十大严重的网络安全问题及对应措施

防御措施

1. 安装一个能够阻止不明程序与外网进行通讯的防火墙，以阻止按键记录程序反馈数据。免费软件ZoneAlarm防火墙就能实现这样的功能；而Windows XP集成的防火墙就无能为力了。

2. 定期修改密码，并且不要在多个网站上使用相同的用户名和密码。关于密码设置的技巧，可以阅读Steve Bass最新的“Keep it Secret，Keep It Safe”。

三.钓鱼者伪造合法站点

危险程度： 高

可能性： 高

目标：所有网络用户

钓鱼是最有利可图的犯罪手段之一，并且它还在持续急速增长。据Anti-Phishing Working Group最新的统计数据显示，在2006年4月，新的独立钓鱼网站到达了11，121个之多，几乎是去年4月发现的2854个网站的四倍。

用户可能会认为钓鱼者的网站很容易识破，以为这些网站都存在低级的拼写错误，并且网页简陋。但是，现在的钓鱼者很少手工创建一整个银行网站了。相反，他们通过强大的服务器端软件把真实银行网站的文本，图片和连接通通拉过来。用户输入的所有查询都会转到原真实站点，当然登陆数据除外。这部分数据会落入钓鱼者手中。

有些钓鱼站点做得实在太专业，就连很小心有经验的冲浪者也会上当。

浏览器被劫持

钓鱼者的目的就是要诱骗用户浏览某个伪造的网站。或许根据过去的经验，不要相信声称是从你银行发来的并要求你点击链接以确认帐户信息的链接。但是，现今的钓鱼者采取的是更加强逼性的手段来使用户的浏览器指向他们的站点。

一种称为智能重定向的恶意软件技术，就算用户正确的输入了银行的网址，但是浏览器还是会鬼使神差的转向钓鱼者的网站。在被感染用户电脑上运行的恶意软件，监控着世界各地活动的成百上千个假银行站点，一旦用户想登陆某个银行的站点，它就会自动重定向到某个活动的假站点。如果某个假站点被合法取缔了，那么这个智能重定向技术会把受感染电脑带到另外一个躲过检查的站点。

只要还有利可图，那么罪犯就会不断的锻炼技能和开发新技术。安全硬件制造商CounterStorm的Michael Rothschild表示，目前来说，的确非常有利可图，好的带有证书的信用卡信息可以卖到70美元一张。

网络钓鱼

工作原理：引诱警惕的人就范

1. 某位细心谨慎的用户在浏览器地址栏上输入银行的URL。

2. 在用户机器上的恶意软件把用户重定向到某个钓鱼网站。

3. 通过实时的从真实的银行网站上获取文本和图片，使得钓鱼网站看起来与真的没有什么区别

4. 在输入银行账户之后，就算是细心的用户也会落入老练的钓鱼者的圈套。

防御措施

1． 提防从任何公司发来的电子邮件，不要被它表面所欺骗。好的钓鱼站点和欺诈电子邮件没有什么明显的缺点。

2． 自己手动输入银行的URL或者通过书签登陆；避免点击电子邮件的链接。

3． 在浏览器的工具栏上，查看站点是否带有锁状标记，有的话说明站点是安全的。记得是工具栏上，而不是网页上。

4． 使用现有的，并且能够在进入某个已知钓鱼站点时对用户发出警告的反钓鱼工具栏。

四.人为的安全漏洞

危险程度： 高

可能性： 高

目标： 所有人

用户可以升级Windows和其它应用程序、安装安全软件来保护电脑，但一个永远都不可能被修补的缺陷是：人为的错误。

在线的罪犯不断的改变作案手段来引诱网络用户，并且越趋隐蔽。

近来发生的eBay拍卖陷阱充分说明了社会工程是多么的有效（社会工程（social engineering）陷阱，通常是利用大众的疏于防范的小诡计，让受害者掉入陷阱。该技巧通常以交谈、欺骗、假冒或口语用字等方式，从合法用户中套取用户系统的秘密，例如：用户名单、用户密码及网络结构）。根据US-CERT和网络安全公司的报告表示，聪明的钓鱼者正通过eBay网站上的一个隐患来把拍卖链接添加到eBay的网页上。这些链接会把用户带到另外一个网站，并要求用户输入eBay的登陆信息。毫无疑问，用户会对那些要求点击并输入帐号信息的电子邮件存在戒心。但是，当你点击了可信的eBay网站上某个链接后再要求输入信息，那就算最谨慎的人都会放下戒备束手就擒。

当然，对电子邮件也要加倍小心。聪明的诈骗者盗取或购买到电子邮件地址，他们不发送垃圾邮件，而是发送看起来像是从某个真实地址发来但带有病毒的邮件。用户很可能会点击看起来是从“某人@用户公司.com”地址发来的Word文档或电子邮件中的链接。

加上近日在微软Word中发现的零日利用漏洞，这种通过虚假电子邮件地址进行攻击的方式就变得更加有效了。你一旦打开恶意电子邮件中的.doc附件就会中毒。

防御措施

1. 订阅专注安全的RSS Feed来获得最新的网络威胁信息。推荐的feed有：F-Secure，卡巴斯基和Sophos。

2. 获得尽可能多的安全建议和产品评论。推荐网站有：PCWorld的间谍软件与安全信息中心。

五.诈骗者重定向用户浏览器到其欺诈网站

危险等级： 高

可能性： 高

目标： 商业用户

用户可能每天都在使用域名系统（DNS）。它能够把如“www.pconline.com.cn”的域名转换成计算机用于识别网络上其它电脑的数字IP地址。它的作用对于因特网来说必不可少。

但是，根据网络公司The Measurement Factory透露，全球75%的DNS服务器仍然运行着旧的或者是配置错误的DNS软件。这些系统对于很大一部分攻击来说都是非常脆弱的，计算机安全研究与教育组织SANS Institute已经把DNS软件列为20个最危险的网络隐患之一。例如，攻击者就是利用错误配置的DNS服务器来发动拒绝服务攻击，迫使反垃圾邮件机构Blue Security从此关门大吉。

有多种方法可以实现攻击。其中一种方法是“缓存中毒”，这样攻击者可以同时锁定使用DNS服务器的所有用户。用户输入的可能是一个合法的网站，但结果是转向到恶意网站并最终在用户电脑上种植恶意软件。

另一种致命的攻击手段是：攻击者把虚假请求发送给递归式的DNS服务器，而服务器把应答的响应数据发送到受害者那里。响应包含了比原来请求包含更多的数据，这样就极大的增强了攻击的效果。倒霉的受害者忙于应付这些垃圾数据因此不能响应正常的用户请求。

网络欺诈

预防措施

向企业的IT部门确认DNS服务器不是递归式的，并且其上的软件保证是最新。用户可以阅读US-CERT报告以获得更多的信息。