信息安全威脅如夏日的蒼蠅一樣無窮無盡。經常有這種情況，已經做好了準備措施，并針對安全風險做好了完全保護，但突然又有一個新的漏洞利用伎倆粉墨登場了。

　　不管你是正在保護企業信息資產的安全管理人員，還是努力保持個人數據安全的普通員工，各種新舊威脅都會給你帶來潛在的巨大風險。下面我們分析一些新興的安全威脅及其應對措施。

　　文本消息惡意軟件

　　雖然智能手機的病毒仍很少見，但文本通信攻擊已經開始興風作浪。如今的PC都已經做好了良好的防范措施，所以黑客已開始轉向移動設備。其動機當然是為了金錢。文本通信為這些不法之徒提供了賺錢的途徑。

　　人們日益依賴于移動設備，針對智能電話操作系統的文本消息攻擊已經不再是“有可能的事情”，不僅消費者會面臨這些風險，任何使用公司智能電話的員工，如果他濫用文本消息，都有可能將企業的網絡和數據置于風險之中，并有可能導致違反規范的問題。

　　這種攻擊與針對普通電腦的攻擊非常類似。有時，一個包含SMS或MMS附件的消息會偽裝成一張有趣的或性感的圖片，吸引用戶打開。一旦用戶打開或下載此圖片，就會將惡意軟件安裝到設備上。在加載時，它會要求訪問特權，并通過手機中可以獲得此用戶消息的聯系人進行傳播。

　　通過這種方式，黑客會構建一個可以發送文本消息垃圾郵件（此郵件擁有到達黑客欲銷售產品的鏈接）的僵尸網絡，而且每條消息都要向用戶收費。

　　還有一種伎倆，即一個鏈接到某應用程序下載的文本消息，實際上卻會下載一個木馬，通過智能手機發送海量的SMS。

　　此外，對于雇員的愚蠢行為或錯誤，許多單位并沒有采取什么預防措施。例如，某安全專家在對公司雇員進行培訓過程中，用一個攜帶有虛假蠕蟲的消息給用戶發送了文本消息。在培訓結束后，調查發現，許多雇員已單擊了其中的鏈接。

　　為使惡意軟件遠離用戶的手機，建議企業制定實施嚴格的策略，限制哪些雇員可以使用公司的網絡和手機使用文本消息，并限制通過文本可以進行的操作。另外一個選擇是完全禁用文本通信，至少在業界制定出應對這種威脅之前可以是這樣。

　　對普通用戶來說，理智和常識是最佳防御。不要單擊來自并不認識的人所發送的文本消息鏈接或附件。即使對于熟悉的聯系人所發送的消息也要格外當心，因為他們也會在無意中成為僵尸網絡的一部分。

　　社交網絡賬戶欺騙

　　越來越多的人使用頻繁社交網絡，因此易于受到社交網絡賬戶欺騙這種新技術的攻擊。其要點在于，欺詐者將自己扮演成用戶認識的朋友或親戚，然后接近用戶，并欺騙用戶泄露個人信息。欺詐者使用此信息訪問用戶的其它賬戶，最終竊取用戶的身份。

　　在一次典型的欺詐中，黑客通過某種服務聯系你，將自己扮演成一位朋友或同事或是你信任的任何人。然后，這位新“朋友”會通過文本消息或電郵直接聯系你。在社交網絡之外，有位新“朋友”來聯系你，這看似奇怪但又似乎在情理之中，因為你相信他與你信任的某個人有密切關系。

　　還有一種情況，欺詐者有可能“變成”你已經認識的某個人，例如，宣稱自己是來自某學校的老校友。欺詐者可以跟蹤你的公共新聞訂閱或查找你在某網站上的同事的姓名來找出你的社會關系。

　　一旦欺詐者與你建立了聯系，他就可以使用隱蔽方式來竊取你的個人數據，如查明家庭成員的名字、喜歡的品牌、愛好以及其它看似不重要的信息，然后根據這些信息來猜測你的銀行網站安全問題。

　　社交網絡賬戶欺騙背后的觀念根本不是什么新東西。讓你透露個人信息是也是一種老伎倆。當今的社交網絡僅僅為網絡犯罪提供了接近普通用戶的一種新途徑。這種伎倆之所以起作用，在于一般沒有什么方法知道你在網絡上信任的那個人是否真是他所宣稱的身份。

　　社交網絡的一個問題是普通用戶都使用Web界面，并且無法檢查IP地址或報頭信息。一切都顯得那么美好。

　　但社交網絡上的黑客們日益狡詐。他們首先要確定一個目標，然后調查：這是怎樣的一個人，他在干什么，他喜歡做什么？

　　而且，社交網絡攻擊有時與電郵及網站欺騙相結合。你可能會與某人建立了友誼，然后收到了他的郵件，但實際這是一個騙局。在你單擊了郵件中的一個鏈接時，你就會被帶到一個虛假的網站，登錄此網站會泄露你的用戶名和口令。

　　還有一種可針對公司和個人的攻擊。騙子可能會建立一個社交網站網頁，宣稱自己是公司的官方網頁。為了顯得更可信，騙子還可能宣稱，此網頁是聯系公司的一種正式方法。

　　該網頁還可能提供免費（當然是虛假）的優惠信息吸引著人們加入，在人們與社交網絡上的其它人共享時，其危害就更大。一旦大量的人員加入，騙子就會誘騙他們提供個人信息，例如，欺騙他們說可以提供其它優惠。

　　這種攻擊具有雙重危害：一是消費者受到危害，因為其個人數據受到損害，二是公司受到損害，因為客戶將這個假冒的社交網站與真實的公司聯系起來，進而決定不再購買其服務和產品。

　　黑客們通常不會不辭辛勞地模仿一個人或公司，他們更傾向于發送鏈接，用釣魚伎倆來欺騙你。有時，通過電郵的報頭或IP地址就可以跟蹤這種攻擊，而且很多這類攻擊太概括，沒有針對性，對于稍微謹慎的人來說，是不容易上當的。

　　還有一些看似明顯卻常被忽略的預防措施。，如果有人說他是一位朋友的朋友或同事，務必要用你的常用聯系方式來確認他的身份。而且，鎖定你在社交網站的私密設置也是一個不錯的辦法，因為此時你的聯系人信息、帖子、照片等內容對任何人都是不可見的。

　　對公司而言，沒有什么辦法可以阻止黑客建立一個假冒的社交網頁，但公司可以監視其公司的名字在網絡上的使用情況。如果出現了一個未經授權的網頁，公司就應當要求社交網站清除這些假冒的東西。

#p#副標題#e#

GPS干擾和欺騙

　　還有一種干擾GPS信號的新興犯罪伎倆。其實，從源頭上干擾GPS信號幾乎是不可能的。阻斷來自GPS衛星的無線電信號需要大量的反傳輸。

　　然而，用一種低成本的干擾設備就可以干擾GPS接收器。這種設備可以用一種類似的信號來使GPS的接收設備過載，接收器無法找到穩定的衛星傳輸，就會陷于混亂。

　　這種混亂不僅討厭，更會帶來嚴重的安全威脅。例如，黑客可以在路口設置一個干擾器，臨時禁用過往車輛的GPS。當然，這種攻擊目前相對少見。

　　欺詐性的GPS信號是更大的危險，GPS接收器一般是低功率的設備，它可以接收任何強信號。曾有專家試驗過給過路車發送GPS欺騙信號。在測試過程中，錯誤的GPS信息被發送給臨近的接收器，干擾了其正常運行。

　　但安全業界往往是反應性的：直至出現了一種災難性的漏洞利用才對此采取措施。因為GPS欺騙還是新生伎倆，目前沒有哪個機構愿意開發安全項目。

　　當然，任何個人都無法采取措施來應對GPS干擾或欺騙。如果你開車時或使用掌上電腦時，有人發送了干擾信號，接收器會出故障或被欺騙。但當你遠離干擾或欺騙設備的范圍時，設備又會正常工作了。

　　攻擊進入智能電網

　　一種常見的誤解是，只有開放的網絡，如公司給來賓訪問的無線網絡，易于遭受攻擊。但實際上，找到一個接入點，進入所謂的封閉系統并沒有那么難。

　　例如，Stuxnet在去年就感染過成千上萬的Windows電腦，其重要特點是很多電腦都運行著西門子SCADA系統。它主要是通過USB閃盤傳播的。這證明，要給一個行業的控制網絡帶來潛在的巨大災難，還是相當簡單的。

　　另一個新攻擊點是智能電網，這種電網使用電子計量來簡化電力管理。全世界的公用事業公司都已經開始對智能電表進行測試，并部署到消費者的家里和企業中。該技術可以從一個中央系統發送數據，也可以由此系統接收數據，它對于IT而言，是很有好處的，比如，你可以打開一個控制臺，查看某大樓的某部分的電力耗用情況。

　　但智能電網也易于遭受攻擊，因為黑客有可能切斷到家庭和企業的電流，并制造其它破壞。一種可能的攻擊媒介是智能電網的通信基礎設施。如果公司使用客戶智能電網系統，其傳感器會借助于用戶的家用無線Wi-Fi網絡將能耗的使用反饋給中央服務器。

　　正因如此，終端用戶有可能利用自己的網絡，訪問用于提供電力的變電站。而且，這些類型的網絡還有正確分段或受到保護。攻擊者一旦進入，就會被當作一個可信用戶，可以訪問其它區域。攻擊者有沒有可能破壞變電站或城市呢？完全可能。他們可以植入一個后門，使電網在特定的時間癱瘓。
　
　　另外一個值得關注的漏洞在于智能電表本身，此問題同樣會影響到智能電網。例如，安全服務廠商IOActive發現了智能電網設備中的幾個缺陷，黑客可以利用這些缺陷訪問智能電網網絡，并切斷客戶的電力。

　　黑客可以利用新聞來發現用于智能電網中的技術，然后返回到基礎設施并找到漏洞。例如，如果某公司宣稱使用了某項技術，黑客就可以找到能夠發現相關控制器和突破進入系統的方法。

　　最有效的防御措施是嚴格的隔離。智能電網不應當聯接其它網絡。因而，公司迫切需要滲透測試，以確保封閉網絡中的防火墻是安全有效的。

　　“嚴格的隔離”規則也適用于家庭用戶。客戶絕對不應當將智能電網網絡與其家用網絡橋接起來。建議家庭用戶熟悉其智能量表，以確認用戶能夠識別他們是否受到了利用和損害，并要求其公用事業供應商部署相關的安全措施，以保護電表和網絡。

　　網絡恐嚇

　　社交網絡改變了人們的交流和工作方式，許多人對此津津樂道。然而，有些人卻通過社交網絡讓別人的生活變得更糟。

　　有一個叫做網絡恐嚇或網絡侵擾的新概念，它是涉及到對個人或單位進行網絡攻擊的一種行為，如對你做出各種否定性的評論，或對你在社交網站上的的照片進行惡搞。而作惡者有可能躲在別名之后，隱藏其身份。

　　我們可能聽說過未成年人在網絡上惡搞別人的案例，但成年人也可以在其工作場所連接到社交網絡，這時，與工作場所有關的攻擊有可能會涉及到其它雇員，或是試圖竊取公司信息的其它人。

　　網絡恐嚇很難定義，因為其威脅形式太多，而且其行為背后的動機也千差萬別。網絡恐嚇可來自人際關系破裂，或者是由于競爭者試圖破壞公司形象而實施的不法行為。

　　為使網絡恐嚇遠離公司網絡，企業需要實施所有常見的公司安全工具，如防火墻和加密等。此外，公司應當建立社交媒體策略，要清晰地規定雇員可以將哪些信息粘貼到公共網站上，不應當粘貼哪些信息。

　　如果雇員受到了網絡恐嚇或網絡侵擾，應當立即將其向執法部門報告。如果恐嚇發生在工作中，還應將其報告給人力資源部門。不要刪除這些非法的帖子，或其它的惡意通信，應當保留事件的所有文檔，這樣做不僅是為了保留證據，更是為了執法部門可以根據電郵和論壇的帖子來跟蹤冒犯者。

　　最佳的防御是盡可能認真地保護個人信息。例如，千萬不要在網絡上泄露自己的生活細節，如現住地和工作地、動向（例如，在度假或在家生病等），這都會使你易于遭受攻擊。

　　小結

　　對于本文所討論的多數威脅而言，采用如下預防措施就足夠了：

　　1、采用強健的加密技術。
　　2、在社交網絡上僅與可信任的人員交互。
　　3、在公司網絡上經常進行滲透測試，這有助于減輕恐懼。

原文鏈接：http://www.searchsecurity.com.cn/showcontent_49314.htm