未修补的应用程序是#1网络安全风险

未修补的客户端软件和易受攻击的面向互联网的网站是业务中最严重的网络安全风险。据一项新的研究显示，较小的威胁包括操作系统漏洞和零日漏洞数量增加。

一家领先的安全教育机构SANS Institute发布了一份描述“顶级网络安全风险”的新报告。它可以免费阅读（无需注册）。以下是摘要中引用的主要调查结果：

优先级1：客户端软件仍未修复

[更多阅读：如何从Windows PC删除恶意软件]

“针对目标的电子邮件攻击，通常称为鱼叉式网络钓鱼，正在利用Adobe PDF Reader，QuickTime，Adobe Flash和Microsoft Office等常用程序中的客户端漏洞。

“这是当前用于危害具有Internet访问权限的计算机的主要初始感染向量。当用户访问受感染的网站时，攻击者会利用这些相同的客户端漏洞。 （请参阅下面的优先级二，了解他们如何破坏网站）

“因为访问者感到安全从受信任的站点下载文档，他们很容易被骗到打开文档以及利用客户端漏洞的音乐和视频。 >“一些漏洞甚至不需要用户打开文档。只需访问受感染的网站即可妥协客户端软件。然后，受害者的受感染计算机被用于传播感染，并危及其他内部计算机和敏感的服务器，这些计算机和敏感的服务器被错误地认为是受到外部实体未经授权访问的保护。“在很多情况下，攻击者的最终目标是窃取数据来自目标组织，并安装后门，攻击者可以通过这些后门进行进一步利用。“平均而言，主要组织至少需要修补客户端漏洞的两倍以修补操作系统漏洞。 “

该报告基于来自TippingPoint入侵防御系统的攻击数据，该系统可以保护6,000个组织，由Qualys编译的9,000,000个系统的漏洞数据以及额外的分析和互联网风暴中心和主要SANS教员的指导

同样来自：

优先级2：面向互联网的网站易受攻击

“针对网络应用程序的攻击构成超过总数的60％在互联网上观察到的攻击尝试。这些漏洞被广泛利用，将可信任的网站转换为恶意网站，为包含客户端漏洞的内容提供服务。

“Web应用程序漏洞，例如开源和定制的SQL注入和跨站脚本漏洞应用程序占被发现漏洞的80％以上

尽管遭受了大量攻击，尽管这些漏洞被广泛宣传，但大多数网站所有者无法有效扫描常见漏洞并成为不法分子使用的不法工具感染访问者信任这些网站以提供安全的网络体验。“

我通常不会引用源文档中的太多信息，但SANS人员是专家，他们提供的建议是有根据的。免费报告不是很长，但包含的内容比我在这里可以引用的要多得多，可以从SANS网站免费获得。

David Coursey发短信为

@techinciter

，可以为

contac通过他的网站 。