[[170153]]

　　時至今日，關(guān)于黑客活動及數(shù)據(jù)泄露事件的新聞可謂層出不窮。也許有些朋友對于如此嚴峻的形勢感到懷疑，但作為一線從業(yè)者，我需要向大家報告：實際情況甚至更為糟糕!不過安全技術(shù)亦在緩慢但堅定地持續(xù)發(fā)展，下面我們共同探討六大值得贊賞的重要進展。

　　1. “廣譜”解決方案開始替代打地鼠式防御

　　作為個別威脅檢測方案的鼻祖，反病毒掃描工具經(jīng)過數(shù)十年的發(fā)展早已步入成熟。其擅長檢測舊有威脅，但在發(fā)現(xiàn)新型威脅層面卻效果欠佳。面對如今不斷增長的威脅數(shù)量，部分反惡意軟件廠商指出每月新增的惡意程序甚至達到千萬之巨。

　　好消息是，各供應(yīng)商已經(jīng)開發(fā)并部署多種“廣譜”解決方案，能夠應(yīng)對一大類攻擊活動——例如Windows 10等操作系統(tǒng)中的安全威脅。其甚至能夠作為計算機設(shè)備固件標準的組成部分，即立足芯片層面執(zhí)行保護的統(tǒng)一可擴展固件接口(簡稱UEFI)。

　　操作系統(tǒng)與應(yīng)用程序廠商能夠構(gòu)建起底層完整性及加密機制，用于建立更值得信賴的引導(dǎo)與應(yīng)用實現(xiàn)途徑。雖然此類方案仍無法完全解決安全挑戰(zhàn)，但其單一修復(fù)已經(jīng)足以鞏固信任途徑，并成功預(yù)防一整類惡意軟件。

　　原本的反惡意軟件方案無法對遭到篡改的操作系統(tǒng)進行修復(fù)，亦無法據(jù)此移除對應(yīng)惡意軟件。如今新型方案則能夠跨越多種系統(tǒng)平臺，包括個人計算機、平板電腦以及小型移動設(shè)備。

　　2. 補丁快速安裝

　　軟件漏洞的廣泛存在已經(jīng)成為客觀現(xiàn)實，因此補丁安裝就成了一種必然。

　　十年前，眾多廠商每季度或者每年進行一次補丁安裝。而針對關(guān)鍵性漏洞的補丁的安裝時長甚至可能超過一周。如今，各供應(yīng)商能夠以更為頻繁的方式完成補丁安裝——甚至有能力每天推出補丁。

　　關(guān)鍵性零日漏洞往往在被曝光后的一小時內(nèi)即迎來補丁，這意味著客戶能夠借此快速完成補丁安裝。過去十年間，相當一部分關(guān)鍵性補丁可能要求客戶以六個月為周期進行部署。然而當SQL Slammer這一快速傳播的蠕蟲病毒出現(xiàn)時，大多數(shù)SQL服務(wù)器還沒有及時打上補丁。好消息是，如今這種嚴重滯后已經(jīng)非常罕見，因為內(nèi)置程序通常能夠在數(shù)天之內(nèi)獲取到最新補丁。

　　操作系統(tǒng)的補丁發(fā)布水平已經(jīng)相當之高，因此惡意軟件編寫者與黑客更傾向于針對第三方應(yīng)用或者追蹤用戶行為以運行木馬。

　　3. 更多默認加密機制

　　如今幾乎全部操作系統(tǒng)及設(shè)備都內(nèi)置有磁盤加密機制，且默認處于啟用狀態(tài)。

　　另外，更多應(yīng)用程序開始利用端到端加密機制進行網(wǎng)絡(luò)通信，亦有更多網(wǎng)站將HTTPS作為默認協(xié)議(替代HTTP)。

　　這些良好的加密機制亦與固件提升關(guān)聯(lián)緊密。可信平臺模塊(簡稱TPM)作為一款高人氣密碼芯片獲得了廣泛成功。立足于計算機主板之上，TPM使得計算機能夠以安全方式存儲其最為信任的密鑰信息。

4.最低權(quán)限原則

　　數(shù)年之前，幾乎每款程序都要求本地管理員或者root權(quán)限。大多數(shù)軟件要求用戶擁有完整權(quán)限，這也決定了系統(tǒng)以及應(yīng)用程序的運作方式。

　　如今，任何要求全部權(quán)限的程序都不可能為大家所接受。用戶及管理員都需要注意應(yīng)用要求的權(quán)限，而普通應(yīng)用也絕對不可能要求過度權(quán)限。這是一種巨大的進步，毫無疑問。

　　5. 更多獎勵機制

　　幾乎每家主流軟件供應(yīng)商都會利用獎勵機制吸引從業(yè)者向其報告安全漏洞。優(yōu)秀的調(diào)試人員不再需要單純將bug賣給出價最高的買家，而能夠在獲得應(yīng)有回報的同時保證自己的發(fā)現(xiàn)發(fā)揮積極作用。

　　雖然供應(yīng)商開出的價格一般低于惡意買家，但數(shù)千美元現(xiàn)金還是能夠保證的。這種bug賞金機制使得相關(guān)廠商能夠快速獲取信息，從而率先完成補丁發(fā)布。

　　6. 強驗證

　　純密碼軟件與網(wǎng)站正在衰落。如今，用戶希望使用更多雙因素驗證方案：手機檢查、生物識別、智能卡、虛擬智能卡等等。雖然強驗證機制在面對攻擊者的沖擊時往往并非萬全，但更強的身份驗證顯然不是件壞事。

　　原文鏈接：

　　http://www.infoworld.com/article/3107984/security/6-security-advances-worth-celebrating.html

　　【編輯推薦】 

　　1. 在電商微商橫行的今天，如何應(yīng)對網(wǎng)絡(luò)安全問題?

2. 數(shù)據(jù)泄漏風險：不只是內(nèi)部威脅