安全爆炸點：瀏覽器成桌面首號威脅入口

2009 年 2 月 MS09-002（IE 7 遠端代碼執行）爆發，各大防毒廠商大量截獲利用代碼，舊惡意碼紛紛整合此漏洞生成新變種。瀏覽器攻擊成過去一年增長最快的桌面威脅。

近期關鍵漏洞

• IE 0day（影響版面更廣）。
• Adobe PDF 嵌入瀏覽器腳本漏洞，影響極廣。

為何瀏覽器成軟肋？

• 用戶群最大、使用頻率最高。
• 功能豐富（JavaScript、ActiveX、Silverlight、Flash）卻缺乏深度防護工具（郵件/IM 有專項防護，瀏覽器較弱）。
• 與 OS 深度綁定（IE 整合 Windows 核心，其他瀏覽器也大量調用底層組件），漏洞易波及核心。
• 0day 攻擊下，無補丁電腦幾無還手之力。

廠商防禦新機制

IE 8 ActiveX 改革

• ActiveX 安裝不再需管理員權限，改用當前用戶權限 → 惡意碼難獲高權限。
• 非白名單 ActiveX 限制本地操作 → 緩解 ActiveX 破壞 OS 問題。
• 可延伸管控 Flex、Silverlight 等富客戶端外掛。
• 限制：僅 Vista+ 支援，XP 無法受益。

反釣魚進化

• Firefox：內建防釣魚 + 豐富外掛生態，用戶可自選防護等級。
• IE 8：網址列高亮顯示頂級域名（如 paypal.com），大幅提升用戶辨識釣魚網址能力；增強 SmartScreen Filter 可調整防護等級封鎖可疑網址。

雲端安全：新希望

• 趨勢科技截獲 IE 0day 只需幾分鐘，為補丁釋出爭取時間。
• 雲端 URL 過濾成標配：阻擋惡意網站存取，即使有漏洞也降低觸發機率。

用戶行為安全袖珍指南

• 不勾選「記住密碼」，公用電腦離開清除歷史。
• 不同服務用不同帳號/密碼，防一洩全洩。
• 非必要服務不填真實個資。

明日危機

企業級應用大量移植瀏覽器，新功能/外掛 = 新攻擊面。單純技術手段難全勝，需系統層面強化安全模型（如 Windows 7 新機制），並固化用戶安全行為。