认识达内从这里开始

以下5个事实，是很多计算机安全风险和漏洞利用背后的根源。如果你现在能很好地理解它们，未来你就能领先同行一步。

事实1. 每家公司都被黑了

每当最新大型数据泄露事件曝出，人们可能会觉得，涉事公司肯定是在计算机安全方面做得不好。下一次重大黑客事件发生，造成数百万客户记录被盗或上千万美元损失时，你应该想的是，“每家公司都被黑了。这不过是媒体当前正在热炒的一起而已。”

每家公司都被某恶意黑客完全掌握，或很容易被黑客掌控。 事实就是如此。当然，完全没有互联网，且硬盘每天收工时得放入保险箱的绝密军事设施除外。这里说的只是普通企业或小公司。

评估公司网络安全状态的时候，大多数情况下，都会有不止一名黑客隐身在被评估公司网络某处。尤其是最近10年，甚至会有几组黑客藏匿数年之久。典型案例是一家公司同时有8个黑客小组盯上，其中几组在其网络中遨游了有 10年 之久。

该案例很有意思，因为该公司寻求安全评估的原因之一，是有个他们并不想打的软件补丁，无论他们怎么选择，都会被打上。该黑客组织实在等不了这家受害公司自己建设安全环境了，因为越来越多的黑客小组正在涌入。 当黑客都比你自己更关心安全，那问题就大了。

得到合法授权后，普通渗透测试员往往能在1小时之内，就可突破防护进入被评估公司网络内部。已经做过渗透测试，并按安全建议加强了防护的公司，渗透时间可能会长一些。顶级渗透测试员侵入公司的速度还会更快，更别提坐拥无数零日漏洞的国家支持黑客了。

全世界的计算机，安全防护都很糟糕。都不需要零日漏洞利用，东摸摸西碰碰，找个容易侵入的弱点就可以。 大多数公司在保护计算机安全上远不足够。很多都是说得好听，但一旦落到实处，例如完善补丁、应用那些控制程序、断网等，就都不愿意去做了，至少目前是这样。

事实2. 大多数公司不知道自己最容易被侵入的方式

5%-20%的IT安全员工能猜出自家公司最易被侵入的方式，但找不到任何数据来支持自己的论点。这意味着最少也有80%的IT安全员工觉得是其他什么因素。其他IT员工和公司其他部门的人，就更没头绪了。 如果一家公司绝大多数人都不知道最大的威胁是什么，何谈有效防护?

昭示最大威胁的数据这种东西是不存在的。 你可能会觉得，花个几百万美元，往事件日志管理系统里灌入无数事件，“最大的威胁是什么”这种问题，答案自现。然而并不是。 这个问题永远都没那么容易解答，尤其是你连问都没问的时候。

事实3. 真正的威胁和感知到的威胁之间是天差地别的

你最大的潜在威胁和最大的实际漏洞利用之间，隔着一条马里亚纳海沟。懂得其间差别的安全防御者，其价值堪比珍宝。

每年都有5000-7000个新漏洞利用出现，且十几年来一直保持这个频度。其中1/4到1/3被标记为高危。这意味着， 执行漏洞扫描软件或查看补丁管理报告，你总会发现有成吨的“高优先级”漏洞等待修复。 一口吃不成胖子，每次能专注修复的也就那么几个。于是，如果你的报告中有20个第一优先级漏洞需要修复，你该怎么办?

从会对你当前环境造成最严重破坏的开始，然后是最有可能的元凶。最大的敌人，未必是排序最高的漏洞。都无所谓。 关键性排序，是按造成伤害的可能性来排的。真正的伤害，未来最有可能的伤害，胜过猜测。理解这一点，应该会改变作为计算机安全防御者的很多操作。

事实4. 防火墙和杀毒软件没那么重要

今天的很多威胁，都是客户一端的威胁，是由终端用户引发的。也就是说，这些威胁已然穿过了所有防火墙(比如网络和主机防火墙)，抵达了用户的桌面电脑。威胁一旦渗透到这一步，防火墙也就提供不了什么价值了。

传统防火墙的主要价值，是阻止对现有脆弱服务的未授权连接。如果你的服务很健壮，防火墙可能就提供不了太多价值。 这并不是说它们就没有任何价值。防火墙可以，也确实在提供价值，尤其是智能深度包检测防火墙。事实只不过是，大多数威胁不再是它们阻止的东西，于是，它们曾经的巨大价值，也就烟消云散了。

杀毒软件没什么价值，因为哪款杀软都很难对所有新兴恶意软件100%有效。但凡看到什么“100%”的评分，别信。这种测试都是在受控环境下进行的，测试环境中的恶意软件才没有像现实世界中那么频繁地更新呢。 现实世界中，你遭遇到的恶意程序先头部队，不过是个下载器，用来下载能绕过所有杀软的全新恶意软件的。

事实5. 100%昭示风险的2个问题

十几年来，被漏洞利用的两大最可能原因，就是 没打补丁的软件，以及诱骗某人安装不该安装的东西的社会工程事件。 这2个问题几乎担起了近100%的风险。说世界上所有其他漏洞利用类型加到一起才占1%的风险，或许有点牵强。但可以说，如果你不解决好这2个最大的问题，其他问题就都不重要了。

1个没打补丁的软件程序，往往承载着90%多的Web漏洞利用。社会工程又占了剩下的大部分。请一定确保自己的关注重点落在正确的问题上。

IT作为目前有前景、有钱景的行业，无数的人加入了这个大军当中。达内时代科技集团致力于培养几大方向中高端软件人才课程与少儿教育课程。合肥IT培训助你一臂之力，更多免费训练营让你从零起步。

【免责声明】本文系本网编辑部分转载，转载目的在于传递更多信息，并不代表本网赞同其观点和对其真实性负责。如涉及作品内容、版权和其它问题，请在30日内与管理员联系，我们会予以更改或删除相关文章，以保证您的权益！