本文基于去年的威胁和攻击，对2009年的安全信息简单预测。但是，今年和不久的将来要面对的新威胁和过去所面对的看起来类似。

　　无线风险继续

　　有很多种方法通过无线漏洞攻击客户系统，就像通过Karma和karmetasploit所看到的。Karma是一种分析无线客户端安全性的攻击的工具；karmetasploit是作为无线访问点和对无线客户端所有探测请求作出回应的工具。
 
　　我认为很多企业都是五年前捕获的Wi-Fi威胁携带者的。wire-side攻击的概念在很多管理圈中越来越有名，但是这花了很长时间。当无线出现一段时间的时候，很多无线安区那策略都是简单的不要使用天然不安全的WEP策略。糟糕的是，需要更加关注其他的脆弱的协议和其他无线攻击的多样性。例如，我们传统地在一个网络边界内查看风险。随着我们使用无线连同扩展网络，厂商使用了新的协议和认证方案，例如不同的TKIP， LEAP and PEAP。在企业中采用协议之前，我们需要全面的研究厂商所使用的这些协议。

　　操作系统攻击归来

　　虽然操作系统攻击的有效性和名声没有恢复2003-2005的水平，但是恶意黑客很可能还将重新发现操作系统漏洞。过去几年已经有很多研究是针对浏览器攻击，例如跨站脚本（XSS）、跨站请求伪造（XSRF）和clickjacking。但是如果这些技术和操作系统漏洞一起使用呢？

　　我认为我们开始看到越来越多的混合威胁，他们以Web服务器和浏览器中的弱点为目标，而同时也对操作系统造成伤害。如果攻击者可以攻击一台机器，他们就能利用操作系统再攻击内部系统，这种攻击可以允许黑客在很大程度上扩大他们策略的伤害程度。因为这种混合，我们需要开始识别可能的安全盲点，例如桌面上安装的应用。我们还需要开发可是识别服务器和操作系统上的应用中漏洞的机制。

　　更加关注杀毒产品

　　Metasploit 3.2的发布是分水岭。随着安全攻击平台的能力可以自动编写恶意负载，现在攻击新手也可能绕过企业的杀毒软件。使用一些简单的命令，黑客就可以激活恶意软件，绕过目前大部分（还可能是全部）的基于特征库的杀毒产品。

　　这种趋势很长时间之前就开始发展了。但是，我认为2009年将会出现使用这些技术攻击目标位置的攻击。采用Metasploit创建部分的蠕虫或者就可以提供有限的功能，因为杀毒厂商可以很快的发布新的特征码。但是如果以特别的目的针对企业——例如国防部、信用卡公司或者用于卫生信息的公司——就会很快受到损害。不需要很长的时间和持续的攻击，黑客就可以使用Metasploit进入，或者他们想要的东西。

　　企业也可以选择寻找包含应用探索法的安全产品，这类产品通过对不合适行为而不是特征码的识别恶意软件。安全产品还可以包括应用白名单技术。

　　用户Web冲浪的更多限制

　　当很多企业都关注主要的威胁携带者的时候，有件事儿比其他的更加突出：企业用户Web冲浪。到底为什么很多公司都允许他们的用户使用互联网呢？我的理解是很多公司需要他们的用户可以做研究，但坏死很多企业允许这类活动是因为他们想要把环境变成“工作的好地方”。在某些观点上，每个公司都需要平衡允许用户上网和攻击风险之间的利弊。
 
　　目前我帮助客户解决的几乎所有攻击都是内部用户浏览带有恶意软件的网站造成的。目前，这是攻击者绕过企业采用的闪光的IDS/IPS/NAC/AV技术的最简单的方法。
 
　　即使企业需要允许特定的一部分用户访问互联网，也要使用现有的强大的方法。例如，可以通过分段VLAN把这些系统和网络中的其他部分隔离。

　　培训预算缩减

　　培训预算在2009年将会缩减，这一点毫无疑问。我认为很多企业都在削减安全资源，这更多的是收入和预算全面缩减的条件反射。信息安全不是不会发展的。威胁总是在不断地进化，而企业的安全员工必须随之发展。通过削减他们的安全培新预算，有些企业可能会落后。尽管如此，我认为在今年下半年将会出现安全培训预算的上升，因为企业开始认识到将出现的威胁的严重性。由于我们职业的动态特征，总是需要培训，保持与最新攻击携带者的一致，更重要的是进行防御。

　　很少厂商说：“Hack Proof”

　　最后，只是一个小请求。最近我看到越来越多的厂商在使用这个词。对于将在产品销售商使用这个词等厂商我有一些简单的建议：不要这么做。你只是在向恶意黑客挑战，让他们攻击你的产品，而有了足够的时间和精力，最终任何位置都会受到攻击。这也是不依靠任何产品或者方法的深度防御对企业这么的原因。最后，企业应该总是要提防任何产品的产品销售口号，他们斯和很好很正确，但是他们可能是。