大幅降低人力成本 虚拟补丁阻击“零日攻击”

高春燕

“零日攻击”之所以危险至极，一是黑客从发现“零日漏洞”到发起攻击的时间间隔极短，安全设备很难识别出攻击行为，二是程序开发商发现并修补漏洞的速度，滞后于攻击者对漏洞的利用速度。安全厂商一直在寻找有效遏制“零日攻击”的方式。

操作系统与应用程序的漏洞从来都不会消失。知名研究机构Ogren Group在其近日发布的《虚拟补丁：有效的成本节省策略》专题报告中指出：“漏洞一旦公布，一天之内就会出现专门的攻击程序，大多数自动化攻击都出现在消息公布的前15天内，而80%的漏洞攻击都出现在60天内。”而黑客在发现漏洞之后，第一时间进行“零日攻击”，更是让企业防不胜防。

许多公司都为系统打补丁付出了高额的人力成本，但等待安装重要安全补丁期间，企业IT系统则处在非常危险的状态。传统的打补丁方式难以快速修补漏洞，更不用说对“零日攻击”进行防御和拦截了。

补丁管理成本高

据统计，现在用户使用的操作系统和应用程序中，每1000行代码中就可能有4~5个编码漏洞。而系统和应用程序开发商不可能对所有代码进行严格检查，调查、测试和将补丁程序部署到操作系统的过程可能需要30天，对于应用程序来说，需要的时间则更长。而且，用户可能会遭遇上一个严重漏洞还没修补完，新的补丁程序已经在提示用户下载更新的情况，并因此疲惫不堪。

“以微软近期紧急通知的‘MS12-020远程桌面的漏洞可能会允许远端执行程序码为例，这包括了远程桌面通信协议中两项未公开报告的信息安全风险，如果攻击者将蓄意制作的RDP封包序列传送至受影响的系统，将允许攻击者远程执行程序代码。”趋势科技（中国区）资深产品经理张明台告诉本报记者，“采用传统的补丁管理方式，用户需要在相当长的时间里，疲惫地应付这类信息安全更新等级为‘重大的补丁，并且很可能面临大规模的‘零日攻击。

但不可忽视的事实是，几乎每个月都有数百个软件漏洞被发现，即时修补不但耗费大量的人力成本，还可能因为兼容性问题导致死机。在这种情况下，服务器随时都得做好“回滚”的准备。此外，对那些尚在使用的旧版操作系统而言，用户在部署安全设备时需要额外付费，因此很多服务器和终端几乎是在互联网上“裸奔”。

虚拟补丁为企业安全减压

虚拟补丁近年来逐渐被安全厂商用于应对“零日攻击”，早在2010年，IBM就在其入侵防御解决方案IPS 4.1中使用了虚拟补丁技术。另外，2011年，ApacheWeb服务器被发现存在Apache HTTP Server畸形Range选项处理远程拒绝服务漏洞，并且有黑客利用该漏洞进行“零日攻击”。当时，绿盟科技云服务平台就推出了WAF虚拟补丁，已经购买WAF产品和相关服务的客户自动收到针对该漏洞的虚拟补丁。

Ogren Group在其研究报告中指出，虚拟补丁使用基于主机的过滤器来监测和清理网络流量，在恶意软件危及易受攻击的目标之前，在不终端应用程序的情况下，修正或阻止会攻击漏洞的网络数据流量包。企业将虚拟补丁整合到漏洞管理流程中，可以显著节约成本。此外，如果一个应用程序的早期版本已经不再获得供应商的支持，采用虚拟补丁则是此时支持该早期版本的唯一方法。

针对“零日攻击”，趋势科技也推出了虚拟补丁解决方案。在还没对漏洞进行永久补丁修复之前，趋势科技虚拟补丁不是修改可执行程序，而是针对网络数据流的深层分析，检测入站流量并保护应用程序免受攻击。尽管尚未对漏洞进行永久性修复，虚拟补丁能简化企业的补丁修复流程，大大降低整个补丁修复过程的工作量

“趋势科技将虚拟补丁作为其服务器深度安全防护系统的一个模块及防毒墙网络版的一个入侵防御防火墙插件，企业IT管理人员可以通过一致的管理和报告界面，将虚拟补丁部署到企业内部的服务器和桌面。”张明台向记者介绍，当终端的维护数量达到上百台的规模时，企业环境中的防火墙网络版用户可以通过入侵检测防火墙插件，使用统一的安全策略，阻止访问社交网站和挂马网站中针对最新漏洞的攻击代码和流量，使得用户可以在漏洞发布的数小时内立即部署防护策略，比传统的修补程式要提早几个星期的时间。

如今，虚拟化技术以已经渗透到了数据中心的每个角落。针对虚拟化数据中心应用程序，作为一台虚拟设备部署的趋势科技虚拟补丁可以自动保护服务器上所有虚拟机的应用程序漏洞，或者在每台虚拟机上单独执行和管理。

随着数据整合时代的到来，相信，虚拟补丁能够以更低的成本、更快的速度和更简便的流程，有效封堵黑客与恶意代码的“零日攻击”，成为云计算和虚拟化进程中不可或缺的安全工具。