IBM安全报告：合法网站成企业IT安全的罩门

IBM近日公布旗下X-Force资安实验室所做的安全研究报告（PDF檔，4.6MB），指出有愈来愈多的黑客是透过入侵合法网站来攻击使用者，而这也成为企业IT安全的致命伤。

X-Force发现2008年的两大主要攻击趋势，一是合法网站成为黑客攻击用户的媒介。黑客先攻陷网络应用程序再藉之影响用户，同时，企业正在使用这些充满漏洞的应用程序，更糟的是企业所使用的客制化应用程序含有许多未知而无法修补的安全漏洞。

去年被揭露的漏洞中有超过一半（54%）与网络应用程序有关，而且其中的74%并未被修补；此外，去年初兴起的自动数据隐码（SQL injection）漏洞有增无减，资料隐码攻击数量从去年夏天到去年底成长了30倍。

根据该报告，影响网络应用程序的大部份漏洞为跨站攻击（XSS）、数据隐码及含有安全漏洞的档案；在2008年数据隐码取代了跨站攻击成为最主要的网络应用程序漏洞，去年的数据隐码漏洞数量比2007年成长了134%。

X-Force分析，这是因为跨站攻击漏洞对黑客而言不再那么有价值，黑客只能透过该类型的漏洞取得使用者在被骇网站的账号数据，但数据隐码漏洞却能将使用者导到恶意网站并植入恶意软件，进而掌控用户的计算机，对黑客而言更有实质上的效益。

IBM网络安全系统X-Force研究暨开发营运经理Kris Lamb表示，令人讶异的是这些资料隐码攻击大量透过10年前被揭露但未被妥善修补的漏洞，黑客之所以锁定企业是因为这些企业让他们很容易攻击任何造访企业网站的使用者。

第二个趋势是，虽然黑客持续锁定IE浏览器及ActiveX控制器作为入侵用户计算机的媒介，但黑客开始将攻击程序结合恶意的影片档案或文件，诸如Flash档案或是PDF档案。此外，X-Force亦指出含有攻击程序的网域光是在去年第四季就比2007年多了50%。

该研究的其他发现还包括去年所揭露的漏洞数量比2007年多了13.5%；截至去年底为止，2008年揭露的漏洞有53%未被修补，除了去年的漏洞未修补外，2007年的漏洞也有44%未被修补，2006年则有46%。发送垃圾讯息的三大来源国依序是中国、美国及土耳其，总计占约30%。中国在去年首度超越美国成为代管最多恶意网站的国家，有近9成的网钓黑客锁定金融机构，其中大部份是针对北美地区；最普遍的恶意软件为木马，通常锁定在线游戏及网络银行用户，X-Force预估这些族群在今年仍将是黑客的目标