信息安全漏洞概述
漏洞、漏洞利用和威胁概览
在网络安全领域，理解漏洞（Vulnerability）、漏洞利用（Exploit）和威胁（Threat）之间的区别至关重要。
- 漏洞：指硬件、软件或程序中的弱点。它是黑客访问系统的入口通道，是系统本身存在的缺陷。
- 漏洞利用：是网络犯罪分子用来利用漏洞并破坏 IT 基础设施的实际恶意代码或攻击脚本。它利用了漏洞的存在来执行非授权操作。
- 威胁：是一种潜在的危险事件，尚未发生但有可能造成损害。漏洞是威胁转化为攻击的媒介，即网络犯罪如何利用漏洞入侵目标系统。
安全漏洞的示例和常见类型
信息安全中的四种主要漏洞类型涵盖了从技术底层到人为操作的各个层面。
1. 网络漏洞
网络漏洞存在于组织的硬件或软件基础设施中，允许网络攻击者获得访问权限并造成伤害。这些暴露领域的范围广泛，包括：
- 保护不善的无线访问点（Wi-Fi），导致数据被窃听。
- 配置错误的防火墙，无法有效过滤恶意流量。
- 未加密的网络传输协议，使得敏感信息在传输过程中易被截获。
2. 操作系统 (OS) 漏洞
操作系统漏洞使网络攻击者得以对安装了该操作系统的任何设备进行攻击损害。常见的利用方式包括：
- 拒绝服务 (DoS) 攻击：通过发送重复的虚假请求阻塞系统，使其过载瘫痪。
- 未打补丁的软件：运行应用程序的系统若未及时更新，会暴露已知风险，有时危及整个网络环境。
- 内核级漏洞：允许攻击者获取最高权限，完全控制主机。
3. 过程（或程序）漏洞
当本应作为安全措施的程序不够强大时，就会产生漏洞。最常见的流程漏洞之一是身份验证漏洞：
- 弱密码策略：用户甚至 IT 管理员都使用简单可预测的密码。
- 缺乏多因素认证 (MFA)：仅依赖单一凭证进行访问控制。
- 会话管理不当：允许会话劫持或固定攻击。
4. 人为漏洞
人为漏洞是由用户错误造成的，用户将网络、硬件和敏感数据暴露给了恶意攻击者。这可以说是最大的威胁，尤其是远程和移动工作人员增加的情形。示例包括：
- 打开受恶意软件感染的电子邮件附件（钓鱼攻击）。
- 未在移动设备上安装软件更新。
- 将敏感数据存储在公共云存储且未设置权限。
- 在公共场合讨论敏感业务信息。
何时应该公开披露已知的漏洞？
漏洞不是一旦发现就要公开的，而是要根据实际情况，选择合适的时间来公布。什么是合适的时间，这因研究人员、供应商和网络安全倡导机构的不同而异。网络安全和基础设施安全局 (CISA) 为新发现的网络安全漏洞的补救和公开披露提供了指导方针。他们的建议视情而异，如漏洞是否严重、是否积极利用漏洞，或是否存在严重威胁。通常遵循负责任披露原则，给予厂商修复时间后再公开细节。
漏洞和风险的区别
漏洞和风险的不同之处在于漏洞是已知的弱点。它们是破坏 IT 系统安全的已识别漏洞。而风险是漏洞被利用时可能造成的损失或损害。
常用计算公式是：风险 = 威胁 x 漏洞 x 后果。
漏洞在什么情况下会被利用？当系统存在让恶意行为入侵的明确路径时，漏洞就会被利用了。采取基本的安全预防措施（例如保持最新的安全补丁和正确管理用户访问控制）可以帮助防止漏洞成为更危险的安全漏洞。
什么是零日漏洞？
'零日漏洞'(Zero-day) 又叫零时差攻击，是指被发现后立即被恶意利用的安全漏洞。通俗地讲，即安全补丁与瑕疵曝光的同一日内，相关的恶意程序就出现。这种攻击往往具有很大的突发性与破坏性，因为防御方没有任何准备时间来修补该漏洞。
是什么导致的漏洞？
- 人为错误：当最终用户成为网络钓鱼和其他社会工程策略的受害者时，他们成为安全漏洞的最大原因之一。内部人员的疏忽往往比外部攻击更难防范。
