在过去的十年里，通过增加地址空间布局随机化和数据执行防御（ASLR和DEP）及其他控制，微软和其他软件供应商已经逐渐提升了安全性。苹果公司也锁定了其iOS设备，让用户需要利用多个漏洞才能够越狱其iPhone和iPad,这突出了其栅栏式应用商店模式的安全优势。同时，很多企业正在投入大量资金到安全技术来保护敏感数据和用户。尽管有这些努力，攻击者仍然像以前一样横行跋扈，并每年让全球企业损失数十亿美元。怎么应对这种情况？

    根据防病毒供应商Sophos的高级安全顾问Chester Wisniewski表示，攻击者正在想方设法来避开防御机制，并且他们现在通常同时利用多个漏洞作为单个攻击的一部分。

    “为了让漏洞在其水坑攻击中可用，攻击者不仅需要Flash中的零日漏洞，还依赖于微软Office中三个月前修复的漏洞，或者Java 6中三年前修复的漏洞，”Wisniewski表示，“所以，奇怪的是，即使我们有一个零日漏洞，攻击者仍然依赖于其他漏洞来发动攻击。”

    在2014年RSA大会接受采访时，Wisniewski解释了最老练的攻击者如何从有针对性攻击活动（例如知名的Target公司安全泄露事故）和国家民族支持的恶意软件中获得灵感来创造自己的攻击。例如，Wisniewski表示，防病毒供应商某些漏洞直接来自于24小时内发布的Stuxnet漏洞利用工具包。

    攻击者利用最新漏洞技术的速度意味着企业应该遵循信息安全基本做法，例如定期打补丁，这对于维护企业的安全态势至关重要。

    “Flash零日漏洞需要一个ASLR旁路来工作，即过时的Office和Java漏洞。所以，这意味着你原本有机会可以打补丁来抵御这种攻击，因为为了迫使你进行ASLR旁路，他们使用了两个你本应该修复的漏洞，”Wisniewski表示，“这些缓解措施并不是万能的，它们的作用是为你争取时间，并且提高攻击复杂性，如果你能提高攻击的复杂性，你就有更多的机会来阻止攻击链。”

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。