网络攻击方法越来越高超，匿名Anonymous黑客、政府赞助、零天zero-day攻击，高级可持续性威胁APT等等成为受害者们的一个借口，实际上事态有没有那么严重呢？

不可否认的是在舆论风口浪尖的一些组织机构更容易成为攻击者的目标，然而，多数安全攻击能够成功的原因是什么呢？我们找到了微软发布的安全情报报告，让人大跌眼镜的是Zero-day溢出攻击竟然被忽略不计！利用一年内和往年的已知安全漏洞的溢出攻击合起来也不足10%。

感染或攻击成功的最主要原因是需要用户参与互动的、以及通过USB和网络需自动运行的。近半数需要用户执行某个操作才能触发，而有超过三分之一的恶意软件或攻击需要利用Windows“自动运行”功能。

了解了这些攻击矢量，负责安全管理的IT总监、经理和主管们在进行信息安全规划和运维时便可以更好地分配适当的时间、资源、人力和预算。

显然，对信息系统安装适当的安全更新修复相关的安全漏洞必不可少，不过，IT负责人却需要将更多的资源投放到最终用户的互动式操作方面。说到用户交互式操作，简单说就是防止用户有意或无意进行不当操作。如同诈骗分子远程操控受害者从柜员机上转账一样，形形色色的安全威胁也会利用最终用户的“帮忙”来实施入侵行为。比如社交工程学攻击者会冒充经理层或IT等来引诱员工泄露机密信息，网络钓鱼分子也会炮制恶意链接或附件，以期目标用户来点击和执行。

尽管通过输入校验、权限设置、内容过滤等技术措施可以一定程度地帮助防止用户不经意犯错，但是需知信息不仅仅是电子数据，信息包括人们的各种感观对世界的认知。留在人们大脑中的对公司成功至关重要的数据信息仍然是海量的。而存储于员工们的头脑中的、无法通过信息安全系统进行管控的，则需要特别的关注，而有效解决方法唯有加强员工们的安全意识教育。

IT安全负责人可以通过技术手段来禁止USB、CDROM和网络“自动运行”功能，但是仍然需要教育用户不能随意开启和点击陌生U盘光盘内的可疑文件等等。

昆明亭长朗然科技有限公司是国内信息安全意识宣教领域的领航者，我们创作了大量的安全意识教程内容，包括动画视频、电子微课和知识图库等等。同时，针对管理层，我们也推出了信息安全管理基本知识相关的快速教程，欢迎有兴趣和需要的客户联系我们，洽谈采购与合作。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898