趨勢專家談趨勢 - 資安趨勢部落格

《資料圖表》因為創新，所以更安全- 趨勢科技始終保持創業精神，不斷開發最新的技術來保護客戶

2015 年 12 月 15 日2015 年 12 月 15 日趨勢科技 TrendMicro

客戶最在乎的是資安廠商能不能幫助他們防範最新威脅，防止系統遭到感染。趨勢科技自從 1988 年成立以來便一直深耕這塊領域，並且不斷創新，這正是為何我們能成為全球公認的頂尖資安廠商之一。身為一家專精資訊安全的廠商，我們持續投入大量的人員和技術來確保我們能領先駭客一步。我們的執行長暨共同創辦人 Eva Chen (陳怡樺) 一再對內部強調，我們的競爭對手已不再是資安廠商，而是試圖入侵客戶網路和電腦的駭客。

趨勢科技始終保持創業精神，不斷開發最新的技術來保護客戶

一份新的圖文解說清楚列出我們多年來所開發的一些創新科技與解決方案，其中有許多都是當時的業界先例。從全球第一個防毒晶片 (Chipaway Virus) 到最新的 AWS 雲端防護，透過這份圖文解說，您將清楚看到趨勢科技始終保持創業精神，不斷開發最新的技術來保護客戶。

(點小圖看全圖)

趨勢科技值得客戶信賴的另一點是，我們擁有充沛的人力和財力資源，因此能隨時掌握最新的威脅情勢。

不但如此，趨勢科技更持續挹注資金來擴充趨勢科技 Smart Protection Network™ 全球威脅情報網路。正因我們不斷翻新這套大數據分析平台的工具和技術，我們的資料分析師才能隨時掌握並預測駭客近年來的發展動態，例如：加密勒索軟體 Ransomware和針對性攻擊/鎖定目標攻擊(Targeted attack )。我們有一份新的白皮書專門介紹趨勢科技主動式雲端截毒服務 Smart Protection Network如何產生全球威脅情報，讓我們實踐承諾，創造一個更安全的資訊交換世界。

趨勢科技 OfficeScan 解決方案一直在競爭對手之間維持著最高的平均總分

那麼，趨勢科技防範最新威脅的能力又是如何？您可參考獨立測試機構 AV-Test 過去一年半來的企業用戶端認證測試，趨勢科技 OfficeScan 解決方案一直在競爭對手之間維持著最高的平均總分 (防護、效能、使用方便性三方面滿分共 18 分)。

繼續閱讀

「行動惡意程式數量將成長至 2,000 萬」, PC花了 21 年才累計達到這個數字

2015 年 12 月 14 日2015 年 12 月 14 日趨勢科技 TrendMicro

獨立測試機構 AV-Test.org 還特地統計了 PC 領域從 1984 年以來的惡意程式累積樣本數量，發現 PC 領域花了 21 年的時間才累計達到 2,000 萬個惡意程式。單就行動裝置來看，2012 年底的時候我們才發現 35 萬個行動惡意程式，沒想到短短幾年之內將會成長到 2,000 萬。由此可見，歹徒開發行動惡意程式的速度遠遠超越 PC 領域。同時也讓我們見識到行動裝置對網路竊賊有多大的吸引力。

在「趨勢科技 2016 年資安預測：細微的界線」報告當中，我們的技術長 Raimund Genes 預測：「截至 2016 年底，行動惡意程式數量將因中國而成長至 2,000 萬；至於全球，則是新的行動支付方式將受到攻擊。」讓我們來仔細看看這項預測，並且從幾個不同的觀點來協助您了解行動裝置威脅情勢的發展。

首先，惡意及高風險的行動裝置應用程式數量大幅成長，這一點是肯定的，尤其在 Android 系統。然而，2016 年底將達到 2,000 萬個？這可是一個相當驚人的數字。為了和 PC 領域做比較，獨立測試機構 AV-Test.org 還特地統計了 PC 領域從 1984 年以來的惡意程式累積樣本數量，發現 PC 領域花了 21 年的時間才累計達到 2,000 萬個惡意程式。單就行動裝置來看，2012 年底的時候我們才發現 35 萬個行動惡意程式，沒想到短短幾年將會成長到 2,000 萬。由此可見，歹徒開發行動惡意程式的速度遠遠超越 PC 領域。同時也讓我們見識到行動裝置對網路竊賊有多大的吸引力。

然而，是否所有行動裝置使用者都因而陷入危險當中？這一點卻不盡然，因為絕大多數的行動惡意程式都是在中國製造，並且用於中國。這不令人意外，因為中國擁有最龐大的行動裝置用戶數，所以駭客也就擁有龐大的潛在受害者可攻擊。不僅如此，絕大多數的中國使用者都不透過 Google Play 商店來下載應用程式，而是經由非官方應用程式商店，或是直接從網站下載安裝檔案，因此更容易遭遇行動惡意程式，畢竟非官方來源的上架審查程序沒有官方 Google Play 商店來得嚴格。這讓中國以外的使用者學到了一點，那就是務必從官方 Google Play 商店下載應用程式。繼續閱讀

加速SHA-1憑證棄用時間？

2015 年 11 月 11 日2015 年 11 月 23 日趨勢科技 TrendMicro

作者：Chris Bailey（趨勢科技SSL總經理）

SHA-1憑證更換成SHA-2憑證的期限可能會提早到2016年6月1日，而非原先的2016年12月31日。

在2013年，微軟宣稱SHA-1憑證會在接下來幾年出現顯著的安全問題，因此在2016年1月1日過後不能再簽發。大多數瀏覽器在微軟的帶動下也表示將會在2017年1月1日停止支援SHA-1憑證，要求伺服器所有者在期限前升級到SHA-2憑證。Google Chrome已經在瀏覽器介面上對於會在2016年到期的SHA-1憑證顯示警告標誌（圖A），以及2016年後過期的SHA-1憑證顯示不安全標示（圖B）。

圖A

圖B

最近的發展

你可能在最近看過一篇學術研究表示SHA-1憑證易受駭客攻擊，所以憑證並不如之前所想的那樣安全。報導也舉用了這項研究。

因為此一對網站管理者的新安全風險，各大瀏覽器都在考慮要立即變更計劃。例如，Mozilla可能在2016年7月1日在其瀏覽器介面和應用程式棄用SHA-1憑證，而非2016底。微軟正在考慮提前緊急棄用日期到2016年6月1日。

Mozilla部落格：https://blog.mozilla.org/security/2015/10/20/continuing-to-phase-out-sha-1-certificates/

微軟部落格：https://blogs.windows.com/msedgedev/2015/11/04/sha-1-deprecation-update/

如果這些提前棄用日期被確認，你所使用的SHA-1憑證在2016年6月1日可能會導致使用者訪問你網頁在瀏覽器介面上出現安全警示。這些瀏覽器廠商甚至可能會要求憑證中心（CA）如趨勢科技在2016年6月1日的提早棄用日期撤銷所有SHA-1憑證。

給你的強烈安全建議

因為這些發展，如果你的伺服器仍在使用SHA-1憑證，趨勢科技強烈建議你在2016年5月31日前更換為SHA-2憑證。可以的話越早越好。

此外，當你確認已經安裝了新的SHA-2憑證，我們建議你接著要撤銷舊的SHA-1憑證。

在更換SHA-1憑證前，必須先檢查你的伺服器和系統軟體是否支援SHA-2憑證。以下是CA Security Council在2014年所列出支援SHA-2的部分系統：

https://casecurity.org/wp-content/uploads/2014/09/SHA256-Support-List.pdf

我們了解此一建議可能對產生額外的負擔，但我們相信對於你的系統安全會有顯著的改善。

Chris Bailey的自介：

Chris Bailey是趨勢科技SSL的總經理。在此之前，Bailey擔任憑證中心（CA） – AffirmTrust的執行長兼共同創辦人，於2011年被趨勢科技所收購。他同時也是GeoTrust的共同創辦人兼技術長，這是VeriSign在2006年所併購的世界主要憑證中心（CA）。Bailey也是CA/Browser論壇和CA Security Council的創始會員之一。

＠原文出處：Accelerated Deprecation Date for SHA-1 Certificates?

< CTO 觀點 >針對性攻擊/鎖定目標攻擊(Targeted attack )與進階持續性滲透攻擊 (ATP) 有何差異？

2015 年 10 月 26 日2015 年 10 月 26 日趨勢科技 TrendMicro

作者：Raimund Genes (趨勢科技技術長，CTO)

前不久我上了由 Bill Murphy 主持的 RedZone Podcast 節目，談論到有關「針對性攻擊/鎖定目標攻擊(Targeted attack )」和「進階持續性滲透攻擊」（Advanced Persistent Threat，以下簡稱APT攻擊）」之間有何差異 (當然還有其他主題)。這是一個過去我經常談到的一個話題，也是一個我經常在各種會議上被問到的問題。讓我來解釋一下我的意思。

APT攻擊一詞，大約是十年前從美國軍方流傳出來的一個用語。它有相當明確的定義，意指那些由國家所發動的攻擊。這些攻擊當然不會明確張揚其幕後的主使者。其程式碼也不會告訴你是哪個情報單位或國家所為。要追溯某項攻擊確切的幕後主使國家有其困難：畢竟，駭客很可能會透過重重的跳板來隱藏其真正的源頭。

不過，在大多數情況下，當我們在檢視某個 APT攻擊所用的程式碼時可以發現，這些程式都擁有相當完整的設計。它們不像是由一小群個人所開發，反倒像背後有一整個開發團隊。此外，我們也無法在地下犯罪網路上找到這些程式的藍本，意思是：不論是誰所開發，這些都是他們自己的創作。

這一切所需的代價不斐。想想看您需要多少資源才能養得起這些開發人員。看看 Hacking Team 資料外洩的例子，他們的產品在全球各國販售的價格在數十萬美元之譜。想像一下，若是一個國家要培養自己的「駭客團隊」要付出比這價格高出多少的代價。

然而，大多數人「並不」需要擔心 APT攻擊的問題。除非您是某個政府機構或國防承包商的 IT 系統管理員，否則您大概不會需要擔心APT攻擊威脅。您「真正」需要擔心的是資料外洩和針對性目標攻擊(Target attack )。

「針對性攻擊/鎖定目標攻擊(Targeted attack )」與 APT攻擊截然不同，它們不是由國家所發動，而是由全世界各個角落的駭客所為。他們的動機五花八門，包括：竊取資訊、從事信用卡詐騙、或者單純只是在您的企業內搞破壞。他們所用的工具基本上都能在地下市集上以合理的價格買到。其真正「精密」之處在於這些攻擊所用的社交工程技巧。繼續閱讀

Sony 被駭屆滿周年,資料外洩事件仍繼續延燒

2015 年 10 月 20 日2015 年 10 月 20 日趨勢科技 TrendMicro

作者：Tom Kellermann（趨勢科技網路安全長）

Sony被駭所發生的嚴重資料外洩事件已經屆滿周年了，駭客所造成威脅的數量和破壞持續上升著，成為美國政府機構和企業所必須面對的威脅。我們應該了解到，Sony並不孤單。

趨勢科技最近的一份報告「在美洲的網路安全和關鍵基礎設施防護」調查了500多名從阿根廷到加拿大的資訊安全長，帶來令人不安的氣氛。有44%的受訪者承認在2015年經歷過「刪除和銷毀」攻擊。在西半球，很顯然懲罰性攻擊在轉移和擴散。美國的國家情報總監（DNI）James Clapper表示他認為「下一個要挑戰界線的會是操縱或刪除資料。」

Clapper總監深深的了解不對稱的網路能力正在擴散著。主要黑暗網站論壇輸出著具有破壞性的惡意軟體，包括 Shamoon、Destover 和 Cryptowall 勒索軟體。讓網路犯罪分子能夠設計複雜且具有破壞性的攻擊。我們觀察到二次感染出現在許多針對性目標攻擊(Target attack )中。這些二次感染會去部署具有干擾性甚或是破壞性的惡意軟體來破壞資料的完整性。這種懲罰性策略被用來對付事件回應措施。繼續閱讀