十种安全问题解决方案

在漫画书的世界里面，每一个坏人都是一个邪恶的天才。而在网络世界，黑客、垃圾邮件发送者、钓鱼式攻击者可能会被认为是很邪恶的，但是他们并非就一定都是天才。他们只要通过攻击那些很多用户不愿意修补已知的的安全漏洞，或者通过诱使数以百万计的网络用户来点击他们被告知过很多次不要点击的链接，这些网络安全杀手就能过上很舒服惬意的生活了。

不过，也不一定只有天才才能躲避过这些常见的攻击，只要部署一些简单的修复程序，你就能避免大多数的安全隐患问题，从此高枕无忧。

方法1:修复核心软件的安全漏洞

你是否关闭了windows系统的自动更新程序呢，你是否关闭了其他基本程序的自动更新程序呢?是不是你经常会这样认为“程序还没有出现问题，就没有必要修复把?”。那么你就必须这样考虑了：你的程序可能已经存在非常非常多的安全漏洞，只是你不知道这些漏洞的所在而已。那些臭名昭著的能够限制计算机电脑用户操作运行程序的病毒已经不复存在了，现代的网络安全攻击经常喜欢无形地攻占用户的计算机，利用那些没有打补丁的软件为他们提供绝好的机会来慢慢控制用户电脑。

现在，现代数字窃贼们经常会选择这样的攻击方式，通过在某些热门网站上安装一些探针，当你浏览这些热门网站的时候，设置在该网站的探针就能够自动搜索你的电脑中的漏洞，任何一个漏洞都不会逃过探针的搜索。如果探针找到了一个漏洞，那么你最好祈求你的杀毒程序足够强大来抵御这些攻击。否则，它会在你完全没有察觉的情况下攻击你的电脑。

所幸的是，你完全可以通过保持所有程序(不仅仅是你的操作系统或者浏览器)出于最新更新状态来完全地阻止大多数网络级别的攻击。通常那些攻击会被安装在看似安全的应用程序中，例如QuickTime和WinZip，还有windows和internet explorer,所以现在你要做的就是打开所有提供类似服务的应用软件的自动更新，这是你获取修复最快捷最简单的方法了。

方法2: 找寻其他的漏洞

如果所有的应用程序都使用的是简单的自动更新程序，而我们大多数用户又能够熟练地运用这些程序，那么一直以来都十分猖獗的恶意软件行业将受到沉重的打击。而在此之前，Secunia公司一个简单免费的安全软件能够加快我们早日完全击垮恶意软件的步伐。

该公司的Secunia Personal Software Inspector软件，可以供用户免费下载使用，用户可以使用该软件来扫描自己所安装的软件，这样用户就能很清楚的知道那些未经修复的程序可能会给电脑带来安全隐患。更令人惊喜的是，这个软件不仅仅能够找出那些未打补丁的程序，而且它能够为用户提供简单快捷的按钮(如单标签的下载解决方案按钮)来链接到最新的软件补丁下载，用户甚至连浏览器都不用打开。

另外，该软件还能够为用户提供到软件供应商网站的链接，以及Secunia关于用户系统中存在的漏洞的完整报告。用户也可以选择对某个特定程序的未来的警告进行阻止(当然，在你阻止警告之前必须要小心谨慎)。

当然Secunia PSI并不是完美的软件，它并不是总是能够准确无误的监测并更新不安全的程序组件。但是，对于大多数应用程序来说，该软件能够提供一个快速的并且非常重要的修补程序。

方法3: 让最新的浏览器为你筑建一道防线

最可怕的攻击网页几乎是不可能被察觉的，不被显示在页面上的小片段插入代码可能会给用户系统带来毁灭性的屏幕后台攻击。

想要试图通过自己的力量来避免这样的攻击网页可以说是自寻烦恼，特别是因为网络窃贼们喜欢在非常热门的网站设置探针，Sony游戏和Miami Dolphins网站上设置的攻击就是两个很有名的例子。但是在刚刚发布的Firefox3和Opera9.5浏览器中网站拦截公司为这种攻击提供了某种屏蔽。

这两种浏览器都对之前版本浏览器的反钓鱼功能(用于阻止知名的恶意软件网站)进行了扩展，不管是对设置了攻击的合法网站或者由网络攻击者创建的网站，都能够得到一定的屏蔽。但是几乎没有一种浏览器能够完全消除登录这些网页的安全风险，不过多增加一层保护还是很有帮助的。

微软公司也计划对其公司的Internet Explorer 8增加与上述两种浏览器相似的功能，但是新版本的推出还需要等待相当长的一段时间，想要了解更多的关于浏览器改进的安全功能的信息，请参阅"New Browsers Fight the Malware Scourge."

方法4: 抢在快速变化的恶意软件前面行动

一般来说，基于签名的防病毒软件都很容易让恶意软件逃脱检查。攻击者们通过粗制滥造各种安全标签的变体来用障眼法逃过防病毒软件的检测。所以除了签名外，现在任何防病毒程序都应该实用主动侦查查毒法，而不只是对那些可疑的恶意软件进行查杀。

我们知道有一种利用行为(只是基于它在你电脑中的行为)分析来鉴别恶意软件的很好的方法。但是你的防病毒软件本身可能并不能够实现完全的防病毒。ThreatFire是一种流行的免费下载工具，该工具增添了一种基于行为分析保护的安全层，在近期的测试中，仅仅根据软件的行为进行分析它就成功地鉴别出百分之九十的恶意软件。

PC World'的ThreatFire 评论提供了一份关于该工具的完整的分析报告，以及快速下载链接(还包括安装过多安全程序在一台计算机的警告) 想了解更多关于行为分析和主动病毒检测软件的信息请参阅"When a Signature Isn't Enough."

注释: 如果你使用的是AVG免费杀毒软件, 那么暂时不要尝试使用ThreatFire工具，直到PC Tools发布一个新版本工具. 现有的3.5版本与 AVG相冲突, 但是PC Tools 表示他们正在努力改善这个现状。

方法5: 避免社会工程学攻击

最阴险的攻击者会使用聪明的营销手段来让用户自身来为他们完成攻击行为，并感染用户的计算机。很多社会工程学攻击都成为了大家的笑料，因为其中存在的很多拼错的单词以及拙劣的语法错误，但是这并不意味着我们就不必担心这种攻击带来的安全问题。从现在开始，有一个精心设计的攻击可以轻松的突破你的防线，而且能够诱使你打开有病毒的电子邮件附件或者下载文件。那些有目的性的攻击甚至可能会写有你的正确的名字和职位，让你跳入陷阱。

这里介绍一个简单但是功能很强大的工具来帮助你进行反击：VirusTotal.com，你可以轻松地将任何文件(最大为10MB)上传到这个网站，并且通过多达35中不同的杀毒引擎的扫描，这些杀毒引擎包括有Kaspersky, McAfee 以及Symantec等等。然后该站点会向你提供一份详细的报告，包括每一种杀毒引擎关于你上传的文件的报告。当然可能会有杀毒引擎(例如Prevx)会发错虚假警报，但是如果你发现有关于某种特定威胁的多个特别警报，那你几乎可以肯定地要把这个文件删除了。

当然，没有警告的文件也不一定就是很安全的文件，只是这个网站能提供给你很有效的信息，提高你的胜算。使用Virus Total来检查每一个你不是百分之一百肯定的电子邮件附件和下载件，那样你就能避免阴险的社会工程学攻击。

如果用户使用VirusTotal开始成为一种习惯(这是个很好的开始)，而你想真正快捷地将文件发送到VirusTotal进行扫描，那么你可以下载免费的VirusTotal上传器，只要你安装了这个实用工具，那么你只需要右键点击需要上传的文件，点击后你会看到一个选项(“发送至“的下面)来将该文件上传到VirusTotal网站即可。

方法6: 让你的收件箱免受垃圾邮件的困扰

垃圾邮件过滤器越来越强大了，但是有一些垃圾邮件仍然能够悄然地逃过最好的垃圾邮件过滤器的过滤，为了避免用户花费大量的时间来点击删除所有这些垃圾邮件，用户应该尝试使用弃用某些电子邮件地址。

当你登录网络购物网站、论坛或者其他服务网站需要你输入一个电子邮件地址时，你就给自己带来麻烦了。如果那个邮箱地址装满了垃圾邮件，我建议你还是不要用那个邮箱了。你最好创建一个专门用来网上购物和网络注册的网络电子邮件账户。有了一个简单的分类账户，你就可以把那些充斥着垃圾邮件的邮箱抛弃。

Yahoo网络电子邮件用户可以选择20美元/年的附加服务电子邮箱，这种邮箱包括如下功能 AddressGuard disposable e-mail service (比起其他功能). 有了这个功能，你就可以点击书签为在10秒钟内每一个既定的网站创建一个新的一次性使用的地址.

Gmail电子邮箱用户在处理邮件前，可以简单地向他们的普通邮箱地址附加"+ whatever", 不过如果那个地址开始接收那些你不能轻易删除的垃圾邮件时，你就需要创建一个过滤器来过滤所有来自那个地址的邮件了。

对于每一个电子邮件用户，我们都建议你们能够使用Spamgourmet.com提供的免费的很不错的服务，而且能够很简便快捷的安装和使用;这种工具能够帮助你很快的创建一次性使用的地址，将电子邮件消息转移到你的普通地址。

方法7:保证你自己网站的安全性

可以说，现在不是建设维护一个网站的最佳时机。也许你会觉得网络就像一个奇幻美妙的数字世界，但是在光华美丽的背后其实是一个战场，所以你必须保证网站的安全防线是很牢固的。

网络攻击者们使用自动工具来搜寻网站中最常见的漏洞，如果他们找到了一个漏洞，他们就能把这个不断扩大，然后在网站中创建有害代码，并攻击你的访问者们。

要想保证你的网站的安全，应该使用一些快速的免费的扫描来清除那些最明显的漏洞问题。首先，填写Qualys.com的一份表格来索要对应一个IP地址的免费的扫描。

然后，从惠普网站下载同样免费的Scrawlr tool，在进行快速安装后，使用Scrawlr来扫描你的网站以搜寻SQL病毒感染漏洞(最近SONY网站攻击事件中出现的一种漏洞)。

即使这两个扫描器都显示网站没有漏洞，都不一定能够说明你的网站是安全的。举例来说吧，没有扫描器能够发现自定义JavaScript代码的问题――另一种常见类型的攻击。虽然要求或者运行其中任何一种扫描都是很简单的，不过解决一个报告漏洞可能就需要做很多工作了，当然比起网站被攻击后你需要对网站做的修复以及名誉恢复来说，这点工作就根本算不了什么了。

方法8: 养成一种反钓鱼攻击习惯

使用钓鱼攻击窃取个人信息的卑劣的行径依然存在，而且很多虚假的网站和真正的网站简直很难让人分辨。但是按照以下做法就可以保证你永远不会受到钓鱼攻击的攻击。

最好的办法，也是最直接的方法就是永远不要点击任何有关登录电子账户的电子邮件信息。相反的，你应该经常输入URL或者使用书签。这种好习惯将让你免受大多数钓鱼攻击。

如果你不能养成这种好习惯，那么只要应该确保你使用的是最新版本的IE、火狐或者Opera浏览器来浏览网页。所有这些浏览器都有内置功能来阻拦知名的钓鱼网站(而且，正如方法3中所说的，Opera和火狐浏览器现在还可以阻拦知名的恶意软件网站)，不过不要使用Safari，因为这种浏览器没有任何内置防钓鱼攻击保护功能。

最后，要提高辨识能力，注意一些URL (如http://adwords.google.com.d0l9i.cn/select/Login)这些经常被钓鱼攻击者实施的钓鱼方法。 如果你随便看一眼这个URL (Phishtank.com列举的一种常见钓鱼链接),你可能会认为这个网站的域名是 google.com. 实际上，这个链接到 d0l9i.cn, 一个中国网站，这个网站可以盗取你的个人详细信息。

Internet Explorer 8 可能将会使用一种被称为Domain Highlighting的新功能，这种新功能可以很快捷地察觉这些钓鱼链接. 不过在这种浏览器出现之前，还是仔细看清楚链接地址为妙。

方法9: 确保你的密码的安全强度，并且容易记住

网络在线密码似乎开始向纸质密码一样安全了，可以用来保护银行账户了。根据安全研究所报告表明，电子账户登录已经越来越周密了，网络窃贼盗取电子帐户登录密码后几乎很难取到钱，除非他们能够提供其他重要数据(如地址或者社会安全号码等等)。并且这些网络窃贼不仅仅是盗取电子银行账户的登录密码，这些坏蛋还经常会盗取网络电子邮件账户的登录信息。在最近一个案例中，一个网络盗贼侵入用户的网络电子邮件账户，然后发送信息给受害人的朋友们索要钱。

专家指出，我们应该为我们所有的账户使用高强度的独特的密码，但是他们并没有告诉我们该如何记住那些高强度的密码，所以大多数用户开始使用不同的不是很安全的密码来作为登录密码。

这里我们向你提供一种简单的方法让你只需要记住一个密码，那么你就能使用这个高强度的独特的密码来登录你使用的每一个站点了。用户可以将Password Hash (或者 PwdHash)加载器安装在火狐浏览器或者IE中，这个工具能够将你输入的简单的密码通过一种算法来运行，使用网站的域名作为算法的一部分。在你将密码发送给网站登录之前，这个使用工具能够生成较高强度的密码，安装这个工具后，所有你需要做的就是在你向密码输入框输入密码前点击F2即可。

方法10:使用额外清理来清除顽固性病毒感染

有时候即使是最好的防病毒软件都可能会错过某些病毒，而且一旦病毒或者木马程序攻击电脑，要想消除它们就非常非常困难，如果你开始怀疑你的防御措施的有效性，那么是时候获取额外清理来帮助了。

很多防病毒软件制造商都通过你的网络浏览器提供免费的简单的网络在线扫描，这种扫描可能会发费一些时间，因为扫描服务在启动服务前需要下载大型的Java或者ActiveX组件，不过它们也很容易删除。你可以在安装了防病毒软件外再运行这些扫描服务来作为第二(或者第三第四)选择。