在自帶設備(BYOD)冰山下所該注意的事

作者:Cesare Garlati

新的數據顯示,企業正因為員工所帶入的各種消費性科技而越發暴露在危險中。

我剛從北歐旅行回來,在那我代表趨勢科技向當地媒體介紹 YouGov 最新的自帶設備(BYOD)問卷調查。裡面涵蓋了來自挪威、瑞典和丹麥所訪談收集到的3,012份資料,可以了解許多對這爭議IT趨勢的細節問題。最重要的是,這研究確認了一個不可否認的事實:世界各地的公司都因為員工將各種消費性科技帶入企業且不可避免地用在工作上而增加了安全風險。

消費化和自帶設備(BYOD)在北歐已經變成主流。大多數(56%)受訪者承認有將一或多個個人設備用在和工作上。筆記型電腦是最常被用在工作上的個人設備(42%),接下來則是智慧型手機(33%)和平板電腦(11%)。
消費化和自帶設備(BYOD)在北歐已經變成主流。大多數(56%)受訪者承認有將一或多個個人設備用在和工作上。筆記型電腦是最常被用在工作上的個人設備(42%),接下來則是智慧型手機(33%)和平板電腦(11%)。

消費化和自帶設備(BYOD)在北歐已經變成主流。大多數(56%)受訪者承認有將一或多個個人設備用在和工作上。筆記型電腦是最常被用在工作上的個人設備(42%),接下來則是智慧型手機(33%)和平板電腦(11%)。

和這數據一致的是,大多數雇主(56%)也接受消費化和自帶設備,而且允許員工在工作上使用自己的個人電腦(44%)、智慧型手機(36%)和平板電腦(15%)。然而,儘管大多數使用者(66%)會認真遵守企業政策,不過也有近三分之一(29%)受訪者承認會繞過企業規定,這也造成了公司無可避免的安全風險。這證明了不管企業喜歡或不喜歡,企業IT都對正在發生中的自帶設備和消費化趨勢都失去了控制。

這些個人設備訪問企業網路和資料時的安全性是最被關心的問題。事實上,有相當數量的受訪者(63%)都了解這風險,也在部分個人設備上安裝安全軟體。然而,儘管出現在新行動平台上的惡意軟體數量呈現指數性的成長(特別是Android),但這些使用者中只有一小部分安裝安全軟體在自己的智慧型手機(16%)上,平板電腦上則更少(7%)。

透明度和充分披露是企業自帶設備計劃的成功關鍵。然而,只有一小部分使用者(8%)曾被雇主告知,他們的個人檔案和隱私可能會因為將自己的個人設備連到企業網路而受到影響。

更糟的是,有大部分使用者(54%)承認將自己的個人設備給別人使用。個人電腦是最可能讓家人或朋友一起使用的設備(40%),接著是智慧型手機(20%)和平板電腦(10%)。這也是主要的擔心,企業資料可能會暴露給並不瞭解企業自帶設備政策的第三者。此外,雇主發起遠端鎖定和資料擦除時也可能會影響到第三者的個人檔案,進一步讓公司需要擔負責任或訴訟之中。

繼續閱讀

近五成的網友僅花10 秒閱讀隱私條款,即按下:我同意!

好奇心讓你的Facebook成為詐騙貼文宣傳管道!近期Facebook上廣佈兩個分別名為「瘋了!我不敢相信,自己看看吧!」以及「x!太失望了,你看看」的貼文,並附上看似影片連結的Linekee短網址誘惑民眾點選,要求民眾輸入Facebook帳號密碼,以及特定組合鍵。   輸入後使用者將會看到特定遊戲廣告。同時此一貼文也被轉貼到使用者的Facebook頁面上,令使用者不堪其擾。

 

近期Facebook上廣佈兩個分別名為「瘋了!我不敢相信,自己看看吧!」以及「x!太失望了,你看看」的貼文,並附上看似影片連結的Linekee短網址誘惑民眾點選,要求民眾輸入Facebook帳號密碼,以及特定組合鍵。

 

趨勢科技調查逾六成網友1分鐘內點選聳動標題 心理測驗或遊戲連結   【2013 年03月19日 台北訊】好奇心讓你的Facebook成為詐騙貼文宣傳管道!近期Facebook上廣佈兩個分別名為「瘋了!我不敢相信,自己看看吧!」以及「x!太失望了,你看看」的貼文,並附上看似影片連結的Linekee短網址誘惑民眾點選,要求民眾輸入Facebook帳號密碼,以及特定組合鍵。 輸入後使用者將會看到特定遊戲廣告。同時此一貼文也被轉貼到使用者的Facebook頁面上,令使用者不堪其擾。而根據趨勢科技的調查,七成的網友看到好玩遊戲時會認真勾選隱私資料的分享權限,但同時也有近五成的網友僅花10 秒的時間閱讀隱私條款後按下我同意,顯示網友對聳動標題、心理測驗或遊戲的連結,仍不具有抵抗力。

 

  根據趨勢科技的調查,七成的網友看到好玩遊戲時會認真勾選隱私資料的分享權限,但同時也有近五成的網友僅花10 秒的時間閱讀隱私條款後按下我同意,顯示網友對聳動標題、心理測驗或遊戲的連結,仍不具有抵抗力。

調查

調查

繼續閱讀

當 APT 攻擊者擁有很大程度的控制權時,該怎麼辦?

一封假冒銀行交易的信件,導致南韓爆發史上最大駭客攻擊 企業及個人用戶電腦皆停擺 企業該思考的是,當我們的傳統防禦失敗後,接下來有什麼方法來防止APT進階持續性威脅 (Advanced Persistent Threat, APT)/目標攻擊?比較好的態度就是假設攻擊已經進到在內部網路裡,因為這會迫使我們去重新思考目前的保護措施。

南韓爆發史上最大駭客攻擊,社交工程信件樣本

了解目標攻擊:我們要如何防禦?

作者:Martin Roesler(威脅研究總監)

上一篇的文章(了解目標攻擊:我們真正對抗的是什麼?)裡,我談到在APT進階持續性威脅 (Advanced Persistent Threat, APT)/目標攻擊裡攻擊者所掌握到的優勢。還有接受這事實,好正確地處理攻擊是如何的重要。現在來到困難的部分:當我們認識到攻擊者擁有很大程度的控制權時,我們現在該怎麼辦?

請記住,即使我們認知到攻擊者掌握更大的控制能力時,並不代表我們沒有任何控制能力。我們的確有,而且要記住,如何善用我們所擁有的控制能力去處理目標攻擊是非常重要的關鍵。

控制外圍網路

當然,想要讓任何形式的控制能力真正發揮作用,我們就必須完全瞭解自己到底掌控什麼。牢牢控制誰和什麼東西可以存取網路,和擁有什麼層級的權限可能會犧牲掉大部份員工的便利性,但是想到APT進階持續性威脅 (Advanced Persistent Threat, APT)/目標攻擊的危險性,還是把安全性放在第一位比較重要。

確認網路的部分工作就是要有深入的了解,具體化我們認為正常的作業、流程、事件和行為。知道什麼是真正的正常,將有助於更快也更正確地識別出異常來。

一旦確認好網路範圍,另個關鍵是要有監控網路的措施,這裡所談的是對於任何網路進出的能見度和控制能力。可以幫助網路管理員這樣做的技術之一是DNS Response Policy Zone(RPZ)。DNS RPZ提供一個可擴展的方式來管理對於網路的連結。如果加上網域黑名單,就會建立一個更加安全的網路環境。

部署由內到外的防護

傳統的防禦重點在於強化防火牆和透過黑名單來過濾壞份子。而在今日,這個「由外到內」的策略對抗一般的簡單攻擊是很有效,但在面對APT進階持續性威脅 (Advanced Persistent Threat, APT)/目標攻擊時就幫不上忙了。傳統防禦是用來對抗那些形式和來源都很容易識別的攻擊,但非目標攻擊。

 

傳統的防禦

一個更佳防禦的典範是魔戒裡的剛鐸首都 – Minas Tirith。這座城堡的設計是將主城放在中心,四周環繞著七層高牆。每一個層都比前一層還高,最外圍的牆壁最低矮,但也最堅固。每層牆壁都有城門,但門與門之間沒有辦法直接通過,每個城門都位在城堡的不同方位。這也是軍事戰略中被稱為「縱深防禦」的策略。它非常有效,因為不僅提供對外部攻擊的防護,還可以防止由內發起的攻擊。套用在網路防禦上,就好像部署多層次防護,並對關鍵資料進行加密。

繼續閱讀

《APT攻擊/威脅 》 水坑攻擊: 不是去攻擊目標,而是去埋伏在目標必經之路

水坑(Watering hole)」攻擊和我們一般認為的網路攻擊相反。並不是去攻擊目標,而是去埋伏在他們知道目標可能會去的地方。

跟你在老西部片裡會看到的一種策略類似,壞人會在沙漠裡的一個水坑盯哨,因為他們知道目標會在這停下來取水,就可以在此時展開攻擊。因為最終每個人都還是要到水坑喝水的……

作者:Christopher Budd

如果你最近有看新聞,那可能會注意到有許多大公司被駭了,就好像在看富士比排行榜一樣:紐約時報、華爾街日報、臉書、推特、蘋果和微軟。

 

這是起非常成功的駭客攻擊,同時也會讓人感到非常不安:我從不記得曾經有過如此多大型而重要的公司宣布被成功地攻擊。在一些討論裡清楚地顯示出這是起目標攻擊。APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)目標攻擊就是駭客會針對特定公司或個人來獲取資料。除非你在這樣的公司工作,或本身是個名人,不然就不大可能成為這種攻擊的受害者。

但這些故事聽起來還是很令人心生恐懼,不僅讓人想問:到底發生了什麼事?這是怎麼發生的?

另一種類型的攻擊

當我們想到駭客對某家公司進行攻擊時,浮在腦海裡的印象往往是入侵者會去試探網路,找尋可以入侵的地方。但我們現在看到的並不一樣,因為有這麼多公司受到影響。因為其目標的大小和攻擊的規模在在顯示出這和之前不同。

一般的共識是,最近所發生的這許多起APT-進階持續性滲透攻擊 (Advanced Persistent Threat, APT)攻擊是被稱為「水坑(Watering hole)」攻擊的結果。「水坑」攻擊事實上和我們一般認為的網路攻擊相反。並不是去攻擊目標,而是去埋伏在他們知道目標可能會去的地方。

一旦目標出現,他們就會展開攻擊。這是一種被稱為「水坑」的攻擊方式,因為它跟你在老西部片裡會看到的一種策略類似,壞人會在沙漠裡的一個水坑盯哨,因為他們知道目標會在這停下來取水,就可以在此時展開攻擊。因為最終每個人都還是要到水坑喝水的……

網路水坑:行動開發者網站被入侵?

最近的這些攻擊很可能是因為行動開發人員所經常瀏覽的網站被入侵淪陷了。在接近二〇一二年底,趨勢科技TrendLabs看到一起水坑(Watering hole)針對美國外交關係委員會的網站。

水坑(Watering hole)的另一個共同特徵是會使用零時差漏洞,就像上個月我所提到的Java零時差漏洞。事實上,最近的這些攻擊也可能是Java的另一個問題所造成的。

最終,這些攻擊的目的都是為了要進入這些公司的網路來竊取資料或其他資產。進行破壞也有可能是針對政府設施和機構時的目的。你可以將這認為是一起複雜有計劃的專業攻擊第一步。

繼續閱讀

Mandiant APT報告被當作社交工程信件誘餌

作者:JM Hipolito

趨勢科技研究威脅的過程裡,我們看過了不同類型的社交工程陷阱( Social Engineering),好用來帶起不同的情緒,像是害怕或高興。這些誘餌往往很有效,因為我們過去看過好幾個成功的事件。然而,它們也很容易辨認,因為往往都使用類似的主題,就是最近發生的事件或節慶。

還有些則利用了不同的、更為低調的作法。這些伎倆不是為了引起注意,而是盡可能的避免。它們試圖融入目標受害者的日常生活,或利用他們的興趣來引他們入局。雖然這些伎倆相較於他們所帶來的攻擊來說非常安靜,它們很難被偵測,但往往更加險惡。

其中一個例子是水坑技術,被用在最近一次影響了Facebook和Apple等公司的攻擊裡。選擇使用行動開發者論壇當做水坑,這誘餌幾乎是完全被動的,並不施展任何手段來吸引受害者訪問該網站。這網站是被精心挑選過的,因為它已經被確認是目標攻擊受害者平常會去逛的網站。

早些時候,趨勢科技也看到最近所公佈的Mandiant報告被當做誘餌。這攻擊開始於寄件者建議去閱讀聲稱是該報告的PDF檔案(當然,這實際上是個惡意PDF檔案,被我們偵測為TROJ_PIDIEF.VEV)。

繼續閱讀