[[170153]]

　　時(shí)至今日，關(guān)于黑客活動(dòng)及數(shù)據(jù)泄露事件的新聞可謂層出不窮。也許有些朋友對(duì)于如此嚴(yán)峻的形勢(shì)感到懷疑，但作為一線從業(yè)者，我需要向大家報(bào)告：實(shí)際情況甚至更為糟糕!不過安全技術(shù)亦在緩慢但堅(jiān)定地持續(xù)發(fā)展，下面我們共同探討六大值得贊賞的重要進(jìn)展。

　　1. “廣譜”解決方案開始替代打地鼠式防御

　　作為個(gè)別威脅檢測(cè)方案的鼻祖，反病毒掃描工具經(jīng)過數(shù)十年的發(fā)展早已步入成熟。其擅長檢測(cè)舊有威脅，但在發(fā)現(xiàn)新型威脅層面卻效果欠佳。面對(duì)如今不斷增長的威脅數(shù)量，部分反惡意軟件廠商指出每月新增的惡意程序甚至達(dá)到千萬之巨。

　　好消息是，各供應(yīng)商已經(jīng)開發(fā)并部署多種“廣譜”解決方案，能夠應(yīng)對(duì)一大類攻擊活動(dòng)——例如Windows 10等操作系統(tǒng)中的安全威脅。其甚至能夠作為計(jì)算機(jī)設(shè)備固件標(biāo)準(zhǔn)的組成部分，即立足芯片層面執(zhí)行保護(hù)的統(tǒng)一可擴(kuò)展固件接口(簡稱UEFI)。

　　操作系統(tǒng)與應(yīng)用程序廠商能夠構(gòu)建起底層完整性及加密機(jī)制，用于建立更值得信賴的引導(dǎo)與應(yīng)用實(shí)現(xiàn)途徑。雖然此類方案仍無法完全解決安全挑戰(zhàn)，但其單一修復(fù)已經(jīng)足以鞏固信任途徑，并成功預(yù)防一整類惡意軟件。

　　原本的反惡意軟件方案無法對(duì)遭到篡改的操作系統(tǒng)進(jìn)行修復(fù)，亦無法據(jù)此移除對(duì)應(yīng)惡意軟件。如今新型方案則能夠跨越多種系統(tǒng)平臺(tái)，包括個(gè)人計(jì)算機(jī)、平板電腦以及小型移動(dòng)設(shè)備。

　　2. 補(bǔ)丁快速安裝

　　軟件漏洞的廣泛存在已經(jīng)成為客觀現(xiàn)實(shí)，因此補(bǔ)丁安裝就成了一種必然。

　　十年前，眾多廠商每季度或者每年進(jìn)行一次補(bǔ)丁安裝。而針對(duì)關(guān)鍵性漏洞的補(bǔ)丁的安裝時(shí)長甚至可能超過一周。如今，各供應(yīng)商能夠以更為頻繁的方式完成補(bǔ)丁安裝——甚至有能力每天推出補(bǔ)丁。

　　關(guān)鍵性零日漏洞往往在被曝光后的一小時(shí)內(nèi)即迎來補(bǔ)丁，這意味著客戶能夠借此快速完成補(bǔ)丁安裝。過去十年間，相當(dāng)一部分關(guān)鍵性補(bǔ)丁可能要求客戶以六個(gè)月為周期進(jìn)行部署。然而當(dāng)SQL Slammer這一快速傳播的蠕蟲病毒出現(xiàn)時(shí)，大多數(shù)SQL服務(wù)器還沒有及時(shí)打上補(bǔ)丁。好消息是，如今這種嚴(yán)重滯后已經(jīng)非常罕見，因?yàn)閮?nèi)置程序通常能夠在數(shù)天之內(nèi)獲取到最新補(bǔ)丁。

　　操作系統(tǒng)的補(bǔ)丁發(fā)布水平已經(jīng)相當(dāng)之高，因此惡意軟件編寫者與黑客更傾向于針對(duì)第三方應(yīng)用或者追蹤用戶行為以運(yùn)行木馬。

　　3. 更多默認(rèn)加密機(jī)制

　　如今幾乎全部操作系統(tǒng)及設(shè)備都內(nèi)置有磁盤加密機(jī)制，且默認(rèn)處于啟用狀態(tài)。

　　另外，更多應(yīng)用程序開始利用端到端加密機(jī)制進(jìn)行網(wǎng)絡(luò)通信，亦有更多網(wǎng)站將HTTPS作為默認(rèn)協(xié)議(替代HTTP)。

　　這些良好的加密機(jī)制亦與固件提升關(guān)聯(lián)緊密。可信平臺(tái)模塊(簡稱TPM)作為一款高人氣密碼芯片獲得了廣泛成功。立足于計(jì)算機(jī)主板之上，TPM使得計(jì)算機(jī)能夠以安全方式存儲(chǔ)其最為信任的密鑰信息。

4.最低權(quán)限原則

　　數(shù)年之前，幾乎每款程序都要求本地管理員或者root權(quán)限。大多數(shù)軟件要求用戶擁有完整權(quán)限，這也決定了系統(tǒng)以及應(yīng)用程序的運(yùn)作方式。

　　如今，任何要求全部權(quán)限的程序都不可能為大家所接受。用戶及管理員都需要注意應(yīng)用要求的權(quán)限，而普通應(yīng)用也絕對(duì)不可能要求過度權(quán)限。這是一種巨大的進(jìn)步，毫無疑問。

　　5. 更多獎(jiǎng)勵(lì)機(jī)制

　　幾乎每家主流軟件供應(yīng)商都會(huì)利用獎(jiǎng)勵(lì)機(jī)制吸引從業(yè)者向其報(bào)告安全漏洞。優(yōu)秀的調(diào)試人員不再需要單純將bug賣給出價(jià)最高的買家，而能夠在獲得應(yīng)有回報(bào)的同時(shí)保證自己的發(fā)現(xiàn)發(fā)揮積極作用。

　　雖然供應(yīng)商開出的價(jià)格一般低于惡意買家，但數(shù)千美元現(xiàn)金還是能夠保證的。這種bug賞金機(jī)制使得相關(guān)廠商能夠快速獲取信息，從而率先完成補(bǔ)丁發(fā)布。

　　6. 強(qiáng)驗(yàn)證

　　純密碼軟件與網(wǎng)站正在衰落。如今，用戶希望使用更多雙因素驗(yàn)證方案：手機(jī)檢查、生物識(shí)別、智能卡、虛擬智能卡等等。雖然強(qiáng)驗(yàn)證機(jī)制在面對(duì)攻擊者的沖擊時(shí)往往并非萬全，但更強(qiáng)的身份驗(yàn)證顯然不是件壞事。

　　原文鏈接：

　　http://www.infoworld.com/article/3107984/security/6-security-advances-worth-celebrating.html

　　【編輯推薦】 

　　1. 在電商微商橫行的今天，如何應(yīng)對(duì)網(wǎng)絡(luò)安全問題?

2. 數(shù)據(jù)泄漏風(fēng)險(xiǎn)：不只是內(nèi)部威脅