在9个月前我了博客对许多不同的组织发布的年度安全报告。然而,在日新月异的互联网安全的世界已经发生了很大的改变。新的安全报告已经写了,是时候重新审视这些报告,看看不同的组织正在观察。我发现它有用的在不断变化的安全领域寻找新的视角。通过审查这些报告,我们可以更好地理解新兴互联网我们的组织正面临威胁。
Veracode的软件安全状态报告,2010年3月
Veracode发表了最近的安全报告释放在RSA会议侧重于应用软件的状态。Veracode提供应用程序源代码审查使用SaaS模型来帮助他们的客户避免安全漏洞。这个报告指出极高比例的软件提交测试过程甚至接近会议安全编码最佳实践标准。第三方软件和内部开发的应用程序都有重大问题,可能危及整个系统的安全。开源应用程序往往比内部开发的应用程序更快地得到修复。与应用程序(如Firefox是一致的,尽管他们可能一年有很多漏洞,一个补丁的时候可以可以不到一天。报告提到的漏洞在C / c++编写的程序,但在其他编程语言编写的应用程序的Java也有严重的安全问题。跨站点脚本(XSS)攻击仍普遍尽管所有的广告都是关于如何良好的编码标准可以帮助减轻这些问题。
2009年IBM X-Force趋势和风险报告
最好的是年度安全报告IBM X-Force趋势和风险报告。今年的报告显示,总体脆弱性披露2009年下降。每周和每月的报告分析披露天寻找趋势。我喜欢作品的可利用性概率图,对盈利的机会,利用成本。很容易看到,PDF, Flash, ActiveX利用分为概率最高的象限。IBM报告还图表哪个操作系统制造商已经在最近几年最披露。报告还显示了web应用程序平台并不是那么脆弱的插件的web应用程序使用。跨站点脚本、SQL注入和文件包括攻击已变得受欢迎,正渗透到各个工业领域。报告还确定,大约7.5%的网络包含坏事(成人内容,犯罪内容、恶意软件等)。像许多其他报告IBM X-Force报告分析恶意软件感染的服务器所在地,koobface的问题和社交网络恶意软件感染,流氓杀毒软件,宙斯和建设者。垃圾邮件是其他传播恶意软件攻击向量也进行了分析。 I found the tables at the end of the document that review the top URL spam domains by month. From this you can easily see how spammers change their domains month-by-month. The analysis clearly shows Brazil's rise to the top spam and phishing originating countries.
Sophos安全威胁报告:2010
这是一个很好的跟进他们2009年的年度报告。这份报告强调了社交网站的使用作为一种传播垃圾邮件、恶意软件和网络钓鱼攻击。美国仍然2020欧洲杯夺冠热门是最高的国家在托管web内容被恶意软件感染。报告涵盖了特洛伊Bredo流行自己伪装成假,航运信息。这份报告提到,IPv6 2010年1月被垃圾邮件发送者。Adobe已经搬到周二“补丁”方法由于PDF-related攻击。这份报告还显示,大多数Mac用户不使用杀毒软件没有Mac电脑越来越成为恶意软件的目标。正如任何可能会变得更受欢迎,其配置文件增加的威胁。我们可以期待与移动相同的行为
网络2010年全球安全报告
的网络报告是一个很好的报告,因为它利用他们的经验进行脆弱性评估他们的客户也涵盖了法医分析和补救的实际客户持续的攻击。这份报告显示,大多数泄露是由外部组织,这是内联与Verizon数据违反去年报告。初始条目显示攻击者是通过远程访问应用程序或通过第三方连接也匹配与Verizon去年报告。这份报告显示的图表类型的恶意软件或使用的技术攻击执行数据破坏电脑的漏出。漏出不经常使用IPv6封装在IPv4数据包和加密隧道很少使用。这份报告还包括许多“十大”名单的各种问题和缺点,我们都应该考虑。
Arbor Networks, 2009年全球基础设施安全报告
的Arbor Networks全球基础设施安全报告V发表在2010年1月。这是一个很好的报告,以解决安全问题影响最大的互联网服务提供商和企业。这份报告涵盖了从2008年第三季度到2009年第三季度。不足为奇的是,这份报告集中在DDoS攻击的规模以及企业1 gbps的互联网链接很容易被看到最近的攻击。我很惊讶地发现从这个报告中最大的DDoS攻击可以产生高达40 gbps的流量。绝大多数的这些攻击flood-based交通UDP和ICMP和其他两种类型的攻击使用TCP标志或特定应用程序流量攻击。大多数组织使用源/目标acl或边界网关协议RTBH缓解技术。尽管病原是用它不是一个有效的策略。
这份报告还提到相关服务提供者是如何关注安全问题采用IPv6。阿伯网络报告还提到一些受访者担心IPv6在制造商的产品安全特性。这份报告同意其他的报道,人们已经开始放松了警惕,当谈到DNS缓存中毒攻击。很高兴看到SSH接管了Telnet作为首选远程管理协议。我是因缺乏应用程序服务提供者的单播RPF网络边界。
赛门铁克情报季度- 2010年1月
赛门铁克最近发布了他们季度情报报告,2009年10月到2009年12月。这份报告显示,美国是恶意活动的比例最高的国家。2020欧洲杯夺冠热门这是因为美国主机的许多恶意软件感染的web服务器和邮件服务器源代码世界的垃圾邮件。这份报告还提到了PDF的普遍性问题和Sality蠕虫的流行。
赛门铁克最近也发布了一份报告流氓安全软件的趋势。这份报告提到最近的爆炸的恶意软件伪装自己是流氓安全软件和杀毒软件套件。一个有趣的统计是预装价格安装恶意软件的攻击者的联盟是远远高于在北美和英国和澳大利亚。一个安装在电脑上在美国价值0.55美元,在电脑上安装在其他国家只能便士。
2010年1月McAfee报告垃圾邮件
McAfee发表了他们的垃圾邮件报告1月。这份报告讨论了垃圾邮件的快速上升和下降,目标是辉瑞的产品。这份报告讨论如何共同的域登陆页面为垃圾邮件已经从使用。cn域名使用博客,比如微软的live.com和谷歌的blogspot.com。我发现垃圾短信的有趣的拼写错误,因为它是一种避免反垃圾邮件的检测分析软件。作为一个有趣的边注这个报告涵盖了2009年垃圾邮件在前25名男性和女性。
云安全联盟安全指导——2009年12月
如果您的组织正在考虑或已经搬到使用云计算服务,那么你必须阅读云安全联盟安全指导的关键区域集中在云计算V21。这是2009年12月出版。这是一个很好的报告,包括介绍云计算策略和如何创建一个安全计划为每一个变体。我强烈建议大家阅读本指南和考虑你计划的上下文中对云计算的安全策略。的最佳实践,考虑到保密性,完整性和可用性的数据对云服务是至关重要的。
思科2009年度安全报告——2009年12月
思科发布了他们2009年度安全报告2009年12月。这份报告涵盖了相关的安全问题确定从2009年思科本身,他们的客户,他们看到的行业趋势。这份报告是最好的部分,这里介绍的数据收集的思科安全情报工作和SenderBase。这份报告讨论了社交媒体对企业安全的威胁。社会媒体将继续攻击的焦点和浪费时间的对许多人来说,但是很少有组织想要阻止员工使用这些系统。9页的报告有一个惊人的图,说明了垃圾邮件的潜在增加我们很可能在2010年经验。像其他报告,这份报告提到的流氓杀毒软件作为伪装,恶意软件。这个思科报告还讨论了很高比例的PDF文件,包含恶意代码。这份报告认定1每600个PDF文件包含某种形式的恶意代码。
CSI计算机犯罪和安全调查2009 - 2009年12月
的计算机安全研究所(CSI)报告每年的报告,我读它被释放。这是一个总结的调查发出许多安全从业人员调查对象很有见识。今年的报告显示,增加金融欺诈、恶意软件感染,DoS攻击,密码攻击,网站乱涂。图7页的执行概要显示攻击类型增加人气和这些年来逐渐淡出人们的视线。13页的图表显示,安全意识培训支出仍低于预期。我相信,如果组织更关注人们和流程可以实现更好的安全性结果比关注合规往往是技术化。安全意识培训不需要花费很多钱但也可能产生巨大的结果在帮助最终用户学会如何避免常见缺陷导致恶意软件感染。
Web应用程序安全性Cenzic趋势报告,2009年12月
Cenzic公布了Web应用程序安全趋势报告为q1, 2009年11月9日。如果你还没有听说过Cenzic,你应该了解这个公司。Cenzic是一个web应用程序安全性评估软件和服务的制造商。他们的报告侧重于web服务器和应用的威胁。11页包含一个图的不同类型的web漏洞之后在下一个页面上的图浏览器漏洞。Safari漏洞正在崛起为mac电脑的普及还在继续增长。
PandaLabs 2009年度报告
PandaLabs发布了他们年度安全报告在2009年底。类似于其他报告通过杀毒软件套件制造商这份报告的焦点是终端用户计算机的安全。类似于微软先生7这份报告还列出了由国家感染率。这份报告还提到,喜欢其他一些报告,黑客是利用搜索引擎优化(SEO)技术来获得他们的恶意软件感染的网站更多的点击率。这份报告涉及许多其他报告中的其他点像社交网站威胁的增加,流氓安全恶意软件,并增加的垃圾邮件。
2009年12月Sourcefire漏洞报告
Sourcefire, snort制造商发布了他们12月脆弱性报告。Sourcefire发布月度报告,最近他们正在密切关注安全问题。这种方法的交付报告视频有趣地是独一无二的。这一节讨论了微软和Adobe的补丁。因为问题的PDF恶意软件和Adobe flash播放器已经开始走向一个“星期二补丁“频率。你也可以看看Sourcefire月度11月和10月安全报告。
无网络安全风险——2009年9月