由于Adobe系统公司Adobe Reader（以前称为Acrobat Reader）的广泛应用，黑客常常瞄准这一软件及其使用的PDF文档来发起攻击，这一点已不足为奇。

　　尽管如此，真正值得关注的是攻击者发现的漏洞数量以及利用漏洞进行攻击的成功率。据McAfee公司Avert实验室2010年第一季度报告，目前恶意的异常PDF文档与28％的恶意软件都有关系，而这些恶意软件又直接与漏洞利用程序（exploits）相关。

　　那么，如何使你的公司免遭来自PDF的攻击呢？难道要彻底限制PDF的使用吗？这就是本文要重点讨论的问题。

　　我们先说第二个问题。利用PDF文档作为信息交流的一种手段是非常普遍的，对于大多数公司而言，如果想有效的制止PDF文档在内部的使用，需要在内部应用程序、政策和规程方面进行重大的改革。由于其他大多数公司会继续使用PDF文档，所以在可预见的将来，你的公司将面临与第三方如何发布和共享信息的问题。实际上，因为它们是必不可少的正常业务活动，所以使用PDF文档必然会有风险。这便意味着，企业需要找到处理PDF文档的最佳措施。 

　　要做到这一点，首先需要制订一个可接受的使用指南，其中应明确规定，在任何情况下均不允许打开来源不明的PDF文件。基于PDF的攻击通过使受害者打开受病毒感染的PDF格式文件进行的，因此禁止打开附在垃圾邮件或意外邮件上的PDF文件，将大大降低受病毒感染的风险。在安全意识培训课程上，上述措施应该被提到，这些培训课程的重点也应该放在你的安全和可接受的使用政策上，包括电子邮件和电子邮件附件。即使是为了防止那些受感染附件的潜在危险，在公司墙壁上贴几张海报，也没什么不妥。 

　　但是，如果电子邮件看上去像是来自一个同事呢？你的政策应当说明，如果收到意外的附件，在打开之前，收件人应与发件人核实其真实性。这个过程可能显得有些繁琐，但发件人可以通知收件人：他们在发送PDF文件之前会发送一条短消息。

　　另一个PDF攻击方法是引诱用户访问恶意网站，然后调用Adobe Reader打开受感染的PDF文件。如果顺利的话，你所制订的可接受的使用政策和安全意识培训应该阻止员工点击主动发送的电子邮件中的Web链接，而你的杀毒软件应当提供某种形式的URL过滤，以提醒用户不要浏览一个已知的恶意网站。不过，他们在日常工作中依然有可能会意外地访问到恶意网站。

　　为了确保用户在自己的浏览器打开PDF之前就收到警告，你应该要求用户设置PDF文件的处理方式。例如，对于Firefox，可以通过在“工具>选项>应用程序”选项卡中设置为“总是询问”来改变。

　　有人质疑是否有必要在PDF文件（或者任何与此相关的文档类型）中嵌入可执行代码。但实际操作起来，如果这个功能被禁用，许多用户也并不会过于在乎。因为在不用JavaScript的情况下，他依然可以阅读PDF文件。如果你觉得你的公司离不开PDF的话，可以在Adobe阅读器中禁用JavaScript，这将有助于防御一些较常见的攻击。

　　和其他类型的攻击一样，通过确保用户不会以不必要的高权限登录系统，这种PDF攻击可以被成功的避免。典型的企业用户几乎不需要对自己的电脑具有管理员权限。这使得很多攻击者很难完全控制、或很难通过PDF文件进行攻击。

　　显然，必须通过定期修补和更新杀毒软件、反恶意软件以及URL和垃圾邮件过滤器来加强这些安全措施，它们应当有助于阻止除了零日攻击以外的其他所有攻击。Adobe已经改变了自己对软件安全的做法，现在它正在模仿微软的安全开发生命周期以开发自己的安全产品生命周期模型。它也在考虑为Reader和Acrobat每月发布一次补丁。这些都是积极的发展，希望这些变化所带来的好处可以使Adobe的软件在未来更安全，但同时你需要采取如上所述的PDF安全最佳措施，以减少由于使用PDF文件而带来的潜在危险。