建站
咨詢
售后
建站咨詢
新聞中心
【.com 專家特稿】信息安全方面值得關(guān)注的熱點較為散亂，云計算是這兩年IT業(yè)界的新熱點，然而云計算的先行者Google卻在本周爆出了其產(chǎn)品Google Docs泄漏用戶文檔和敏感數(shù)據(jù)的丑聞。沉寂一段時間的網(wǎng)絡(luò)犯罪領(lǐng)域再次升溫，按服務(wù)形式提供的網(wǎng)絡(luò)攻擊和惡意軟件開始抬頭，數(shù)家安全廠商也報告稱Google、Yahoo等搜索服務(wù)成為網(wǎng)絡(luò)犯罪組織手中的新利器。安全管理方面，安全行業(yè)對制定一個可行的安全性度量標準的呼聲漸高。在本期回顧的最后，筆者仍為朋友們帶來一篇值得一讀的推薦閱讀文章。
成都創(chuàng)新互聯(lián)公司2013年成立，是專業(yè)互聯(lián)網(wǎng)技術(shù)服務(wù)公司，擁有項目網(wǎng)站制作、網(wǎng)站建設(shè)網(wǎng)站策劃，項目實施與項目整合能力。我們以讓每一個夢想脫穎而出為使命，1280元資中做網(wǎng)站,已為上家服務(wù),為資中各地企業(yè)和個人服務(wù),聯(lián)系電話:13518219792
本周（090309至090315）安全要聞回顧
本周的信息安全威脅等級為低。盡管本周又是微軟推出安全更新的時間段，但目前安全行業(yè)沒有發(fā)現(xiàn)互聯(lián)網(wǎng)上有針對微軟已修補漏洞發(fā)起的大規(guī)模攻擊活動，用戶只需及時從微軟網(wǎng)站下載并應(yīng)用補丁即可?！ ?/p>
云計算安全：Google Docs泄漏用戶敏感文檔；關(guān)注指數(shù)：高
云計算是近兩年來IT業(yè)界的新熱點，隨著Google Docs和SaleForce等一批先行者的成功，眾多的軟件廠商和互聯(lián)網(wǎng)服務(wù)商都紛紛進軍這個領(lǐng)域，然而本周Google Docs爆出泄漏用戶文檔和敏感數(shù)據(jù)的丑聞，無疑為云計算領(lǐng)域的創(chuàng)業(yè)者和經(jīng)營者敲響了警鐘。
問題出現(xiàn)在Google Docs對用戶對文檔權(quán)限和協(xié)作共享設(shè)置的處理上，如果用戶曾經(jīng)對文件設(shè)置過共享，那么用戶的其他文件可能會被其他登錄Google Docs系統(tǒng)的用戶訪問或修改。Google在Google Docs的支持論壇上獲知此漏洞的存在后，迅速對受影響的用戶文檔采取移除共享用戶和權(quán)限的操作——這對相當多的正常用戶產(chǎn)生了一些操作上的影響。
Google事后在Google Docs官方博客上稱，此次Google Docs服務(wù)出現(xiàn)問題，受影響的用戶只占Google Docs服務(wù)總用戶不到0.5%的比例，另外此次Google Docs的問題只會影響文本文檔和PPT文件，而表格文件不受影響。Google在處理這次問題上雖然動作也算是夠快，但仍然會對Google Docs的安全性產(chǎn)生負面影響，也再次提醒了其他服務(wù)提供商和用戶，數(shù)據(jù)安全和服務(wù)可用性仍是云計算主要面臨的問題。
筆者認為，盡管采用云計算類的解決方案可以有效的降低用戶花費在采購軟硬件上的開銷，同時也可以實現(xiàn)只要有網(wǎng)絡(luò)數(shù)據(jù)就能隨人走這個理想狀態(tài)，但現(xiàn)在的云計算服務(wù)，感覺更適合預(yù)算有限的小企業(yè)和個人用戶，對數(shù)據(jù)安全和可用性要求比較高的政府部門和企業(yè)用戶來說，建議還是應(yīng)當謹慎選擇云計算服務(wù)，盡量不要將帶有敏感數(shù)據(jù)的文檔或其他資料存放到云計算平臺上進行處理，如果是對成本比較敏感，用戶可以考慮選擇成熟而且更為安全的開源軟件產(chǎn)品?！ ?/p>
網(wǎng)絡(luò)犯罪：服務(wù)形式的網(wǎng)絡(luò)犯罪開始抬頭；搜索引擎成為網(wǎng)絡(luò)犯罪組織的新幫兇；關(guān)注指數(shù)：高
項目外包是企業(yè)在進行IT項目時最為常見的實施方式，企業(yè)可以借助將項目外包有效的節(jié)省人力物力成本和時間——不幸的是，網(wǎng)絡(luò)犯罪集團也開始借鑒和使用這一有效的實施方式。
本周在悉尼舉行的一個銀行業(yè)會議上，安全專家就向與會者描述了網(wǎng)絡(luò)犯罪這樣的趨勢：由于網(wǎng)絡(luò)犯罪已經(jīng)形成完整的地下產(chǎn)業(yè)鏈，網(wǎng)絡(luò)犯罪組織也開始將惡意軟件編寫、配置和服務(wù)器設(shè)置等一系列更為專業(yè)的操作外包給專業(yè)的惡意軟件作者和黑客。根據(jù)會議上舉例的一個來自網(wǎng)絡(luò)犯罪軟件作者的郵件顯示，惡意軟件作者向網(wǎng)絡(luò)犯罪組織提供了托管的惡意軟件制作和服務(wù)器維護服務(wù)，只需要支付400美元，一個只有基本計算機技能的用戶就能獲得一個能夠盜取用戶銀行賬戶的最基本攻擊套裝，并得到惡意軟件作者為期一年的不間斷支持。
顯然將這一趨勢將在2009年有所加強，由于我國在今年2月底通過了刑法修正案（七）第285條的修訂版，將提供惡意軟件和控制他人計算機納入犯罪的認定，以及近段時間有關(guān)部門進一步加大對網(wǎng)絡(luò)犯罪的打擊力度，國內(nèi)網(wǎng)絡(luò)犯罪組織和惡意軟件編寫者會加快將“業(yè)務(wù)”轉(zhuǎn)移到國外的進程，同時來自國外網(wǎng)絡(luò)犯罪組織的攻擊也有可能進一步增多，建議國內(nèi)用戶應(yīng)提高警惕。
在上期的回顧中筆者曾給大家介紹過惡意軟件借助Google Trends進行擴散的新聞，這方面消息在本周有了進一步的深入：安全行業(yè)在近一段時間的研究和分析中發(fā)現(xiàn)，惡意軟件借助Google Trends擴散的背后，隱藏著Yahoo、Google等知名搜索引擎正成為網(wǎng)絡(luò)犯罪組織攻擊的新幫兇這一趨勢。
Symantec的研究人員在3月10號稱，網(wǎng)絡(luò)犯罪組織利用付費的Yahoo搜索廣告功能，欺騙用戶下載一個名為“AntiVirus & Security”的假冒反病毒產(chǎn)品，用戶如果不慎運行了這個程序，將有可能丟失用戶賬戶等敏感信息。另外一個安全廠商McAfee也在同一天稱，網(wǎng)絡(luò)犯罪組織利用Google對Democrats.org網(wǎng)站較高的Page Ranking，提升他們的惡意軟件和惡意網(wǎng)站鏈接在搜索結(jié)果中的排名順序，以增大感染警惕性較低的用戶的可能性。
安全行業(yè)對搜索引擎越來越不安全這個趨勢也并非不作為，多個廠商都推出了能夠為用戶提供站點安全性建議的瀏覽器插件，內(nèi)置的網(wǎng)頁內(nèi)容和腳本掃描引擎也成為大多數(shù)反病毒軟件及防火墻的標準配置，但是安全技術(shù)和產(chǎn)品總歸只能起到一個輔助和預(yù)防的作用，安全的使用搜索引擎和培養(yǎng)安全的網(wǎng)站瀏覽習(xí)慣，才是防御通過搜索引擎擴散的惡意軟件的最好辦法。
安全管理：安全度量標準呼聲漸高；關(guān)注指數(shù)：中
在3月13日波士頓舉行的SOURCE會議上，前美國國土安全部網(wǎng)絡(luò)組的組長向與會者發(fā)表了一個主題為信息安全的演講，期間他呼吁安全行業(yè)應(yīng)盡快制定一個安全度量標準，以供各行業(yè)的用戶能對自己的信息安全現(xiàn)狀有更清晰的了解。這是一個相當有意思的話題，盡管目前安全行業(yè)和政府等其他部門已經(jīng)制定了許多不同類型的安全標準，但接觸過信息安全領(lǐng)域或?qū)嵤┻^相關(guān)項目的朋友可能會問這樣一個問題：我知道我的企業(yè)/機構(gòu)進行過什么樣的信息安全項目，但是我怎么知道在項目實施之后我的企業(yè)/機構(gòu)的安全程度如何？
沒錯，這是個很難回答的問題，在實踐中我們可以說我們的用戶實施過什么樣的信息安全標準，如ISO27001、等級保護條例等，或者是在這樣的標準下我們的用戶已經(jīng)能夠滿足多少個條例，然而現(xiàn)在確實沒有一個得到廣泛承認的安全度量標準，來衡量一個企業(yè)/機構(gòu)的信息安全到底達到什么樣的水平，到底是及格，還是良好或者優(yōu)秀？
因為每一個用戶都有自己與其他用戶十分不同的IT設(shè)施、安全策略和IT管理水平，要在這種情況下去衡量每一個用戶的信息安全水平，并確定一個有可比性的數(shù)據(jù)，顯然是一個幾乎不可能完成的任務(wù)。筆者覺得，從短期來看，因為行業(yè)和個體的差異性過于明顯，要制定一個普適性較好的安全度量標準仍不現(xiàn)實，不同行業(yè)的用戶建議還是多關(guān)注本行業(yè)的信息安全標準的實施，或應(yīng)用通用性更好的ISO27001、PCI等標準?！ ?/p>
推薦閱讀：
2007年愛沙尼亞網(wǎng)絡(luò)戰(zhàn)的背后
2007年中因為選舉等政治問題，愛沙尼亞國內(nèi)曾發(fā)生過民眾騷亂等事件，并出現(xiàn)大規(guī)模的網(wǎng)絡(luò)拒絕服務(wù)攻擊，導(dǎo)致該國眾多的公眾和政治網(wǎng)站無法正常運作。這個事件的背后真相如何？有興趣的朋友可以看看最近公開的對此事件進行深度分析的文章《2007年愛沙尼亞網(wǎng)絡(luò)戰(zhàn)的背后》
文章的地址如下：
http://www.rferl.org/Content/Behind_The_Estonia_Cyberattacks/1505613.html
【.COM 獨家特稿，轉(zhuǎn)載請注明出處及作者！】
網(wǎng)頁標題：回顧：駭客套裝明碼標價按年付費安全標準呼聲漸高
網(wǎng)站路徑：http://www.5511xx.com/article/cdjesji.html
