广东南方信息安全产业基地有限公司《信息安全周刊》 - china … · 2015-12-08 · 广东南方信息安全产业基地有限公司《信息安全周刊》 4

广东南方信息安全产业基地有限公司《信息安全周刊》

3


3

一、本期信息安全资讯........................................................................... 4

1.全球最大的免费 Web 托管公司 000Webhost 被黑，1350 万明文

密码泄露................................................................................................4

2. 网易邮箱被破，你的账户是否还安全？.................................... 6

二、本期行业安全动态......................................................................... 10

1.18000 个 Android 应用包含代码用于监视短信......................... 10

2.面对勒索软件，FBI 也认怂了......................................................11

三、最新病毒及安全漏洞.....................................................................14

1.CVE-2015-6971：对联想电脑系统更新组件的漏洞分析..........14

2.黑客利用手环系统漏洞盗取用户信息.........................................17

四、前沿安全技术领域分享.................................................................20

1.让数据迁移变得轻松.....................................................................20

2.网络安防问题日益突出四步解决安全问题.............................. 23

本期提要


4

一、本期信息安全资讯

1.全球最大的免费Web托管公司000Webhost被黑，1350

万明文密码泄露

全球最流行的免费Web 托管公司 000Webhost 遭遇了一次大规模

的数据泄露事件，1350 万用户的个人数据泄露。

FreeBuf 百科：000webhost

000webhost 是国外著名空间商 Hosting24 旗下的免费虚拟主机

产品，号称“比收费虚拟主机更好用”。而确实如其所说的，该空间

非常优质和稳定。而该空间提供商也见识到了中国人口之多，中国用

户申请到有一定难度。他的口碑也确实不错。000webhost 提供的免

费服务：全能 PHP 空间 1.5G ，支持 PHP(不支持 ASP)，支持绑定顶

级域名，无任何广告，独立控制面板，免费创建 Mysql 数据库，FTP

上传下载，在线压缩解压，支持 fopen()函数。


5

事件详情

用户泄露的信息包括用户名、明文密码、邮箱地址、IP 地址、

用户真实的姓氏。000webhost 在其官方 Facebook 上确认了公司被黑

客攻击，确认声明如下：

我们已经发现我们的主服务器上的数据库被泄露。黑客是使用老

版本 PHP 中含有的一个 exp 上传一些文件，从而获得访问的系统。尽

管整个数据库都被入侵了，但我们最担心的是客户信息。

澳大利亚安全研究员Troy Hunt从匿名来源处获得了000webhost

泄露的数据，并已经确定了数据的真实性。

“毫无疑问 000webhost 的泄露事件是真实的，用户应该知情。

我更希望 000webhost 公司能自己通知其用户信息已经泄露。”

000webhost 一直忽略专业人员的安全警告

之前 Troy Hunt 和 Forbes 记者曾不止一次的告诉 000webhost 公

司存在数据泄露的风险，然而他们却没有给予足够多的重视，甚至忽

略了他们的警告。

更严重的是什么？

000webhost 甚至都没有采取最基本、最标准的安全措施来保障

用户数据的安全。就在几天前，英国手机通信及宽带服务运营商

TalkTalk 也遭遇了严重的数据泄露，涉及 400 万用户。

那么数据泄露能造成什么危害呢？

1，严重损害公司声誉

2，丧失客户的信任

http://www.freebuf.com/?s=TalkTalk

http://www.freebuf.com/?s=TalkTalk


6

3，数千美元的罚款

4，个人数据丢失可能造成永久性的伤害

5，暂时或者永久性的关闭

补救措施

出于安全考虑，000webhost 应该更改所有用户的密码（密码要

随机），部署加密措施，但不要直接通知受影响的用户；而受影响的

用户也要根据密码重置步骤生成新的密码。

2. 网易邮箱被破，你的账户是否还安全？

10 月中旬，诸多网友微博反应称，网易邮箱被破解，邮 3 箱内

容遭泄露，并波及到其他一些网易绑定的账户，其中有网友表示使用

网易邮箱绑定 Apple ID 的手机已经被锁，数据被擦除。

对于这一事件，网易反击不存在邮箱数据库被攻击和泄露，但乌

云平台用户“路人甲”随即便提交了漏洞，称网易邮箱过亿数据泄露，

http://image.3001.net/images/20151029/14461058482594.png!small


7

其密保均为 MD5 存储，随后证实部分数据有效。

针对此事件，应有的网络安全意识

无论此次事件中网易责任有多大，网易都会根据自身的漏洞进行

优化。我们在平时的账号使用过程中也保持应有的网络安全习惯，以

此来保障自己的账号信息不被泄露，在平时的网络应用中，我们应有

哪些事项需要注意，该采取哪些措施，我们特发起一次活动

(http://bbs.chinaunix.net/thread-4190009-1-1.html)对此问题

进行讨论，让我们仁者见仁，智者见智，一起来讨论一下吧。

对于邮箱是会有定期修改密码的习惯？

对于这个问题，我想很对人并没有这个习惯，很多用户注册账号

设置密码时都是使用的特殊的日期或者对自己有着特殊含义的时间

有关联，不想随意的改动。还有些用户是怕改来改去自己都忘记了自

己的密码，容易产生混淆。

网友 chenyx 说：“很少有人会定期修改密码吧，反正我是不修

改的，关键是密码太多记不住啊。”网友 ylky_2000 坦诚表示：“ 实

话实说，确实没有更改密码的习惯，这点不好。分析下不更改密码的

原因我有三个：一个是自己比较懒惰，这个是最重要的原因。第二个

原因是有留意到，修改密码的时候，部分应用会提示，不能使用用过

的密码，这就很头痛了。第三个原因是不同应用网站的密码策略不一

样，各种字符的组合要求不一样，导致最后会有很多的密码需要记

忆。”然而也并非所有人都如此大意，网友 idiOt 说：“有，因为现

在的网络实在太不安全了，从客户端到服务器，传输过程都太不安全


8

了。”其实定期或不定期的修改密码是很重要的，大家应该引起相应

的重视。

你是否会对每一个账户拥有一组密码，避免撞库威胁？

随着网络的发展，每个人都有属于自己的多个账户，面对如此众

多的个人账户，如果一个密码走遍网络，那撞库的可能性是相当的大。

网友 zsszss0000 说“ 不会，密码多了就记不住了。”确实，密码太

多记忆方面是一大难题。

其实我们可以将账户进行简单的分组，设定几组密码，就不会一

个号一个密码那么难记忆，在这方面很多人就做的不错。网友

seesea2517 说：“我会对每一种帐户配置一套密码，注意只是密码

算法，密码本身不一样，但密码制作的算法一样，比如用一句话拼音

首字母或英语语句，不同的网站类型用不同的算法，比如论坛不是那

么敏感就简单点，邮箱重要点，支付宝什么的最复杂。”这就是一个

很好的值得借鉴的方法。必要的网络安全意识还是要注意的。

对于网易此次事件你有什么看法

此次事件，对于网易来说是大了一记耳光，暴露出了网易的漏洞，

对网易来说有一个警醒作用，日后肯定会多加注意，也不失为一桩好

事。网友 ylky_2000 说：“表示理解。0day 漏洞多的是，谁能保证

绝对的安全呢?飞机、汽车都有失恋的时候，难道我们就不坐飞机汽

车了吗?希望网易能积累更多的经验，做出一款大家喜欢、信耐、得

到大家理解的产品。”

但其出事后不能主动认识到自己的错误，而一味地逃避责任也让


9

很多用户表示不满。网友 seesea2517 说：“对于怎么泄露的不懂就

不做猜测了，但这个公关做的确实有点弱，国人好面子的特点又一次

展现。其实承认问题，查找原因，堵住漏洞，赶紧通知大家修改密码

避免损失才是正确的解决办法。”

网友 zsszss0000 也表示称：“1、对于企业而言还是要加强信息

安全的管理、让处理更加透明，诚恳一点，该道歉道歉，该补救补救，

及时提示客户风险，今早打消客户的疑虑，避免事件持续发酵，造成

企业形象的损坏。2、对于个人用户而言，还是要注意保护自己的隐

私信息，重要的信息尽量不要保存在邮箱中，也不要不同的账户都设

置相同的密码，互联网上已经没有绝对安全的孤岛了。”无疑，这次

的事件对于网易，企业和个人都敲响了一个警钟。希望此事件能引起

人们的网络安全意识。

写在最后

随着网络时代的发展，账户越来越多，个人信息也越来越多的走

进网络，一个良好的网络安全习惯对当今时代来说是至关重要的。

网络安全事件不断上演，对于各大运营商来说，最主要的是要做

到尽可能的保证网络安全，消除网络安全隐患，给广大网民一个良好

的安全的网络环境，广大网络用户也应当时刻注意，保持良好的网络

习惯，保证自己的网络信息安全。


10

二、本期行业安全动态

1.18000个 Android应用包含代码用于监视短信

据称，大量的第三方 Android 应用程序被发现感染了设备，抓

取其接收或发送的短信副本，并将所有抓取到的发送到攻击者的服务

器。63000 多个 Android 应用程序使用 Taomike SDK 帮助开发人员展

示他们的移动应用程序广告并产生收入。

然而，根据研究员发现，大约有 18000 个 Android 应用中包含恶

意代码，它们能监视用户的短信。Taomike 提供了一个软件开发工具

包(SDK)，还为 Android 应用程序开发人员提供了有以下功能的服务：

向用户显示广告;发售应用内置购买(IAPs)。

考虑到分配应用程序技术搭建的收入，安全研究人员解释：“并

不是所有使用 Taomike 的应用程序都窃取短信”。

该 Taomike 库，被称为“zdtpay'，是 Taomike 的 IAP 系统的一

个组成部分。这个库需要短信和网络的相关权限，还需要下载一个应

用程序。该库还注册了一个接收器名为 com.zdtpay.Rf2b，为了执行

SMS_RECEIVED 和 BOOT_COMPLETED 动作。当短信到达手机时，接收器

Rf2b 读取消息，然后收集消息主体以及发送者。此外，如果该设备

重新启动，MySd2e 服务会开启注册用于接收器的 Rf2b。接收器收集

的 SMS 消息和作为密钥的“其他”部分存储在一个 hashmap 中，然后

发送到一个上传消息到地址 112.126.69.51 的机制中。

研究人员称，这个库盲目地抓取并上传从受感染手机里收到的所


11

有短信，而不只是那些与 Taomike 平台相关的。

2.面对勒索软件，FBI也认怂了

如果你的电脑被黑客入侵，感染了恶意程序，并且黑客挟持其中

的数据要求你支付赎金，那就按条件支付他们吧，不要期望 FBI 会帮

你救出数据。这句话不是杜撰的，是 FBI 给予的忠告。

勒索软件是一个很复杂的恶意软件，黑客可以加密受害者硬盘和

服务器上的所有内容，受害者需要交付赎金（通常为比特币）才能获

得解密密钥。

联邦机构和 FBI 之前一直要求受害者不要向犯罪者支付赎金，是

因为支付了赎金他们也未必能收到解密密钥。

FBI：最好还是支付赎金

助理探员 Joseph Bonavolonta 在 2015 年网络安全峰会上指出，

通过对 FBI 波士顿办公室的审查，他们建议公司在感染了勒索软件之

后最好支付赎金来找回重要数据。

“勒索软件比较复杂，说实话，我们建议受害者最好支付赎金。”

http://image.3001.net/images/20151028/14460157094912.png!small


12

So，现在 FBI 是确定支付赎金就能赎回受害者数据了吗？

像 Cryptolocker，Cryptowall，Reveton 这类勒索软件，它们通

常会使用“最安全”的加密算法来加密受害者数据，而受害者通常需

要支付 200-10000 美元才能获得解密数据的密钥。然而，即便支付了

这高昂的赎金，也未必就保证你能得到解密数据的密钥。

即使是警察部门也不能保证不会感染勒索软件病毒。Cryptowall

是目前最流行的恶意软件，从 2014 年 4月至 2015 年 6月，网络犯罪

者仅使用 Cryptowall 就挣得了 1800 万美元。

由于勒索软件攻击的成功率非常大，为了追求最大化的利润，网

络犯罪者们可能会降低赎金金额。出于这个原因，他们应该会信守承

诺，支付赎金会允许访问数据。

就勒索软件这一问题上，FBI 的建议和大部分公众的建议是相违

背的，不是所有的人都会同意 Bonavolonta 的观点，毕竟满足网络犯

罪者的需求就等于变相鼓励犯罪。

预防是最好的解决方法


13

正如一贯倡导的那样，预防勒索软件最有效的方法就是预防，要

有安全意识，并且日常中要实时备份数据。

感染病毒的方式无外乎是打开了邮件中的恶意附件，点击了含有

恶意程序的链接，所以不要随意点开不明来源邮件中的链接和附件。

另外，一定要保证你的电脑运行着最新版本的杀毒软件。


14

三、最新病毒及安全漏洞

1.CVE-2015-6971：对联想电脑系统更新组件的漏洞分析

在过去的 7个月，联想大量的系统更新软件漏洞让人眼前一亮。

联想在今年春季修复了第一批漏洞，我决定深入了解这些补丁来验证

这些存在的漏洞。结果我发现了一枚相关漏洞(CVE-2015-6971)，接

下来我会详细的进行讲述。

背景

联想品牌的大多数电脑都包含了一款用于更新系统的软件，它负

责检测计算机硬件配置的驱动以及其他软件的最新版本(包括

Windows 系统补丁)，用户可通过 Lenovo System Update 下载以及安

装更新。

漏洞发现

漏洞最初是由安全厂商 IOActive 发现，由于软件的设计缺陷本

地用户可以将权限提升至 SYSTEM。在检测补丁版本 5.06.0034 时，


15

我发现它并没有完全被修复。

Lenovo System Update 5.06.0034 包含多个组件。一个是运行

本地系统账户的 Windows 服务，通过一个命名通道，该服务可接收用

户命令。另一个是有签名的客户端应用程序，服务将拒绝执行除有签

名以外的任何应用程序命令。这个问题对于将代码注入到运行的原始

进程从而在服务端绕过安全检测来说有些鸡肋。联想在 9月份发布的

另外一个补丁中进行了修复。

看看新版本 5.07.0008，我发现了一系列的新问题：多亏其有一

个合法的控制台，无特权用户也可以从 system 删除任意文件。

工作原理

以下代码是在 Windows 10 32-bit 下进行测试:

64 位机器需要将%ProgramFiles%替换为%ProgramFiles(x86)%，

以及检测 32位注册表位置(Wow6432Node).

"%ProgramFiles%\Lenovo\System Update\ConfigService.exe

" start

"%ProgramFiles%\Lenovo\System Update\TvsuCommandLaunch

er.exe" /execute UACSdk.exe /arguments "A1 A2 C:\User

s\Administrator\Documents\TopSecret.txt A3" /directory "

%ProgramFiles%\Lenovo\System Update" /type COMMAND

注意观察 TopSecret.txt。如果这个文件对于系统组件函数来说

十分重要，那我们可以利用这个问题导致拒绝服务。

接下来我们就来看看一个低权限用户是如何通过这个漏洞读取


16

任意文件的。作为内部处理的一部分，Lenovo System Update 服务

复制任意文件到用户可读取的位置，我们现在就指定上面中的例子

(C:\Users\Administrator\Documents\TopSecret.txt)作为演示。监

控这个位置并读取内容很繁琐，所以我编写了一个简单的 Python 脚

本来进行验证：

import sys

while True:

try:

# Adjust the path below on 64-bit machine

f = open("C:\\Program Files\\Lenovo\\System Update\\temp.reg

", "r")

print(f.read())

f.close()

break

except IOError as err:

sys.stdout.write(＂．＂)

检测注册表以及出现的新值，这也意味着攻击者可以改变现有状

态加载恶意代码。例如通过替换 InProcServer32 系统组件的位置，

很早以前(Windows 3.1-style)就存在这种方法了，然而联想软件并

没有对其导入进行限制。

最后，由于命令处理漏洞，我们可以通过管理员权限执行命令。

欢迎各位动手去看看，使用无特权用户运行以下命令：

"%ProgramFiles%\Lenovo\System Update\ConfigService.exe" start

echo test > C:\Users\Public\S.log

"%ProgramFiles%\Lenovo\System Update\TvsuCommandLauncher.exe" /execut

e uacsdk.exe /arguments "A1 A2 C:\Users\Public\S.log "" """ /director

y "%ProgramFiles%\Lenovo\System Update" /type COMMAND

此时此刻应该可以看到 Lenovo System Update GUI，接着编译

下面这个小程序(从%ProgramFiles%\Lenovo\System Update\复制


17

UNCObject.dll)并使用无特权用户运行

这将打开一个命令提示符窗口，该用户可进行管理员级别的访问

(其作为 BUILTIN\Administrators 群组的一员)。接下来低权限用户

完全可以接替特权用户的工作咯！

总结

联想软件中的多个漏洞，允许未经授权的用户获得管理员权限，

对于企业环境这个问题是要人命的。联想近期又发布了一个新版本

(5.07.0013)来解决这个问题。

2.黑客利用手环系统漏洞盗取用户信息

通过利用手环的系统漏洞，黑客可以忽略手机，不经过配对校验

就直接与用户的手环实现连接。

不仅是手机病毒可以盗取用户的支付密码等信息，甚至平时用于

计步的智能手环，也可能由于被黑客放侵而泄漏用户的银行卡密码。

9月 22 日，由上海市经济和信息化委员会、上海市长宁区政府

指导，上海市长宁区科学技术委员会、上海市信息安全行业协会等联

合主办“虹桥‘互联网+’论坛暨第三届互联网金融科技风险与治理


18

高峰论坛”举办，呼吁金融企业提高对黑客攻击和漏洞处置的重视程

度。

安全专家、奇虎 360 网络攻防实验室林伟透露，智能手环等穿戴

设备近年来越来越受到年轻人的欢迎，很多人想象不到，它也已经存

在着让黑客入侵并掌握用户个人金融信息的安全隐患。通过利用手环

的系统漏洞，黑客可以忽略手机，不经过配对校验就直接与用户的手

环实现连接。这样不仅可以做出“清零手环步数”这样的恶作剧，甚

至当用户戴着手环到 ATM 机输入银行卡密码时，黑客可以借助手环的

运动传感器，依据手部动作的位置和幅度，远程分析出用户正在输入

的密码。

除了传统金融业，正在兴起的互联网金融业因系统隐患和安全漏

洞面临的威胁则更大。论坛透露了一组来自于互联网企业的统计数

据。

据第一网贷发布的《2015 年上半年中国 P2P 网贷指数、人气指

数运行报告》显示，截止至 2015 年 6 月底，全国共有 3547 家 P2P 网

贷平台，纳入中国 P2P 网贷指数统计的 P2P 网贷平台为 2553 家。另

据网贷之家的统计数据，2015 年 8 月份 P2P 网贷整体成交量达到

974.63 亿元，环比上升超过 18%。同时，参与 P2P 网贷的投资人和借

款人达到了 204.28 万人和 54.94 万人，参与人数大幅攀升。

与 P2P 的红火形成对比的是，从乌云平台最新发布的《2015 年

P2P 金融网站安全漏洞分析报告》来看，自 2014 年至今，乌云平台

收到有关 P2P 行业漏洞总数为 402 个，仅 2015 年上半年就有 235 个，


19

上半年比去年一年增长了 40.7%。2015 年下半年截止至 8月已收集到

120 个漏洞，其中高危漏洞更是高达 56.2%。在报告的 402 个漏洞中，

有可能影响到资金安全的漏洞就占据了漏洞总数的 39%，2015 年上半

年影响资金安全的漏洞占 43%，P2P 资金风险呈现快速上升的趋势。

据专家介绍，密码重置环节是黑客利用最多的逻辑漏洞。一般密

码重置都有输入用户名、验证身份、重置密码几个环节，由于验证身

份一般都是通过发送 4到 6位的数字到用户手机或邮箱，相比破解用

户本身的密码要容易得多，只要系统留出的验证码有效期时间足够

长，黑客就可以利用计算机的高速运算能力猜解目标的口令密码，实

现“爆破”，甚至还可以借助一些网站的系统漏洞直接修改数据，用

自己的手机或邮箱代收用户验证码。

另据漏洞盒子发布的《2015 上半年度金融行业互联网安全报告》

显示，截至 2014 年底，已有近 165 家 P2P 平台由于黑客攻击，造成

了系统瘫痪、数据被恶意篡改、资金被洗劫一空等灾难性后果。论坛

透露，来自世界反黑客组织的最新通报，中国 P2P 已经成为全世界黑

客宰割的羔羊，资金安全应当占据 P2P 行业安全的首要位置。然而，

网络安全还没有被金融业、尤其是互联网金融业彻底地重视起来，互

联网金融企业对黑客攻击和对发现的漏洞处置，重视程度普遍不够。


20

四、前沿安全技术领域分享

1.让数据迁移变得轻松

不管你称其为数据引力还是数据惯性，从存储基础设施的一个位

置移动数据到另一个位置是个艰难的过程。至少，过去是这样。而现

在，在合适的工具和基础设施条件下，传统的数据迁移过程中涉及到

的许多困难点都可以消除。采用的方法只是提前规划和采用恰当的技

术。

为什么数据迁移在过去是个问题

一份最新的 Hitachi Data Systems 报告详细的整理了来自 IDC

和 451 个集团公司的调研。报告表明数据迁移项目占据了大型企业

IT项目的 60%，并且，几乎一半的 IT预算用于运维开销——一个明

显的信号即数据迁移消耗了大部分的 IT 预算。据估计，迁移 1TB 数

据的成本是 1万 5千美元，因此，数据迁移对很多 IT 部门来说是令

人发憷的。而数据迁移困难之处，有许多原因。

数据迁移困难的一般原因包括：


21

复杂性。当今许多庞大的存储阵列已经变得很复杂，支持几千个

LUN或卷，然后连接到许多主机。而这些主机通过光纤通道(FC)，iSCSI

和 FC over Ethernet 网络连接。阵列的高级功能部署包括了本地复

制(快照、克隆)和远程复制(同步和异步的复制)，同时也考虑了不同

存储系统间应用的依赖性。当代磁盘阵列一般有多层存储，而且具有

性能管理功能比如动态分层，以实现产品最优 I/O 响应时间。

技术依赖。包含许多主机的存储阵列系统已经部署了多年，所以，

硬件和软件设备，固件和设备驱动可能变化很大。在数据迁移时这些

组件都可能需要升级或者刷新。在某些情况下，设备可能不再被支持，

这就表明了一个风险项，或者表明需要投入成本来取代硬件。

运维依赖。大多数企业 IT 环境要求 24/7 运行，计划中的数据迁

移停止是困难的，或者不可能。当复杂的服务器依赖存在以及业务连

续性/灾难恢复等服务级目标需要保持时，就要面临这种情形。大量

的时间花在了计划和再计划的数据迁移，以及对改变的组织进行协

商。

存储容量规模。存储阵列可以存储大量的数据。最新来自 EMC 和

日立的单个大阵列的存储容量超过 4PB。数据迁移速率限制也表明 PB

量级的数据迁移将花费很长时间来传输，在此期间，必须保证对生产

应用没有或者很小的性能影响。

成本。数据迁移需要认真规划，并有效执行，从项目经理到存储

架构师、应用开发者，都需要随时验证数据迁移成功完成与否。在迁

移中也有成本，需要维护设备。所以，迁移所需时间越长，保持额外


22

复制硬件的成本就越高。

当然，以上的这些问题仅仅影响设备到设备间的数据迁移。把

应用或者数据移动到公共云上的这种数据迁移所遇到的问题就不同

了。如果公司基于新的技术比如 Hadoop 构建大数据池，这种情况下

的数据迁移还需要考虑其他问题。很明显，不同企业间的数据迁移也

是个问题。

最后，任何数据迁移策略的目的都是提高数据移动性。镇对上面

已经讨论的宽泛的迁移类别，我们接下来就分析一些迁移技术和架构

设计以其帮助我们解决一些常见的迁移问题。

阵列间迁移

数据迁移里最常见的一个需求就是在存储阵列间或者存储设备

间移动数据。目前我们考虑块级别的协议数据的迁移，一般的方法有:

基于主机的迁移。数据在主机级别进行移动，通过卷到卷的数据

拷贝进行，其中旧卷和新卷属于主机。拷贝过程可能很基础(比如工

具 Robocopy)，也可能很复杂(使用逻辑卷管理器等)。基于主机的迁

移提供了一个再次布局数据的机会。

基于阵列的数据迁移。利用阵列级数据迁移工具在阵列间进行数

据迁移。对于一致性传输(源和目标设备都是同一个厂商或者相同型

号)，可以使用原生的复制工具，尽管有一些限制。异质迁移就复杂

了，虽然有一些工具比如EMC的Open Migrator或者HP 3PAR的Online

Import 允许第三方存储阵列导入数据到自己的阵列中。


23

2.网络安防问题日益突出四步解决安全问题

互联网时代，网络安全问题一直困扰着人们。据 PwC 提供的数

据显示，在过去的一年中他们有 86%的计算机的系统遭受过攻击，相

比往年增加了 38%。那么，网络安全问题将会成为一种未来冲击么？

难道被网络安全问题困扰将成为我们的宿命么？这针对这些问题，我

们应该怎么办呢？难道我们只能被欺负么？

当你怀着恐慌目不转睛的盯紧网络安全问题时，很容易迷失在信

息的海洋中，不知所措。这使你在被黑客攻击的时候，会充分感到无

助、乏力并且无可奈何。对于网络安全问题其实我们不必过于惊慌，

任何问题成为焦点以后，都会变得更加容易解决。通过一些简单的办

法，我们就可以轻松地大幅度降低网络安全事件的风险。

根据澳大利亚最大的电讯公司 Telstra 数据显示，45%的网络安

全事件，是由于人们点击电子邮件内的恶意附件或木马链接导致。这

一问题其实很好解决。

对于安全问题，人们可以做什么和实际做了什么之间存在罅隙，


24

这正是源于人们对于信心的缺失。人们总是以为网络安全是程序员以

及网络安防人员才能解决的事情，其实现在很多公司、组织、政府机

构都可以为人们提供网络问题基本的指导意见，来帮助人们应对未来

的冲击，并使人们开始主动思考网络安全。

1、重视安全风险

首先，我们要承认网络安全问题没有一个完美的解决方法。这消

息听起来可能使人绝望，但事实如此，有些安全风险的确很难缓解。

但是谨慎的对策可以使这些安全风险处在可控范围内。我们应当

把网络安全风险当作其他传统风险的自然延伸来予以重视。根据国外

媒体数据显示，有 61%的公司并没有将网络安全事件登记在册，这说

明大多数公司并没有将网络安全事件重视起来。

绝大多数的攻击并不是很复杂，可以通过简单的策略来预防。因

此，我们应当加强网络安全意识，控制网络安全风险。而不是等被攻

击了再去想着解决。

2、更新至关重要

很多人觉得更新系统补丁非常麻烦，从而关闭补丁的自动更新，

这其实是一个很大的错误。

定期更新你的软件、手机和计算机系统是很重要的。此前根据

调查机构显示目前全世界仍有大量的计算机用户使用 Windows XP 系

统，由于微软早已停止了对 Windows XP 提供更新，这样目前仍然使

用 XP系统的用户，就蕴含了很高的安全风险。

软件公司聘请高素质专业人才，来研发他们的补丁。而用户通过


25

打这些补丁可以确保对已知漏洞进行修补。通过打补丁，你可以很简

单的使用安全领域专家的研究成果，那么你为什么不做呢？

3、限制访问意味着限制漏洞

限制访问最简单的方法是：不要对所有东西都设置同一个入口。

如果进入到你的系统核心只需一个密码的话，那么就等于将你的电脑

暴露在危险中。

为系统建立管理员权限，这样用户就只能访问被授权的资源。对

于在家办公来说，这样做意味着把电脑分为了家庭模式和工作模式。

另外，要记得不要把管理员用户设置成默认用户，这样就可以防止别

人在使用你的电脑时，不小心安装恶意软件，极大的降低了安全风险。

4、从底部建立权限

应用程序白名单可能听起来复杂，但它真正的意思是“在默认情

况下，拒绝”。它确保了安全的程序可以运行，而其他程序则不行。

大多数人认为计算机安全就是限制访问，而白名单是从逆向出

发，因此它更加安全。大多数操作系统包含简单易用的白名单工具。

在正确的方法下使用白名单，是保护网络安全的有效方法。

5、简单的事情最重要

虽然上面这些小的方法，看起来十分简单，但是如果你照做了，

将极大地降低你受到网络攻击的可能性。

对于网络安全问题，如今有许多建议，比如：制定一项国家网络

安全战略、人们在受到安全攻击时主动汇报、设立网络安全险等等，

这些举措无疑都需要靠一整套的基础信息方法来实现。虽然这些举措


26

或许可以应对未来的网络安全冲击，但是在眼下还不完善。通过相对

简单的措施，就可以使网络更加安全，那么你何乐而不为呢？


27

广东南方信息安全产业基地有限公司 《信息安全周刊》 - china … · 2015-12-08 · 广东南方信息安全产业基地有限公司 《信息安全周刊》 4

Documents

广东南方信息安全产业基地有限公司《信息安全周刊》 - china … · 2015-12-08 · 广东南方信息安全产业基地有限公司《信息安全周刊》 4