【51CTO.com独家特稿】本周安全圈子的新闻众多，微软备受瞩目的新系统Windows 7本周公开的两个新特性XP模式和更安全的自动运行功能，可算是本周安全方面最值得关注的新闻，笔者将在本期回顾中为朋友们简单介绍和分析这个新闻。
继今年第一季的漏洞攻击高潮之后，Google和Adobe再次成为5月初漏洞攻击类新闻的主角，而微软则赶在5月初发布了office 2007和Windows Vista的SP2补丁包。云计算在安全领域如何应用至今仍未有定论，但安全厂商们都已经开始了在该领域内的探索——西班牙反病毒厂商Panda成为吃螃蟹者，推出了基于云计算的免费杀毒软件。在本期回顾的最后，笔者按惯例为朋友们在本周的新闻中精心挑选了两个值得一读的推荐阅读文章。
本周（090427至090503）安全要闻回顾
本周的信息安全威胁等级为低。尽管微软等软件厂商在4月推出了数量较多的安全更新，但目前并没有发现互联网上存在对这些已有更新漏洞的大规模攻击行为，用户只需注意安装安全补丁和更新安全软件即可。
Windows安全：Windows 7新特性,XP模式和更安全的自动运行；关注指数：高
微软在三年前推出的Windows Vista在安全性、易用性和用户友好程度上比Windows XP都有了显著的提升，然而软件兼容性差和系统资源要求较高成为Vista饱受用户诟病的主要缺点，也成为大多数用户依然停留在XP等较老系统上的理由。尽管微软在Vista发布后不久就推出了改善上述问题的SP1更新包，但因为各种原因Vista在企业和个人领域的接受程度一直不高。
作为Windows Vista的替代产品，Windows 7从公开之日起就一直广受用户关注，尤其是在Vista较弱的软件兼容性方面，Windows 7的表现成为一个待解之谜。这个问题在本周得以揭晓，这就是Windows 7 XP Mode（Windows 7XP模式，简称XPM）。通过微软最新的桌面虚拟化技术，Windows 7用户可以像在Windows XP中那样方便的使用旧的应用程序，而无需担心会出现兼容性问题，这点尤其适合那些因为各种原因而放弃升级到Vista的企业XP用户。
根据微软的描述，Windows 7与XPM进行了相当底层的集成，用户在XPM模式中安装的软件可以放置图标到Windows 7桌面，并像安装于Windows 7的兼容软件一样直接启动。另外，用户需要了解的是，XPM需要CPU对虚拟化技术的支持，只有支持Intel VT技术的Intel CPU或AMD-V技术的AMD CPU才能使用，而按照微软一贯的授权策略，XPM将免费提供Windows 7专业版和旗舰版用户，使用Home版的用户则无缘使用。
笔者介绍到这里，相信朋友们对Windows 7里面的XPM有了这样一个印象：XPM不就是微软为用户安装好的一个Virtual PC Windows 7版加Windows XP SP3？没错，XPM实际上就是VPC里面的OEM版Windows XP安装，有MSDN或Technet的朋友一试便知，网上也开始有网友通过BT等渠道分享新版VPC和XPM，有兴趣的朋友也可以自行下载试用。
在这里我们就有了新的问题：XPM的安全性如何？在安装XPM时微软默认开启OEM Windows XP的数据执行保护DEP和自动升级，但更高级的地址空间输出随机化（ASLR）和IE保护模式并不在XPM中提供，用户也不会在XPM中安装反病毒软件（到时用户也不一定还有XP版的反病毒软件）XPM这样的安全措施，在通常的情况下并无太大的安全问题，然而在某些极端的情况下仍然会成为企业内部网络中致命的安全漏洞。由于Windows Vista和7中严格的安全控制，使得Vista下的恶意软件比XP平台上已经大为减少，微软为保证软件兼容性引入了XPM，事实上使每一个Windows 7系统也同时运行至少一个没有进行过安全配置的Windows XP系统，从而使得Windows 7系统遭受恶意软件侵袭的风险比Vista更为显著。
理论上说，XPM和作为主机的Windows 7系统应该是隔离的，然而用户或默认不恰当的配置，则有可能使XPM也能访问到主机上相当多敏感的信息，因为安全软件和监控手段的缺失，XPM很容易成为黑客进一步侵入用户所在内部网络的跳板。笔者认为，用户未来在使用XPM时应关注几点：
1）如何控制用户对XPM的使用和在XPM中使用的应用程序；
2）XPM内外部环境的维护和安全配置；
3）如何维护和监视XPM的安全情况。这几个因素都会不同程度的影响企业应用XPM的效果，可能还需要企业修改现有安全策略来适应XPM新技术的引入，不过对安全厂商来说，Windows XP以XPM的形式重生并结合了虚拟化的新元素，开发相关的安全控制及管理产品应该也是未来一个相当不错的方向。
针对恶意软件将移动存储设备感染作为标准功能的趋势，微软在新系统Windows 7中进行了一个动作不大却效果明显的改进，修改了设备自动运行功能的激活方式。和Windows XP、Vista等现有系统不同，Windows 7 RC版本在用户插入除可移动光驱内的光盘之外的其他USB设备（U盘、移动硬盘、MP3/MP4等）时，不再弹出自动运行菜单，以控制恶意软件通过可写的移动存储设备在用户系统之间进行传染，微软也计划在适当时候为Windows XP、Vista等现有系统用户提供该安全更新，提升现有系统对移动设备病毒的防御能力。这个更新只是Windows 7诸多安全提升中很小的一个，不过也能看出Windows 7的开发过程中微软更为关注用户的实际需要，虽然迟了点但也算是及时的。笔者打算持续关注Windows 7的安全功能，并及时为朋友们带来更新的相关资讯和深度分析，敬请期待！
漏洞攻防：Adobe产品又遭0Day攻击，Google及微软发布产品重要更新；关注指数：高
Adobe可以说是今年漏洞攻防领域中除微软外出镜率最高的厂商，今年所公开的严重漏洞攻击事件，涉及Adobe旗下产品Flash Player和Acrobat的差不多占到了1/3多。即便如此，漏洞挖掘人员似乎还不想让Adobe有一丝放松下来的机会——根据Securityfocus的报道，Adobe PDF Reader中再次被报告存在Java Script处理漏洞，该漏洞与Adobe同类产品于今年2月份所发现的漏洞相类似，触发后将会导致Reader执行代码运行等不可预料的行为，攻击者可能会利用这类漏洞向用户扩散恶意软件等。
Adobe产品安全事件响应部门在稍后不久确认了该漏洞存在于Adobe Reader 8.x和9.x版本中，并可能影响Linux、Windows和MacOS等平台上的该产品。Adobe目前已经在开发针对该漏洞的安全更新，但何时推出并未有明确的时间表。笔者建议用户在Adobe推出补丁之前，尽量不要随意开启来自不可信来源的PDF文件，同时可禁用Adobe Reader内置的Java Script功能，保证不影响正常使用的前提下增强使用的安全性。
淡出媒体视线一段时间的Google Chrome浏览器本周也推出了新的安全更新，4月初IBM 安全部门ISS的研究人员曾报告Chrome中存在多个XSS漏洞，如果用户在一台装有Chrome的系统上用IE浏览带有上述漏洞利用代码的恶意网站，将会异常的启动Chrome并执行开启多个窗口、运行JavaScript或浏览攻击者事先设置的恶意网站等操作。据悉Google在这次推出的安全更新中已经修正这些漏洞，Google将采取自动更新的形式向用户交付安全更新，用户只需应用更新手工重启下Chrome即可。
按照微软对主流产品每年进行一次大更新的习惯，Windows、Office等在近段时间都将会有一次服务包更新(SP)的发布，本周微软准时发布了Office 2007的SP2升级包（Windows Vista也将在近日发布SP2）。按照惯例，Office 2007 SP2除了包括SP2推出2个月前的所有Office 2007安全漏洞外，还将改进Office 2007一系列的性能和使用问题，如提升Outlook的性能和可靠性、增强pdf和xps输出性能，改进Excel表格结构和PowerPoint文件存储格式等。从安全性或产品本身性能改进的角度考虑，笔者建议Office 2007用户通过微软下载站点或自动更新完成Office 2007 SP2的更新操作。
另外，微软同期还发布了Internet Explorer 8，IE8比IE7在安全、稳定性和使用等方面均有较大改进，但IE8目前对网银、在线支付等电子商务类的ActiveX插件支持还有一些兼容性问题，用户可根据自己的需要决定是否升级到IE8。
安全产品：Panda推出基于云计算的免费反病毒软件；关注指数：中
云计算在安全领域如何应用尚未有定论，但安全厂商们都已经开始按自己的理解和战略发展自己基于云计算的安全产品，西班牙厂商Panda本周推出了基于云计算技术的免费反病毒产品。和其他厂商的类似产品不同的是，该产品将传统反病毒软件检测病毒的操作全部放到云中完成，而不是在本地进行扫描，其运行机理并不复杂，该产品在安装后会根据已知的安全文件和系统文件制作一个白名单，并通过云来维护该名单使其保持最新。在用户系统进入新的未知文件后，该产品会自动计算新文件的Hash值并进行比对，如果存在可疑因素该产品会将新文件传到云平台上进行进一步检测。从而减轻反病毒软件对用户本地系统资源的占用，以及用户对反病毒资料库的管理和维护需求，有兴趣的朋友可以在http://www.cloudantivirus.com网站下载试用。
笔者认为，Panda的新反病毒产品算是云计算反病毒的一个新思路，但与传统的反病毒产品相比效果是否更好，还需要时间和实践的证明，而且云计算产品对高速网络接入的依赖性，也可能会使不少企业用户在选择时充满顾虑。
推荐阅读：
1） 如何保护微软SharePoint服务；推荐指数：中
现在许多企业都选用微软SharePoint作为企业内部Portal的平台，但因为SharePoint继承微软产品一贯的快速部署能力和用户友好，可能大多数的用户都没有考虑过SharePoint服务可能会面临的各种安全风险，以及用户可以采取什么措施去消除这些风险。eWeek.com文章《如何保护微软SharePoint服务》为用户提供了如何选择SharePoint保护产品的建议，有兴趣的朋友可以阅读下，文章地址如下：
http://www.eweek.com/c/a/Security/How-to-Secure-Microsoft-SharePoint/?kc=rss
2） 怎样使用统一身份管理来消减企业风险？推荐指数：高
统一身份管理是访问控制方向新兴的领域，能够有效的降低企业在管理用户和资源访问控制上所耗费的人力物力成本，不过实施统一身份管理对很多没有经验的企业来说算是一件充满挑战的工作，eWeek.com文章《怎样使用统一身份管理消减企业风险》介绍了企业实施统一身份管理的步骤和需要注意的地方，推荐有兴趣的朋友了解一下。文章地址如下：
【51CTO.COM 独家特稿，转载请注明出处及作者！】
