一個好的 App 程式該具備什麼？以下是程式開發人員在釋出程式之前應該注意的一些事項。
- 程式的特色和功能是否如文宣上所言？
- 程式是否消耗過多的電力？
- 程式是否提供滿足廣大使用者需求的功能或內容？
- 程式的介面是否友善？
- 程式是否通過品質檢驗，確定沒有需要修正的漏洞或軟體錯誤？
- 程式要求的權限是否恰當？
【趨勢科技新聞快訊】微軟CVE-2014-4114 PPTX/PPSX 零時差攻擊 已現身台灣
微軟才在上週二發布的例行性安全公告，其中新發現的零時差漏洞CVE-2014-4114，之前傳出有駭客透過此漏洞成功竊取北大西洋公約組織與歐盟等企業的重要資料。日前趨勢科技已在台灣接獲首例透過此漏洞的攻擊案例，呼籲企業及個人用戶小心防範。
目前已在台灣發現駭客透過此漏洞攻擊的蹤影
一封名為「檢送簡報資料」的郵件，其中包含了一個名為「雲端資安.ppsx」的附件檔(如下圖)。若不慎開啟，內嵌在文件裡的PE病毒將被自動執行。造成使用者電腦暴於資料被竊的風險中。
若有安裝趨勢科技產品，嘗試開啟時可偵測此病毒程式如下圖:
此漏洞的詳細內容如下：
- 此漏洞存在於Microsoft Windows系統與伺服器當中的OLE封裝管理程式。
- OLE封裝程式 (packager) 可下載並執行 INF 檔案。目前在所觀察到的案例中，尤其是在處理 Microsoft PowerPoint 檔案時，封裝程式可讓封裝的 OLE 物件參照任意外部非信任來源的檔案，如：INF 檔案。
- 當攻擊得逞時，此漏洞可讓駭客從遠端執行任意程式碼。
趨勢科技產品已經可以偵測利用此漏洞的病毒程式，病毒名稱為”TROJ_MDLOAD.PGTY”。當開啟駭客製作的 Power Point檔案之後，會下載一個INF檔惡意程式(被偵測為”INF_BLACKEN.A”)，並嘗試下載與執行一支被偵測為”BKDR_BLACKEN.A”的後門程式，可讓駭客遠端遙控進行不當行為。
由於此一攻擊方式並不特別複雜，很有可能導致駭客們大量濫用，趨勢科技針對此波零時差攻擊提出建議：
趨勢科技用戶：
趨勢科技 APT 防護解決方案已可針對此漏洞進行防護，透過”惡意文件指紋偵測引擎”(ATSE靜態引擎)成功偵測並攔阻此社交工程之惡意文件。呼籲用戶請盡快更新最新防毒元件，以偵測此病毒程式。
趨勢科技用戶請更新最新防毒元件，以偵測此病毒程式。若有使用 TrendMicro Deep Security與 OfficeScan IDF plug-in的用戶們亦可套用下方DPI規則進行偵測。
- 1006290 – Microsoft Windows OLE Remote Code Execution Vulnerability (CVE-2014-4114)
- 1006291 Microsoft Windows OLE Remote Code Execution Vulnerability (CVE-2014-4114) – 1
一般用戶：
建議用戶盡快針對此一Windows作業系統的漏洞進行修補，在完成修補前，不要隨意開啟陌生人寄來的PowerPoint檔案，以降低被攻擊的風險。一般使用者並透過趨勢科技PC-cillin 2015雲端版協助偵測可疑的PowerPoint 檔案，以免落入駭客陷阱。
詳細的攻擊資訊及手法可參考:
八種駭客用來竊取企業資料的後門程式技巧(內有白皮書)
八種駭客用來竊取企業資料的後門程式技巧
後門程式可讓駭客從任何網路遙控缺乏防護的電腦，包括公共網路、家用網路或辦公室網路。透過一些所謂的後門程式技巧 (也就是後門程式所做的工作)，駭客就能暗中下令電腦竊聽使用者線上聊天內容、連上受感染的網站、複製密碼等等。
當 IT 系統管理員在電腦系統上發現後門程式時，很可能歹徒早已暗中蒐集有關其網路的重要資訊。此外，也代表駭客早已準備進入鎖定目標攻擊流程的第三階段，也就是建立其幕後操縱 (C&C) 通訊。若照這樣繼續發展下去，駭客最後將偷到一些可讓他們販賣或用於其他惡意用途的資訊。
下載完整的研究報告：鎖定目標攻擊所使用的後門程式技巧 (Backdoor Use in Targeted Attacks)
延伸閱讀：幾可亂真的 UPS 快遞電子郵件暗藏後門
為此，趨勢科技研究人員特別觀察駭客使用後門程式來操控目標網路的方式，截至目前為止，我們發現駭客最常使用的後門程式技巧有八項：
- 將後門程式綁定某個通訊埠。
若網路上沒有架設防火牆，駭客就能輕易透過電腦的某個通訊埠來進行後門通訊，也就是連接埠綁定。一旦後門程式綁定某個連接埠，駭客就能自由地與該電腦通訊，進而輕易加以掌控。
- 透過後門程式穿越防火牆。
若網路上架設了防火牆，駭客可利用反向連線的技巧來通訊。駭客會修改後門程式來檢查可用及沒有保護的連接埠以進行通訊。如此，後門程式就能穿越防火牆和防護軟體的封鎖。一旦後門程式找到一個可用的連接埠，就能連回駭客的幕後操縱 (C&C) 伺服器。
- 後門程式檢查可用的連線以傳輸檔案。
通常，駭客還會利用後門程式來搜尋可用的連線，以躲避入侵防護系統 (IDS) 的偵測。駭客一旦找到可用連線，就能經由後門程式暫時連上系統並進行其他惡意活動，例如傳輸檔案。
- 後門程式透過社群網路連上幕後操縱伺服器。
台灣為全球最常遭受鎖定攻擊第一名,企業缺乏資安防護意識
趨勢科技企業 APT 整合式防護平台 Deep Discovery 全新推出系列產品「電子郵件防護」與「端點裝置防護」
【2014年10月20日台北訊】傳統安全防禦已被證實無法有效偵測、預防APT攻擊-進階持續性滲透攻擊 (Advanced Persistent Threat, APT) /目標攻擊。趨勢科技2014上半年資訊安全總評指出，台灣以超過六成的攻擊事件發生占比成為全球最常遭受鎖定攻擊之國家，大幅領先居次的日本(22%)及美國(5%)，企業資訊安全危機四伏；然而，趨勢科技最新調查顯示近六成台灣企業雖擔心遭受APT及鎖定目標攻擊，卻有六成五企業不夠了解此類攻擊造成的災害，七成三企業也表示未有相關資安防護佈署計畫，顯示台灣企業高度缺乏資安防護意識，面對猖獗的 APT攻擊 /目標攻擊仍然毫無抵抗能力！
全球雲端資安領導廠商趨勢科技打造 Deep Discovery 平台，整合閘道、網路、電子郵件、端點裝置等多元防護，能即時偵測、辨識不易發現的威脅並提出解決方案因應，榮獲 NSS Labs 整體入侵偵測率第一，有效對抗先進 APT 威脅及鎖定目標式攻擊。為強化企業電子郵件與端點裝置防護，全新推出 APT 防禦系列產品： 企業電子郵件防護 Deep Discovery Email Inspector以及企業端點裝置防護 Deep Discovery Endpoint Sensor，可偵測並攔截傳統防護無法發現的鎖定目標攻擊之電子郵件、追蹤記錄端點與伺服器活動，方便企業調查攻擊並搜尋入侵徵兆，讓資安防護增添多一層保障！
趨勢科技資深產品經理吳韶卿表示：「APT與鎖定目標式攻擊已證明可躲過傳統安全防禦，造成企業資料外洩、營收短少、商譽受損等嚴重傷害。企業急需改變原有的安全防護，採用特殊的威脅偵測技術及主動式即時威脅管理來因應。趨勢科技Deep Discovery平台可即時偵測及發掘潛藏威脅，提供企業分析情報來預防並因應攻擊。趨勢科技研究指出，九成APT攻擊始於內含惡意檔案或網址的網路釣魚郵件，因此除了在Deep Discovery平台提供整合式防護，也分別針對電子郵件及端點防護推出Deep Discovery Email Inspector及Deep Discovery Endpoint Sensor兩大解決方案，讓企業最關鍵的位置都能部署更進階的威脅防禦。」
企業資安訓練只是新進員工的一次性事件?(內有影片)
資訊安全：它是一場旅程
作者：Rik Ferguson（趨勢科技全球安全研究副總裁）
影片裡「只想把事情做好」的員工,竟成最脆弱的資安漏洞,問題出在哪裡?
人,是最大弱點,企業，不管大小，都必須想辦法去解決「只想把事情做好」之原意良好員工所帶來的風險。同樣地，雇主也有責任去隨時瞭解技術和網路犯罪的發展，以提供有效的教育訓練。
企業必須確保他們真正瞭解今日所面對的威脅，不只是他們自己所認為的。他們需要確保他們的使用者被訓練好可以有能力且謹慎地去使用網路和公司資源，而非只是盲目地相信技術解決方案。員工應該知道無形的危害會如何發生和他們要關心哪些地方。
同樣地，人們需要清楚他們自己以及別人個人資料的真正貨幣價值，給予應有的對待，而不是隨便地透過社群和專業網路、部落格、電話、假問卷調查等方式提供給好奇的不知名者。
目前大多數公司的資訊安全訓練僅提供給新進員工。作為新進員工，你必須消化所有相關的政策並簽名。問題是這通常是一次性事件，三個月或三年過去，不僅員工會忘記如何實際應用這些政策，而且也沒有重新審查這些政策，只是假定威脅或技術環境本身沒有變化。
教育訓練，尤其是在資訊安全領域，應該是一個持續的過程而不是一次性事件。理想情況下，它應該有樂趣和被參與，確保安全性會放在公司意識的前線，無論是在工作還是外面。良好的資訊安全實踐應超出工作場所範圍，如在家裡活動，尤其是在自帶設備和消費者化時代，可能會帶給工作嚴重的影響。
資訊安全訓練對於提供給不感興趣的對象來說會是個棘手的問題；許多重要經驗可以向行銷、創意和網站內容學習，成為你企業的一部份。安全訓練不只是安全小組的任務；它需要企業內部多個團隊共同合作才能達到真正的成功。
遊戲化的概念或利用遊戲設計技術來提高非遊戲領域是能夠被成功應用在安全訓練的地方。將你的員工以功能性或地域性分組；用分階段的方式來提供員工相同的訓練，隨著時間慢慢的升級。制定排行榜來激發你員工的競爭心理，用一系列意想不到的測試來讓他們接受挑戰；比方說神秘來電者嘗試進行社交工程技術，嘗試在社群網路上建立關係，網路釣魚電子郵件活動設計用來誘捕粗心的人。如果你的員工隊伍已經被事先警告過訓練中包含實作元素，而且他們的安全雷達將會被不斷的測試，這只會加強他們的一般安全意識。能夠持續性的賺取成就和獎項，建立激勵動機來將安全性保持在你做日常一切事務時的列表頂端。
重點不是要懲罰或用其他方式對待得分最低的個人或團體；而是要建立安全的文化，讓每個員工都更加瞭解到他們行為所造成的後果，即時這些行為在當時看起來完全無害。
資訊安全不是一個目的地，這是一場旅程。
在10月份，我們支援國家網路安全聯盟以慶祝網路安全月 – 旨在教育企業和個人如何保持網路安全。到這裡來看看我們為你所收集的有用影片、圖表、部落格文章和報告。