趨勢科技研究顯示攻擊面擴大將帶來資安可視性挑戰
【2022 年 10月 4日台北訊】全球網路資安領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 發布最新研究指出，全球企業正因日益擴大的供應鏈而面臨勒索病毒入侵的風險。趨勢科技呼籲位處供應鏈樞紐的台灣更須謹慎提防因供應鏈所帶來的潛在資安風險，同時加強企業受攻擊面的可視性與控管。
如何解決iPhone上的 Wi-Fi 隱私權警告?
如果你最近將iPhone或iPad連上Wi-Fi網路時看到“隱私權警告”訊息並感到困惑，那麼你並不孤單！很多人有同樣的疑惑，並且會去Google搜尋“隱私權警告 wifi”或“wifi出現隱私權警告代表什麼”之類的問題，試圖找出原因。但不用怕，本文將會解答你所有的疑慮，並教你該如何去消除這警告訊息！
Apple的隱私權警告訊息代表什麼？
當你在Apple裝置上看到Wi-Fi隱私權警告訊息時會擔心很正常，擔心自己的Wi-Fi網路是否安全或iPhone/iPad是否存在嚴重的安全問題。但其實這訊息只是因為最新的iOS更新。
Apple在iOS14增加了隱私權警告訊息，讓使用者知道網路是否能看到他們的MAC位址。這裡不提技術細節，你需要知道的就是MAC位址可以用來識別網路上的裝置。
幸運的是，如果你有隱私權意識（這是一件好事！），或者你只是因為看到隱私權警告訊息而感到困擾，下一節會介紹該如何關閉並且改善你的隱私權設定。
繼續閱讀《資安新聞周報》狂收釣魚網址？台積都曾中毒停機 你該做的「零信任」4件事 /YT一堆釣魚誘騙廣告！專家：恐藏木馬 帳密卡號全盜光/資安漏洞與勒索軟體成為國家級網攻關鍵軍火
本周資安新聞週報重點摘要，本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。
資安趨勢部落格一周精選
- 「請登入gmail重設密碼」「填問卷抽iPhone14」「你的 IG 帳號被投訴」「你的連線不是私人連線」這些是詐騙嗎？
- Go 語言撰寫的最新勒索病毒 Agenda 採用客製化攻擊
- 《上週資安新聞周報》Chrome與Edge中的拼字檢查功能可能外洩用戶密碼 /陳怡樺：為何我要花500萬辦社內機器人大賽？/電動車和元宇宙是駭客未來目標
資安新聞精選
數位發展部擬發行NFT！唐鳳：正面運用 讓民眾多管道了解防堵詐騙 網路溫度計
微軟首席科學長Eric Horvitz警告將出現新的Deepfake威脅 iThome
微軟緊急修補SCCM遭公開的漏洞 iThome
防詐騙、資安威脅，趨勢科技「元宇宙資安部門」瞄準哪兩大領域搶先布局？ 數位時代
狂收釣魚網址？台積都曾中毒停機 你該做的「零信任」4件事 聯合新聞網
App Store、Google Play藏85款惡意App 下載量飆破1300萬人次…資安人員揭「手機2跡象」恐中招 CTWant
小心假7-11禮券！ 新北永和整排住戶被投遞 tvbs新聞網
獨家／詐騙新招！收Netflix「訂閱過期」 用戶險上當 三立新聞網
「中國版IG」小紅書席捲年輕世代 網提醒：注意個資問題 聯合新聞網
Zoom用戶小心釣魚連結以免遭植入竊密程式 iThome
盜用公眾人物LINE詐財 內政部呼籲：勿輕信、多查證 新頭殼
獨家／YT一堆釣魚誘騙廣告！專家：恐藏木馬 帳密卡號全盜光 三立新聞網
以為打「傳說」遇真愛 誰知詐騙只想要你買點數 中時新聞網
2022 年第一季全球 34% 登入動作為憑證填充攻擊所為 資安人
智慧城市電網穩定關鍵 電動車充電站扛起重任 電子時報網
台灣汽車電子產業起飛 汽車資安將成新戰場 電子時報網
防堵手機app資安漏洞 經部制定2標準護資安 自由時報電子報
零售業數位轉型的3大資安盲點 你知道幾個？ ETtoday新聞雲
iPhone擬用中國晶片 美議員籲全面調查：恐致重大資安漏洞 鏡週刊
存在15年的Python漏洞影響35萬個開源專案 iThome
駭客入侵遊戲業者2K Games客戶支援中心，對玩家發送釣魚訊息企圖竊資 iThome
Google開始測試允許用戶要求刪除包含自身個資的搜尋結果 iThome
繼續閱讀投保資安險前的 5 項資安準備工作
本文討論可協助您達成資安險要求的 5 項資安準備工作，一方面讓您順利投保或續約，另一方面讓您降低資安風險。
隨著勒索病毒(勒索軟體,Ransomware) 和變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC) 攻擊不斷增加，企業史無前例地紛紛投保了資安險來降低資安風險。根據 Zurich (蘇黎世保險) 公司指出，83% 的企業都已投保了資安險，這已創下近十年來的新高。然而，對於資安險的明確要求為何，以及資安長 (CISO) 和資安領導人到底需要什麼資安工具才能順利投保或續約資安險，至今仍有許多爭辯。
本文將探討可提升您網路資安成熟度以符合資安險投保要求的 5 項資安準備工作。
繼續閱讀企業領導人的 SASE 指南- SASE 系列(1)
探索 Secure Access Service Edge (SASE) 的效益，導入現代化資安架構來降低受攻擊面的資安風險。
隨著疫情迫使員工必須改成在家上班，多數的企業也開始採用 VPN 解決方案來保護連線至企業應用程式與資源的遠距使用者。
就在上班模式開始轉換的同時，企業的數位轉型計畫也紛紛將各種資源移轉到雲端，並導入 SaaS 應用程式來徹底消除必須管理基礎架構的麻煩。這些改變讓企業很快就發現 VPN 解決方案的效能、使用體驗、可用性及彈性越來越差，顯然它無法勝任這份工作。
所以，服務邊緣 (service edge) 開始受到大量關注，尤其是各種安全存取服務邊緣 (SASE) 技術，而其中的零信任網路存取 (ZTNA)、安全網站閘道 (SWG) 和雲端存取安全代理 (CASB) 等三項技術可共同建構一套強大的解決方案，為這變遷中的世界帶來安全。
何謂 SASE？
SASE (發音「sassy」) 包含了兩大獨立的技術領域：網路 (SD-WAN、VPN) 與安全 (SWG、CASB、FWaaS、ZTNA)，涵蓋底層網路基礎架構以及基礎架構之上的網路資安應用層。儘管這兩個領域都很重要，但他們通常分開處理，因為兩者的建置與成果基本上是互相獨立的。
為何選擇 SASE？
原本一開始為了因應疫情而設的臨時解決方案，目前已成為長久之計。ESG 的 2021 年 SASE 趨勢報告指出，未來 62% 的受訪者將從遠端上班或採用混合上班。為了支撐這「新的常態」，絕大部分的企業都已擁抱雲端：98% 的受訪者表示他們正在使用公有雲服務。
現在，CISO 和資安領導人必須面臨一項挑戰，那就是在複雜、分散的網路環境下保護日益擴大的受攻擊面。使用者需要安全的連線好讓他們「隨時隨地」存取分散於各種公有與私有網路的關鍵應用程式，以滿足其業務上的需要。遠距工作者的這項擴充性需求，讓更多企業開始轉而採用 SASE 來保護這些幅員廣大分散的網際網路連線。
除此之外，根據 ESG 的報告，那些早期建置 SASE 的企業都表示自己獲得了巨大的成果，包括：
- 更快解決網路與資安問題
- 降低資安解決方案的成本
- 容易管理
- 網路與資安政策更為一致
- 更少發生資安事件
SASE 的核心要素
零信任網路存取 (Zero Trust Network Access，簡稱 ZTNA)
ZTNA 是 SASE 基礎架構的核心要素之一，遵守「絕不信任、持續驗證」或「假設已遭到入侵」的基本教義，因此所有的存取請求都必須經過認證及驗證，並持續監控使用者或裝置是否出現可疑行為。
基本上，ZTNA 閘道被認為是一種優於 VPN 的連線解決方案，提供更好的彈性、效能及精密的資安控管。事實上，ESG 報告指出有 62% 的受訪者表示他們「正在」或「打算」積極擴大 ZTNA 的使用範圍，並逐漸淘汰 VPN。
安全網站閘道 (Secure Web Gateway，簡稱 SWG)
企業經常面臨須在不衝擊裝置效能與使用者生產力的情況下攔截資安威脅的挑戰。SWG 解決方案的作法是防止無安全性的網際網路流量進入企業內部網路，結合精密的網址過濾、SSL/TLS 流量檢查以及其他威脅防禦。
SWG 通常獨立於其他資安產品之外運作，不過，若將這套解決方案整合至 SASE 架構下，將可支援自動化存取判斷、豐富的監測資料，以及報表可視性，同時還能提供簡單一致的政策控管。
雲端存取安全代理 (Cloud Access Security Broker，簡稱 CASB)
儘管企業仰賴公有雲應用程式來執行日常營運作業已經成為常態，但資安的挑戰卻依然存在。其中最值得注意的問題是缺乏整體數位受攻擊面的可視性與控管，如此可能導致機敏資料經由營運關鍵 SaaS 應用程式外洩。CASB 解決方案能因應這些問題，擔任使用者和雲端之間的橋樑，自動監控與評估風險，並透過 API 來套用資安政策。
當 CASB 整合至 SASE 架構底下時，將提供比 SWG 的應用程式或流量攔截功能更精細的防護。CASB 可配合底層的 SWG 運作，判斷流量是否為高風險或惡意流量，偵測使用者與應用程式之間的流量，萬一出現潛在風險，還可透過 SWG 採取更深層的管控。
如何建置 SASE?
建置 SASE 架構的成功關鍵在於融合，儘管 ZTNA、SWG 與 CASB 解決方案能各自獨立運作，但若能將它們整合，就能提供更簡潔且更強大的數位受攻擊面防護。
SASE 的建置工作看似龐大，但您可考慮從以下三個步驟著手，逐步展開您的旅程：
🔴1.制定一套 SASE 策略。技術的融合並非一切，ESG 發現，建置 SASE 的最大挑戰在於讓各個功能團隊都同意採用同一套策略與廠商。為了消除障礙，Gartner 建議成立一個聯合的網路與資安團隊來制定整體策略、導入時程以及 SMART 目標。
🔴2.探索及評估基礎架構和技能上的落差。導入 SASE 不代表您必須全部砍掉重練，您可以藉由探索及評估您既有的網路基礎架構和資源來釐清哪些可以保留，以及需要何種新的邊緣解決方案。確認您的人員足以勝任 SASE 的建置與管理工作，不然也可考慮採用託管式服務來補強您內部人員的不足。
🔴3.挑選適當的 SASE 廠商與解決方案。Gartner 表示，少了全方位的 SASE 產品與成熟的資安服務，您的 SASE 建置將困難重重。您應尋找一家能了解您期望資安多元化的合作夥伴，除了他們自家的資安產品要能內部整合之外，還要提供強大友善的第三方整合能力，以確保您未來能擁有最完整的受攻擊面可視性。
如需有關 SASE 以及資安風險管理的更多資訊，請參閱以下文章：