每年，IT安全专业人员都面临着数千个新的软件漏洞和数百万个不同的恶意软件程序
了解这些根本原因，你就可以阻止黑客攻击和恶意软件。以下是十二种根本漏洞：
1. Zero-days
"零日漏洞"又叫零时差攻击，也有翻译为"初始攻击"，"瞬时攻击"，即安全补丁与瑕疵曝光的同一日内，相关的恶意程序就出现，并对漏洞进行攻击.
它是利用以前未知的软件缺陷，缩短攻击时间，在安全产品发生作用之前攻击就已达到顶峰，这种攻击很少发生，但危险性也尤为严重
2. 未修补的软件
研究表明，未修补的漏洞是大多数数据泄露的根源。未修补的软件或未更新的软件可能是主要的IT安全风险。如果您不更新软件，则会让您容易受到攻击者攻击。
3. 恶意软件
恶意软件是指在计算机系统上执行恶意任务的病毒、蠕虫和特洛伊木马的程序，通过破坏软件进程来实施控制。腾讯移动安全实验室发布的数据显示，恶意软件由多种威胁组成，会不断弹出，所以需要采取多种方法和技术来进行反病毒保护。
网络用户在浏览一些恶意网站，或者从不安全的站点下载游戏或其它程序时，往往会连合恶意程序一并带入自己的电脑，而用户本人对此丝毫不知情。直到有恶意广告不断弹出或色情网站自动出现时，用户才有可能发觉电脑已"中毒"。在恶意软件未被发现的这段时间，用户网上的所有敏感资料都有可能被盗走，比如银行帐户信息，信用卡密码等。
4. 社会工程学
社会工程学，准确来说，不是一门科学，而是一门艺术。社会工程学利用人的弱点，以顺从你的意愿、满足你的欲望的方式，让你上当的一些方法、一门艺术与学问。说它不是科学，因为它不是总能重复和成功，而且在信息充分多的情况下，会自动失效。社会工程学的窍门也蕴涵了各式各样的灵活的构思与变化因素。社会工程学是一种利用人的弱点如人的本能反应、好奇心、信任、贪便宜等弱点进行诸如欺骗、伤害等危害手段，获取自身利益的手法。
现实中运用社会工程学的犯罪很多。短信诈骗如诈骗银行信用卡号码，电话诈骗如以知名人士的名义去推销诈骗等，都运用到社会工程学的方法。
近年来，更多的黑客转向利用人的弱点即社会工程学方法来实施网络攻击。利用社会工程学手段，突破信息安全防御措施的事件，已经呈现出上升甚至泛滥的趋势。
5. 密码攻击
密码攻击是在不知道密匙的情况下，恢复出明文
常用的密码分析攻击有惟密文攻击(Ciphertext Only Attack)、选择明文攻击(Chosen Plaintext Attack)、选择密文攻击(Chosen Ciphertext Attack) 和相关键值攻击(Related Key Attack) 四大类。
其中，选择明文攻击包括了批量选择明文攻击 (Batch Chosen Plaintext Attack) 和自适应选择明文攻击(Adaptive Chosen Plaintext Attack) 两类。而选择密文攻击则包括了自适应选择密文攻击(Adaptive Chosen Ciphertext Attack)。
6. MITM
中间人攻击(Man-in-the-MiddleAttack，简称"MITM攻击")是一种"间接"的入侵攻击，这种攻击模式是通过各种技术手段将受入侵者控制的一台计算机虚拟放置在网络连接中的两台通信计算机之间，这台计算机就称为"中间人"。中间人攻击很早就成为了黑客常用的一种古老的攻击手段，并且一直到如今还具有极大的扩展空间。
7. 数据泄露
数据泄露是一种安全事件，其中敏感，受保护或机密数据被未经授权的个人复制，传输，查看，窃取或使用。数据泄露可能涉及财务信息，如信用卡或银行详细信息，个人健康信息(PHI)，个人身份信息(PII)，公司的商业秘密或知识产权。大多数数据泄露涉及过度曝光和易受攻击的非结构化数据 – 文件，文档和敏感信息。
8. 配置错误
如果组件由于不安全的配置选项而容易受到攻击，则可能会发生安全性错误配置漏洞。这些漏洞通常是由于不安全的默认配置，缺乏文档的默认配置或可选配置的文档记录不良而导致的。这可能包括未能在Web服务器上设置有用的安全标头，以及忘记禁用可授予攻击者管理访问权限的默认平台功能。
9. 拒绝服务
拒绝服务攻击即是攻击者想办法让目标机器停止提供服务，是黑客常用的攻击手段之一。其实对网络带宽进行的消耗性攻击只是拒绝服务攻击的一小部分，只要能够对目标造成麻烦，使某些服务被暂停甚至主机死机，都属于拒绝服务攻击。
10. 用户错误
11. 物理访问
物理访问指的是人们物理访问计算机系统的能力。入侵者可能能够从CD或其他外部媒体启动，然后读取硬盘驱动器上的未加密数据。他们也可能利用引导加载程序中缺少访问控制
12. 内幕人士/合伙人/顾问/供应商/第三方
这是一种内部威胁，是指前员工或现员工，有权限访问组织的网络系统，数据等信息的承包商或业务合作伙伴有意或无意的利用这种机会来窃取机密，破坏组织网络系统的完整性或可用性。内部威胁可能包括欺诈，盗窃知识产权(IP)或商业秘密，进行未经授权的交易，间谍活动以及破坏IT基础设施。
閱讀更多 網絡安全焦點 的文章
