正確認識信息安全漏洞，了解漏洞，才能真正解決漏洞
從計算機和程序代碼誕生的時候開始，信息安全漏洞就隨之而誕生，古老的漏洞和最新的漏洞從影響來看都沒啥區(qū)別，反正，都是為了攻破那一道(或許有)的防線。
前段時間漏洞和安全事件多發(fā)，其中我們之前介紹的Apache Struts 2就是一個經(jīng)常發(fā)生高危漏洞的系統(tǒng)。漏洞是絕大多數(shù)的信息安全事件的根源，我們必須對漏洞有所認識，才能更好的處理安全漏洞。
什么是信息安全漏洞，其危害有哪些
漏洞是在硬件、軟件、協(xié)議的具體實現(xiàn)或系統(tǒng)安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統(tǒng)。是受限制的計算機、組件、應用程序或其他聯(lián)機資源的無意中留下的不受保護的入口點。—引自百度
漏洞可以分為3 大類：第一類是由于操作系統(tǒng)自身設計缺陷帶來的安全漏洞，這類漏洞將被運行在該系統(tǒng)上的應用程序所繼承;第二類是應用軟件程序的設計Bug 而引起的漏洞;第三類是應用服務協(xié)議的安全漏洞。
近年來，針對漏洞的攻擊越來越多，利用漏洞的病毒、木馬技術進行網(wǎng)絡盜竊和詐騙的網(wǎng)絡犯罪活動呈快速上升趨勢。產(chǎn)生了大范圍的危害，由此給企業(yè)造成了重大經(jīng)濟損失。特別是針對Web 應用安全漏洞的攻擊，也有逐漸成為主流攻擊方式的趨勢。利用網(wǎng)站操作系統(tǒng)的漏洞和Web 服務程序的SQL 注入漏洞等，黑客能夠輕松得到Web 服務器的控制權限，從而篡改網(wǎng)頁內容或者竊取企業(yè)內部重要數(shù)據(jù)資料，甚至在網(wǎng)頁中植入惡意代碼，俗稱“網(wǎng)頁掛馬”，使得更多網(wǎng)站訪問者受害。
據(jù)柯力士信息安全安犬漏洞管理云平臺的漏洞庫統(tǒng)計，僅從2016年11月22日至12月22日期間，就有232個高危漏洞被發(fā)現(xiàn)，而中危漏洞更是兩倍于此。這些漏洞如不修復，可能給企業(yè)帶來更嚴重的損失。
針對漏洞，制定對策，提前掃描，及時發(fā)現(xiàn)
漏洞對于企業(yè)的信息系統(tǒng)，乃至社會信息秩序都有極大的威脅，那么怎么才能在漏洞的威脅下保護我們自己的信息安全呢?一位知名信息安全專家在談到漏洞時候，特地的拿漏洞和我們人類的疾病進行了類比，他認為漏洞即是機器或者程序生病，可以借鑒病例的方式進行數(shù)據(jù)的匯總和收集，之后再遇到類似的“信息安全疾病”就可以做出正確的應對了，而這一份“病例”的收集成果，就是現(xiàn)在被稱為“漏洞庫”的存在。每天都有百萬條漏洞信息被拿來與漏洞特征庫進行對比，如匹配，則可對癥下藥。如匹配度低，則可以從多方面對漏洞進行判定是否0-day漏洞。如果說病例是為了讓我們更了解疾病，進行妥善處理，那么漏洞庫，則是我們人類針對信息安全漏洞做出來的，以了解和大數(shù)據(jù)收集為目的的對策。如CVE LCE等。
擁有了漏洞庫作為基礎，只需選擇一款不錯的漏洞掃描產(chǎn)品，及時進行掃描發(fā)現(xiàn)和修復就行了，摸清了漏洞的原理之后，就算是黑洞我們也補給你看!
數(shù)據(jù)防護千瘡百孔，發(fā)現(xiàn)修補漏洞更需大數(shù)據(jù)
當然，我們夢想生活在一個沒有漏洞的世界：我們的軟件完美無瑕，安全性能絕佳。然而，現(xiàn)實卻與我們的夢想背道而馳。我們讓計算機為我們做得越多，對其安全性的需求就越迫切;但計算機需要做得越多，它們的軟件就必須越復雜，它們的漏洞也就越多。如此就形成了一種惡性循環(huán)。以你的筆記本電腦為例，其操作系統(tǒng)由數(shù)千萬行代碼組成，其安裝的應用軟件大多數(shù)僅完成3/4就匆匆上市。當你的筆記本電腦與數(shù)以百萬計的其他設備(包括平板電腦和手機)連接，形勢就會迅速失控。
修復漏洞有點像排干海洋，可能你永遠也不可能完成。盡管編碼水平和標準都在提高，但提高的速度還不夠快。而關于漏洞的大數(shù)據(jù)建模，我們一直在進行。
【本文為51CTO專欄“柯力士信息安全”原創(chuàng)稿件，轉載請聯(lián)系原作者(微信號：JW-assoc)】
