九个月前，我发了一条博客关于由不同组织发布的大量年度安全报告。然而，在瞬息万变的互联网安全世界里，自那时起，已经发生了很大的变化。新的安全报告已经编写完毕，现在是重新审视这些报告的时候了，以了解不同的组织正在观察什么。我发现在不断变化的安全领域中寻找新的视角是很有用的。通过审查这些报告，我们可以更好地了解我们的组织正面临的新兴互联网威胁。
Veracode软件安全状况报告- 2010年3月
维拉科德出版了最近的安全报告在RSA会议期间发布的，专注于应用软件状态。Veracode提供使用SaaS模型的应用程序源代码审查，以帮助他们的客户端避免安全漏洞。本报告指出，提交给其测试过程的极高百分比甚至没有符合安全编码最佳实践的会议标准。第三方软件和内部开发的应用程序都具有重要的问题，可能会损害整个系统的安全性。开源应用程序倾向于比内部开发的应用更快地修复。这与Firefox这样的应用程序一致，虽然它们可能在一年内具有许多漏洞，但是要提供的补丁的时间可能不到一天。报告在C / C ++中编写的程序中提到的漏洞，但以其他编程语言编写的应用程序也具有重要的安全问题。跨站点脚本（XSS）漏洞仍然是普遍存在的，尽管所有宣传如何良好的编码标准如何帮助减轻这些问题。
IBM X-Force 2009趋势和风险报告
最好的年度安全报告之一是IBM X-Force趋势和风险报告．今年的报告显示，总体漏洞披露2009年下降．该报告分析了每周和每月的披露情况，以寻找趋势。我喜欢利用概率图，它将机会与盈利和利用成本进行对比。很容易看出，PDF、Flash和ActiveX的exploit属于最高概率的象限。IBM的报告还列出了近年来哪些操作系统制造商披露的信息最多。报告还显示，网络应用平台并不像这些网络应用所使用的插件那样不堪一击。跨站点脚本攻击、SQL注入攻击和文件包含攻击越来越流行，并且在各个行业领域都很普遍。该报告还确定，约7.5%的互联网包含不良内容(成人内容、犯罪内容、恶意软件等)。与许多其他报告一样，IBM X-Force报告分析了受恶意软件感染的服务器的位置、koobface和社交网络恶意软件感染的问题、流氓AV软件和ZeuS Builder。垃圾邮件是恶意软件传播的另一个攻击向量，也被分析。 I found the tables at the end of the document that review the top URL spam domains by month. From this you can easily see how spammers change their domains month-by-month. The analysis clearly shows Brazil's rise to the top spam and phishing originating countries.
Sophos安全威胁报告：2010
这是一个很好的跟进2009年年度报告．该报告强调了利用社交网站作为传播垃圾邮件、恶意软件和网络钓鱼攻击的手段。在托管受雷竞技比分恶意软件感染的网络内容方面，美国仍然是最大的国家。该报告报道了特洛伊布雷多是如何通过伪装成虚假的航运信息而流行起来的。这份报告提到IPv6在2010年1月被垃圾邮件发送者使用。由于与pdf相关的攻击增多，Adobe现在已经改用“周二打补丁”的方法。该报告还显示，大多数Mac用户并不使用杀毒软件，但Mac电脑正日益成为恶意软件的目标。就像任何东西都可能变得更受欢迎一样，它的威胁程度也会增加。我们可以预期手机也会出现同样的行为
Trustwave 2010全球安全报告
的信赖Wave报告是一个很好的报告，因为它利用他们对客户的脆弱性评估的经验，但也涵盖了对其客户持续的实际攻击的法医分析和修复。此报告显示，大多数违规行为由外部组织确定，这与去年的verizon数据泄露报告一致。攻击者的初始条目被证明是通过远程访问应用程序或通过第三方连接，该连接也与去年的Verizon报告匹配。本报告显示了恶意软件或攻击使用的技术类型的大图，以便从受损计算机执行数据的exfiltation。exfiltration不使用IPv6在IPv4数据包中封装的IPv6经常使用，并且很少使用加密隧道。本报告还包括许多“十大十大”列表，各种问题和弱点的列表，我们都应该考虑。
乔木网络-全球基础设施安全报告2009
的Arbor网络全球基础设施安全报告v于2010年1月出版。本报告是一份很好的报告，用于解决影响顶级互联网服务提供商和企业的安全问题。本报告涵盖2008年第三季度至2009年第三季度。毫不奇怪，这份报告关注的是DDoS攻击的规模，以及拥有1Gbps互联网链接的企业如何容易被最近看到的许多攻击所淹没。我很惊讶地从这份报告中发现，最大的DDoS攻击可以产生高达40Gbps的流量。这类攻击绝大多数是UDP、ICMP等基于流量的攻击，其他两种攻击则是利用TCP标志或特定应用流量进行攻击。大多数组织使用源/目的acl或BGP RTBH缓解技术。即使使用了速率限制，它也不是一个有效的策略。
该报告还提到了服务提供商如何关注与采用IPv6相关的安全问题。Arbor Network的报告还提到，一些受访者担心制造商产品中的IPv6安全特性。这份报告与其他几份报告一致认为，当涉及到DNS缓存中毒攻击时，人们已经开始放松警惕。很高兴看到SSH已经取代Telnet成为首选的远程管理协议。我对单播RPF在服务提供商网络边界的缺乏应用感到失望。
Symantec Intelligence季刊 - 2010年1月
赛门铁克最近发布了他们的季度情报报告涵盖2009年10月至2009年12月。此报告显示，美国是恶意活动百分比最高的国家。雷竞技比分这是因为美国托管了许多恶意软件受感染的Web服务器及其电子邮件服务器源世界上大部分垃圾邮件。本报告还提到了PDF问题的普及和Sality蠕虫的普及。
赛门铁克最近也发布了一份报告流氓安全软件趋势。本报告提到最近爆炸恶意软件伪造本身作为流氓安全软件和防病毒套房。一个有趣的统计数据是，攻击者的联盟公司安装恶意软件的安装价格远远高于英国和英国和澳大利亚。在美国计算机上的安装价值0.55美元，而在其他国家的计算机上安装只能是便士。
McAfee 2010年1月垃圾邮件报告
McAfee发表了他们的垃圾邮件报告1月。该报告讨论了针对辉瑞产品的垃圾邮件的迅速上升和下降。这份报告谈到了垃圾邮件的常用域名登陆页面是如何从使用。cn域名转移到使用微软的live.com和谷歌的blogspot.com等博客的。我发现垃圾邮件中的拼写错误很有趣，因为这是一种避免被反垃圾邮件分析软件检测的方法。作为一个有趣的旁注，这份报告涵盖了2009年垃圾邮件中排名前25位的男性和女性。
云安全联盟安全指南- 2009年12月
如果您的组织正在考虑或已经转向使用云计算服务，那么您必须阅读云安全联盟云计算V2关键领域安全指南.1已于2009年12月发布的。这是一个很好的报告，涵盖了云计算策略的介绍以及如何为每个变体创建安全计划。我强烈建议每个人都阅读本指南，并考虑在安全策略的上下文中考虑云计算。考虑对数据的机密性，完整性和可用性的最佳做法对于云服务至关重要。
思科2009年度安全报告- 2009年12月
思科发布了他们2009年保安年报2009年12月。本报告涵盖了2009年发现的与思科自身、其客户以及他们在行业中看到的趋势相关的安全问题。这份报告最好的部分是，这里展示的数据是由思科安全情报运营和SenderBase．本报告讨论了社交媒体对企业安全的威胁。社交媒体将继续成为攻击的焦点，并浪费很多人的时间，但很少有组织想要阻止他们的员工使用这些系统。在报告的第9页有一个惊人的图表，说明了我们可能在2010年经历的潜在垃圾邮件增长。像其他报告一样，这个报告提到了流氓杀毒软件作为恶意软件的伪装。思科的这份报告还讨论了PDF文件中含有恶意代码的比例很高。该报告确定，每600个PDF文件中就有1个包含某种形式的恶意代码。
CSI电脑犯罪及安全调查2009 - 2009年12月
的计算机安全研究所(CSI)的报告是我每年都会读到的报告之一。它是向许多安全从业者发送的调查摘要，因此调查受访者对这个主题非常了解。今年的报告显示，金融欺诈、恶意软件感染、DoS攻击、密码攻击和网站损毁的情况有所增加。执行摘要第7页的图表显示了近年来攻击类型的流行程度如何上升，又如何下降。第13页的图表显示，安全意识培训的支出仍然低于预期。我相信，如果组织更多地关注人员和过程，他们可以获得更好的安全结果，而不是关注倾向于技术的遵从性。安全意识培训并不需要花费很多钱，但它可以产生巨大的效果，帮助终端用户学习如何避免导致恶意软件感染的常见陷阱。
Cenzic Web应用安全趋势报告- 2009年12月
Cenzic公布了Web应用安全趋势报表， 2009年11月9日。如果你没有听说过Cenzic，你应该了解一下这家公司。Cenzic是一家web应用安全评估软件和服务的制造商。他们的报告侧重于网络和应用程序威胁。第11页包含了不同类别的web漏洞的图表，下一页是浏览器漏洞的图表。随着mac电脑的不断普及，Safari浏览器的漏洞也在不断增加。
PandaLabs 2009年度报告
PandaLabs发布了他们年度安全报告在2009年底。类似于反病毒套件制造商的其他报告本报告的重点是最终用户计算机的安全性。类似于微软先生7该报告还按国家列出了感染率。和其他几份报告一样，这份报告也提到，黑客们正在使用搜索引擎优化(SEO)技术来让他们被恶意软件感染的网站获得更多的点击率。该报告涵盖了其他报告中发现的许多其他要点，如社交网站的威胁增加，流氓安全恶意软件，以及垃圾邮件的增加。
Sourcefire 2009年12月漏洞报告
snort的制造者Sourcefire发布了他们的12月漏洞报告．Sourcefire每月发布一份报告，其中涵盖了他们正在密切关注的最新安全问题。这种以视频形式提交报告的方法非常独特。本视频讨论了来自微软和Adobe的补丁。由于PDF恶意软件和flash播放器的问题，Adobe已经开始向“星期二补丁“频率。你也可以每月回顾一下Sourcefire十一月和10月安全报告。
SANS顶级网络安全风险- 2009年9月