Większość tych zagrożeń posługiwała się więcej niż jednym wektorem ataku lub metodą propagacji. Atak mógł wykorzystać program do wymiany plików w sieci P2P, udziały dyskowe lub sieciowe, zdalne kopiowanie plików lub inne działania.

Wektory ataków malware zmieniały się z biegiem czasu. W latach 80. wirusy bootsektorów były ostatnim krzykiem mody. Wirusy plików i form wykonywalnych były najczęstszymi formami ataków do wczesnych lat 90., kiedy to pojawiły się makrowirusy (rok 1995). Robaki przenoszone jako załączniki poczty elektronicznej zaczęły dominować w ostatniej dekadzie. Wiele z dzisiejszych programów szkodliwych wykorzystuje luki w przeglądarkach internetowych. Niczego niepodejrzewający użytkownik strony klienckiej surfuje po zainfekowanych stronach webowych, a jego komputer jest wykorzystywany zdalnie nawet bez konieczności fizycznego potwierdzania czegokolwiek przez użytkownika.

Anti-Phishing Working Group odnotowuje, że liczba ośrodków webowych zaprojektowanych w celu przejmowania haseł podwoiła się w ciągu jednego miesiąca - od czerwca do lipca 2005 r. Większość takich ośrodków zawiera blogi, dzienniki online i osobiste strony webowe. W ramach projektu Stride HonkeyMonkey Microsoftu wykryto exploit dnia zerowego inicjowany złośliwym URL. Robak Santy infekował ośrodek webowy, uruchamiając nieszczelny kod PHP i następnie używał Google do wynajdywania następnej ofiary. W kolejnej dekadzie to właśnie WWW ma być największym źródłem ataków malware.

Coraz większym problemem jest zmniejszanie się czasu reakcji pomiędzy ogłoszeniem luki, a pojawieniem się złośliwego kodu, który ją wykorzystuje. Gdy w roku 2003 Slammer zaczął atakować serwery SQL na całym świecie, łatka na wykorzystywaną przez niego lukę dostępna była od ponad sześciu miesięcy. W roku 2001 administrator IIS miał ponad miesiąc czasu na zabezpieczenie się przed robakiem Code Red.

Zotob, który w roku 2005 wykorzystywał lukę usługi Plug and Play Microsoftu, jest widocznym znakiem tego co nadchodzi. W czasie dwóch dni, które upłynęły od opublikowania przez Microsoft informacji o luce i udostępnieniu związanej z nią łatki, pojawiły się nowe warianty Zotoba. W ciągu trzech dni zaatakowane zostały dziesiątki tysięcy komputerów. W rzeczywistości dwie z trzech krytycznych luk Microsoftu, opublikowanych w sierpniu 2005 r., doczekały się swoich robaków w ciągu kilku dni. W ciągu tygodnia Microsoft ogłosił pierwszy publicznie zaanonsowany atak dnia zerowego. Czas pomiędzy odkryciem i opublikowaniem nieszczelności i koniecznością jej załatania kurczy się coraz bardziej.

Producenci nie składają broni

Klienci korporacyjni coraz bardziej naciskają na dostawców, aby poszukiwali lepszych metod blokowania nietradycyjnych zagrożeń i dochodzili do tych metod poprzez nowe rozwiązania. Zapory ogniowe i rozwiązania antywirusowe nie wystarczą. Analitycy wykazują, że w tym roku największym wzrostem sprzedaży cieszyć się będą oprogramowanie atyspyware i rozwiązania w postaci urządzeń. Więcej administratorów włączać będzie funkcje blokowania wtargnięć w systemach IDS (Intrusion Detection System) i IPS (Intrusion Prevention System), a więc ich dostawcy muszą osiągnąć większą precyzję w odfiltrowywaniu szumów od prawdziwych zagrożeń.

Interesujące jest to, że poziom zaufania do środków ochronnych sieci ciągle rośnie. To zaufanie może częściowo wynikać z nowych rozwiązań proponowanych przez wielu dostawców. Determina, Sana Security czy Vernier Networks dostarczających produkty, które odznaczają się odwrotem od tradycyjnych linii defensywnych, poszerzając możliwości rozwiązań opartych na sygnaturach o oprogramowanie wykrywające nieszczelności oraz przeprowadzające analizę behawioralną. Niektórzy dostawcy - np. GreenBorder i SecureOL - oferują produkty, które zabezpieczają przed zachowywaniem nieautoryzowanych zmian na stacjach roboczych użytkownika. Microsoft proponuje w tym wypadku narzędzie Shared Computer Toolkit, które pozwala administratorom na definiowanie, co może być zachowane, a co nie, pomiędzy kolejnymi restartami komputera. Pozwala to na usuwanie nieautoryzowanych zmian wykonanych przez nieupoważnionych użytkowników czy złośliwe programy.

Więksi dostawcy rozwiązań antywirusowych kładą nacisk na obronę wychodzącą poza normalne działania "skanuj i wykrywaj". Network Access Initiative firmy Cisco sięga do swoich zapór ogniowych i routerów w celu zapewnienia większej ochrony, przemieszczając kontrolę reguł polityki z perymetru sieci na komputery klienckie i punkty końcowe sieci.

Dostawcy sprzętu oferują rozwiązania ochrony rozwiniętej na najniższym poziomie. Najnowsze serwery HP ProLiant oferują technologię Virus Throttling - sterownik programowy po wykryciu nadzwyczajnie dużej liczby żądań połączeń ze strony klienta ogranicza pasmo dla tego klienta.