分類: 漏洞攻擊

隨著新年慶祝活動安全地過去，是時候向前看，並開始規劃2015了。但在這樣做之前，讓我們花上幾分鐘記住2014年的漏洞，及我們可以從中學到什麼。

每年都會出現幾個零時差漏洞和大量來自軟體廠商的漏洞修復程式。今年有些不同：

 

• 每年所披露的安全性漏洞總數近1萬個。正因為如此，CVE資料庫的維護者宣佈將修改CVE語法，它現在允許每年可分配的漏洞識別碼達到1000萬個。
• 重大的「命名」漏洞像是Heartbleed心淌血漏洞、Shellshock、Poodle和WinShock被披露，並在安全產業內廣為人知。這些漏洞因為其嚴重的影響、廣泛的攻擊面及修補的困難而值得注意。
• 放大分散式阻斷服務（DDoS）攻擊增加。這些攻擊被用來產生大規模網路流量以阻斷服務。它利用網路通訊協定的漏洞來「引出」大量回應封包，將其「重新導向」到受害者，導致對其的阻斷服務攻擊。
• 一些好消息 — 2014年沒有JAVA零時差漏洞！然而，這並不代表JAVA漏洞不會遭受攻擊。它們還是會被漏洞攻擊包加以利用。所以仍在使用舊版本JAVA的使用者應該要加以升級。
• 對於Adobe產品來說就比較複雜。整體來說，Adobe產品的安全性漏洞數量從2013年開始下降。然而，Adobe Flash的安全性漏洞數量從56個上升到76個。Acrobat/Reader漏洞下跌了幾乎30%。

 

圖1、Flash Player和Acrobat/Reader的安全性漏洞數量

 

• 有許多OpenSSL的漏洞被發現，不只是Heartbleed。在 2014 年，有24個 漏洞被發現 — 是之前三年的總和。

 

了解上述事實後，我們該從中學到什麼？

• 即使是舊應用程式仍然可以被發現漏洞，正如我們所看到的Heartbleed和Shellshock。
• 開放原始碼軟體據說在本質上較安全，因為它會被多人檢視（也因此有更多機會發現安全性漏洞）。然而從OpenSSL和Bash的例子可以得知並不一定如此。
• CVSS分數並不能完全的表現出安全性漏洞的嚴重性。畢竟Heartbleed只拿到了CVSS 5.0的分數！根據你組織的情況和應用程式來評估漏洞的影響。用來加權（CVSS）分數！
• 盡快地升級版本。只要情況允許就盡快更新修補程式。
• 不斷檢視你的安全狀態和相應地規劃你在資訊安全工具和做法上的投資。員工教育是確保公司資訊安全的關鍵一環。同時，也確保你充分地利用了安全解決方案 — 例如進行正確的設定，根據需求來加以調整等。
• 實施最低權限存取政策。今日有許多漏洞攻擊都可以取得登入使用者的權限；最低權限存取政策將有助於減輕這些攻擊所造成的損害。

 

2014 年還有一些其他並非出乎預料的事件，但仍相當值得注意。

繼續閱讀