Secunia Personal Software Inspector (PSI) 揪出電腦安全漏洞

在前一陣子Google等國際公司遭遇網路攻擊的事件中，事後各種研究都證明了攻擊起因於IE瀏覽器的安全漏洞，而這樣的漏洞在IE6、IE7、IE8中都存在（參見：德國政府有Guts！警告民眾暫時別用微軟IE）。

我早期發表於電腦玩物的兩篇文章：「2007年初免費打造電腦安全系統－當然，除了WINXP以外」、「Web Browser Security網路瀏覽器使用上的安全自保筆記」，都提到了保持電腦安全最重要的第一步不是安裝什麼防毒軟體，而是先「補好自己的電腦安全漏洞」。我們可以用形象化的方式來說：即使你築了再堅固的安全壁壘，如果你的作業系統本身有安全漏洞、瀏覽器自己幫你打開漏洞，就好像大門防禦得再堅固，卻漏掉窗戶沒有上鎖，那麼惡意軟體還是有機可趁。

而要修補作業系統、電腦軟體的安全漏洞，唯一的方法就是隨時去下載廠商提供的安全更新，例如Windows作業系統與重點軟體的自動更新功能其實是非常重要的。然後在現代網路世界中使用可以「盡可能隨時保持安全更新狀態」的瀏覽器更是必備觀念。

（本文原稿寫於2008/01/03，修改於2010/01/29）

我們都知道Windows作業系統定期都會推出「安全更新」，這些更新的重點可能不在於功能的升級，而是在於去除舊版軟體中會被駭客利用的漏洞；對於電腦用戶來說，定期執行安全更新是比安裝任何超強防毒、防火牆軟體更為重要的第一線安全防護工作。其實，不只是 Windows作業系統需要做安全的更新，我們也可以聽到像Adobe Reader、Java、Flash Player等等應用軟體傳出安全漏洞的消息，這些漏洞若不填補，便可能成為惡意程式入侵你電腦的管道。而「Secunia Personal Software Inspector」（簡稱Secunia PSI）這個小工具，就是幫你檢查電腦中已經安裝的軟體是否都已經進行了最新的安全升級，如果沒有的話，Secunia PSI還可以幫你找出更新檔的連結，方便你立即執行升級。

源於之前IE瀏覽器安全漏洞事件，讓我想到了2008年曾經介紹過的「Secunia Personal Software Inspector」，簡稱「PSI」，這款免費軟體提供了三個很棒的功能：

• 掃描分析電腦中包含作業系統與軟體的「安全更新」狀態。
• 提供了讓你快速下載安全更新檔的功能。
• 通報你關於某個軟體已經被發現但尚未修補的安全漏洞。

Secunia本身是一個專門檢查各種軟體安全漏洞的機構，用Google找一下Secunia的資料，可以看到這個機構發現IE、Firefox漏洞的各種新聞；到其網站首頁，也可以看到各種風險等級的安全快報。「Secunia PSI」正是在這樣的基礎上誕生的一款安全檢查工具，它無法像防毒軟體那樣幫你查毒殺毒，但是它卻可以幫你防範於未然，監控軟體的安全漏洞修補狀態。

• Secunia Personal Software Inspector（PSI）：http://secunia.com/vulnerability_scanning/
• PSI軟體下載頁面：http://secunia.com/vulnerability_scanning/personal/

 

• 下載免費軟體 or 線上直接掃描：

來到「PSI」網頁，你可以選擇「Online」進行線上掃描，網站會偵測你電腦中的70個主要軟體，並檢查它們是否都已經更新安全修補程式，或者是這些軟體是否漏洞。

當然，下載「Personal Desktop」的免費軟體，可以更方便和更深入的檢查你的電腦安全更新狀態，下面我會用軟體端的操作來說明與介紹。

 

• 安裝PSI：

下載軟體後直接進行安裝，目前軟體有內建簡體中文語系，可以在繁體windows系統裡正常顯示，如果讀不太懂簡體中文的話，也可以切換到英文介面。基本上不會有什麼語言障礙，因為PSI的操作非常直覺簡單。

首次啟動時，PSI會自動開始幫你進行全系統掃描，即使在比較舊型的電腦也大概只要花個7～8分鐘就可以檢查完畢，速度很快。免費版的PSI沒有即時監控功能，也沒有自動排程掃描功能，你要自己過一段時間後手動開啟PSI檢查，不過因為軟體運行很快，所以為了電腦安全就勤勞一點吧！

 

• 直接下載安全更新檔：

偵測分析完畢後，PSI會列出目前在你電腦中尚未進行安全更新的軟體，並且在後面的「解決方案（Solution）」中提供你一個「直接下載點（連結到個別軟體的官方網站下載）」，讓你快速把電腦更新到最安全的狀態。

這邊要注意的是這個工具不是用來偵測所有程式的更新，而是針對「安全性更新」而設計的：Secunia PSI是一個安全檢查工具，設計的重點在於結合Secunia本身的漏洞通報資料庫，幫你偵測那些有「安全疑慮」的應用程式、瀏覽器和作業系統，並提醒你是否需要進行安全升級。

 

• 高級（專業）模式功能：

PSI為了體貼一般用戶的使用，所以軟體啟動後預設為「簡易（Simple）模式」，在這個模式中只會幫你偵測「最關鍵的」、「最容易更新」的軟體與系統漏洞。

而我們可以在主介面右上方切換到「高級（Advanced）模式」，在這個模式中可以偵測到更多種類的軟體安全、系統漏洞，也會有更全面的安全評估報告。

 

• 瀏覽器的安全性偵測：

在高級模式中，我覺得很值得一看的功能是「安全瀏覽（Secure Browsing）」，切換到這個頁面後，會偵測你系統所有已安裝的瀏覽器，檢查這些瀏覽器的更新狀態、瀏覽器外掛插件的安全狀態，甚至會跟你報告哪個瀏覽器還有「尚未修補」但「已經被發現」的安全漏洞。

其中我們就可以看到目前在IE 7有一個風險等級三的安全漏洞，PSI的報告中表示這個漏洞是「不安全，無解決方案」的。這時候你可以怎麼做呢？或許就是暫時不要使用IE瀏覽器，等待微軟推出可以解決漏洞的安全更新囉！

另外，我們也可以從這份瀏覽器安全檢查報告中，提醒自己一些重要的瀏覽器插件是不是還沒有進行安全更新，例如Adobe Flash Player、Adobe Reader等等，也都是常常出現安全漏洞而被利用來攻擊的目標，所以記得常常去更新這些插件。

比較有趣的是下面檢查後的結果，PSI的報告裡指出目前的Google Chrome 4.X版還有幾個風險等級二的安全漏洞是「尚無解決方案」的，你可以透過檢查報告最後的「安全建議代號（SAID）」，來查看這些安全漏洞的詳細說明。

而Firefox 3.6版、Opera 10.10版目前在PSI的報告中，都是所有安全漏洞皆已修補（皆有相應更新檔）的狀態。Opera一向致力於瀏覽器本質的更新，而Firefox背後有龐大開放的社群隨時針對安全報告進行漏洞修補，所以這兩款瀏覽器的安全漏洞更新一向是被公認快速有效率的。

 

• 小結：

你的作業系統是不是還有沒有下載更新的安全修補程式？你的瀏覽器中是不是還存在著無法修補的安全漏洞？

當我們「誤以為」安裝了防毒軟體、防火牆就可以「自動」保護電腦安全時，其實有可能忽略了上述這些「最基本」的「軟體更新」、「瀏覽器更新」、「系統更新」動作，PSI這款免費軟體的功能，就是提醒我們不小心遺漏了哪些更新，然後趕快把這些安全漏洞修補起來。

除此之外，因為Secunia本身就是在進行安全檢查的機構，所以在PSI軟體中提供了非常詳細且深入的電腦安全報告，你可以清楚看到每種安全漏洞的風險等級、細節說明，也會揪出那些已知而尚未有更新的安全漏洞，你可以據此判斷使用上的安全風險。