业界
游侠原创：2011年网络与信息安全行业10大预测
2010年已经过去，在过去的1年中，我们经历了很多……百度被黑、谷歌被X、360和QQ大战……甚至在2010年12月31日，最后一天的时候，下午4点都有公司召开发布会：金山和360互掐。
2010年是混乱的，2011年呢？游侠安全网作出如下预测：
1、腾讯、金山、360混战继续，前2者联盟胜利，后者失败，但腾讯会自己开发和金山类似的安全产品线，下一步开始变成腾讯和金山的PK
作者： 网路游侠
张百川（网路游侠） | 游侠安全网站长（前身为“网路游侠的信息与网络安全博客”，51CTO优秀独立博客）。深耕网络安全与数据安全27年，是陕西省信息安全标准化技术委员会委员、数字丝路安全智库专家、榆林市和延安市网络安全专家库专家、机械工业出版社计算机领域专家咨询委员会委员。30余次担任省市级网络安全攻防演习裁判长/专家组长，对关键信息基础设施安全防护管理平台、网络安全态势感知平台、网络安全协调指挥平台有深入研究。
业界
[转载]一双暖眼看华为--陈怀临日记
飞熊摘要：
以锐捷首席安全架构师的身份撰写一篇文章在弯曲评论上引来57位业内人士的褒贬，堪为热闹。本来是没有路的，走的人多了，也就有了。锐捷在安全领域将有大动作，2011年，请拭目以待。
在褒贬声中，认识了不少人，比如zeroflag、老韩、陈首席。
陈首席是我的偶像，值得敬仰和学习。
特转载华为内部人士的一篇帖子，请围观。
安全
Web应用层防火墙真的像宣传的那般好用吗？
几个月以前我决定去探查一下Web应用层防火墙(WAF)是否真正有用，或者它仅仅是一个花费巨大的披着华丽外衣的废物，只是使得审计人员用来逃脱职责。
当然，WAF的卖家总是一成不变的告诉我们他们的产品是如何如何的好，有多少多少的客户在使用他们的产品，但是，这不是最好的方式来了解真实的情况。我也在与一些最终用户的谈论中获知了一些真实的情况，甚至这种方式也不是一个发现安全工具价值的最好方式。并不是所有的使用者有很好的观察法和内部控制方式去测试这些工具的效用，而且由于一些政治和技术方面的原因，很多人并不能够以最优的方式去部署这些工具。
...
业界
2011十大安全威胁 国家资助黑客攻击居首
全球着名应用程序和数据安全解决方案厂商Imperva公布了2011年十大安全威胁趋势的预测，将有助于IT安全专业人员帮助组织抵御下一波网络安全攻击。
1、国家资助的黑客攻击：APT趋向产业化
国家赞助的黑客通常会实施有针对性的网络攻击，混合了商业黑客行业的观念和技术，这种攻击和传统的以金钱利益为目的的攻击有所不同，但使用的技术都差不多，这些高级持续性威胁（Advanced Persistent Threat[APT]）攻击会使用诸如自动化和病毒传播技术，使它们更加强大，攻击成功的可能性更大，大家还记得Stuxnet吧，它就是这样的例子，Stuxnet不是为了获得你的银行卡密码，相反它是为了获得你基础设施的控制权。
...
业界
趋势科技发布2011年信息安全威胁预测
随着企业终端操作系统多样性的不断增加，以及移动设备的日益普及，2011年很可能将成为对于网络犯罪者获取更大收益的一年。他们将对互联网用户发动一次次电子邮件轰炸，利用社会工程学诱骗受害者下载恶意软件，藉以进行窃取个人资料等不法行为。根据TrendLabs 2010年最新的统计资料，趋势科技威胁研究专家已经发现，排名最高的恶意程序中有超过80%都是通过网页入侵用户的操作系统。
操作系统多样性让网络犯罪者拥有更多机会
2011年将是非主流操作系统、程序与浏览器的漏洞遭受更多攻击的一年，而针对应用程序漏洞的攻击也将大幅增长。云端计算和虚拟化虽然能为企业带来大量的投资回报且节省成本，但也将服务器置于传统的安全边界之外，因此反而让网络犯罪者拥有更大的发挥空间，同时也会加重云端服务供应商的信息安全责任。
...
安全
法规遵从成为部署加密技术的首要原因
随着移动设备技术的日益精进以及一些移动平台对市场的垄断，攻击者们在2011年不可避免地将攻击重点放在移动设备上，而移动设备即将成为机密数据丢失的主要源头。根据移动专家Mocana公司的研究，参与调查的企业中，65%的IT从业人员已经或将要定期关注针对智能移动设备的攻击。
IDC还预测，截止2011年底，10亿工作人员将会在部分时间处于移动状态，或者在离开公司所在地的地点办公。 随着这一情况的发生，企业将不得不采用新模式来应对由此产生的一系列挑战，如云安全，进而实现在多平台和设备之间工作的无缝链接。预计IT管理人员由于业务需要也会执行更加精细的网络安全策略。
...
业界
回顾2010年十大安全事件
即将结束的2010年里，IT安全领域可以用“混乱”一词来形容。在此我们为大家列出了十大安全事件，谷歌、思科、迈克菲和美国政府都榜上有名。谷歌、思科、迈克菲、AT&T等科技巨头上榜一点也不奇怪。因为树大招风，他们一直都是黑客攻击的目标，同时任何时候他们只要在安全方面出现失误都是重大新闻。
“极光”漏洞导致谷歌受攻击
所谓极光攻击事件指，谷歌在一月份承认他们的许多重要知识财产在去年十二月份被网络非常入侵所窃取。与此同时，另外还有十二家高科技和业内公司受到了同样的攻击。
中国ISP劫持互联网
...
安全
19个不应犯的网络安全错误
管理资讯保安服务领导供应商Verizon Business对过去几年里危害程度比较深的90个安全漏洞进行了一次系统分析，发现与这90个安全漏洞相关的“犯案”记录竟然高达2.85亿条，惊人的数字，不是吗?其中大多数重头案件都涉及有组织犯罪，比如非法登录一个未加保护网络，并窃取信用卡资料、社会安全号码或其他个人身份信息等等。
而令人惊讶地是，这些安全漏洞大多是由于网络管理员没有对自己负责的网络系统，尤其是非关键服务器采取明显的防护措施造成而造成的。
“根本原因就在于网络管理员没有做好最基本的工作，就这么简单。” Verizon Business技术创新部副总裁Peter Tippett说，Tippett是安全领域的权威人士，从事安全漏洞审计工作长达18年之久。
...
安全
技术分析：仅靠双因素认证保安全并不够
客户是银行业的基石。当我们到当地银行分支机构来办理日常银行业务或者享受其他银行服务，我们首先必须向银行人员验证自己的身份，并且通常需要通过多种识别条件。我们有这样的意识，坦率地说，我们希望在进行任何业务操作之前，银行机构会对我们的身份进行核实。
那么，为什么作为网上银行客户，我们却无法容忍这种身份验证带来的麻烦？并且不愿进行足够的网上身份验证以阻止犯罪分子企图窃取我们的网上银行证书或者影响我们的网上银行操作。
随着犯罪分子逐渐将目光转向银行客户，他们使用先进的技术(网络钓鱼、恶意软件、键盘记录器和木马等等)来窃取网上银行证书，银行业也开始部署同样先进、更强大的多因素身份验证技术来应对这些犯罪分子。虽然这些解决方案提供了强大的安全保护，但同时也给客户的用户体验带来明显的复杂性，这从市场营销和客户关系的角度来看并不理想。因此，处理用户体验和安全之间的关系成为网上银行的关键成功因素。
...
业界
安全服务，我想和你谈谈
引言
随着Internet的进一步普及和发展，企业和机构所面临的威胁也越来越多。由于黑客攻击手法层出不穷和技术水平的不断提高。许多企业和机构拥有了先进而昂贵的信息安全设备，传统的老三样“防火墙”“防病毒”“IDS”，各种新贵“反垃圾邮件防火墙”“WEB应用防火墙”以及“上网行为管理”等等，但安全事件依旧频发。究竟是产品不给力还是忽略了什么，才会有这么多安全隐患？
“人”与“设备”的缝隙
信息安全是一个动态的过程，依靠固定的安全设备是很难解决全部问题的，“人”才是信息安全过程的关键。只有“人”充分把握每一个不安全因素，才可能把安全设备之间的缝隙填平，在各种安全隐患发作之前把它们一网打尽。但在这当中“人”的专业信息安全水平和技术力量往往成为最大的限制因素。所以，许多企业尽管拥有了先进而昂贵的信息安全设备，但“设备”和“人”往往无法配合，容易造成安全隐患，等于在安全体系埋下了一枚随时可能被引爆的“炸弹”。
...
安全
云技术将加速传统杀毒软件退出历史舞台？
“每天都有新发现木马病毒200万个，平均存活时间只有5分钟，传统的安全方法已经无法与之响应，没有任何服务器可以承载该频率。”国家互联网应急中心云晓春在2010中国计算机网络安全年会上表示。
然而，面对如此严峻的形势，传统的杀毒软件却越来越显得无能为力——传统杀毒软件主要采用特征库查杀引擎来查杀病毒，用户需要连接互联网并登陆杀毒软件厂商网站下载病毒库后才能进行病毒查杀。
而这种杀毒软件的特征库升级机制沿袭了20年未曾改变，甚至成为厂商和用户的“紧箍咒”。而造成的结果就是，不仅用户每次登陆并下载病毒库十分麻烦，而且资源占用过大和滞后查杀的弊端日益明显，无力应对目前泛滥的恶意程序。
...
安全
常见金融类恶意软件的常规攻击步骤解析
金融类恶意软件关注的重点是利用自动清算系统(ACH)进行的交易和电子资金划拨(EFT)。这类恶意软件会试图窃取登录和会计信息，以便利用电子资金划拨的形式将受害者的资金转移到攻击者选择的银行账户上。
在对金融类恶意软件进行深入研究后，安全专家们发现存在两种类型的攻击模式。
常规攻击：这种类型的恶意软件旨在通过所有SSL会话而不仅仅是银行站点来盗取用户登录信息。举例来说，攻击者还搜集基于网络的电子邮件和脸谱之类社会化网站的证书，具体的步骤如下所示：
1、使用者访问网站的登录页面。
...
安全
安恒信息专家：讲述WAF 防护核心WEB应用
WEB应用的重要性
随着互联网技术的发展，WEB应用越来越受到业务系统的重视，WEB应用已经与我们的核心业务系统密不可分。如今的电子政务、电子商务、网上银业、网上营业厅等均以WEB为载体。WEB也由原来的网站浏览的代名词转变为诸如网上报名、网上交易、网上报税等多种业务应用系统。
WAF的价值
WEB价值重点体现在门户网站的时代时，我们所面临的安全威胁主要源自网站被黑或者网站被篡改，因此网页防篡改技术得到成长并大量使用。应用推运系统架构革新，而系统架构的和革新推动安全技术的发展。WEB应用防火墙也不例外，也是在现有WEB防护技术力日益无法满足业务的新需求时诞生的。
...
业界
美国男子偷看妻子电子邮件或将入狱
据新华社电 美国密歇根州奥克兰县一名男子因怀疑妻子有外遇，未经妻子允许，阅读她的电子邮件。奥克兰县检察官依照相关黑客法律向这名男子提起诉讼。若罪名成立，他将面临最多5年监禁。
莱昂·瓦尔克现年33岁，是一名信息技术人员。他的妻子克拉拉·瓦尔克有一次彻夜未归，他便怀疑妻子出轨。莱昂获取妻子电子邮箱的密码，登录邮箱阅读数封邮件，发现妻子与第二任丈夫有染。
克拉拉与第一任丈夫育有
安全
王丰辉：面向法规与人本的新一代信息安全架构
根据中国互联网络信息中心最新发布的数据，截至2010年6月底，我国网民规模已达4.2亿人，互联网普及率持续上升增至31.8%。2010年上半年CNCERT共接收4780次网络安全事件报告（不包括扫描和垃圾邮件类事件），与2009年上半年相比增长105%。其中，恶意代码、漏洞和网页仿冒事件报告次数居前三位。仅2010年上半年就有59.2%的网民在使用互联网过程中遇到过病毒或木马攻击；30.9%的