2010十大安全挑战

　　InformationWeek文章Top 10 Security Challenges For 2010列举了2010年将面临的十大安全挑战，并逐一给出了反方观点。

　　1. 垃圾邮件、网络诈骗转向社会化网络和实时信息

　　网络犯罪分子会扩大对社会化网络站点的攻击，如Facebook，MySpace和LinkedIn，以及实时社会化网站，如Twitter。通过Google和Bing搜索引擎，Google Wave集成的实时功能，骗子接触潜在受害者的机会越来越多，而要辨别一个恶意链接或文件则越来越不容易。

　　反方观点：对于不太使用社会化网络的人来说，问题就不严重，速度可能是Google最珍视的目标，但也增加了危险的速度。

　　2. 云中的犯罪

　　安全厂家AVG，M86和RSA预测犯罪人员会攻击云服务，并利用它们来指挥和控制攻击，网络犯罪工具箱已被广泛使用，对于网络犯罪人员来说，转移到云服务只是一小步，IBM ISS X-Force研究人员预计会有更多的攻击作为一种服务出现，当亚马逊AWS被用于托管一个恶意命令和控制服务器时，时很难做出努力去解决的。

　　RSA产品管理兼战略副总裁Sam Curry说：2010年，如何缓解云服务风险将会备受关注。

　　反方观点：虽然网络犯罪人员已经尝试使用如Google的App Engine来控制攻击，但云服务提供商一般都会进行监督，更不用说它需要钱购买才能使用，而那些不安全的网站才是托管恶意软件的理想场所，又何必要冒充付费客户，去破坏其它人的机器呢。

　　3. 劫持信任网站

　　攻击技术的发展已经威胁到受信任的网站，如果成功在受信任网站上加载恶意软件，危害面将会非常大，SQL注入技术已经被证明是非常成功的攻击技术，对于犯罪份子，通过受信任的第三方来传播恶意软件显得更有实际意义，成功率会更高。

　　反方观点：随裁员浪潮和.com泡沫的破裂，将会涌现大量的博客，也没有那么多人去经营网站了，犯罪份子有机可乘的目标不会太多，加之人们开始转向移动电话，Tablet和Chrome OS上网本，这些设备将会减少用户出错的机会，因此安全也将会得到改善。

　　4. 苹果电脑（终于）也受到大量攻击了

　　安全公司一直对Mac电脑垂涎欲滴，Websense公司表示，2010年我们将看到对Mac OS X中Safari的攻击，黑客将会更加关注Mac平台。

　　Symantec也同样担心，未得到保护的Mac用户可以购买其杀毒软件，每年只需支付30美元，其它安全公司如Sophos也持同样的看法。Zscaler公司认为，苹果将会投入更多的资金保护Mac的安全，使其设备具有更好的抗攻击能力。

　　反方观点：运行安全软件的Mac用户只是为了法规遵从需要，除非Windows市场份额下降80%，或Mac市场份额下降20%，否则是不会改变的，如果有一个漏洞，对Mac影响非常广，那它也可能是Adobe Flash漏洞引起的。

　　5. 更多的搜索结果含毒

　　利用人们对搜索引擎的信任，网络犯罪份子将会在信任网站上投入更多精力，他们会使用搜索引擎和广告感染未受保护的网站，AVG，Websense和M86预计黑客对搜索结果的破坏将会加剧，同时会利用热点新闻，重大节日搜索结果进行恶意软件的传播。

　　也许2010年将会是网络犯罪人员创建假新闻流行的一年，导致大量的网站感染恶意软件，最终形成一个大的恶意网站链。

　　反方观点：Google和微软将继续合作，保证搜索和广告的安全，它们充分认识到不能失去用户的信任，预计将会大张旗鼓地打击流氓广告网络。

　　6. 越来越多的僵尸程序

　　僵尸网络将给犯罪份子带来更多的收入来源，对于安全厂商，它们认为僵尸程序将会变得更为复杂，Symantec声称僵尸网络已经成为网络犯罪份子发起攻击的基础。

　　Websense 的CTO Dan Hubbard说：也有一些关于僵尸程序的好消息，那就是在安全社区和执法方面加强了交流，相对过去，有更多的僵尸网络被阻止和瓦解。

　　但由于僵尸网络能给犯罪份子带来现金收入，他预计更多的犯罪团伙会选择更容易构建僵尸网络的途径：例如劫持一个由其它犯罪团伙操纵的僵尸网络，这种冲突会限制僵尸网络的增长。

　　反方观点：僵尸网络不仅要防卫安全专家，还要防卫其它僵尸网络操纵者，Websense公司认为僵尸网络团伙之间会发生冲突，类似的已经出现过Bredolab僵尸网络关闭Zeus/Zbot感染的计算机。

　　7. 使用盗版风险增大

　　2009年12月初，微软做了许多努力减少软件盗版，但它接收到越来越多的正版用户的投诉，如果微软不处理，这些用户就会转而使用盗版Windows。

　　看起来盗版软件越来越容易受到恶意软件的感染，IBM互联网安全系统公司X-Force的研究人员预计使用盗版软件将会更容易遭受恶意软件的感染。

　　反方观点：难道所有桌面软件用户都搬到云中就安全了吗？Google Apps还不是有伪造的问题，修改DNS host文件就可以实现。

　　8. 移动安全成为现实问题

　　Websense的Hubbard说苹果对App Store的封闭措施和Google对Android Market的开放措施形成了鲜明的对比，在安全领域我们也将看到双方有趣的故事发生。

　　反方观点：IBM ISS X-Force的研究人员相信移动电话攻击仍然很少，在移动电话上基于网络的攻击可能也相对罕见，但物理攻击将会上升：抢夺和抓取攻击比网络攻击相对要容易得多，也更容易获得能够出卖的数据和物品。另外，由于失业率已经超过了10%，私自收集电话号码可能会成为一个迅速发展的行业。

　　9. 内部人员监守自盗渐成问题

　　正在进行的网络安全改进将会促使有组织的犯罪团伙开始思考未来的打算，或许明年在某个地方，某个能够访问大型组织数据的人将会为网络犯罪团伙工作。身份盗窃资源中心预计，不遵守工作场所安全协议的个案将会上升。

　　反方观点：出现这种事情，组织一般会掩盖事情真相，至少会掩盖到2011年，这个预测在明年被证明是错误的也很困难。

　　10. 点击劫持（Clickjacking）卷土重来

　　Zscaler相信点击劫持漏洞 (一种通过修改Web应用程序用户界面欺骗用户的方法，如使用一个隐藏按钮) 会使攻击更加频繁，WhiteHat 安全公司的创始人和CTO Jeremiah Grossman，SecTheory公司的创始人和CTORobert "RSnake" Hansen披露了2008年10月的技术信息，虽然已经通过努力减轻了点击劫持风险，Zscaler说这项技术仍然有效，特别是在社交工程攻击中。

　　反方观点：当你可以启动一个窗口，显示一个虚假的安全扫描，何必让一无所知的用户为伪造的安全软件付费呢？无知的确是致命的弱点，是很难用补丁修补的。