HP：2011年商業應用漏洞減少，但攻擊不減反增

HP旗下資安研究單位DVLabs發表2011年資安風險報告指出，儘管去年偵測到的商業應用漏洞減少，但攻擊次數不減反增，嚴重程度的漏洞比例也增加。

該份資安風險報告的資料源自「開放源碼漏洞資料庫」（Open Source Vulnerability Database）及DVLabs的ZDI零時差攻擊防禦計劃，加上蒐集HP旗下TippingPoint入侵偵測系統得到的攻擊資料，以及Fortify弱點分析資訊，由DVLabs綜合各項資訊分析而來。

2010年共發現商業應用程式漏洞數量為8502，但2011年新漏洞數量降低至6864個，減少將近2成。雖然漏洞數量減少，但從TippingPoint、Fortify的資料顯示，過去10年嚴重程度的漏洞比例增加，從2001年的9%提高到2011年的24%。

HP亞太暨日本區資訊安全事業群經理Tony Teo表示，漏洞減少並沒有使攻擊減少，2011年攻擊次數較2010年增加，攻擊次數超過5億，駭客習慣從已知安全漏洞發動攻擊，動機不像過去為單純展示技術，而是基於政治、經濟、個人或組織的特殊信念發動攻擊。

報告指出，因許多網站曝露伺服器名稱、系統版本，網路應用程式攻擊比例增加至36%。就網路應用程式攻擊來看，2009年約偵測到3千萬次攻擊，到了2011年快速增加至7千萬次，攻擊類型以SQL Injection為主，其次為XCC跨站腳本攻擊、PHP夾檔。

為避免資安風險，HP建議，應利用弱點掃描分析應用程式漏同，並及時更新軟體，搭配IPS分析防止不正常的網路攻擊行為。