２微软安全研究报告
主要结论
本报告陈述了从２００９年１月到２００９年７月期间微软对于安全和隐私威胁形势的看法。本节概述本报告主要章节要点。
恶意和可能有害的软件
（１）在ｌＨ０９中最显著的趋势是蠕虫感染在世界许多国家和地区的大量增长。
（２）虽然互联网具有全球化特征．但世界上不同地区用户所受到的威胁类型却差别迥异。
（３）在美国．英国．法国和意大利，木马是最大的威胁类别；在中国．几种针对中文用户的基于浏览器的威胁较流行；在巴西，针对网上银行的恶意软件泛滥；而在西班牙和韩国．威胁
则是以攻击在线游戏玩家为目标的蠕虫病毒为主。
操作系统趋势
（１）ｌＨ０９．在所有配置中．ＷｉｎｄｏｗｓＶｉｓｔａ的感染率远远低于ＷｉｎｄｏｗｓＸＰ的
感染率。
①ＷｉｎｄｏｗｓＶｉｓｔａＳＰｌ的感染率ｌ：匕ＷｉｎｄｏｗｓＸＰＳＰ３ｔ氐６１．９％：
②以ＲＴＭ（Ｒｅｌｅａｓｅ．ｔｏ．Ｍａｎｕｆａｃｔｕｒｅｒ）版本来做比较．ＷｉｎｄｏｗｓＶｉｓｔａ的感染率｝ｔＷｉｎｄｏｗｓｘＰ低
８５．３％。
（２）ＷｉｎｄｏｗｓＳｅｒｖｅｒ２００８ＲＴＭ版本的感染率ＥＬＷｉｎｄｏｗｓＳｅｒｖｅｒ２００３ＳＰ２ＲＴＭ版本低５６．１％。
（３）ＳｅｒｖｉｃｅＰａｃｋ级别越高，感染率越低。
①ＳｅｒｖｉｃｅＰａｃｋ中一般包括在其发布时所有之前已发布的安全更新．还会包括用于保护用户
的其他安全功能．缓解措施或默认配置更改；
②安装ＳｅｒｖｉｃｅＰａｃｋ的用户通常比不安装ＳｅｒｖｉｃｅＰａｃｋ的用户能更好地维护自己的计算机．并
且在浏览Ｉｎｔｅｍｅｔ、打开附件和执行其他可能导致计算机受到攻击的活动时更谨慎。
（４）数据显示Ｗｉｎｄｏｗｓ服务器版本的平均感染率比客户端版本低。服务器往往比运行客户端操作系统的计算机具有更低的有效攻击面．因为它们更有可能是由训练有素的管理员在受控条
件下使用．并且受到一个或多个安全层保护。
（５）在一段时间内，这些趋势将继续发展下去。
家庭和企业的安全形势
（１）在ｌＨ０９与运行ＷｉｎｄｏｗｓＬｉｖｅＯｎｅＣａｒｅ的家庭计算机相比，企业环境中的计算机（运行ＦｏｒｅｆｒｏｎｔＣｌｉｅｎｔＳｅｃｕｒｉｔｙ）更有可能受到蠕虫攻击。
（２）在企业环境中检测到的最多的威胁是Ｃｏｎｆｉｃｋｅｒ蠕虫．但是在家庭环境中．Ｃｏｎｆｉｃｋｅｒ并不在所检测到的十大威胁之列。因为有几种Ｃｏｎｆｉｃｋｅｒ蠕虫变种是通过移动和网络共享媒介传播的．
而这两种媒介在企业环境非常普遍（微软在２００９年４月发布的安全更新ＫＢ９７１０２９．使Ｃｏｎｆｉｃｋｅｒ和
类似蠕虫很难再通过这种方法进行传播）。
全球恶意软件类别发展趋势
（１）其他类型的特洛伊木马（包括流氓安全软件）仍然是最流行的类别。
（２）蠕虫的流行排行则从２Ｈ０８的第５位升至１Ｈ０９的第２位。
（３）密码盗窃程序和监视工具的流行程度也在上升．这在一定程度上是由于以在线游戏玩家为攻击目标的恶意软件增多所致。
恶意软件主机分析
（１）ＩＥ８内Ｚ的ＳｍａｒｔＳｃｒｅｅｎ筛选器检测到．可能有害的软件的印象数（Ｉｍｐｒｅｓｓｉｏｎ）在所有恶意万方数据
软件中所占的比例从２Ｈ０８的３５．０％提高到１Ｈ０９的４４．５％，而在清理了可能有害软件的计算机中可
能有害的软件所占的比例则从２２．８％下降到１４．９％。这表明ＳｍａｒｔＳｃｒｅｅｎ和类似的技术可能在这些
可能有害软件被下载到计算机之前就成功将其截获了。
（２）其他可能有害软件在Ｗｅｂ中并不按照比例分布，比较起来，蠕虫很少通过恶意网站传
播．虽然它们在ＳｍａｒｔＳｃｒｅｅｎ的印象数（Ｉｍｐｒｅｓｓｉｏｎ）中仅占１．２％，但被清理计算机中有２１．３％是因为
存在蠕虫。
恶意软件主机站点的地理分布
（１Ｊ数据显示，每天发现的恶意软件传播网站比网络钓鱼网站多。
（２）相对于网络钓鱼主机而言，恶意软件主机更稳定，并且在地理分布上相对集中，这可能
是因为在最近对抗恶意软件发布的斗争中使用了卸载服务器和Ｗｅｂ声誉作为武器。这也说明了恶
意软件传播者并没有像网络钓鱼者那样分散安置主机。
网络钓鱼网站分析
（１）网络钓鱼“印象数”在ｌＨ０９显著增加，主要是因为以网络社交站点为目标的攻击大幅
增加。
（２）网络钓鱼者所攻击的目标类型比过去更广泛。在ｌＨ０９，游戏网站．门户．大型公司的网
站成为最经常被攻击的目标。
（３）在２Ｈ０８至１１２００９：年４月，网络钓鱼的“印象数”几乎都很稳定，而至１］２００９年５月却翻了近４
倍．在６月达到更高的一个水平．这在一定程度上是针对社交网络的攻击活动增加所致。
（４）金融机构．社交网络和电子商务站点是网络钓鱼者最喜欢攻击的目标。
（５）研究人员也观察到攻击者所攻击的机构类型变得多样化，比如在线网络游戏网站，Ｗｅｂ
门户和大型的软件和电信公司的网站等都成为攻击目标。
网络钓鱼网站的地理分布
（１）钓鱼网站托管于全球的免费主机站点，被攻陷的ＷｅｂＪ］臣务器，以及许多其他环境中。
（２）钓鱼网站往往集中在某些地方，但是微软却在全球非常多地方都检测到了钓鱼网站。微
软已经跟踪到的钓鱼网站在世界各大洲都有分布。
（３）尽管从绝对数量上来说，大量的钓鱼网页分布在较大的，工业化程度较高且拥有巨大数
量的Ｉｎｔｅｒｎｅｔ主机的国家和地区．但是在人口稀少和Ｉｎｔｅｒｎｅｔ主机较少的地域，钓鱼网页分布的密
集度则更高一点。
威胁
（１）在１Ｈ０９，ＦｏｒｅｆｒｏｎｔＯｎｌｉｎｅＰｒｏｔｅｃｔｉｏｎｆｏｒＥｘｃｈａｎｇｅ（ＦＯＰＥ）ＩｊＦｌ１１－７＂在网络边界所接收的消息
中的９７．３％．在２Ｈ０８这一比例是９２．２％。总的来说．ＦｏＰＥ阻止了所接收的超过了９８％的消息。
（２）在１Ｈ０９．垃圾邮件以产品广告为主（药品广告占了大多数）。总的来说．在１Ｈ０９．产品广
告在垃圾邮件中所占的比例为６９．２％。
自动化ＳＱＬ注入攻击
（１）ＳＱＬ注入是攻击者用来损坏或盗取数据库中数据的一种技术，它利用结构化查询语言
（ＳＱＬ）语法来控制信息存储和检索。据观察．在ＩＨ０９：这种技术被广泛地采用。
xp提交更改（２）ｓＱＬ注入通常直接把恶意的ＳＱＬ＇代码传递给所要进行数据库查询的程序或脚本。如果程
序或脚本未对输入进行有效的验证，攻击者就有机会执行任意命令。
（３）从２００７年末开始，攻击者开始利用自动化工具通过ＳＱＬ注入技术来攻击大量的网站．进
万方数据
３
微软安全研究报告
而传播恶意软件。Ｗｅｂ应用程序通常动态地构建用户所请求的网页．从数据库中检索信息．然后
将检索的信息填充到所请求的页面中。
攻击趋势—基于浏览器的攻击
（１）在针对ＷｉｎｄｏｗｓｘＰ的计算机所进行的基于浏览器的攻击中，由于微软的漏洞而导致的攻击占所有攻击的５６．４％。而在使用ＷｉｎｄｏｗｓＶｉｓｔａ的计算机上。这一比例仅为１５．５％。
（２）ｌＨ０９在运行ＷｉｎｄｏｗｓｘＰ的计算机上．基于浏览器漏洞攻击的前１０名中，由于微软软件漏洞而导致的攻击占了其中６项；而在运行ＷｉｎｄｏｗｓＶｉｓｔａ的计算机上．只有１个攻击是由微
软软件漏洞所引起的。
ＭｉｃｒｏｓｏｆｔＯｆｆｉｃｅ格式文件
（１）ｌＨ０９在针对ＭｉｃｒｏｓｏｆｔＯｆｆｉｃｅ软件的攻击中，受攻击最频繁的漏洞仍是一些最早期的漏洞。有超过半数受攻击的漏洞是在２００６年首次发现的，并已经由Ｍｉｃｒｏｓｏｆｔ安全更新解决。
（２）有７１．２％的攻击利用了同一个漏洞（ＭＳ０６—０２７）．而其安全更新３年前就有了。应用了此更新的计算机可以防御所有此类的攻击。
（３）１Ｈ０９所观测到的大多数的Ｏｆｆｉｃｅ攻击（５５．５％）都是针对最后更新于２００３年７Ｊ９至２００４年６月这段时间的Ｏｆｆｉｃｅ程序。绝大多数的攻击都是针对２００３年１０月所发布的原始版本Ｏｆｆｉｃｅ２００３，其
中很多用户并没有安装过任何ＳｅｒｖｉｃｅＰａｃｋ或其他安全更新。
（４）通过对比，可以明显地看出抽样组中的计算机有可能已经安装了最新的Ｗｉｎｄｏｗｓ安全更新。
（５）那些对Ｏｆｆｉｃｅ安装程序和Ｗｉｎｄｏｗｓ操作系统未能及时使用安全卡ｌ＇－Ｊ－和安全更新的用户受到攻击的风险正在增加。
（６）微软建议将计算机配置为使用ＭｉｃｒｏｓｏｆｔＵｐｄａｔｅ．让Ｗｉｎｄｏｗｓ操作系统和其他微软软件保持更新。
偷渡式下载页面的分析
（１）大多数偷渡式下载页面都托管在受害的合法网站上。攻击者通过入侵或者将恶意代码提交给保护不够的Ｗｅｂ表单（如博客上的评论字段）来获得对合法网站的访问权限。
（２）作为攻击服务器（ＥｘｐｌｏｉｔＳｅｒｖｅｒ）的受害服务器可以拥有大量的访问链接；一个攻击服务器可能导致成百上千个网页受到感染。
（３）在２００９年．攻击服务器可在短时间内感染无数个网页。
（４）特洛伊木马下载程序和植入程序是偷渡式下载站点中最经常遇到的威胁类别．占总数的４０．７％。特洛伊木马下载程序非常适合偷渡式下载，因为它们可用来在受感染计算机上安装
其他威胁。
行业内的漏洞披露
（１）在ｌＨ０９．全行业披露的独立漏洞总数显著减少，与２Ｈ０８相比下降了２８．４％。
（２）虽然与２Ｈ０８相比，１Ｈ０９应用程序漏洞有所减少．但操作系统漏洞数量与２Ｈ０８基本保持一致．而且浏览器漏洞实际上略有增加。
（３）在ｌＨ０９，被通用漏洞评分系统（ＣＶＳＳ）评定为高严重性的漏洞Ｅｔ２Ｈ０８减少了１２．９％；有４６．０％漏洞被评定为高严重性。
（４）与严重性一样，在ｌＨ０９，漏洞的复杂性也呈现降低的趋势。１Ｈ０９所有的漏洞中有５４．２％属于低复杂性，而在２Ｈ０８这一数字为５７．７％，在过去５年内下降了近３０％。
（５）微软漏洞披露尽管规模很小．但反映了整个行业的情况。在过去５年里．微软漏洞披露
万方数据
４
一直约占行业内的所有漏洞披露的３％－－６％。
１Ｈ０９微软漏洞详细信息
（１）在ｌＨ０９，微软发布了２７个安全公告．解决了８７个由ＣＶＥ识，］ｗ］（ＣｏｍｍｏｎＶｕｌｎｅｒａｂｉｌｉｔｉｅｓａｎｄ
Ｅｘｐｏｓｕｒｅｓ—ｉｄｅｎｔｉｆｉｅｄ）的漏洞。
（２）负责任的披露（ＲｅｓｐｏｎｓｉｂｌｅＤｉｓｃｌｏｓｕｒｅ）是指向受影响的供应商秘密地披露漏洞，使他们能
够开发全面的安全更新．以便能在漏洞详细信息公开之前解决漏洞。这可以防止潜在攻击者在安
全更新可用之前获悉新发现的漏洞。有助于维护用户安全。
（３）１Ｈ０９在微软软件中所发现的漏洞有７９．５％遵循了负责任披露的做法，而在２Ｈ０８这一
数字为７０．６％。
攻击能力指数
（１）有４１个漏洞（４７．１％）的攻击能力指数（ＥｘｐｉｏｉｔａｂｉｌｉｔｙＩｎｄｅｘ）等级被评定为ｌ，这表示微软认
为它们最可能在相应安全公告发布后３０天内被攻击。微软检测到的这４１个漏洞中有１０个在相应安
全公告发布后的头３０天内就被利用了。
（２）有４６个漏洞（５２．９％）的攻击能力指数等级被评定为２或３．表示漏洞不一定或不太可能被攻
击．未发现任何人在３０天内公开地攻击了该漏洞。
ＷｉｎｄｏｗｓＵｐｄａｔｅ和ＭｉｃｒｏｓｏｆｔＵｐｄａｔｅ的使用趋势
（１）及时应用微软的安全更新和其他软件更新可显著减缓恶意软件的传播速度并缩小其影
响。微软建议用户将计算机配置为使用ＭｉｃｒｏｓｏｆｔＵｐｄａｔｅ，使其机器上的Ｗｉｎｄｏｗｓ操作系统和其他
微软软件是最新的。
①ＷｉｎｄｏｗｓＵｐｄａｔｅ为Ｗｉｎｄｏｗｓ组件提供更新．同时也为微软或其他硬件厂商的设备驱动
程序提供更新，此９ｂＷｉｎｄｏｗｓＵｐｄａｔｅＪ丕为微软反恶意软件产品分发更新签名．以及每月发布
ＭＳＲＴ（ＭａｌｉｃｉｏｕｓＳｏｆｔｗａｒｅＲｅｍｏｖａｌＴ００１．恶意软件清除工具）；
②ＭｉｃｒｏｓｏｆｔＵｐｄａｔｅ提供了ＷｉｎｄｏｗｓＵｐｄａｔｅ所提供的全部更新．还提供其他Ｍｉｃｒｏｓｏｆｔ软件（如
ＭｉｃｒｏｓｏｆｔＯ佑ｃｅＳｙｇｅｍ）的更新。
（２）由于越来越多的ＷｉｎｄｏｗｓＵｐｄａｔｅ用户选择转换到更全面的服务，因此ＭｉｃｒｏｓｏｆｔＵｐｄａｔｅ的
应用率在过去几年里显著提升。
自动更新的作用
（１）自动更新是用户和组织可用来防止恶意软件传播的最有效工具之一。
（２）自动更新可以确保安装更新和及时更新．以此保护个人计算机和整个计算环境。
更新服务使用率的区域变化
（１）微软在线更新服务的使用率在全球各地有所不同．这取决于许多因素，包括宽带Ｉｎｔｅｒｎｅｔ
连接、软件盗版．以及企业环境中被托管的计算机所占的百分比。
（２）一个地区的盗版软件影响范围往往与ＷｉｎｄｏｗｓＵｐｄａｔｅ和ＭｉｃｒｏｓｏｆｔＵｐ
ｄａｔｅ的使用率
成反比。
安全违规趋势
（１）在ｌＨ０９报告的安全违规事件中，数据丢失的首要原因仍然是设备（如笔记本电脑）被盗
此类事件占报告的所有数据丢失事件的３０．０％．是入侵事件的两倍。
（２）由“黑客攻击”或恶意软件事件造成的安全违规不到总违规数的１５．Ｏ％。
万方数据
Ｓ

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。