“Java漏洞成系统薄弱点 Websense解密应对做法”

本篇文章2365字，读完约6分钟

对公司的cto、cio、cso来说，java一直是个难以克服的难题。 在当今的企业环境中，通过禁用java等方法来缓解java的风险并不容易。 java通常嵌入在公司重要的业务APP中，可以保持公司的竞争力。 但遗憾的是，罪犯们总是利用java的零迪漏洞入侵客户的电脑。 这就是websense安全实验室的安全专家们在过去的几个月里一直在研究和记录java安全风险的重要性的原因。

websense安全专家们首先研究了通过websense threatseeker智能云收集的一系列记录数据，这些数据显示了当前java版本的采用情况。 websense安全专家的研究表明，java的威胁普遍存在，93%的互联网计算机在访问web新闻时容易受到已知java漏洞的攻击。 此外，为了提高研究的准确性，websense安全实验室还对公司内部java版本的更新频率进行了调查研究。 然后，在最新版本的java发布后，他们再次通过实时web请求了解到了java版本的采用情况。

websense安全专家们的研究结果表明，java修补程序的更新过程非常缓慢。 此修补程序发布一周后，最新版本的java的平均采用率仍不到3%。 两周后，顾客录用率上升，略高于4%。 一个月后，只有7%的客户安装了最新版本的java。

但是，不仅如此。 websense安全专家还指出，75%以上的客户的计算机的java版本已经过时至少6个月，其中约三分之二已经过时1年以上，50%以上的客户的计算机是浏览器的java版本，至少落后2年

通过对犯罪分子采用的犯罪工具的研究，websense安全专家了解到，犯罪分子入侵公司互联网最多被采用，最成功的是对java的漏洞利用。 一旦罪犯侵入您的计算机，就会感染您的计算机，窃取公司和客户的机密数据。

如果只有不到10%的公司通过修补程序管理和版本控制来管理已知的重要java漏洞，那么剩下的93%的公司依赖什么样的安全措施来保护公司的系统免受攻击和数据盗窃呢？ websense安全专家表示，企业必须通过完全利用java版本更新来降低java的风险。

虽然依赖java的主要网站数量大幅减少，但java漏洞带来的风险却在上升。 一家公司试图以补丁管理为处理方案来降低java风险，而另一家公司则试图通过简单地关闭java来实现这一目的。 但是，由于种种原因，这两种做法都无法实现。

多个公司有依赖于java的重要业务APP，其中多个APP依赖于特定的java版本，不同的客户需要的java版本不同，因此如果与特定的组相比关闭了java，则业务APP将会 这是管理java风险时首先面临的挑战。

修补程序管理:台式机、移动设备、自动？

修补程序管理是一个复杂的过程，java的跨平台性、从易受攻击的APP应用程序更新java等因素都会影响修补程序的管理。 对移动员工进行补丁修复并不容易，特别是对于具有远程客户的公司来说。

许多公司都在严格管理的台式机环境中运行，在安装新修补程序之前，已经对修补程序兼容性、系统稳定性和其他重要因素进行了仔细测试。 由于此java修补程序的修复过程需要与快速发展的零漏洞同步，因此单个更新和修复将逐渐蚕食重要的业务APP应用程序。 目前在公司中实施的安全措施可能会向公司提供兼容性和其他验证，也可能不会。

有人认为自动更新java有助于与谷歌采用的chrome浏览器更新模型保持同步。 很遗憾，该模型也未能应对java零迪漏洞频发的问题。 新的漏洞和修补程序版本之间还有一定的差距。 今年年初，新的java漏洞在java补丁发布后的48小时内迅速传播，很快就被黑客们使用了。

混合使用最佳实践可以降低java风险

websense安全专家表示，打补丁、卸载java、实施浏览器替代方案的混合策略会起到一定的防御效果，但防御效果较差，实时防御才是保障公司安全的最有效方法

值得观察的是，鉴于上述各种挑战，这里所说的“卸载”只是相对的概念。 对于大多数企业来说，可以尽可能消除与java相关的APP，从而降低java的风险。 例如，在公司中设置“禁用java”。 因为公司网站本身需要依赖java实现的功能越来越少，所以即使禁用java，公司的互联网也不会中断。

对于需要java技术支持的网站和APP，提供特定的java办事处并将其与互联网的其他部分分离也是一种好方法。 许多it公司都有旧笔记本电脑，公司的it人员可以将这些旧电脑重置为java办事处。 公司还可以使用辅助浏览器来访问双浏览器方法、主浏览器和指定的APP应用程序。 如果将辅助浏览器配置为启用java的浏览器，并只允许访问指定的网站，则可以从主浏览器中完全删除java，从而帮助企业降低java的风险。

安全对策方案需要强化零日意识

基于java的零迪漏洞不断更新。 因为补丁管理、独立的java机、多浏览器结构以及其他控制方法都无法完全消除java的风险。 此外，许多供应商没有提供能够完全抵御java威胁的解决方案。 因为这个新的安全对策方案需要强化对java威胁的零狄意识。

公司可以向APP通讯制造商施加压力，确认提供的软件与最新版本的java兼容。 内部开发者也需要加强安全最佳实践的学习并应用于研究开发。 其中包括通过不采用非文件功能和地点来支持更新的程序。 旧系统的使用是将公司的it部门和旧的java版本联系起来的因素之一，在快速增长的过程中，公司常常为了逐渐变弱的安全性而付出成本。

websense的安全专家们表示，许多公司还没有意识到这些事情，认为即使存在零日漏洞，面临互联网威胁的时间也不长。 公司需要真正了解零日漏洞与我们的研究之间的关系，以成功应对当前it基础架构中存在的java难题。