回头看看前面的风景并没有那么美

zmr123456

     似乎每次各大专家都会对某件事情进行预判，在网络界也是一样的。科技测师之类的总要对IT安全的未来做一番前瞻预言。这是可以理解的，毕竟能帮助人们辨别即将到来的威胁和新兴趋势。但事实真相却是：对广大IT用户而言，当前现有的威胁才是最应该关注的。

    网络犯罪是一门产业，与大多数现代产业一样，传播速度和市场大小才是成功的关键。漏洞利用工具包可以使潜在攻击者轻易侵入用户系统。而利用的通路，通常，恰是那些已经被受影响的软件厂商打了补丁的漏洞。你可以看看那些关于修复率的产业调查报告，无论你看的是哪家的报告或数据，漏洞修复率从未达到过100%，连逼近都称不上。漏洞修复问题是任意一年大量数据泄露事件的根源所在。

   公平的说，2016年的修复工作应该比前几年更简单些。如今，自动更新机制已经成为众多操作系统和应用程序厂商常用的最佳实践。其中表现最好的，要数谷歌的Chrome浏览器，默认提供自动更新。Adobe的Flash和Acrobat Reader，以及流行开源内容管理系统WordPress同样提供自动更新。还有Windows的微软和带来OS X和iOS的苹果，自动更新不是默认设置，但都会以明确的方式通知用户什么时候该更新了。

   但是，仍然有很多应用程序既没有自动更新系统，也没有适当地集成进操作系统级的通知，检查是否有更新的责任就落到了用户身上。真正令人惊讶的，那些某种程度上规避掉了自动更新或个人常规进行的更新检查的软件还在被频繁使用。而这也将在2016年继续成为威胁。

  
  更新问题也不总是归咎于用户的不作为，而是就算已经发布的了漏洞补丁包，也未必有全部的厂家会及时的通知到受影响的设备使用者，如此的恶性循环，造就了如今网络安全地严重漏洞。

   综上所述，从桌面系统到手机平台和App应用，每一年都有大量漏洞曝出，但却不是所有的漏洞都会被用户打上补丁。其结果，攻击者想什么时候攻击、想攻击哪里都是有可能成功的，这么可怕的后果，难道就没有人为今天的网络安全现状深思吗。

   IT安全里，另一个一直以来让人无言以对的问题就是：用户密码往往是安全防护中最弱的一环。同样，这不是个新趋势，是自现代IT诞生的那刻起就一直存在的问题。最近几年的变化，是双因子身份验证(2FA)系统的使用增多。

   攻击者带着数据库泄露的用户名和密码溜之大吉的情况屡见不鲜。但如果你的账户设置了2FA，这些信息基本等于没用，风险也就相对降低了。这种经验教训，不仅仅是2016，而是每年都应该重新警醒一遍的。

   2016 IT安全中应该注意的其他重点，与之前十几年一样，是常见类型的漏洞。在服务器方面，源源不断引发数据泄露的老问题，是SQL注入。这个问题能造成应用程序无法恰当地执行数据库输入验证。可供公司企业扫描SQL注入漏洞的工具很多，修复代码通常也就区区几行。

   当然，新的零日漏洞肯定会出现，2016年也免不了要见证那么几个。但若说到数据泄露，大部分泄露事件还得归因于本可以规避掉的已知漏洞。

   展望2016的安全，首先要回顾过往的不安全，才能更好的走向未来。