随着互联网行业和新兴技术的迅速发展，当前的网络安全形势日益复杂。勒索病毒、挖矿木马等频繁爆出，因漏洞造成的各类安全事件层出不穷。国家、企业和个人层面均面临着不同程度的风险。信息安全漏洞是影响网络安全的重要因素之一。要想防范信息安全漏洞，避免受到各种攻击或事件影响，必须提升信息安全防范意识，了解信息安全漏洞的基础知识。
一、信息安全漏洞的概念
信息安全的目标是保护信息的机密性、完整性、抗否认性和可用性。信息安全漏洞是指在信息技术、信息产品、信息系统在设计、实现、配置、运行等过程中，由操作实体有意或无意造成的缺陷。一旦被恶意主体利用，就会对信息系统的安全造成损害，从而影响构建于信息系统之上正常服务的运行，危害信息系统及信息的安全性。
信息安全漏洞可分为硬件缺陷、操作系统缺陷和应用软件缺陷等。信息安全漏洞以不同的形式存在于信息系统的各个层次和环节之中，而且随信息系统的变化而改变。在互联网环境中，信息安全漏洞是重要的战略资源，是网络攻防争夺的焦点。
二、信息安全漏洞的产生
信息安全是信息科技工作的基础。只有安全得到保障，信息化技术和应用才能实现自身价值。由于人类思维能力、计算机计算能力局限性等因素，以及信息化技术和应用的快速更迭、飞速发展，信息安全漏洞的产生不可避免。
从技术角度看，信息安全漏洞产生的原因有多个方面。首要原因是系统的复杂性。随着人们对系统的功能和性能的要求越来越高，软件工程也变的越来越复杂，这就导致系统存在漏洞的可能性大增。其次是应用环境越来越复杂，当前的系统结构有C/S、B/S、App/小程序等多种类型，呈现出开放、动态、不可控状态，导致造成和被发现漏洞的机会大增。最后是因为用户更注重系统的功能、性能和易用性，导致一定程度上忽视或牺牲了安全性。
从管理角度看，人员的素质、意识等的“软”因素是主要原因。安全圈常说“三分技术，七分管理”、“人是一个系统中最不稳定的因素”等，就是这个道理。没有高水平的管理，再加上人员安全意识缺失，频繁出现弱口令、明文存储、未受限访问、信息泄露等漏洞也很正常，再好的安全技术、设备也是形同虚设。
三、信息安全漏洞的发现
漏洞发现可以分为对已知漏洞的检测和对未知漏洞的检测。已知漏洞的检测主要是通过安全扫描技术，检测系统是否存在已公布的安全漏洞；而未知漏洞检测的目的在于发现软件系统中可能存在但尚未发现的漏洞。现有的未知漏洞检测技术有源代码扫描、反汇编扫描、环境错误注入等。源代码扫描和反汇编扫描都是一种静态的漏洞检测技术，不需要运行软件程序就可分析程序中可能存在的漏洞；而环境错误注入是一种动态的漏洞检测技术，利用可执行程序测试软件存在的漏洞，是一种比较成熟的软件漏洞检测技术。
安全扫描也称为脆弱性评估（Vulnerability Assessment），其基本原理是采用模拟黑客攻击的方式对目标可能存在的已知安全漏洞进行逐项检测，可以对工作站、服务器、交换机、数据库等各种对象进行安全漏洞检测。源代码扫描主要针对开放源代码的程序，通过检查程序中不符合安全规则的文件结构、命名规则、函数、堆栈指针等，进而发现程序中可能隐含的安全缺陷。反汇编扫描对于不公开源代码的程序来说往往是最有效的发现安全漏洞的办法。分析反汇编代码需要有丰富的经验，也可以使用辅助工具来帮助简化这个过程，但不可能有一种完全自动的工具来完成这个过程。
四、信息安全漏洞的修复
安全是一个攻与防的过程，只有在了解各种攻击技术和手段后才能采取更加有效的防御策略，从而避免安全事件的发生。系统研发人员不仅需要熟练的编程技巧，还需要重视“安全左移”，即在开发阶段进行安全加固、代码审计，将安全属性融入到软件的开发过程中，从源头上减少漏洞的产生。安全研究人员需要加强系统漏洞及防护技术等方面的学习，不断深入研究新的漏洞挖掘和利用技术，挑战各种漏洞的缓解措施，先攻击者一步掌握最新的攻击技术，提高系统和应用的安全防护水平。
来源：freebuf.com 2020-08-06 14:09:08 by: Bluedream145
请登录后发表评论
注册