2016年网络安全：向前看不如回头看

与其试图搞清将会发生什么，不如处理好现存的各种问题。

每年伊始的时候，厂商和科技预测师之类的总要对IT安全的未来做一番前瞻预言。这是可以理解的，毕竟能帮助人们辨别即将到来的威胁和新兴趋势。但事实真相却是：对广大IT用户而言，当前现有的威胁才是最应该关注的。

[[162657]]

网络犯罪是一门产业，与大多数现代产业一样，传播速度和市场大小才是成功的关键。这也是为什么漏洞利用工具包，比如Angler、Rig之类的，在2015年大为流行，且将在未来几年继续保持广为传播势头的原因。漏洞利用工具包可以使潜在攻击者轻易侵入用户系统。它不是一次性用过即弃的工具，但确实是为了大规模漏洞利用而设计的。而利用的通路，通常，恰是那些已经被受影响的软件厂商打了补丁的漏洞。

软件厂商发布了补丁程序未必意味着漏洞就不再被利用。你可以看看那些关于修复率的产业调查报告，无论你看的是哪家的报告或数据，2015(或者随便哪一年吧)漏洞修复率从未达到过100%，连逼近都称不上。终端用户修复从来就不是容易达成的任务。漏洞修复问题不是2016新趋势，也不是2015或2014的，但却是任意一年大量数据泄露事件的根源所在。

公平的说，2016年的修复工作应该比前几年更简单些。如今，自动更新机制已经成为众多操作系统和应用程序厂商常用的最佳实践。其中表现最好的，要数谷歌的Chrome浏览器，默认提供自动更新。Adobe的Flash和Acrobat Reader，以及流行开源内容管理系统WordPress同样提供自动更新。

其他科技公司，比如出品Windows的微软和带来OS X和iOS的苹果，自动更新不是默认设置，但都会以明确的方式通知用户什么时候该更新了。

但是，仍然有很多应用程序既没有自动更新系统，也没有适当地集成进操作系统级的通知。有时候，通过App商店，集成更新问题能够得以方便地解决。比如，OS X、iOS和Google Play就提供单一界面供用户更新App。Linux服务器和桌面系统从Linux发行版软件资料库安装更新包也是同样道理。

若是非自动化的更新，检查是否有更新的责任就落到了用户身上。这是老生常谈的问题了，2016年也将继续见证此类威胁。

真正令人惊讶的，是那些已经过时的软件还在被频繁使用的程度。这些过时软件，可以说某种程度上规避掉了自动更新或个人常规进行的更新检查。

更新问题也不总是归咎于用户的不作为。今天的手机世界中，真正的问题是那些不再从手机厂商那里获取安全更新的安卓手机。进一步的风险，则来自于不跟紧谷歌月度更新周期的那些安卓手机厂商。仅过去6个月里，谷歌就发布了93个安全漏洞补丁包。但，尽管谷歌已经为手机合作商准备好了补丁，却不是所有的厂商都能及时向全部受影响的设备发放更新。

综上所述，从桌面系统到手机平台和App应用，每一年都有大量漏洞曝出，但却不是所有的漏洞都会被用户打上补丁。其结果，就是形成了一个任君采撷的巨大果园，让攻击者可以携漏洞利用工具包随心所欲地采摘。画面太美，不忍直视。

IT安全里，另一个一直以来让人无言以对的问题就是：用户密码往往是安全防护中最弱的一环。同样，这不是个新趋势，是自现代IT诞生的那刻起就一直存在的问题。最近几年的变化，是双因子身份验证(2FA)系统的使用增多。

攻击者带着数据库泄露的用户名和密码溜之大吉的情况屡见不鲜。但如果你的账户设置了2FA，这些信息基本等于没用，风险也就相对降低了。这种经验教训，不仅仅是2016，而是每年都应该重新警醒一遍的。

2016 IT安全中应该注意的其他重点，与之前十几年一样，是常见类型的漏洞。在服务器方面，源源不断引发数据泄露的老问题，是SQL注入。这个问题能造成应用程序无法恰当地执行数据库输入验证。可供公司企业扫描SQL注入漏洞的工具很多，修复代码通常也就区区几行。

当然，新的零日漏洞肯定会出现，2016年也免不了要见证那么几个。但若说到数据泄露，大部分泄露事件还得归因于本可以规避掉的已知漏洞。

展望2016的安全，不应该拒绝了解若是回避新的威胁，但更重要的是先要“回头看”。