在网络安全播客改版后的首期节目中，来自Threatpost的Brian Donohue和Chris Brook对时下有关网络安全的热门话题展开了讨论，讨论内容包括：家得宝客户数据外泄事件；iCloud女星艳照门事件对iPhone 6推出造成的影响；微软trustworthy computing部门时代的终结；以及必不可少的，互联网广为传播的Bash bug（也叫做”Shellshock漏洞”），影响了Linux和Unix系统。 数据外泄 TripAdvisor的子公司Viator（于今夏以2亿美元被前者收购）告知了1400万客户其包括用户名和密码在内的个人数据遭到外泄。该事件还波及到了三明治连锁公司Jimmy John’s，它的216家分店和108家餐厅遭受影响，该连锁公司也同样在其官网上刊登了有关此次数据外泄事件的通知。Goodwill也确认公司遭受长达18个月的客户数据外泄，受影响客户数量尚未得知。家得宝则遭受到有史以来最为严重的一次数据外泄，竟然波及到5600万张支付卡，受影响范围远超Gmail数据外泄事件（于2013年爆发的该事件造成马萨诸塞州20%居民的个人数据遭到外泄）。 苹果 在9月，苹果终于揭开了其年度9月产品的神秘面纱。不幸的是，苹果新产品发布时间恰巧正值影响恶劣的iCloud入侵事件爆发不久，因此对其造成的影响可见一斑。在此次事件中，众多好莱坞女星的私密照片遭到曝光，并公然发布在互联网上。苹果随即采取措施，不仅扩大了iCloud双重认证的安全级别，并随即修复了显然会导致数据外泄的登陆限制漏洞。总部位于加利福尼亚州库比蒂诺的苹果公司还发布了iOS8系统，正如苹果首席执行官蒂姆•库克（Tim Cook）所宣称的那样，苹果无法查看用户的email或iMessage内容，也没有能力将此类内容信息交予执法机构。 Trustworthy Computing小组 微软宣布将解散trustworthy computing小组，该工作小组10年如一日始终奋战在网络安全领域的第一线。微软公司表示正在计划将其多个安全业务更完整地整合入公司，并将trustworthy computing小组的各成员安排到公司的其他各支团队中，共同致力于开发特定产品和项目。 Bash 一种在互联网上广泛传播的bug，也叫做”Shellshock漏洞”，在Bourne Again Shell bug（Bash）中出现。我们曾在近期写过一篇有关的文章，其中详细解释了什么是”Bash漏洞”及其影响甚广的原因。 # 网络安全播客#：@Threatpost #安全记者#@TheBrianDonohue和@Brokenfuses讨论#shellshock#和其它新闻。

就在几周前，我们向众多社交网络用户发出倡议，请他们将当下最亟待解决的安全问题和关注热点提交给我们。下面将由消费者产品管理负责人Elena Kharchenko对用户所提出的这些问题做逐一解答。 反病毒软件能否防范资金遭窃问题？ 对于网购达人和网银用户而言，卡巴斯基实验室专为此类用户提供了一种特殊模式，可确保最高等级的资金交易安全。该模式有一个直截了当的名字–Secure Payments（安全支付），最新版的卡巴斯基安全软件和卡巴斯基PURE将含有这一功能。 相比旧版本的卡巴斯基安全软件，使用新版本后系统运行速度是否加快？ 毫无疑问。举个例子，卡巴斯基安全软件2015所占用内存低得让人无法想象–仅41 MB，相比于之前版本低了18%。对于某些应用而言作用不言而喻。此外，还有其他许多的改进措施加快了KIS的运行速度，在本博客的一篇文章中对此进行了详细介绍。 如何查看自己的计算机是否感染了恶意软件？会出现哪些症状和标志，不运行反病毒程序或类似安全软件的话是否能够得知？ 最明显的症状是系统运行、窗口打开以及网页载入的速度都有所减慢。然而，有时恶意软件的”行踪”却难以捉摸：不借助特殊安全方法的话，要检测出可疑的行为或数据交换可谓难度极高。为了计算机的安全着想，运行一款反病毒软件必不可少。 从技术上看，远程打开网络摄像头是否可能？反病毒程序能否防范此类针对网络摄像头的攻击？ 从技术角度看，的确可能发生。恶意软件有可能会运用到具有相同功能的合法软件–比如，Skype。因此，网络犯罪分子只要成功感染你的计算机，就能通过网络摄像头轻松地对你的一举一动进行监控。 某些迹象会显示你的网络摄像头已遭到入侵：在镜头旁的LED指示灯是开启状态。但是，有些案例显示恶意软件能够关闭LED指示灯，这样用户就无法得知自己的网络摄像头是否遭到监控。 新版本的卡巴斯基安全软件能有效防范未授权访问网络摄像头。产品能有效控制所有应用访问网络摄像头，并在外部程序试图使用网络摄像头时立即向用户通知。从而让用户自行选择是授权还是拒绝。 新版本卡巴斯基安全软件能有效防范针对网络摄像头的攻击。 如果我只有用户权限的话，在不安装反病毒程序的情况下能否安全使用计算机？在管理员权限下，是否只能从安全来源安装软件？ 这样做根本毫无安全性可言。在许多实际案例中，恶意软件都可以通过自我修改以获取管理员权限。 Windows默认防火墙和卡巴斯基防火墙之间是否存在分别？如果已使用卡巴斯基反病毒软件的话，是否还需开启视窗防护？ 两者的主要的区别是，卡巴斯基实验室的防火墙拥有集成化的应用”细分”功能，也是主动防御体系的一部分。所有应用都将被定义为”信任”或”不信任”，并有不同的限制等级（包括自定义限制）。基于这些设置，每一款应用均有各自对计算机资源的不同访问权限范围，包括：网络连接。因此以后一旦有恶意软件弹出，不是受到极大权限限制，就已被完全禁用。至于第二个问题，如果已使用卡巴斯基反病毒软件的话，就无需再打开视窗防护了。 如何才能检测公共Wi-Fi网络的安全性？Wi-Fi网络的真是安全性到底几何？卡巴斯基实验室是否有计划为KIS用户启用VPN（虚拟私人网络）？ 新版本卡巴斯基安全软件的另一项新功能是能够检测公共Wi-Fi网络的安全性。随着越来越多的人通过咖啡店和酒店的公共热点上网，我们理所当然地将这一功能加入到我们的新产品中。网络不安全情况下使用会导致一系列的严重后果：网络犯罪分子将能盗取正从你设备中传出的数据。 检测公共Wi-Fi网络安全性是最新版本卡巴斯基安全软件的新功能。 卡巴斯基安全软件会对即将接入Wi-Fi网络的安全性进行评估，以防范包括密码和加密算法在内的一套标准，如网络存在不安全性，还会警告用户。此外，一旦有人尝试通过不安全网络传输类似于密码的重要数据，也同样会发出警告通知。 另一种安全使用公共热点的方法是VPN（虚拟私人网络）。目前卡巴斯基实验室正在考虑将其纳入未来产品中，但具体实施计划还未出笼。 时下尤其对于家庭用户而言，互联网上哪些攻击最具危险性？ 目前最具危险性的威胁莫过于像Svpeng这样的网银木马病毒。此类病毒的危险性日渐凸显，设计也趋于复杂和精密，并能躲过安全系统的侦查，以实现感染智能手机并窃取资金的目的。 短信木马病毒依然成为时下最流行和使用最频率的威胁。一旦点击通过短信或模仿合法资源（例如：Google Play）的网络钓鱼网站发出的链接，设备即会遭受感染。 迄今为止最具智能化的恶意软件是哪个？ 目前，在全球网络间谍活动中，所使用的最复杂工具集非Careto/The

网络钓鱼攻击是21世纪以来最为流行的一种网络犯罪行为。媒体总会定期报道一批其客户深受网络钓鱼攻击之害的公司。每天，网络钓鱼欺诈无论是在数量还是质量上都在不断地提升。尽管垃圾邮件只会让人感到心烦，但网络钓鱼却能实实在在地让受害者遭受资金的损失。既然此类威胁的危害程度如此之大，我们没有理由不学习一些防范措施？ 网络钓鱼为何屡屡得手 要利用用户的信任，方法有很多 网络钓鱼屡屡得手的原因不胜枚举，网络骗子有各种招数骗取受害者的信任，从而将他们推向”无尽的深渊”。网络钓鱼者往往会提供一些极具诱惑力的条件，比如提供免费赠品以让用户上钩。然而这的确是一种行之有效的方法，因为人们往往都会贪图免费的东西。 免费产品是引诱受害者陷入网络钓鱼骗局最有效方法。 网络骗子还会充分利用某一热点话题或热门活动来大做文章–例如，在世界杯足球赛后就发生了大规模的网络欺诈案件。就在今年夏天，有一家模仿FIFA官方网页的网络钓鱼网站，鼓励用户在保卫苏亚雷斯（乌拉圭国家队明星前锋）的”请愿书”上签字。在签字之前，每一名用户必须在线填写一份表格，内容包括：用户的真实姓名、国籍、手机号码以及电子邮箱。 另一家欺诈网站则为访客提供下载世界杯电子门票的机会，一旦点击链接即会自动下载木马程序，从而盗取受害者重要的个人和资金数据。 为了让那些对网络钓鱼有所警觉的用户上当，网络犯罪分子采用另一种有效的工具，即利用受害者朋友的账户到达不法目的 – 例如，社交网络。 据卡巴斯基实验室统计，在2013年一整年，针对伪装成社交媒体网络的网络钓鱼网站的警报占所有反网络钓鱼组件警报的35%之多。在我们总共检测出的超过6亿次试图访问网络钓鱼网站中，其中有22%伪装成了Facebook网页。 另一种富有成效的欺骗受害者点击网络钓鱼链接的方法是故意营造一种紧张和恐慌的气氛。比如，网络骗子威胁受害者即将封闭其用户预置文件甚至冻结银行账号。为了使该种方法更加有效，网络犯罪分子还会依靠所谓的’语音钓鱼’（在电话中实施诈骗）。并非所有人都会始终对诸如此类的’微妙’处境小心谨慎，为了防止自己的账户遭到冻结，有些人会听从那些专横的’银行安全人员’要求，乖乖地将自己的信用卡数据交给对方。 在我们总共检测出超过6亿次的试图访问网络钓鱼网站中，其中有22%伪装成了Facebook网页。 网络钓鱼技术持续改进 网络钓鱼屡屡得手的一个主要原因，是其网络钓鱼工具的技术不断改进，正日渐趋于精密和复杂。 从外观上看，虚假网站与合法网站很容易区分；然而，许多虚假网站都有正当的域名，并在有些情况下，还采用了带真实证书的安全HTTPS链接。 手机网络钓鱼问题同样日益突出。由于智能手机和平台电脑在技术上的独特性（比如，屏幕尺寸较小），因此相对来说更难以分辨网络钓鱼网站与合法网站。 请记住，在实施网络钓鱼攻击时，网络犯罪分子根本无需入侵用户的系统。这也是为什么说目前没有任何平台有能力完全防范网络钓鱼攻击，从而使之通用化。 网络犯罪分子的”金矿” 网络钓鱼在短期内无法”消退”的原因是能为网络犯罪分子带来巨额的经济收益。网络钓鱼工具在互联网上随处可见，易于获取，并且社交网络拥有庞大的用户数量（有6亿用户，还记得吗？）。此外，发动网络钓鱼攻击对于犯罪分子而言易于反掌，因为大多数工具都能自动开展攻击。 因此，具备了这些优势，网络犯罪分子就能轻轻松松地赚取相当可观的收益。在多数情况下，网络钓鱼者只对资金数据有兴趣。在无需任何周密计划的情况下，就能轻松获益。 此外，网络钓鱼更倾向于和其他犯罪方法一同使用，从而形成有效的协同效应。打个比方，你通过垃圾邮件遭到网络钓鱼邮件攻击，一旦犯罪分子掌握你的所有联系人后，网络钓鱼邮件即会继续转发给所有这些联系人。在形成一个有效联系人的庞大数据库后，黑客们就能批量发送恶意软件并进一步使用所产生的僵尸网络（认为合适的）。 网络钓鱼更倾向于和其他犯罪方法一同使用，从而形成有效的协同效应。 最后需要提醒的是，不要想当然地以为网络骗子只对你的信用卡或资金数据感兴趣。对于你的电子邮件服务或社交网络的用户登录凭证，许多网络钓鱼者也同样”垂涎欲滴”。 如何避免遭受网络钓鱼？ 用户能用于”武装”自己的安全小贴士和技巧又有哪些？首先，使用一些基本的常识。 始终保持冷静，不要轻易掉入在线欺诈和”语音钓鱼”的圈套。仔细检查引导你点击的链接和网站。在收到发自朋友或同事的可疑链接后，在与对方确认后，方能点击链接。在面对’语音钓鱼’攻击时，需要牢记的是没有一家银行的员工会急迫地要求你提供信用卡详细资料。 最好不要通过点击链接访问网站：尽量手动输入网址。不必再多说，在访问所有网站时使用强大的安全保护程序和安全网络。切记定期更新你的反病毒软件，尤其是那些具有反钓鱼功能的软件。例如，卡巴斯基安全软件内置反钓鱼组件可以运行网站检测功能，以防范一系列的未知欺诈网站。同时，还能通过超过200项安全标准的评估，检测可能的危险网页。