《2017上半年漏洞收錄報(bào)告》出爐 北上廣安全隱患集中

　　安全漏洞是進(jìn)入系統(tǒng)控制權(quán)限的大門，作為系統(tǒng)程序的缺陷，漏洞一旦被不法分子利用，往往會(huì)造成難以想象的危害。近日，補(bǔ)天漏洞響應(yīng)平臺(tái)發(fā)布了《2017年上半年補(bǔ)天平臺(tái)漏洞收錄分析報(bào)告》(以下簡(jiǎn)稱報(bào)告)，對(duì)2017年上半年征集收錄到的安全漏洞在類型數(shù)量、區(qū)域分布以及挖掘利用上進(jìn)行了詳細(xì)的統(tǒng)計(jì)分析。

　　高危漏洞比重減半《網(wǎng)絡(luò)安全法》初現(xiàn)效果

　　高危級(jí)漏洞作為軟件漏洞等級(jí)中最危險(xiǎn)的一級(jí)，極易被病毒、木馬、黑客等利用，對(duì)互聯(lián)網(wǎng)及用戶造成的危害也更加嚴(yán)重，因此高危漏洞所占的比重一定程度上可以反映互聯(lián)網(wǎng)安全的基本狀況。

　　2017年上半年，補(bǔ)天平臺(tái)征集共收錄安全漏洞10693個(gè)，其中，高危漏洞僅為2800多個(gè)，占比26.2%，比去年的50.2%幾乎減少一半，表明我國(guó)網(wǎng)絡(luò)安全形式正在向良好的趨勢(shì)發(fā)展。據(jù)分析，這可能與今年6月1日起，《國(guó)家安全法》的正式實(shí)施，網(wǎng)絡(luò)安全建設(shè)和維護(hù)受到重視有關(guān)。

　　信息泄露漏洞占比大 安全意識(shí)尚待提高

　　當(dāng)今社會(huì)，網(wǎng)絡(luò)安全與信息安全緊密相連，犯罪分子利用漏洞展開(kāi)的網(wǎng)絡(luò)攻擊往往會(huì)泄露用戶的個(gè)人信息。尤其是大數(shù)據(jù)時(shí)代，人們的身份、社會(huì)關(guān)系、資產(chǎn)往往以數(shù)據(jù)形式呈現(xiàn)，一旦這些信息遭到泄露，互聯(lián)網(wǎng)用戶就可能遭到針性的網(wǎng)絡(luò)詐騙，造成不可估量的損失。

　　《報(bào)告》數(shù)據(jù)顯示，2017年上半年，補(bǔ)天平臺(tái)征集收錄的安全漏洞中，SQL注入漏洞最數(shù)量最多，占比達(dá)29.5%，作為可以泄露數(shù)據(jù)庫(kù)的漏洞，黑客一旦利用它被拖，就可能泄露用戶信息。此外，還有11.8%的信息泄露漏洞，將直接威脅計(jì)算機(jī)用戶的個(gè)人信息安全。

　　值得注意的是，這些被征集的網(wǎng)站漏洞中，仍舊有23.3%在發(fā)現(xiàn)后沒(méi)有被及時(shí)修復(fù)，給用戶信息安全造成風(fēng)險(xiǎn)。因此，用戶的安全防范意識(shí)還需要不斷提高。

　　快速發(fā)展地區(qū)風(fēng)險(xiǎn)大北上安全廣隱患集中

　　對(duì)于各種漏洞的地域分布，《報(bào)告》也進(jìn)行了詳細(xì)的分析研究，其中，經(jīng)濟(jì)發(fā)展快的城市和地區(qū)的漏洞安全風(fēng)險(xiǎn)較為嚴(yán)重，尤其是北上廣等一線城市，安全隱患尤為集中。

　　《報(bào)告》數(shù)據(jù)顯示，北京、廣東、浙江、上海等10個(gè)漏洞收錄靠前省份的收錄綜合占據(jù)了74%的比重，其中單北京就占了總量26.3%。這些地區(qū)正是我國(guó)網(wǎng)絡(luò)發(fā)展最迅速的地區(qū)，也是互聯(lián)網(wǎng)公司最集中的地區(qū)。重視技術(shù)的進(jìn)步卻忽視安全防御，可能是導(dǎo)致更多的安全隱患和風(fēng)險(xiǎn)集中在這些地區(qū)的原因。

　　安全專業(yè)人才缺口嚴(yán)重360開(kāi)啟人才培養(yǎng)計(jì)劃

　　漏洞挖據(jù)的關(guān)鍵是人，《報(bào)告》顯示，2017年上半年，共有2781名白帽子向補(bǔ)天平臺(tái)提交有效漏洞13356個(gè)(其中公益SRC收錄10771個(gè)，私有SRC收錄2585個(gè))，總計(jì)獲得獎(jiǎng)金247.9萬(wàn)元。這些白帽子中， “90后”占了75.2%，構(gòu)成白帽子的絕對(duì)主力。

　　隨著互聯(lián)網(wǎng)的快速發(fā)展，白帽子等專業(yè)的網(wǎng)絡(luò)安全人才的越來(lái)越重要。目前我國(guó)網(wǎng)絡(luò)安全人才的需求已達(dá)到70萬(wàn)，但每年高校培養(yǎng)的信息安全專業(yè)人才僅有3萬(wàn)余人，缺口巨大，因此，網(wǎng)絡(luò)安全人才的培養(yǎng)與建設(shè)已迫在眉睫。

　　面對(duì)巨大的人才缺口，補(bǔ)天漏洞響應(yīng)從2016年開(kāi)始發(fā)起補(bǔ)天安全人才培養(yǎng)計(jì)劃，在全國(guó)七個(gè)城市10余所高校舉行培訓(xùn)沙龍活動(dòng)，并同期開(kāi)通線上課程。技術(shù)提議涵蓋web、無(wú)線、安卓等多方面，開(kāi)展具有實(shí)操性、針對(duì)性的技能提升培訓(xùn)。

　　如果說(shuō)網(wǎng)絡(luò)安全是一場(chǎng)戰(zhàn)役，那么挖掘利用漏洞并做好防護(hù)就是做戰(zhàn)略部署前的偵查活動(dòng)，而專業(yè)的信息安全專業(yè)人才就是偵查員。補(bǔ)天漏洞響應(yīng)平臺(tái)作為中國(guó)最大的漏洞檢測(cè)與響應(yīng)平臺(tái)，以協(xié)同保護(hù)全社會(huì)網(wǎng)絡(luò)安全為使命，正在成長(zhǎng)為安全愛(ài)好者分享交流漏洞挖掘與安全攻防的交流平臺(tái)。