警惕新的攻击方式——赛门铁克发布第二十期《互联网安全威胁报告》

　　每年，赛门铁克都会凭借其范围遍布全球的监测网络对互联网攻击进行研究，并将呈现出来的趋势以报告的形式发布出来，供企业和个人用户参考。近日，赛门铁克发布了基于2014年的网络攻击数据所形成的第二十期《互联网安全威胁报告》，该份报告揭示，在当今高度互联的世界中，网络犯罪分子已经开始转变攻击战术，通过劫持大型企业的基础架构侵入并躲过企业安全监测来实现对企业的攻击，引入关注。

　　新的攻击方式

　　赛门铁克的研究显示，零日漏洞的数量在2014年创历史最高。软件公司平均需要59天来生成和推出补丁，而在2013年仅需4天。网络攻击者在补丁尚未推出前充分利用该漏洞，以“心脏出血”漏洞为例，该漏洞在4个小时内迅速被利用并用于发动攻击。2014年，共有24个零日漏洞被发现，网络犯罪分子在这些漏洞被修补之前毫无顾忌地利用已知的安全漏洞对企业发起攻击。

　　与此同时，高级网络攻击者不断借助针对性极强的鱼叉式网络钓鱼攻击。2014年，这种攻击手段的使用增长率为8%。值得注意的是，网络攻击的准确性大幅提高，攻击者往往结合更多“隐蔽式强迫下载恶意软件(Drive-bymalware downloads)”和基于Web的漏洞进行攻击，这使得他们在企业垃圾邮件数量减少了20%的情况下仍旧能够精准地攻击目标受害者。

　　此外，赛门铁克还发现攻击者会从企业盗取受害者的电子邮件账户，利用鱼叉式网络钓鱼手段对更高级的受害者进行攻击；利用企业的管理工具和程序在企业网络中移动盗取的IP；在受害者的网络内部构建定制的攻击软件，以进一步掩盖自己的攻击活动。

　　“数字勒索”处于上升趋势

　　电子邮件一直是网络犯罪分子的重要攻击途径，2014年也不例外。该报告指出，尽管总体上企业的垃圾邮件减少，但攻击者另辟蹊径，持续对移动设备和社交网络尝试新的攻击手段，以便达到事半功倍的效果。

　　赛门铁克大中华区安全产品技术总监罗少辉表示，网络犯罪分子还喜欢利用自动化工具让不知情的消费者来帮助他们进行卑鄙的勾当。2014年，攻击者利用人们对朋友所分享内容的信任，70%的社交媒体骗局都通过用户手动分享而传播。

　　同时，该报告还显示，尽管社交媒体骗局可以快速为网络犯罪分子带来收益，但他们却并不满足于此，网络犯罪分子还采用勒索软件等卑劣的攻击方法获取暴利，这样的攻击在去年增加了113%。值得关注的是，在2013年，密码勒索软件攻击的受害者比以前增高了45倍。密码勒索软件的攻击并不会采取传统勒索软件那样伪装成执法部门对盗取内容收取罚金的方式，而是更加恶劣地劫持受害者的文件、照片和其他数字内容，毫不掩饰他们的攻击目的。

　　如何加强防范

　　显然，当网络犯罪分子继续存在，并不断变换攻击手段时，企业和个人用户面临更多的安全风险，也需要采取更多的方法保护自己。对于企业用户，赛门铁克建议他们采用高级威胁智能解决方案，帮助用户及时发现入侵信号并做出快速响应。同时，部署多层端点安全防护、网络安全防护、加密、强大有效身份的验证和采取拥有高信誉的技术，并与安全托管服务提供商合作，增强IT团队的防范能力。

　　此外，赛门铁克认为企业用户还应时刻为最坏的情况做准备。比如通过事件管理确保用户的安全框架得到优化，并具备可测量和可重复性，还可以考虑与第三方专家开展合作，从而强化危机管理。同时企业应该具备长期且持续的信息安全教育和培训，定期评估内部调查团队，进行实践演练，确保用户拥有有效对抗网络威胁的必要技能。

　　对于个人用户，赛门铁克建议他们使用安全性高的密码，这是在任何时候都应反复强调的。为账户和设备设置强大而独特的密码，定期(建议每三个月)更换，同时切勿将相同密码用于多个账户。

　　此外，个人用户应该谨慎使用社交媒体，特别是不要点击来源不明的网络链接，尤其是来自陌生人的电子邮件或社交媒体信息。诈骗者知道人们往往会点击来自朋友的链接，这会让他们侵入相关账户，并向账户拥有者的联系人发送恶意链接。最后，个人用户还应了解自己对各种程序和设备设置的权限，例如在安装家庭路由器、恒温器等网络连接设备或下载新应用时，认真审核权限许可，了解自己允许它们访问哪些数据，并在不需要时禁用远程访问等功能。

　　本报记者 程彦博