微軟呼吁政府向供應商報告安全漏洞

　　美國微軟公司總裁兼首席法務官布拉德·史密斯１４日指出，１２日全球爆發的勒索軟件網絡攻擊凸顯了政府大量儲存安全漏洞這一問題的嚴重性。他呼吁各國政府應向信息產品供應商報告安全漏洞，而不是加以儲備和利用。

　　在這次網絡攻擊中，不法分子利用從美國國家安全局網絡武器庫泄漏的一個黑客工具制作了惡意勒索軟件，攻擊了全球近百個國家和地區運行微軟“視窗”操作系統的計算機。今年４月，黑客組織“影子中間人”在網上披露的一批美國國安局的黑客工具中就包括這個漏洞工具。雖然微軟在該黑客工具被曝光之前一個月就發布了安全補丁，但仍有大量用戶未安裝補丁，導致醫院、企業、機構以及個人的大量計算機在這次網絡攻擊中被感染。

　　史密斯在官方博客文章中談到這次網絡攻擊的教訓時說，這給世界各國政府敲響了警鐘。最新攻擊事件說明，當今世界面臨的最嚴峻的兩種網絡安全威脅形式——國家行為和有組織犯罪行為發生關聯。這種關聯“出乎預期，令人擔憂”。

　　他說，政府大量儲存安全漏洞的問題在２０１７年顯現出來。先是“維基揭秘”網站披露美國中央情報局儲藏的安全漏洞，現在又是竊取自美國國安局的漏洞工具影響到全球的“視窗”用戶。政府掌握的安全漏洞屢屢被公開泄漏，造成大規模損害。這就相當于常規武器里美國軍方的一些“戰斧”巡航導彈失竊。

　　他認為，各國政府應引以為戒，改變做法，在網絡空間中也同樣遵守物理空間中適用于武器監管的規則。政府應考慮儲藏并利用安全漏洞可能對平民造成的損害。政府應向信息產品供應商報告所發現的安全漏洞，而不是儲存、售賣和利用這些漏洞。

　　有媒體報道說，這次勒索軟件攻擊是美國國安局開發的網絡武器被“民用化”的全球首例。相關工具被盜取和泄漏后，被犯罪分子用來對醫院、企業、政府等方面的計算機發動攻擊。一些信息安全專家指出，如果國安局在發現“視窗”的安全漏洞時就向微軟披露，而不是據此開發黑客工具，那么這次大規模網絡攻擊可能就不會發生。

　　美國國土安全部１２日發表聲明稱，已獲悉上述勒索軟件影響全球多個實體。但是，聲明除介紹勒索軟件的定義、微軟已針對這個漏洞發布補丁、提醒用戶應安裝補丁外，沒有說明更多情況。

?

?

相關鏈接：

?