安全補丁管理做法兩極對立 巨頭間的較量
原創以什么方式來修補企業操作系統的漏洞？
就商業層面而言，這是一個很棘手的問題。一方面，安全問題的產生勢必會造成不良的公眾影響；而另一方面，及時處理這些問題就可能帶來正面的公眾影響。
早在2003年，微軟在推出“星期二補丁”的時候就默認了其臺式機和服務器操作系統并不安全的事實，于是在每個月的第二個星期二微軟都會定期發布在過去的四個星期里開發的安全升級補丁。微軟通過這一補丁發布周期勇敢地承認自己存在的安全問題，并且希望為解決這些問題而做一些努力。與此同時，它也為管理員們提供了更新操作系統的準備方案。
相比之下蘋果的OS X操作系統的安全漏洞就要少得多，而該公司也采取了一種完全不同的方式來處理這些漏洞。為了讓盡可能少的人知道該系統已經出現的安全漏洞，蘋果不會對外公布其問題所在，而是悄悄地對其進行特別安全更新。（相關文章請參閱51CTO報導：“蘋果發布針對 Mac OS X 的41個漏洞補丁”）
事實上，這兩種處理安全漏洞的方式都存在明顯的缺陷。上周，為防止后門木馬HellRTS侵襲OS X系統，蘋果進行了一次安全更新，該木馬可以在Mac用戶的電腦里進行截圖、訪問文件夾和發送垃圾郵件等操作。Sophos的高級技術顧問Craham Cluley評論說：
“不幸的是，很多Mac用戶對那些在他們電腦上可能存在的安全隱患完全忽視。而蘋果這種暗中發布反惡意軟件安全更新的做法似乎對幫助用戶們解除這些威脅起不到任何作用。你一定會認為他們在發布反惡意軟件安全更新的時候保持緘默是出于某種市場目的。蘋果會說：噓！不要告訴人們我們必須保護Mac OS X免受惡意軟件的侵害！”然而，就好像魯迅先生筆下的阿Q，頭上長了瘡，為了不讓別人看見，所以一直用手捂著，結果越捂瘡越爛。等到大家都發現的時候，這個瘡已經很難看了。當您發現Mac OS X存在多處嚴重漏洞的時候，您很可能已經中招了。當然，蘋果也一直在發布它的漏洞補丁，但是對外公布的力度顯然不是很大，所以，請您注意51CTO關于Mac OS的漏洞和補丁報道。
那么，微軟的做法是不是很完美呢？也不是！因為它的安全補丁每個月只發布一次（特殊時期除外，比如微軟發布不定期補丁的時候）。理論上，聰明的黑客可以利用時間上的漏洞發起病毒攻擊，即在補丁發布的后一天制造之前沒被發覺的病毒，這個時間往往被稱之為漏洞星期三，而在下一次漏洞修補之前，黑客們有足足四周時間進行肆意活動。黑客們也因此通力合作，共同研究每個月的漏洞補丁，并會試圖在未來的幾天里利用其缺陷來給那些沒有在“補丁星期二”進行及時更新的電腦制造更多的麻煩。盡管如此，請您還是注意51CTO.com安全頻道關于微軟漏洞補丁的信息，畢竟，亡羊補牢猶未晚也。
鑒于這兩種做法，蘋果因為其出于某些市場目的而隱瞞OS X安全隱患的做法收到了更多的反對呼聲。盡管蘋果一再試圖讓其的用戶相信他們對于其產品的安全問題有知情權，但是它始終沒有做出應有的安全措施評估。結果是，大多數OS X用戶可能對Mac木馬也像HellRTS那樣存在的事實毫不知情。
你可能會認為反病毒軟件廠商的雇員總向你推銷一些你根本不需要的產品，認為他們的安全警告毫無意義。在很多情況下，你可能是正確的。但是，為了避免風險，你必須知道這個世界上到底在發生什么？
比如蒙蔽用戶的雙眼的蘋果公司正在用一種安全的假象給他們的用戶制造不必要的風險。就像另一名來自反病毒廠商ESET的安全顧問，David Harley說的那樣，“任何相信一種系統是完全安全可靠的，不用關心安全問題的電腦用戶是社會工程學進行研究的最好素材。”
【編輯推薦】
