2012年4月27日消息，惠普公司近日發(fā)布了《2011年主要網(wǎng)絡(luò)安全風(fēng)險報告》，報告發(fā)現(xiàn)安全攻擊日趨復(fù)雜和嚴(yán)重，并帶來了更多風(fēng)險。

該報告的信息有助于企業(yè)和政府機(jī)構(gòu)了解威脅狀況并對其安全情況進(jìn)行評估。

該報告還表明，隨著Anonymous和LulzSec等黑客組織的日益發(fā)展，黑客的動機(jī)也在不斷改變，他們進(jìn)行了高度有組織性的攻擊以報復(fù)現(xiàn)有不法行為。除了動機(jī)的改變，攻擊技術(shù)的進(jìn)步也提升了安全攻擊的“成功”率。因此，企業(yè)和政府在評估和降低風(fēng)險方面面臨新的挑戰(zhàn)。

一般來說，每年披露的漏洞數(shù)量反映了當(dāng)年安全行業(yè)的狀況并能幫助組織機(jī)構(gòu)確定防御措施的優(yōu)先級別。根據(jù)《2011年主要網(wǎng)絡(luò)安全風(fēng)險報告》，單純的漏洞數(shù)量已不再能有效反映安全風(fēng)險的狀況。雖然商業(yè)應(yīng)用中新報告的漏洞數(shù)量持續(xù)降低，但仍有大量漏洞來源不明，因此也未向更廣泛的安全行業(yè)披露。

“為了幫助企業(yè)防御各種攻擊，惠普建立了全球安全研究員網(wǎng)絡(luò)，以尋找未公開披露的漏洞。”惠普公司企業(yè)安全產(chǎn)品部門全球產(chǎn)品與解決方案營銷副總裁Michael Callahan表示：“這些研究組發(fā)現(xiàn)的情報將融入惠普企業(yè)安全解決方案，從而幫助企業(yè)主動降低風(fēng)險。”

漏洞狀況改變

自2006年起，新披露的商業(yè)應(yīng)用漏洞逐漸減少，到2011年同比降低了近20%，但本次報告的數(shù)據(jù)表明這并不意味著風(fēng)險降低。

被披露的漏洞數(shù)量減少出于多種因素，包括開始出現(xiàn)的漏洞交易黑市。此外，類似零售網(wǎng)站等定制化網(wǎng)絡(luò)應(yīng)用的蔓延催生了獨特的漏洞攻擊市場，這需要高級的專業(yè)知識來發(fā)現(xiàn)和解決。

本次報告的主要內(nèi)容包括：

· 雖然被報告的漏洞數(shù)量有所減少，但HP TippingPoint入侵防御系統(tǒng)（IPS）監(jiān)測到的攻擊數(shù)量卻在2011年下半年增長了一倍多。

· 2011年，在新披露的商業(yè)應(yīng)用漏洞中有近24%的嚴(yán)重性評級為8-10。這些漏洞可造成遠(yuǎn)程代碼執(zhí)行，這是最危險的一類攻擊。

· 所有漏洞中約有36%存在于商業(yè)網(wǎng)絡(luò)應(yīng)用中。

· 約有86%的網(wǎng)絡(luò)應(yīng)用容易遭遇注入式攻擊，這使黑客能通過網(wǎng)站訪問企業(yè)內(nèi)部數(shù)據(jù)庫。

· 由于成功率高，網(wǎng)絡(luò)攻擊工具包在2011繼續(xù)呈泛濫之勢。這些“打包”的攻擊框架在網(wǎng)絡(luò)上進(jìn)行交易，可使黑客能訪問企業(yè)的IT系統(tǒng)并盜取敏感數(shù)據(jù)。例如，大多數(shù)網(wǎng)絡(luò)犯罪使用Blackhole Exploit Kit，這造成了2011年11月底不同以往的超過80%的高感染率。

為打擊不斷變化的安全風(fēng)險，惠普提供了惠普安全智能和風(fēng)險管理（SIRM）平臺，這是一款整合的風(fēng)險驅(qū)動型安全解決方案平臺，可使企業(yè)清楚了解其傳統(tǒng)、移動和云環(huán)境情況，從而能根據(jù)具體的企業(yè)風(fēng)險采取適當(dāng)?shù)陌踩烙胧?/p>

研究方法

2009年起，領(lǐng)先的漏洞分析與發(fā)現(xiàn)研究機(jī)構(gòu)HP DVLabs每6個月發(fā)布一次《網(wǎng)絡(luò)安全風(fēng)險報告》，分析來自數(shù)千個已部署的HP TippingPoint入侵防御系統(tǒng)的安全漏洞數(shù)據(jù)，并把這些數(shù)據(jù)與以下信息進(jìn)行關(guān)聯(lián)：

· 零日計劃，該計劃是由HP DVLabs管理的研究項目，旨在通過發(fā)現(xiàn)導(dǎo)致網(wǎng)絡(luò)攻擊和安全隱患的軟件漏洞來提高安全性。

· 開源漏洞數(shù)據(jù)庫，由安全漏洞社區(qū)創(chuàng)建并為其服務(wù)的獨立、開源數(shù)據(jù)庫。

· 來自惠普Fortify應(yīng)用安全中心網(wǎng)絡(luò)安全研究小組（HP Fortify Application Security Center (ASC) Web Security Research Group）的網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)，該小組負(fù)責(zé)幫助安全專家、質(zhì)量保證專家以及開發(fā)人員提高企業(yè)、惠普軟件專業(yè)服務(wù)以及HP Fortify on Demand上的網(wǎng)絡(luò)應(yīng)用的安全性 。

來自HP DVLabs的數(shù)據(jù)也將融入HP Information Security Pulse，該免費(fèi)移動應(yīng)用可以幫助IT安全專業(yè)人士實時監(jiān)測當(dāng)前的網(wǎng)絡(luò)威脅趨勢。該應(yīng)用目前支持惠普webOS生態(tài)系統(tǒng)，并將很快支持iOS以及安卓移動平板電腦等設(shè)備。

HP DVLabs高級安全智能工程師Jason Jones和HP Fortify高級產(chǎn)品經(jīng)理Adam Hils將于美國太平洋時間5月2日星期三上午11點召開網(wǎng)絡(luò)研討會，發(fā)布《主要安全威脅及趨勢：2011年網(wǎng)絡(luò)安全風(fēng)險報告》。