小心保護線上隱私

越來越多人會在網路上處理各種個人事務(像是網路購物和使用網路銀行)。你一定會想知道,到底有多少你的資訊可以在網路上被看到。網路跟我們的日常生活已經結合的如此緊密,網路犯罪份子也會用更新、更有創意的方式來打破我們在網路上的隱私。

一切都跟廣告有關

因為網際網路用途的大量增加,也讓網路公司很有興趣去追蹤大家都在網路上做些什麼。好讓這些公司可以據此來行銷產品和服務,多數人也都可以在社群網站、新聞部落格、線上娛樂頻道看到。事實上,網路廣告已經是大多數網站的金錢來源。

在2010年,Google披露了他們96%的收入來自廣告(放在自身網站或使用其廣告業務的網站上)。而社群網路巨頭Facebook的全球廣告收入也預估會在2011年上升104%,來到38億美元。

因為一些廣告服務供應商(像是Google AdSenseYahoo! Advertising Solutions)都提供客製化廣告的服務,你應該會發現服務供應商和廣告商是可以追踪你的線上活動的。廣告商會想辦法去收集資訊,比方說從你去過的網站和你填寫的線上個人資料中得知。


客製化廣告:
仙丹還是毒藥?

大部分網站的廣告需求都是經由第三方廣告網路來管理。線上廣告或是廣告網路是中介廣告商和希望提供廣告的網站所有者間的橋樑,廣告網路使用集中伺服器去提供對的廣告給對的網站訪客,也會在網路上監看著使用者的活動。

廣告網路還可以讓第三方公司透過使用者的網頁瀏覽記錄來觀察他們的線上活動,進而了解他們的喜好。雖然對某些人來說,將使用者與可能引起他們興趣的網路廣告做配對不是什麼問題,但也有些人覺得這是種對隱私的侵犯。對多數賣家來說是很方便跟有用,但對於他們所監看的人來說卻是在侵犯隱私。

要在瀏覽網頁時保護個人隱私,牢記下面的秘訣:

  • 定期刪除CookieCookies存放了網站相關資訊,所以有可能被網路犯罪分子所竊取利用。刪除Cookie有一個缺點,就是每當你再次訪問網站時,都會要求你重新輸入帳號名稱和密碼。
  • 使用隱私瀏覽:瀏覽器提供這種特殊模式好讓你的網路活動得以保密,不被窺探。選擇隱私瀏覽會使用新的瀏覽器視窗,並且會在你關閉視窗時刪除所有的歷史記錄和cookie。但是要注意的是,如果你的視窗還是開著,並不保證可以保持匿名,會讓廣告商仍然可以追踪到你。
  • 使用網路廣告促進會(NAI的選擇退出(Opt-out)工具。這個工具讓你可以選擇退出客製化廣告的目標。身為促進網路廣告自我節制的組織,網路廣告促進會(Network Advertising Initiative,NAI)讓你可以選擇不接受其成員公司的廣告行銷。因此,你可以不再被這些會量身打造廣告,但被你所封鎖的廣告公司所打擾。

過度分享的陷阱

當廣告網路需要根據你的網站偏好和使用模式來猜測你會感興趣的內容時,社群媒體已經擁有了所有的資訊,他們只需要你自己不停的提供給他們。感謝社群媒體整合了多個網站,社群網站可以很簡單的找到你的好惡。

也因此,社群媒體「採礦」快速地成為業界的標準做法,尤其是對那些保險和人力資源(HR)公司來說。比方說,他們會監看社群媒體好找到可能的詐騙案子,特別是根據報導,這些詐騙案每年會讓保險業損失大約三千萬美元。

被貼到社群網站的內容,現在也會被拿來在法庭聽證會上作為證據。像是在離婚過程中,會利用上傳到Facebook的照片來證明丈夫的不忠。

重新定義「隱私

大部分得歸功給今天的年輕人,在網路上保持使用者資料機密已經結束了。新一代的年輕社群媒體玩家對於保護和分享資訊有著不同的態度,他們樂意對各方提供個人資料。在短短幾年之內,具有隱私意識的人將成為少數。而這將是廣告業者,或者更糟的是 – 攻擊者的美好未來。

要將米蘭達宣告(Miranda Rights)的內容銘記在心 – 「你所說的一切,都可能成為對你不利的證據」,這代表你在網路上發表任何事情前都要先三思。避免分享太多,尤其是當你還不清楚如何設好你在社群網站上的隱私設定。想知道更多小技巧,來參考Facebook隱私設定:

Facebook 隱私設定-1(應用程式和廣告設定)

Facebook隱私設定-2(標籤,打卡與個人檔案能見度)

Facebook隱私設定-3(不是朋友也能”訂閱”及五個例外規則)

一個應用程式值得冒險嗎?

當越來越多使用者下載應用程式到他們的行動設備上時,安全和隱私也變成了更為嚴重的問題。智慧型手機已經成為駭客愛好的惡意軟體平台。

我們已經看到有應用程式用遊戲當幌子來監視使用者。也因此你要養成習慣,在安裝應用程式前先檢查它所要求的權限。許多應用程式都是透過廣告獲利,這代表著它們有著一樣的廣告網路隱私問題。 繼續閱讀

從紐約時報APT攻擊裡所學到的教訓

作者:趨勢科技Christopher Budd

紐約時報發表他們從四個月前就開始遭受APT進階持續性威脅 (Advanced Persistent Threat, APT)。該報告還提供出一定程度的細節,這其實是相當少見的,任何對資訊安全和防範APT攻擊有興趣的人都應該花點時間來讀完紐約時報全部的故事

從紐約時報APT攻擊裡所學到的教訓

紐約時報還做了一件事,就是指出了他們有安裝安全產品,但是這些產品未能阻止攻擊。他們甚至將這安全廠商列名出來,讓人覺得他們將矛頭指向該美國安全廠商。紐約時報的故事和安全廠商的反應似乎都暗示集中在基於病毒碼(特徵碼)的端點安全防護方案。

有了這些資訊以及我們對這攻擊的所知訊息,我們可以學到一些教訓,關於要怎樣如何才能充分保護網路環境以對抗APT進階持續性威脅 (Advanced Persistent Threat, APT)

 鎖定特定對象電子郵件帳號,進而存取 53 名員工個人電腦

本部落格分享過這篇:《APT進階持續性威脅~主要目標攻擊侵入點:eMail》63%產品規劃藍圖 ,76%預算計畫經由 email 傳送,紐約時報陳述攻擊的進入點也是透過針對特定對象的電子郵件帳號(大概是透過適當的開放情報收集所確認得來)。獲得控制權後,他們利用帶有特定目的的惡意軟體來建立命令和控制(C&C)通訊點。接著,開始橫向移動,先偷取企業內所有員工的密碼(透過針對網域控制(DC)伺服器的攻擊),並用來存取其他系統(包括53名員工的個人電腦,其中大多數不屬於紐約時報編輯部)。
關於APT 攻擊常用的三種電子郵件掩護潛入技巧,請參考:《這裡》含多則中英文信件樣本

45個客製化惡意軟體潛伏部署,但廠商沒有偵測到

他們說從這起攻擊中所學到的教訓是,有45個客製化惡意軟體被部署,但安全廠商未被偵測。該報告接著說明沒有重要資料被竊取,因為這次攻擊被及早的發現。調查人員也在監控這起攻擊,以了解需要做些什麼來防護網路。

以病毒碼(特徵碼)為基礎的防護,無法全面主動監控

對於像是這樣複雜的攻擊來說,很明顯地,傳統基於病毒碼(特徵碼)的端點安全防護是不夠的。攻擊者可以製作並測試出多面向的目標攻擊以特別用來閃避這些產品的偵測。他們是整體安全防護的一個重要部分,但必須包含在更整體的防護策略中,包括啟發式偵測、動態信譽評比服務和主動式網路監控。

以客製化防禦對抗針對性攻擊

如我上面所說,我們不確定紐約時報用了哪些產品以及如何部署。但是,我們可以觀察這起攻擊所提供的細節,去了解攻擊者這些天做了哪些事情,從而確認怎樣的防護策略會最有效果。答案很顯然是設計用來對抗進階威脅的主動式、多層次安全防禦:現在需要客製化的防禦去對抗針對性的攻擊。如趨勢科技Deep Discovery,便可以防禦目標攻擊繼續閱讀

APT 駭客工具解密

趨勢科技2013安全預測中,我們提到惡意軟體會逐漸地演變,不會有太多顯著地變化。這可以從APT進階持續性威脅 (Advanced Persistent Threat, APT)使用一些(合法)駭客工具中看得出來。

attack

這為什麼是個問題呢?駭客工具是種灰色軟體,並不一定會被防毒軟體防毒軟體所偵測,或因為道德法律考量讓他們不這樣做。不幸的是,這意味著在APT進階持續性威脅 (Advanced Persistent Threat, APT)鑑識調查裡更難發覺它。此外,它也讓攻擊者省下自己開發工具的麻煩。常見到的駭客工具有:

密碼回復工具 – 用來將應用程式或作業系統存放在本地硬碟或註冊表內的密碼或密碼雜湊值取出的工具。通常被用來複製或偽造使用者帳號以取得管理者權限。雜湊值注入(Pass-the-hash)是種常見的方式讓攻擊者透過偷來的密碼雜湊值取得管理者權限。

  • 使用者帳號複製工具 – 當攻擊者取得密碼後,用來複製使用者帳號的工具。一旦取得足夠權限,攻擊者就可以繞過系統的安全措施,執行惡意企圖。
  • 檔案操作工具– 用來操作檔案(複製、刪除、修改時間標記、搜尋特定檔案)的工具。它被用來修改存取過檔案的時間標記或刪除特定組件以掩飾入侵的痕跡。它也可以讓攻擊者透過副檔名搜尋所需要的關鍵文件。
  • 排程工具– 用來關閉或建立排程的軟體。這可以讓攻擊者透過關閉軟體更新排程以降低受感染系統的安全性。同樣地,也可以做為惡意用途。例如,攻擊者可以建立排程以在特定時間自動竊取檔案。
  • FTP工具 – 用來執行FTP傳輸的工具,像是將檔案上傳到特定FTP站台。因為在網路上的FTP傳輸看起來比較不那麼可疑,有些APT(進階持續性威脅)幕後黑手會偏好將竊取來的資料上傳到遠端FTP站台,而不是上傳到C&C伺服器。要特別指出的是,有好幾個合法的FTP應用程式也被網路犯罪份子所用。
  • 資料壓縮工具– 這些工具本身並非惡意,也不被視為入侵用的工具。在大多數情況下,這些都是合法的檔案壓縮工具,像是WinRAR,只是被攻擊者用來將多個偷來的檔案加以壓縮合併。這可以在資料竊取階段,幫攻擊者將偷來的文件合成一個單一檔案上傳。在少數情況下,我們也看到這些應用程式被組合設定來壓縮預先定義好的一組檔案。

要如何判斷APT(進階持續性威脅)使用這些駭客工具?

我們已經看到要如何使用這些工具在APT進階持續性威脅 (Advanced Persistent Threat, APT)中取得管理者權限,並且收集關鍵文件。那麼IT管理員和進階使用者該如何利用這資訊來判斷有使用這些工具的APT進階持續性威脅 (Advanced Persistent Threat, APT)繼續閱讀

亞洲的雲端運算安全現況

作者:趨勢科技雲端安全副總裁Dave Asprey

一次拜訪亞洲的旋風之旅裡,我在好幾個虛擬或面對面會議上發表演說,其中包括了Cloudsec2012。我拜訪了數十位代表雲端基礎架構安全的IT高階主管,他們來自日本、新加坡和其他許多亞洲國家。這次參訪讓我有機會去真正挖掘亞洲的雲端安全資訊,足以讓我寫出一份新報告 – 「亞洲的雲端運算安全現況」。

雲端

這份報告將會深入探討雲端運算的發展是如何影響亞太地區。具體來說,我們比較了日本、澳洲、新加坡、馬來西亞、印尼和印度,利用公開的資訊和我們自己所做的大型研究,我們對全球一千多家企業的五百多名員工進行調查,以了解雲端安全的做法。此外,這份新報告還包含了亞洲IT高階主管所強調的雲端運算四個主要領域:

  • 巨量資料
  • 社群網路
  • 雲端平台
  • 消費化

這四個領域相當重要,因為它們驅動著雲端應用的普及,這可能會導致亞洲的經濟成長。但是,在亞太地區的公司擁抱雲端運算嗎?

幾乎沒有。 繼續閱讀

有趣的手機與 iPad失而復得故事(找回手機只要一張辣妹照片和一把鐵鎚?)

 

Nadav Nirenberg(右)偉裝成辣妹(右)跟竊賊交手,取回 iPhone
Nadav Nirenberg(右)假裝成辣妹(右)跟竊賊交手,取回 iPhone

 

作者:Richard Medugno

最近,我在赫芬頓郵報上讀到一篇關於某人在計程車上掉了iPhone的故事。

簡單地說,事情的經過是這樣的:一個年輕人Nadav Nirenberg將他的手機遺失在紐約的計程車上。當他發現手機掉了,他就一直撥打遺失手機的號碼。卻都沒有回應,但他發現他的線上約會帳號已經被人偷用了。很明顯地,是那個拿他手機的人做的。這個人冒用Nadav的名義在交友網站OKCupid上和別的女人互動,還貼了些不是很酷的東西。

所以Nadav很聰明地在OKCupid上建一個假女性帳號來誘騙這冒用他名義、偷他手機的人來他公寓約會。可以讀赫芬頓郵報的文章來了解Nadav是如何拿回手機的完整故事。

編按:
失主在Google搜尋一張露乳溝的金髮美女照片,並自稱為「布魯克林的珍妮佛」,好色竊賊果然上鉤了並約好見面時間。竊賊精心打扮帶著一瓶酒赴約,沒想到迎接他的卻是憤怒的男人及一把鐵鎚。到底是失主聰明還是竊賊笨呢?

遺失在飛機上的  iPad

Nirenberg的故事讓我想起了一個朋友Jen Burns,趨勢科技的前同事。她在加州到華盛頓特區的達美航空飛行上發現了一台iPad,就出現在她的座位和牆壁間。她思考著該怎麼做:

A) 將它交給航空公司 或B)打開它,看是否能夠找出失主還回去。

根據她在資安方面的背景,她覺得將iPad直接還給失主會比較好。因為交給航空公司可能會在哪個環節遺失了。當然,選項B取決於她是否能在iPad上找到資料。結果證明這iPad的主人並不是趨勢科技的粉絲,因為這設備沒有密碼保護。在這情況下,它很幸運,因為Jen可以打開iPad,找出使用者(這裡用假名Claire),還有她和她先生的電子郵件地址。

Jen隨即就發送電子郵件給這對夫婦,告知撿到了他們遺失的iPad,並會在過幾天,度假結束後寄回給他們。他們很高興收到Jen的通知,也很感謝她會寄回iPad的。他們鬆了一口氣,因為iPad上,他們兩歲大孩子的照片還沒有備份。

好心沒好報?!威脅報警

所以Jen繼續她的假期,並且很高興自己做了正確的事情。不過在幾天後,她還在度假的時候,Jen查看電話,發現四則語音留言,來自Claire和他丈夫越來越激動的留言,要求歸還還iPad。最後一個留言還威脅著要報警。 繼續閱讀