在过去的一年中，网络安全界不乏各类引起广泛关注的大事件。诸如携程漏洞、12306数据泄露、索尼影业被黑等大事件，以及心脏出血、破壳漏洞、以及间谍工具regin等，如同一枚枚重磅炸弹，不断警醒着人们的对信息安全的关注。

在近日所举行的赛门铁克第二十期《互联网安全威胁报告》(ISTR)发布会上，赛门铁克公司大中华区信息安全技术销售部区域总监罗少辉在总结中国网络安全新趋势及动态时指出：当前网络犯罪分子正在使用新的欺骗手法侵入公司网络，并在速度和精准度上获胜;同时，恶意软件数量及数字勒索则处于的大幅度上升的态势中;而移动互联和物联网的兴起也在不断带来新的安全威胁。

罗少辉表示：今年是赛门铁克每年一度的《互联网安全威胁报告》发布的第二十年，今年的报告内容十分丰富，涵盖了不同安全信息和安全威胁的现况。赛门铁克也希望藉此让业界更加深入地了解互联网领域的主要安全威胁趋势，加强互联网安全防御意识。
赛门铁克公司大北区安全解决方案技术支持部经理马蔚彦则向大家具体分享了赛门铁克第二十期《互联网安全威胁报告》的重点摘要内容。在过去的2014年，企业在网络安全方面面临了更加严峻的挑战，其中有几个领域则需要特别加以关注。

企业缺乏洞察 网络攻击者以难以预测的方式越过防御

随着攻击手段的不断演进，如今的网络攻击者正在采用新的欺骗手法入侵公司网络，其采用跳跃方式躲避企业防御，使企业无法预测。马蔚彦指出，网络攻击者所使用的新手段，包括针对性攻击、高级威胁攻击等，让企业防不胜防。他们主要采用三种手段，即鱼叉式网络钓鱼攻击、水坑攻击以及利用软件更新的方式来植入木马。

调查数据显示，在2014年，鱼叉式网络钓鱼攻击实际上呈现出增加的趋势。而同时，鱼叉式网络钓鱼攻击在实施每次攻击,时所发布的电子邮件数量在降低，收件人数量也在减少，这说明网络犯罪分子的攻击已经变得效率更高，更加精准。

在遭受鱼叉式网络钓鱼攻击的企业中，大型企业的风险率仍旧最高。与此同时，中型企业成为攻击目标的数量也在不断增加。 受到目标性攻击风险最高的主要是石油、天然气、电力等能源行业。

马蔚彦举例指出：“以蜻蜓(Dragonfly)组织为例，他们在同一时期同时采用了以上三种攻击手段，并且很多区间段是重叠的。所以，企业很难甄别或者检测出这其中的威胁。这说明攻击者正变得越来越高明。”

网络攻击者的攻击转换速度快 防御则不然

一方面，网络犯罪分子在攻击的速度和精准度上不断获胜，而另一方面，企业的防御能力却远远不及攻击者的水平提升之快。

在过去的2014年，“零日漏洞”的数量创下历史最高，达到了24个。而“零日漏洞”可被利用的价值又催生出更多的“零日漏洞”。其中，“心脏出血”(Heartbleed)被认为是有史以来在整个IT界影响范围最广的漏洞;而破壳(Shellshock)也可以被认为是迄今为止严重程度最高的漏洞。

针对性攻击者会在“零日漏洞”被发布之前充分利用该漏洞，在漏洞一旦被公开之后，其他攻击者会快速涌入。赛门铁克发现大批攻击者迅速利用该漏洞实施攻击，但对响应时间却大大落后。高级攻击者依然青睐于利用“零日漏洞”悄无声息地侵入受害者的计算机。

“从2014年的统计数据来看，2014年前5大零日漏洞的补丁的发布时间周期平均需要59天，相比2013年的4天差距巨大。在互联网和信息化的环境中，59天可以让攻击者实施很多攻击。”马蔚彦说道。

恶意软件的数量激升 新型恶意软件出现

据赛门铁克调查，2014年，含有恶意软件的网站数量实际正在减少，但这并不能说明企业的防御和安全性得到了提升。“事实上，造成这样的数据结果是因为攻击者的方法和策略发生了变化，他们会在实施攻击中使用更高级的数据包，甚至利用云技术和SaaS的技术。”马蔚彦表示。但从整体数量来讲，2014年恶意软件的变种已经达到了3亿多个，比2013年增长了26%，相当于每天出现约100万种信息威胁。

与此同时，还有更高级的威胁也在不断激增。在此次马蔚彦特别指出了一种业界尚未提出的新型恶意软件——感知虚拟机的恶意软件。据了解， 2014年，28%的恶意软件具备“感知虚拟机”能力，这为依赖虚拟沙盒观察和检测恶意软件的安全研究人员敲响了警钟。随着现在企业里大量使用虚拟化技术，安全开发人员和安全厂商也都需要研究和开发新的技术来防御高级威胁攻击。

此外，对于业界耳熟能详的电子邮件恶意软件，2014年检测到有病毒、恶意软件邮件的数量也呈现出增长趋势。“企业的IT人员会用大量的时间和精力来应对这样的常规威胁，但这类常规威的电子邮件却又是带有恶意软件的威胁。对于新出现的、可能危害性更重的高级安全问题，企业却没有足够的资源进行防护和防御。”马蔚彦说道。

而数字勒索或者勒索软件的攻击在2014年上涨了113%。从勒索软件的演变趋势来看，勒索软件还会继续实施攻击，包括个人照片、文件夹、OFFICE文件、驱动器，甚至云存储。马蔚彦指出：“我们观察到，勒索软件还在寻找新的目标。2014年我们发现了Synolocker攻击，不仅仅针对个人或企业电脑，同时也针对NAS存储设备，危害非常之大。另外，在2014年也出现了首个针对智能手机安卓平台的勒索软件。”

物联网安全不是一个新问题 而是正在发生的问题

无论用户是否将智能手机看做是物联网的一部分，智能设备已经是物联网风险的组成部分，因为移动应用通常就是物联网的用户界面。赛门铁克在最近三年内十分关注物联网安全方面的动态。

马蔚彦表示：近年来，针对ATM机、POS机的攻击已有不少惨痛的案例，而面向家用路由器、机顶盒，或者是监控摄像头等设备进行恶意代码的植入也日渐成为物联网安全的重要关注点。

除此以外，更多的物联网风险正在扩展到其他区域，包括汽车、车载系统和医疗设备等智能系统，以及现在常见的可穿戴式设备等。“一旦这些设备被成功入侵并被利用，造成的风险将会是不可估量的。”马蔚彦说道。针对此，广大企业用户也需要在安全意识方面加强防范，物联网安全已不是一个新问题，而是正在发生的安全问题。

总而言之，当下的互联网安全威胁环境正变得越来越严峻和复杂，新的威胁速度更快、攻击更加精准，攻击技术甚至超越了企业在防御方面所运用的IT技术。而通过本次赛门铁克第二十期《互联网安全威胁报告》的发布，我们也希望能够引起更多企业及用户对于互联网安全的重视，尽早采取防御手段，防患于未然。在攻击手段赶超防御技术的当下，企业及个人用户所面临的互联网安全威胁态势依旧严峻，不容小觑。

原文出自【比特网】，转载请保留原文链接：http://sec.chinabyte.com/144/13365644.shtml

(责任编辑：aqxh)