有關 Shellshock (Bash 漏洞) 的一些基本資訊(含資料圖表)

有關 Shellshock (Bash 漏洞) 的一些基本資訊
點小圖可放大

就在幾個月前,Heartbleed心淌血漏洞才橫掃網際網路,現在又出現了另一個存在已久的廣泛性安全漏洞,名叫 Shellshock (亦稱為 Bash 漏洞),這一次,全球數以億計的伺服器和裝置及使用者都將受到威脅。Bash 漏洞之所以嚴重,是因為要利用它來發動攻擊輕而易舉,不需太大的專業技術能力。

這是什麼樣的漏洞?

Shellshock 是一個存在於 UNIX 類系統 Bash 指令列界面程式 (shell) 當中的漏洞。當今的 Bash 程式會讓使用者從遠端執行指令。如此一來,就能讓駭客在系統上執行惡意的程序檔 (script),等於讓駭客掌控了一切。此漏洞的影響非常廣泛,因為所有的 Linux、BSD 和 Mac OS X 作業系統都受到影響,光是 Linux系統就占了網際網路上絕大多數的伺服器,再加上各種 物聯網(IoT ,Internet of Things) 裝置。

威脅的影響範圍及對象?

Shellshock/ Bash 漏洞等於在系統上開了一個後門,讓駭客能夠從遠端執行指令、取得系統控制權、挖掘資料、竊取資料、篡改網站等等。絕大多數採用 Linux 作業系統的電腦和連網裝置,如路由器、Wi-Fi 無線基地台、甚至智慧型燈泡都受到影響。

繼續閱讀

《 IoT 物聯網安全趨勢》穿戴式裝置來了,您準備好了嗎?

IOE資料圖表 穿戴式裝置面面觀 ins-and-outs-of-wearable-devices-hi-res
圖文解說:穿戴式裝置面面觀(點小圖可放大)

穿戴式科技正逐漸興起,並且將在數位領域留下不可磨滅的足跡。有了穿戴式裝置,您再也不會漏接任何電話、電子郵件、最新消息等等,其方便性還不只如此。方便性似乎已成了今日科技所追求的目標。

這一波彼此密切相關的全新智慧型裝置不僅滿足了功能、方便性與可靠性需求,更何況還能低調地融入您的一身打扮當中。一個很好的例子就是健身記錄器,這些設計得如同一般手環的智慧型裝置,內建多種生物感應器,能測量您身體的數據並即時計算您的進度,卻完全不影響您日常的健身習慣。其最新數據可以藉由藍牙傳送至您的行動裝置,讓您隨時掌握最新的進度。 

另一個例子是智慧型手錶(如:蘋果 Apple 發表的 Apple Watch ),之後它可當成智慧型手機的延伸。其功能就像一般的電子錶,但卻多了顯示手機來電通知的功能。許多智慧型手錶的早期採用者表示,這些裝置能讓他們在忙其他事情時省去隨時查看手機的麻煩。儘管這類手錶的功能目前仍顯陽春,但各大電子廠商皆已承諾在未來不久之內為智慧型手錶開發出更多實用又提升生產力的 App 程式。

延伸閱讀:從陽春到智慧:物聯網 (Internet of Everything) 串連智慧裝置讓生活更便利

這類智慧型裝置的終極版本就是智慧型眼鏡。如果說健身記錄器和智慧型手錶讓您的真實生活和虛擬生活同步的話,那麼智慧型眼鏡則讓您隨時捕捉這世界的驚鴻一瞥。它能幫您搜尋網路、記錄資料、錄下視訊和影像、撥打電話、發送訊息,全都透過簡單的語音指令完成。如同其他尖端技術一樣,這項穿戴式裝置目前仍未成熟,還有許多改進空間,縱然它技術規格很強大,但依然有待開發。

不過,雖然這些智慧型裝置革命性十足,但它們也可能侵犯人們的生活、讓人容易分心、或者帶來危險。由於這些裝置會蒐集並傳送敏感資料,例如您健身記錄器上的健康進度與每日行經路線,或是您透過智慧型手錶發送的訊息,或是您的確切位置以及從智慧型眼鏡看到的畫面,這些都是網路犯罪集團覬覦的全新目標。歹徒一旦攔截到您的資料,就能竊取您的身分。若您在工作場所使用這些裝置,他們就可能潛入您的公司網路。當您在使用這類智慧型裝置時,您必須問問自己願意犧牲多少個人隱私來換取方便性和連線能力。

文章一開始的圖文解說根據傳輸及接收的資料將穿戴式裝置分成三種不同類型:「輸入型」裝置會蒐集並儲存本地端的資料,「輸出型」裝置會顯示來自配對裝置的通知讓使用者閱讀,「輸入輸出型」裝置則可傳送、接收並顯示資料。請點選上面的影像來查看穿戴式裝置圖文解說的全文。

 

◎原文出處:https://about-threats.trendmicro.com/us/threat-intelligence/internet-of-everything/understanding-ioe/ready-for-wearable-devices

IOE BANNER

《網路釣魚》HTTPS 鎖頭保證是安全網站的識別標誌?

隨著越來越多網站使用 SSL以提升在 Google搜尋中的排名,使用者將必須瞭解到 HTTPS 鎖頭不再是他們存取安全網站時的識別標誌。他們必須在輸入認證資料和個人識別資訊(PII)前先檢查憑證。此外,也建議除了使用合法來源的授權應用程式外,不要使用行動設備進行交易。

 資料外洩 信用卡 信上購物 網路銀行 網路釣魚 Credict Card1

根據報導,Google將會改善 HTTPS網站在他們搜尋引擎的排名。這可能會鼓勵網站所有者從HTTP切換到 HTTPS。不過網路犯罪分子也會加入了此項轉換。比方說,我們最近發現一起案例,當使用者搜尋安全版本的遊戲網站時,會反而被導到網路釣魚(Phishing)網站。

趨勢科技研究了使用HTTP S而且在2010年到2014年間被趨勢科技的網頁信譽評比技術所封鎖的釣魚網站。根據調查結果顯示,釣魚網站的數量在增加,我們預期它在2014年後半因為假期季節的到來會有倍數的成長。

圖1、2010年到2014年的HTTPS釣魚網站數量

 

這一高度成長的原因之一是對網路犯罪分子來說,很容易就可以建立使用HTTPS的網站:他們可以入侵已經使用HTTPS的網站或是利用使用HTTPS的合法代管網站或其他服務。所以網路犯罪份子不需要去取得自己的SSL憑證,他們只要去濫用或入侵具備有效憑證的伺服器。

這種利用HTTPS的手法也出現在行動網路釣魚(Phishing)。就在最近,趨勢科技發現一個Paypal釣魚網頁使用HTTPS和有效的憑證。看起來這詐騙網頁是放在一合法網站上,顯示該網站可能已經淪陷。

要偵測一特定網站是否為釣魚網站,使用者需要檢查憑證的有效性和檢查一般名稱(CN),它通常會和網域名稱相符。在螢幕擷圖中,mobile.paypal.com是一般名稱(CN)和組織是Paypal, Inc。釣魚網站的憑證則沒有這些特徵。

圖2-3、合法網站(左)和釣魚網站(右)的截圖

 



繼續閱讀

過去廿年他一直在販賣火車乘客資料; 1/5資料外洩事件來自內部

內部來的風險:美國國鐵資料外洩的教訓

最近由美國國鐵督察長辦公室所發表的一份報告顯示,這家鐵路大眾運輸公司的一名員工在過去廿年一直在販賣乘客資料。這份資料的買主不是別人,就是美國緝毒署,他們在過去支付了該員工854,460美元。愛荷華州的資深參議員Check Grassley致信緝毒署來表達對此事件的嚴重關切

內部來的風險:美國國鐵資料外洩的教訓

這起資安事件最誇張的地方是這名前員工可以從1995年就開始販賣美國國鐵乘客個人身份資料這件事。也就是說,這種不當行為在廿年來從沒有任何人發現。透過這樣未經授權的販賣客戶資料,這員工收到來自緝毒署總共854,460美元。

緝毒署應該是有權免費地要求有問題的客戶資料,只要透過美國國鐵和緝毒署的聯合工作小組。也就是說,美國納稅人付錢買了應該可以免費取得的資料。事件爆發後,為了不被懲罰,該名員工選擇了退休。

這起資料外洩事件一開始是如何被確認並沒有包含在國鐵的報告中。想到員工可以在這麼長的時間內一再地進行不當行為這件事,必須問一個嚴重的問題 –有進行內部控管和稽核嗎?有實施哪些安全措施來防止此類外洩事件嗎?

 

調查顯示:有五分之一受訪者的外洩事件來自內部

不管是來自網路攻擊或惡意員工,資料外洩事件持續地成為世界各地的頭條新聞。趨勢科技在2014年3月對1,175位日本IT安全專家和決策者所進行的調查顯示,有233(19.8%)在2013年經歷過內部系統的資料外洩事件。換句話說,有五分之一受訪者的外洩事件來自內部。

總共有778位受訪者(近三分之二)證實曾經歷過某種形式的安全入侵事件。有28名(3.6%)補充說,被竊的資料已經在某些地方被使用或運作。這些統計數據只代表在日本的資安入侵外洩問題,但在其他地方所得到的數據即便不一樣,可能也不會差太多。資料外洩已不再是「別人的問題」。 繼續閱讀

《資料圖表》員工信箱是 APT 目標攻擊最佳掩護攻擊的進入點

惡意威脅份子會對企業和組織進行間諜和破壞活動。經過足夠的研究後,惡意威脅份子可以製造社交工程陷阱( Social Engineering)誘餌來騙得足夠多的員工點入連結或打開附加檔案。電子郵件是目標攻擊最常使用的進入點

APT Mail Box

•每天的電子郵件流量有超過60%屬於企業用途

•一般企業員工平均每天會寄送41封和接收100封的電子郵件。

•收到的郵件中有16%是垃圾郵件

 

infographic-APT Targeted Attacks via Employee Inboxes0721 電子郵件是apt 目標攻擊最常使用的進入點

 點圖片可放大

攻擊者會假造內容讓它符合時事且更具有說服力

•攻擊者利用常見網頁郵件服務(如Yahoo!、Gmail等等)的帳號和之前所入侵獲得的帳號來寄送電子郵件

•在RSA受到的攻擊中,送給員工的電子郵件中有主旨為:「 Recruitment Plan(聘僱計畫)」

•攻擊者偽造來自特定部門或目標辦公室內高階主管的電子郵件

•攻擊者假造附加檔案名稱來變得更符和時事,更有說服力

•在Nitro攻擊活動中,電子郵件偽裝成來自目標公司的資訊部門

•一封送至印度目標的電子郵件偽稱含有印度彈道導彈防禦計畫的資料

企業需要更大規模的多層次安全解決方案來讓網路管理者可以深入了解並掌控整體網路的全貌,以降低目標攻擊的危險性,不管它會利用什麼設備或是入侵點。

@原文出處:https://www.trendmicro.com/cloud-content/us/images/business/ig_targeted-attacks-via-employee-inboxes-infographic.jpg