恶意软件谷歌忙 Firefox成漏洞王pc软件 文章资讯 手机软件

您当前的位置→图文中心新闻资讯业界快讯恶意软件谷歌忙 Firefox成漏洞王

恶意软件谷歌忙 Firefox成漏洞王


2009/3/13  编辑:佚名 来源:本站整理  关键词:

恶意软件谷歌忙 Firefox成漏洞王

 

【51CTO.com 独家特稿】近期安全方面值得关注的新闻不少, 微软本周都将推出安全更新, 虽然也算是准时, 但和上月愈演愈烈的漏洞攻击活动系列比起来还是稍嫌晚了点。 说到漏洞就不能够不说与之相关的软件安全问题, 软件安全已经现在开始为软件厂商所关注, 但软件界仍较缺乏对软件安全项目来进行有效评估的必备工具, 本周新鲜出炉的软件安全项目测评标准是否能担此重任?

搜索引擎排名本是方便商家网络net推广的必备工具, 但无孔不入的恶意软件也现在开始使用这一必备工具来进行传播, 本期回顾笔者将和网友朋友们一起关注Google Trends是怎么才能被恶意软件所利用的。 威胁趋势方面, 日渐流行的轻省笔记本成为黑客攻击用户数据信息的新目标, 而最为古老的黑客手段之一——战争拨号(War dialing)也重新现在开始成为黑客攻击企业用户的必备工具。 就在本期回顾的最后, 笔者将为网友朋友们介绍说明一个开源的新安全必备工具, 并同一个时间预先安排准备了两篇推荐阅读文章。

本周的安全威胁等级为中。

漏洞攻击:

微软发布出来3月例行安全更新;报告显示去年Firefox漏洞远多于其他浏览器;关注指数:高

尽管这几个星期以来, 各种针对微软产品漏洞的攻击和相关的恶意软件会一直不断是安全圈子里的热门话题, 但微软还是没有像去年11月那样推出多个紧急补丁, 而是按部就班的发布出来例行的安全更新。 本周又是微软每月推出例行安全更新的日期, 根据记录微软之前发布出来的3月安全更新公告, 微软将就在本月例行安全更新中为用户提供3个补丁程序, 都是针对Windows及其相关组件中存就在的安全漏洞。 其中的MS09-006 Windows图像处理漏洞, 会导致Windows就在处理EMF和WMF图形文件程序时出现不可预测的行为, 从而运行恶意代码, 黑客将有可能用该漏洞制作成传播恶意软件的网页木马, 并可以通过伪造或攻陷的合法网站威胁用户系统system安全。 笔者主张, 用户应尽快从微软的站点下载或可以通过Windows Update服务应该针对该漏洞的补丁程序。 另外, 值得提醒一定要注意的是, 微软仍没有针对上个月就曾发布出来安全公告的Office Excel中存就在的远程代码执行漏洞提供补丁程序, 因此, 用户就在使用Office Excel来处理各种文档文件程序时, 仍应该提醒一定要注意一定不要启动来自不可信来源的Excel文件程序, 以免感染恶意软件并造成敏感信息的丢失。
就在目前最不安全的浏览器是哪一个?本周安全厂商Securnia发布出来的研究报告可以能够给网友朋友们一个参考答案。 根据记录Securnia这份2008年浏览器安全研究报告, 开放源代码的浏览器Mozilla Firefox拿到了“漏洞最多的浏览器”这一称号, 因为就在2008年全年Firefox共报告了115个不同安全等级的漏洞, 这个数字几乎是IE、Apple Safari等其他浏览器的就在2008年漏洞数的两倍。 不过漏洞多并不一定就说明是最不安全的, Securnia的报告也显示, Mozilla Firefox的漏洞修补速度也比其他厂商浏览器快得多, 漏洞修补最慢的是微软IE, 就在2008年曾有漏洞就在公开后294天才发布出来安全更新的历史。 笔者认为, 浏览器的选择中其实主要要看使用环境和用户习惯, 漏洞数只能作为一个参考指标, 兼容性和稳定stable性等其他指标也同样重要, 更重要的是用户要培养安全浏览的习惯, 避免登录来源不明的网站, 并保证系统system补丁和反病毒软件等为当前最新, 这样才能尽有可能的保证用户浏览网站时不受恶意软件的侵袭。

软件安全:

Fortify和Cigital推出软件安全项目测评指标;关注指数:中

软件安全就在近几年已经慢慢的为软件厂商所接受, 成为软件厂商就在开发新产品时必定考虑的一个关键因素, 几个领先的软件厂商也纷纷推出了各自的软件安全标准, 但就在目前就在怎么才能成功的实施一个软件安全项目这个问题的解答上, 许多软件厂商仍处就在比较初级的探索阶段。

本周业界领先的软件安全厂商Fortify和咨询厂商Cigital合作推出了一个新的软件安全项目测评指标, 就就在协助软件厂商实施软件安全项目方面提供了一个很好的指导。

Fortify和Cigital结合了就在目前市场上应用最为成功的九种不同软件安全标准的长处, 研究人员还广泛的访问了包括EMC、微软、Adobe等知名软件厂商就在内的25家厂商, 从中吸取了很多软件安全领域的经验和教训, 最后形成了这份名为《构建安全的成熟模式(Building Security In a Maturity Model, BSIMM)》的白皮书, 有兴趣的网友朋友可以能够从www.bsi-mm.com网站获取这份白皮书的当前最新版本。

笔者通读过这份白皮书, 认为确实很适合软件企业计划并实施软件安全项目, 并衡量当前正就在实施的软件安全项目是否足够完整和有效。 笔者也将就在未来的时间内更多的关注软件安全相关的技术和理念, 并将用一系列的专题为网友朋友们介绍说明软件安全领域的知识, 敬请期待!
恶意软件:

恶意软件借Google Trends扩散;关注指数:高

搜索排行榜是搜索引擎为方便用户去寻找到最热门信息而推出的一个有效必备工具, 广大的商家也可以能够可以通过搜索排行来推广我自己的商品, 然而根据记录反病毒厂商最近一段时间的研究结果, 恶意软件也现在开始学着利用搜索排行来“推销”我自己。

本周来自反病毒厂商McAfee Avert Labs实验室的研究人员称, 就在目前已经有不少恶意软件作者可以通过用于分析用户搜索习惯的Google Trends, 来分析用户最近搜索的热门关键词, 之后将带有恶意软件的页面布置设置相同的关键词并使用搜索引擎优化的手段来进行优化, 当用户搜索这些热门关键词时, 带有恶意软件的页面就一定会出现就在搜索结果的前列。 如果用户不小心用鼠标点击了这些恶意网站, 就有有可能感染各种以盗窃用户信息为目的的恶意软件。

恶意软件这种传播方法并不算很新颖, 去年10月份, 就曾有研究人员警告网络net犯罪集团正利用类似的手法来传播恶意软件, 这一次McAfee的警告显示已经有相当多的恶意软件现在开始使用搜索排行来进行扩散的这一趋势。

另外, 也从侧面暴露出一个问题:各搜索服务提供商的搜索安全技术, 并不像它们所声称的那样拥有高准确率。 笔者主张, 用户就在使用搜索引擎时, 一定不要随意用鼠标点击陌生的网站搜索结果, 哪怕是排就在搜索结果前列, 说不定它就是一个黑客精心设计design的恶意网站, 另外有个小诀窍网友朋友们也可以能够试试, 使用搜索引擎提供的快照功能会有一定的保护效果。
威胁趋势:

War Dialing攻击的新发展;轻省笔记本成为黑客新目标;关注指数:高

战争拨号(War Dialing)是历史最为悠久的黑客攻击手段之一, 其实施过程并不复杂, 黑客可以通过电话调制解调器向某个企业的电话号码来进行拨号, 如果正好某个号码上正好连着调制解调器, 黑客就有可能可以通过该调制解调器建立连载, 并最后进入目标企业的内部网络net。

随着各种宽带和超高快速网络net技术的兴起, 以及其他攻击手段的快速发展, 许多新生代黑客并不知道传统的战争拨号攻击。 不过黑客圈中并没有放弃对战争拨号攻击的研究, 早就在2002年就曾有一个研究人员声称90%的企业都可以能够可以通过调制解调器网络net进入其内部网络net, 而就在7年后的就在今天, 随着VoIP等新技术的成熟和广泛应用, 调制解调器网络net仍然是许多企业忽视但又现实存就在的严重安全威胁, 尤其是使用了远程监视和数据信息采集系统system(SCADA)的企业用户。

知名安全必备工具Metasploit的作者就在目前就正就在开发一款名为Warvox的企业电话系统system审计软件, 该必备工具实际上就是利用VoIP技术, 对指定范围的电话号码来进行战争拨号攻击, 据作者称, 该必备工具只有请求需要一个标准的宽带连载和标准的VoIP账户, 而无需大量的电话线路, 并且能够以每小时1000个号码的速度来进行扫描。 笔者觉得, 虽然战争拨号技术历史已经很悠久, 但要说它是完全过时的也有失偏颇, 如果是就在合法的渗透测试或司法取证中, 这款必备工具的合理使用说不定就一定会起到出人意料的效果。

自从2007年华硕最先是推出Eeepc以来, 以低成本和轻小为卖点的轻省笔记本(Netbook)就现在开始广受用户的欢迎, 大多数的电脑计算机厂商也纷纷推出了此类产品。 不过由于轻省笔记本就在机能和软件配置上与当前主流的笔记本电脑计算机有较大的差距, 轻省笔记本正日益成为黑客攻击的新目标。

就在目前轻省笔记本大都使用Intel和VIA两家厂商的低能耗CPU, 为了节省成本, 内存大都是512M或1G, 虽然能够流畅运行Windows XP和定制的Linux, 但如果运行较多程序, 速度和电池寿命上的衰减还是比较明显的, 用户大多倾向于最简化轻省笔记本上的系统system和软件, 就在轻省笔记本使用反病毒或防火墙等标准安全软件的用户也不多。

因此, 轻省笔记本用户就成为黑客的新攻击目标, 安全软件的缺失使得这些用户很容易感染各种恶意软件, 而且轻省笔记本的便携性也让用户访问外界wilan连载的机会增多, 也增添了用户不安全使用wilan连载造成的敏感信息泄漏风险。 笔者认为, 尽管有可能会导致系统system运行减慢, 轻省笔记本用户就在条件允许的情况下还是应该安装反病毒软件, 选择中占用系统system资源较少的即可;同一个时间一定不要随意就在外界的不加密wilan连载上使用我自己账户等隐私信息, 以防止我自己的隐私信息就在不经意间落入黑客手中。
必备工具推荐:OSSEC 2.0

OSSEC是一套功能强大的开放源代码主机IDS(HIDS), 它能够执行主机日志分析、文件程序完整性检查、Rootkit检测、实时警告和响应等功能。 本周OSSEC的当前最新版本2.0推出, 除了上述功能外, 还多了策略支持、多语言、新报告必备工具等新特性, 并能运行就在Windows和Unix的系统system上, 推荐网友朋友们就在服务器上安装使用。 OSSEC的官方官网网站为:http://www.ossec.net/main/ossec-v20-released
推荐阅读:

1) 促进安全战略的5个原则;推荐指数:高

怎么才能建立一个高效率的信息安全战略, 会一直不断是企业实施安全管理的核心内容, 当前的企业和信息安全专家除了要了解技术之外, 熟悉怎么才能将安全技术和业务紧密结合更为重要。 Forrester Research本周提供的《促进安全战略的5个原则》, 可以能够作为企业实施安全战略的一个有益参考, 推荐有兴趣的网友朋友阅读一下。 文章的地址如下:
http://www.itnews.com.au/News/98122,five-principles-underpinning-robust-security-strategies.aspx

2) 怎么才能防止元数据信息泄漏您的隐私?推荐指数:中

前两期的回顾笔者曾提到过元数据信息对用户隐私信息有可能造成的威胁。 Darkreading.com的新文章《怎么才能防止元数据信息泄漏您的隐私》就对这个问题提出了几个主张, 对隐私保护有兴趣的网友朋友可以能够从以下地址读到这个文章:
http://www.darkreading.com/insiderthreat/security/vulnerabilities/showArticle.jhtml?articleID=215800964&subSection=Vulnerabilities+and+threats

相关文章
  • 玩王者荣耀时,哪些让你感受到了天美的深深恶意?
  • 勒索病毒攻击情况缓解 黑客组织欲出售恶意代码
  • 比特币勒索事件,VM虚拟机内的恶意程序测试指南
  • 教育部否认大规模感染勒索病毒:安全厂商恶意放大病毒影响
  • 中国移动称新发现安卓恶意软件:数万用户已中招
  • 安卓手机如何避免恶意APP的入侵
  • 恶意网站HOSTS屏蔽文件教程
  • 手机卡恶意补卡盗刷漏洞
  • 联想谈预装“恶意”软件:是我们搞砸了
  • 2014年全球感染恶意软件移动设备同比增25%
  • 发表评论
    阅读排行
    相关热门
    网站帮助 - 广告合作 - 下载声明 - 网站地图