中小企業資安 - 資安趨勢部落格

IT 管理員容易忽略的網路防禦基本概念

2014 年 10 月 01 日2014 年 10 月 01 日趨勢科技 TrendMicro

本文分享一些 IT 管理員可以積極實行的規則，好為網路建立「基本的防禦」。這裡說的”基本”是因為這些規則並非是為了涵蓋網路內所有類型的可疑活動 – 只是一些作者認為很可能被漏掉的活動。

偵測到使用非標準端口的服務

一般的協定都有預設的端口來讓應用程式或服務使用。一個執行某協定的服務卻沒有使用預設端口可以視為可疑 – 這是常被攻擊者利用的技術，因為預設端口通常都會被安全產品監控。同樣地，偵測未知協定使用標準服務端口也很重要，像是 80（HTTP）、25（SMTP）、21（FTP）、443（HTTPS）。因為有服務使用這些端口，所以IT管理員不能加以封鎖，所以就有可能被攻擊者利用來進行攻擊。由於每個企業的環境都有所不同，所以確認可以允許哪些端口就是IT管理員的工作，而且要密切地監視流過這些端口的流量，確保是預期中的正常流量。

除此之外，封鎖環境中所有未使用的端口也是個重要的做法。如同我們從以往關於針對性攻擊中後門程式所使用技術的研究裡學到，會使用的端口往往依賴於網路內允許哪些通過。限制網路中所打開的端口可以防止攻擊者加以濫用。像是攻擊者還可以利用網路中用來同步時間的網路時間協定（NTP）來發動分散式阻斷服務（DDoS）攻擊。

偵測名稱有可疑特徵的檔案

誘騙使用者打開惡意檔案的基本技巧之一是要變造檔案名稱讓目標認為自己所開啓的檔案並無害處。儘管很難單單靠著檔案名稱就確認一個檔案的性質，還是有幾個可疑的檔名特徵可以讓管理員加以注意：

檔案名稱中帶有太多空格
檔案名稱帶有兩個或以上的副檔名（尤其是當實際副檔名為可執行檔時）
檔案類型和副檔名並不匹配（例如：PE類型檔案的副檔名卻是「pif」，「bat」或是「cmd」等）

繼續閱讀

《APT 攻擊》最安全的地方也是最危險的地方

2014 年 09 月 16 日2014 年 09 月 16 日趨勢科技 TrendMicro

IT管理員需要牢牢記住，漏洞如果不加以解決，那麼不管它已經被發現多久，都還是會對網路造成威脅。

能夠適應變化是今日處理資安問題最重要的能力之一，因為APT攻擊(Advanced Persistent Threat, APT) /目標攻擊也都會如此做。當前威脅的複雜程度可以從它們針對目標環境弱點來加以調整的能力中看出。

在這篇文章中，我們會從攻擊者的角度來看網路 – 通過它們的弱點 – 並將其轉變成IT管理員該如何保護網路的指南。

人是最弱的環節

人們面對外界的刺激時總是脆弱的，尤其是那些可以引發強烈情緒的刺激。這也是為什麼社交工程（social engineering ）總會是攻擊的一部分 – 有許多技巧可以用，而且非常的有效。正視人們總是會落入社交工程攻擊陷阱這假設對IT管理員來說很重要，因為它是真的。設計網路安全時需要將此考慮在內，不管員工會如何。IT管理員可以：

進行網路設定時不只是要阻止攻擊者進入網路，而且要防止從網路帶走資料。如果這樣做，即使攻擊者可以取得對網路中電腦的控制，要帶走任何竊取的資料都將會很困難。一個妥善管理的防火牆和網路存取控制將大大有助於實現這一目標。威脅情報在這裡也可以扮演重要的角色，如被攻擊用作C&C伺服器的IP位址。

根據系統所需的安全層級來切割網路。關鍵系統需要跟「一般」系統隔離開來，不管是實體或是它們所連接的網路區段。

然而，除此之外，員工教育仍然非常重要，需要定期進行。

最安全的地方也是最危險的地方

網路內哪怕是最小的安全漏洞都會導致嚴重的入侵問題。攻擊者也知道這一點，所以IT管理員也必須要牢記在心裡。網路應該進行定期的稽核，確保所有地方都正確地防護好。

例如，IT管理員可能沒有想到自己也會是潛在的目標，或網路內的某些設備也可能是感染點，像是網路印表機甚或是路由器。

網站管理員也一樣。攻擊者可能不會直接攻破具備高度安全的網站，如銀行網站，而會轉去攻擊同一DMZ區中的其他網站，入侵之後再利用信任關係來對銀行網站進行跨頻道攻擊。

人們使用弱密碼

密碼管理對大多數使用者來說是項挑戰並不是個秘密，所以假設網路內的所有成員都有安全的密碼並不實際。在假設使用者會用不安全密碼的前提下防護網路就需要實施雙因子身份認證甚或生物特徵辨識技術等其他身份驗證措施。

網路內存在著幽靈機器

所有的網路都會有幽靈機器。這些機器不會出現在網路拓樸圖上，卻連接著網路。這可能包括了員工的個人設備、外包廠商的設備或應該退休卻還沒有的機器。攻擊者會去利用這些機器，因為它們可以同時提供對網路的存取和隱密性。繼續閱讀

過去廿年他一直在販賣火車乘客資料; 1/5資料外洩事件來自內部

2014 年 09 月 11 日2015 年 09 月 11 日趨勢科技 TrendMicro

內部來的風險：美國國鐵資料外洩的教訓

最近由美國國鐵督察長辦公室所發表的一份報告顯示，這家鐵路大眾運輸公司的一名員工在過去廿年一直在販賣乘客資料。這份資料的買主不是別人，就是美國緝毒署，他們在過去支付了該員工854,460美元。愛荷華州的資深參議員Check Grassley致信緝毒署來表達對此事件的嚴重關切。

這起資安事件最誇張的地方是這名前員工可以從1995年就開始販賣美國國鐵乘客個人身份資料這件事。也就是說，這種不當行為在廿年來從沒有任何人發現。透過這樣未經授權的販賣客戶資料，這員工收到來自緝毒署總共854,460美元。

緝毒署應該是有權免費地要求有問題的客戶資料，只要透過美國國鐵和緝毒署的聯合工作小組。也就是說，美國納稅人付錢買了應該可以免費取得的資料。事件爆發後，為了不被懲罰，該名員工選擇了退休。

這起資料外洩事件一開始是如何被確認並沒有包含在國鐵的報告中。想到員工可以在這麼長的時間內一再地進行不當行為這件事，必須問一個嚴重的問題 –有進行內部控管和稽核嗎？有實施哪些安全措施來防止此類外洩事件嗎？

調查顯示：有五分之一受訪者的外洩事件來自內部

不管是來自網路攻擊或惡意員工，資料外洩事件持續地成為世界各地的頭條新聞。趨勢科技在2014年3月對1,175位日本IT安全專家和決策者所進行的調查顯示，有233（19.8％）在2013年經歷過內部系統的資料外洩事件。換句話說，有五分之一受訪者的外洩事件來自內部。

總共有778位受訪者（近三分之二）證實曾經歷過某種形式的安全入侵事件。有28名（3.6％）補充說，被竊的資料已經在某些地方被使用或運作。這些統計數據只代表在日本的資安入侵外洩問題，但在其他地方所得到的數據即便不一樣，可能也不會差太多。資料外洩已不再是「別人的問題」。繼續閱讀

調查顯示：「企業領導者需要知道針對性目標攻擊(APT 攻擊)」

2014 年 08 月 12 日2014 年 07 月 31 日趨勢科技 TrendMicro

針對性目標攻擊攻擊和APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)對你組織的信譽、智慧產權、通訊和資料來說都是種不斷成長的風險。原因很簡單，發動針對性攻擊所需的武器和專業知識都是現成的。就跟你今天在線上購買一本書或你喜愛的歌曲一樣，攻擊者只需要一張信用卡和滑鼠來設計和執行針對性攻擊，同時使用支援的基礎設施和專業知識。

擔憂尚未明確

最近趨勢科技委託的哈佛商業評論分析服務所做的深入調查發現，有60%的企業管理階層非常關心針對性攻擊，有70％認為高層決策者在攻擊發生時需要瞭解影響程度。此外，根據研究，有三分之一不知道在這樣的攻擊下有什麼類型的資料會受到影響。

訊息很清楚：除非資深管理階層更了解問題的本質，和知道他們的組織哪裡容易受到進階攻擊，不然安全預算所解決的問題也有限。作為背景資料，有三分之一受訪者回應哈佛商業評論研究時指出，他們目前正被當作目標。更重要的是，調查中所提出的最主要安全擔憂包括了品牌形象受損（56％），損害專業信譽（54％），智慧產權損失（52％）和營收損失（49％）。更加迫切的是需要有辦法去遵循越來越多的規範和法律。

然而，「不知道」是當受訪者被問到他們的組織遇到這樣的攻擊時被竊取了什麼資料時的頭號答案，對針對性攻擊和進階威脅的性質及意圖缺乏深刻的瞭解。

是時候採取行動

那我們該如何建立IT和業務主管間的橋樑，以增加對攻擊的認知和排定安全投資的優先順序？嗯，這份報告建議了很棒的第一步，分類和識別哪些企業資料最有危險。然後安全團隊可以開始用更有效的投資回報名詞來介紹網路防禦技術。易於部署並能阻止廣泛攻擊卻又不會增加管理和支援成本的工具將會最受到青睞。

很清楚的是，針對性攻擊是一個日益嚴重的威脅，像趨勢科技屢獲殊榮的Deep Discovery樣的解決方案可以幫助企業偵測和回應針對性攻擊。

趨勢科技委託哈佛商業評論分析服務所做的調查可以在這裡下載。

＠原文出處：Survey Says: “What Business Leaders Need to Know about Targeted Attacks” 作者：Bob Corson