7年前，SANS(美國系統(tǒng)網(wǎng)絡安全協(xié)會)和FBI(美國聯(lián)邦調查局)旗下的國家基礎設施保護中心(NIPC)合作，公布了“互聯(lián)網(wǎng)10大漏洞”文件，上千家組織依靠這個列表在隨后的幾年內把終研究范圍擴展到20個。
2007年11 月 27 日，SANS 協(xié)會發(fā)布了“2007 年20大網(wǎng)絡安全風險”(以下簡稱20大風險)。該協(xié)會第7次對這個調查列表進行了年度更新，列出了可能對個人、公司和政府部門造成大危險的虛擬安全風險。來自6個國家的43名政府機構、業(yè)界專家以及學術界人士參與了此次調查。
據(jù)悉，此次所列出的風險都是必須立即補救的。
為何是這20大風險
眾所周知，今天的攻擊者，其流動性非常強，因此2007年的主要安全風險更加集中于影響范圍較大的攻擊者及其組織。對于隨時可能出現(xiàn)的安全威脅，用戶需要加強安全措施以確保持久地應用技術手段修補安全風險。
參與此次調查的TippingPoint公司安全研究資深經理、項目主管羅希特·達曼卡爾表示，SANS的20大風險不是“逐漸累積”的，還包含了2006年一些關鍵的風險，而且2007年的風險列表和以往的大不同點就是更注重于技術風險。但羅希特·達曼卡爾也特別強調，這些技術風險是可以通過更改配置或應用補丁程序來修補的。
很顯然，安全風險的數(shù)量事實上遠不止20個。但是根據(jù)羅希特·達曼卡爾的研究，被列出的20大風險可以讓人們把注意力集中在風險的“類別”上，并可以為系統(tǒng)管理員、程序員和首席信息官提供應對每一類安全風險的方法。把20大風險分成若干類，可以幫助人們識別出大量惡意軟件所使用的傳播矢量。
此外，SANS關于20大風險的調查報告也是一個不斷完善的文件，它將逐步地添加其他有用的信息以更正用戶在安全性方面的錯誤認識，同時將在出現(xiàn)重大威脅或出現(xiàn)更快捷的保護方法的時候更新此列表。尤其因為這是一個面向公眾的調查報告，普通用戶也可以登錄網(wǎng)站寫下自己遇到的安全風險，作調查用。
20大風險3大類別
羅希特·達曼卡爾對目前存在于互聯(lián)網(wǎng)環(huán)境下的安全風險給出了很嚴肅的提醒，他認為在互聯(lián)網(wǎng)應用愈加頻繁和豐富的今天，安全風險的到來幾乎沒有太明顯的征兆，但是一旦發(fā)生，其后果卻是難以估量的，而且追溯源頭也顯得越發(fā)困難。
總的來說，SANS發(fā)布的2007年20大互聯(lián)網(wǎng)安全風險，可以根據(jù)用戶防范的難易程度分為3類：一是網(wǎng)絡應用中的風險，二是系統(tǒng)自身漏洞造成的風險，三是由于人的脆弱性導致的安全風險。
首先，對于網(wǎng)絡應用中的風險來講，一般發(fā)生在正常使用互聯(lián)網(wǎng)時訪問到被黑客惡意控制的網(wǎng)頁或網(wǎng)站，或者使用寫流媒體類的點到點的應用。此時一少部分原因可能是用戶主動為之，即訪問一些不知名或不熟悉的網(wǎng)站，但很大程度上則是被訪問網(wǎng)站及網(wǎng)頁已受到惡意監(jiān)控。那些被控制的網(wǎng)站事實上是因為該網(wǎng)站設備中存在致命的漏洞(很多情況下是客戶端漏洞)，使得公司網(wǎng)頁系統(tǒng)受到監(jiān)控，成為僵尸網(wǎng)絡(Botnet)。與此同時，這些被控制的設備還被黑客植入后門，方便黑客攻擊者竊取大型機構的敏感信息或者控制其服務器。SANS認為這屬于互聯(lián)網(wǎng)瀏覽器或辦公軟件方面的安全漏洞。而對于這些客戶端漏洞的佳防范措施則是：1.通過網(wǎng)址攔截功能限制用戶訪問具有潛在威脅的網(wǎng)頁;2.部署商業(yè)或開放源代碼的URL過濾解決方案以防止用戶訪問含有攻擊和惡意軟件的網(wǎng)站;3.禁止用戶從網(wǎng)上下載任何媒體播放文件;4.禁止SMTP、POP或者IMAP訪問用戶的個人或者服務提供郵件服務器，這就防止未過濾和未經掃描的內容通過郵件進入企業(yè)網(wǎng)站;5.部署電子郵件防毒網(wǎng)關、反間諜軟件及其他反惡意程序的掃描解決方案;6.禁止在一個服務器上使用網(wǎng)頁瀏覽器、電子郵件客戶端、媒體播放器以及辦公軟件，如果可能，應盡可能阻止從服務器到80/TCP端口的出口通道。
其次，對于系統(tǒng)自身漏洞導致的安全風險來講，很多情況下都是網(wǎng)絡應用本身的漏洞使得網(wǎng)站被病毒侵蝕，以至于丟失數(shù)據(jù)，從而使連接該網(wǎng)站的其他電腦處在危險之中。對此，佳的防范措施應為：1.部署網(wǎng)絡應用防火墻和網(wǎng)絡應用安全掃描器，并通過應用源代碼的測試工具和應用滲透測試服務在系統(tǒng)內部杜絕安全漏洞，而重要的則是重要的網(wǎng)絡應用應通過經過驗證的安全過程進行使用，同時保證驗證程序本身的安全性。2.保持系統(tǒng)更新，并保持對應用程序和系統(tǒng)軟件的補丁安裝和升級過程進行驗證。
后，對于信息網(wǎng)絡環(huán)境來說，脆弱、也是難克服的環(huán)節(jié)，其實恰恰是人，即用戶。很多易受騙的、忙碌的以及新的電腦用戶，包括高級管理人員、IT員工以及其他具有訪問特權的人，都有可能在含有釣魚軟件的郵件中按其指令進行操作，從而導致網(wǎng)絡賬戶或銀行賬戶的損失。由此而帶來的網(wǎng)絡經濟犯罪正是當前網(wǎng)絡安全事件的典型特征。對此，佳的防范措施應該是開展安全知識培訓。這是非常重要的，但同時也不能完全解決該問題。在具體實踐中可以采取兩種方法加以防范：1.演習——定期給用戶發(fā)送無惡意的釣魚郵件，測試用戶反映，加強安全意識薄弱用戶的安全防范意識。2.從設備部署和管理方面實施硬性的解決方案，如監(jiān)控網(wǎng)絡流量和系統(tǒng)內的用戶行為，以便及時防范安全風險和由此帶來的黑客入侵問題。
回顧過去主持調查的3年，羅希特·達曼卡爾認為，SANS發(fā)布的20大風險報告在風險通知和如何能夠好地反擊惡意攻擊方面是至關重要的。同時，他還建議，用戶除使用通用的風險解決方案外，還應在網(wǎng)絡接入控制系統(tǒng)和網(wǎng)絡掃描方面持續(xù)不斷地加強安全防范機制，以減少表層的風險。
2007年11 月 27 日，SANS 協(xié)會發(fā)布了“2007 年20大網(wǎng)絡安全風險”(以下簡稱20大風險)。該協(xié)會第7次對這個調查列表進行了年度更新，列出了可能對個人、公司和政府部門造成大危險的虛擬安全風險。來自6個國家的43名政府機構、業(yè)界專家以及學術界人士參與了此次調查。
據(jù)悉，此次所列出的風險都是必須立即補救的。
為何是這20大風險
眾所周知，今天的攻擊者，其流動性非常強，因此2007年的主要安全風險更加集中于影響范圍較大的攻擊者及其組織。對于隨時可能出現(xiàn)的安全威脅，用戶需要加強安全措施以確保持久地應用技術手段修補安全風險。
參與此次調查的TippingPoint公司安全研究資深經理、項目主管羅希特·達曼卡爾表示，SANS的20大風險不是“逐漸累積”的，還包含了2006年一些關鍵的風險，而且2007年的風險列表和以往的大不同點就是更注重于技術風險。但羅希特·達曼卡爾也特別強調，這些技術風險是可以通過更改配置或應用補丁程序來修補的。
很顯然，安全風險的數(shù)量事實上遠不止20個。但是根據(jù)羅希特·達曼卡爾的研究，被列出的20大風險可以讓人們把注意力集中在風險的“類別”上，并可以為系統(tǒng)管理員、程序員和首席信息官提供應對每一類安全風險的方法。把20大風險分成若干類，可以幫助人們識別出大量惡意軟件所使用的傳播矢量。
此外，SANS關于20大風險的調查報告也是一個不斷完善的文件，它將逐步地添加其他有用的信息以更正用戶在安全性方面的錯誤認識，同時將在出現(xiàn)重大威脅或出現(xiàn)更快捷的保護方法的時候更新此列表。尤其因為這是一個面向公眾的調查報告，普通用戶也可以登錄網(wǎng)站寫下自己遇到的安全風險，作調查用。
20大風險3大類別
羅希特·達曼卡爾對目前存在于互聯(lián)網(wǎng)環(huán)境下的安全風險給出了很嚴肅的提醒，他認為在互聯(lián)網(wǎng)應用愈加頻繁和豐富的今天，安全風險的到來幾乎沒有太明顯的征兆，但是一旦發(fā)生，其后果卻是難以估量的，而且追溯源頭也顯得越發(fā)困難。
總的來說，SANS發(fā)布的2007年20大互聯(lián)網(wǎng)安全風險，可以根據(jù)用戶防范的難易程度分為3類：一是網(wǎng)絡應用中的風險，二是系統(tǒng)自身漏洞造成的風險，三是由于人的脆弱性導致的安全風險。
首先，對于網(wǎng)絡應用中的風險來講，一般發(fā)生在正常使用互聯(lián)網(wǎng)時訪問到被黑客惡意控制的網(wǎng)頁或網(wǎng)站，或者使用寫流媒體類的點到點的應用。此時一少部分原因可能是用戶主動為之，即訪問一些不知名或不熟悉的網(wǎng)站，但很大程度上則是被訪問網(wǎng)站及網(wǎng)頁已受到惡意監(jiān)控。那些被控制的網(wǎng)站事實上是因為該網(wǎng)站設備中存在致命的漏洞(很多情況下是客戶端漏洞)，使得公司網(wǎng)頁系統(tǒng)受到監(jiān)控，成為僵尸網(wǎng)絡(Botnet)。與此同時，這些被控制的設備還被黑客植入后門，方便黑客攻擊者竊取大型機構的敏感信息或者控制其服務器。SANS認為這屬于互聯(lián)網(wǎng)瀏覽器或辦公軟件方面的安全漏洞。而對于這些客戶端漏洞的佳防范措施則是：1.通過網(wǎng)址攔截功能限制用戶訪問具有潛在威脅的網(wǎng)頁;2.部署商業(yè)或開放源代碼的URL過濾解決方案以防止用戶訪問含有攻擊和惡意軟件的網(wǎng)站;3.禁止用戶從網(wǎng)上下載任何媒體播放文件;4.禁止SMTP、POP或者IMAP訪問用戶的個人或者服務提供郵件服務器，這就防止未過濾和未經掃描的內容通過郵件進入企業(yè)網(wǎng)站;5.部署電子郵件防毒網(wǎng)關、反間諜軟件及其他反惡意程序的掃描解決方案;6.禁止在一個服務器上使用網(wǎng)頁瀏覽器、電子郵件客戶端、媒體播放器以及辦公軟件，如果可能，應盡可能阻止從服務器到80/TCP端口的出口通道。
其次，對于系統(tǒng)自身漏洞導致的安全風險來講，很多情況下都是網(wǎng)絡應用本身的漏洞使得網(wǎng)站被病毒侵蝕，以至于丟失數(shù)據(jù)，從而使連接該網(wǎng)站的其他電腦處在危險之中。對此，佳的防范措施應為：1.部署網(wǎng)絡應用防火墻和網(wǎng)絡應用安全掃描器，并通過應用源代碼的測試工具和應用滲透測試服務在系統(tǒng)內部杜絕安全漏洞，而重要的則是重要的網(wǎng)絡應用應通過經過驗證的安全過程進行使用，同時保證驗證程序本身的安全性。2.保持系統(tǒng)更新，并保持對應用程序和系統(tǒng)軟件的補丁安裝和升級過程進行驗證。
后，對于信息網(wǎng)絡環(huán)境來說，脆弱、也是難克服的環(huán)節(jié)，其實恰恰是人，即用戶。很多易受騙的、忙碌的以及新的電腦用戶，包括高級管理人員、IT員工以及其他具有訪問特權的人，都有可能在含有釣魚軟件的郵件中按其指令進行操作，從而導致網(wǎng)絡賬戶或銀行賬戶的損失。由此而帶來的網(wǎng)絡經濟犯罪正是當前網(wǎng)絡安全事件的典型特征。對此，佳的防范措施應該是開展安全知識培訓。這是非常重要的，但同時也不能完全解決該問題。在具體實踐中可以采取兩種方法加以防范：1.演習——定期給用戶發(fā)送無惡意的釣魚郵件，測試用戶反映，加強安全意識薄弱用戶的安全防范意識。2.從設備部署和管理方面實施硬性的解決方案，如監(jiān)控網(wǎng)絡流量和系統(tǒng)內的用戶行為，以便及時防范安全風險和由此帶來的黑客入侵問題。
回顧過去主持調查的3年，羅希特·達曼卡爾認為，SANS發(fā)布的20大風險報告在風險通知和如何能夠好地反擊惡意攻擊方面是至關重要的。同時，他還建議，用戶除使用通用的風險解決方案外，還應在網(wǎng)絡接入控制系統(tǒng)和網(wǎng)絡掃描方面持續(xù)不斷地加強安全防范機制，以減少表層的風險。