IBM研究：2011軟體漏洞問題大有改善

IBM旗下X-Force發表2011年資安威脅趨勢報告指出，去年軟體漏洞、攻擊事件與垃圾電子郵件的數量都在降低，但也導致攻擊型態更為多樣化。

該份報告是X-Force監控4000個客戶每天約1300億筆資料分析而來。報告指出，未修補的漏洞從2010年的43%降低到36%，而且攻擊公開漏洞的程式碼也比過去四年的平均值還要低30%。

由於善用工具，網站程式碼品質提昇，可能遭受跨網站腳本（XSS, Cross-site scripting）攻擊的漏洞數量比過去四年少一半，但IBM發現40%的客戶網站掃描後仍有40%存有漏洞。

垃圾電子郵件數量也比前年降低一半，IBM將此歸功於數個大型殭屍網站遭拔除，而非垃圾電子郵件過濾功能的功勞。

不過該份報告也有壞消息，首先是作業系統層級的指令注入（Shell command injection）攻擊提高了一倍多，駭客藉此手法控制電腦系統。而以往流行的SQL注入攻擊在去年降低了46%。

去年自動猜測密碼的攻擊也大幅提昇，尤其是在下半年。網際網路中有許多攻擊程式會尋找密碼政策虛弱的網站，並利用自動猜測密碼程式取得控制權。

行動裝置的漏洞比前年增加了19%，IBM提醒IT管理人員，需正視大部分行動設備漏洞的問題。

2011年許多攻擊事件涉及社交網路，駭客不僅直接在社交網路上散發釣魚訊息，也蒐集用戶在社交網路上的資訊，作為攻擊個人或企業前的參考資料。

最後該報告認為雲端應用將會是IT人員的新挑戰。由於雲端應用逐漸成為主流技術，IT人員在挑選雲端服務時，必須仔細考量靈活性與安全性。IBM建議廠商應該善用服務層級協議（SLA, Service Level Agreement）來控制雲端應用帶來的影響。（編譯/沈經）