思科于近日发布其2009年《年度安全报告》，报告揭示了社交媒体（尤其是社交网络）对网络安全的影响，并探讨了人（而非技术）在为网络犯罪创造机会方面所起的关键作用。《年度安全报告》还指出了2009 思科®网络犯罪视频的优胜者，并探讨了云计算、垃圾邮件和全球总体网络犯罪活动等信息技术专业人士继续面临的问题。

　　社交媒体在2009年经历了爆炸式增长。仅Facebook的活跃用户群在今年就增长至3倍，达3.5亿人。社交媒体的使用预计将在2010年继续增长，尤其是随着更多组织认识到社交网络作为必需的业务要求的价值。社交网络已经迅速成为网络犯罪的温床，因为这些网站的成员过于信任他们社区的其他成员，没有采取阻止恶意软件和计算机病毒的预防措施。小漏洞、不良用户行为以及过期的安全软件结合在一起会具有潜在的破坏性，可能大幅增加网络安全的风险——《年度安全报告》还提供了这方面的更多信息。

　　思科2009年《年度安全报告》的亮点包括：

　　2009年思科网络犯罪展

　　首届思科网络犯罪展对坚持在与网络犯罪作斗争第一线的安全专业人士表示感谢，同时指出了某些在2009年为互联网用户造成重大问题的攻击：

　　• 最胆大妄为的犯罪行为：Zeus。一种通过特定的网络钓鱼和偷渡式下载传播恶意软件的木马病毒，Zeus 可越过登录名和密码，窃取网上银行凭证。廉价的工具包可以让网络罪犯创建Zeus的变种，它们很难被防病毒程序检测发现。2009年，全球范围内受到Zeus僵尸网络感染的计算机有将近400万台。

　　• 网络犯罪“希望之星”：Conficker专门研究组。该小组由安全社区与行业的成员组成，显著降低了Conficker网络蠕虫的影响，该病毒预计在2009年4月1日开始爆发，将造成严重破坏。

　　• 最引人注意的新型犯罪：Koobface。该蠕虫病毒可自我再生，于2008年首次出现在Facebook网站上，之后于2009年出现在Twitter中。Koobface引诱用户点击一个YouTube视频链接从而传播蠕虫病毒。超过300万计算机受到此恶意软件变种的感染。

　　重要发现

　　• 垃圾邮件：社交网站可能是网络犯罪寻找新的受害者的地方。然而，垃圾邮件仍然是诱骗人们下载恶意软件和怂恿他们购买诸如假药等商品的可靠手段。《年度安全报告》估计，2010年全球范围的垃圾邮件量与2009年的水平相比，可能会增加30-40%。然而，思科自己的SensorBase数据显示，美国和其他经济发达国家（例如欧盟内部的国家）开始在他们各自的国家关闭垃圾邮件僵尸（spam zombies），而发展中国家（包括印度和越南）已经成为垃圾邮件日益增长的源头。事实上，美国不再是第一大垃圾邮件发送者。2009年巴西跃居第一。

　　几个世界经济领先的国家在2008年和2009年间垃圾邮件量有所降低；然而，发展中国家的垃圾邮件量呈现上升趋势。

　　• 云计算：尽管在10年之前企业将敏感数据保存在企业防火墙之外还不可想象，而现在随着云计算和主机托管应用的出现，这种做法变得越来越常见。许多用户如此信任云计算，以至于他们对于何人托管他们的敏感数据以及其数据的安全程度都很少进行尽职调查。《年度安全报告》建议寻求使用外部服务的组织应要求服务提供商详细地说明他们的数据安全措施。

　　• 思科网络犯罪投资回报（CROI）矩阵：今年的《年度安全报告》首次推出了思科CROI矩阵，以波士顿咨询集团著名的“增长-份额矩阵”为基础。CROI分析了2010年何种类型的网络犯罪将为成为“成功者”以及“失败者”。该矩阵根据2009年的表现，预测大量的银行业Trojan Zeus以及其他获利丰厚、易于部署的Web exploit将会在2010年大行其道。Scareware、间谍软件、点击欺诈、预付费用欺诈和制药垃圾邮件将继续成为摇钱树。“有待考察”的赚钱工具包括社交网络exploit，例如Koobface蠕虫，现在才开始崭露头角。

　　思科CROI矩阵预测了2010年将成为“成功者”以及“失败者”的网络犯罪技巧。

　　• 思科全球敌对资源市场份额（ARMS）竞赛指数：为了跟踪全球受到损害的资源的整体水平，思科公司开发了全球敌对资源市场份额（ARMS）竞赛指数。随着时间的推移，该指数将让人们更深入地了解网络犯罪社区在危害企业和个人活动方面的成功率。 2009年，该指数将对手控制下的资源水平评定为7.2，这表明5-10%的个人电脑受到损害。

　　支持性评语：

　　• Patrick Peterson，思科院士： “用于业务和娱乐这种混合目的的社交媒体加剧了网络安全问题；问题的来源往往是人而不是技术。如果对安全威胁没有正确的认识，我们会自然而然地信任‘好友’，这一倾向会让我们将自己、家庭电脑以及企业网络暴露在恶意软件的威胁之下。企业已经越来越多地认识到社交媒体的价值，但是这些组织同时要提供适当的培训和教育，以确保雇员避免损害他们自己以及他们的业务。”