本週（090223至090301）安全方面值得關注的新聞仍主要以***和威脅方向的爲主，繼前兩週推出一批安全更新程序後，主流軟件廠商的軟件本週仍爆出了嚴重的安全漏洞，微軟和Adobe的產品均不能倖免，而網絡廠商Cisco也發佈安全公告稱，其多個產品中存在有可能被***者利用的安全漏洞。
安全技術方面，Google本週開始組織的Native Client安全測試，從一個側面反映了Google對瀏覽器安全技術的研究方向，本期回顧就讓筆者和朋友們一起了解下這個新聞。
在本期回顧的最後，筆者仍爲朋友們精心挑選了兩個值得一讀的推薦閱讀文章。
本週的安全威脅等級爲中。***對主流軟件廠商產品中存在的已知漏洞進行***的風險較高，筆者建議用戶關注軟件廠商的安全更新發布進度，及時從軟件廠商的升級站點上下載並安裝安全更新程序。
漏洞***：
微軟和Adobe產品頻繁出現威脅嚴重的新漏洞，網絡廠商Cisco產品中也出現嚴重漏洞；關注指數：高
2009年的第一季度看起來主流軟件廠商產品的安全漏洞大爆發時期。上兩週微軟、Adobe和Apple等主流的軟件廠商才發佈了爲數不少的安全更新程序，許多用戶仍沒有或正計劃使用這些安全更新，本週又有多個主流軟件廠商的產品中再次爆出了威脅嚴重的新漏洞。
本週二微軟發佈安全公告稱，Office Excel中目前已經確認存在一個嚴重的安全漏洞，並影響Office 2000/2003/2007和Office 2008 for Mac等多個不同的Office版本。該漏洞屬於對用戶威脅最嚴重的遠程代碼執行漏洞，如果***成功***該漏洞，將可以在用戶系統上執行事先設置好的惡意程序，並造成進一步的破壞。
根據微軟的安全公告，目前***可能已經廣泛的使用該漏洞對用戶實施有針對性的***，而來自多個反病毒廠商的消息也從側面確認了該漏洞的存在，Symantec稱，已經在其最新的病毒定義中增加了對該漏洞***文件的特定，並命名爲Trojan.Mdropper.AC。
不過微軟暫時還未能推出針對該漏洞的安全更新程序，筆者建議用戶在這段時間內不要輕易開啓來自不可信來源的Excel文件，並使用反病毒軟件掃描每一個進入自己網絡的Office文件，如果系統硬件支持，開啓系統的數據執行保護DEP選項也能在一定程度上保護用戶的系統不受此類漏洞的***。
Adobe流行的PDF處理和閱讀軟件Acrobat及 Reader在本週也出現了對用戶威脅嚴重的遠程代碼執行漏洞。根據Adobe在週一發佈的安全公告，該漏洞已經確認存在於Adobe Acrobat和Reader兩個產品系列中，這兩個產品在處理PDF文件中的Java Script程序時會出現內存錯誤問題，並進一步導致出現執行不可預見的行爲，或執行***事先設置好的惡意程序，Adobe同時還確認了該漏洞存在於Acrobat和Reader 9.0及以前版本中。
安全廠商Shadowserver的研究人員稱，目前該漏洞已經被***用於小規模的針對性***中，反病毒廠商Symantec也於當天表示，已經將針對該漏洞的***文件特徵添加到其病毒數據庫中，並命名爲bloodhound.exploit.213。不過Adobe也表示，由於針對該漏洞的安全更新正在開發當中，最早要到3月11號才能向公衆發佈，因此在這段時間內，筆者建議用戶通過禁用Acrobat和Reader的Java Script解釋功能，來防止該漏洞被***所***，並遭受進一步的數據或隱私信息損失。
另外，Adobe在本週更新了媒體播放器軟件Flash Player，並修正了其中存在的5個安全漏洞，由於除了單獨安裝的版本外，Flash Player並不支持自動升級，筆者建議朋友們儘快登錄Adobe網站上的Flash Player安裝頁面手動更新Flash Player，防止遭受***通過Flash漏洞發起的惡意網站和惡意軟件***。
網絡廠商Cisco本週也發佈安全公告稱，確認在Cisco ACE Application Control Engine Module和Cisco ACE 4710 Application Control Engine中存在多個安全漏洞，其中三個安全漏洞的威脅等級較高，並以確認目前已經有有效的漏洞利用代碼或方式。Cisco同時發佈了針對本次安全公告的安全更新程序，使用對應產品的用戶可以通過Cisco網站下載更新程序，並根據安全公告內的操作指南進行安全配置操作。
安全技術：
安全技術：
Google開始Native Client***挑戰活動；關注指數：高
Google繼推出Chrome瀏覽器和安全搜索技術之後，在瀏覽器安全領域繼續保持活躍，本週開始的Google Native Client***挑戰活動，將顯示Google在瀏覽器安全技術領域達到的新水平。Google Native Client***挑戰活動從本週開始，將在5月5日結束，Google還準備了5檔象徵意義（8192、4096、2048和1024美元）的獎金，將頒發給挖掘出Native Client最有創意的5個漏洞的研究人員。
Native Client是Google正在進行的一個開放源代碼項目，其目標是在Web應用上運行原生的x86體系代碼，其實現原理就是通過在Web應用程序和瀏覽器之間增加一個可以運行在不同操作系統平臺上的沙箱模型，並保證原生的x86代碼能夠安全的在該沙箱模型中執行。目前Google的研究人員已經成功的在Native Client體系上執行3D射擊遊戲Quake和腳本解釋語言Lua，測試的結果也表明，通過Native Client來執行的x86代碼執行速度與直接在系統中執行相差無幾。
筆者認爲，如果Native Client技術發展成熟，並確認其安全性和執行效率，Native Client能夠支持的應用程序就會大量增長，甚至出現能夠運行在Native Client中的操作系統，集成Native Client技術的瀏覽器也將成爲Google進入虛擬化領域的新武器，Web OS的出現也指日可待。有興趣的朋友也可以通過Native Client在Google Code站點上的頁面進一步瞭解它的設計和運作原理，網站地址如下：[url]http://nativeclient.googlecode.com/[/url]
推薦閱讀：
推薦閱讀：
1） 如何使用雙因素驗證來消除網絡風險；推薦指數：高
網絡弱口令一直是對企業內部網絡最爲嚴重的安全威脅之一，除了成爲******企業內部網絡的主要方式之外，網絡弱口令也常被各種自動化的惡意軟件用於在企業內部網絡中大肆擴散。隨着雙因素驗證技術的發展成熟和成本進一步降低，企業開始傾向於使用比傳統密碼驗證安全得多的雙因素驗證，但如何選擇最合適的雙因素驗證方案，卻成爲衆多企業對雙因素驗證望而卻步的原因。
eWeek.com文章《如何使用雙因素驗證來消除網絡風險》詳細的介紹了雙因素驗證及其應用，推薦有興趣的朋友瞭解下。
2） 如何花更少的錢得到更好的安全保障；推薦指數：高
經濟危機的影響使得大多數企業被迫削減各方面的開支，IT預算和安全預算成爲首當其衝受削減的目標，如何在減少的安全預算下仍保證能夠獲得更好的安全保障？筆者推薦本週darkreading.com的文章《如何花更少的錢得到更好的安全保障》，文章地址如下：
[url]http://www.darkreading.com/security/management/showArticle.jhtml?articleID=214600349&subSection=Security+administration/management[/url]
[url]http://www.darkreading.com/security/management/showArticle.jhtml?articleID=214600349&subSection=Security+administration/management[/url]