“殭屍出沒,請注意!!”從交通系統等基礎建設被駭談起

作者:Christopher Budd

殭屍(步履蹣跚,會吃人肉的那種,不是出現在電腦上的那種)最近真是風靡一時。出現在電視影集和電視遊樂器上。甚至還有殭屍會在大街上散步。無論為什麼,殭屍都是我們現在喜歡用來嚇自己的有趣題材。

所以當人們想要作個有趣的惡作劇時,會選擇殭屍這題材也就毫不奇怪了。駭客入侵和遊戲間有些相似之處,我們最近也在殭屍上看到這一點。有人駭入交通號誌系統去警告司機「前有僵屍」。上禮拜,我們看到美國蒙大拿州大瀑布城的一家地方電視台 – KRTV的緊急警報系統被駭客入侵,送出警報給看電視新聞的居民:「死人從墳墓裡爬起來,開始攻擊活人。」

 

我們看這些故事時會邊笑邊分享,因為聽起來蠻聰明有趣的。但其中有危險的部分,這可不是開玩笑的。

關鍵基礎設施可能會被入侵

這些事件的重點是重要公共安全通訊基礎設施被入侵,然後被用在別的目的上。

我們都知道,當重要的公共安全通訊基礎設施被以「突擊(swatting)」的方式濫用時,可能會出現可怕的後果。突擊指的是人們用假的求助電話報警。結果讓全副武裝的特警隊(SWAT)衝進不知情而無辜的人家裡。雖然在這些事件裡沒有人被殺害,但那是因為有良好的訓練和運氣好。但事實上這系統已經受到破壞,將全副武裝的警隊送去他們認為有危險且可能需要使用致命武器的地方時,會讓別人的生命陷入危險中。

要認識到公路號誌和緊急警報系統被駭的風險,就必須專注在一個事實上,現在我們所看到的假消息都很有趣,同時荒謬而令人難以置信。我們會發現這是個笑話而不會採取行動。但如果這消息雖然是捏造的,但卻像是真的時,會發生什麼事呢?

繼續閱讀

十大行動釣魚詐騙:PayPal 奪冠有;75%偽裝成知名銀行金融單位

當網路釣魚進入行動世界

保護你的資料和設備並不只是鎖定手機那麼簡單

作者:Gelo Abendan

根據趨勢科技在2012年所觀察到的網路釣魚(Phishing)數量,可以看出網路犯罪份子已經開始針對新目標 – 行動設備。

CNN 報導指出:Trusteer分析了多個曾經代管網路釣魚(Phishing)網站日誌檔(存取記錄),網路釣魚郵件送出後,行動用戶通常是第一個連上的網站的設備

在2012年,趨勢科技發現有4000個 網路釣魚(Phishing)網址是為了行動平台而設計。雖然這數字還不到該年度所有釣魚網址的百分之一,但還是可以看出行動設備(智慧型手機、平板電腦等)的確是會面臨網路釣魚(Phishing)攻擊的平台。

網路犯罪分子利用偽裝成正常網站的網路釣魚(Phishing)站來誘騙使用者透露出敏感資訊,像是使用者名稱、密碼,甚至是帳戶的詳細資料。

更值得擔心的是,這些網路釣魚攻擊偽裝成什麼樣的網站。在2012年,有75%的行動釣魚網址偽裝成知名銀行或金融單位網站。一旦使用者被誘騙洩露出這些網站的登錄資料,網路犯罪份子就可以利用這些偷來的資料,透過受害者帳號來進行未經授權的交易及購物。

繼續閱讀

十大AWS安全祕訣:第二條,密碼策略和多因子身分認證

作者:Mark Nunnikhoven

在介紹如何利用AWS身份和存取管理來保護資源的文章裡,Justin介紹了AWS身份存取管理(IAM)的基本知識。今天我們要來看看如何使用IAM來設定密碼策略和多因子身分認證。

密碼策略(Password Policies)

使用強密碼的重要性是眾所周知的。大多數組織都已經有了密碼策略。這種策略通常會定義複雜度(像是包含多少個數字、特殊字元和密碼長度等),以及變更週期(像是每九十天就必須變更密碼)。

有些策略會更進一步,對於不同的設備或角色有不同的要求。CSIS的前廿項控制裡的第12項 – 「控制管理權限的使用」裡介紹了密碼策略的強化。就是要確保具有管理存取權限的人使用複雜密碼,並且必須一年變更好幾次。

IAM目前提供了一連串的設定來強制執行密碼策略。你可以為你的AWS帳號設定密碼策略。這策略可以讓你定義密碼的複雜度,但並不能設定變更週期。

現在就開始使用密碼策略是很棒,但你需要手動要求使用者定期變更密碼,或是採取別的方法加強……或是雙管齊下!

多因子身份認證

AWS的多因子身份認證(MFA)正是我們用來加強密碼策略的方法。

那麼,到底什麼是MFA?就是使用一個以上的認證因子來驗證誰是使用者。有三個常見因子:你知道什麼東西(something you know)、你擁有什麼東西(something you have)和你的生物特徵(something you are)。

 

我們的使用者已經具備了一個因子,就是密碼(使用者知道的東西)。對於AWS,第二個因子是使用者擁有的東西。可能是硬體認證裝置(可向AWS購買)或用軟體認證裝置,安裝在智慧型手機或其他設備上。

這些認證裝置會顯示隨機生成的數字,必須在使用者輸入自己的帳號和密碼登錄AWS管理控制台時輸入。這數字每隔幾秒鐘就會變化一次,以確保使用者在登錄時有認證裝置在身上。

現在想要認證成功,就必須輸入正確的帳號密碼,加上由正確認證裝置在使用者登錄當下所產生的數字。

繼續閱讀