近日，深信服《 2019 年網絡安全態勢報告》(以下簡稱「報告」)正式發布，報告從惡意軟體、網站安全、漏洞、APT攻擊等方面分析整體網絡安全態勢情況。報告顯示，不同於 2019 年網絡安全態勢整體平穩的情況，網站安全呈現了愈加嚴峻的發展態勢，網站安全防控或需引起行業及政企事業單位的重點關注。
報告顯示， 2019 年間網站攻擊嘗試量呈總體波動上升且快速增長趨勢，僅下半年，網站攻擊量增長率已高達59%，攻擊類型也呈現了多樣化分布但流量局部集中的趨勢。從感染類型看，多以牟利為感染動機，垃圾郵件和惡意軟體、網頁篡改、釣魚郵件等方式成為黑客們的主流選擇。然而， 在攻擊勢頭顯著增強的對比下，企業端的防控能力也暴露出薄弱環節， Web站點漏洞隱患普遍存在，教育、醫療、政企單位更是漏洞高發行業，網站安全態勢不容樂觀。
網站攻擊量半年超半數增長，攻擊類型多樣流量局部集中
根據報告顯示，深信服在研究中以全國境內超過 8 萬個站點為研究樣本，通過實際的檢測和分析後發現，我國網站安全面臨威脅較為嚴峻， 2019 全年網站攻擊嘗試數量均為波動上漲趨勢，下半年則表現出了更為活躍的增長態勢，增速高達59%。
在攻擊次數不斷增長的同時，攻擊類型也呈現了多樣化分布但流量局部集中的趨勢。根據對攻擊日誌的分析發現，攻擊者嘗試的攻擊類型已從初期的單一操作發展至當前類型多達 10 餘種的複雜化組合。其中文件包含攻擊、Web整站系統漏洞、緩衝區溢出、XSS攻擊等佔比較少且各自相對平均，構成了約為10%的攻擊嘗試;網站信息洩漏攻擊、弱密碼、系統命令注入、Webshell上傳、SQL注入等分別為11%-6%的攻擊佔比;而46%以上攻擊者則都通過大規模批量網站掃描嗅探攻擊，僅此一項就佔據了近半數的攻擊流量。Web漏洞成為網站安全的最重要防禦關鍵點。
網站感染類型多樣，多以牟利為感染動機
報告顯示，深信服在通過對感染惡意軟體的站點調查分析後發現，以PHP、資料庫注入等為主要感染方式的垃圾郵件仍然是站點上最常見的感染，佔比近40%。
此外，約有17%的站點存在有釣魚郵件。釣魚郵件的獲利模式多樣，遭遇釣魚郵件的用戶會可能被告知對方已經獲取了自己電腦中的資料或者控制權，或者可以通過錄屏記錄用戶觀看成人網站的行為，以此要挾用戶，進行經濟欺詐牟利，眾多用戶深受其害。這種利用人性弱點進行釣魚詐騙的感染類型往往很難識別，一旦「中招」，便難以挽回損失。
需要注意的是，網站篡改也是一種對用戶侵害頗深的感染類型，儘管當前佔比僅為0.45%，但攻擊者通過網站篡改能夠直接影響網站聲譽，或者直接幹預業務開展，會對用戶的造成巨大損失，影響力難以估計。而在所有網站篡改的主流類型中，博彩佔比達到了61%。可見，惡意攻擊者進行篡改網站的主要動機是牟取經濟利益。
Web站點漏洞隱患普遍存在，網站安全態勢不容樂觀
深信服經過分析發現，網站安全漏洞隱患普遍存在，網站安全形式不容樂觀。報告顯示，在接受檢測的 8 萬個站點中，近高危漏洞數量就已超過 86 萬個，平均每個站點存在高危漏洞約為 11 個。而高危站點數量約為 8 千個，比重高達10%。除此以外，以CSRF跨站請求偽造、信息洩露、XSS 注入、目錄列表和點擊劫持等為主要構成的中高危的漏洞，也是網站安全的重大隱患。其中，CSRF跨站請求偽造漏洞因位於前列，以32%的佔比居中高危漏洞類型之首。
對於漏洞普遍存在的現象，深信服通過對數據集內的不同中高危級別漏洞進行分析後發現，較多漏洞存在於淘汰或舊版軟體中。企業或出於對舊版系統和軟體的依賴性而繼續保留，或因為其他原因導致舊版系統和軟體更新不及時，無意中造成了極大的網站安全隱患。
教育、醫療、政企單位成漏洞高發行業 安全設施薄弱成主因
從行業角度來看，報告顯示，科研教育、企業、政府單位、醫療機構分別以 20%、12%、12%、10%的佔比，成為網站漏洞最高的前三行業，存在巨大的潛在風險。一方面是因為科研教育、醫療等非盈利性機構的特性，軟硬體設施配置存在較多的依賴性，更新存在一定程度的滯後性;部分企業出於成本等考慮，對舊版系統和軟體更新不積極，客觀的不足是漏洞存在的主要原因;另一方面我國網絡安全及網站安全問題近年來逐步展現，網絡安全及網站安全意識水還平需進一步提高。
針對以上問題，建議組織單位提高安全意識，關注漏洞威脅情報，建立良好的硬體安全防禦系統。同時，選擇安全可靠的域名提供商，以防網絡犯罪分子針對網站發起攻擊，保護網站安全，保護網絡信息安全。
近年來，隨著數位化和智能化進程的不斷深化，網站攻擊技術也在同步發展，網站安全面臨的威脅空前嚴峻。另一方面，在數位化智能時代，網站對於政企事業機構的價值今非昔比，網站安全已經是政企事業機構網絡安全的重要構成。希望通過深信服《 2019 年網絡安全態勢報告》中對於當前網站安全面臨的風險因素和新興趨勢的分析，能夠為更高效地保障網站安全提供有效的支持。