九个月前，我发了一条博客关于由不同组织发布的大量年度安全报告。然而，在瞬息万变的互联网安全世界里，自那时起，已经发生了很大的变化。新的安全报告已经编写完毕，现在是重新审视这些报告的时候了，以了解不同的组织正在观察什么。我发现在不断变化的安全领域中寻找新的视角是很有用的。通过审查这些报告，我们可以更好地了解我们的组织正面临的新兴互联网威胁。
Veracode软件安全状况报告- 2010年3月
维拉科德出版了最新安全报告它是在RSA会议上发布的，专注于应用软件的状态。Veracode使用SaaS模型提供应用程序源代码审查，以帮助客户避免安全漏洞。这份报告指出，提交给他们测试过程的软件中，有相当高的比例甚至没有接近安全编码最佳实践的标准。第三方软件和内部开发的应用程序都存在严重的问题，可能危及整个系统的安全。开放源码应用程序往往比内部开发的应用程序更容易修复。这与像Firefox这样的应用程序是一致的，虽然它们可能在一年内有很多漏洞，但发布补丁的时间可能不到一天。报告提到了用C/ c++编写的程序存在的漏洞，但用Java等其他编程语言编写的应用程序也存在严重的安全问题。跨站脚本(XSS)漏洞仍然普遍存在，尽管所有的宣传都说好的编码标准可以帮助缓解这些问题。
IBM X-Force 2009趋势和风险报告
最好的年度安全报告之一是IBM X-Force趋势和风险报告．今年的报告显示，总体漏洞披露2009年下降．该报告分析了每周和每月的披露情况，以寻找趋势。我喜欢利用概率图，它将机会与盈利和利用成本进行对比。很容易看出，PDF、Flash和ActiveX的exploit属于最高概率的象限。IBM的报告还列出了近年来哪些操作系统制造商披露的信息最多。报告还显示，网络应用平台并不像这些网络应用所使用的插件那样不堪一击。跨站点脚本攻击、SQL注入攻击和文件包含攻击越来越流行，并且在各个行业领域都很普遍。该报告还确定，约7.5%的互联网包含不良内容(成人内容、犯罪内容、恶意软件等)。与许多其他报告一样，IBM X-Force报告分析了受恶意软件感染的服务器的位置、koobface和社交网络恶意软件感染的问题、流氓AV软件和ZeuS Builder。垃圾邮件是恶意软件传播的另一个攻击向量，也被分析。 I found the tables at the end of the document that review the top URL spam domains by month. From this you can easily see how spammers change their domains month-by-month. The analysis clearly shows Brazil's rise to the top spam and phishing originating countries.
Sophos安全威胁报告:2010
这是对他们很好的跟进2009年年报．该报告强调了利用社交网站作为传播垃圾邮件、恶意软件和网络钓鱼攻击的手段。在托管受2020欧洲杯夺冠热门恶意软件感染的网络内容方面，美国仍然是最大的国家。该报告报道了特洛伊布雷多是如何通过伪装成虚假的航运信息而流行起来的。这份报告提到IPv6在2010年1月被垃圾邮件发送者使用。由于与pdf相关的攻击增多，Adobe现在已经改用“周二打补丁”的方法。该报告还显示，大多数Mac用户并不使用杀毒软件，但Mac电脑正日益成为恶意软件的目标。就像任何东西都可能变得更受欢迎一样，它的威胁程度也会增加。我们可以预期手机也会出现同样的行为
Trustwave 2010全球安全报告
的网络报告是一份很好的报告，因为它利用了他们对客户执行漏洞评估的经验，而且还涵盖了对客户遭受的实际攻击的法医分析和补救。这份报告显示，大多数数据泄露是由外部组织发现的，这与Verizon去年的数据泄露报告一致。攻击者最初的入侵被证明是通过远程访问应用程序或第三方连接，这也与Verizon去年的报告相符。这份报告显示了一个巨大的图表，显示了恶意软件或攻击使用的技术类型，以执行泄漏数据的电脑。exfiltering并不经常使用IPv6封装的IPv4数据包，也很少使用加密隧道。这份报告还列出了许多我们都应该考虑的各种问题和弱点的“十大”清单。
乔木网络-全球基础设施安全报告2009
的Arbor Networks全球基础设施安全报告于2010年1月出版。本报告是一份很好的报告，用于解决影响顶级互联网服务提供商和企业的安全问题。本报告涵盖2008年第三季度至2009年第三季度。毫不奇怪，这份报告关注的是DDoS攻击的规模，以及拥有1Gbps互联网链接的企业如何容易被最近看到的许多攻击所淹没。我很惊讶地从这份报告中发现，最大的DDoS攻击可以产生高达40Gbps的流量。这类攻击绝大多数是UDP、ICMP等基于流量的攻击，其他两种攻击则是利用TCP标志或特定应用流量进行攻击。大多数组织使用源/目的acl或BGP RTBH缓解技术。即使使用了速率限制，它也不是一个有效的策略。
该报告还提到了服务提供商如何关注与采用IPv6相关的安全问题。Arbor Network的报告还提到，一些受访者担心制造商产品中的IPv6安全特性。这份报告与其他几份报告一致认为，当涉及到DNS缓存中毒攻击时，人们已经开始放松警惕。很高兴看到SSH已经取代Telnet成为首选的远程管理协议。我对单播RPF在服务提供商网络边界的缺乏应用感到失望。
赛门铁克情报季刊- 2010年1月
赛门铁克最近发布了他们的季度情报报告从2009年10月到2009年12月。该报告显示，美国是恶意活动比例最高的国家。2020欧洲杯夺冠热门这是因为美国拥有许多受恶意软件感染的网络服务器，其电子邮件服务器也是世界上大部分垃圾邮件的来源。这份报告还提到PDF问题的普遍性和Sality蠕虫病毒的流行。
赛门铁克最近也发布了一份报告流氓安全软件的趋势。这份报告提到了最近恶意软件的激增，它们伪装成流氓安全软件和杀毒套件。一个有趣的统计数据显示，在北美、英国和澳大利亚，攻击者的附属机构安装恶意软件的安装前费用要高得多。在美国安装一台电脑价值0.55美元，而在其他国家安装一台电脑只需几分钱。
McAfee 2010年1月垃圾邮件报告
McAfee发表了他们的垃圾邮件报告1月。该报告讨论了针对辉瑞产品的垃圾邮件的迅速上升和下降。这份报告谈到了垃圾邮件的常用域名登陆页面是如何从使用。cn域名转移到使用微软的live.com和谷歌的blogspot.com等博客的。我发现垃圾邮件中的拼写错误很有趣，因为这是一种避免被反垃圾邮件分析软件检测的方法。作为一个有趣的旁注，这份报告涵盖了2009年垃圾邮件中排名前25位的男性和女性。
云安全联盟安全指南- 2009年12月
如果您的组织正在考虑或已经转向使用云计算服务，那么您必须阅读云安全联盟云计算V2关键领域安全指南1，发表于2009年12月。这是一个很好的报告，介绍了云计算策略，以及如何为每个变体创建安全计划。我强烈建议大家阅读本指南，并考虑在您的安全策略上下文中规划云计算。考虑数据的机密性、完整性和可用性的最佳实践对云服务至关重要。
思科2009年度安全报告- 2009年12月
思科发布了他们2009年保安年报2009年12月。本报告涵盖了2009年发现的与思科自身、其客户以及他们在行业中看到的趋势相关的安全问题。这份报告最好的部分是，这里展示的数据是由思科安全情报运营和SenderBase．本报告讨论了社交媒体对企业安全的威胁。社交媒体将继续成为攻击的焦点，并浪费很多人的时间，但很少有组织想要阻止他们的员工使用这些系统。在报告的第9页有一个惊人的图表，说明了我们可能在2010年经历的潜在垃圾邮件增长。像其他报告一样，这个报告提到了流氓杀毒软件作为恶意软件的伪装。思科的这份报告还讨论了PDF文件中含有恶意代码的比例很高。该报告确定，每600个PDF文件中就有1个包含某种形式的恶意代码。
CSI电脑犯罪及安全调查2009 - 2009年12月
的计算机安全研究所(CSI)的报告是我每年都会读到的报告之一。它是向许多安全从业者发送的调查摘要，因此调查受访者对这个主题非常了解。今年的报告显示，金融欺诈、恶意软件感染、DoS攻击、密码攻击和网站损毁的情况有所增加。执行摘要第7页的图表显示了近年来攻击类型的流行程度如何上升，又如何下降。第13页的图表显示，安全意识培训的支出仍然低于预期。我相信，如果组织更多地关注人员和过程，他们可以获得更好的安全结果，而不是关注倾向于技术的遵从性。安全意识培训并不需要花费很多钱，但它可以产生巨大的效果，帮助终端用户学习如何避免导致恶意软件感染的常见陷阱。
Cenzic Web应用安全趋势报告- 2009年12月
Cenzic公布了Web应用安全趋势报表， 2009年11月9日。如果你没有听说过Cenzic，你应该了解一下这家公司。Cenzic是一家web应用安全评估软件和服务的制造商。他们的报告侧重于网络和应用程序威胁。第11页包含了不同类别的web漏洞的图表，下一页是浏览器漏洞的图表。随着mac电脑的不断普及，Safari浏览器的漏洞也在不断增加。
PandaLabs 2009年度报告
PandaLabs发布了他们年度安全报告2009年底。与反病毒套件制造商的其他报告类似，本报告的重点是最终用户计算机的安全。类似于微软先生7该报告还按国家列出了感染率。和其他几份报告一样，这份报告也提到，黑客们正在使用搜索引擎优化(SEO)技术来让他们被恶意软件感染的网站获得更多的点击率。该报告涵盖了其他报告中发现的许多其他要点，如社交网站的威胁增加，流氓安全恶意软件，以及垃圾邮件的增加。
Sourcefire 2009年12月漏洞报告
snort的制造者Sourcefire发布了他们的12月脆弱性报告．Sourcefire每月发布一份报告，其中涵盖了他们正在密切关注的最新安全问题。这种以视频形式提交报告的方法非常独特。本视频讨论了来自微软和Adobe的补丁。由于PDF恶意软件和flash播放器的问题，Adobe已经开始向“星期二补丁“频率。你也可以每月回顾一下Sourcefire11月和10月安全报告。
SANS顶级网络安全风险- 2009年9月