IOT 物聯網 - 資安趨勢部落格

針對 NTP 協定的最新分散式阻斷服務 (DDoS) 攻擊早在 13 年前就有解法

2014 年 07 月 31 日2016 年 11 月 07 日趨勢科技 TrendMicro

網路犯罪者在 NTP 這個較不常用的 HTTP 通訊協定身上發現了一種校對時間之外的全新用法。本季，我們見到了一波專門針對該通訊協定漏洞的 DDoS 反射攻擊 (Reflection Attack)。這些攻擊利用已遭入侵的網路對目標發送海量的回覆封包和錯誤訊息。

安全性不足的預設伺服器設定會讓網路成為 DDoS 反射攻擊的來源。此外，由於許多伺服器都未變更過預設的服務組態設定，因此駭客才能快快樂樂地運用這項技巧來攻擊選定的目標。

但令人驚訝的是，這項攻擊早在 13 年前就已經有預防方法，那就是：BCP 38 (第 38 號當前最佳實務)。假使安全真的是 IT 系統管理員的優先要務的話，那麼這類攻擊根本就不應該發生。

萬物聯網時代，企業必要掌握的資安四大面向

萬物聯網資訊安全中心　　多層次的資訊安全中心控管
萬物聯網駭客攻防手法　　深度分析APT攻擊，建立完整的防禦架構
萬物聯網雲端防護架構　　私有雲、公有雲、混合雲的資訊安全
萬物聯網行動安全機制　　企業行動裝置安全策略

當萬物聯網IoE(Internet of Everything)正待崛起，美國著名研究機構更看到比現今經濟大上30倍的發展契機；引領企業資安布局的您，該如何預見具前瞻價值的資安趨勢，為「萬物可聯網‧無處不資安」的時代及早準備？【即刻報名!!CLOUDSEC 2014企業資安高峰論壇】

CryptoLocker勒索軟體肆虐可能助長網路銀行惡意程式

2014 年 07 月 30 日2016 年 01 月 25 日趨勢科技 TrendMicro

在經歷了過去的假防毒軟體和警察木馬程式之後，新的 CryptoLocker 變種開始將目光轉移到特定的攻擊目標。我們看到許多勒索程式變種在警告受害者時會針對不同國家，如：匈牙利、土耳其、日本以及美國使用對應的語言。同樣地，一些勒索軟體 Ransomware也會將訊息和警告通知在地化，讓受害者覺得更真實。此外，另有報導指出，有些變種還會設下嚴格的期限，指示受害者必須在 72 小時內付款以取得解密金鑰，否則系統將被摧毀。

而猙獰的 BitCrypt 則不僅會挾持檔案和系統以勒索現金，還會要求支付比特幣 (Bitcoin)。BitCrypt 主要透過 FAREIT 變種下載，還會竊取比特幣錢包相關資料，這使得勒索程式變得比以往更加複雜。

2014年第一季勒索程式受害者主要分布在美國 (28%)、日本 (22%) 和印度 (9%)，這些同樣也是網路銀行受害最嚴重的國家。或許這只是巧合，但我們仍不禁懷疑勒索程式的氾濫情形是否也可能會助長網路銀行惡意程式的數量。不過，我們過去確實曾經看過網路銀行惡意程式會下載勒索程式，因此若相反的情況發生也不算是太大的突破。

萬物聯網時代，企業必要掌握的資安四大面向

萬物聯網資訊安全中心　　多層次的資訊安全中心控管
萬物聯網駭客攻防手法　　深度分析APT攻擊，建立完整的防禦架構
萬物聯網雲端防護架構　　私有雲、公有雲、混合雲的資訊安全
萬物聯網行動安全機制　　企業行動裝置安全策略

完全信賴 App 程式所宣稱的隱私保障是不智之舉

2014 年 07 月 29 日2016 年 01 月 25 日趨勢科技 TrendMicro

去年，數位隱私相關攻擊震驚了全世界。今年，我們相信，儘管各界正努力恢復隱私權保障，但「大眾的不信任將依然不變」。一項新的作法就是使用所謂的「限期張貼 App 程式」，這類程式只將訊息、照片或其他多媒體內容張貼一段時間，且一旦檢視之後就永久刪除。

IoE

不過，最近發生的一起案例卻提醒我們，完全信賴 App 程式所宣稱的隱私保障是不智之舉，因為連廠商自己都可能發生資料外洩。曾經發生這樣一起案例，某個這類私密性 App 程式的伺服器因其程式開發介面 (API) 缺乏防範不當存取的安全措施而遭到攻擊。

現在既然知道了，我們就應該謹慎挑選自己所要下載的 App 程式，別太在意廠商那些可能做不到的承諾。

萬物聯網時代，企業必要掌握的資安四大面向

萬物聯網資訊安全中心　　多層次的資訊安全中心控管
萬物聯網駭客攻防手法　　深度分析APT攻擊，建立完整的防禦架構
萬物聯網雲端防護架構　　私有雲、公有雲、混合雲的資訊安全
萬物聯網行動安全機制　　企業行動裝置安全策略

《 IoT 物聯網安全趨勢》面對萬物聯網所帶來的風險與效益 (下篇)

2014 年 07 月 28 日2016 年 01 月 25 日趨勢科技 TrendMicro

在本文的上篇當中，我們詳述了物聯網（IoT ,Internet of Things）所牽涉到的裝置、技術與流程，並提到這些裝置如何可能遭到攻擊。廣泛來說，IoE 涵蓋了各種以 IP 連網的端點裝置，將網際網路的觸角延伸至傳統 PC、智慧型手機與平板的範圍之外。

物聯網受到科技大廠的再度青睞
表面上，IoT看起來只是一種把戲，最常讓人聯想到就是生化機器人的抬頭顯示器、連網牙刷以及可追蹤使用者步伐和睡眠習慣的手環。然而這樣的刻板印象卻掩蓋了IoT在改善內容及服務供應方式的潛力。Salesforce.com 的 JP Rangaswami 指出 IoE 將是一套減少浪費並消除效率瓶頸的系統，涵蓋商業供應鏈到日常大眾運輸流程。

點小圖看大圖

以下是幾個登上媒體頭條版面的最新IoT 消息，並且點出了連網基礎架構的普及能帶來什麼樣的應用：

Apple 在其即將來臨的 Worldwide Developers Conference 全球開發者大會上有可能展示一套可讓使用者操控居家物品的最新平台。基本上就是將 iOS 裝置變成一個萬用遙控器，遙控保全系統、照明以及其他家電。
而今年稍早才併購恆溫控制與煙霧感應器製造商 Nest 的 Google，現在可能又打算併購 Dropcam 這家居家監控攝影服務廠商。
Samsung 早已在測試 IoT水溫，推出 Galaxy Gear 智慧型手錶與 Galaxy Fit 健康手環，兩者都搭上了穿戴式科技與健身監測的最新潮流。

有了全球最大科技廠商在背後支持，IoT 應該將安全與隱私權列為第一要務。IoT 提供了改造與提升網際網路的全新契機，然而 Dropcam 之類的技術卻帶來了令人不安的可能發展，例如居家監視攝影系統可能遭到挾持。

事實上，正在崛起的 IoT 已經發生多起遭到攻擊的案例，包括一起名為「Moon Worm」(月蟲) 的路由器漏洞攻擊。所有相關人員都應在基礎架構變得更先進、相關攻擊變得更複雜之前，從這些事件當中記取教訓。

《Wired》引述 REX 智庫創辦人 Jerry Michalski 的話表示：「大多數暴露在網際網路上的裝置都有可能被駭。而且還可能出現非預期的結果：它們可能被用於一些原設計之外的用途，而且大多不是好事。」

從 Moon Worm 和其他攻擊記取 IoE 安全的教訓
網路安全產業只要看看 Moon Worm 和幾個類似的惡意攻擊行動，就能知道 IoT 安全已經是現在式，而非未來的情景。以下是近年來最知名的一些 IoT 安全相關事件：

2014 年 2 月，Moon Worm 現身，專門攻擊特定型號的 Linksys 路由器，橫行全球。該攻擊會利用一個可跳過驗證機制的漏洞，甚至還具備自我複製能力。廠商建議使用者最好更新到最新的韌體版本，並且停用遠端管理功能以策安全。
今年四月，一群駭客利用惡意程式取得了保全系統監視錄影機 (DVR) 的控制權。除此之外，他們也會將受感染的端點裝置用於開採比特幣 (Bitcoin)。開採比特幣是一項非常耗費 CPU 資源的作業，也就是說，受感染的裝置將變得非常緩慢。能夠掌控 IoT 對歹徒來說是一項強大的誘因，所以才會不辭辛苦地運用監視攝影機內低功耗的 ARM 處理器來執行開採比特幣這類吃重的運算工作。
國際電動車大廠 Tesla 生產了許多搭載觸控螢幕介面與整合式行動電話網路的尖端電動車。可預期的，由於這項功能需仰賴網路與軟體，網路安全將成為該公司未來必須解決的一項問題。跟據《Ars Technica》報導，直到最近，Tesla 的車主都只需設定一個六個字元的密碼，其中至少必須包含一個字母和一個數字，這使得這些帳號很容易遭到暴力破解攻擊。此外，針對 Tesla 設計的第三方 App 程式也可能導致車主的帳號密碼外洩。

在 2014 年 5 月的一項研討會上，Moon Worm 與IoT 安全成為討論的焦點，身為研究學者的 In-Q-Tel 資訊安全長 Dan Geer 指出，IoT 的最基本的一項弱點就是有太多裝置的軟體都已過時。駭客可輕易地攻擊未修補的韌體與作業系統漏洞，就能取得 IoT 裝置的掌控權，從監視攝影機到網路通訊設備等等。繼續閱讀

《 IoT 物聯網安全趨勢》面對萬物聯網所帶來的風險與效益 (上篇)

2014 年 07 月 25 日2016 年 01 月 25 日趨勢科技 TrendMicro

近來，似乎所有主要大廠都在密切關注物聯網（IoT ,Internet of Things）的議題。IoT 有時亦稱為萬物聯網 (Internet of Everything)，只不過概念上或許有些微差異。隨著智慧型手機、平板和超輕薄筆電革命性改變了人們上網的方式、時機和地點，一些感應器及網路端點裝置製造商正試圖發展出一套更複雜的裝置生態體系來將這場革命帶向另一個高峰。

解讀 IoT：基本概念與技術
最近在舊金山舉行的 Cisco Live U.S. 2014 大會上，Cisco 副總裁 Mala Anand 表示 IoE 是「企業大規模轉型」的典範，並指出該公司預測 IoE 相關技術最終將創造出一個 19 兆美元的市場。

然而，IoE 到底是什麼？儘管它或許和今日數十億 IP 連網裝置遍布全球的情況沒有太大差異，但望文生義，它通常意味著更大的規模以及裝置和人之間更密切的互動。IoE 涵蓋的一些核心領域包括：

裝置對裝置：智慧型感應器、機器人與伺服器之間可彼此通訊，實現流程的簡化與自動化，如：庫存管理、即時監控基礎建設與工廠生產線。
裝置對人：有時亦稱為「機器對機器對人」，此領域包括一些越來越熱門的裝置和服務，如醫療監控。Jawbone Up 和 Fitbit Flex 等穿戴式裝置已經將資料蒐集與 IP 連網功能拓展到 PC 和其他具備螢幕的裝置之外。讓我們來感受一下這件事的規模：去年 Jawbone 表示，他們每晚可蒐集到 60 年的睡眠資料。
人對人：這聽起來有點怪，但這對許多入來說已稀鬆平常，那就是社群網路。全球網路規模的基礎架構與高效率演算法，是這類平台背後運作的基礎，但人與人之間的連結才是關鍵。

在一個較為技術的層次上，物聯網（IoT ,Internet of Things）涵蓋了各式各樣的連網裝置。可連上網際網路的牙刷和冰箱或許還在剛問市的階段，仍未成為大眾接受的主流，但 Nest Labs 之類的公司卻已引起不少關注。Google 今年稍早即以超過 3 兆美元的天價併購了這家智慧型可程式化恆溫控制系統與煙霧感應器製造商。

物聯網（IoT ,Internet of Things）的潛在效益無窮。某些產業提倡者 (如 Salesforce.com 的 JP Rangaswami) 指出，IoE 將為科技領域帶來的效應，就如同全面電氣化對於電力的影響一樣，它將成為日常生活當中無所不在、看不見卻隨時存在的重要元素。

《eWeek》引述 Rangaswami 的話表示：「[萬物聯網]的最終效益將是全面減少浪費：就實體物流來說為人員與商品的移動，在邏輯物流方面則是創意與資訊的移動。決策將變得更快、更好，擁有更準確的資訊為基礎。並且可更有效消除先前假設和規劃上的錯誤。」

萬物聯網存在著什麼風險？
與物聯網（IoT ,Internet of Things）的商業效益同樣令人關注的是 IoE 衍生出來的網路安全與隱私權問題。一些以網際網路為命脈的知名廠商，從 eBay 到 Adobe，在保管使用者私人資訊方面已經捉襟見肘，因而導致一些大規模的資料外洩事件，進一步讓網路犯罪更加猖狂，因為駭客取得了入侵其他帳戶所需的資訊。未來一旦連網變得更加普及，情況將變得如何？

Pew Research 與 Elon University 的 Imagining the Internet Center 所做的研究報告「物聯網將在 2025 年蓬勃發展」(The Internet of Things Will Thrive by 2025) 一文，深入探討了IoE 全面普及的風險與潛在效益。在負面影響方面，作者預料 IoE 的演進，就像電腦運算能力的進步一樣，將帶來一場資訊安全廠商與網路犯罪者之間的軍備競賽。

毫無疑問，當大量的端點裝置具備 Wi-Fi、藍牙和/或行動電話網路功能時，將有助於改善某些情況，如：監控設備故障情形並將狀況回報給伺服器。但問題是，這些新增加的資料傳輸應該如何 (以及由誰負責) 保障安全。

負起 IoE 安全的責任
一般個人和企業之所以擔心誰該負起物聯網（IoT ,Internet of Things）的安全責任不是沒有原因的。正如Heartbleed心淌血漏洞告訴我們，即使是一些關鍵的技術，例如用來保障網路銀行交易及付款安全的加密技術，也可能出現漏洞，因此那些受益的眾多廠商應該投入更多的經費來支持其研發。有鑑於 IoE 的規模龐大，網路安全的重要性只會越來越高。

《The Inquirer》引述 Intel 企業行銷總長 Stuart Dommet 的話指出：「您將必須保護裝置或感應器，您將必須保護資料，而且您將必須在一個開放的網路上做好這些保護，這的確是一項超大規模的變革。取得個人資料很可能是未來最大的一項改變，而光這一點就能摧毀您的企業。很重要的一點是，我們必須了解資訊安全將變成什麼樣貌，因為我們沒有架設私人網路的成本。」繼續閱讀