< 執行長的雲端隨筆 >資安管理 小地方做起…

Eva【作者:趨勢科技執行長 陳怡樺】

因為工作需求,我必須像空中飛人般,頻繁穿梭在世界各地,如果要計算人生中待得最久的地方,說不定「機艙」還可以成為排行榜冠軍!由於鮮少有機會在清晨悠閒地讀報,或傍晚躺在沙發上看電視,網路訊息就不可避免地成為我相當倚重的消息來源。

談到我最常在網路上蒐集的資訊,老實說既不是社經重大新聞,也不是資安相關議題,而是「天氣預報」!

每次出差前,我總會先查詢即將前往國家的天氣狀況,再決定要攜帶哪些衣服與配備。譬如去年5月初前往日本總部出差之際,也照例先在美國家中上網搜尋氣象預報,得知東京一周都是溫暖宜人的天氣,便決定輕鬆一下,不攜帶厚重大衣出門。

沒有想到的是,抵達成田機場時,迎接我的竟然是僅11度左右的低溫,凍僵的我立刻買了一件大衣禦寒。

其實,經常到日本出差的我,很清楚日本在那時節天氣是變化多端的,但相較於自身經驗,我很自然地更信賴氣象預報,相信大多數閱聽眾也都跟我一樣,對傳播媒體與氣象單位提供的資訊,往往都是不假思索或直覺式地全盤接收。不過想一想,如果有不肖份子在網路上惡意散布不實或是遭竄改後的情報,所造成的嚴重後果,恐怕不是買件大衣就可以解決的了。

駭客入侵 可能動搖國本

回顧2013年4月,美聯社twitter帳號遭受駭客入侵,謊報「白宮爆炸,美國總統歐巴馬受傷」的消息,這個「假新聞」一出,旋即引發美國市場為之恐慌與動盪,甚至在數分鐘之內,造成美國道瓊斯工業指數大跌超過150點。

同年4月,韓國各大電視台及金融機構所有電腦系統,同時遭受到駭客入侵,只差一步即可能引發全世界的網路大戰,韓國國防部將此次攻擊視為國家級的網路戰爭行為,啟動國家危機管控機制,並同步提高了「情報作戰防禦態勢」(INFOCON)等級。

由此可見,錯誤訊息的不當散布,其後果絕對不僅是衍生伺服器故障等單純問題,而是可能讓世界各地因此陷入一片混亂!

回過頭來看駭客入侵,它意謂個人資訊或機密情報,遭到有心人士惡意竊取;通常在事發以後,人們憂心忡忡的,無非就是個資外洩的問題,或企業網站及系統被迫關閉等後遺症,殊不知更教人惶惶不安的致命點,其實便是「訊息操縱」

例如,某企業的網站和社交媒體的管理員資訊,一旦被駭客接管掌控,便可以使用企業網站的名義發出電子郵件,並利用郵件傳遞包藏禍心的偽冒訊息,由於是從正式的企業網站及帳號寄出,看在一般消費者眼裡,很容易就對此封電子郵件的真實性深信不疑,當然也就有極高可能被此訊息誤導,做出一些損害己身或他人的舉措;到了最後,企業經營者與股東、消費大眾皆落得「滿盤皆輸」,唯獨得逞的駭客,躲在陰暗角落中竊喜。

訊息操縱 個資保障全無

這些風險,不單只會發生在企業,同樣也會出現在商務人士甚至一般大眾身上。

例如,各位的社群媒體及電子信箱帳號,一旦遭駭客入侵,很有可能會假裝成您的家人或朋友、公司同事、客戶等,向您傳遞假資訊。

影響所及,不僅僅是您的個資外洩如此簡單,甚至可能破壞您與家人、朋友、甚至與客戶之間的良好關係。

駭客入侵企業網站或社交媒體的手法日新月異,要想防範資安風險,我認為首先要從最基本的小地方做起!

例如,許多人覺得麻煩,多年來始終不曾更改密碼,或在各種網路服務使用同樣密碼,無異為駭客大開方便之門。

所以除了使用有保障的資安軟體捍衛網路安全外,基本動作就是定期更換網路帳號的密碼,而在使用不同網路服務時,亦切忌重複使用相同的密碼,才不會輕易淪為駭客的目標或跳板。

(原文刊載於經濟日報)

執行長的雲端隨筆/通往行動世界的旅程

趨勢科技公司執行長/陳怡樺

 

 Eva column -mobile

坐在台北飛往巴塞隆納參加MWC 2014(Mobile World Congress 2014)大會的飛機上,座無虛席的機艙內,幾乎人人手上都有些手機樣板或新平板樣品,甚至是行李箱裡的全尺寸模型,電話中不是和公司討論最後一段的DEMO稿,就是新產品交期。感覺就像回到20年前,當我飛往PC EXPO或是COMDEX大展時被所有PC製造廠包圍的景況!

行動浪潮 聲勢浩大

在巴黎轉機時,更多人從全世界蜂擁至巴塞隆納,這些人來自日本、韓國、以色列、愛沙尼亞,印度,但最多的是,來自中國!世界各地的企業家正爭先恐後地飛向這個行動世界,向世人展示他們最新的發明、最新的工具,以及最新的應用程式。

我已經感覺到,這波行動浪潮,聲勢和影響力遠遠大過PC時代!

終於到了Mobile World Congress大會會場,八個大型展區充斥了無以計數的攤位及會議中心,我利用行動電話應用程式完成了註冊,進入第三展區後,放眼望去都是電信廠商、行動載具和骨幹設備廠,每個人談的都是頻寬、速度、網路通訊協定這一類的話題,我彷彿回到1995年的Interop大展,那是網際網路剛快速崛起,蓬勃發展的年代。

資安防禦 必須應變

令我玩味再三的是,PC Expo或是 Comdex與Interop這二種不同類型的大展,曾經各據山頭,有著截然不同的參展廠商,如今這二類型廠商卻出現在同一個Mobile World Congress大會中。

接著到了第四展區,令人瞠目結舌的竟看到了VISA、MasterCasd這些信用卡公司,以及各種類型的銀行參展廠商,這可是我在之前那些IT大秀中未曾見過的。

我開始了解到,行動,是一個全新的生態系統,它結合了電腦運算(不論是電腦還是行動裝置)、通訊(電信廠商以及骨幹設備),還有交易(信用卡及銀行)。這彷彿是由多首饒舌歌匯集而成的交響樂,一種我尚未完全領會卻已經愛上的新樂章!

在這樣的行動生態中,資訊安全的防禦同樣也需要改變,不論是商業模式還是技術!

mobile

先從使用者輪廓來看,這波行動浪潮正以更快更廣的力道席捲全球,不論是已開發或開發中國家,年齡分布從5歲小娃到80歲銀髮,行動裝置成為許多使用者第一個、甚至是唯一的一個連網裝置。因此,資安解決方案需要變得非常簡單,非常容易使用,畢竟隨機搭載個代理人恐怕是個不太可能也不盡理想的方法。

三大面向 值得關注

再從商業模式來看,我們可以發現有幾個面向非常值得關注:

首先看到的一點就是,行動代表了位置識別!行動裝置不同於PC,因為你到哪都會隨身帶著它,一個簡單的例子,你是否曾痛恨你的Windows系統,只因為在你遊走各地時它沒法自動調整時間?我就是!WiFi已是Windows電腦的基本配備,沒道理它不能判別時區,我想微軟在桌上型電腦轉變為筆記型電腦,再到現在行動裝置的過程中,大概忘記做出改變了。 繼續閱讀

當你的雲端服務停擺,你要如何知道?

現在其實很難確認一個雲端服務是否停擺。它可能只是短暫中斷,但快取和其他系統會接手,這通常是看不見的。如果你的雲端應用程式可以使用,並提供服務給你90%的使用者,但其他10%沒有,這服務是活著還是掛點了?有介於兩者之間的嗎?

Cloud4

有時,它是行銷或服務水平協議方面技術性的問題。而其他時候,它是媒體的問題。拿微軟Azure停擺為例子。微軟公共雲內運算部分的管理功能有問題。大概有24小時的時間是一團混亂,IT部門受到了影響,而且之後仍然餘波震盪一段時間。

對於我這樣大半職業生涯都在雲端上的人來說,當我看到新聞時所想到的第一件事就是,「我很高興那不是我。」然後我問自己,「客戶可以做些什麼,好在這樣的故障下保護自己?」

架構上,我知道要建議完全備援系統,最好來自不同的硬體或雲端服務供應商。但作為實用主義者,卻也很痛苦的知道只有少數客戶有這樣的預算或耐心來實現這樣的系統,世界正在將他們拉到單一雲端服務供應商,而且它本身可能依賴於特定硬體供應商。

因為當IT部門要向財務長報告時,總是會有在經濟跟風險之間抉擇的問題。今天,完全可以備份到不同的公共雲供應商,甚至有待命的虛擬機器。你甚至可以讓你的資料或應用程式的備援放在不同的基礎架構即服務(IaaS)供應商,或是從一個平台即服務(PaaS)供應商故障轉移到另一個。

這裡只有一個小問題,就是這樣做很花錢。 繼續閱讀

IT支出在2016年將會超過一半放到雲端

作者:Dave Asprey(趨勢科技雲端安全副總)

哇嗚。Gartner說:「雲端運算的使用在不斷地成長中,到了2016年,這成長將會增加成大宗的新IT支出。」更妙的是,他們預測,「2016年將會是決定性的一年,私有雲開始讓位給混合雲,並且有近一半的大型企業會在2017年底部署混合雲。」

Cloud

 嗯,那這裡面有多少屬於雲洗白(cloudwashing)?這在今年已經變得越來越常見到,將傳統IT產品重新用「雲端」命名。我很肯定我的烤麵包機也具備有雲端功能。但如果你撇開炒作,Gartner是真的專注在企業支出上,因此讓我們假設這大數量的成長中,只有極少數比例來自被錯誤分類的傳統IT產品。

我完全同意這些看法,將會有更多的IT支出在兩年內放到雲端。許多我所談話過的企業已經不再將應用程式放到自己私人資料中心擺在第一位。他們只有在有很好的理由不將其放到公共雲時才會這樣做。在兩年前,安全性會是個好理由,但到了今天,已經可以用同一套安全系統(如趨勢科技的Deep Security)來從同一個主控台來管理混合式的架構,包括公共雲和私有雲等元素,所以安全性問題現在已經可以被解決。另一個事實是,大多數私人資料中心也都在運行私有雲,所以當你將公共雲和私有雲的支出混在一起,當然它會佔一半以上,就如同Gartner所預測的一樣!

Gartner還精確地預測混合雲部署將會出現在一半的大型企業裡。但我並不確定大多數企業是否會將其稱之為混合雲。混合雲這名詞太過籠統,幾乎任何現代的公共雲部署,在任何狀況下連接到企業資料中心都可以稱之為混合雲。但如果透過合作夥伴所提供的軟體即服務(SaaS)和平台即服務(PaaS)產品來連結三個不同的公共雲又該稱為什麼雲?我們只能說這真的很複雜。

企業應用常常會變成這樣,這也是為什麼你可以得到一個關於電腦資訊系統的學士學位。雲端並無法改變這狀況。

 

@原文出處:More than half your IT spend is going to be cloud by 2016

資料外洩:給系統管理者的警訊

趨勢科技的2014年預測裡提到,我們相信每個月都會有一起重大的資料外洩事件出現。美國零售商的資料外洩事件報導迎來了新的一年,數百萬消費者的信用卡資料在這起事件裡被竊。這樣的規模和嚴重程度讓人無法忽視。雖然大部分的報導(實體或網路)都專注在誰是惡意軟體作者之類的手法問題上。但從長遠的角度來看,更重要的是是否有很多方法可以防範這類的攻擊,或有什麼安全措施可以用來對抗這類攻擊。

每個月都會有一起重大的資料外洩事件出現

 比方說,門市銷售系統(POS)是實施白名單或系統鎖定的理想狀況:在POS系統上不需要執行一般的應用程式。鎖定系統會使得在POS設備上執行惡意軟體變得更加困難。

另一方面,這樣大規模地的攻擊,將惡意軟體分別地安裝到每個POS系統是極不可能的事。幾乎可以肯定有某種遠端管理軟體用來將惡意軟體安裝到POS系統。這並不是第一次用來自動化安裝軟體的系統被入侵;去年韓國有多個應用程式的自動更新系統被用來植入惡意軟體到受影響系統上。

這樣大量的資料在網路上移動也應該要被偵測。網路防禦解決方案可以偵測這起攻擊所產生的內部網路流量或資料外洩流量,或是兩者都可偵測。  繼續閱讀