不限定在辦公室的工作型態持續普及中。本文為您詳細解說在職場以外的地點工作時，必需注意的資安對策。
「居家工作 Telework（線上遠端工作 Remote Work）」讓上班族不再受限於時間及場地進行工作，也能取得工作與生活間的平衡。但令人擔憂的是在職場以外場所工作時資訊外洩及病毒感染等風險會升高。於居家工作時，應注意哪些事項呢?
分類: 中小企業資安
中小企業比大企業更易被影響的五個資安風險
處理網路安全事件對許多企業來說都是件艱難的任務，尤其是它會造成財務和商譽的損失。雖然這適用於所有的組織，但中小企業（SMB）的情況尤其如此。
今日的網路犯罪變得越來越普遍，網路攻擊在復雜性及數量上都在增加。處理網路安全事件對許多企業來說都是件艱難的工作，尤其是它會造成到財務和商譽的損失。雖然這適用於所有的組織，但中小企業（SMB）的情況尤其如此。事實上，網路犯罪已經成為企業的大問題，根據一項2019年的調查顯示，有58%的高階主管認為資料外洩比火災、洪水甚至闖空門等事件都更加嚴重。
中小企業對網路犯罪分子來說又更加有吸引力，被看作是容易得手的目標，因為它們缺乏防範攻擊及處理後續的能力和資源。
攻擊造成的影響更大，能用來進行回復的資源更少
對中小企業來說，網路攻擊所造成的影響可能很致命。這些企業很容易因為攻擊而中斷整個運作，可能需要很長時間才能回復，或更糟的是永遠無法回復。
金錢損失可能很驚人。根據思科的2018年中小企業網路安全報告，資料外洩事件（企業最常面臨的威脅之一）造成 20% 受影響中型企業至少100萬美元的損失。而由於安全問題，這些公司有40%面臨8小時或更長時間的停機。8個小時大約等於一整個工作日，而運作中斷也會導致受影響企業的生產力和機會損失。毫無疑問地，許多中型企業開始更加關注網路安全，但只有56%的安全警報會因為可疑活動跡象而被深入調查。
繼續閱讀犯罪集團瞄準 Office 365 系統管理員，並利用預先駭入的帳號從事網路釣魚攻擊
雖然網路釣魚(Phishing)是一種相對單純的社交工程詐騙，但這並不表示網路犯罪集團不會持續加以改進並試驗各種新式手法。
最近，網路釣魚出現了兩種新的發展趨勢：
- 其一是專挑 Microsoft Office 365 系統管理員下手
- 其二是利用預先駭入的帳號來散發網路釣魚郵件。
這兩項技巧確實提高了網路釣魚的成功機率，因為在缺乏全方位機器學習(Machine learning,ML)資安技術的幫助下，受害者有時真的很難辨別真假。
企業的下一個挑戰：如何為全公司的容器和大型應用程式提供最佳防護?
談到軟體容器防護，很重要的一點是，企業必須放眼大局，考慮容器如何影響企業整體資安需求以及開發營運 (DevOps) 未來的需要。好的方法能讓資安團隊建立一個面面俱到的資安策略，既可避免建構時期與執行時期發生資料外洩或遇到資安威脅，又不影響應用程式 DevOps 團隊的靈活性和速度。
雖然資安和 IT 人員必須解決 DevOps 快速靈活的腳步所衍生的資安問題，但卻面臨了企業組織及流程去集中化的挑戰。而既然工作負載和營運環境隨時都在變化，因此，網路資安問題並無單一解決之道，只能憑著手上現有的資訊來應變。為了應付當前的資安情勢，並且了解如何將容器環境納入資安防護，我們必須先問問自己幾個深入的關鍵問題。
工作負載的環境和以往有何不同？今日開發團隊的著眼點又在哪裡？(也就是：從虛擬機器到雲端，再到無伺服器環境、DevOps、微服務，以及根據交付與運轉時間為評量標準)。
許多年前，我們與客戶的對話大多圍繞在如何將傳統老舊的工作負載從資料中心移轉至雲端。在這「升級」的過程中，客戶必須考慮要在雲端內採用何種 IT 工具及資安防護才能讓營運流暢。許多客戶在移轉至雲端之前就已採購的一些傳統工具，在移轉至雲端之後將很難沿用，因為它們並非專為雲端而設計。
但近幾年來，這批將工作負載移轉至雲端的客戶，也開始採用一些雲端原生服務來開發新的專案和應用程式，並且在 Docker 容器以及 AWS Lambda、Azure Functions 和 Google Cloud Functions 等無伺服器環境開發新的應用程式。這些技術讓企業能夠採用 DevOps 營運流程，持續不斷開發各自獨立又互相配合的應用程式「零件」，以實現比開發大型應用程式更快的成果。這些新的開發計畫，也催生了所謂「持續整合/持續交付」(CI/CD) 流程的出現，透過 Git 來進行原始程式碼管理 (代管版本的 GitHub 或 BitBucket)、使用 Jenkins 或 Bamboo 來執行 DevOps 自動化，然後搭配 Kubernetes 來進行容器的自動化部署、擴充與管理。
繼續閱讀新出爐的報告顯示有25%的網路釣魚攻擊繞過Office 365的安全防護
電子郵件仍是種常見的感染媒介，因為它很容易被濫用，攻擊者可以利用它來製造持續且數量龐大的威脅。僅僅在2018一年，趨勢科技 Cloud App Security™ 就封鎖了890萬封通過Office 365內建安全機制的高風險郵件威脅。新出爐的Avanan報告進一步證明了郵件服務如何的脆弱，該報告發現，針對Office 365所進行的546,247次網路釣魚攻擊中，有25%能夠繞過其安全機制。
該報告檢視了寄送到Office 365和G Suite的5550萬封電子郵件，發現每99封就有一封是網路釣魚郵件。該份報告將這些網路釣魚郵件再細分下去，惡意軟體類型釣魚郵件或利用釣魚郵件在受害者系統上安裝惡意軟體佔了50.7%，騙取帳密的釣魚郵件佔了40.9%，敲詐勒索類型為8%，而魚叉式網路釣魚則是0.4%。
[延伸閱讀：網路釣魚郵件利用ZeroFont躲過Microsoft Office 365過濾機制]
用於網絡釣魚及其他基郵件類型攻擊的作法
Avanan報告還指出網路犯罪分子經常會假冒品牌來偽造顯示名稱，讓受害者點入惡意連結或將帳密無意間提供給假的登入頁面。該報告指出，每25封品牌郵件可能至少有一封是網路釣魚郵件。
繼續閱讀