趨勢科技 TrendMicro | 資安趨勢部落格

新一代 Spectre 漏洞攻擊手法：發現新的 Intel CPU 漏洞

2018 年 05 月 09 日2018 年 05 月 09 日趨勢科技 TrendMicro

繼一月份發現 Meltdown 和 Spectre 兩個影響 Intel 處理器的漏洞之後，資安研究人員又發現了八個 Intel 處理器的新漏洞。隨著 Google Project Zero 的 90 天技術細節與解決方案公布緩衝期已於 5 月 7 日到期，專家指出這些新的漏洞 (命名為「Spectre Next Generation」或「Spectre NG」) 基本上與先前的 Spectre 類似。其中有四個漏洞被認定為「高」嚴重性，其餘的則為「中」嚴重性。

[延伸閱讀：關於 Intel 處理器的 Meltdown 與 Spectre 漏洞您該知道些什麼？]

這些漏洞每一個都會有對應的 Common Vulnerability Enumerator (CVE) 編號。Intel 的修補更新將分成兩個階段實施，第一階段在 5 月份，第二階段將在 8 月份。此外，Linux 開發人員也正在針對 Spectre 漏洞研擬對策，而 Microsoft 也將釋出選擇性的修補更新來應對。此外，Microsoft 也提供 25 萬美元的獎金來懸賞更多 Spectre 相關的未知漏洞。日本 Softbank 旗下 ARM Holdings 公司的 Advanced RISC Machine (ARM) CPU 也被懷疑可能受這批新漏洞影響，至於 Advanced Micro Devices (AMD) 的處理器是否受到影響，目前仍有待檢驗。繼續閱讀

【密碼管理】推特爆漏洞,變更你的 Twitter 密碼了嗎? 三個保護社群網站帳號建議

2018 年 05 月 09 日2019 年 02 月 11 日趨勢科技 TrendMicro

Twitter(推特)公告他們系統內的一個臭蟲可能會讓使用者密碼曝光，並呼籲所有的使用者變更帳號密碼。他們還沒有透露受到影響的使用者數量，但該公司表示已經調查並且修復了此一漏洞。不過內部人士聲稱這個問題影響了大量的使用者，並且讓密碼暴露了“好幾個月”。

Twitter在聲明裡說明自己使用了 bcrypt 進行雜湊處理，這是種較強的雜湊演算法，可以在不洩露密碼的情況下驗證使用者帳號。但該公司沒有透露為什麼密碼會在雜湊處理之前先儲存在內部日誌。他們的調查結果表示並沒有遭受入侵或帳號受到濫用的跡象。不過聲明仍建議使用者要考慮變更帳號密碼以及所有使用相同密碼的服務密碼。

使用者在打開應用程式時也會跳出視窗來告知此問題。根據報導，Twitter到二月為止已經達到3.3億名使用者，且稱他們“正在進行計劃來以防止這漏洞再次發生。”

[延伸閱讀：如何防護你的社群網站帳號]

為了你的隱私和安全著想，以下是三個保護社群網站帳號的建議：繼續閱讀

《1987-2018 資安威脅演變史》回顧主動事件應變策略的發展與對企業的意義

2018 年 05 月 09 日2018 年 09 月 19 日趨勢科技 TrendMicro

本文回顧威脅情勢發展上一些促使企業開始採取主動事件應變策略以強化其網路資安防禦的重大事件。

今日的威脅既複雜又猖獗，光靠防範似乎已經不夠。事實上，根據專家指出，威脅已經無可避免。除此之外，再加上網路資安技術上的缺口也使得資安威脅對企業的營運、獲利和商譽帶來龐大的風險。為了因應這樣的情況，企業開始改懸易轍，建置一些主動偵測技術與事件應變策略來強化其防禦。換句話說，企業或許無法完全避免所有的資料外洩或網路攻擊，但卻能夠針對這類可能帶來重大損失的事件做好更周全的準備，進而降低、控制損害並從中復原。

然而，是什麼樣的原因造成這樣的改變？促使企業在網路資安防禦當中加入主動偵測、回應及矯正技術的因素為何？讓我們來回顧威脅情勢發展上一些促使企業開始採取主動事件應變策略以強化其網路資安防禦的重大事件。

1987 年 10 月

Cascade (瀑布) 病毒現身 (德國稱為「Herbstlaub」)，其名稱的由來是：當該病毒啟動時，螢幕畫面上的文字會像瀑布一樣往下墜落到畫面底部。Cascade 當初原本打算避開 IBM 電腦不加以感染，但卻因為一個程式錯誤而讓它幾乎擴散至比利時某個辦公室中的所有電腦。Cascade 病毒的出現，也促使了防毒軟體的問世。

1987 年 11 月

Lehigh (理海) 病毒 (或稱為「command.com」病毒) 感染了 DOS 作業系統開機所需的系統檔案。該病毒是以當初發現病毒的美國理海大學 (Lehigh University) 來命名，是第一個會將電腦資料清除的病毒。為了因應這個病毒，該大學的電腦中心還對全校學生和教職員發出了緊急通告。此外，病毒的作者也通知了其他大學有關該病毒可能帶來的影響。

1988 年

Morris 蠕蟲發動阻斷服務 (DoS) 攻擊並大量散布，根據報導，網際網路上約有 10% 的電腦因而當機。這是當時第一個對網際網路骨幹造成重大影響的病毒之一。這起事件也因而讓人意識到網路緊急事件聯合應變的必要性，促使專家們成立了後來的「電腦緊急應變小組」(CERT)。而 Morris 蠕蟲也為隨後數十年企業所遭遇的惡意程式打下重要基礎。繼續閱讀

無伺服器應用程式(Serverless Applications)：它們在DevOps代表什麼?

2018 年 05 月 08 日2018 年 04 月 24 日趨勢科技 TrendMicro

資安研究人員指出，在超過1,000個開放原始碼的無伺服器應用程式中，有21%具有嚴重漏洞或設定錯誤。他們還指出有6%將敏感資料（如API金鑰和帳號密碼）儲存在可公開存取的檔案庫中。

[專家見解：轉向無伺服器雲端應用程式]

什麼是無伺服器應用程式？

“無伺服器”有點不精確。應用程式在第三方雲端基礎設施上運行（如Amazon Web Service（AWS）的Lambda，微軟的 Azure Functions和Google的Cloud Functions）。它們沒有使用專屬伺服器、虛擬機或容器(container)；只有應用程式的程式碼在雲端伺服器上執行直到完成任務。

無伺服器應用程式體現了新興的功能即服務（FaaS）模型，將雲端運算轉變成一個平台，企業可以用來開發、部署和管理其應用程式，無需建立自己的基礎設施。

透過“無伺服器”，開發人員和企業受益於其靈活性和自動化能力。它也可以是推出應用程式的一種可擴展且高經濟效益的方式，因為不需要配置或維護專屬伺服器，安裝/管理軟體或運行環境。

[InfoSec指南：緩解Web注入攻擊]