大年夜大都Web浏览器用户都期看浏览器扩大法度、插件和浏览器帮忙者对象(BHO)能供给一些便当。

　　不幸的是，这些附加产品经由过程将组件添加到浏览器的默许功能来进步出产力的同时，同样成为歹意报复打击者的首要报复打击方针。因为企业在修补和更新插件和扩大法度方面的能力遍及较差，所以浏览器就成了终端最脆弱的报复打击方针。对终端环境来讲，大年夜大都企业的补丁周期是两到三个月，这个周期很长乃至于企业不克不及及时地跟上操纵浏览器扩大法度和插件缝隙的报复打击组件。

　　在本文中，我们将切磋Web浏览器扩大法度在普及水安然安静功能完美两方面的成长，和它对固有环境的威胁和若何减缓这类状况。

　　当然良多热点的附加组件是由驰名供给商所开辟，可是任何人都可以写一段代码让这些组件成为传递歹意的暗藏东西。过往，歹意浏览器扩大法度经由过程在网站插进子虚告白或挟持搜刮查询，来进行点击讹诈。例如，安然研究员Zoltan Balazs开辟了一个可以点窜网页，下载并履行文件，挟持账户和绕过双身分身份认证的浏览器扩大法度。传染了这个扩大法度的浏览器会被节制，就像一个僵尸客户端：这个扩大法度领受指令并且将信息发送给报复打击者。因为根据浏览器倡议的HTTP通信数据看起来是正常的，那么对本地或收集防火墙来讲，很难发现并禁止这个歹意软件。

　　浏览器旨在为用户供给一些扩大法度权限节制，可是凡是会因为粗粒度拜候节制而被报复打击，别的，用户老是对各类附加产品授予权限，危险意识不足。永久不要只是因为一个附加产品托管在官方扩大法度库中，就想当然觉得它是安然的。虽然大年夜大都附加产品在推出之前都要颠末审查，可是背反浏览器开辟者法度政策的歹意扩大法度其实良多见。好比，提交给苹果扩大法度库的苹果Safari扩大法度其实托管在一个外部位置，而Mozilla Firefox承诺来自第三方网站扩大法度的安装。

　　当审查要安装在企业的扩大法度时，始终服膺扩大法度可以拜候的资本类型和数据发送的方针位置。虽然谷歌为Chrome浏览器扩大法度设定了风险等第，并且谷歌比来方才发布将收紧限制，使基于Windows的扩大法度只能经由过程Chrome Web商铺来添加，可是治理员仍是应当完成他们本身的评估。对待肆意扩大法度都应当高度谨严，做到以下要求：

　　· 与本地文件交互

　　· 与Windows注册表交互

　　· 与cookies交互

　　· 拜候肆意浏览器选项卡或窗口

　　· 履行用户的shell指令

　　沙盒插件应当老是优于非沙盒插件，因为后者是在用户的特权级别下运行，可能拜候到如系统文件或收集资本。在企业中，肆意需要高特权拜候的扩大法度或插件假定想要被承诺，其只能是一个大年夜的营业案件并且风险评估觉得其是尽对需要的。

　　浏览器应当始终开启主动更新选项，可是要知道其实不是所有插件城市主动更新。例如，Chrome会主动更新Adobe Flash插件，可是大年夜部门其它扩大法度需要经由过程运行相干产品的安装法度进行更新。建议避免运行已颠末时的插件，如许有助于确保企业的修复策略，包含浏览器扩大法度和插件。企业可能考虑实施审计东西，如Secunia CSI 7.0或Qualys BrowserCheck，这些可以扫描常见的浏览器插件，并肯定它们是不是需要更新。

　　同时，良多浏览器厂商都试图进步附加产品的安然性。Chrome浏览器不再承诺静默扩大法度安装，这和IE浏览器的Protected Mode、Firefox的扩大法度节制近似，这些都不承诺静默扩大法度安装。在勾当目次(Active Directory)环境中，组策略(Group Policy)供给一套周全的设置来治理Windows IE8，包含启用或禁用ActiveX空间和限制扩大法度安装或运行的能力。FirefoxADM也能够产生安然组策略对象(GPO)来治理安装设置。虽然Chrome浏览器有安装模版，仍是要手动成立GPO来摆设一个Windows域。

　　为了成功的降落扩大法度风险，保举将所有的插件列进黑名单，然后选择性地添加一些需要的插件进进白名单。需要降落风险状况的企业应当也要考虑断根最遍及遭到报复打击的插件，将其从所有计较机上完全卸载，除非营业利用法度对其有火急需求。Java作为最遍及的插件方针对象，应当被考虑到。第二最多见被操纵的方针利用法度是Adobe Reader.企业可能考虑到利用替代品，如利用集成在Firefox浏览器的Mozilla PDF 浏览器来替代Adobe版本。

　　浏览器扩大法度的风险是很是实际的。企业和终端用户都需要很是当真地对待这些威胁。安装意识培训应当夸大年夜扩大法度可以暗藏地拜候浏览器中的一切，所稀有据、暗码和浏览的网站。还应当寄望的是，用户永久不该该安装未知扩大法度，承诺肆意掉控插件的安装可能会进步收集的整体报复打击面，并让用户和收集对传染和数据丢掉无防御.