面对OpenSSL漏洞 相关网站和安全厂商迅速反应

日前，被曝出的OpenSSL“HeartBleed Bug”被认为是2014年度最严重的安全漏洞，OpenSSL在漏洞公布当天已发布了修复版本。相关网站和安全厂商对此都纷纷做出了反应。

漏洞被公布当天下午，大量网站已开始紧急修复OpenSSL高危漏洞，修复此漏洞普遍需要半个小时到一个小时时间，大型网站修复时间则更久。

Facebook、雅虎和谷歌发言人当天均对外表示，已经给关键服务打上了补丁。阿里巴巴、腾讯等多家国内网站也通过官微宣布已修复了漏洞。

腾讯电脑管家紧急联合安全联盟上线OpenSSL漏洞预警功能，凡是存在此严重漏洞风险的网站，均被腾讯电脑管家拦截，同时相关网站也将会在腾讯QQ聊天窗口中给予拦截。 对于受“心脏出血”漏洞影响的网站，安全联盟在该相关专题发布网站安全解决方案：

1、 尽快使用专业级的安全防护工具抵御黑客入侵;
2、申请安全联盟&电脑管家“双V”认证，可以获得专业的安全检测和漏洞预警服务，解除网站风险提醒; 
3、 咨询安全联盟修复专家获得修复支持(升级OpenSSL 1.0.1g，使用-DOPENSSL_NO_HEARTBEATS参数重新编译低版本的OpenSSL以禁用Heartbleed模块)。

安全厂商也积极投身到这场漏洞应对大战中来。

华为安全能力中心在第一时间获取HeartBleed漏洞后24小时内完成了技术分析并给出应对措施。针对漏洞的技术原理，华为安全产品快速给出应对解决方案：实时开发针对性的签名，利用请求包的长度和次数做检测，防止利用此漏洞做渗透攻击。华为全系列安全产品已发布针对该漏洞的安全公告，并及时发布了该漏洞的签名规则，升级特征库更新安全能力。

Fortinet第一时间对漏洞进行研究和响应。Fortinet下属FortiGuard全球网络安全威胁与响应实验室已经完成对受影响的版本进行IPS签名库的升级，并且同步推送到部署在全球所有Fortinet设备上。虽然从漏洞爆发到发布官方正式补丁Fortinet用了一天的时间，但是Fortinet的IPS引擎仍然可以进行安全防护。对于很多安全威胁来说，虚拟补丁是很重要的应急机制，而且针对OpenSSL的攻击，尤其是此次Heartbleed是有比较清晰的流量异常模式，对于大多数HTTPS网站来说，数据包长度为8，匹配时把最后那两个长度字节拿掉比较即可，只需简单修改规则后就可以进行拦截，虽然这样会产生一定程度的误报，但是作为漏洞修复的空档期，是可以接受的。因此Fortinet的工程师们第一时间为客户推送了使用IPS虚拟补丁来防范此次安全漏洞。截止到发稿,受此漏洞影响的部分FortiOS版本Fortinet均已发布了官方补丁，并通过全球FortiGuard网络推送到终端用户。

知道创宇公司旗下网络空间搜索引擎“钟馗之眼”(ZoomEye)的监测数据显示，当前国内依然有超过20000个交易类网站存在“心脏出血”漏洞危害，安全联盟呼吁所有网站站长及时行动起来，修复网站漏洞，以保证自身及网民的安全。