞对黑客而言不再那么有价值,黑客只能透过该类型的漏洞取得使用者在被骇网站的账号数据,但数据隐码漏洞却能将使用者导到恶意网站并植入恶意软件,进而掌控用户的计算机,对黑客而言更有实质上的效益。
IBM网络安全系统X-Force研究暨开发营运经理Kris Lamb表示,令人讶异的是这些资料隐码攻击大量透过10年前被揭露但未被妥善修补的漏洞,黑客之所以锁定企业是因为这些企业让他们很容易攻击任何造访企业网站的使用者。
第二个趋势是,虽然黑客持续锁定IE浏览器及ActiveX控制器作为入侵用户计算机的媒介,但黑客开始将攻击程序结合恶意的影片档案或文件,诸如Flash档案或是PDF档案。此外,X-Force亦指出含有攻击程序的网域光是在去年第四季就比2007年多了50%。
该研究的其他发现还包括去年所揭露的漏洞数量比2007年多了13.5%;截至去年底为止,2008年揭露的漏洞有53%未被修补,除了去年的漏洞未修补外,2007年的漏洞也有44%未被修补,2006年则有46%。发送垃圾讯息的三大来源国依序是中国、美国及土耳其,总计占约30%。中国在去年首度超越美国成为代管最多恶意网站的国家,有近9成的网钓黑客锁定金融机构,其中大部份是针对北美地区;最普遍的恶意软件为木马,通常锁定在线游戏及网络银行用户,X-Force预估这些族群在今年仍将是黑客的目标
X-Force发现2008年的两大主要攻击趋势,一是合法网站成为黑客攻击用户的媒介。黑客先攻陷网络应用程序再藉之影响用户,同时,企业正在使用这些充满漏洞的应用程序,更糟的是企业所使用的客制化应用程序含有许多未知而无法修补的安全漏洞。
去年被揭露的漏洞中有超过一半(54%)与网络应用程序有关,而且其中的74%并未被修补;此外,去年初兴起的自动数据隐码(SQL injection)漏洞有增无减,资料隐码攻击数量从去年夏天到去年底成长了30倍。
根据该报告,影响网络应用程序的大部份漏洞为跨站攻击(XSS)、数据隐码及含有安全漏洞的档案;在2008年数据隐码取代了跨站攻击成为最主要的网络应用程序漏洞,去年的数据隐码漏洞数量比2007年成长了134%。
X-Force分析,这是因为跨站攻击漏洞对黑客而言不再那么有价值,黑客只能透过该类型的漏洞取得使用者在被骇网站的账号数据,但数据隐码漏洞却能将使用者导到恶意网站并植入恶意软件,进而掌控用户的计算机,对黑客而言更有实质上的效益。
IBM网络安全系统X-Force研究暨开发营运经理Kris Lamb表示,令人讶异的是这些资料隐码攻击大量透过10年前被揭露但未被妥善修补的漏洞,黑客之所以锁定企业是因为这些企业让他们很容易攻击任何造访企业网站的使用者。
第二个趋势是,虽然黑客持续锁定IE浏览器及ActiveX控制器作为入侵用户计算机的媒介,但黑客开始将攻击程序结合恶意的影片档案或文件,诸如Flash档案或是PDF档案。此外,X-Force亦指出含有攻击程序的网域光是在去年第四季就比2007年多了50%。
该研究的其他发现还包括去年所揭露的漏洞数量比2007年多了13.5%;截至去年底为止,2008年揭露的漏洞有53%未被修补,除了去年的漏洞未修补外,2007年的漏洞也有44%未被修补,2006年则有46%。发送垃圾讯息的三大来源国依序是中国、美国及土耳其,总计占约30%。中国在去年首度超越美国成为代管最多恶意网站的国家,有近9成的网钓黑客锁定金融机构,其中大部份是针对北美地区;最普遍的恶意软件为木马,通常锁定在线游戏及网络银行用户,X-Force预估这些族群在今年仍将是黑客的目标
相关文章推荐
- 针对小型企业三个基本的IT安全技巧
- 1月第4周网络安全报告:境内被篡改网站总数3842个
- IBM X455服务器基于Microsoft Windows Server 2003企业版 (64位) Cluster的安装报告
- 1月第2周网络安全报告:境内被篡改网站总数4384个
- IBM X455服务器基于Microsoft Windows Server 2003企业版 (64位) Cluster的安装报告
- 瑞星发布2010企业安全报告 九成国内企业曾被入侵
- 华为IT应用开发工程师(C++应用软件)实习生笔试+360企业安全服务端开发工程师实习生笔试
- 云计算演义(2)企业IT之王IBM互联网之王Google数据库之王Oracle狂奔在与关闭公有云赛跑的路上(上)
- 11月第4周网络安全报告:遭篡改的.COM网站占75.7%
- 3月第3周网络安全报告:被篡改.COM网站占74.3%
- IBM首次推出移动安全服务,主要针对在企业中使用的智能手机和平板电脑
- 教你如何进入IBM、微软、华为等一流IT企业
- IT企业CEO薪水揭密 IBM居高惠普谷歌有点冤
- 网站安全分析:恶意DOS脚本日志分析报告
- 【技术维新 践行精彩】+ IBM的IT服务管理产品与企业运维
- 《2017中国网站安全形势分析报告》之HTTPS的大量普及
- 对企业最重要的十大IT公司:IBM及SAP上榜
- 5月第1周网络安全报告: 境内被篡改网站总数2543个
- pc端的企业网站(IT修真院test9)详解一个响应式完成的pc端项目
- 企业如何保证网站安全