企業的重大憂患：KHOBE攻擊？
一種新的黑客技術可以避開多重安全保護，但它尚未成為企業的主要威脅。稱為內核掛接繞過引擎（kernel hook bypassing engine，KHOBE）的攻擊技術利用Windows XP主要組成部分中存在的漏洞，使攻擊者可以關閉安全軟件，由此使惡意軟件不容易被檢測。
研究人員在Matousec.com上公布KHOBE技術并發表聲明，他們的proof-of-concept程序證實了防病毒軟件以及其他檢測和根除惡意軟件的安全保護措施的不足之處。該技術利用內核驅動程序掛接微軟的Windows XP，這種攻擊可以攔截和改變系統組件之間的通信方式以及底層殺毒軟件，導致安全保護措施完全不起作用。
“這種攻擊會帶來嚴重的威脅，因為許多安全軟件的安全功能都以掛接（hooking）為基礎，”研究小組說，“我們測試了使用最廣泛的安全應用程序，發現它們都很容易受攻擊。當今最流行的安全解決方案對此根本無能為力。”
安全專家表示，但是這次攻擊幾乎沒有造成什么嚴重的威脅，因為惡意軟件在試圖攻擊之前需要繞過安全軟件。反病毒廠商F–Secure的首席研究官Mikko Hyppönen表示，這種攻擊類似于一個小偷企圖從內部闖入一個房間。
Hyppönen說，大約在90年代中期，人們就已經知道了在內核中改變掛接的功能，不過這并沒有演變成一個嚴重的問題。但是，他并沒有停止對KHOBE的研究，他表示惡意軟件中任何試圖繞過多種安全軟件的代碼片段才是真正的潛在威脅，但這實現起來的可能性并不大。
“自從該研究公布之后，我們就一直在監視利用這個機制對現實世界的攻擊，但我們沒有發現任何一個案例”，Hyppönen說，“這一現象很有意思，因為惡意軟件已經被安裝在機器上了，它現在也可以避開安全產品的核心，甚至可以卸載殺毒軟件或者做其他許多令人討厭的事情。”
一名IT安全顧問表示，所有可能的攻擊者都會選擇更簡單的方式去繞過反病毒軟件和其他安全防護。這位IT安全顧問目前正負責一個項目，旨在在公司的數據中心縮減時保證其安全防護性能仍能正常運行。這位安全專業人員表示，企業除了應該對由雇員過失造成的潛在數據泄漏保持警覺外，還應著重于標準深度防御措施的執行。
“如果我擔心每一個潛在的威脅，那么我會失眠的”，他說，“我們必須確保已經采取了正確的基礎做法，然后再去應對其他可能遭到攻擊的領域。”
Sophos公司的高級技術顧問Graham Cluley表示，如果企業使用的安全程序是盜版的，那么這些威脅將會帶來更大的風險，因為盜版軟件對位于端點的移動裝置、路過式攻擊（drive-by attacks）以及社會網絡信息泄漏缺乏控制。Cluley表示，企業應著重于端點軟件的不斷更新，確保安全軟件具備最新的性能更新，并保證安全措施能夠得以實施。
“企業需要更多完美的反病毒軟件，并且大多數企業已經意識到只有一層防御措施是根本不夠的”，Cluley說，“雖然天并沒有塌下來，但這并不意味著我們可以放松警惕。”
【編輯推薦】
