思科發(fā)表《思科2014年度安全報(bào)告》，指出網(wǎng)絡(luò)上，利用使用者對(duì)系統(tǒng)、應(yīng)用程式與個(gè)人網(wǎng)絡(luò)的信任而產(chǎn)生的攻擊威脅已經(jīng)到了驚人的地步。根據(jù)報(bào)告，全球有將近100萬(wàn)的資訊安全專業(yè)人才短缺，直接影響機(jī)構(gòu)監(jiān)控防護(hù)網(wǎng)絡(luò)的能力，整體漏洞和威脅達(dá)到自2000年以來的高峰。

　　此報(bào)告清晰呈現(xiàn)了企業(yè)、IT部門和個(gè)人正面臨急速演進(jìn)的資安挑戰(zhàn)。駭客（attacker）使用的方法包括利用社交工程（socially engineered）竊取密碼與憑證、藏身于不起眼處滲透入侵、以及利用經(jīng)濟(jì)交易、政府服務(wù)、社交互動(dòng)取得所需的身分認(rèn)證。

　　報(bào)告重點(diǎn)摘要

　　威脅層面的日益復(fù)雜化及擴(kuò)散：之前僅造成有限傷害的簡(jiǎn)單攻擊轉(zhuǎn)變成了有組織的網(wǎng)絡(luò)犯罪，他們不僅手法細(xì)膩、有充裕資金作為后盾，更有能力使受攻擊的公部門或私部門遭受嚴(yán)重的經(jīng)濟(jì)與名譽(yù)的損害。

　　智慧型移動(dòng)裝置及云端運(yùn)算快速成長(zhǎng)，讓網(wǎng)絡(luò)攻擊的層面達(dá)到前有未見的龐大程度，導(dǎo)致日趨復(fù)雜的犯罪手法與解決方案：新款的裝置類型與基礎(chǔ)架構(gòu)都為駭客提供了更多機(jī)會(huì)，那些未被發(fā)現(xiàn)的漏洞及缺乏防御能力的資產(chǎn)，都讓他們有機(jī)可乘。

　　網(wǎng)絡(luò)犯罪者了解到與單純?nèi)肭謧�(gè)人電腦或裝置比較，利用網(wǎng)絡(luò)基礎(chǔ)設(shè)備的力量可獲取更大的利益：這些鎖定基礎(chǔ)設(shè)施的攻擊行為，目的在于入侵并策略性的鎖定網(wǎng)頁(yè)主機(jī)伺服器、網(wǎng)域名稱伺服器以及資料中心，進(jìn)一步擴(kuò)散攻擊，對(duì)利用這些資源建構(gòu)的眾多個(gè)人資產(chǎn)造成損害。駭客鎖定網(wǎng)際網(wǎng)絡(luò)基礎(chǔ)設(shè)施，讓所有連結(jié)或仰賴這些設(shè)施的裝置都受到嚴(yán)重影響，其可靠性毀于一旦。

　　重要發(fā)現(xiàn)

　　整體漏洞與威脅達(dá)到自2000年首次追蹤報(bào)告以來的新高。至2013年10月為止，累積的年度警示數(shù)量相較去年同期有14%的增幅。

　　報(bào)告指出在2014年全球安全專業(yè)人才短缺人數(shù)已超過100萬(wàn)。網(wǎng)絡(luò)罪犯利用精密的技術(shù)與策略，不斷地試圖入侵網(wǎng)絡(luò)與竊取資料，這些威脅已超越了IT與安全專業(yè)人員所能抵御的范圍。大多數(shù)機(jī)構(gòu)并沒有足夠的人力或系統(tǒng)持續(xù)監(jiān)視如此大規(guī)格的網(wǎng)絡(luò)與偵測(cè)滲透攻擊，并及時(shí)有效地實(shí)施防護(hù)。

　　取樣30家全球最大的跨國(guó)企業(yè)網(wǎng)絡(luò)后，發(fā)現(xiàn)當(dāng)中100%的網(wǎng)絡(luò)內(nèi)容會(huì)引導(dǎo)訪客前往含有惡意程式碼的網(wǎng)站。另96%的網(wǎng)絡(luò)瀏覽會(huì)透過核閱\通訊傳輸進(jìn)而入侵伺服器系統(tǒng)。92%發(fā)送到這些網(wǎng)頁(yè)的傳輸沒有實(shí)際內(nèi)容，為典型的惡意攻擊行為。

　　分散式阻斷服務(wù)（DDoS）攻擊：阻絕來往目標(biāo)網(wǎng)站的傳輸，可癱瘓所有的ISP，而且在數(shù)量與嚴(yán)重性均有上升趨勢(shì)。有些DDoS攻擊的目的在于掩護(hù)其他不法活動(dòng)，像是在電信詐騙中，前期、中期、后期所產(chǎn)生的擾亂、干擾DDoS的活動(dòng)。

　　多目標(biāo)木馬是最常見經(jīng)由網(wǎng)頁(yè)散布的惡意程式，在2013年的總數(shù)更增加27%，利用防御漏洞（exploit）與內(nèi)置框架（iframe）的惡意程式碼，是排行第二的常見類型，比例達(dá)到23%。另外像是密碼竊取與后門程式這類盜取資料的木馬，在網(wǎng)頁(yè)惡意程式碼總數(shù)中占了22%。另類惡意程式碼主機(jī)與IP網(wǎng)址的數(shù)量持續(xù)下滑，從2013年1月至2013年9月之間就減少了30%，代表惡意程式碼逐漸集中在更少的主機(jī)以及更少的IP網(wǎng)址。

　　Java 依舊是最常被駭客使用的程式語(yǔ)言�，F(xiàn)已納入思科旗下的Sourcefire所公布的資料指出，Java漏洞攻擊在Indicators of Compromise（OCs）指標(biāo)中占了絕大多數(shù)（91%）的比重。

　　99%針對(duì)移動(dòng)裝置的惡意程式都鎖定Android裝置，有43.8%裝置都遇過的Andr/Qdplugin-A是最常見的移動(dòng)裝置惡意程式，通常是透過重新包裝的合法應(yīng)用程式，并透過非官方的網(wǎng)絡(luò)市集來散布。

　　特定行業(yè)，像是制藥、化學(xué)、以及電子制造業(yè)，遇到惡意程式碼的比例一直都居高不下。在2012與2013年，農(nóng)業(yè)與采礦業(yè)遭遇惡意程式碼的比例出現(xiàn)可觀的成長(zhǎng)，而這些行業(yè)以往都是風(fēng)險(xiǎn)相對(duì)較低的產(chǎn)業(yè)。另外能源/石油/天然氣行業(yè)遭遇惡意程式碼的次數(shù)也持續(xù)攀升。

　　支援引述

　　思科資深副總裁暨威脅回應(yīng)情資及發(fā)展部門首席安全長(zhǎng)John N. Stewart指出：「雖然思科年度安全報(bào)告描繪出當(dāng)前網(wǎng)絡(luò)安全的嚴(yán)峻局勢(shì)，然而我們?nèi)杂邢Ｍ�扭轉(zhuǎn)對(duì)人、機(jī)構(gòu)及科技的信任感。第一步要做的就是為防御人員提供實(shí)務(wù)上的知識(shí)，讓他們了解目前持續(xù)擴(kuò)張的攻擊層面。為真正有效保護(hù)這些所有可能發(fā)生的攻擊，防御者必須從事前、過程中、以及攻擊之后了解駭客與其動(dòng)機(jī)，以及其采用的方法。