趨勢專家談趨勢 - 資安趨勢部落格

< CTO 觀點 >防禦重要系統：它必須要「智慧化」嗎？

2015 年 07 月 20 日2015 年 07 月 20 日趨勢科技 TrendMicro

無論我到哪裡似乎都會聽到「重要」系統遭受攻擊。今年早些時候，人們在談論飛機是否可以被駭客攻破。我們也談過智慧化電網是否會被駭客攻擊。就在一周前LOT波蘭航空幾乎完全被分散式阻斷服務攻擊（DDoS）打趴。相關報導:LOT波蘭航空地面操作系統遭駭造成航班無法起飛

許多案例裡的重要系統都是用現成的開放原始碼軟體開發而成。我大約在十年前說過開放原始碼軟體比較安全。雖然這被證明在絕大部份時候是對的，但最近的問題（如Heartbleed和Shellshock）已經說明開放原始碼軟體也有其問題。

非技術人員可能會問：「為什麼之前沒有人注意到這些問題？難道我們軟體開發人員太懶了？難道開發人員忘記如何開發安全的應用程式？」基本上他們是想問軟體社群：我們為什麼會捅這麼大的婁子？

要開發安全的程式碼在大多數情況下都很困難，不幸的是許多開發人員都沒有將其視為優先。一個遊戲或瀏覽器並不安全是一回事，雖然已經夠糟糕的了。但如果電廠的部分SCADA設備出問題那就是另一回事了。而如果醫療設備被駭而危害到病人又是另外一回事。

隨著智慧型設備越來越普遍，而且被用在了重要用途上，軟體開發者必須明白他們對確保自己軟體安全負有更大的責任。或許相關產業的監管機構需要建立新法規來包含軟體安全！看看不良軟體會造成多嚴重的後果就知道了，這想法並不像聽起來那麼瘋狂。

同樣重要的是，我們需要決定什麼需要保護和什麼需要連網。比方說，人們不斷地說：智慧化電錶比較安全也對電力網有幫助。這可能沒錯，但會有什麼樣的後果？誰控制這些設備？誰有權存取這些數據？

如果真正重要的設備會被連上網路，就需要加以適當地防護。所用的軟體必須遵循最佳實作來開發，並且強化安全來防禦攻擊。也必須落實用「黑箱」方式加以測試，來確認這些重要系統可以對抗已知漏洞和攻擊。

越來越多重要系統會在不久的將來連上網路。軟體產業必須負責行事，確保我們不會重蹈過去的安全錯誤 – 帶給這世界大量的嚴重後果。

＠原文出處：Defending Critical Systems: Does It Have To Be “Smart”?

想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚

《提醒》在粉絲頁橫幅,讚的右邊三角形選擇接收通知和新增到興趣主題清單,重要通知與好康不漏接

Adobe Flash 就像煙癮一樣,難以戒掉?

2015 年 07 月 17 日2015 年 07 月 17 日趨勢科技 TrendMicro

上星期對 Adobe Flash 來說日子真是難過。 Hacking Team公司外洩的 440GB 電子郵件資料已成為駭客挖掘資安漏洞的寶藏。過去七天，光是 Flash 就被發現了三個不同的漏洞：

目前，只有第一個漏洞已經修正。Adobe 承諾會在本週之內修正另外兩個漏洞，但這仍難保未來不會有其他該平台的漏洞出現。因此我們不禁要問：我們是否要趁現在乾脆放棄使用 Adobe Flash？

Flash 一直是資訊安全的夢魘，多年來，趨勢科技在這部落格上已經報導過各種Flash 的漏洞。每一次，除了小心避開一些不良網站、停用 Flash 外掛程式、然後等待 Adobe 釋出更新之外，消費者能做的其實很有限。

因 Hacking Team 外洩事件而曝光的三個零時差漏洞已經突顯出 Flash 多麼容易存在著漏洞。假使像 Hacking Team 這麼小的公司 (員工總共 40 人) 都能挖到這麼重大的漏洞，那想像一下其他一些由政府在背後資助的團體將有多大能耐。先前我們只能猜測情況大概多糟，但現在我們已經清楚看到它有多危險。

在理想的世界裡，就 Flash 現在的狀況來看，真的必須淘汰。不是改用新的網站技術 (如 HTML5)，就是叫 Adobe 想辦法讓 Flash 變得安全。不過，這兩件事大概都不會發生。

Flash 就像煙癮一樣：即使我們知道它不好，但還是難以戒掉。儘管有風險，人們還是會繼續使用，因為光是安全的理由還不足以讓人放棄它。就網站的觀點，他們還是會繼續使用 Adobe Flash，因為成本較低，使用者體驗也較優。對使用者來說，因為他們經常上的網站仍在使用 Flash，所以還是少不了它。不論開發人員和使用者都得依賴 Flash，因此可以確定 Adobe Flash 還會繼續存活一段時間。

那麼，我們可以做些什麼？ 繼續閱讀

美國政府和維基百科都走向全HTTPS,網站所有者是否也該跟進？

2015 年 07 月 16 日2015 年 07 月 10 日趨勢科技 TrendMicro

六月中網路安全世界出現了一些有趣的消息。首先是美國政府宣布所有聯邦機構維護的網站到2016年底都必須使用HTTPS。接著是維基媒體基金會（最為人所知的是維基百科）宣布他們也會在網站上強制使用HTTPS，預計在「幾個禮拜內」會全面完成。

隨著大型組織轉向全HTTPS，而且瀏覽器廠商也跟著推波助瀾（有紀錄指出Mozilla最終只會將新功能使用在HTTPS網站上），較小網站的所有者也是時候跟進了嗎？一般使用者應該要強迫他們所喜愛的網站採用HTTPS嗎？它真的能夠有助於網路安全嗎？

簡短的回答是YES。網站所有者應該認真考慮為自己的網站啟用HTTPS。很清楚地是有許多人認為，從長遠來看，採用HTTPS可以增加網路安全性。網路巨頭如Google和Mozilla，再加上國際組織像是網際網路工程工作小組（IETF）和全球資訊網協會（W3C）都贊成此說法。現在在建立的網站應該一開始就使用HTTPS。這是今日資訊網的方向，而現在建立的網站應該要考慮到使用者的安全性和隱私。對於現行的網站，只要可能就盡快啟用HTTPS是網站所有者該認真思考的事情，特別是當需要處理敏感資料時。

另一件網站管理員要考慮的事情是，從長遠來看，搜索引擎可能會將使用HTTPS做為排名演算法的一部分。Google已經如此做了。雖然現在它還不是一個特別顯著的「信號」，但長久來說可能會大大的改變。對網站所有者來說，能夠領先於這潮流是件好事，而且也讓其使用者擁有更加安全和隱私的網路。

HTTPS：一個好的開始

但要注意的是，雖然強制採用HTTPS是提升網路安全非常重要的一步，但不應該只止於此。HTTPS絕對是種進步，但它並非完美，對網路安全來說也絕非萬靈丹。繼續閱讀

為什麼整合是有效安全的關鍵 ?

2015 年 07 月 06 日2015 年 09 月 09 日趨勢科技 TrendMicro

今日的 CISO（資訊安全長）得在好幾個地方滅火才能確保組織安全。他們被要求用更少的資源做更多的事情，並且得抵禦一連串更加複雜且具進階持續性滲透攻擊」（Advanced Persistent Threat，簡稱APT攻擊），還得防備DDoS攻擊和其他傳統威脅。但他們也必須去做好這一切，因為組織的受攻擊面也隨著時間變大，這部分得謝謝行動裝置、雲端服務和新發現軟體漏洞的爆炸性成長。而就好像這還不夠艱難一般，

作者：Eric Skinner

許多IT安全主管必須綁起一隻手來，這得謝謝他們所使用的各種安全解決方案。通常都會購買這些產品的最佳品牌，但它們之間無法有效地相互溝通而會阻礙有效的防禦。

剖析攻擊

一個完整的威脅防禦平台應該涵蓋橫跨整個威脅生命周期的四個要素：

預防：評估漏洞與潛在威脅，主動保護端點、伺服器和應用程式。

偵測：找到在第一階段沒有被偵測和封鎖的惡意軟體。

分析：評估風險和確認威脅所造成的影響。

反應：提供特徵碼和更新以防止之後的攻擊。

不幸的是，大多數組織沒有一個完全整合的平台可以集中控制跨越這四個象限。意味著威脅可以鑽空隙來滲透入商業網路，造成硬碟的破壞性損害或客戶資料與智慧財產巨大的損失。

這裡是沒有連接威脅防禦可能會發生的事情：

攻擊從一封電子郵件出現在使用者的收件匣開始，所夾帶的附件檔可以進行零時差漏洞攻擊及帶來資料竊取威脅。它可能會在預防階段經由特徵碼偵測、行為監控、漏洞防禦、應用程式白名單或單獨的工具加以阻止。
但是這零時差漏洞攻擊威脅被設計來繞過這所有的傳統防禦技術，讓偵測階段變得至為重要。惡意軟體沙箱和360度網路分析可以幫助識別進階惡意軟體，這惡意軟體是「進階持續性滲透攻擊」（Advanced Persistent Threat，簡稱APT攻擊）的一部分，特製來躲過雷達和藏匿起來數周、數月甚至幾年，竊取你最敏感的機密資料。
但僅是在這階段偵測到威脅還不夠好。還需要透過端點感應程式來加以分析和評估，讓你可以發現此威脅是否已經在你的組織內蔓延，並加以控制。沒有做到分析階段，就可能讓惡意軟體留在你的系統上。接下來是和雲端運算的大數據威脅情報系統進行關聯分析以產生可供行動的情報，分享給四個威脅防禦象限，提高你整體的網路防禦態勢。
分析完複雜威脅後就必須做出反應，畢竟，如果你已經用沙箱技術偵測到惡意軟體或用網路層分析找到C&C流量，就必須建立即時的特徵碼來立刻分享給所有的端點和閘道安全元件。沒有做到這一點，就無法在下一次遇到這威脅時自動加以封鎖 — 讓風險加乘。這一階段還應該包括損害清理來自動清除電腦上的任何惡意軟體，這樣做可以讓使用者的工作效率最大化。