趨勢專家談趨勢 - 資安趨勢部落格

雲端運算風險分擔模型

2013 年 04 月 01 日2013 年 03 月 25 日 Trend Labs 趨勢科技全球技術支援與研發中心

我常常會覺得有些人很奇怪，會開快車衝去機場還一邊講著手機，結果坐上飛機後卻開始祈禱著不會墜機。難道他們不知道想要安全抵達目的地，自己也承擔部分的責任嗎？

趨勢科技在討論新支付卡產業資料安全標準（PCI DSS）雲端運算準則的網路研討會中提醒到，雖然雲端服務可以有效地轉移掉資料中心的負擔，但不代表你的安全責任也是。（錯過這和Amazon和Accuvant一起的熱門網路研討會？點入這裡看重播）。

當組織在自己的資料中心內管理應用程式，他們控制也負責實體、網路和應用程式的安全。當組織將應用程式放入雲端環境時，他們也不能完全免除對自己應用程式安全性的責任，想要兩手一攤的說：「放到雲端服務上了，雲端服務供應商要負責。」因此就有了「責任分擔」或「風險分擔」的概念出現。公共雲供應商和雲端用戶需要共同對雲端應用程式的安全負責。

AWS（亞馬遜網路服務系統）詳述了雲端供應商和客戶所必須負的責任。

公共雲供應商（如AWS），通常會提供下列服務：

防護外圍網路和資料中心
外圍網路防火牆
備援和高可用性儲存裝置（S3），資料庫和網路基礎設施
故障轉移（亞馬遜主機可用區域（Amazon availability zones））

你（雲端用戶）要負責：

身份管理和存取控制。AWS用戶可以利用AWS基於角色的存取控制來確保存取AWS虛擬主機的人只擁有符合自己角色的權限。例如，管理者可以獲得存取AWS虛擬主機的所有權限，稽核人員可能只有查看設定或日誌檔的權限。此外，使用者要保管好用來連線到AWS虛擬主機的AWS存取和秘密金鑰，只有被允許存取虛擬主機的使用者擁有適當的金鑰。
加密運輸過程和磁碟上的敏感資訊。客戶需要用SSL加密所有通訊，並且加密AWS卷宗/磁碟。這可以確保任何網路通信被截獲或卷宗/磁碟被未經授權者存取時，資料是安全的，不能被讀取。
在AWS虛擬主機上的入侵偵測和防火牆。客戶應該在AWS虛擬主機上安裝防火牆和入侵偵測。客戶可以控制防火牆和入侵偵測規則。這些規則甚至可以依照AWS虛擬主機上所安裝的作業系統和應用程式來加以自動佈署。
確保應用程式和作業系統都安裝了修補程式並且更新到最新。雖然大多數應用程式和作業系統都有自動更新服務，但往往都會造成停機時間，讓使用者和服務產生中斷。為了減少這樣的干擾，同時減少資料外洩，入侵偵測系統可以防禦想要攻擊軟體漏洞的駭客攻擊。
繼續閱讀

參加 RSA 2013大會分享：成為「知道該如何做的部門」，而非「只會說 NO 的部門」

2013 年 03 月 27 日2013 年 03 月 26 日 Trend Labs 趨勢科技全球技術支援與研發中心

身為資訊安全專家，應該成為「知道該如何做的部門」，而非「只會說NO的部門」。我們必須把重點放在如何讓用戶安全地做他們想做的事情，而非只是跟我們的客戶說NO，然後將系統鎖住。

作者：Menard Osena（解決方案產品經理）

兩個禮拜前，我參加在舊金山舉行的RSA 2013大會，並對所參加資安廠商的數量留下了深刻的印象。除了參加者的因素以及技術性會議裡突破性的研究發表外，技術性會議今年的演講場次也讓人耳目一新。

下面是我對於資訊安全意識、駭回去和合法攻擊等值得關注議題的一些經驗和想法。

安全意識計畫的七個有效習慣

Security Mentem的Samantha Manke和Ira Winkler討論了他們對於安全訓練和安全意識之間不同點的看法。他們強調公司內部安全文化的重要性，讓員工可以在日常作業裡應用最佳實作，進而導致組織內的長期安全意識。

他們介紹了最近針對財富500大公司中包括保健、製造、食品，金融和零售等行業的研究結果。這次研究重點在這些公司所實行的安全意識活動，以及它們的效果。他們提出了主要的發現，來建立他們的「安全意識計畫的七個有效習慣」：

建立堅實的基礎
讓組織買單
鼓勵參與式學習
更多創造性的努力
收集指標
和主要部門合作
成為知道該如何做的部門

我對這場演講的主要感想當然是在最後一個部分。我們身為資訊安全專家，應該成為「知道該如何做的部門」，而非「只會說NO的部門」。我們必須把重點放在如何讓用戶安全地做他們想做的事情，而非只是跟我們的客戶說NO，然後將系統鎖住。

我知道需要詳定什麼是該做而什麼是不該做的事情在公司安全政策內，但我們應該提高標準，將安全性成為幫助業務的一個重要部分，而非阻礙。

繼續閱讀

Firefox作業系統：安全性如何？

2013 年 03 月 26 日2013 年 03 月 27 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Robert McArdle（資深威脅研究員）

在巴塞隆納剛結束的世界行動通訊大會上出現一件有意思的事，就是正式發布了Firefox OS。Mozilla執行長Gary Kovacs生動的說：「要將網頁體驗帶到行動設備上」。

特別的不是因為有多少廠商和電信商也被公告即將發表使用Firefox OS的產品，而是Mozilla的新行動作業系統大量的使用HTML5。Firefox OS的應用程式是用HTML5等開放標準來開發，而非使用專有工具或技術。

Firefox OS到目前為止所發表出來的資訊，絕大部分都不是為了提供給安全研究人員或分析人員（雖然Mozilla的開發者網站上也有些很好的資源）。主要還是為了給應用程式開發人員、使用者和電信商，需要他們更快採用Firefox OS才能真正成功。支援Firefox OS的產品甚至還沒有提供給開發人員，更別說普羅大眾了。

我們所能做的就是檢視HTML5的整體安全性，看看Firefox OS應用程式會運作在什麼樣的環境。我們知道HTML5絕對足夠強大去成為有用的應用平台，但這也代表惡意行為可以藉由HTML5達成，攻擊行為也可以透過HTML5進行。當然，這些攻擊原生程式碼做也可做到，所以當說到強大或安全，HTML5都不能說是優勢或缺點。

從意識形態的角度來看，有一件事必須承認的是，Mozilla會被認為代表開放的選擇。這是否也代表使用者在Firefox OS上會比被嚴密控制的iOS上更可能遭遇到惡意應用程式？在Firefox OS的所有細節被明確提出前，我們不能肯定 – 但看起來很可能如此。繼續閱讀

自帶應用程式（BYOD）：管理風險才能真正得到好處

2013 年 03 月 22 日2013 年 03 月 12 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Erica Benton

在這些日子裡，當我們談論到消費化趨勢時，注重的往往是設備方面，就是自帶設備（BYOD）裡的「設備」。但企業員工已經在工作場合裡使用消費性產品很長一段時間了 – 只要想想過去超過五年間，來自Yahoo、Google或其他公司大受歡迎的即時通或電子郵件產品。感謝雲端運算和強大的智慧型手機、平板電腦普及，自帶應用程式（Bring Your Own Apps，BYOA）的趨勢真正往前邁出一大步，IT也要更加的了解和加以管理。

現在熱門的消費性線上應用程式有著巨大的服務需求，包括線上儲存和檔案共享（Dropbox）、部落格（WordPress和Blogger）、電話（Skype）、社群媒體和參與（Twitter、Facebook、HootSuite）和協同合作（Huddle和Yammer）。但問題跟自帶設備一樣，這些未經批准的工具基本上都是偷偷地進入企業專案，只是臨時性的解決方案。它們的確是可以節省許多時間，讓使用者可以在家工作，直觀而能夠提高生產力的工具，但同時也會對組織帶來額外的風險。

這些風險主要來自於一個事實，就是這些應用程式大多數並不是設計給企業環境所用，沒有提供相關的安全政策和控制。他們主要提供給一般消費者，這可能會帶來資料隱私問題，如果將企業敏感資料放在第三方伺服器上。

雖然許多網路公司會嚴格審查和控制自己資料中心的安全性，但是如何挑選這些供應商也該是IT主管一開始就必須參與的。而且還有些其他的風險可能產生，如果雲端供應商倒閉或是被買走，或有員工帶著他們的私人網路帳號離職，那麼這些企業資料會發生什麼事？

繼續閱讀

在自帶設備(BYOD)冰山下所該注意的事

2013 年 03 月 21 日2013 年 07 月 01 日 Trend Labs 趨勢科技全球技術支援與研發中心

作者：Cesare Garlati

新的數據顯示，企業正因為員工所帶入的各種消費性科技而越發暴露在危險中。

我剛從北歐旅行回來，在那我代表趨勢科技向當地媒體介紹 YouGov 最新的自帶設備（BYOD）問卷調查。裡面涵蓋了來自挪威、瑞典和丹麥所訪談收集到的3,012份資料，可以了解許多對這爭議IT趨勢的細節問題。最重要的是，這研究確認了一個不可否認的事實：世界各地的公司都因為員工將各種消費性科技帶入企業且不可避免地用在工作上而增加了安全風險。

消費化和自帶設備（BYOD）在北歐已經變成主流。大多數（56%）受訪者承認有將一或多個個人設備用在和工作上。筆記型電腦是最常被用在工作上的個人設備（42%），接下來則是智慧型手機（33%）和平板電腦（11%）。

和這數據一致的是，大多數雇主（56%）也接受消費化和自帶設備，而且允許員工在工作上使用自己的個人電腦（44%）、智慧型手機（36%）和平板電腦（15%）。然而，儘管大多數使用者（66%）會認真遵守企業政策，不過也有近三分之一（29%）受訪者承認會繞過企業規定，這也造成了公司無可避免的安全風險。這證明了不管企業喜歡或不喜歡，企業IT都對正在發生中的自帶設備和消費化趨勢都失去了控制。

這些個人設備訪問企業網路和資料時的安全性是最被關心的問題。事實上，有相當數量的受訪者（63%）都了解這風險，也在部分個人設備上安裝安全軟體。然而，儘管出現在新行動平台上的惡意軟體數量呈現指數性的成長（特別是Android），但這些使用者中只有一小部分安裝安全軟體在自己的智慧型手機（16%）上，平板電腦上則更少（7%）。

透明度和充分披露是企業自帶設備計劃的成功關鍵。然而，只有一小部分使用者（8%）曾被雇主告知，他們的個人檔案和隱私可能會因為將自己的個人設備連到企業網路而受到影響。

更糟的是，有大部分使用者（54%）承認將自己的個人設備給別人使用。個人電腦是最可能讓家人或朋友一起使用的設備（40%），接著是智慧型手機（20%）和平板電腦（10%）。這也是主要的擔心，企業資料可能會暴露給並不瞭解企業自帶設備政策的第三者。此外，雇主發起遠端鎖定和資料擦除時也可能會影響到第三者的個人檔案，進一步讓公司需要擔負責任或訴訟之中。

繼續閱讀