本文探討軟體供應鏈的網路攻擊情境，以及提升軟體供應鏈資安成熟度與降低資安風險的防範策略。
不論您企業的數位轉型正如火如荼進行、或者只是單純移轉至一些更具成本效益與靈活性的平台，您的數位受攻擊面都將因而擴大，並暴露於軟體供應鏈的資安威脅當中。根據 Venafi 近期一項調查指出，有 82% 的受訪者覺得其機構有可能遭到針對軟體供應鏈的網路攻擊。此外，由於網路駭客集團受到 Kaseya 和 SolarWinds 事件的鼓舞，針對軟體建構及派送環境的攻擊行動將越來越多。
企業當然也注意到這股威脅趨勢，有 85% 的受訪者表示他們「已收到執行長的明確指示要求改善軟體建構與派送環境的資安」。為了協助資安長 (CISO) 和資安領導人管理及防範供應鏈的資安風險，本文將探討軟體供應鏈為何會面臨風險，以及 CISA 提供了哪些策略性建議。
看看如何運用零信任策略來保護 ICS 環境，進而提升資安並降低風險。
零信任策略透過一些原則與優良的實務來提升 IT 基礎架構的安全與韌性，然而零信任是否可以為營運技術 (OT) 做些什麼？其實還蠻多的，只不過有些限制。
本部落格發表過一篇名為「IoT 與零信任 (Zero Trust) 不相容嗎？正好相反」的文章，開啟了各種有關哪些零信任元素可能適用於 OT 環境的探討。
儘管零信任架構的原則無法「一對一」對應到 ICS 基礎架構，但零信任有許多可實質提升 OT 基礎架構韌性及安全性的地方。本文將列出零信任的主要原則，接著再看看它們如何對應至 Purdue 模型。
本文探討使用無伺服器服務來管理機密的潛在風險。
無伺服器環境正日益受到歡迎，這類環境經常主打一些方便企業營運與拓展業務的功能特色，例如：內建擴充性、跨地區服務、成本管理容易等等。幾乎每家主要雲端服務供應商 (CSP) 都提供了某種型態的無伺服器服務，而目前最受歡迎的兩大服務是 Amazon Web Services (AWS) Lambda 和 Azure Functions。
我們可以將無伺服器應用程式想像成在雲端基礎架構內執行的一段程式碼。這段程式碼可透過多種不同方式來觸發執行，例如經由一個 HTTP API 端點或事件。從資安的角度，我們可以將被執行的程式碼本身的安全性與其執行環境的安全性分開來看。雖然 CSP 沒辦法掌控被執行的程式碼，因為那是由使用者所負責，但 CSP 卻能掌控程式碼的執行環境。
我們先前就曾撰文探討過風險管理不當可能帶來什麼危險，而同樣的風險也適用於 CSP 和他們所提供的服務。以下我們將介紹一種許多開發人員在移轉到雲端環境之後常犯的資安錯誤。
繼續閱讀
本文從技術面分析一個偽裝成不同應用程式來誘騙遊戲玩家與社群媒體使用者的最新 SolidBit 變種。SolidBit 勒索病毒集團似乎打算透過這類假冒應用程式並吸引勒索病毒服務加盟夥伴來拓展經營規模。
趨勢科技研究人員最近分析了一個專門瞄準熱門遊戲與社群媒體使用者的最新 SolidBit勒索病毒 樣本。此惡意程式被上傳至 GitHub，它會假扮成不同的應用程式來吸引受害者上當，包括一個英雄聯盟 ( League of Legends) 帳號檢查工具 (圖 1) 以及一個 Instagram 追蹤者殭屍程式。
這個 GitHub 上的英雄聯盟帳號檢查工具 (圖 2、圖 3) 內含一個說明檔案來介紹該工具如何使用 (圖 4)，但其假冒程度也僅止於此：該程式並無圖形使用者介面 (GUI) 或任何其他應有的功能。一旦不知情的受害者執行了這個程式，它就會自動執行惡意的 PowerShell 程式碼並在系統上植入勒索病毒。勒索病毒還伴隨著另一個名為「Source code」的檔案，但看起來似乎與其組譯好的二進位檔案不符。
本文介紹趨勢科技在工業網路資安領域的最新研究，包括：攻擊的衝擊性、資安措施的成熟度，以及強化資安的建議。
網路犯罪集團目前依然持續瞄準企業的關鍵基礎架構及功能，正如美國輸油管營運公司 Colonial Pipelines 的案例提醒我們，工業網路攻擊可能帶來嚴重的衝擊，而這也是為何資安長 (CISO) 與資安領導人必須更主動地有效管理網路資安風險的原因之一。本文簡單介紹趨勢科技「工業網路資安現況」(The State of Industrial Cybersecurity) 報告的內容，包括 ICS/OT 網路攻擊的衝擊，同時也提供一些建議來協助企業在瞬息萬變的威脅下提升自己的資安韌性。
繼續閱讀