新技術帶來新風險
——解析2013年網絡安全五大威脅 
                                                                           

近日，美國佐治亞理工學院信息安全中心與佐治亞州技術研究所發布的《2013年網絡安全威脅》報告，著重介紹了網絡安全發展趨勢中的五大威脅——信息操縱、供應鏈、移動安全、云計算與惡意軟件，分析了這些威脅形成的原因、特點，并提出了相關解決方案。本文摘選了其中部分內容，以期對2013年我國網絡安全工作起到預警和借鑒作用。

信息操縱：“有毒”的搜索結果

越來越多的黑客正在利用各種方法來操縱用戶的搜索結果，并大量利用社會熱點新聞關鍵詞提高網站排名，控制用戶的搜索內容并將搜索結果鏈接至隱藏木馬病毒的惡意網站，從而使用戶“中招”。

未來常見的攻擊方式是利用跨站點腳本技術將合法網站鏈接至惡意網站，此方式隱蔽性較強，而篡改用戶的搜索歷史可能是下一種攻擊方式。研究人員發現，利用跨站點請求偽造技術已經能查看甚至修改用戶的搜索歷史記錄。黑客可以將惡意網頁索引制作成cookie存儲在用戶的歷史記錄中，此舉能躲避很多防御手段的查殺，提高了惡意網站的生存能力。這種攻擊還能篡改搜索引擎的過濾算法，從而影響用戶搜索的內容。

在社交網站，用戶可以通過鏈接或是轉發消息使消息成為熱門話題。然而，這些熱門話題也可能是虛假的，不良分子可以通過“僵尸粉”的方式人為放大某一信息或用來操縱社交網絡信息。社交網絡上的這種攻擊都有類似特點即短期內發布大量消息、與他人串通并發送相同消息等。這些特點有助于社交網站發現并控制那些試圖使用“僵尸粉”來操縱消息流行度的賬戶。

個性化信息導致“過濾泡沫”。很多網絡公司根據用戶個人喜好或歷史、地理等因素調整其服務，對信息進行篩選后提交給用戶，這將產生“過濾泡沫”。用戶雖然能更快地得到所需的內容，但得不到多元化的信息，這將對社會發展產生負面影響。

 移動安全：手機傳感器成犯罪工具

盡管應用商店為移動設備的安全筑起了第一道屏障，但數量龐大的智能手機和平板電腦對黑客來說無疑是一塊誘人的蛋糕。同時，越來越多的企業員工將自己的移動設備帶到工作平臺，與此相伴的是新的攻擊方式。

智能手機面臨不安全因素。惡意軟件編寫者已經從業余轉向專業，并正在建立一套可行的商業模式，攻擊目標主要集中在Android操作系統的移動設備上。數據顯示，我國應用程序感染率高達40%，并且，通常只有在惡意應用程序的高發期后，人們才檢測到惡意應用程序，并采取被動的防御措施。

移動瀏覽器界面仍然缺乏安全標準。研究發現，用戶使用智能手機訪問釣魚網站的風險比桌面瀏覽器高3倍。2012年《新興網絡安全威脅報告》稱，許多符合萬維網聯盟標準的移動瀏覽器缺乏安全標準。

惡意移動廣告軟件日趨猖獗。當用戶下載應用程序時，廣告軟件會偷偷加載至用戶的設備中，此后經常彈出警報、通知并要求在桌面添加圖標，從而篡改瀏覽器的設置并收集個人信息。

移動支付存在安全隱患。近場通信技術將付款信息傳輸到商店的終端，但該通信協議的安全性需要進一步提升，以防止犯罪分子有機可乘。然而，手機支付面臨的最大挑戰是智能手機的經常丟失，并且許多用戶的手機缺少密碼保護。

警惕黑客利用智能手機的傳感器實施攻擊。大多數人不清楚智能手機還攜帶著傳感器套件，在不知不覺中，黑客就能開啟智能手機的攝像頭，利用所在環境的畫面構建出一個房屋的3D畫面。在未來，黑客有可能利用智能手機的傳感器功能實施犯罪活動。

供應鏈：全球化的副產品

2012年，供應鏈問題已成為一大安全隱患。在2012年10月份美國眾議院情報委員會對華為和中興的產品報告中指出，這些產品可能會帶來潛在危險，并向美國各大公司提出建議避免使用產自中國的網絡硬件。與此同時，其他報告指出，中國公司同樣擔心美國產品也存在同樣的問題。

供應鏈安全是一個全球性問題。美國的企業一般采用以下三種方案：大多數公司選擇值得信賴的供應商，這些公司會實施網絡監控來確保設備的安全，但這種方法并不能完全保證供應鏈的安全；一些公司會在設備分配和安裝的過程中采取隨機抽樣的方式來檢測是否含有安全漏洞的元件，但是這種方法仍缺乏實際效果，只要有一個問題硬件瞞天過海，就會危及整個系統的安全；少數公司正在采取更加激進的方式，即先假定供應商提供的所有設備都有安全漏洞，隨后對任何有安全隱患的產品進行不間斷的監控，但出于成本、技術和時間方面的考量，這種解決方式對大多數公司來說并不現實。

檢測供應鏈安全的重點應放在分析設備或設備的表現特征上。研究人員正在尋找更加積極主動的方法來檢測信息技術系統中的基礎元件，這樣即使硬件在出廠的時候被篡改，也能被檢測到。

云計算：訪問權限是軟肋

隨著云服務供應商開始加強數據安全的防護力度，云數據的安全性有所加強，但云數據量的激增勢必會吸引黑客的目光。

訪問權限是云服務安全的一大軟肋。如何只允許授權用戶對數據進行訪問，這依然是一個困難且具有挑戰性的問題。

雙因素身份認證是一種較好的防御方法。使用經過認證的設備和密碼，用戶能登錄并能在其他設備上授權應用程序，但由于每個應用程序的設備需要不同的密碼，因而更具安全性。

黑客利用云計算能快速建立僵尸網絡。云計算的基礎架構不只是數據，如果黑客侵入云服務供應商的基礎設施并加以控制，就能快速建立僵尸網絡。云計算向合法企業提供服務，同樣也能提供給黑客。黑客利用盜來的大量信用卡信息來購買云計算資源，可以快速創建虛擬系統的僵尸網絡。

云服務供應商必須明確安全責任。研究發現，69%的云服務供應商認為用戶應該對自己的云數據安全負責，只有35%的用戶同意這一觀點。這一數據表明云服務供應商與用戶之間在云數據安全保護責任方面缺乏共識。

許多公司正在構建私有或混合云以增強數據的安全性。一些公司已將儲存在云中的數據加密，但當公司要搜索數據或是在云內部運行運算的時候，這種方式就缺乏便捷性。目前擔憂數據安全問題的公司都盡可能長時間地將數據加密，當需要操作時再進行解密，但在多數情況下，這樣做也會使密鑰暴露在黑客的視野中。

惡意軟件：以“武力”勒索用戶錢財

惡意軟件的開發者正不斷改進技術以加強惡意軟件的生存能力。

惡意軟件加入“反盜版技術”。數字行業使用數字權限管理技術來限制盜版的蔓延，軟件授權技術將數字產品鎖定至特定設備或地點，防止盜版者大規模生產盜版程序。如今惡意軟件的開發者也正采取這種加密技術，將惡意軟件限定至特定的系統中。

惡意軟件的跨平臺特征。一種叫做“閃回式木馬”的惡意軟件經過加密技術隱藏在下載模塊中，攻擊Windows、Mac和Android三大平臺，智能手機和平板電腦的安全性正遭遇前所未有的挑戰。此類攻擊都集中在收費詐騙上，在中國和東歐十分猖獗。

社交網絡商業化將增加惡意軟件攻擊的風險。在社交網站的用戶在線支付階段，黑客可以利用惡意軟件盜取支付憑證，或將用戶引入虛假頁面，從而獲取支付和個人有價值的信息，黑客能出售或與其他黑客交易相關信息，通過拼接組合，就能形成完整個人信息，這可以幫助黑客創建配置文件，用來獲取其他賬戶資料。

勒索軟件正成為一種新型的假冒安全軟件。勒索軟件是黑客用來劫持用戶資產或資源并以此為條件向用戶勒索錢財的一種惡意軟件。黑客如今采取在線交易的方式，用武力迫使用戶交出錢財，而非以前依靠詐騙實施犯罪。