2014年互聯(lián)網(wǎng)安全廠商年終報(bào)告匯總（國(guó)外版）上

用戶可能由于安裝捆綁軟件而感染惡意的瀏覽器擴(kuò)展程序，因?yàn)榘惭b過程往往未經(jīng)用戶明確地同意（老外不知道，中國(guó)已經(jīng)把這個(gè)方法發(fā)揮到極致，不信從各大平臺(tái)上下載個(gè)軟件試試，處處是坑）。惡意瀏覽器擴(kuò)展程序會(huì)根據(jù)用戶在瀏覽器上的痕跡實(shí)施精準(zhǔn)的投放，提高用戶的“中招”率。

許多用戶本能地信任擴(kuò)展程序或簡(jiǎn)單地將它們視為無(wú)害，這點(diǎn)解釋了這種分發(fā)惡意軟件的方法能夠非常成功的原因。同時(shí)這種方法也減少攻擊者對(duì)其他技術(shù)的依賴，如漏洞利用套件，從而進(jìn)一步提高了隱蔽性，因?yàn)檫@些技術(shù)容易被檢測(cè)到。

對(duì)這類威脅的防護(hù)措施有以下幾點(diǎn)：從可信源下載應(yīng)用程序；在捆綁安裝過程中取消不需要的軟件；使用威脅分析、沙箱技術(shù)及Web安全技術(shù)阻止并檢測(cè)這類威脅；有可能的話，手動(dòng)移除擴(kuò)展程序等。

6.思科安全能力基準(zhǔn)研究：經(jīng)不起推敲，安全偽命題

為評(píng)估安全專家對(duì)所在企業(yè)組織安全狀況的認(rèn)知，思科對(duì)來自9個(gè)國(guó)家不同規(guī)模的企業(yè)首席信息安全官（CISO）和安全運(yùn)營(yíng)經(jīng)理（SecOp）進(jìn)行了調(diào)研，了解公司在網(wǎng)絡(luò)安全上投入的資源；安全運(yùn)營(yíng)、安全策略與安全規(guī)程；還有安全運(yùn)營(yíng)的成熟度。有關(guān)安全資源與安全流程的內(nèi)容。好消息是大多數(shù)安全專家確信他們已把工具和處理流程部署到位來有效地確保安全。

然而值得注意的是，相對(duì)于安全運(yùn)營(yíng)經(jīng)理，首席信息安全官（CISO）對(duì)本公司的安全狀況更加樂觀。為什么兩者的信心程度會(huì)出現(xiàn)差距？一方面是首席信息安全官（CISO）的工作更多的脫離于日常的安全活動(dòng)，然而安全運(yùn)營(yíng)經(jīng)理的工作與解決大大小小的安全事件密切相關(guān)。

另一個(gè)信心程度的缺口出現(xiàn)在當(dāng)被問及對(duì)本公司安全策略的信心程度時(shí)。信息安全官（CISO）和安全運(yùn)營(yíng)經(jīng)理（SecOp）均對(duì)安全策略表現(xiàn)出高度的信心，但他們對(duì)界定危害范圍與遏制危害的能力缺乏自信。類似信心程度的缺口出現(xiàn)在有關(guān)安全控制的調(diào)研。幾乎所有受訪人聲稱自己公司具有良好的安全控制，可是卻有約四分之一的受訪人認(rèn)為其安全工具有“一定的”而不是“非常的”或“極其的”有效。