360互聯(lián)網(wǎng)安全中心日前發(fā)布的《中國網(wǎng)站安全報告(2015)》顯示,網(wǎng)站漏洞仍然比較嚴重,并且修復(fù)率不到一成。對此,專家建議應(yīng)及時修復(fù)漏洞,避免不必要的損失。
據(jù)悉,數(shù)十億條個人信息面臨泄露危險。按照被攻擊次數(shù),2015年北京、蘇州等十城市遭受漏洞攻擊超過12億次,其中,北京遭到攻擊的IP最多,高達2.9億個。
黑客對網(wǎng)站發(fā)動攻擊包括用漏洞入侵網(wǎng)站,對網(wǎng)站發(fā)動流量攻擊,或在網(wǎng)站內(nèi)植入木馬,引導(dǎo)網(wǎng)民轉(zhuǎn)向惡意網(wǎng)址。
據(jù)360互聯(lián)網(wǎng)安全中心專家裴智勇博士介紹,從各種漏洞類型來看,跨站腳本攻擊漏洞(21.9%)、異常頁面導(dǎo)致服務(wù)器路徑泄露(11.8%)和SQL注入漏洞(16.0%)這三類安全漏洞是占比最高的網(wǎng)站安全漏洞,三者之和接近網(wǎng)站所有漏洞檢出總次數(shù)的一半。相比2014年,“異常頁面導(dǎo)致服務(wù)器路徑泄露”之漏洞是2015年的“黑馬”漏洞,超過SQL注入漏洞而躍居第二。
在萬物互聯(lián)時代,物聯(lián)網(wǎng)、車聯(lián)網(wǎng)、互聯(lián)網(wǎng)+金融、O2O創(chuàng)業(yè)等領(lǐng)域方興未艾,廠商重視客戶端應(yīng)用界面的快速上線,而忽略了應(yīng)用背后常規(guī)、基礎(chǔ)的安全保障功能,以致對安全投入成本跟不上,導(dǎo)致大量應(yīng)用及網(wǎng)站服務(wù)器端漏洞曝出。360互聯(lián)網(wǎng)安全中心專家對IT/互聯(lián)網(wǎng)、電信運營商六個重點領(lǐng)域網(wǎng)站存在的漏洞進行分析,發(fā)現(xiàn)泄露信息漏洞共可導(dǎo)致約11.5億條個人信息泄露。其中:IT/互聯(lián)網(wǎng)網(wǎng)站可能泄漏的個人信息最多,其次是醫(yī)療衛(wèi)生網(wǎng)站,電信運營商"金融理財網(wǎng)站,汽車交通網(wǎng)站,教育培訓(xùn)。
“事實上,只要是人編寫的程序,都有可能出現(xiàn)漏洞,只要及時修復(fù),就很大程度上避免信息泄露。”補天漏洞響應(yīng)平臺專家鮑宇介紹,雖然漏洞頻繁,但網(wǎng)站漏洞修復(fù)率過低,是目前網(wǎng)站安全面臨的重大問題。2015年的統(tǒng)計數(shù)據(jù)顯示,網(wǎng)站在收到相關(guān)漏洞報告后,平均修復(fù)率仍然不超過10%,有的行業(yè)甚至低于5%。
裴智勇博士建議,鑒于多數(shù)通用型漏洞屬于可以檢測的已知漏洞,事件型漏洞則存在一定的偶發(fā)性和不可預(yù)測性。如果網(wǎng)站加入補天平臺,就會安排專人對補天平臺報告的漏洞進行響應(yīng)和處理。統(tǒng)計顯示,在2015年被報告漏洞的備案網(wǎng)站中,有22.0%的網(wǎng)站已加入補天平臺。
裴智勇博士表示,2015年,“數(shù)據(jù)驅(qū)動安全”的全新技術(shù)理念正在逐步取代傳統(tǒng)的被動防御、靜態(tài)防御、孤立防御的技術(shù)理念,成為廣泛認可的重要的網(wǎng)絡(luò)安全發(fā)展趨勢,并且已經(jīng)取得了一系列的重要成果。威脅情報將是未來一兩年內(nèi),最具發(fā)展?jié)摿Φ男屡d安全服務(wù)技術(shù)。人工智能、機器學(xué)習(xí)以及大數(shù)據(jù)可視化等一系列新興的網(wǎng)絡(luò)安全技術(shù),將成為網(wǎng)絡(luò)安全企業(yè)競爭力的核心體現(xiàn)。