保護(hù)電腦的安全軟件日益成為黑客攻擊的目標(biāo)，其漏洞也在逐漸暴露出來，數(shù)量之多甚至超過了微軟產(chǎn)品。

也許你會認(rèn)為自己的電腦足夠安全，因?yàn)槟惆惭b了最新的反病毒軟件，而且明天通過互聯(lián)網(wǎng)進(jìn)行更新，或者你認(rèn)為你安裝的防火墻軟件將阻止惡意代碼攻入你的電腦。然而，事實(shí)上并非你想像的那樣。黑客正在充分利用安全軟件中發(fā)現(xiàn)的漏洞來對電腦進(jìn)行攻擊。

漏洞百出 安全軟件不再安全？

據(jù)咨詢機(jī)構(gòu)Yankee集團(tuán)即將于6月20日發(fā)布的研究報(bào)告，在安全軟件產(chǎn)品中發(fā)現(xiàn)的漏洞數(shù)量已經(jīng)連續(xù)第三年呈現(xiàn)增長趨勢，而且今年其漏洞數(shù)量首次超過在微軟產(chǎn)品中發(fā)現(xiàn)的漏洞數(shù)量。這些安全軟件的漏洞大多數(shù)由研究機(jī)構(gòu)、大學(xué)和安全公司發(fā)現(xiàn)。問題在于這些發(fā)現(xiàn)的漏洞被黑客用于不可告人的目的。

據(jù)Yankee研究機(jī)構(gòu)的高級分析家安德魯－加奎斯稱，去年安全軟件產(chǎn)品中發(fā)現(xiàn)的漏洞數(shù)量達(dá)到了60個，幾乎是2003年31個漏洞數(shù)量的兩倍。該分析家從報(bào)道過的軟件漏洞中精心統(tǒng)計(jì)了來自安全軟件產(chǎn)品的漏洞數(shù)量。到今年5月份，安全軟件產(chǎn)品中發(fā)現(xiàn)的漏洞數(shù)量達(dá)到了23個，比去年同期增長了50％。而且隨著夏季這個黑客發(fā)動大規(guī)模攻擊季節(jié)的帶來，會有更多的漏洞被暴露。到目前為止，微軟產(chǎn)品中暴露的漏洞數(shù)量只有22個，低于安全產(chǎn)品中的漏洞數(shù)量。

這些數(shù)字無疑讓安全軟件廠商感到了尷尬，安全軟件為這些廠商帶來了數(shù)十億美元的收入，但是現(xiàn)在它們卻成了黑客的幫兇。以前安全軟件廠商忙于為微軟產(chǎn)品中的漏洞大補(bǔ)丁，而現(xiàn)在它們得為自己的產(chǎn)品打補(bǔ)丁了。為此安全軟件廠商辯解道，每個人都知道無法開發(fā)出完美無暇的軟件產(chǎn)品。

據(jù)Yankee集團(tuán)的這份研究報(bào)告，賽門鐵克安全軟件產(chǎn)品中的漏洞數(shù)量從2003年的6個增長到了16個，在幾大安全軟件廠商中，其發(fā)現(xiàn)的漏洞數(shù)量最多，但是到了今年，賽門鐵克的狀況有了很大改善，截止于5月份，賽門鐵克產(chǎn)品中發(fā)現(xiàn)的漏洞數(shù)量僅為2個。

在2004年安全軟件產(chǎn)品漏洞數(shù)量排行榜上，F(xiàn)-Secure公司位居第二，其漏洞數(shù)量為10個，2003年為0個，今年為1個；2004年CheckPoint軟件產(chǎn)品漏洞數(shù)量為7個，2003年為1個，今年為3個；隨后為NetScreen、RSA、BlueCoat系統(tǒng)公司、McAfee。

研究人員和黑客：查找安全軟件漏洞 挑戰(zhàn)并快樂著

作為安全軟件市場的領(lǐng)導(dǎo)廠商，賽門鐵克無疑成為了黑客的首選目標(biāo)，這是因?yàn)槠洚a(chǎn)品龐大的用戶群體，因而黑客的攻擊能夠起到更大的影響力，這也是微軟為其產(chǎn)品中眾多漏洞做辯解的理由。但是Yankee集團(tuán)的分析家加奎斯指出，作為第二大安全軟件廠商，McAfee的表現(xiàn)更為出色，其漏洞數(shù)量呈現(xiàn)下降趨勢，從2003年的5個下降到了2004年的2個，今年其發(fā)現(xiàn)的漏洞數(shù)量也只有2個，無疑從這方面來看，McAfee的產(chǎn)品質(zhì)量已經(jīng)處于領(lǐng)先地位。

賽門鐵克的官員對此拒絕做出評論，但是在一份聲明中，安全軟件巨頭表示，這份研究報(bào)告將整個安全軟件產(chǎn)業(yè)和單一的一家公司微軟做比較是不合適的。該聲明稱，這不是對等的比較。不過分析家加奎斯回應(yīng)之所以這么比較是因?yàn)槲④洰a(chǎn)品是黑客首先攻擊的目標(biāo)。該分析家指出，去年安全軟件產(chǎn)品的漏洞數(shù)量增長率超過了整個軟件產(chǎn)業(yè)。

業(yè)內(nèi)人士指出，目前安全軟件之所以存在隱患主要有三個方面的原因：第一，現(xiàn)在的軟件比過去要復(fù)雜得多；第二，互聯(lián)網(wǎng)無所不在；第三，系統(tǒng)可擴(kuò)展性。到底是什么在推動安全軟件產(chǎn)品中的漏洞頻繁曝光了？部分原因是一些專業(yè)人士炫耀其能力的結(jié)果。計(jì)算機(jī)安全顧問和研究人員經(jīng)常會表示他們能夠在發(fā)現(xiàn)軟件產(chǎn)品中的漏洞為榮。他們的思路是一旦漏洞被發(fā)現(xiàn)并公開，廠家和安全軟件公司就會迅速升級其產(chǎn)品。

一直以來這些研究人員熱衷于給微軟的操作系統(tǒng)查找漏洞，現(xiàn)在安全軟件為其提供了新的機(jī)會。與此同時，許多黑客也找到了同樣的樂趣，他們也開始在安全軟件中尋找漏洞并試圖將其用于不正當(dāng)目的。

安全軟件成黑客幫兇 警鐘敲響

盡管安全軟件產(chǎn)品中發(fā)現(xiàn)了很多漏洞，但是正在被黑客利用并發(fā)動大規(guī)模攻擊的只有一個。Witty蠕蟲就利用了互聯(lián)網(wǎng)安全系統(tǒng)（ISS）公司安全軟件產(chǎn)品中的漏洞在2004年3月20日公布后的72個小時后發(fā)動了大規(guī)模的攻擊。

IIS的首席執(zhí)行官托馬斯－諾朗表示，一部分ISS用戶由于及時通過互聯(lián)網(wǎng)得到了補(bǔ)丁包，從而避免了一場災(zāi)難，但是群體用戶就沒有幸免。該蠕蟲病毒會重寫感染電腦系統(tǒng)硬盤的數(shù)據(jù)，從而使得整個計(jì)算機(jī)系統(tǒng)崩潰。據(jù)統(tǒng)計(jì)，1萬2千臺服務(wù)器被感染，但是惡意的軟件損害的不僅僅是硬盤數(shù)據(jù)：在這一蠕蟲病毒公布之后，ISS的股價暴跌了5％，為15.98美元，不過自從那以后，IIS的股價開始復(fù)蘇，目前已經(jīng)攀升到了21.60美元。

在IIS的歷史上，它的產(chǎn)品中只發(fā)現(xiàn)過三個漏洞，但是諾朗表示這個蠕蟲給其敲響了警鐘，盡管我們用戶中只有不到1％的比例受到了這個蠕蟲的侵害，但是就是1％也是一個龐大的數(shù)字，它已經(jīng)開始影響公司內(nèi)部一系列的運(yùn)作包括整個安全軟件的開發(fā)流程。

危險(xiǎn)的黎明

對其它公司來說，這也為其敲響了警鐘。分析家加奎斯廠商更新其內(nèi)部軟件測試流程。最近賽門鐵克和McAfee收購安全咨詢公司就是試圖加強(qiáng)這方面的力量，這些安全咨詢公司擅長于對軟件產(chǎn)品進(jìn)行測試性的攻擊，因而在安全軟件產(chǎn)品發(fā)布前，就可以在公司內(nèi)部進(jìn)行攻擊性測試。

安全軟件廠商表示它們已經(jīng)將產(chǎn)品中的漏洞最為相當(dāng)嚴(yán)肅的事情來對待。盡管如此，安全軟件產(chǎn)業(yè)不得不面臨一個新的挑戰(zhàn)－不管代碼有多么完美，它都不再安全。VeriSign公司的首席安全官肯－斯利佛表示，軟件就是軟件，它不可能完美無缺，我并不認(rèn)為漏洞的出現(xiàn)是安全產(chǎn)業(yè)界的失敗，只是黑客變得越來越聰明了。

如此看來，無論是計(jì)算機(jī)用戶還是安全軟件產(chǎn)業(yè)，危機(jī)四伏的黎明已經(jīng)悄悄來臨：因?yàn)榘踩浖豢赡苁?00％安全。