防禦APT 攻擊不只需要防火牆,IPS和防毒軟體

 攻擊者利用合法使用者的身分認證和信任關係,持續待在你最敏感網路內很長一段時間,可以自由自在地去通過鬆散的安全技術。防火牆告訴我一切正常,IPS告訴我一切正常,防毒軟體告訴我一切乾淨;所以一切就都正常,對吧?錯了,這種短視的安全作法就是讓APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)/目標攻擊在世界各地如此成功的原因之一。

 

 作者:趨勢科技資深安全分析師Rik Ferguson

曾經,安全技術所必須避免的重點就是產生一連串的事件通知。將系統調整到只會去通報已經確定的惡意攻擊事件是首要任務。你的防火牆必須非常肯定這些流入封包不屬於已建立的網路連線,或是入侵防禦系統(IPS)需要能夠明確指出這些封包是在嘗試做漏洞攻擊才能提出警報。

在廿世紀,甚至是廿一世紀初,我們習慣防禦就是將一切弄得清清楚楚;防火牆告訴我一切正常,IPS告訴我一切正常,防毒軟體告訴我一切乾淨;所以一切就都正常,對吧?錯了,這種短視的安全作法就是讓針對性攻擊在世界各地如此成功的原因之一。

在現實裡,那句見樹不見林的古諺說得再生動不過了。我們太過於注重「已知的惡意」,因為想要更加精簡和集中分析而對「正常」的處理,讓我們忽略脈絡而陷於危險中。

想像一下,在你伺服器機房外的走廊上一個安全監視器照到一個人,讓我們叫他戴夫。利用步態辨識和臉部識別都可以確認戴夫的身分,系統甚至可以指出他穿著清潔工的制服,這很不錯,因為戴夫是名清潔工。戴夫接近伺服器機房大門,使用他的NFC卡去開門,因為安全監視器和門禁系統已經進行連線,所以可以打開。在伺服器機房內的第二個監視器也確認的確是戴夫走進門來,一切都很好。

根據短視模型,這些事件都將被棄用,放進即將被清除的日誌資料夾內,因為「這裡沒什麼可看的」,但是這些事件所呈現出的脈絡對我們想監視的事情非常珍貴……

分隔線

如果戴夫在伺服器機房內不是在做清潔地板這類已知良好的行為,而是坐在一台伺服器前開始敲鍵盤呢。這顯然不是件好事,應該在某處敲響警鐘。但如果我們去掉我們聰明的大腦所記得和關連出的所有脈絡,那還剩下什麼?一個人在伺服器機房使用電腦?警備隊退下,這事件當然也屬於「這裡沒什麼可看的」資料夾。 繼續閱讀

「我不想將我所有的資料都放入雲端。」你為何害怕雲端技術?

作者:Ryan Delany

身為趨勢科技WorryFree Business Security服務的產品行銷經理,我聽到許多對這產品的反對聲音,尤其有許多是針對雲端技術的恐懼。我從客戶和合作夥伴所聽到的一些例子是:

「如果我的網路斷線,那我就不安全了。」

「我不想將我所有的資料都放入雲端。」

「我不想將所有頻寬都浪費在將所有東西上傳到雲端掃描。」

這些日子以來,一般人已經開始越來越了解雲端了,感謝GoogleAppleNetflix和其他消費性產品公司花了大把錢在行銷上。他們幫助客戶去了解雲端相關產品,以及這些產品如何讓客戶享用。幸運的是,有在家裡使用這些雲端服務的中小企業老闆和員工都對雲端技術比較認識。

我不希望深入去解釋技術,但這篇文章的目的是要幫助你了解WorryFree Business Security的架構。這是個端點安全解決方案,特別為中小企業(SMB)打造,好在Windows,Mac和Android三個平台上去保護你和你的資料。這解決方案有兩個主要組成部分。

第一個組成部分,我稱之為管理主控台。這是當你身為管理者時,用來管理產品、設定策略、查看日誌檔、跑報表以及進行任何產品相關例行工作的地方。這個管理主控台實際上位在高度安全的趨勢科技資料中心內。

第二個組成部分稱之為客戶端。它需要被安裝到每個設備上(Window、Mac、Android),並負責提供設備上的實質保護。它會執行檔案掃描,封鎖發現的惡意軟體,並將結果回報給管理主控台。

「如果我的網路斷線,那我就不安全了」

現在你了解它的架構,可以輕易地的發現這說法並不成立。理論上,如果所有的安全性都是由實際安裝在設備上的客戶端所提供,怎麼可能因為沒有網路連線就不安全了呢?所以答案是,你並不會不安全。產品內所需要用來保護你設備的一切都在設備上,不需要連接網路。

「我不想將我所有的資料都放入雲端」

由於管理主控台實際上位在雲端,所以會有一定數量的資料放在雲端。表面上這疑問是成立的,不過這取決於你如何定義「我所有的資料」。唯一會存放在雲端的資料是由客戶端所生成的日誌資料,還有身為管理者的你所添加到主控台的任何額外評論/留言。

這產品不會將任何現有資料,像是文件、電子表格、檔案等拷貝複製到雲端。所以底線就是,你的東西都不會被移動到雲端。我們只會將偵測到惡意軟體的相關資料,像是時間、電腦名稱、病毒名稱以及相關元資料(metadata)儲存到雲端。

「我不想將所有頻寬都浪費在將所有東西上傳到雲端掃描」

回到之前架構的討論,我提到所有的保護都是由第二個組成部分,實際位在設備上的客戶端所提供。所有的掃描、分析和修復都在設備上完成,所以這說法並不成立。

這產品確實有一些創新技術,像是會利用雲端更新去進行智慧掃描的主動式截毒技術。不過相反地,這些功能實際上是讓頻寬用得更少,而非更多。正在掃描的檔案永遠不會離開設備,也不會上傳到任何地方,包括雲端。

繼續閱讀

< APT 攻擊> 駭客跟你一樣關心「二代健保補充保險費扣繳辦法說明」–假冒健保局名義信件夾毒發送中!!(含信件樣本)

<更新>根據報導41 歲高中學歷嫌犯因為不爽被罰錢 冒健保局散播電腦病毒,該嫌透過網路自學成為駭客,因不滿被健保局罰錢,冒用健保局名義,寄發內含竊取個資木馬的惡意郵件,至少已經竊取一萬多筆個資。該報導中還指出警另查出,潘嫌替友人組裝電腦,還暗中安裝木馬程式,用來監視友人上網情況

有心人士發動社交工程攻擊,冒用健保局散佈木馬與後門程式 ,意圖竊取個資

Trojan 木馬有心人士冒用健保局北區業務組名義,散發內含名為「二代健保補充保險費扣繳辦法說明」RAR壓縮檔的郵件。郵件主旨則為收件民眾姓名、公司電話,以及公司名稱。

 有心人士發動社交工程攻擊 假冒健保局散佈木馬與後門程式 意圖竊取個資

有心人士發動社交工程攻擊 假冒健保局散佈木馬與後門程式 意圖竊取個資

                圖說:趨勢科技獨家取得有心人士冒用健保局名義發出的原始信件,

內容詳細提供各項連絡電話與方式,以取信收件者。

  繼續閱讀

WordPress暴力攻擊影響數千個網站

作者:Karla Agregado(詐騙分析師)

在過去幾個禮拜內,許多用WordPress架設的部落格都遇到大規模的暴力攻擊。這些攻擊使用暴力破解法來登錄WordPress主控台,並將惡意程式碼植入到淪陷的部落格和網站上。

重要的是知道這些不屬於哪種攻擊。它們並不是利用已知漏洞來攻擊未經修補的WordPress部落格網站,這次的攻擊並沒有那麼複雜,它只是嘗試用各種密碼登錄到預設的管理帳號。如果登入成功,它就會在這部落格上加入轉址到黑洞漏洞攻擊包網頁的程式碼。

趨勢科技一直在監視這些攻擊,我們可以確認它們的確正在進行中。因為他們會加入特定網址到成功淪陷的部落格內,趨勢科技透過主動式雲端截毒技術來識別這種攻擊的規模。

目前確認有1,800多個不同網站被這種攻擊入侵成功。這跟去年同時段被淪陷的WordPress網站數量比起來是有顯著地增加,可以確認出這波特殊攻擊相關活動的增加。

使用者和網站管理員都可以幫助消除這些威脅。這種特殊攻擊只針對沒有變更預設登錄名稱(admin)的管理者帳號。使用者可以選擇更改成另一個名稱。這作法及其他可以幫助解決這類攻擊的步驟都詳細列在WordPress的線上手冊裡。

對於使用者來說,因為類似這樣淪陷的惡意網站會被漏洞攻擊包所利用,所以要減輕這類威脅最好的方式就是保持系統上所安裝的軟體在最新狀態。如今已經有許多應用程式都提供某種形式的自動更新,(不幸的是)許多使用者都無視於它。我們過去已經在我們的指南裡討論過如何安全地使用JavaFlash,可以提供參考。

@原文出處:Brute-Force WordPress Attacks Affect Thousands of Sites

 延伸閱讀

遭入侵的WordPress網站,引發Blackhole漏洞攻擊

如果一定要使用Java,該怎麼辦?

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁 或下面的按鈕按讚

◎延伸閱讀

五個給小型企業關於雲端運算的迷思與事實

《趨勢專家談雲端運算》VMworld的熱門話題:為什麼安全團隊喜歡虛擬化桌面架構

八個令人無法苟同的雲端迷思

小型企業是網路犯罪者的大事業-每個小型企業都應知道的五件關於網路犯罪的事

小型企業的雲端之路,到頭來還是回到原點

超神準的算命大師如何用雲端展開讀心術?!(影片)

保護您邁向雲端之路的 10 個步驟

巨量資料分析和主動式雲端截毒技術

關於雲端之旅的六個好處和風險(2012年趨勢科技雲端安全調查)

虛擬化的無代理防護也適用於雲端嗎?

會攻擊VMware虛擬機器的新病毒:Crisis(又稱為Morcut)

Cirsis/MORCUT 惡意軟體掛載虛擬機器

《趨勢專家談雲端運算》軟體定義網路重新洗牌:VMware收購Nicira,Oracle收購Xsigo

《趨勢專家談雲端運算》墮入虛擬化相關威脅的深淵

◎ 歡迎加入趨勢科技社群網站
   

從美聯社 Twitter 帳號被入侵事件,看推特為何一直被駭?

我想你們一定看過這幾個月的新聞,發生了好幾起高調的推特(Twitter)駭客事件,包括了知名品牌,如Jeep,漢堡王(Burger King),以及最近的美聯社(AP)。一般不是很懂電腦的人可能會出現下列的疑問:

  • 這些帳號為什麼及如何被駭客攻擊的?這些企業不是應該都會設定又長又複雜的密碼來保護自己的帳號嗎?
  • 如果他們不能持續維護自己的安全,我將會遇到什麼?
  • 什麼是雙因子認證?我一直聽說這會讓我更安全。

推特帳號一直會被駭的原因

推特帳號一直都有被駭事件的原因很多。可能只是簡單地因為有人為了好玩去散播謠言,也可能是惡毒的想要抹黑特定個人或公司。這可不僅僅是傷害到這公司或個人,在某些案例裡,像是美聯社的帳號被入侵,就實際地讓美國股市出現短暫的下跌。而正如你可以想像的,這樣一個短期波動可是在股市獲得巨大利益的機會。

圖說:媒體報導駭客入侵美聯社推特 美股暴跌消息(截圖來自 中時電子報)
圖說:媒體報導駭客入侵美聯社推特 美股暴跌消息(截圖來自 中時電子報)

推特被駭也凸顯出關於密碼安全一個更大的問題。你可以使用有史以來最長、最複雜的密碼,但如果你點入一個惡意連結或偽裝成推特的網站讓你輸入密碼,基本上這就已經跳過任何密碼的安全性,直接把密碼交到壞人手上。

常見的社交工程伎倆

這是今天在推特上一個令人難以想像常見的社交工程陷阱( Social Engineering)伎倆。透過從你關注的一個被駭帳號發送「私人訊息」給你,網路犯罪份子就可以駭入你的帳號。這訊息可以裝得非常簡單:「嘿!我看到你這個有趣的畫面!」然後,它會連到一個惡意網站。這種戰術在過去已經被廣泛成功地運用在電子郵件病毒上,今日轉移陣地到社群媒體上也是一樣的成功。

另一種常見用來竊取你密碼的方式,就是去入侵並不具備推特安全控管等級的網站或服務。如果你在多個服務上都使用相同的密碼,就可以利用自動化工具,很快地在多個網站和社群媒體服務上嘗試這偷來的帳號/密碼組合。

繼續閱讀