Google為何將安全風(fēng)險(xiǎn)評(píng)價(jià)攤在用戶眼前？
2018-06-23 來源：
Google以網(wǎng)站為基礎(chǔ)，當(dāng)網(wǎng)站中多數(shù)網(wǎng)址或主要網(wǎng)址均遭判定為惡意連結(jié)時(shí)，以此網(wǎng)站會(huì)被判定為惡意網(wǎng)站
根據(jù)Google在線安全部落格最新資料，截至5月21日，Google安全小組已檢測1千2百萬個(gè)可疑連結(jié)，其中約1百萬個(gè)網(wǎng)頁連結(jié)判定為會(huì)產(chǎn)生路過下載(Drive-by-download)惡意程序的行為。惡意網(wǎng)頁的偵測結(jié)果，現(xiàn)已經(jīng)反映在Google搜尋處理中，不少臺(tái)灣常見網(wǎng)站也因?yàn)楸灰暈閻阂饩W(wǎng)站，盡管具優(yōu)先的檢索排名，使用者卻無法直接點(diǎn)選瀏覽。
Google安全小組發(fā)布惡意網(wǎng)站分析報(bào)告說明Google的判定方法。主要從已索引(2006/3/21至2007/3/21止)的數(shù)十億網(wǎng)頁 連結(jié)中，以簡單啟發(fā)式算法(Simple heuristics)選出其中450萬個(gè)有效網(wǎng)址進(jìn)行深度分析，在虛擬環(huán)境中執(zhí)行IE瀏覽器，透過自動(dòng)程序?yàn)g覽這些網(wǎng)址，監(jiān)控虛擬環(huán)境的系統(tǒng)變動(dòng)如所有檔案與注冊(cè)碼的異動(dòng)，來找出有問題的網(wǎng)址。
采連坐原則判定，納入第三方連結(jié)內(nèi)容的影響
Google采路過下載的惡意程序判定原則，指在追蹤網(wǎng)址的瀏覽過程中，若可不需使用者同意，仍會(huì)自動(dòng)下載或執(zhí)行惡意程序，Google就會(huì)將此連結(jié)判定為惡意連結(jié)。另外也考慮網(wǎng)址生命周期，存在時(shí)間超過一周的惡意連結(jié)，才被Google視為是有效惡意連結(jié)。Google判定方式具有連坐效應(yīng)。在一個(gè)網(wǎng)站中，除網(wǎng)站企業(yè)主所提供的內(nèi)容外，還可能包括使用者貢獻(xiàn)的內(nèi)容、第三方串連廣告以及其它來源所提供的網(wǎng)頁內(nèi)嵌小工具(Widget)。
依據(jù)瀏覽結(jié)果判定的優(yōu)點(diǎn)是，不需進(jìn)行網(wǎng)頁內(nèi)容程序代碼的判讀，分析速度較快，涵蓋面也較完整，貼近使用者實(shí)際瀏覽時(shí)的狀況。即使惡意程序經(jīng)過編碼，難以直接辨識(shí)，但會(huì)產(chǎn)生惡意程序下載時(shí)，也會(huì)被偵測出來。
連坐效應(yīng)進(jìn)一步還運(yùn)用在Google搜尋結(jié)果中。Google以網(wǎng)站為基礎(chǔ)，當(dāng)網(wǎng)站中多數(shù)網(wǎng)址或主要網(wǎng)址均遭判定為惡意連結(jié)時(shí)，以此網(wǎng)站會(huì)被判定為惡意網(wǎng)站，于搜尋結(jié)果中，所有該網(wǎng)站的相關(guān)連結(jié)都將被加上惡意網(wǎng)站的警告標(biāo)示，同時(shí)也限制使用者直接開啟這些連結(jié)。
Google將企業(yè)網(wǎng)站安全風(fēng)險(xiǎn)直接攤在使用者眼前
這就是所謂的Google網(wǎng)站安全警告服務(wù)：直接于搜尋結(jié)果中，針對(duì)已被檢測出惡意程序的網(wǎng)站，會(huì)于網(wǎng)址下方，直接標(biāo)示惡意網(wǎng)頁的警告，提醒檢索的使用者避免進(jìn)入該網(wǎng)頁，甚至?xí)柚故褂谜咧苯狱c(diǎn)選搜尋結(jié)果清單中的連結(jié)。使用者若想瀏覽該網(wǎng)址，需自行于將網(wǎng)址復(fù)制到瀏覽器網(wǎng)址列中執(zhí)行，才能進(jìn)行瀏覽。對(duì)使用者而言，企業(yè)網(wǎng)址若未能通過Google的安全檢測，即使出現(xiàn)在搜尋結(jié)果清單中，瀏覽便利性也大幅降低，等同降低使用者對(duì)該企業(yè)網(wǎng)站的使用意愿。
過去這類被入侵的網(wǎng)站案例，多流傳于網(wǎng)絡(luò)安全的特定幾個(gè)技術(shù)論壇或部落格中，臺(tái)灣少數(shù)資深安全技術(shù)網(wǎng)站的站長也定期匯整出高風(fēng)險(xiǎn)網(wǎng)站清單，例如「大炮開講」部落格站長邱春樹，他經(jīng)常匯整各方發(fā)現(xiàn)受害網(wǎng)站，建立網(wǎng)站黑名單并定期追蹤修復(fù)情形。一方面提醒網(wǎng)友避開危險(xiǎn)網(wǎng)頁，同時(shí)希望提醒網(wǎng)站企業(yè)主修復(fù)網(wǎng)站。這些高風(fēng)險(xiǎn)網(wǎng)站名單，僅流傳于少數(shù)技術(shù)社群，或原本已具高防護(hù)力的網(wǎng)絡(luò)使用者。除少數(shù)機(jī)敏性信息服務(wù)的企業(yè)體，例如金融業(yè)，會(huì)慎重因應(yīng)與處理相關(guān)網(wǎng)站安全漏洞外，對(duì)多數(shù)網(wǎng)站的企業(yè)主而言，不見得能直接感受到網(wǎng)站入侵的殺傷力與安全修正的迫切性。甚至質(zhì)疑社群的偵測結(jié)果。
企業(yè)需面對(duì)金融信息等級(jí)的安全期待
Google對(duì)惡意網(wǎng)站的警告，不僅是宣示企業(yè)網(wǎng)站的安全風(fēng)險(xiǎn)，還將原本專屬于特定服務(wù)網(wǎng)站中，高機(jī)密敏感信息的安全風(fēng)險(xiǎn)，復(fù)制到每一個(gè)被貼上惡意網(wǎng)站標(biāo)簽的網(wǎng)頁。對(duì)使用者而言，是否瀏覽這個(gè)被宣告具惡意程序的企業(yè)服務(wù)，不僅考慮該服務(wù)內(nèi)容的敏感性，還需擔(dān)憂是否會(huì)因?yàn)g覽這個(gè)惡意網(wǎng)頁，而導(dǎo)致個(gè)人數(shù)據(jù)、信用卡數(shù)據(jù)、銀行賬號(hào)密碼等敏感數(shù)據(jù)的外泄。
比如說，當(dāng)使用者透過搜尋引擎查詢電視節(jié)目表時(shí)，若發(fā)現(xiàn)該節(jié)目表網(wǎng)頁遭入侵，成為惡意網(wǎng)頁，使用者就會(huì)面臨抉擇，是否愿意冒著泄漏個(gè)人信用卡數(shù)據(jù)的風(fēng)險(xiǎn)，來查詢待會(huì)要看的電視節(jié)目名稱，若相同功能但安全的連結(jié)一起并列，使用者會(huì)打開哪個(gè)連結(jié)，結(jié)果顯而易見。
過去使用者無法得知企業(yè)網(wǎng)站的安全程度，往往不易喚起使用者潛在的安全顧慮。Google將風(fēng)險(xiǎn)的關(guān)連性顯現(xiàn)使用者的瀏覽器畫面中，使用者檢視連結(jié)的同時(shí)，自然會(huì)察覺到安全上的顧慮，進(jìn)而評(píng)估選擇的后果。也就是說，企業(yè)網(wǎng)站不論內(nèi)容為何，都將受到使用者高規(guī)格的安全標(biāo)準(zhǔn)，甚至?xí)灰暈榕c個(gè)人隱私資料或金融數(shù)據(jù)同等價(jià)值的信息。企業(yè)將面臨新的挑戰(zhàn)，以本身的服務(wù)內(nèi)容，來規(guī)畫網(wǎng)站的安全設(shè)計(jì)，已不能滿足使用者，更需從使用者經(jīng)驗(yàn)過的最高信息安全規(guī)格審視自身網(wǎng)站。
惡意網(wǎng)站警告及時(shí)性不足，解除費(fèi)時(shí)恐有爭議
趨勢(shì)科技技術(shù)顧問戴燊肯定Google的做法，他認(rèn)為這將使企業(yè)主動(dòng)面對(duì)網(wǎng)站資安問題。但他表示：「惡意網(wǎng)站警告的及時(shí)性是關(guān)鍵，能否迅速發(fā)現(xiàn)，達(dá)到警告使用者的效果�；蛘咂髽I(yè)移除惡意程序后，能否迅速解除，維護(hù)企業(yè)網(wǎng)站的商譽(yù)，配套措施必須完整才不易引起爭議。」
目前Google辨別惡意網(wǎng)站的速度，平均每天可處理30萬個(gè)可疑連結(jié)，存在超過一周的惡意網(wǎng)址，才納入警告范圍。以Google數(shù)十億網(wǎng)頁索引量，短期內(nèi)恐難以及時(shí)發(fā)現(xiàn)惡意網(wǎng)站。
目前市面上亦有不少防護(hù)工具，可提供惡意網(wǎng)頁警告機(jī)制，如IE瀏覽器、Yahoo!工具列、McAfee的SiteAdvisor或多數(shù)防毒軟件等。但采取與Google不同的做法，多數(shù)針對(duì)使用者所瀏覽的單一網(wǎng)頁進(jìn)行檢查，當(dāng)出現(xiàn)路過下載惡意程序的行為時(shí)，會(huì)提醒使用者危險(xiǎn)，同時(shí)拒絕連結(jié)。 Google采連坐管制方式，可能會(huì)導(dǎo)致過多連結(jié)不易瀏覽，引起使用者反彈，擴(kuò)大了惡意連結(jié)的影響效果。
對(duì)Google誤判或已修復(fù)的網(wǎng)站，網(wǎng)站主需自行申請(qǐng)第三方機(jī)構(gòu)復(fù)查，結(jié)果送Google后，才能移除警告標(biāo)示。申請(qǐng)程序未提供中文版，企業(yè)主恐怕不易于短時(shí)間內(nèi)立即解除狀況，商譽(yù)受損時(shí)間恐會(huì)比惡意程序?qū)嶋H影響維持更久。短期可能會(huì)引發(fā)網(wǎng)站企業(yè)主對(duì)網(wǎng)站安全檢測評(píng)鑒以及相關(guān)安全防御機(jī)制的需求。企業(yè)主不得不越來越重視上線前安全檢查、平時(shí)維運(yùn)的安全監(jiān)控與防護(hù)機(jī)制，避免遭入侵后耗時(shí)解決引起的損失。
根據(jù)Google在線安全部落格最新資料，截至5月21日，Google安全小組已檢測1千2百萬個(gè)可疑連結(jié)，其中約1百萬個(gè)網(wǎng)頁連結(jié)判定為會(huì)產(chǎn)生路過下載(Drive-by-download)惡意程序的行為。惡意網(wǎng)頁的偵測結(jié)果，現(xiàn)已經(jīng)反映在Google搜尋處理中，不少臺(tái)灣常見網(wǎng)站也因?yàn)楸灰暈閻阂饩W(wǎng)站，盡管具優(yōu)先的檢索排名，使用者卻無法直接點(diǎn)選瀏覽。
Google安全小組發(fā)布惡意網(wǎng)站分析報(bào)告說明Google的判定方法。主要從已索引(2006/3/21至2007/3/21止)的數(shù)十億網(wǎng)頁 連結(jié)中，以簡單啟發(fā)式算法(Simple heuristics)選出其中450萬個(gè)有效網(wǎng)址進(jìn)行深度分析，在虛擬環(huán)境中執(zhí)行IE瀏覽器，透過自動(dòng)程序?yàn)g覽這些網(wǎng)址，監(jiān)控虛擬環(huán)境的系統(tǒng)變動(dòng)如所有檔案與注冊(cè)碼的異動(dòng)，來找出有問題的網(wǎng)址。
采連坐原則判定，納入第三方連結(jié)內(nèi)容的影響
Google采路過下載的惡意程序判定原則，指在追蹤網(wǎng)址的瀏覽過程中，若可不需使用者同意，仍會(huì)自動(dòng)下載或執(zhí)行惡意程序，Google就會(huì)將此連結(jié)判定為惡意連結(jié)。另外也考慮網(wǎng)址生命周期，存在時(shí)間超過一周的惡意連結(jié)，才被Google視為是有效惡意連結(jié)。Google判定方式具有連坐效應(yīng)。在一個(gè)網(wǎng)站中，除網(wǎng)站企業(yè)主所提供的內(nèi)容外，還可能包括使用者貢獻(xiàn)的內(nèi)容、第三方串連廣告以及其它來源所提供的網(wǎng)頁內(nèi)嵌小工具(Widget)。
依據(jù)瀏覽結(jié)果判定的優(yōu)點(diǎn)是，不需進(jìn)行網(wǎng)頁內(nèi)容程序代碼的判讀，分析速度較快，涵蓋面也較完整，貼近使用者實(shí)際瀏覽時(shí)的狀況。即使惡意程序經(jīng)過編碼，難以直接辨識(shí)，但會(huì)產(chǎn)生惡意程序下載時(shí)，也會(huì)被偵測出來。
連坐效應(yīng)進(jìn)一步還運(yùn)用在Google搜尋結(jié)果中。Google以網(wǎng)站為基礎(chǔ)，當(dāng)網(wǎng)站中多數(shù)網(wǎng)址或主要網(wǎng)址均遭判定為惡意連結(jié)時(shí)，以此網(wǎng)站會(huì)被判定為惡意網(wǎng)站，于搜尋結(jié)果中，所有該網(wǎng)站的相關(guān)連結(jié)都將被加上惡意網(wǎng)站的警告標(biāo)示，同時(shí)也限制使用者直接開啟這些連結(jié)。
Google將企業(yè)網(wǎng)站安全風(fēng)險(xiǎn)直接攤在使用者眼前
這就是所謂的Google網(wǎng)站安全警告服務(wù)：直接于搜尋結(jié)果中，針對(duì)已被檢測出惡意程序的網(wǎng)站，會(huì)于網(wǎng)址下方，直接標(biāo)示惡意網(wǎng)頁的警告，提醒檢索的使用者避免進(jìn)入該網(wǎng)頁，甚至?xí)柚故褂谜咧苯狱c(diǎn)選搜尋結(jié)果清單中的連結(jié)。使用者若想瀏覽該網(wǎng)址，需自行于將網(wǎng)址復(fù)制到瀏覽器網(wǎng)址列中執(zhí)行，才能進(jìn)行瀏覽。對(duì)使用者而言，企業(yè)網(wǎng)址若未能通過Google的安全檢測，即使出現(xiàn)在搜尋結(jié)果清單中，瀏覽便利性也大幅降低，等同降低使用者對(duì)該企業(yè)網(wǎng)站的使用意愿。
過去這類被入侵的網(wǎng)站案例，多流傳于網(wǎng)絡(luò)安全的特定幾個(gè)技術(shù)論壇或部落格中，臺(tái)灣少數(shù)資深安全技術(shù)網(wǎng)站的站長也定期匯整出高風(fēng)險(xiǎn)網(wǎng)站清單，例如「大炮開講」部落格站長邱春樹，他經(jīng)常匯整各方發(fā)現(xiàn)受害網(wǎng)站，建立網(wǎng)站黑名單并定期追蹤修復(fù)情形。一方面提醒網(wǎng)友避開危險(xiǎn)網(wǎng)頁，同時(shí)希望提醒網(wǎng)站企業(yè)主修復(fù)網(wǎng)站。這些高風(fēng)險(xiǎn)網(wǎng)站名單，僅流傳于少數(shù)技術(shù)社群，或原本已具高防護(hù)力的網(wǎng)絡(luò)使用者。除少數(shù)機(jī)敏性信息服務(wù)的企業(yè)體，例如金融業(yè)，會(huì)慎重因應(yīng)與處理相關(guān)網(wǎng)站安全漏洞外，對(duì)多數(shù)網(wǎng)站的企業(yè)主而言，不見得能直接感受到網(wǎng)站入侵的殺傷力與安全修正的迫切性。甚至質(zhì)疑社群的偵測結(jié)果。
企業(yè)需面對(duì)金融信息等級(jí)的安全期待
Google對(duì)惡意網(wǎng)站的警告，不僅是宣示企業(yè)網(wǎng)站的安全風(fēng)險(xiǎn)，還將原本專屬于特定服務(wù)網(wǎng)站中，高機(jī)密敏感信息的安全風(fēng)險(xiǎn)，復(fù)制到每一個(gè)被貼上惡意網(wǎng)站標(biāo)簽的網(wǎng)頁。對(duì)使用者而言，是否瀏覽這個(gè)被宣告具惡意程序的企業(yè)服務(wù)，不僅考慮該服務(wù)內(nèi)容的敏感性，還需擔(dān)憂是否會(huì)因?yàn)g覽這個(gè)惡意網(wǎng)頁，而導(dǎo)致個(gè)人數(shù)據(jù)、信用卡數(shù)據(jù)、銀行賬號(hào)密碼等敏感數(shù)據(jù)的外泄。
比如說，當(dāng)使用者透過搜尋引擎查詢電視節(jié)目表時(shí)，若發(fā)現(xiàn)該節(jié)目表網(wǎng)頁遭入侵，成為惡意網(wǎng)頁，使用者就會(huì)面臨抉擇，是否愿意冒著泄漏個(gè)人信用卡數(shù)據(jù)的風(fēng)險(xiǎn)，來查詢待會(huì)要看的電視節(jié)目名稱，若相同功能但安全的連結(jié)一起并列，使用者會(huì)打開哪個(gè)連結(jié)，結(jié)果顯而易見。
過去使用者無法得知企業(yè)網(wǎng)站的安全程度，往往不易喚起使用者潛在的安全顧慮。Google將風(fēng)險(xiǎn)的關(guān)連性顯現(xiàn)使用者的瀏覽器畫面中，使用者檢視連結(jié)的同時(shí)，自然會(huì)察覺到安全上的顧慮，進(jìn)而評(píng)估選擇的后果。也就是說，企業(yè)網(wǎng)站不論內(nèi)容為何，都將受到使用者高規(guī)格的安全標(biāo)準(zhǔn)，甚至?xí)灰暈榕c個(gè)人隱私資料或金融數(shù)據(jù)同等價(jià)值的信息。企業(yè)將面臨新的挑戰(zhàn)，以本身的服務(wù)內(nèi)容，來規(guī)畫網(wǎng)站的安全設(shè)計(jì)，已不能滿足使用者，更需從使用者經(jīng)驗(yàn)過的最高信息安全規(guī)格審視自身網(wǎng)站。
惡意網(wǎng)站警告及時(shí)性不足，解除費(fèi)時(shí)恐有爭議
趨勢(shì)科技技術(shù)顧問戴燊肯定Google的做法，他認(rèn)為這將使企業(yè)主動(dòng)面對(duì)網(wǎng)站資安問題。但他表示：「惡意網(wǎng)站警告的及時(shí)性是關(guān)鍵，能否迅速發(fā)現(xiàn)，達(dá)到警告使用者的效果�；蛘咂髽I(yè)移除惡意程序后，能否迅速解除，維護(hù)企業(yè)網(wǎng)站的商譽(yù)，配套措施必須完整才不易引起爭議。」
目前Google辨別惡意網(wǎng)站的速度，平均每天可處理30萬個(gè)可疑連結(jié)，存在超過一周的惡意網(wǎng)址，才納入警告范圍。以Google數(shù)十億網(wǎng)頁索引量，短期內(nèi)恐難以及時(shí)發(fā)現(xiàn)惡意網(wǎng)站。
目前市面上亦有不少防護(hù)工具，可提供惡意網(wǎng)頁警告機(jī)制，如IE瀏覽器、Yahoo!工具列、McAfee的SiteAdvisor或多數(shù)防毒軟件等。但采取與Google不同的做法，多數(shù)針對(duì)使用者所瀏覽的單一網(wǎng)頁進(jìn)行檢查，當(dāng)出現(xiàn)路過下載惡意程序的行為時(shí)，會(huì)提醒使用者危險(xiǎn)，同時(shí)拒絕連結(jié)。 Google采連坐管制方式，可能會(huì)導(dǎo)致過多連結(jié)不易瀏覽，引起使用者反彈，擴(kuò)大了惡意連結(jié)的影響效果。
對(duì)Google誤判或已修復(fù)的網(wǎng)站，網(wǎng)站主需自行申請(qǐng)第三方機(jī)構(gòu)復(fù)查，結(jié)果送Google后，才能移除警告標(biāo)示。申請(qǐng)程序未提供中文版，企業(yè)主恐怕不易于短時(shí)間內(nèi)立即解除狀況，商譽(yù)受損時(shí)間恐會(huì)比惡意程序?qū)嶋H影響維持更久。短期可能會(huì)引發(fā)網(wǎng)站企業(yè)主對(duì)網(wǎng)站安全檢測評(píng)鑒以及相關(guān)安全防御機(jī)制的需求。企業(yè)主不得不越來越重視上線前安全檢查、平時(shí)維運(yùn)的安全監(jiān)控與防護(hù)機(jī)制，避免遭入侵后耗時(shí)解決引起的損失。
標(biāo)簽： Google 安全 代碼 金融 漏洞 排名 企業(yè)網(wǎng)站 網(wǎng)絡(luò) 網(wǎng)絡(luò)安全 信息安全
版權(quán)申明：本站文章部分自網(wǎng)絡(luò)，如有侵權(quán)，請(qǐng)聯(lián)系：west999com@outlook.com
特別注意：本站所有轉(zhuǎn)載文章言論不代表本站觀點(diǎn)！
本站所提供的圖片等素材，版權(quán)歸原作者所有，如需使用，請(qǐng)與原作者聯(lián)系。
最新資訊
熱門推薦