十大严重安全问题及预防措施

工作原理：引诱警惕的人就范

1. 某位细心谨慎的用户在浏览器地址栏上输入银行的URL。

2. 在用户机器上的恶意软件把用户重定向到某个钓鱼网站。

3. 通过实时的从真实的银行网站上获取文本和图片，使得钓鱼网站看起来与真的没有什么区别

4. 在输入银行账户之后，就算是细心的用户也会落入老练的钓鱼者的圈套。

防御措施

1． 提防从任何公司发来的电子邮件，不要被它表面所欺骗。好的钓鱼站点和欺诈电子邮件没有什么明显的缺点。

2． 自己手动输入银行的URL或者通过书签登陆；避免点击电子邮件的链接。

3． 在浏览器的工具栏上，查看站点是否带有锁状标记，有的话说明站点是安全的。记得是工具栏上，而不是网页上。

4． 使用现有的，并且能够在进入某个已知钓鱼站点时对用户发出警告的反钓鱼工具栏。

四.人为的安全漏洞

危险程度： 高

可能性： 高

目标： 所有人

用户可以升级Windows和其它应用程序、安装安全软件来保护电脑，但一个永远都不可能被修补的缺陷是：人为的错误。

在线的罪犯不断的改变作案手段来引诱网络用户，并且越趋隐蔽。

近来发生的eBay拍卖陷阱充分说明了社会工程是多么的有效（社会工程（social engineering）陷阱，通常是利用大众的疏于防范的小诡计，让受害者掉入陷阱。该技巧通常以交谈、欺骗、假冒或口语用字等方式，从合法用户中套取用户系统的秘密，例如：用户名单、用户密码及网络结构）。根据US-CERT和网络安全公司的报告表示，聪明的钓鱼者正通过eBay网站上的一个隐患来把拍卖链接添加到eBay的网页上。这些链接会把用户带到另外一个网站，并要求用户输入eBay的登陆信息。毫无疑问，用户会对那些要求点击并输入帐号信息的电子邮件存在戒心。但是，当你点击了可信的eBay网站上某个链接后再要求输入信息，那就算最谨慎的人都会放下戒备束手就擒。

当然，对电子邮件也要加倍小心。聪明的诈骗者盗取或购买到电子邮件地址，他们不发送垃圾邮件，而是发送看起来像是从某个真实地址发来但带有病毒的邮件。用户很可能会点击看起来是从“某人@用户公司.com”地址发来的Word文档或电子邮件中的链接。

加上近日在微软Word中发现的零日利用漏洞，这种通过虚假电子邮件地址进行攻击的方式就变得更加有效了。你一旦打开恶意电子邮件中的.doc附件就会中毒。

防御措施

1. 订阅专注安全的RSS Feed来获得最新的网络威胁信息。推荐的feed有：F-Secure，卡巴斯基和Sophos。

2. 获得尽可能多的安全建议和产品评论。推荐网站有：PCWorld的间谍软件与安全信息中心。

五.诈骗者重定向用户浏览器到其欺诈网站

危险等级： 高

可能性： 高

目标： 商业用户

用户可能每天都在使用域名系统（DNS）。它能够把如“www.pconline.com.cn”的域名转换成计算机用于识别网络上其它电脑的数字IP地址。它的作用对于因特网来说必不可少。

但是，根据网络公司The Measurement Factory透露，全球75%的DNS服务器仍然运行着旧的或者是配置错误的DNS软件。这些系统对于很大一部分攻击来说都是非常脆弱的，计算机安全研究与教育组织SANS Institute已经把DNS软件列为20个最危险的网络隐患之一。例如，攻击者就是利用错误配置的DNS服务器来发动拒绝服务攻击，迫使反垃圾邮件机构Blue Security从此关门大吉。

有多种方法可以实现攻击。其中一种方法是“缓存中毒”，这样攻击者可以同时锁定使用DNS服务器的所有用户。用户输入的可能是一个合法的网站，但结果是转向到恶意网站并最终在用户电脑上种植恶意软件。

另一种致命的攻击手段是：攻击者把虚假请求发送给递归式的DNS服务器，而服务器把应答的响应数据发送到受害者那里。响应包含了比原来请求包含更多的数据，这样就极大的增强了攻击的效果。倒霉的受害者忙于应付这些垃圾数据因此不能响应正常的用户请求。

网络欺诈

预防措施

向企业的IT部门确认DNS服务器不是递归式的，并且其上的软件保证是最新。用户可以阅读US-CERT报告以获得更多的信息。