众多安全报告遭遇审美疲劳 报告标准呼之欲出

 本文2007-04-25，发布在 [url]http://netsecurity.51cto.com/art/200704/46606.htm[/url]

 

2007年4月25日，一份来自英国安全厂商Sophos的报告称，中国是全球病毒寄居地之首。中国托管的恶意网站上的病毒数量占到了全球的41.1%，高居榜首。《 详细报告内容》

无论报告提供的数据是否真实可信，我们都应该关注这些数据调查结果。一份安全报告的作用不仅仅要显示客观和真实的数据，更为重要的是指导，并帮助用户制定下一步的安全策略。从近日众多的安全报告中，我们不难看出：

 

一、目前国内的安全形势不容乐观

 

第一季度木马威胁最大
4月12日，根据国内反病毒厂商金山的第一季度报告显示：2007年以来，中国累计新增病毒44,876种，累计感染机器35,878,783台；仅3月份就新增病毒15,928种，病毒感染机器13,477,383台。报告还指出，网页挂马是目前国内病毒传播的主要方式，木马仍是广大网民电脑安全的主要威胁。《 详细报告内容》

多数攻击来自美国 中国是DDoS攻击的主要目标

在3月28日赛门铁克发布的最新一期亚太及日本地区的安全报告称：美国是攻击来源最多的国家，占39％，而中国是拒绝服务攻击的主要目标，占63%。这是亚太及日本地区互联网安全威胁报告中的一部分数据。另外，报告还显示：中国是本地区垃圾邮件僵尸数量最多的国家，占43％；中国感染僵尸网络的计算机数量最多，占71%，其中北京感染僵尸网络的计算机数量占16%；攻击目标仍是家庭用户，占所有目标性攻击的98％；中国的恶意活动占39%。《 详细报告内容》
另外，赛门铁克在其发布的 互联网安全威胁研究报告中首次指出了恶意活动主要来源国家。美国发生恶意活动的比例最高，占全球的31％。中国次之，占10％；德国第三，占7％。

世界在你指尖 Web威胁在弹指间

从众多报告中不难看出，现在互联网的安全威胁主要来源与WEB。4月23日趋势科技发布的2007年第一季度的安全威胁报告也验证了这一观点。该报告指出：在Web应用无处不在的今天，中小型企业客户感受到的Web安全威胁已比往更先进，且更为复杂，有愈来愈多自动迅速更新变换型态的病毒袭击网络。另外，报告称第一季度非英文垃圾邮件增长迅速，其中，中文垃圾邮件比去年同期增长了近1/3，占所有非英文垃圾邮件的33%，并且趋势科技给出结论：亚洲语系的垃圾邮件数量持续成长，原因在于美国与欧洲已针对任意散播电子邮件的行为严格立法。言外之意，即中国频频上榜垃圾邮件，是因为国内没有相关的法律约束。《 详细报告内容》

二、安全报告泛滥 用户不知所措

各大安全厂商每个季度都会出安全调查分析报告，年终还有全年的总结，有的厂商甚至把报告周期缩小为一个月或一个星期，而这些报告里面，真正对用户起到指导作用的数据调查又能有几份？

不同的出发点 得到不同的结果

每个安全厂家做报告的出发点都不相同，从Sophos的调查结果中，我们知道了中国是全球的病毒中心，对用户来说，也许仅仅知道的是这一点；从金山的报告中我们了解到木马是现在网络中最大的安全威胁，用户可以根据报告内容，专门针对木马危害进行网络防御；从赛门铁克的报告中，我们得知中国在众多的安全威胁事件中排名不是第一就是第二，用户可以根据报告内容，安排下一步的安全防护部署及策略。而趋势科技则把重点放在安全威胁未来的趋势上，指导用户在未来，应该注意那些威胁的防范。

一份真正有意义的安全威胁报告不仅要包含未来安全趋势的分析，还要包括开篇提到的对用户要有指导作用，当然数据调查结果的客观与真实是必不可少的要素。

面对众多报告，我们该何去何从

我们从报告中不难看出，各大安全厂商真的是用心良苦，除了不断地分析安全威胁有多么严重，还要不断的出报告来证明自己的分析结论。即要从报告里面体现自己的有别于他人的技术实力，还得给自己的产品留下促销的伏笔，真叫一个累啊。最累的不是厂家，用户也会喊累，当一个接一个地安全报告不断的呈现在面前，更多的选择是不知所措，美女看多了都会“审美疲劳”，何况安全报告？

单就权威性而言，厂家出的各种报告远没有国家性中立组织或机构的可信度高，这里并不是说厂家的报告不够好，不够详细，相反多数厂家的报告都很精细，国际知名的安全厂商赛门铁克定期的威胁报告就很不错，调查即全面分析也很透彻，微软的安全报告也是每月必出，逢重大漏洞，还要加补，那么为什么就没有一家权威的安全组织或机构站出来替用户说几句用户想了解的话呢？我国有个国家计算机病毒应急处理中心，每周都会有个病毒预报和分析，虽然简短，但对于用户来说，这已经很不错了，毕竟人家的抬头是“国家某某中心”。反病毒只是众多安全威胁中的一种，而垃圾邮件、间谍软件、黑客攻击、信息窃取等等危害更大的安全威胁，却没有一个真正组织综合各种安全威胁分析来指导用户应该怎样做，而这些也许恰恰就是用户真正关心和在乎的内容。

用一个例子做比喻最恰当不过，一个医生跟你说多喝白开水对身体好，另一个医生告诉你多吃蔬菜有易于消化，也许还会有其他医生告诉你这么做好，那么做不好，但对于我们来说，只想知道要怎样做才能保证身体健康，来避免生病，我们更需要一位专职医生为我们服务，告诉我们先做什么事，后做什么事。这就如同企业用户面对众多的安全报告，每份报告对企业都有好处，但报告多了，用户也不知道该听哪家的意见，最后只能无病呻吟，有病乱投医。

笔者最后呼吁有关方面，在各种标准盛行的今天，安全报告也要有一套严格的标准。