IBM 近日公布了其 2008年度 X-Force 安全趋势与风险报告，结果显示企业正无意间将自己的客户置于受到网络攻击的危险境地。随着利用合法的企业网站向客户发动的攻击以惊人的速度激增，网络犯罪者正在利用企业来攻击其客户，从而不断窃取客户的个人数据。

    新发布的 X-Force 报告指出了 2008年犯罪者利用网站攻击大众的两大趋势。

    首先，网站已成为企业 IT 安全的最薄弱环节。攻击者重点攻击网络应用程序，以便能够感染计算机终端。同时，企业使用的商业应用程序充满漏洞，而他们定制的应用程序可能存在大量无法修补的未知漏洞。2008年发现的漏洞多半与网络应用有关，其中超过 74%的漏洞仍没有补丁。因此，2008年初大规模出现的 SQL 注入漏洞现在仍没有减少。2008年夏季开始出现 SQL 注入攻击，到 2008年底攻击数量飙升了 30倍。

图1 ：2008年发现的 Web 应用漏洞截止 2008年底仍未有厂商补丁的百分比

    IBM 互联网安全系统 X-Force 研发运营经理 Kris Lamb 表示：“这些攻击自动启动，其主要目的是欺骗网络用户，并将他们引向 Web 浏览器漏洞利用程序集。这种大规模的攻击形式很古老、但目前依然存在。令人惊讶的是 ，SQL 注入攻击自首次发现至今已经十年，由于没有适当的补丁至今仍然很猖獗。网络犯罪者之所以将目标锁定企业，是因为任何访问企业网站的用户都可轻易成为攻击目标。”

    IBM X-Force 报告显示的第二大趋势是，尽管攻击者继续将浏览器和 ActiveX 控件作为破坏终端计算机的主要方式，但他们的重点正在转向恶意动画（如 Flash）和文件（如 PDF）的新型漏洞。仅在 2008年第四季度，IBM X-Force发现的包含漏洞的恶意网址的数量就比 2007全年上升 50%。垃圾邮件发送者也转而利用知名网站扩大攻击范围。2008年下半年，在流行博客网站和新闻网站上包含垃圾信息的技术翻了一番。

图2 : 恶意网站攻击手段所利用的应用程序

    X-Force 报告的另一重大发现是，2008年披露的许多严重漏洞还没有大量遭到利用。IBM X-Force 认为，安全行业针对披露的漏洞可以选取不同的响应级别。响应级别目前是参考通用安全漏洞评分系统（CVSS）这一业界标准。漏洞的技术层面是 CVSS 关注的重点，包括漏洞的严重程度和被利用的容易程度。尽管这些因素都极其重要，然而安全行业还是忽视了计算机犯罪的首要动机是获取经济机会。
Lamb 说：“CVSS 提供了安全行业衡量安全威胁的必要基础。但我们也认识到，网络犯罪者主要受经济利益驱使。他们在进攻前会衡量漏洞的经济机会和攻击成本，这是我们应该全面了解的。安全行业如果能够更好的理解计算机网络犯罪者的动机，就可更准确地判断哪些威胁会随时发生，需要紧急修复漏洞；哪些漏洞攻击需要较长时间才会大规模出现，哪些漏洞攻击则可能永远不会出现。对漏洞进行这样的分析可以帮助我们更有效地利用时间和资源。”

图3 ：漏洞利用可能性象限图

    X-Force 自 1997年以来一直对安全漏洞进行分类、分析和研究，已对近 4万个安全漏洞进行了分类，拥有世界上最大的漏洞数据库。X-Force 研究人员通过这一庞大数据库了解漏洞被发现和被传播的规律。

    IBM 的新版 X-Force 报告还表明：

• 2008年是发现漏洞最多的一年，比 2007年增加了 13.5%。

图4 ：2000年至2008年披露的漏洞数量

• 在 2008年底，全年发现的漏洞中 53%没有厂商提供的补丁。此外，到 2008年底，2006年出现的 46%的漏洞以及 2007年出现的 44%的漏洞依然无可用补丁。

图5 ： 2006年至 2008年披露的漏洞对应厂商提供补丁的百分比

• 2008年，McColo 的关闭大大打击了垃圾邮件。垃圾邮件的数量和类型以及频繁发送垃圾邮件的国家数量都有所减少。
• 在 McColo 关闭前的许多年内，美国一直是最大垃圾邮件发送国。在 McColo 关闭后中国成为最大垃圾邮件发送国，但是到年底被巴西取而代之。
• 2008年，垃圾邮件主要发送国包括：俄罗斯，占 12%；美国，占 9.6%；土耳其，占 7.8%。然而，垃圾邮件起源地并不一定与垃圾邮件发送者居住地有关。
• 2008年，中国首次超过美国成为托管恶意网站最多的国家。
• 网络钓客继续攻击金融机构。近 90%的网络钓客攻击目标是金融机构，而攻击目标大部分位于北美地区。
• 在 2008年的所有恶意软件中，46%是以网上游戏和网上银行用户为攻击目标的木马病毒。X-Force 报告预测，这些特定用户群可能仍是 2009年的攻击目标。

欲了解关于 IBM X-Force 趋势报告的更多信息，请访问 www.ibm.com/services/us/iss/xforce/trendreports/