WEB2.0时代的网络安全技术发展

杀毒软件采用的特征码扫描技术只能查杀已知木马，是一种事后的处理方法。 而越来越多的木马是小众化、针对性的盗号木马，样本难以被杀毒厂商采集， 因此无法查杀；
处理能力的瓶颈
木马爆发的种类、数量已经远远超过任何一个安全厂商的处理能力，安全厂商 被迫陷入人海战术的困境；
事后的查杀无法挽回损失
木马一旦侵入系统，损失很可能已经造成，事后查杀无法挽回用户的损失；
安全成为互联网的基础服务需求（Infrastructure）
从杀毒扩展到泛安全领域
同时用户的安全需求已经不仅仅是传统扩展到了反恶 意软件、反木马、个人隐私信息安全、个人数据安全等泛安全领域： 意软件、反木马、个人隐私信息安全、个人数据安全等泛安全领域：
2007年上半年截获的可疑程序样本比例 2007 年上半年截获的可疑程序样本比例
（数据来源：360安全中心）
132827 140000 120000 100000 80000 60000 40000 20000 0 病毒 恶意软件及木马程序 35308
恶意软件、木马取代病毒成为最主要的网络安全威胁
WEB2.0时代木马的技术特征
− − Web2.0使各种应用Web化，通常用户只需使用浏览器访问网站即可使用各种应用； 网页上的恶意脚本利用漏洞攻击（包括操作系统及第三方应用软件的漏洞），即可在浏览 者机器中植入木马。和病毒不同，用户无需执行某个程序，只要浏览网页，甚至是看图片 和视频，都有可能遭致木马入侵； 网页上的恶意脚本甚至无需植入木马，利用浏览器的跨域攻击漏洞，即可获得用户的账号 等隐私信息； 而Web2.0应用允许用户制作、上传网页内容（包括脚本），这就为木马作者和黑客提供了 极大的便利，他们无需侵入网站的服务器即可实现网页挂马；
感染型、 驱动保护等多种技术融合， 感染型、Rootkit、内核级驱动保护等多种技术融合，经过加壳及免杀 、内核级驱动保护等多种技术融合 处理，难以查杀； 处理，难以查杀； 对抗杀毒软件，入侵系统后直接使杀毒软件失效； 对抗杀毒软件，入侵系统后直接使杀毒软件失效； 小众化、针对性、变种繁多； 小众化、针对性、变种繁多； 充分利用Web2.0应用提供的便利，主要以恶意网页形式传播（网页 应用提供的便利，主要以恶意网页形式传播（ 充分利用 应用提供的便利 挂马），通过操作系统及第三方软件漏洞入侵用户计算机； ），通过操作系统及第三方软件漏洞入侵用户计算机 挂马），通过操作系统及第三方软件漏洞入侵用户计算机； 制作简单，成本低（一个高中生利用网上的木马生成器即可制作） 制作简单，成本低（一个高中生利用网上的木马生成器即可制作） 木马从业者之间相互交流分享，充分体现出“群体”智慧， 木马从业者之间相互交流分享，充分体现出“群体”智慧，木马产业 链已经2.0化 链已经 化；
Web2.0是一把双刃剑，在极大地丰富了互联网应用的同时，也使得网络应 是一把双刃剑，在极大地丰富了互联网应用的同时， 是一把双刃剑 用环境更加复杂，并给网络安全带来了许多新的挑战。 用环境更加复杂，并给网络安全带来了许多新的挑战。 木马、黑客组织已经Web2.0化： 木马、黑客组织已经 化
他们已经在利用Web2.0来组建自己的社区，并可在这些社区中非常容易地 进行交流、分享，从而极大地降低了制作木马、黑客工具的门槛：
主动防御技术尚不成熟
杀毒软件厂商正在发展不依赖于特征码、 杀毒软件厂商正在发展不依赖于特征码、通过行为特征判定来查杀未知 不依赖于特征码 木马的主动防御技术，但是这项技术尚不成熟 这项技术尚不成熟： 木马的主动防御技术，但是这项技术尚不成熟：
可疑程序行为判定的准确度低 操作系统、软件环境的复杂性，软件行为的多样性，使得在整个系统范围 内对软件行为的进行判定的准确度难以保证； 用户干预过多 大量恶意软件的行为特征与正常软件往往难以区分，因此不得不通过用户 干预来确认行为的合法性，而大多数用户是没有专业能力来判断的，因此 主动防御要么变得无效，要么成为一种骚扰； 智能化、 智能化、实用化的主动防御技术尚不成熟 如何准确、智能地判定可疑的程序行为，并且无需用户干预，这个技术仍 然停留在实验室阶段。
51CTO安全技术沙龙
1
WEB2.0时代的网络安全技术发展 2.0时代的网络安全技术发展 2.0
石晓虹 奇虎360 2009年4月
2
目 录
• 网络安全已成为互联网基础服务 • WEB2.0给网络安全技术带来的新变化 • 传统网络安全技术的困境 • 以互联网思路解决网络安全问题
3
网络安全已成为互联网基础服务
近来，大量第三方应用软件的漏 洞被黑客发现，成为木马入侵系 统的另一主要途径（包括Flash Player、 RealOne、Adobe Acrobat Reader、迅雷、暴风影 音、联众游戏等众多流行软件）
第三方应用软件漏洞示例
木马传播方式举例 – 恶意网页
恶意网页浏览是木马入侵的主要来源： 恶意网页浏览是木马入侵的主要来源：
木马传播方式举例 – ARP攻击
利用ARP协议（Address Resolution Protocol）的缺陷，木马只要入 协议（ 利用 协议 ）的缺陷， 侵局域网内一台机器（如下图中的机器C），即可将自己伪装成网关， ），即可将自己伪装成网关 侵局域网内一台机器（如下图中的机器 ），即可将自己伪装成网关， 从而快速传播到局域网内的所有机器上： 从而快速传播到局域网内的所有机器上：
• 用户参与并产生内容 • 易于建立虚拟社区，具有更方 便的交流互动 • 用户在虚拟社区中的身份ID及 其关联的虚拟资产变得具有可 交换的金钱价值 • 大量采用AJAX等动态脚本技术 （并允许用户上传和控制）
Web2.0应用日益流行
• 大量采用多媒体展现形式（如 以Flash方式展现）
8
WEB2.0给网络安全带来的影响
4 10
11
WEB2.0的流行使得网络安全形 势日趋严峻
Web2.0的技术和应用模式为恶意软件和木马的爆炸性增长创造了客观 的技术和应用模式为恶意软件和木马的爆炸性增长创造了客观 有利条件，使之取代病毒成为最主要的安全威胁， 有利条件，使之取代病毒成为最主要的安全威胁，并导致网络安全形势 更趋严峻： 更趋严峻：
灰鸽子木马产业链示意图
传统网络安全技术的困境
传统反病毒技术难以应对爆炸 性增长的恶意软件和木马
木马技术越来越复杂（采用内核级驱动和 技术）， 木马技术越来越复杂（采用内核级驱动和Rootkit技术），并且攻击杀 技术），并且攻击杀 毒软件使之失效，传统杀毒软件难以查杀； 难以查杀 毒软件使之失效，传统杀毒软件难以查杀； 样本难以采集
WEB2.0时代木马传播方式日益 多样化
互联网普及以及Web2.0应用的流行为木马提供了多样化的传播途径， 应用的流行为木马提供了多样化的传播途径， 互联网普及以及 应用的流行为木马提供了多样化的传播途径 使之无需像病毒那样依靠感染即可大规模传播： 使之无需像病毒那样依靠感染即可大规模传播：
恶意网页
ARP木马入侵局域网示意
由于巨大经济利益的刺激，木 马灰色产业链已经形成
更加严峻的是，木马已经形成了具有制作、加壳免杀、传播、 更加严峻的是，木马已经形成了具有制作、加壳免杀、传播、肉鸡控制 盗号、销赃等各个分工明确环节的灰色产业链，从业人数以10万计： 10万计 、盗号、销赃等各个分工明确环节的灰色产业链，从业人数以10万计：
终端安全从反病毒扩展到更多的泛安全领域
WEB2.0给网络安全技术带来的新变化 给网络安全技术带来的新变化
WEB2.0的应用及技术特征
论坛(BBS)、博客(Blog)、社交网络 、博客 论坛 、社交网络(SNS)、视频分享等 、视频分享等Web2.0应用日 应用日 益流行，成为互联网应用的主体，并且具有如下的应用和技术特征： 益流行，成为互联网应用的主体，并且具有如下的应用和技术特征：
超过70%的木马是当用户浏览恶意网页时通过网页挂马入侵系统的（360 安全卫士每日截获的恶意网页浏览次数高达700万次），网络浏览成为安 全威胁的主要来源； 由于Web2.0应用的流行，用户可以自行编写、上传网页内容，使网页挂马 更加便利； Web2.0应用中大量采用的动态脚本技术，也容易被黑客利用，通过编写恶 意脚本来实现挂马，而一般网站难以过滤； Web2.0中Flash等多媒体动画技术的大量采用，也为黑客利用Flash等第三 方软件的漏洞进行传播创造了便利条件； 因此，用户只是浏览一个论坛或博客网站，都有可能被植入木马。木马防 不胜防，即使有“良好”的浏览习惯也不能幸免；
− − − − 讨论、交流木马制作、黑客经验 分享木马和黑客工具代码 木马和黑客技术培训（师傅带徒弟） 提供和出售现成的木马、黑客工具（通常是几十元的极低价格）
依托Web2.0提供的便利，木马、黑客的制作也已形成了“人民战争”，从 业人员达数十万；而且他们之间分工协作，形成了技术和经济的产业链； 由于这些Web2.0社区的虚拟性（这些人在现实世界可能互不认识）、自组 织和去中心化（分散性），给打击木马、黑客犯罪带来了困难，难以取证 ，也难以找到木马或黑客程序的源头。 3
从网络边界安全到终端安全
无论是政府机关还是企事业单位，都越来越依赖于互联网实现办公， 无论是政府机关还是企事业单位，都越来越依赖于互联网实现办公， 因此恶意软件和木马也已成为政府机关及企业内部电脑终端安全的主 要威胁。终端安全将成为企业网络安全的重点。 要威胁。终端安全将成为企业网络安全的重点。 但企业级网络安全厂商以往更重视的是网络边界处的安全防护， 但企业级网络安全厂商以往更重视的是网络边界处的安全防护，无法 有效应对终端处的恶意软件及木马威胁。 有效应对终端处的恶意软件及木马威胁。
安全已经是所有互联网应用的基本需求
随着互联网与人们生活的结合日益紧密， 随着互联网与人们生活的结合日益紧密，用户在使用任何互联网应用 时都可能遭遇到安全威胁。 时都可能遭遇到安全威胁。用户终端及网络的安全已成为互联网的基 础服务需求。 础服务需求。