恶意网站

　　2012年只有14个新增的零日漏洞，但是它们产生的威胁极其巨大。比如《赛门铁克揭示2012年三大安全威胁（一）》提到的水坑攻击就是利用了零日漏洞。

　　卜宪录说：“针对web上有很多零日漏洞被黑客利用拿来做水坑攻击，针对WebHTTP的攻击力量过去一年增长了30%，这带动了针对网页攻击数量的提升。针对网页攻击有很多种形式。比如攻击一个网站web管理员的权限，或者通过社交媒体/社会工程学的方法，或者攻击这个Web service背后的基础架构，然后获取管理员的权限。更高端的方法是在合法网站上花钱买广告或者外挂插件，但当你点进去的时候就会被链接到非法网站里面去，那里已经被挂了木马、被种了病毒，所以很容易被感染。所以透过合法的途径很容易获得一个网站的控制权。黑客不需要攻击本来这家网站或者找出漏洞，而且攻击工具包越来越普及，所以攻击一个网站变得非常容易。”

　　这里有一个统计数据，通过赛门铁克大情报的网络搜集了很多网站的信息。53%的合法网站（不包含的非法网站）都是有未修补漏洞的，24%的合法网站都是有高危险漏洞的，很容易被攻陷；61%的合法网站被挂了一些广告页，商务类网站、技术网站和购物网站名列感染宿主网站排名中排在前列。它本身是一个合法网站，但同时它也是一个恶意的网站。而“勒索软件”作为一种更加高级的恶意攻击手段，由于其强大的获利能力，已成为当今攻击者的首选恶意软件。勒索软件的制造者们主要利用被感染的网站来攻击毫无防备的用户并锁住用户设备，然后要求用户缴纳赎金才能再次启动其设备。这就是为什么针对web攻击、水坑攻击将来会越来越普及。

如何防范？

　　在新的安全威胁出现以后，赛门铁克的建议是：第一，对企业而言应该有一支专家团队，企业的员工应该有良好的风险防范意识，人是最重要的基础。为什么这么讲？现在黑客是非常有组织的，他很容易拿到各种精良的武器跟工具，但是企业里面IT的人员是非常有限的，受到的培训跟风险的意识也是相对薄弱的，所以这一场战争敌我双方差距很大，大企业都有这样的问题，更何况是广大的中小企业。第二，随着IT大趋势、IT的技术日益普及的情况下，你不仅要应对传统的威胁，你还要应对新的威胁。除了人以外很重要的是知识跟情报，或者说预警系统，如果连企业的安全态势是什么样你不清楚，企业里的敏感信息、核心资产在什么位置、怎么样使用你也不清楚，更无从谈防护。第三，以前传统的安全防范手段都是由很多的单点的产品，有些企业的单点产品几十种甚至上百种，把它们拼凑在一起，但这还不够！企业应该更多考虑那些做过整合的解决方案。现在是时候为了应对新的安全威胁，把它们尽可能整合在一起。要有整体的解决方案，才可能在新的趋势下做好安全防护。