IBM发表报告称2011软件漏洞问题有改善-DOIT

3月27日消息，据台湾媒体报道，IBM旗下X-Force发表2011年资安威胁趋势报告指出，去年软件漏洞、攻击事件与垃圾电子邮件的数量都在降低，但也导致攻击型态更为多样化。

该份报告是X-Force监控4000个客户每天约1300亿笔资料分析而来。报告指出，未修补的漏洞从2010年的43%降低到36%，而且攻击公开漏洞的程序代码也比过去四年的平均值还要低30%。

由于善用工具，网站程序代码质量提升，可能遭受跨网站脚本(XSS,Cross-site scripting)攻击的漏洞数量比过去四年少一半，但IBM发现40%的客户网站扫描后仍有40%存有漏洞。

垃圾电子邮件数量也比前年降低一半，IBM将此归功于数个大型殭尸网站遭拔除，而非垃圾电子邮件过滤功能的功劳。

不过该份报告也有坏消息，首先是操作系统层级的指令注入(Shellcommand injection)攻击提高了一倍多，黑客藉此手法控制计算机系统。而以往流行的SQL注入攻击在去年降低了46%。

去年自动猜测密码的攻击也大幅提升，尤其是在下半年。因特网中有许多攻击程序会寻找密码政策虚弱的网站，并利用自动猜测密码程序取得控制权。

行动装置的漏洞比前年增加了19%，IBM提醒IT管理人员，需正视大部分行动设备漏洞的问题。

2011年许多攻击事件涉及社交网络，黑客不仅直接在社交网络上散发钓鱼讯息，也搜集用户在社交网络上的信息，作为攻击个人或企业前的参考数据。

最后该报告认为云端应用将会是IT人员的新挑战。由于云端应用逐渐成为主流技术，IT人员在挑选云端服务时，必须仔细考虑灵活性与安全性。IBM建议厂商应该善用服务层级协议(SLA,Service Level Agreement)来控制云端应用带来的影响。

IBM发表报告称2011软件漏洞问题有改善