正確認識信息安全漏洞，了解漏洞，才能真正解決漏洞
從計算機和程序代碼誕生的時候開始，信息安全漏洞就隨之而誕生，古老的漏洞和最新的漏洞從影響來看都沒啥區別，反正，都是為了攻破那一道(或許有)的防線。
前段時間漏洞和安全事件多發，其中我們之前介紹的Apache Struts 2就是一個經常發生高危漏洞的系統。漏洞是絕大多數的信息安全事件的根源，我們必須對漏洞有所認識，才能更好的處理安全漏洞。
什么是信息安全漏洞，其危害有哪些
漏洞是在硬件、軟件、協議的具體實現或系統安全策略上存在的缺陷，從而可以使攻擊者能夠在未授權的情況下訪問或破壞系統。是受限制的計算機、組件、應用程序或其他聯機資源的無意中留下的不受保護的入口點。—引自百度
漏洞可以分為3 大類：第一類是由于操作系統自身設計缺陷帶來的安全漏洞，這類漏洞將被運行在該系統上的應用程序所繼承;第二類是應用軟件程序的設計Bug 而引起的漏洞;第三類是應用服務協議的安全漏洞。
近年來，針對漏洞的攻擊越來越多，利用漏洞的病毒、木馬技術進行網絡盜竊和詐騙的網絡犯罪活動呈快速上升趨勢。產生了大范圍的危害，由此給企業造成了重大經濟損失。特別是針對Web 應用安全漏洞的攻擊，也有逐漸成為主流攻擊方式的趨勢。利用網站操作系統的漏洞和Web 服務程序的SQL 注入漏洞等，黑客能夠輕松得到Web 服務器的控制權限，從而篡改網頁內容或者竊取企業內部重要數據資料，甚至在網頁中植入惡意代碼，俗稱“網頁掛馬”，使得更多網站訪問者受害。
據柯力士信息安全安犬漏洞管理云平臺的漏洞庫統計，僅從2016年11月22日至12月22日期間，就有232個高危漏洞被發現，而中危漏洞更是兩倍于此。這些漏洞如不修復，可能給企業帶來更嚴重的損失。
針對漏洞，制定對策，提前掃描，及時發現
漏洞對于企業的信息系統，乃至社會信息秩序都有極大的威脅，那么怎么才能在漏洞的威脅下保護我們自己的信息安全呢?一位知名信息安全專家在談到漏洞時候，特地的拿漏洞和我們人類的疾病進行了類比，他認為漏洞即是機器或者程序生病，可以借鑒病例的方式進行數據的匯總和收集，之后再遇到類似的“信息安全疾病”就可以做出正確的應對了，而這一份“病例”的收集成果，就是現在被稱為“漏洞庫”的存在。每天都有百萬條漏洞信息被拿來與漏洞特征庫進行對比，如匹配，則可對癥下藥。如匹配度低，則可以從多方面對漏洞進行判定是否0-day漏洞。如果說病例是為了讓我們更了解疾病，進行妥善處理，那么漏洞庫，則是我們人類針對信息安全漏洞做出來的，以了解和大數據收集為目的的對策。如CVE LCE等。
擁有了漏洞庫作為基礎，只需選擇一款不錯的漏洞掃描產品，及時進行掃描發現和修復就行了，摸清了漏洞的原理之后，就算是黑洞我們也補給你看!
數據防護千瘡百孔，發現修補漏洞更需大數據
當然，我們夢想生活在一個沒有漏洞的世界：我們的軟件完美無瑕，安全性能絕佳。然而，現實卻與我們的夢想背道而馳。我們讓計算機為我們做得越多，對其安全性的需求就越迫切;但計算機需要做得越多，它們的軟件就必須越復雜，它們的漏洞也就越多。如此就形成了一種惡性循環。以你的筆記本電腦為例，其操作系統由數千萬行代碼組成，其安裝的應用軟件大多數僅完成3/4就匆匆上市。當你的筆記本電腦與數以百萬計的其他設備(包括平板電腦和手機)連接，形勢就會迅速失控。
修復漏洞有點像排干海洋，可能你永遠也不可能完成。盡管編碼水平和標準都在提高，但提高的速度還不夠快。而關于漏洞的大數據建模，我們一直在進行。
【本文為51CTO專欄“柯力士信息安全”原創稿件，轉載請聯系原作者(微信號：JW-assoc)】
