網絡安全技術供應商賽門鐵克綜合2014年全球智能網絡收集的數據分析和研究結果，在最新一期ISTR中揭示了企業成為網絡攻擊的主要群體以及企業網絡所面臨的新舊安全威脅。

[[133620]]

相比2013年的大規模數據外泄事故，在2014年，重大安全隱患無疑成為年度焦點，也讓人們不得不將注意再次轉向安全漏洞。2014年4月，Heartbleed(心臟出血)漏洞公開僅4小時，就有大量攻擊者聞風而至。相比之下，軟件供應商發布補丁的時間則滯后達200多天。而在網絡攻擊的實施手段方面，攻擊技術也在不斷地升級和簡化，2014年網絡攻擊者借助針對性極強的魚叉式網絡釣魚不斷入侵網絡，整體增長8%，同時攻擊者發送的惡意電子郵件數量減少了14%，發送目標減少20%。相比之下，潛在攻擊目標企業通常在安全防御方面投入較少，很多企業甚至尚未部署攔截可執行文件和電子郵件附件等基本安全措施。報告指出，去年有6成的攻擊目標是中小企業。

在大規模攻擊中，惡意軟件的數量激增并且適應性更強。報告指出，絕大多數惡意軟件仍屬于非目標性攻擊。2014年，惡意軟件數量新增3.17億，比前一年增加26%，這意味著平均每天會有上百萬的新惡意軟件出現。從攻擊平臺的角度看，電子郵件仍然是網絡犯罪分子的重要攻擊途徑，然而針對移動設備和社交網絡的新的攻擊嘗試也在快速上升。賽門鐵克大中華區安全產品技術總監羅少輝表示：“網犯絡罪分子本性懶惰，他們更喜歡利用自動化工具讓不知情的用戶來幫助他們進行卑鄙勾當。攻擊者利用人們對朋友所分享內容的信任，讓騙局得以迅速傳播。2014年有70%的社交媒體騙局都是通過用戶手動分享而傳播。”

針對移動設備的安全防護似乎從來不受重視。去年有將近100萬個基于安卓平臺的移動應用是偽裝的惡意軟件，占安卓平臺總應用的17%。另外，雖然沒有被定義為惡意軟件，但是可被用來跟蹤用戶習慣的軟件應用也處于灰色地帶，而這部分應用則占到了全部應用的36%。

值得注意的是，“數字勒索”的興起成為2014年網絡安全威脅的最新發現之一。報告指出，2014年勒索軟件攻擊增長113%，而其中加密勒索軟件攻擊激增45倍。密碼勒索軟件的攻擊策略并不會采取傳統勒索軟件那樣偽裝成執法部門對盜取內容收取罰金的方式，而是更加惡劣地劫持受害者的文件、照片和其他數字內容，毫不掩飾他們的攻擊目的。

物聯網安全方面，針對銷售網點系統、ATM機、家用路由器等設備的網絡攻擊日益猖獗，雖然這些還只是帶有操作系統的聯網設備。那么在未來萬物互聯的時代，世界流暢運行背后的安全隱憂絕非杞人憂天。

云服務成為網絡安全的另一個戰場，云和IaaS公司將就其管理和保護數據能力彼此競爭。IDC認為安全軟件本身就應該入云，企業將把安全軟件作為一種服務(SaaS)。至于大數據和分析，有分析指出，通過社交網絡、信用卡交易、網絡攝像頭和數字足跡收集的大量數據能夠拼湊出一張令人害怕的完整畫面。這將威脅到包括個人在內的政府、企業等各個組織部門。對此，賽門鐵克給出了積極的預測“機器學習將成為對抗網絡犯罪的游戲改變者”。

綜合以上種種安全態勢，賽門鐵克認為，網絡威脅與安全防御正不斷進行著軍備競賽，企業要清醒的認識到，安全問題是一個永恒的，不斷變化的的問題。而面對問題，我們要將警惕和防備濫熟于心，不斷進化安全防御，而相關執法部門也應通過立法嚴厲打擊網絡威脅。要知道，如果我們有所作為，我們就能繼續保護造福于全世界人民的科技。