安全漏洞穿透用户桌面

2009年2月,微软发布了广受关注deMS09-002安全漏洞公告,并随之马上提供了针对该漏洞de更新补丁。当访问者使用IE 7浏览器访问特定规格de网页时,MS09-002漏洞会允许远程恶意代码执行,从而破坏访问者de计算机系统。这一问题de典型性在于,面向浏览器de恶意攻击已经成为过去一年当中增长最为迅猛de一类桌面安全威胁。同时,在该威胁发布后de,各大防病毒产品厂商都截获了大量基于该漏洞de攻击。甚至一些以前流行过de恶意软件,都开始集成针对MS09-002de攻击机制生成新变种,试图卷土重来。

其它近期值得关注de安全漏洞

在MS09-002漏洞发布之前,还有一些值得关注de针对浏览器de安全漏洞。比如去年年底出现de微软0day漏洞,其影响de浏览器版本比MS09-002还要广泛。而目前最新爆出deAdobe安全漏洞,则利用了PDF文档中嵌入de可执行浏览器脚本,将会引起非常广泛de安全影响。

安全爆炸点de轮回

整个2008年当中,桌面安全de最主要问题集中于木马下载器等等以Web访问为载体de病毒程序。据不完全统计,在过去de三年间,基于Webde病毒程序每年都保持着至少翻一番de增长水平。而2008年作为病毒大爆发de一年,所出现de超过一千万种新病毒中,有超过百分之二十都是下载器程序。其实下载器程序并不是一个新鲜产物,在很早之前就有使用这类机制de恶意计算机程序存在。但是之所以在近年来变得如此“繁荣”,核心de原因还在于桌面安全攻防两大阵营de角力,所带来de整个安全环境de变化。作为最古老也是最基本de互联网应用,网页访问无疑拥有最庞大de用户群体和最高de使用频率。但是随着浏览器软件de功能不断丰富、家族成员不断增长,反而成为在安全防护上相对薄弱de一环。与电子邮件、即时通讯等主流互联网应用相比,网页访问保护工具虽然数量不少,但在深度和精度上却难以匹敌其它专项工具。由于网页访问表面de简单性,反而掩盖了用户误用行为所带来de危害,以及纷繁de技术功能所带来de安全隐患。

浏览器上de安全风险

提供更丰富de功能,在Web页面中使用了越来越多de客户端脚本和组件技术。这一方面带来了更好de功能和用户体验,同时也使用户在使用浏览器软件时要面对更多de安全问题。木秀玉林,风必摧之,JavaScript客户端脚本技术已经成为事实标准上de标准,自然也是被恶意软件利用de主要对象。由于JavaScript对操作系统de使用范围和权限受到了较为严格de限制,所以很难利用其直接进行破坏。但是下载器程序往往利用JavaScript到互联网上下载实际de攻击代码。ActiveX作为浏览器软件一键u盘装系统xp与其它平台进行交互de重要技术,也有着悠久de安全问题历史。由于具有比浏览器脚本更强de系统操纵能力,基于ActiveX组件de病毒程序往往更具破坏力,而且可以直接对操作系统展开攻击。很多企业级de软件系统将ActiveX组件作为实现客户端功能de核心技术,使安全保护体系de搭建变得更加复杂。除此之外,利用Windows Script HostdeVBScript以及目前已经较少使用deJava Applet小程序等等,都可以基于浏览器开展破坏活动。同样值得关注de是,作为桌面计算机上最常用de应用程序,浏览器现在与操作系统de结合越来越紧密。除了与Windows操作系统紧密集成deIE浏览器之外,其它de浏览器同样也利用很多操作系统de底层组件来提升自身de功能价值。这也是为什么利用浏览器问题de安全攻击可以如此具有破坏力de重要原因,很多漏洞允许攻击代码可以直接破坏或利用操作系统核心。特别对于那些厂商尚未发布更新补丁de0day攻击来说,桌面计算机将完全暴露在攻击之下几无还手之力,这也是目前云安全技术被寄予厚望de原因。趋势科技在截获微软浏览器de0day攻击漏洞时只花了几分钟时间,这给漏洞补丁de及时发布提供了良好de前提。而几乎已经成为标准功能de基于云设施deWeb地址过滤,则可以有效地防止用户访问那些带有安全威胁de网站,这样即使计算机在存在漏洞de情况下也有更大de几率在面对攻击时生存。

互联网入口de安全变革

依赖,对于浏览器这个最重要de互联网访问入口,用户主要依赖于安全厂商提供de软件产品来获得安全保护。不过可以看到,浏览器厂商们也在不断补充自身产品de安全特性,这可以给用户带来层次更丰富de保护。对于各种利用客户端脚本de安全攻击,特别是利用ActiveX这样可能直接实现安全攻击de恶意程序,浏览器产品以及操作系统本身de安全机制往往显得更加重要。微软在新推出deIE8浏览器当中,会对传统deActiveX控件机制作出调整。在新de浏览器版本中,ActiveX控件de安装将不再需要管理员权限,而使用当前登录用户de权限安装。这样可以实现更符合逻辑de权限分割,一旦当恶意程序利用了ActiveX感染了计算机,也不会轻易de获得管理权限。而且如果一个ActiveX插件不在该机制de白名单中,其操作本地系统de功能将受到很大de限制,这可以很好de缓解利用ActiveX机制破坏操作系统de问题。这一改变de衍生意义在于,用户和厂商都可以更好地对Flex、Silverlight等流行de富客户端访问插件进行控制,从而在一定程度上避免浏览器上不u盘装win7断增加de可执行能力所带来de安全风险。不过,这项改进也存在一些限制,比如目前只有在Vista或更高版本de操作系统中才能使用该机制,而目前占有率还比较高deXP操作系统则无法使用。

以网络钓鱼为代表de各种网络欺诈,也是目前主要de安全威胁之一。浏览器软件正在广泛地集成各种识别欺骗性网址de功能,其中较为典型de当属FireFox。由于提供插件开发机制,用户除了可以使用FireFox自身提供de防网络钓鱼功能,还可以下载很多提供类似功能de插件,从而获得较为适合自己de防欺诈保护。在微软deIE8浏览器当中,还提供了一项独特de功能改进。用户在浏览器de地址栏输入网址之后,IE8会识别网址中de顶级域名部分并将其用高亮de形式显示。虽然这项改进看起来非常de小,但是在实际使用过程中de效果缺出乎意料de有效。这能够明显地提高用户de注意力,从而判别自己是否正确输入了网址。同时,在IE8中提供de增强de安全过滤器,也可以完成对网址de分析。最重要de是,通过设置安全策略,可以将这个安全过滤器de防护等级提高,从而更大限度de屏蔽可疑网址。http://www.upzxt.com

上网行为安全袖珍指南

事实上除了注意更新操作系统漏洞和使用有效de安全防护产品等技术手段之外,想提高访问互联网时de安全性,要重点控制上网时de用户行为。注意应用情景是首要de原则,虽然在自己de个人计算机上记忆密码相对比较安全,但是养成不使用记忆密码功能de习惯还是更加稳妥。如果是在公共场合上网,即使没有使用密码记忆,也建议对访问历史进行清除。不要注册帐号时使用相同de信息是另一个好习惯,这样可以避免一点被突破破层层被突破。同时,对于不需要提供真实信息de网络服务,在注册de时候还是应该适当de保留个人信息。

浏览器de明日危机

随着客户端技术de不断发展,越来越多de应用使用浏览器作为访问媒介,包括很多企业级应用。据此分析,浏览器软件de安全功能还会不断增加,新增功能和插件可能会爆出de安全漏洞也会随之增加。由于浏览器de遍布性和应用规范de不统一,希望通过简单de方式获得高安全性是非常困难de。除了各个方面要密切配合之外,在系统层面实现更加强大de安全模型才能够让浏览器获得足够de安全动力。一个好消息是当前de互联网用户群体已经在使用习惯和警惕性上有了很大提升,不过还需要在系统平台上更好de固化和管理用户上网行为。即将发布deWindows 7等新系统平台,将带给我们新一轮答案。