7月第3周安全回顧 Oracle釋出更新檔合集 通訊安全受忽視

本周（080714至080720）的資訊安全威脅程度為低。

推薦閱讀：

1）美國政府釋出針對IT經理的資訊安全指導，推薦指數：高

美國政府下屬的國家标準和技術委員會（NIST）釋出了一個指導文檔，這份名為《特别文檔: SP800-53A，聯邦資訊系統安全控制評估指導》的指導文檔旨在幫助企業群組織的IT經理更有效的評估資訊系統安全控制是否恰當，它的組織和内容也相當有價值。推薦目前從事企業IT經理、部門主管或有興趣的朋友仔細了解一下，這個文檔可在如下連結中找到：

<a href="http://csrc.nist.gov/publications/nistpubs/800-53-Rev2/sp800-53-rev2-final.pdf">[url]http://csrc.nist.gov/publications/nistpubs/800-53-Rev2/sp800-53-rev2-final.pdf[/url]</a>

2）Gartner報告稱，基于雲的安全服務将成為新熱點，推薦指數：中

17日，市場研究機構Gartner發表報告稱，基于雲計算技術的安全服務将會在未來五年内有長足的發展，相對于現在為資訊通訊提供支援的安全軟體即服務（SAAS）模式每年20%的增長率，基于雲計算技術的安全服務将在未來五年内以每年60%到80%的速度增長。目前雲計算技術越來越熱，許多大廠商紛紛按照自己的了解推出雲計算産品，安全廠商如何适應這一潮流？ 這個文章或許能夠提供一點啟示。

3）八千萬Facebook使用者面臨身份識别竊賊的威脅；推薦指數：高

在知名交友網站Facebook意外的将所有使用者的私人保密資訊設定成公衆可以通路之後，超過8000萬的Facebook使用者面臨身份識别竊賊的威脅。Facebook的安全問題在近兩年不斷暴露出來，作為國内衆多交友網站模仿的對象，在借鑒的過程中如何防止同時複制Facebook層出不窮的安全問題，将是這些國内交友網站的管理層最需要關注的問題。關于隐私保護的更深入讨論，請關注筆者的另外一個系列文章《51CTO隐私保護技術探讨》

要聞回顧：

媒體方面，本周值得關注的新聞集中在漏洞更新檔、消息安全領域

漏洞更新檔：Oracle釋出更新檔合集；關注指數：高

新聞：7月17日，來自Darkreading.com的消息。資料庫廠商Oracle釋出新的更新檔合集，該更新檔合集包含45個獨立的更新檔程式，共修補了23個Oracle産品，包括Oracle的資料庫産品、應用伺服器，以及Oracle最近收購的BEA産品等中存在的不同威脅等級的漏洞。

筆者觀點：不久前安全業界進行的一次資料庫安全調查表明，資料庫應用因為在企業業務系統中的重要地位，管理人員往往不敢随意對其實施更新檔更新操作，進而導緻企業資料庫應用往往存在輕重不等的安全漏洞，這種情況在Oracle等大型資料庫産品上尤其嚴重。由于這次Oracle釋出的更新檔更新中再次包括十多個針對Oracle資料庫的更新檔，修補的漏洞大多是入侵者或者蠕蟲可能用于侵入資料庫系統的嚴重漏洞，是以，建議企業使用者盡快應用這些更新檔更新，如果使用者對實施更新檔更新可能造成業務中斷或資料丢失有顧慮的話，可以采取對資料庫系統邊界進行安全加強的方式，來降低外界利用這些漏洞對資料庫發起攻擊的風險。

消息安全：企業忽視統一通訊安全；關注指數：高

新聞：7月17日，來自ITnews.com.au的消息，知名安全評論媒體Light Reading最近發表一個關于企業統一通訊的安全報告稱，大多數的企業忽視了目前使用的統一通訊方案的安全，沒有實施恰當的安全控制，進而使得外界的惡意入侵者能夠輕易的進入或破壞企業的統一通訊系統。該報告還顯示，目前提供統一通訊的廠商已經認識到安全的重要性，有的廠商已經開始協同第三方的安全專家對自己的産品進行安全功能方面的更新，但作為使用者的企業安全意識仍非常薄弱。

分析：統一通訊是指克服計算機網絡和電信網絡之間的障礙，并投送實時的資訊、語音和視訊信号到桌面環境的一系列技術，VoIP技術、視訊會議技術和即時通訊技術都屬于這個範疇。許多廠商的統一通訊産品，大都以VoIP解決方案為主導，同時添加視訊會議和即時通訊功能，随着近兩年安全業界對VoIP安全的日益重視，目前許多廠商的統一通訊解決方案也增加了加密通信、安全傳輸、使用審計等進階的安全功能。但和電子郵件服務最開始在企業領域應用的情況類似，企業的IT管理者往往不熟悉如何加強和維護統一通訊服務，而大多數的使用者也都隻會使用統一通訊服務所提供的通訊功能，卻不會正确使用統一通信服務提供的安全服務來對自己的資訊進行保護。

筆者觀點：随着統一通訊服務在企業領域的日益擴散，攻擊者對缺乏保護的企業統一通訊服務的攻擊行為将會有大幅度的增加，并有可能出現針對企業高價值資訊或服務濫用的針對攻擊行為。此外，因為統一通訊服務在企業IT架構中的重要度上升，意外或攻擊原因的服務品質下降或停止，也會對企業業務的進行産生嚴重影響，是以，保護企業統一通訊服務的安全及提供相關的産品、服務，将可能成為安全市場上的一個新熱點。

本文轉自J0ker51CTO部落格，原文連結：http://blog.51cto.com/J0ker/88842，如需轉載請自行聯系原作者