企業資安 - 資安趨勢部落格

雲端服務組態設定錯誤將為企業帶來重大風險

2018 年 07 月 27 日2018 年 07 月 14 日趨勢科技 TrendMicro

隨著企業逐漸將工作負載移到雲端，雲端資安也開始成為企業一項重要的問題。根據最近一份針對雲端工作負載安全的研究指出，網路上有超過 21,000 個容器 (Container) 和應用程式介面 (API) 協調系統都暴露在危險中，包括熱門的 Kubernetes、Marathon、RedHat OpenShift 以及 Portainer。其中最嚴重的是，網路上約有 300 個容器管理儀表板完全不須經過認證就能進入。然而像這樣因為雲端組態設定錯誤而讓企業陷入駭客攻擊危險的情況並非第一次發生。過去就曾經發生過類似的案例，例如導致 1.2 億個家庭的資料外流的 Alteryx 資料分析軟體公司外洩事件，以及有 9,600 家企業資料因公司的 Google Groups 設定不當而可能造成敏感資料外洩。

雲端組態設定錯誤的風險

雲端應用程式組態設定錯誤最嚴重的資安風險，或許是歹徒不需要太高深的技術就能取得企業在雲端的資料或進入其系統。過去一些最嚴重的資料外洩事件很多都是因為單純的人為疏失，而非遭到精密攻擊。例如，最近發生的一起資安事件就意外洩漏了大約 350 萬筆資料，包括：使用者登入憑證、電子郵件地址、社會安全碼以及其他機密資料。而且，任何有心的人都能輕易取得這些資料，完全不需藉由複雜的工具或技巧。就資料本身的性質來看，這些資料很可能被用於其他不法用途，甚至是更精密的攻擊。電子郵件地址和社會安全碼可用於從事社交工程攻擊，而用戶登入憑證則能用來入侵更多使用者帳號。至於容器和 API 部分，應用程式可能遭到操控甚至刪除，進而嚴重影響企業營運。繼續閱讀

《資安漫畫》IT 部門來信:系統不正常,要重新登入?BEC 詐騙招數之一

2018 年 07 月 26 日2018 年 07 月 26 日趨勢科技 TrendMicro

如果突然收到上司或是人事部門的同仁或部署要求進行確認關於業務信箱的帳號資訊，請提高警覺。

這個極有可能就是造成企業或團體的高額金錢被害的變臉詐騙攻擊或稱為商務電子郵件入侵 (Business Email Compromise，簡稱 BEC詐騙) ，該詐騙手法偽裝成經營幹部或是客戶方實際存在的人物，向公司員工傳送業務上的指示動作，請留意這是網路駭客事前準備好的帳號為了就是要讓收件者進行匯款，或是騙取業務資訊內容的一種詐騙手段。繼續閱讀

員工是最大的網路安全風險之一!企業所面臨的五個來自社群網站資安威脅

2018 年 07 月 24 日2019 年 07 月 05 日趨勢科技 TrendMicro

人的因素是社群媒體安全最被忽略的一塊,粗心大意的發文或是誤送的訊息都可能導致重大的資料外洩。駭客甚至會利用社群媒體上取得的個人資料來假冒員工，然後連進應該管制的資料庫或網路。

社群媒體持續地成長著。預計到2019年，使用者人數會達到27.7億。觸及率和影響力是社群媒體的特色之一，讓它不僅可以用來跟老朋友和同事保持聯絡，也一直被用在商業用途上。

社群媒體的使用方式也讓專業工作和個人生活的界線變得模糊，至少在網路世界是如此。企業會利用特定員工帳號來分享專業知識，以此建立更加平易近人的形象。而個人也會為了工作需求而在社群媒體上保持活躍。

然而，儘管這樣的連結性帶來了便利，卻也增加了安全和隱私上的風險。

社群媒體及其安全性的演變

了解社群媒體多年來有哪些改變，可以幫助企業確認需要更新的安全措施。社群媒體長久以來經歷了許多變化，讓平台更加容易使用也更加地吸引使用者。

以下是影響社群媒體持續變化的一些因素。

更多樣的內容。技術的發展改變能夠分享在社群媒體上的內容。從圖片到即時資訊，只要有網路跟簡單的按鍵就能夠分享大量的資訊。而直在現在，社群媒體仍在不斷地為其平台加入更多媒體支援。但由於多媒體更加難以審查，也可能造成非預期的重要資料被披露。
愈來愈多行動裝置用戶隨時隨地使用社群媒體。研究發現，手機佔數位媒體使用總時間的70%。智慧手機使得隨時隨地在社群媒體上保持聯繫成為可能，卻也可能暴露更多使用者的資訊，例如地理位置、時程安排及其他手機活動。
不斷增加的隱私問題和更加嚴格的資料法規。透過網路（尤其是社群媒體）所分享的大量資訊帶來更大的隱私意識。對隱私保護的追求也產生了更加嚴格的資料法規，其中最知名的是歐盟一般資料保護法規（GDPR）。社群媒體不得不變更隱私政策來解決這些問題，替使用者提供更多的隱私選項來滿足需求。

來自社群媒體的網路威脅

因為這些變化，人們對社群媒體的態度也有了改變。現在，人們對自己在社群媒體上的安全感可能有著不同的看法，就如同趨勢科技最近在Twitter上所進行的調查所顯示那樣。但儘管社群媒體存在有資安和隱私風險，使用者仍普遍選擇相信社群媒體，而且預計在未來也會如此。繼續閱讀

深度探索新型態的隱私規範-電子隱私條例（ePrivacy Regulation,ePR）：隱私與發展之間的平衡

2018 年 07 月 05 日2018 年 07 月 05 日趨勢科技 TrendMicro

隱私和資訊保護是近幾年熱門的議題，甚至近年歐盟也開始推行一般資料保護規範（GDPR）。自從GDPR開始實行，一些討論這些規範未來企業在保護電子通訊設備的衝擊從沒有停過——-也就是電子隱私條例（ePrivacy Regulation,ePR）。電子隱私條例目的是為了更新目前的隱私指令（通常又稱cookie law）並和當地的立法機關做法規上的統整。這原本是為了和GDPR的法規做串連和互補，但因為最終釋出的時間延後了，導致只能從不同面向去發展。

跟上電子資訊的創新的腳步

ePR的核心目標是讓使用者和企業端在面對電子通訊傳輸時有些本質上的改變。像是其中很重要的一塊規範主要是為了修正在使用cookie上的規則：常常瀏覽網站時會跳出多個cookie提醒和同意視窗去阻擋使用者瀏覽網站。這項新規定將會簡化同意的流程,並在瀏覽器設定裡集中管理以提升使用者體驗的品質。繼續閱讀

真危險！台灣單月造訪惡意連結次數高排行全球第三

2018 年 06 月 21 日2018 年 06 月 20 日趨勢科技 TrendMicro

趨勢科技呼籲企業應把關資安脆弱環節 確保達成 GDPR 所需的防禦

全球網路使用環境的威脅越來越惡劣，那些誘導使用者點擊瀏覽惡意網頁，進而下載惡意程式至上網裝置進行如盜取個人資訊等不法行為更是每天發生在你我的身邊。根據全球網路資安解決方案領導品牌趨勢科技 TREND LABS全球技術支援與研發中心研究指出，今年四月份台灣用戶造訪惡意連結的次數累計超過800萬次，躍上全球第三的排名，僅次於日本及美國。研究報告也同步指出，全球四月份所監測到惡意程式最多的國家分別是美國、日本、澳洲、巴西和台灣，其中台灣單月也有超過500萬個惡意程式到處肆虐，駭客攻擊方興未艾仍然為資安隱憂！

上述的研究數據顯示台灣在資訊安全的管理上仍是『高危險群』，今年四月份台灣上網族群造訪惡意連結的次數，相較於一月份成長1.5倍之多。事實上，隨著越來越多人會透過各種行動裝置在辦公室以外的環境工作，如：咖啡廳、機場、飯店或家中等，當駭客透過惡意連結進而駭入使用者的裝置時，遭受感染的裝置恐成為不法之徒入侵企業內部網路的跳板，進而對企業內部網路安全造成威脅。

近年來新興科技如物聯網的廣泛應用，數據及資料的流動與安全儼然已是一個複雜且日趨重要的課題，趨勢科技呼籲，台灣企業必須更積極重視網路安全的管理及資料保護，特別是上月25日歐盟通用資料保護法 (GDPR-General Data Protection Regulation)正式上路之後，全球經營者皆應重新檢視企業內部對於資料保護的對應做法，除了提高員工的資安意識及加強組織內部對資安與資料隱私的要求。趨勢科技建議企業可採用具備進階能力、完善偵測引擎的資安產品來協助企業集中控管並防禦最新威脅。像是趨勢科技XGen™防護能提供跨世代融合的威脅防禦技巧，保護資料中心、雲端環境、網路及端點，協助企業在高風險的網路使用環境下，能夠獲得最佳的保護。