專家稱漏洞修補法不好
政府應資助軟體發展
2004-02-27
ZDNet China 2月26日北京報導(記者：Robert Lemos)：資深安全主管週二警告目前修補軟體漏洞的方式仍太過複雜，許多企業因為來不及安裝重要的更新文件，導致不肖份子有機可乘。
漏洞評估公司Qualys這項報告是在RSA安全大會上公佈，其資料是取自公司所監控的客戶網路，歷經兩年搜集，結果顯示平均需要一個月才能將連結至網路的漏洞電腦數量降低一半。
這樣的時間對於修補最嚴重的安全漏洞而言已經太久了，Qualys技術長暨副總裁Gerhard Eschelbeck表示。
資料顯示修補漏洞會有個迴圈週期，因此會有暴露於外在危險的可能性。他說，我們必須採取各種方式來縮短這個週期。
這些資料的確指出企業安全專業人士最感苦惱的問題之一：公司多數的安全都得依賴修補軟體漏洞，但要在關鍵系統上安裝修補程式又得耗上一些時間。去年Slammer漏洞就是利用一個已經公佈六個月之久的漏洞，後來八月的MSBlast也是如此。
微軟在十月表示公司過去嘗試說服客戶定期修補軟體的努力成效不佳，因此決定修正作法，改成每月統一發佈一次漏洞修補檔，同時也發起多項其他安全計畫，希望能同步保護客戶的網路範圍。
不過這項每月一次的修補作法在專家眼裏看來也是優劣互見。
過去微軟不斷寄出許多重大漏洞，但狼來了叫多了大家就不以為意。Safeway超商的資訊安全副總裁表示，所以微軟就不再常常叫狼來了，現在是改成每月只叫一次。
他認為微軟以固定週期發出安全更新的作法會讓地下駭客或攻擊者有機可乘。微軟在修正漏洞期間，若駭客先一步找出漏洞，那公司就成了攻擊物件。
有心利用這些漏洞的人士是沒有固定週期的。Harris強調。
不過，另一位安全專家則表示多花點時間注意修正程式的品質在長期上的確有助於企業可盡速修正漏洞。目前，多數企業安全小組經常得花上一些時間來測試修補程式的相容問題，確保這些外來檔案不會導致關鍵商業應用出現問題，商業資訊供應商TheThomson公司企業安全長DennisDevlin如此表示。
修補的最高指導原則就是不要弄巧成拙，只要修補檔不會害到系統，那就沒問題了。他說。
不過資料庫廠商甲骨文安全長AnnDavidson則認為公司應該要對軟體商做出更大的要求。開發人員必須改變開發流程以避免這類缺失。
我都告訴大家必須據理力爭，Davidson說。各位花了很多錢在軟體上，因此有權要求得到好的軟體。
Davidson認為比較可行的作法包括由政府來資助開放源代碼工具，掃瞄開發中常見的程式碼安全問題。然後聯邦機構就可強制供應商必須採用這些工具來監控自家的程式碼。她表示依賴民間公司來彌補這個問題似乎不可行。
但至少在目前，公司還是得處理如何從自己的商業後端系統中找出漏洞的問題。Safeway超商的Harris表示這是個非常艱難的任務。
有時候我覺得我根本是被這問題追著跑，而不是我要去解決這問題。
編者注：這是現代科學的代表者