信息安全的核心在于“信息数据”的安全，而在数据处理中，应用才是关键。随着网络的快速发展，网络应用类别越来越多，应用复杂度也越来越高，人们逐渐发现，单纯解决数据的访问和传输的安全已经无法很好地保障信息安全，必须高度重视维护关键应用的安全，从数据的产生、计算和存储等多个角度来思考和解决。因此，对于“网络应用”安全的关注度也逐渐升温。目前，网络应用安全呈献出以下几大发展趋势。
趋势一、Web应用安全市场成为必争之地
如今，越来越多的企业用户已将核心业务系统转移到网络上，Web浏览器成为业务系统的窗口。在此背景下，如何保障企业的应用安全，尤其是Web应用安全成为新形势下信息安全保障的关键所在。Gartner的一份分析报告指出，在调查的企业数据中心中，92%的Web应用有安全缺陷;80%存在跨站攻击; 高达62%存在SQL注入风险;而参数篡改和Cookies毒化也分别达到60%和37%。同时，专门针对应用层进行攻击的手段越来越多，越来越难以防范。
从技术的角度看，Web应用的安全主要涉及两个方面：服务器端和客户端。服务器端的安全隐患主要有脚本安全、SQL注入、盗链、DoS/DDoS攻击。而客户端的安全隐患主要是Cookie、证书、可执行代码的限制、安全选项设置不当等。
目前已经有相当多的安全厂商提出了自己的Web应用安全解决方案。
趋势二、加强应用本身的安全是网络应用安全的关键
网络应用之所以不安全，其中很关键的一点是应用程序本身不安全，给网络攻击留下了可乘之机。有几家安全厂商已经将注意力到应用程序开发过程中，提出了所谓的代码级解决方案，确保应用服务本身的安全漏洞尽量少，尽可能地xx程序的安全漏洞带来的可乘之机。
趋势三、身份管理成为应用访问控制主流技术
基于身份的应用管理包括身份识别、权限控制、行为审计等多方面。网络边界正在逐渐变得模糊，移动终端越来越普及，我们面临的网络世界不再是清晰的内部与外部，身份成为网络世界的辨识要素，因此对于身份的管理就显得尤为重要。
传统的身份管理技术主要采用所谓的AAA技术，然而随着应用安全需求的发展，不再是身份的识别和权限控制那么简单，更多的是希望通过“身份”的管理来实现应用访问控制。比如当前比较流行的P2P应用占据了大量的网络带宽，在某些场合，事实上已经严重影响了正常的业务操作，成为企业和网络运营商头疼的问题，但又不能简单地禁止这些应用。于是如何识别这些P2P应用，如何给不同的身份配置不同的P2P应用权限，如何监控这些应用下载的数据的合法性和安全性，都成为了应用访问控制的关键。
趋势四、采用多核硬件架构来解决应用安全处理性能不足的问题
要确保纷繁复杂的网络应用的安全，就不得不深入分析报文。不仅仅需要分析报文的传输层，还需要分析报文的应用协议层、应用数据内容，甚至还需要分析报文之间的关联性，这就给应用安全技术带来更大挑战。既要分析准确，又要确保报文的实时性，在一定程度上，这两者是矛盾的，单纯希望从软件角度解决此矛盾已经不再现实，必须寻求更高更强的硬件架构才能解决根本问题。
部分实力雄厚的应用安全厂商已经采用多核硬件架构来解决性能瓶颈，将应用安全的处理能力提升到以前的5～10倍，基本满足了当前对网络应用安全的性能要求。
未来更多的业务将以Web应用方式呈现，信息安全也必将从以边界防护为主向应用和数据安全防护为主过渡，同时加强在应用研发、部署以及维护等方面的安全管理并辅以必要的技术设备，才能跟上信息化发展的步伐，实现协调发展。

京报网讯（记者王蔷）黑客利用木马程序侵入金山公司计算机系统，修改该公司的《剑侠世界》游戏数据，从中获利300万元。今天上午，黑客杨世雄等5人因涉嫌破坏计算机信息系统罪在海淀法院受审。
“我不是为了钱，就是一种成就感。”来自广东的黑客杨世雄曾这样对办案人员说。上午10时30分，杨世雄、杨海伦等5人出庭，他们的学历不高，但都擅长网络游戏。检察官告诉记者，他们虚增大量的网络游戏货币，有可能造成网络虚拟世界的“通货膨胀”，降低游戏玩家对网游的“黏性”。
杨世雄此前有过侵入他人电脑盗窃信息的前科，曾于2001年底被广东法院判处罚金3000元，但他并未就此悔改。根据检方的指控，杨世雄在2009 年3月至5月间，伙同来自上海的杨海伦、张添等人通过木马等程序，进入北京金山数字娱乐科技有限公司计算机系统内，修改该公司运营的《剑侠世界》游戏数据，增加网络游戏银两994.83亿，根据游戏点卡数批发价折算成人民币为596.9万元。杨世雄负责修改游戏账户内的银两数量，杨海伦及张添等人负责提供游戏账户及销售游戏银两。
这些非法游戏币通过网络出售给数千个游戏玩家，杨世雄等人共获利310.31万元。杨世雄等人并非不知道法律规定，他们在作案后还专门咨询过某网络公司的法律顾问，被明确告知这种行为涉嫌破坏计算机信息系统罪。案发后，杨世雄等人退赔了100多万元现金和一辆轿车等。
据了解，出售的游戏币因涉及人数众多很难收回，金山公司尚未就此发表看法。截至发稿时，此案仍在审理中。
相关新闻
四网民转卖联众账户密码获刑
利用黑客程序侵入北京联众电脑技术有限责任公司计算机系统，xx大量游戏用户账户名和密码后转卖。今天上午，转卖被盗账户的被告人李良、李昌信、谢茂林分别被海淀法院以盗窃罪判处有期徒刑11年，剥夺政治权利2年，罚金人民币1.1万元；黄周增被法院以盗窃罪判处有期徒刑10年，剥夺政治权利1年，罚金人民币1万元。
今年25岁的被告人李良是四川省一所大学的在校学生。被告人李昌信、谢茂林、黄周增等3人均是无业网民。2008年11月，陈震（现在逃）利用黑客程序侵入海淀区北京联众电脑技术有限责任公司的计算机系统，xx大量联众游戏用户的账户名和密码（账户内有“联众币”160万个），后陈震伙同被告人李良将上述账户名和密码销售给被告人李昌信。
李昌信又将上述物品销售给黄周增、谢茂林。黄周增、谢茂林在淘宝网上将上述物品销售给周某等人。周某等人随即冒名登录联众游戏账户，使用该账户内的“联众币”消费后，将消费物以赠与的形式转移至自己的联众账户。经鉴定，160万个“联众币”价值人民币16万元。

在微软Windows的带领下，操作系统供应商和一些软件供应商正在努力让其产品xxx，并为应用程序开发人员提供工具和{zj0}做法以提高安全性。
如果每个人都使用{zx1}版本的软件并遵循软件开发的准则，那么操作系统将非常安全，然而，事情永远没有那么简单。
互联网带来源源不断的软件安全问题，浏览器和其他面向互联网软件的保护已经成为安全开发人员最重要的工作，保护这些程序的技术也将应用到其他应用程序以及操作系统本身。
{zx1}安全研究发现DEP(数据执行防御)、ASLR(地址空间布局随机化)和其他系统保护技术存在问题，但是开发人员知道，它们并不是不可逾越的障碍，它们是能够阻止攻击的障碍，攻击者越来越难以攻破这些障碍。部署的障碍越多，攻击者就越难发动攻击，这也就是纵深防御。
操作系统改进
操作系统开发人员还将进行其他系统性的改进。沙盒技术在管理环境(如Java)的运用已有很长时间，很多人认为Java以及这样的管理环境将是操作系统的未来发展方向，然而Java和.NET的安全性并没有特别突出，尽管他们的设计宗旨是以安全为主导。
管理虚拟环境主要通过管理应用程序内存和保护内存损坏错误来提高安全性，而对应的代价就是对系统性能的影响。问题在于，环境本身也存在漏洞，有些漏洞甚至多年来一直存在。另外，除了内存错误外，还有很多其他类型的错误，因此在管理环境中编写的应用程序并不是{jd1}安全的。
尽管如此，内存损坏错误是很重要的，发展托管代码的趋势也是提高安全性的必经之路。企业开发从Java转移到ASP.NET环境是有原因的，编写传统代码且避免安全漏洞非常困难，需要专门的技术知识，而编写托管代码至少可以避免简单的错误。
Chromium 环境形成了Chrome浏览器和操作系统的基础，谷歌还采取了沙盒来进一步保护在浏览器运行的本机代码，虽然这样并不能避免 Chrome浏览器中的漏洞以及攻击，但是这样能够通过阻止攻击越过浏览器环境的有限功能而有效限制这些攻击的影响。事实上，整个Chromium沙盒是在用户模式运行的，攻击者的攻击范围不会超出用户运行浏览器的功能。
这就如同微软IE7和IE8的保护模式，保护模式运行浏览器只有有限的用户功能，而不会写入临时文件夹外的任何地方。
然而，Windows下的Chromium和保护模式都依赖于windows特定功能，例如完整性水平、工作对象和限制令牌，而这些功能在其他平台上不一定可用。
沙盒的发展可能是{zd0}功能性与平台灵活性之间的{zx1}篇章，但这xx取决于你如何编写程序，如果你编写的程序在Chromiun沙盒中运行且遵守其规则，你应该确保一些灵活性以及Chromiun提供的其他沙盒功能，不管是在windows、Mac还是Linux系统中。
其他平台
其他平台上有哪些改进功能呢?Linux有一个沙盒功能称为SECCOMP，原本是为计算密集计算环境所设计的。SECCOMP具有很强的限制性：在里面运行的线程只能访问非常小的系统调用： read()、write()、exit()和 sigreturn()，任何其他调用都将终止该线程。这样真的非常安全，但在实际操作中并不实用。
谷歌试图将其Chromium沙盒架构植入Linux中，但这并不像植入windows那么简单，对于Mac系统也是同样的道理。这种移植将需要更细致和错综复杂的编程。
这是最普遍的安全架构， Chrome OS可能不仅仅是一个浏览器，但谷歌并没有给我们更多指导，不过在Chromium运行的任何程序都将在Chrome操作系统运行，或者也许该浏览器只是 Chrome操作系统的用户界面。
IE保护模式和Office 2010的保护视图将贯穿未来操作系统的发展：{zd1}权限，没有用户或者进程可以运行更多的权限。这并不是新的概念，在Unix及其衍生工具中早就部署了这个概念，但是并没有广泛使用。
在 windows中，在广泛运用{zd1}权限方面主要存在两个主要问题：设计不良的应用程序要求管理员权限以及对windows XP标准用户不恰当的支持。Windows Vista和Windows7为标准用户提供更好的支持，但是很多企业仍然在使用XP系统或者设计不良的应用程序。如果系统管理员继续授予用户更多权限或者允许不良程序运行，将严重破坏系统安全性。
未来的操作系统将得到更好的测试，近日，研究人员Charlie Miler通过在Mac系统中运行fuzzer三周时间，他共发现Mac系统的20个重大漏洞，为什么苹果公司没有运行哪些fuzzer呢?事实上，苹果公司和大多数操作系统供应商一样，都在努力提高自身的安全性，但是永远慢了一步。
{zd1}权限、沙盒和其他技术都将加强应用程序的安全，而攻击者将会转移到攻击操作系统代码本身，保护这些代码是非常困难的，也是很多公司正在努力研究的问题。
摆脱过去
{zh1}，也是最重要的，操作系统的未来将不允许出现旧的应用程序和系统软件(例如设备驱动程序)，也必须如此。这些应用程序，尤其是哪些需要高权限的应用程序，将不会利用较新设备来提高系统的整体安全性。关键应用程序(例如Acrobat)是恶意代码进入系统的主要关口，通过加强Acrobat的安全性，操作系统将能够保护整个系统的安全。
另一个相关的变化是应用程序更新，大家都知道，过时的有漏洞的应用程序都是系统攻击的主要途径。如果应用程序可以进行集中管理更新，像 windows更新一样，将更方便用户保持应用程序的更新。
微软公司并不希望为更新其他公司的软件承担责任与支持负担，但必将出现一种有效的方式，因为这样做的好处是有目共睹的。
近年来，企业都选择部署全面补丁管理系统来全面管理系统漏洞，上文所提到的统一更新系统主要将服务于消费者和小型企业。
毫无疑问，操作系统供应商都从过去学到不少教训，关于操作系统的所有因素都需要从安全的角度来审视，这也是操作系统未来发展趋势。可能大家现在都认为，只要有钱而并且有意愿，就能够xx保护自身系统安全。但希望有{yt}，所有用户都能够xx保护自身安全。