Java越來越多地被視為安全風險所在，最近一些著名的的攻擊事件，更成為這一趨勢的證明。Java安全風險的核心問題在于：安全漏洞太多，瀏覽器很難同步更新到最新版本，特別是Java本身的更新是獨立于瀏覽器的。

最近，Websense安全實驗室的專家將Java版本檢測功能添加到了ACE(高級分類引擎)產(chǎn)品中，并將其引入Websense ThreatSeeker網(wǎng)絡(luò)，以便實時探測在數(shù)以千萬計的終端上有效使用的Java版本。以下就是獲得的結(jié)果(見圖1)。

基于有效瀏覽器使用的Java運行時環(huán)境版本全球分布

由上可見，各種版本的Java都出現(xiàn)在了圖表中，而目前最新版本的Java運行時環(huán)境(1.7.17)的整體使用率只有5%。大部分的版本已過時數(shù)月乃至數(shù)年。那么這又是如何轉(zhuǎn)化為攻擊空間的呢？

漏洞攻擊工具包是用于散布Java安全威脅的常見工具。Websense安全實驗室通過Websense 威脅搜索網(wǎng)絡(luò)對數(shù)十億計的日常Web請求進行了分類，厘清了哪些有效瀏覽器請求是可以被利用的，哪些已經(jīng)被漏洞攻擊工具包所采用。

結(jié)果也許并不出人意料：最大的安全漏洞恰恰就是最近被使用過的那個，這在93.77%的瀏覽器上都是如此。攻擊者是這樣做的——研究攻擊目標的安全控制措施，并找到最簡單的方法繞過這些安防措施。運用最新的攻擊工具，對數(shù)目相當龐大的易受攻擊的瀏覽器發(fā)起預(yù)打包式的攻擊，對攻擊者來說，門檻相當之低。多數(shù)瀏覽器都大范圍地存在廣為人知的Java安全漏洞，75%以上的在用瀏覽器版本至少過時6個月了，其中將近三分之二的已經(jīng)過時一年以上，超過50%的落后至少兩年。

如果補丁的更新沒有跟上，又將如何阻止攻擊呢？考慮到漏洞利用工具包及其更新的復(fù)雜與多變性，僅有攻擊特征還遠遠不夠。Websense用于防御新型Java漏洞攻擊的保護模式是通過分析和實時監(jiān)測，在此類攻擊策略的每一步都主動攔截新的實例。更主要的是，ACE涵蓋了所有漏洞攻擊工具包/攻擊階段，具有對源自所有主要攻擊包的可表達安全威脅的細粒度感知能力，不僅包括安全漏洞，還包括混淆技術(shù)，重定向技術(shù)以及滴漏式木馬文件的再包裝。Websense安全專家還提示了其它一些可以阻斷惡意軟件殺傷鏈的方法，這些方法可以使得惡意攻擊者更難以利用當前IT基礎(chǔ)架構(gòu)的漏洞入侵，包括：

· 阻止跨網(wǎng)絡(luò)、電子郵件和移動平臺的誘騙，網(wǎng)絡(luò)釣魚和其他形式的社交工程攻擊所需的實時智能。

· 用于識別已知或可疑的惡意軟件攻擊目標以及已遭入侵網(wǎng)站的實時入站智能。

· 能夠識別命令和控制通信、僵尸網(wǎng)絡(luò)、動態(tài)DNS請求，以及流向不當目標的指紋數(shù)據(jù)的實時出站智能。

· 從統(tǒng)計和行為上識別點滴式慢速攻擊?！?/p>