正反观点验证2010年10大安全挑战

【自1月5日外电头条】计算机技术总是在不断发生变化，应用程序正在大步朝云迁移，移动设备改变了人与人之间的通信和连接到互联网的方式，实时信息已经变得越来越重要，安全威胁也在发生变化。

我们刚刚走进2010，正是时候思考未来的安全威胁，上个月的最大威胁与圣诞节有关，网络犯罪者变得越来越聪明，他们可以通过有线网络和无线网络进入计算机，盗走有价值的信息。

针对这种安全威胁，需要在安全防御方面有投入，对于大多数IT专业人员而言，最好是在黑客读取数据时自动接收到一封标题为“我正在偷取你电脑中的数据”的电子邮件。

虽然预测未来的安全挑战可能会弄巧成拙，黑客们可能会故意绕开这里预测的领域，转而寻找其它突破口，但思考一下过去和当前的威胁，可以深入了解明天即将面临的威胁也不失为一件好事。

下面是对可能出现的计算机威胁做出的预测，仅供参考。

1、垃圾邮件、网络诈骗开始转向社交网络和实时信息

来自Websense，Breach Security，IBM互联网安全系统公司X-Force（IBM ISS X-Force）和Symantec的安全研究人员普遍认为网络犯罪人员会扩大对社交网络站点的攻击，如Facebook，MySpace和LinkedIn，以及实时社会化网站，如Twitter。使用Google和Bing搜索引擎，更不用提Google Wave集成的实时功能，骗子知道他们的机会越来越多，要辨别一个恶意链接或文件往往需要很多时间，无论采取什么对策，总会有一些受害者。

反方观点：对于那些从来没有使用过社交网络的人，这种危险就不存在，速度可能是Google最珍视的目标，但也增加了危险的速度。

2、云中的犯罪

安全厂家AVG，M86和RSA预测犯罪人员会攻击云服务，并利用它们来指挥和控制攻击，网络犯罪工具箱已被广泛使用，对于网络犯罪人员来说，转移到云服务只是一小步，IBM ISS X-Force研究人员预计会有更多的“攻击作为一种服务”出现，当亚马逊AWS被用于托管一个恶意命令和控制服务器时，时很难做出努力去解决的。

RSA产品管理兼战略副总裁Sam Curry说：“2010年，如何缓解云服务风险将会备受关注”。

反方观点：虽然网络犯罪人员已经尝试使用如Google的App Engine来控制攻击，但云服务提供商一般都会进行监督，更不用说它需要钱购买才能使用，而那些不安全的网站才是托管恶意软件的理想场所，又何必要冒充付费客户，去破坏其它人的机器呢。

3、劫持信任网站

攻击技术的发展已经威胁到受信任的网站，如果成功在受信任网站上加载恶意软件，危害面将会非常大，SQL注入技术已经被证明是非常成功的攻击技术，对于犯罪份子，通过受信任的第三方来传播恶意软件显得更有实际意义，成功率会更高。

反方观点：随裁员浪潮和.com泡沫的破裂，将会涌现大量的博客，也没有那么多人去经营网站了，犯罪份子有机可乘的目标不会太多，加之人们开始转向移动电话，Tablet和Chrome OS上网本，这些设备将会减少用户出错的机会，因此安全也将会得到改善。——王文文：到2010年1月5日为止，Chrome OS上网本对国内用户还只是个传说，笔者测试完流出来的Chromium OS（Chrome OS开源版）之后，感觉Chrome OS的安全性未必像传说中那么牢靠。

4、苹果电脑（最后）将会受到大量的影响

安全公司一直对Mac电脑垂涎欲滴，Websense公司表示，2010年我们将看到对Mac OS X中Safari的攻击，黑客将会更加关注Mac平台。

Symantec也同样担心，未得到保护的Mac用户可以购买其杀毒软件，每年只需支付30美元，其它安全公司如Sophos也持同样的看法。Zscaler公司认为，苹果将会投入更多的资金保护Mac的安全，使其设备具有更好的抗攻击能力。

反方观点：运行安全软件的Mac用户只是为了法规遵从需要，除非Windows市场份额下降80%，或Mac市场份额下降20%，否则是不会改变的，如果有一个漏洞，对Mac影响非常广，那它也可能是Adobe Flash漏洞引起的。

5、更多的搜索结果含毒

利用人们对搜索引擎的信任，网络犯罪份子将会在信任网站上投入更多精力，他们会使用搜索引擎和广告感染未受保护的网站，AVG，Websense和M86预计黑客对搜索结果的破坏将会加剧，同时会利用热点新闻，重大节日灯搜索结果进行恶意软件的传播。

也许2010年将会是网络犯罪人员创建假新闻流行的一年，导致大量的网站感染恶意软件，最终形成一个大的恶意网站链。

反方观点：Google和微软将继续合作，保证搜素和广告的安全，它们充分认识到不能失去用户的信任，预计将会大张旗鼓地打击流氓广告网络。——王文文：Google很早就开始做这方面的工作了，但是微软Bing和百度现在还没见有这方面的动作，但国内有金山网盾之类的产品已经带上这方面的防护功能。

6、越来越多的僵尸程序

僵尸网络将给犯罪份子带来更多的收入来源，对于安全厂商，它们认为僵尸程序将会变得更为复杂，Symantec声称僵尸网络已经成为网络犯罪份子发起攻击的基础。

Websense 的CTO Dan Hubbard说：“也有一些关于僵尸程序的好消息，那就是在安全社区和执法方面加强了交流，相对过去，有更多的僵尸网络被阻止和瓦解”。

但由于僵尸网络能给犯罪份子带来现金收入，他预计更多的犯罪团伙会选择更容易构建僵尸网络的途径：例如劫持一个由其它犯罪团伙操纵的僵尸网络，这种冲突会限制僵尸网络的增长。

反方观点：僵尸网络不仅要防卫安全专家，还要防卫其它僵尸网络操纵者，Websense公司认为僵尸网络团伙之间会发生冲突，类似的已经出现过Bredolab僵尸网络关闭Zeus/Zbot感染的计算机。

7、使用盗版风险增大

09年12月初，微软做了许多努力减少软件盗版，但它接收到越来越多的正版用户的投诉，如果微软不处理，这些用户就会转而使用盗版Windows。

看起来盗版软件越来越容易受到恶意软件的感染，IBM互联网安全系统公司X-Force的研究人员预计使用盗版软件将会更容易遭受恶意软件的感染。

反方观点：难道要所有桌面软件用户都将搬到云中，在云中我们就不用担心伪造问题了？但至少要有人来为我们修改DNS host文件吧。

8、移动安全成为现实问题

Websense的Hubbard说“苹果对App Store的封闭措施和Google对Android Market的开放措施形成了鲜明的对比，在安全领域我们也将看到双方有趣的故事发生”。——王文文：想得到安全公司的青睐，必须得先获得大多数用户的青睐，比如诺基亚。因此很遗憾，iPhone和Android现在还不是安全公司的重点保护对象。

反方观点：IBM ISS X-Force的研究人员相信移动电话攻击仍然很少，在移动电话上基于网络的攻击可能也相对罕见，但物理攻击将会上升：抢夺和抓取攻击比网络攻击相对要容易得多，产生的数据和物理项目可能被出售。另外，由于失业率已经超过了10%，未经请求的电话收集可能会成为一个迅速发展的行业。

9、一些大的盗窃丑闻内幕将会浮出水面

正在进行的网络安全改进将会促使有组织的犯罪团伙开始思考未来的打算，或许明年在某个地方，某个能够访问大型组织数据的人将会为网络犯罪团伙工作。身份盗窃资源中心预计，不遵守工作场所安全协议的个案将会上升。

反方观点：出现这种事情，组织一般会掩盖事情真相，至少会掩盖到2011年，这个预测在明年被证明是错误的也很困难。

10、点击劫持（Clickjacking）反击

Zscaler相信点击劫持漏洞 — 一种通过修改Web应用程序用户界面欺骗用户的方法，如使用一个隐藏按钮 — 会使攻击更加频繁，WhiteHat 安全公司的创始人和CTO Jeremiah Grossman，SecTheory公司的创始人和CTORobert “RSnake” Hansen披露了2008年10月的技术信息，虽然已经通过努力减轻了点击劫持风险，Zscaler说这项技术仍然有效，特别是在社交工程攻击中。

反方观点：当你可以启动一个窗口，显示一个虚假的安全扫描，何必让一无所知的用户为伪造的安全软件付费呢？无知的确是致命的弱点，是很难用补丁修补的。

【.com译稿，非经授权请勿转载。合作站点转载请注明原文译者和出处为.com，且不得修改原文内容。】

原文：Top 10 Security Challenges For 2010 作者：Thomas Claburn

【编辑推荐】