黑客發(fā)起“瞬時(shí)攻擊“的危險(xiǎn)性
您當(dāng)前位置：首頁 > 紅訊頻道 > 網(wǎng)絡(luò)技術(shù)
紅軟基地 推薦
2012-02-04
微軟的產(chǎn)品或許是最普遍的零時(shí)差攻擊目標(biāo)了，不過其它的常用軟件也同樣面臨著受到攻擊的危險(xiǎn)。一月份研究人員公布了QuickTime播放程序里的一個(gè)漏洞， QuickTime在處理流媒體視頻文件時(shí)可能讓攻擊者入侵并控制受害者的電腦。2006年11月份Adobe ActiveX瀏覽器控件的一個(gè)漏洞也會(huì)導(dǎo)致受害者電腦被黑客控制。
零時(shí)差攻擊事件的涌現(xiàn)折射出每年公布的軟件漏洞數(shù)目在不斷地上升。2006年軟件開發(fā)者與研究人員發(fā)現(xiàn)了7247個(gè)軟件漏洞，比起2005年多了整整39%。
但是，這些bug中的大多數(shù)不會(huì)被黑客利用并發(fā)起零時(shí)差攻擊。軟件公司經(jīng)常收到用戶反映的bug和程序崩潰的報(bào)告，并從中找到安全漏洞，然后在黑客利用這些漏洞發(fā)起攻擊前就進(jìn)行修復(fù)。如果其它安全專家發(fā)現(xiàn)了一個(gè)漏洞，他們(總之，大多數(shù)會(huì)是這樣)會(huì)按照一套行業(yè)慣例――被稱作“有道德地透露”――來處理，這套慣例是特別設(shè)計(jì)用來規(guī)避零時(shí)差攻擊的。
但有時(shí)候研究人員對(duì)于軟件開發(fā)商調(diào)查的進(jìn)度過慢而感到不滿，就會(huì)在漏洞被解決之前將問題告知給大眾。部分安全專家認(rèn)為這種策略雖然有些不妥但能促使頑固的開發(fā)商立即發(fā)布修補(bǔ)程序，有些專家則譴責(zé)這種行為，認(rèn)為這么做違背了行業(yè)慣例。
擁護(hù)這種行為的人們爭(zhēng)辯說如果研究人員發(fā)現(xiàn)了漏洞，那么黑客們有可能也發(fā)現(xiàn)了。聰明的黑客會(huì)小范圍、有目標(biāo)地發(fā)起攻擊，以避免引起生產(chǎn)商的注意而發(fā)布修補(bǔ)程序。不幸的是，大多數(shù)情況下，公布漏洞都會(huì)促成大規(guī)模的零時(shí)差攻擊。
包括微軟在內(nèi)的軟件公司通常使用工具軟件來尋找自家軟件里的漏洞。而黑客們也會(huì)這么做。專家們認(rèn)為東歐那些有組織的網(wǎng)絡(luò)罪犯，訓(xùn)練有素的中國(guó)黑客，還有其它不懷好意的人都會(huì)尋找有價(jià)值的可以用來發(fā)起零時(shí)差攻擊的漏洞。發(fā)現(xiàn)漏洞的人能夠用它來發(fā)起攻擊，或者，與上面提到的WMF文件漏洞一樣，可以把漏洞信息拿到黑市去索價(jià)出售。
如果軟件開發(fā)商能在攻擊發(fā)生前及時(shí)修補(bǔ)好安全漏洞，那么公司的IT人員以及家庭用戶都能及時(shí)升級(jí)電腦，在黑客發(fā)起攻擊之前就做好保護(hù)。但一旦零時(shí)差攻擊開始了，時(shí)鐘就開始計(jì)時(shí)――有時(shí)候時(shí)鐘要走上好一陣，急需的補(bǔ)丁才會(huì)發(fā)布。
在2006年的前半年里，微軟的Windows與紅帽Linux都是開發(fā)補(bǔ)丁最快的收費(fèi)操作系統(tǒng)，平均只需要13天。但是在升級(jí)瀏覽器方面――尤其是當(dāng)有零時(shí)差攻擊已經(jīng)發(fā)生的情況下――微軟比蘋果、Mozilla和Opera的反應(yīng)速度都要慢。IE瀏覽器的補(bǔ)丁在漏洞公布的10天后才會(huì)發(fā)布，而Opera，Mozilla和Safari瀏覽器打上補(bǔ)丁的時(shí)間，分別只需要兩天、三天和五天。
Adam Shostack，微軟安全開發(fā)生命周期小組的一位程序經(jīng)理，說有時(shí)候更短的開發(fā)時(shí)限只會(huì)是設(shè)想，他提到微軟用戶構(gòu)成的復(fù)雜性。
“我們必須測(cè)試安全升級(jí)程序以確保它能兼容于28種不同語言的操作系統(tǒng)，以及每一種支持這個(gè)升級(jí)程序的操作系統(tǒng)。”Shostack說。“我們真的是在質(zhì)量與速度中做出取舍與平衡。”
安全軟件有助于在有效的補(bǔ)丁發(fā)布前保護(hù)系統(tǒng)不受未知威脅的攻擊，傳統(tǒng)的反病毒軟件依賴于病毒定義文件才能對(duì)攻擊起到保護(hù)作用。啟發(fā)式與基于行為的病毒分析分析方式依靠運(yùn)算法則，而不是病毒定義文件，去查找反常的行為或者文件。啟發(fā)式查毒檢查潛在的惡意軟件是靠分析文件是否有值得懷疑的行為，比如與內(nèi)存有關(guān)的可疑行為。而另一方面，基于行為的病毒分析，觀察程序是否有典型的惡意軟件的行為(比如啟動(dòng)Email傳播垃圾郵件)，它鑒定程序是否有害是看它們做什么而不是包含什么。
現(xiàn)在大多數(shù)主流的反病毒軟件都擁有一種或者同時(shí)擁有這兩種分析方式。去年，PC World測(cè)試過使用一個(gè)月未更新的病毒庫成功識(shí)別出20%到50%的病毒。不過啟發(fā)式與基于行為的病毒分析容易引起誤報(bào)。
其它種類的安全產(chǎn)品試著藉由改變用戶的電腦環(huán)境來抵抗新的未知威脅，并限制著攻擊者成功入侵后帶來的傷害。網(wǎng)絡(luò)瀏覽器與電郵客戶端，創(chuàng)建出一個(gè)“沙盒”，或者稱虛擬的被隔絕的環(huán)境。舉個(gè)例子來說，攻擊者也許可以攻破IE瀏覽器，但安裝間諜軟件或者進(jìn)行其它惡意篡改的舉動(dòng)都無法沖破沙盒的阻攔。
其它一些程序，除了創(chuàng)建虛擬環(huán)境以外，還修改用戶帳號(hào)的權(quán)限，這樣程序就無法對(duì)系統(tǒng)做出深層的改變。還有些程序，如免費(fèi)的VMWare 播放器，會(huì)安裝一個(gè)單獨(dú)的操作系統(tǒng)并擁有它自己的瀏覽器。被層層保護(hù)著的瀏覽器與你正常的電腦環(huán)境是完全隔離開的。
Windows Vista引入了一些新的安全特性，但沒有人會(huì)認(rèn)為軟件漏洞或者零時(shí)差攻擊會(huì)漸漸地銷聲匿跡。.遺憾的是，充斥著非法數(shù)據(jù)與垃圾郵件發(fā)送者名單的地下黑市將刺激網(wǎng)絡(luò)罪犯?jìng)兝^續(xù)想方設(shè)法從惡意軟件里獲得利益。
來源：紅訊頻道