賽門鐵克：軟體漏洞多 網路犯罪威脅與日俱增

賽門鐵克最新發表的全球網路安全威脅研究報告發現，利用犯罪軟體（crimeware）工具來進行網路犯罪的威脅與日俱增。

賽門鐵克第9期的全球網路安全威脅研究報告為每半年發表一期，本次的研究時間從2005年7月至2005年12月。賽門鐵克指出，2005年發現的新漏洞高達1896個，其中有69%的比例是屬於Web應用程式的漏洞。當中瀏覽器（Browser）的漏洞常被使用者忽略。對此，賽門鐵克呼籲使用者，千萬不能輕忽修補程式（patch）的更新。

這份報告也提出，全球Bot傀儡程式的感染數量雖然微幅下降，但是，台灣電腦感染Bot傀儡程式的程度卻從去年的2％提昇至3%，賽門鐵克大中華區技術總監王岳忠表示，這可能與台灣這兩年來積極發展寬頻網路有關。

此外，阻斷式攻擊（DoS）也從每天平均927次爆增到每天1402次，2005年上半年的DoS已比去年成長了51%。

隨著全球軟體的發展趨勢朝向Web-Service的開發方式，賽門鐵克也呼籲所有的軟體開發業者，未來所有的應用走向網路服務之後，也相對要提昇其安全性，才可避免Web應用程式的漏洞造成更多的隱憂。

賽門鐵克對「犯罪軟體」的定義是指，該軟體程式為非必要安裝的應用程式，因安裝後可在網路上用來直接進行網路犯罪的行為，這些軟體程式可能包括：Bot傀儡程式、鍵盤側錄程式、間諜程式、後門程式、木馬程式等惡意程式。

另一個趨勢則是，惡意程式走向模組化。王岳忠表示，現今的犯罪軟體並非為了癱瘓網路通訊，而在詐欺與竊取機密資料等。在前50大的惡意程式當中，居然有高達88%的惡意程式是模組化的惡意程式（Modular malicious code）。模組化惡意程式是指，使用者一旦感染後，在不定期時間內自動下載並安裝不同功能的惡意模組。

在伺服器平台遭受攻擊所需時間的比較中發現，Windows 2000 Server若未更新任何修補程式，最快41秒可被攻破，更新至Windows 2000 Serve Service Pack 4時，則需花費17小時之久才能攻陷，但若是採用Windows 2003 Web Edition的伺服器，在測試研究期間並未遭受攻擊。Linux Server部分，賽門鐵克採用Red Hat Enterprise Linux 3 Web伺服器作為測試，在這半年期間並未被攻破。

王岳忠表示，由於Linux有眾多開發討論社群在支持，一旦發現漏洞，使用者可以很快的找到修補程式來更新，不過，他也強調，使用微軟伺服器的使用者也不用擔心，只要定期有更新修補程式，將可減少遭受攻擊的可能性。