沒修補程式的伺服器，1.5小時內被駭

面對種種網路威脅，資安專家往往建議，隨時更新作業系統以及應用程式的修補程式（patch），是最務實的資安防禦守則。根據日前發佈的賽門鐵克全球網路安全威脅報告報告中也發現，一臺完全沒有安裝任何修補程式的伺服器，在網路上平均1.5小時內即可被駭客攻陷。

賽門鐵克從去年第4季首度實驗，將完全沒有任何防火牆防護的各種微軟或Linux的網頁伺服器以及桌上型電腦，分成完全沒有進行任何修補程式、進行到最新修補程式以及進行完全修補程式等3種類型。從這個測試結果顯示，完全沒有進行任何修補程式安裝的電腦伺服器，平均只要1.5小時內，就會被駭客攻陷；但是，不論是微軟或是Linux平臺的網頁伺服器，只要有進行完整的修補程式，就沒有遭到駭客攻陷。

雖然進行修補程式對於資安是一大助益，但也有企業對於程式更新不敢貿然而為，最主要原因往往是因為擔心在系統更新過程中，擔心會造成核心系統中斷或當機，甚至該系統無法使用。

賽門鐵克大中華區技術總監王岳忠便說，許多企業的IT人員擔心作業系統或應用程式的漏洞，會造成企業的資安漏洞，讓有心人可以趁虛而入；但相對的，在進行修補程式時，作業系統或許還可以直接更新，至於許多牽涉企業核心系統的應用程式，例如ERP、資料庫等，當作業系統進行程式修補後，這套核心系統是否能直接運作，或者還需要進行部分程式調整。因此，修補程式的進行與否，對於企業IT人員而言，在沒有確定修補程式不會造成核心系統運作上的影響時，IT人員往往也不敢貿然逕行修補程式。

一名私立大學的IT人員便表示，先前學校因為採用比較老舊的公文系統，在與廠商合約到期後，連對微軟作業系統的更新，因為擔心讓公文系統因此當機，即便有可能造成資安漏洞，卻也不敢貿然進行修補程式。他進一步指出，只要學校使用的系統與系統廠商的維護合約仍有效，若該系統因為作業系統進行程式修補，而導致服務中斷、當機或不能使用，廠商會立即前來系統維護；但只要合約過期，公文系統的資安威脅立刻升高。文⊙黃彥棻