分類: IOT 物聯網

家庭物聯網是否會危及企業安全？

趨勢科技 TrendMicro

最近一次的Pwn2Own（2021年秋季在奧斯丁）包含了比以往更多的物聯網（IoT ,Internet of Thing）項目。讓我們有機會探究現今最大、最新的企業攻擊面：家庭辦公室。

員工參與的混合模式（即大部分時間在家工作）已經不再是一種臨時模式。根據蓋洛普2021年5月發表的研究報告，有十分之七的白領在家工作，這數字並沒有太大變化。（更多資訊請參考蓋洛普：十分之七的美國白領仍遠端工作。）員工們更加喜歡這模式，有著更高的工作滿意度 – 且根據主管的說法，生產力有著顯著提高。許多企業計劃繼續使用遠端工作者，而強制要求回到辦公室的企業則發現員工有很大的反對聲浪。

遠端工作者依靠家庭辦公設備與企業連線。這些裝置很多樣化：沒有兩個家庭有相同的IT和IoT配置。從我們的研究可以看出家庭網路在面對攻擊時有多麽脆弱。資安長（CISO）現在需要處理這種新工作模式對企業攻擊面所帶來的根本性擴張。企業已經為員工提供了用來連線的電腦或智慧型裝置；但這些裝置可能使用在有漏洞的環境。許多家庭物聯網裝置會持續監測家庭環境 – 智慧型恆溫器、門鈴、電視、照明設備和語音助手（Alexa、Siri 等），並將資料回傳給企業所有者。這些裝置往往只用了基本安全功能，讓駭客有辦法入侵這些裝置為自己所用。還記得2019年駭客接管嬰兒監視器的問題嗎？只需採用更長的密碼且保持軟體更新，就可以解決許多這類攻擊。有些家庭使用者願意且有辦法自己採取行動，將其視為家庭經營的一環。但許多人並沒有。

繼續閱讀

Facebook 改名成Meta – 這裡有你所想知道的答案！元宇宙（Metaverse）將改變你的社交生活嗎？

趨勢科技 TrendMicro

就在上週，Facebook宣布將公司名稱改為Meta。

改名是在Facebook的年度Connect大會上宣布的。這項改變也強調了Facebook對發展所謂「元宇宙（metaverse）」的決心，這是種透過全像投影和3D虛擬影像打造的超現實虛擬實境，讓人們能夠在裡面工作和社交。

繼續閱讀

Honda將開始販賣智慧汽車資料

趨勢科技 TrendMicro

這家汽車大廠只是眾多利用智慧汽車資料來賺錢的車廠之一，預計到了 2030 年，這個全新的產業將達到 4,000 億美元的產值。

汽車大廠 Honda Motor (本田汽車) 宣布該公司將開始販售智慧汽車所產生的資料，正式加入多家競爭對手的行列，形成一個未來年產值高達 4,000 億美元的產業。

智慧汽車為了蒐集各種行車資料，大多配備了相機、雷射以及電子控制單元，儼然成了一部移動式感測裝置。這些新式技術蒐集的資料包羅萬象，從車輛行駛距離、速度，到車內使用者所消費的娛樂內容等等。

Honda 至今累積了大約 370 萬台智慧汽車的資料，並已開始為一些商用機構和客戶提供這些資料。該公司先是在 2017 年成立了一個事業單位來運用這些資料。但在當時，車廠僅有少數資料可提供，這一回，他們將投入更多資源來開發客戶。

根據 Nikkei (日經新聞) 指出，Honda 在 2021 年 8 月開始利用電子板來提供車輛行駛狀況的資訊，這項服務的費用大約每月 400 萬日圓 (約 36,000 美元)。

Honda 已和東京一家專精定位資料的新創公司 Nightley 合作來分析駕駛人的行為，這些資料可用來發掘消費者需求，每月訂閱費用從 20 萬日圓起跳。

繼續閱讀

趨勢科技與MIH為電動車開發安全打底

趨勢科技 TrendMicro

攜手建構全球最新以安全為設計基礎 (Secure by Design) 的Open EV Platform電動車開放平台

【2021年10月20日，台北訊】 全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 與MIH Consortium共同宣布，為了兼顧汽車安全及資訊安全，攜手建構全球首創以安全為設計基礎的「EVKit」電動車開放平台。

未來的電動車主流是透過軟體定義，應用人工智慧，大數據及車聯網，以提供各式各樣創新的個人化駕駛體驗。趨勢科技和 MIH 的合作，結合趨勢科技全球的車聯網資安專業，首度以安全為設計基礎 (Secure by Design) 概念制定並實作EVKit軟體的安全架構以及介面，除了提供一個安全的軟體執行環境，並可讓各項資料與數據得以安全的傳輸與存取，且在EVKit中提供車廠及第三方應用開發者方便、安全且具備認證機制的開發環境。

「為有效縮短開發周期和降低進入門檻，MIH正透過軟體定義車輛 (Software-Defined Vehicles – SDV) 的方式替開發者創建 Open EV Platform電動車開放平台。Open EV Platform 由硬體和軟體組成，應用範圍涵蓋了完整的電動車開發與測試的生命週期，並提供開發者一個 Open EV marketplace。」MIH 技術長魏國章表示。「身為MIH在車輛安全上最重要的夥伴之一，趨勢科技憑藉著領先全球的資安專業，協助MIH定義屬於電動車的通用安全框架，不但全面支援車載網路的入侵檢測、系統保護以及網路威脅防護等，更統一了開發者介面，幫助全球從事資安解決方案的合作夥伴，大幅降低參與建構MIH安全生態系統的門檻，以吸引更多優秀的開發者加入。」

趨勢科技核心技術執行副總裁兼首席資訊長鄭奕立表示：「研究指出，至2035年時全球銷售的汽車中，聯網智能汽車佔比預計高達80%註1，2030年時行車數據所帶來的年增值可望達到4,000億美元註2。利之所在，往往威脅之所趨，資訊安全勢必將成為聯網汽車最關鍵的要素之一，然而目前傳統汽車業常採用的外掛資安方案對未來的資安威脅並不是最有效的方式。解決連網智能汽車資訊安全的最有效方式就是直接在軟體架構上採用以安全為設計基礎、具備資安防護機制的開發平台，才能有效提升未來汽車的資安。為了提供安全無虞的電動車開放平台，趨勢科技也特別建立專業的車聯網資訊安全技術團隊，與MIH共同為EVKit平台提供與時俱進的安全架構。」

趨勢科技與MIH以安全為設計基礎 (Secure by Design) 概念，為EVKit建構與設計車內資安軟體架構，包括：

  • 協助制定EVKit平台的安全架構與介面，以期提供安全的車端軟體安全執行環境，保護車端到雲端的資料傳輸、存取與身分驗證機制。
  • 提供具身份認証的雲端大數據管理及存取功能，車廠可以很容易的建立各種 AI 及大數據應用，如遠端監測，預測型維護及 VSOC等。
  • 提供 EVKiT平台的資安功能存取介面，以便車廠軟體及第三方應用軟體可以直接融入以安全為設計的開放平台架構中，並可很容易的符合各國汽車安規範。
  • 制定並提供符合資安規範的遠端全車韌體升級引擎 (Secure OTA engine)。
  • 提供在 EVKit 平台上的軟體主動安全防護機制，包含入侵主動偵測，人工智慧主動異常偵測，通訊異常偵測等。

註1：Fuji Keizai：コネクテッドカー(つながる車)の世界市場を調査

註2：McKinsey & Co: Unlocking the full life-cycle value from connected-car data

聯合國車輛安全法規 UR R155 所列攻擊途徑的威脅模型,如何影響連網汽車演進?

趨勢科技 TrendMicro

聯合國車輛安全法規 United Nations Regulation No. 155 訂定了有關車輛的網路資安要求。為了協助企業遵從這項規範，我們嘗試根據其定義的攻擊途徑來建立威脅模型以進行風險評估，並找出必須優先處理的項目。

聯合國車輛安全法規 UR R155 所列攻擊途徑的威脅模型如何影響連網汽車演進

聯合國車輛安全法規 United Nations Regulation No. 155 針對車輛內部的網路資安與資安管理訂定了一些規範。該文件特別值得注意的是「附件 5」(Annex 5)，其中列出了 69 項可能影響車輛網路資安的攻擊途徑。為了協助企業遵從這項規範，我們嘗試根據其定義的攻擊途徑來建立威脅模型以進行風險評估。

這項法規所帶來的挑戰之一，就是製造商必須自行執行風險評估來建置最佳的網路資安措施，並以「附件 5」作為參考。

我們在一份名為「根據聯合國世界車輛法規協調論壇 WP.29 的 UN R155 規範所列攻擊管道與其他內容探討連網汽車網路資安重點領域」(Identifying Cybersecurity Focus Areas in Connected Cars Based on WP.29 UN R155 Attack Vectors and Beyond) 的研究報告當中運用 DREAD 威脅模型來評估「附件 5」當中所列攻擊途徑的風險等級。首先，我們根據目前的技術與威脅情勢來進行評估。接著，們根據我們對於這些技術與威脅未來將如何演變再重新評估一次。以下概要說明這份報告的內容。

繼續閱讀