赛门铁克发布最新白皮书——《基于Web的攻击》

智勇双全地“反”攻击

今年3.15晚会上曝光的种种个人信息泄露以及来自网络的威胁，是不是让你对网络有点儿望而却步？相信，曝光的目的不是为了让大家逃避，而是要更好地正视它，对待它。毕竟，因噎废食的事情只能是一个笑话。

不得不承认，在网络几近无所不在的当今社会里，全面认识来自网络的安全威胁，已经变得越来越重要和必要了，我们需要谋“智”、也需要谋“勇”。对于网络安全的认识必须象网络的发展速度一样快，甚至更快，毕竟我们遇到的是层出不穷地来自各方面的威胁。这称为“智”。在认识的基础上，拿出最适当的工具和方法来应对威胁攻击，这称为“勇”。

那么当下基于web的攻击出现了怎样的新变化和发展新趋势？该如何应对这样的新变化和形势呢？总的说来，攻击的新变化就体现在其隐蔽性的增强。

蔓延了的信任危机

当下，有一种攻击叫信任。

我们看到，恶意软件已经再也不是恶意网站的专利了，而主流的合法网站也成为了恶意软件的宿主。而信任，则是攻击者所仰仗的关键。攻击者利用了大多数用户对于合法网站的信赖，将合法网站锁定为攻击目标。用户一旦访问该网页时，即便没有再点击任何链接，也会在完全不知情的情况下被成功地影响。攻击者成功地影响了用户的电脑后，就会借此继续开展各种恶意活动。

2008 年，赛门铁克发现在来自808,000 个不同域的网站攻击中，有许多来自主流网站，包括新闻、旅游、联机零售、游戏、房地产、政府及许多其他网站。

真地很遗憾地说，只访问合法网站就可以保证安全的观念已经不可取了。在多种攻击手段中，我们看到，有一种叫“偷渡式下载”的十分隐蔽的恶意软件引起了我们的极大关注。
 
完美隐身的偷渡式下载

所谓“偷渡式下载”，即只要用户浏览网站，并且默认允许自动下载可执行内容到用户的电脑，就会受到感染。

首先，攻击者会选择影响一个合法网站，通过SQL注入等攻击方式，将隐藏的IFRAmE文件植入到网站中的某一页或多页。IFRAmE文件在成功植入合法网站后，能够识别当前访问用户的操作系统和网页浏览其版本，以及目前存在的插件漏洞等，进而将被攻击者利用，并展开更有针对性的攻击。植入后的链接会将用户导向另外的恶意网站，用户则将在不知情的情况下受到感染。恶意网站通常会发送包含攻击的多媒体数据到受到感染的用户电脑中，一旦这些内容在用户的电脑上进行播放，攻击者就能够完全掌控用户的电脑。

尽管大多数用户都将其操作系统软件更新到最新版本，但是它的多媒体插件或是文件浏览程序往往已经过时很久。于是，一旦访问受影响的合法网站，这些未能及时更新的软件漏洞就会被攻击者所利用，从而进行远程操控。攻击者通常会在用户系统中安装恶意代码，能够窃取用户的个人信息，并发回至攻击者处。

不知不觉成为黑客的棋子

由于用户缺乏安全防范意识，未能及时更新软件并打上补丁，从而被攻击者利用的事例屡见不鲜。但是，近来攻击者对那些小心谨慎的用户也频出新招，例如利用社会工程学技术。

社会工程学技术并非一个新生事物，常规一点的叫法是信心骗局或欺诈，它指的是欺骗他人从事其根本不想执行的活动的骗术。

在这种情况下，用户不知不觉地成为了黑客的棋子。攻击者所采用的技术有很多，譬如，用户有时访问合法网站需要安装插件播放多媒体内容，而所谓的插件有时很可能是攻击者的恶意软件；当前十分流行的P2P文件共享程序中也被攻击者植入了恶意内容，在用户进行文件共享时便会受到感染；攻击者还会将带有恶意内容的广告公然发布在合法网站上。许多合法网站的弹出窗口，貌似是警告用户进行操作，实则为攻击者传播恶意软件的另一种方式；亲朋好友之间分享博客也要当心，因为攻击者会利用你的“分享”来发动威胁。

小心防范没有期限

面对如此种种不断变化的、越来越隐蔽的攻击方法，用户们只是小心恐怕永远不够。要拿起“武器”，应对之。

首先，用户需要确保经常更新系统上的软件，包括操作系统（例如Windows）、应用软件、网络浏览器以及相关的插件。

第二，至少应该安装一个全面的端点安全产品，这不只是为了防范病毒，更是为了部署启发式文件保护、攻击保护系统和行为检测。

第三，订购最新的安全产品你更新。安全产品的好坏取决于其底层的安全内容。其中包括病毒定义与入侵防护系统特征，它们通常会每天通过网络更新数次，并确保您的安全产品拥有最新的有效防护。更新中的任何错误都可能很快地侵蚀产品的防护能力。

举例来说，试想赛门铁克当前每天提供针对超过 10,000 种新病毒样本的防护。如果一周没有更新，就可能意味着用户错过了针对 70,000 种独一无二的新病毒变体的防护。保持产品订购有效，以主动防护恶意软件使其远离您的系统，同时保护您免受最新威胁入侵，这一点至为重要；

最后，就是时刻保持警觉，小心防范没有期限。