小心这些漏洞 大多数成功的蠕虫和其他网络攻击所依靠的都是少数几种通用操作系统中存在的安全漏洞。这些攻击者都是机会主义者。它们利用最简单、最便捷的路线，并且使用最有效且使用广泛的工具来寻找和利用众所周知的漏洞和弱点。如果企业没有及时修补漏洞，这些攻击者就会乘机而入，而且它们扫瞄Internet上任何有漏洞的系统，不分清红皂白地发起攻击。蠕虫这种攻击手段非常容易传播且破坏力巨大，例如Blaster、Slammer和Code Red等蠕虫都是直接利用未施加补丁的漏洞来四处传播并制造巨大的破坏。 四年前，SANS研究院和联邦调查局（FBI）的国家基础设施保护中心（NIPC）发布过一份文档，总结出了“10种最关键的Internet安全漏洞”。数以千计的企业都非常重视这份文档，并且认真对待列表中的漏洞问题。在此后的三年中，他们又发布了扩展的“最危险的20项安全漏洞”列表，希望企业能够尽早对照自己存在的不足并且及时关闭这些最危险的安全漏洞。该列表中列出了许多存在漏洞的服务，其中就包括引发Blaster、Slammer、Code Red及NIMDA蠕虫的那些臭名昭著的漏洞。 SANS这次发布的“最危险的20种漏洞”列表中事实上包括两个列表，每个包含10种漏洞，分别对应于Windows中最常被利用的10种漏洞和Unix及Linux环境下的10种最常见的漏洞。尽管每年都有数千种安全事件在影响着这些操作系统，但绝大多数成功的攻击都只瞄准了这20个漏洞中的一、两个。 在Windows漏洞列表中，排在最前面的是Web服务器和服务，而在Unix列表中，位居前列的是BIND域名系统。而每个条目有时都代表着一个非常广泛的类别。SANS的文档长达100多页，将问题归纳为一些具体的安全漏洞，并且提供了详尽的提示，以便用户对问题加以及时修正。 许多漏洞已经出现在过去发布的列表中，但据该列表的研究主任Ross Patel 称，今天的列表中有一些出人意料的东西。Patel指出，文件共享应用和即时消息分别位列Windows 列表中的第7位和第10位，它们都是比较新的漏洞类别。 Patel说：“专家们几乎一致认为文件共享和P2P是值得担忧的问题。”和即时消息一样，文件共享应用非常简单，而且易于使用，因此用户往往会忽略它们可能引发的安全问题。 Web浏览器位居Windows列表的第6位，而且该应用多年来一直是一个非常热门的安全话题。 Patel说：“对于世界任何一个角落的专家来说，Windows中唾手可得的Web浏览器是多数问题的来源，而且也是各种争议的焦点。”由于微软的IE浏览器存在的漏洞数量众多，因此许多安全专家在今年年初建议用户应当放弃IE浏览器而选择其他的浏览器，但负责本列表的专家却对该问题持有保留意见。 众所周知，这“最危险的20种漏洞”需要立即得到修补。这份列表是数十位顶级安全专家苦心研究的结果。这些专家来自英国、美国和新加坡等国家的最关注安全问题的**机构、领先的安全软件厂商和咨询企业、顶级的大学安全项目，还有许多其他的用户组织和SANS研究院。在这份文档的结尾处列出了该项目中所有的参与者名单。