行動裝置應用程式安全-六個開發人員須知

根據報導,2016 年有 69% 的企業部門使用兩至五種行動裝置應用程式,前一年增加 66%。

對企業而言,行動平台確實已經無所不在。它和許多新興的平台一樣,將會創造龐大的機會,尤其是以企業為目標的開發人員,

但這將對資料處理方式帶來何種影響?

[請參閱:行動裝置應用程式如何成為下一波網路犯罪的邊境]

根據報導,光是 2017 年 6 月,就有超過 1,000 個 Android 及 iOS 企業應用程式在應用程式與後端系統之間有不安全的通訊,暴露的資料量大約有 43 TB,至少有 39 個受影響的應用程式洩漏了 2.8 億筆個人身分資訊 (PII)。2016 年的一項研究發現,醫療保健及金融相關的行動裝置應用程式中,有 90% 含有重大的安全漏洞。

這些資訊呼應了「開放網路軟體安全計畫」(Open Web Application Security Project,OWASP) 最新版的常見行動裝置風險列表,這些風險包括多餘的功能、不安全的資料儲存方式及網路,有些應用程式幾乎完全沒有驗證及加密機制,無法阻止駭客進行逆向工程,重新封裝、欺騙或修改應用程式。

舉例來說,這些應用程式秘密允許存取裝置功能 (例如相機或錄音程式) 及各種個人身分資訊 (例如相片、聯絡人、簡訊、行事暦、位置及瀏覽記錄)。這些應用程式如果落入網路犯罪者的手中,顯然會帶來嚴重的後果。

無論是企業,或是一般使用者,隱私也是行動裝置應用程式重要的議題,行動裝置應用程式必須徹底檢查安全性,以免資料遭到濫用及感染惡意程式。最近發生在 UberBrightest FlashlightPathKim Kardashian: Hollywood 行動裝置應用程式,以及小米的智慧型手機等事件,都是最佳的案例。

[請參閱:2016 年行動裝置威脅概況]

由於職場自攜設備 (BYOD) 工作方式的盛行,各種應用程式使用相同的網路,存取相同的資料,行動裝置生態系統讓工作與個人用途之間的界線更加模糊。儘管有各種挑戰,行動裝置應用程式開發人員仍有一些對策可提供企業資源,同時不犧牲企業的安全性與個人隱私。

六個開發人員須知:

1.    強制實施最小權限原則

將您應用程式執行時的權限要求,限制在必要的資訊或裝置元件範圍內。安全漏洞及惡意程式會利用使用者提升的權限。行動裝置並無不同。瞭解您所收集的資料,讓您可以清楚地定義您應用程式的信任邊界。確保您的應用程式設計介面 (API) 在其工作流程中實行此原則。

[趨勢科技白皮書:虛假應用程式:假冒真實性]

2.    實行堅實授權及多要素驗證

應用程序的驗證及授權中的缺陷,是行動裝置威脅常見的攻擊途徑,這些管道讓駭客透過中間人攻擊冒充其他使用者,或者存取裝置或應用程式的功能 (繞過 PIN 碼、將惡意程式碼注入應用程式等)。這些都是網路銀行應用程式的致命傷,例如取得一般使用者的銀行帳戶並竊取金融記錄,即可藉此獲利。開發人員應保護各項功能的安全,例如驗證員工的使用者身分,或判斷消費者可在應用程式中存取或執行哪些資源。 Continue reading “行動裝置應用程式安全-六個開發人員須知”

下載應用程式至業務用手機,沒關係嗎?

 

下載應用程式至業務用手機,沒關係嗎?

下載應用程式至業務用手機,沒關係嗎?

下載應用程式至業務用手機,沒關係嗎?

下載應用程式至業務用手機,沒關係嗎?

是否曾經下載應用軟體至公司所配給的手機上?一般而言只要智慧型手機一到手,任何人都會想要下載自己喜歡的應用軟體吧。但是,公司所配給的智慧型手機未經過公司同意是嚴禁擅自下載應用軟體。

一般人透過第三方應用程式商店和分享網站下載時,往往不會檢查所下載應用程式的真實性,不瞭解這些應用程式中有很大量是惡意的。網路犯罪分子經常會偽裝成新或受歡迎應用程式的合法下載來誘騙使用者,如Super Mario Run(超級瑪利歐酷跑)。讓某些應用程式特別危險的是,它們運作起來看似很像真正的應用程式,但會包含其他的惡意程式碼,如垃圾廣告,甚至是惡意軟體。 Continue reading “下載應用程式至業務用手機,沒關係嗎?”

勒索病毒藏在你的口袋裡趴趴走嗎?

近幾個月來,WannaCry(想哭)勒索蠕蟲 及 NotPetya 勒索病毒攻擊再度引起滿城風雨,讓人更審慎思考造成這些威脅的原因,許多領導廠商也再度推行資安防護,防範電腦漏洞。不過,有另一種極容易遭到勒索病毒入侵的端點可能被忽略了,說不定您口袋裡就有一個。

行動裝置比桌上型電腦更難監管

在 BYOD 或 COPE 政策開始施行後,在工作場所中使用智慧型手機、平板電腦等個人行動裝置的接受度越來越高,導致 IT 必須耗費大量心力來適切地控管這類硬體。然而行動裝置比桌上型電腦更難監管,勒索病毒的技術又越發精密,如果使用者未加警覺,就有可能受害。勒索病毒的攻擊目標逐漸鎖定行動裝置,但企業和員工卻沒有做足自我保護措施。

Mobile ransomware impacts device and business security.

2017年第一季行動勒索病毒較前一季翻3.5

2016 年被稱為勒索病毒之年,現在看來 2017 年不但承其基業,而且規模更勝以往。勒索病毒常發展出新變種,盡其所能威脅更多人。根據業界報告,2017 年第一季偵測到超過 218,000 個行動勒索病毒檔案,而前一季僅有 61,000 個。其中有高達 86% 的攻擊來自於 Congur 系列的勒索病毒,會在發動後重設裝置密碼,讓駭客取得管理員權限,有部分變種相當難以移除,因此該台裝置未來仍有被脅迫的風險。

行動勒索病毒會影響裝置和企業的安全性

行動勒索病毒的運用量持續上升,是不容忽視的威脅,有些駭客可能會要求 100 至 500 美元不等的贖金來解鎖裝置,但無法保證他們是否真會履行約定,而且駭客可能會再次將受害者當成目標。2016 年,駭客的攻擊行動賺進了 10 億美元,對企業造成不小的損失,而且還有合規問題和名譽受損的後果需要善後。企業領導者和員工必須學會辨識行動勒索病毒、瞭解其如何感染系統,以及該如何有效地保護自己。 Continue reading “勒索病毒藏在你的口袋裡趴趴走嗎?”

Android 惡意程式威脅持續不斷,五個提升企業行動裝置安全的原則

由於全球手機作業系統主要分成 Android 和 iOS 兩大陣營,因此不論新聞上出現哪一陣營的威脅,都會引起廣大注意。根據最近一份統計,截至 2017 年 5 月為止,Android 全球活躍用戶大約超過 20 億以上,而且許多用戶都會在工作上使用到行動裝置。在這樣的情況下,不論企業或一般使用者,都應隨時掌握最新的威脅情勢,並且養成良好的使用習慣與採取最佳實務原則來保障 Android 裝置安全。

Android 惡意程式威脅持續不斷,五個提升企業行動裝置安全的原則

 

 

 

Android 資安公告:解決存在已久的威脅

雖然 Android 發布資安公告早已不是新聞,但所有 Android 用戶,尤其是利用行動裝置來存取企業敏感資料的使用者,千萬不能掉以輕心。

「Android 用戶對於資安公告千萬不能掉以輕心。」

七月初左右,Google 發布了當月份的資安公告,裡面包含兩項修補,解決了幾個月前所發現一些存在已久的漏洞。趨勢科技技術通訊研究員 Giannina Escueta 表示,這次的資安公告主要是針對今年三月以來一直困擾 Android 用戶的 Mediaserver 問題,包括記憶體損毀漏洞,以及遠端執行程式碼漏洞。

此外,這份資安公告也希望針對其系統多媒體架構以及 Broadcom 和 Qualcomm 相關元件的問題加以解決,還有其他 55 項 Qualcomm 非開放程式碼元件的優先問題。儘管這些問題對 Android 用戶來說是相當大的威脅,例如根據 Android Open Source Project 指出,可能讓駭客利用具備管理權限的執行程序來執行任意程式碼,但看來這次 Google 倒是及時在漏洞還未出現攻擊案例之前釋出了修補更新。

Android Open Source Project 指出:「我們未曾接到任何客戶因這些漏洞而遭到攻擊的通報,或是這些新通報問題遭到濫用的情況。」

「Judy」手機惡意程式影響數百萬 Android 用戶

然而前述漏洞還未遭到攻擊就已被修補的狀況,對行動惡意程式來說並不常見。今年稍早,有大批 Android 用戶遭到一個名為「Judy」的手機惡意程式攻擊,根據 BGR 特約作者 Yoni Heisler 指出,前後約有 3650 萬名受害者Continue reading “Android 惡意程式威脅持續不斷,五個提升企業行動裝置安全的原則”

太過老舊,越獄過的手機可以加入公司的BYOD計劃嗎?

有大量的BYOD設備被用來儲存、連接和處理公司機密資料。如果設備落入壞人之手就會產生很大的風險。除了惡意竊取資料的駭客,員工若是將設備遺忘在大眾運輸系統上也可能會暴露敏感資料。

很多人只在自己的設備上設定最低程度的認證,以為自己永遠不會遺失或被竊。這意味著只要花點功夫就可以拿到儲存在這些設備上的重要資料。企業該怎麼做?

資訊安全指南:處理自帶設備(BYOD)環境所面臨的威脅

自帶設備(BYOD)在過去幾年大大地盛行,因為企業也想要提高工作效率並且降低營運成本。雖然BYOD為員工和企業都帶來了不少好處,但也在安全方面帶來些問題。本指南會將重點放在企業因為BYOD所會面臨的主要威脅、以及如何解決這些威脅的最佳實作和解決方案。

 

惡意行動應用程式

隨著行動設備形成企業BYOD生態系的很大一部分,企業必須認識到使用者從這些設備下載惡意行動應用程式所會造成的風險。透過第三方應用程式商店和分享網站下載的使用者往往不會檢查所下載應用程式的真實性,不瞭解這些應用程式中有很大量是惡意的。網路犯罪分子經常會偽裝成新或受歡迎應用程式的合法下載來誘騙使用者,如Super Mario Run。讓某些應用程式特別危險的是,它們運作起來看似很像真正的應用程式,但會包含其他的惡意程式碼,如垃圾廣告,甚至是惡意軟體。

《延伸閱讀》超過9,000個搭任天堂Mario(瑪莉歐)順風車的手機應用程式,約有三分之二都帶有惡意行為

 

防禦惡意應用程式:對於行動設備,企業應該考慮提供具備應用程式信譽評比技術的端點安全解決方案,可以偵測應用程式是否可以安全使用。此外,企業解決方案應該包含設備管理和應用程式管理功能,讓IT專業人員能夠從單一的中央控制台來管理應用程式安裝。

此外,企業還可以利用網路解決方案來在問題出現前先封鎖惡意行動應用程式,可以透過網路活動來先一步偵測惡意軟體。

 

網路釣魚

雖然網路釣魚(Phishing)並不僅是BYOD的問題,但它在BYOD生態系造成特別顯著的威脅,因為企業偏好將重點放在自己網路內設備的安全防護。網路犯罪分子往往先從安全鏈最脆弱的一環著手 – 最終使用者。網路釣魚攻擊是誘騙員工將惡意電子郵件或訊息誤以為正常的有效方法。

雖然有許多公司都會部署安全解決方案來有效過濾自己系統上可能的網路釣魚攻擊,但極少數會對員工設備做相同的事。這讓他們面臨針對個人帳號的攻擊,可能會影響到他們自己的設備。 Continue reading “太過老舊,越獄過的手機可以加入公司的BYOD計劃嗎?”