從CSA看雲端服務與資訊安全威脅(CloudSec2012 企業資安高峰會精彩議題搶先看)

CloudSec2012 企業資安高峰會 <立即報名>

蔡一郎

CSA(Cloud Security Alliance)雲端安全聯盟台灣分會創辦人暨研究小組召集人

雲端服務成為下一波網路攻擊的目標,新概念的服務導向型態,推動了下一波的資訊科技革命,進階的攻擊手法目前已朝向組織化、精緻化發展,大規模的攻擊行為已不多見,取而代之的是經過精心設計的網路攻擊,其中利用各種惡意程式感染受害者為當下最常見的手法之一,將針對雲端服務的安全問題進行探討,從雲端安全聯盟(CSA, Cloud Security Alliance)的角度,分析目前常見的資訊的竊取或是大規模的攻擊活動,其中對於惡意程式行為模式的掌握,對於特徵比對的方式進行偵測,變種速度快,系統一旦感染,防毒軟體不易偵測與清除等特性進行介紹

CSA依據不同的研發主題,已啟動了近二十個工作小組以因應目前雲端服務的發展趨勢,並嘗試從學術、產業、政府部門等角度,針對雲端服務的安全問題進行研析,雲端服務的平台受到特定的攻擊,造成雲端服務平台的資源耗盡或系統弱點被廣泛的運用,其中所隱藏的風險,將挑戰使用者對於雲端服務平台的信賴程度,面對此種威脅,講者將透過深入淺出的介紹,帶領與會人員掌握與瞭解雲端服務需要解決的資訊安全威脅與面臨的挑戰。

 
  • 蔡一郎,現職為財團法人國家實驗研究院 國家高速網路與計算中心副研究員,為IT界知名評論家與自由作家,擔任The Honeynet Project 台灣分會負責人(Taiwan Chapter Leader),雲端安全聯盟台灣分會(Cloud Security Alliance Taiwan Chapter)創辦人暨研究小組召集人(Founder and Director of Research),積極推動資訊安全領域關於偵測、分析與誘捕技術之推廣與研究,以及雲端安全在於產官學研界之核心技術;負責台灣學研網路資訊安全維運 與事件的偵測、分析與追蹤,為大型資訊安全計畫執行團隊負責人;專業技術精通UNIX-Like、Windows 作業系統與通訊網路技術,熟悉資訊安全領域相關技術,涵蓋系統安全、網路安全、資訊安全管理制度、資訊探勘與數位鑑識等領域。
  • 現職:財團法人國家實驗研究院 國家高速網路與計算中心 副研究員
  • 學歷:國立成功大學電腦與通訊研究所
  • 經歷:國立成功大學研究發展基金會 助理研究員
    1. The Honeynet Project Taiwan Chapter Leader
      Cloud Security Alliance Taiwan Chapter Founder and Director of Research
  • 網站:https://blog.yilang.org/
  • 自由作家:電腦圖書著作33本、Information Security (資安人)、Linux Guide、NetAdmin等專欄,計70餘篇
  • 專業證照:RHCE、CCNA、CCAI、CEH、CHFI、ACIA、ITIL Foundation、ISO 27001 LAC、ISO 20000 LAC、BS10012 LAC

    CloudSec2012 企業資安高峰會 <立即報名>

  •  CloudSec2012 企業資安高峰會-8/21台北場 8/23 高雄場(另有粉絲報名禮"萬用轉接頭" 即刻報名!!!) 繼續閱讀

Dropbox入侵外洩事件所遺留的疑點

作者:趨勢科技資深分析師Rik Ferguson

在7月18號,Dropbox宣稱他們開始調查有使用者聲稱在只跟Dropbox帳號有連結的電子郵件信箱裡收到垃圾郵件(SPAM)電子郵件的事件。兩個星期過後,這其中的問題似乎已經被釐清了。

 

Dropbox表示:「最近其他網站被盜的使用者名稱和密碼可以被用來登入到少數的Dropbox帳號」。而其中一個被不當存取的帳號正好屬於Dropbox員工,「裡面含有帶使用者電子郵件地址的專案文件」。他們相信垃圾郵件(SPAM)

是因此而來的。

 

對我來說,這項消息跟它被處理的方式裡面有幾個真正重要的問題。Dropbox工程師在「專案文件」裡使用真正的客戶資料,為什麼,不是應該用假資料嗎?而這份文件可以被存取,看起來是因為Dropbox員工將公司帳號密碼重複使用在其他被入侵的網頁服務上。他們沒有指明是哪些服務,但再次地,為什麼呢?

 

其次,Dropbox選擇透過電子郵件去通知被外洩的使用者,郵件內包含一個連結去重設密碼。這做法跟我們一直以來建議使用者不要去點來路不明郵件內的連結相衝突,尤其是那些要求你連上某個網站去輸入認證資料的郵件。總的來說,根據使用者回報,首頁上沒有出現對這次攻擊事件的說明,也沒要求使用者變更密碼,這樣子讓他們送出的密碼重置信件的可信度產生了問題。比較理想的作法是,受影響的組織可以發送電子郵件通知,但不是提供密碼重置連結,他們應該引導使用者到公司首頁,並在那裡提供進一步的資訊。

 

最後,Dropbox表示,因為被入侵的結果,有些使用者的密碼會被重設(「在某些狀況下,我們會要求你變更密碼(例如,如果它是個常見密碼或已經很長一段時間沒有變更)」)。問題是,Dropbox要如何知道一個使用者的密碼是個「常見密碼」呢?他們是用明文儲存密碼的嗎?他們儲存密碼是用未加料的雜湊值(unsalted hash)嗎(就像LinkedIn)?他們對每個使用者都加一樣的料,還是他們設計雜湊演算法時注重速度更勝於安全呢?如果以上任一點屬實,那麼他們的密碼資料庫就很容易遭受彩虹表(rainbow table)攻擊,這可不是件讓人放心的事情。

理想上,儲存使用者密碼時,應該為每個使用者都加獨特的料,而在設計雜湊程序時也要採用可以加入「工作因子(work factor)」的演算法(像是Blowflish)。這會大大增加破解個人密碼的時間,因為工作因子是可變動的,可以進行修改以跟上電腦運算能力的進步。只要增加工作因子就可以讓雜湊演算過程變慢。對單一運算的影響是微不足道,但想利用彩虹表攻擊來進行大規模運算就變得不大可能了。

 

很高興聽到Dropbox會替使用者實施雙因子認證,還有他們所宣布的其他的安全加強措施。但這次消息跟他們的處理方式還是留下了許多疑點。

 

除此之外,Dropbox的使用者現在要小心會利用Dropbox做餌的釣魚攻擊了。犯罪份子一定會想到去利用它的。而且這件事也告訴了我們,為什麼應該要在每個網路帳號都使用不同的密碼。如果你無法信任你的服務供應商,你就必須會自己的安全負責。

 

@原文出處:Dropbox Breach leaves unanswered questions

想了解更多關於網路安全的秘訣和建議,只要到趨勢科技粉絲網頁上按讚:https://www.facebook.com/trendmicrotaiwan

@延伸閱讀
測試你的密碼:更多的密碼外洩事件(含複雜密碼,簡單記憶法設定教學)

“電子郵件帳號被入侵,還好裡面沒重要的東西?! “事實上,裡面是大有東西在。

從 Yahoo 被駭事件,看如何降低線上服務資料外洩,對你帳號密碼的衝擊?(含歷年最駭密碼一覽表)

【圖表】LinkedIn被盜帳號的前30大常用密碼(F開頭髒話和 ILOVEOU 都不是好主意)

 

 

 

【立即下載試用PC-clin 2012 雲端版 臉書地雷區 bye bye~

◎ 免費下載防毒軟體:歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻按這裡下載

@參考推文

雲端系!史上最強防毒軟體現身 看更多<PC-cillin真的不一樣>100字推文

◎ 歡迎加入趨勢科技社群網站
   

《趨勢專家談雲端運算》墮入虛擬化相關威脅的深淵

作者:趨勢科技Bernadette Irinco

虛擬化環境裡的安全漏洞對企業來說也是很大的威脅,可能會造成業務中斷、資料被竊或是財務損失等後果。網路犯罪分子可以利用網頁伺服器或網頁應用程式的漏洞來進入本被隔離的部分公司伺服器。進而利用來存取公司的重要資產,像是客戶資料庫或是商業機密。而所偷來的資料可以在地下黑市出售,或是用來發動更進一步的攻擊。

 

然而,儘管公司資料有著明顯的風險,而且資料被入侵外洩後也得付出不少代價,但是系統管理員卻還是喜歡或是被迫地讓伺服器不去更新修補程式。系統管理員有時會延遲修補更新程式的佈署計畫,原因是要讓更新生效需要重新啟動系統,這對需要全天無時無刻正常運作的系統來說,可能意味著會有重大的商業損失。而且軟體廠商可能也要花上一段時間(幾天到數週不等,甚至數年)來開發修補程式給已知的漏洞,這也讓管理員沒有選擇。就在最近,微軟公開關於Microsoft XML核心服務漏洞的零時差攻擊。一旦攻擊成功,它就可以透過針對瀏覽器的網頁攻擊來控制受感染的系統,而在公佈時還沒有修補程式可用。僅在2011年,就有1822個關鍵的軟體弱點被公布,讓使用的公司都有可能陷於危險中。因此,管理員做出困難決定時,也可能讓自己的網路暴露於威脅中,或讓公司的資料陷入危險。

 

資料圖表 – 「安全防護虛擬環境所面臨的挑戰」將虛擬化相關問題具體的表達出來,介紹了對企業網路的相關威脅,像是舊系統漏洞、概念證明(Proof-of-concept)和零時差攻擊等威脅。一旦企業遺漏掉這些安全漏洞,就有可能會損害到品牌形象,或是更糟地讓公司失去重要的資產。

 放眼未來:

防護虛擬環境的挑戰

防護虛擬環境的挑戰
防護虛擬環境的挑戰

企業可能暴露在這些安全漏洞的威脅,而讓虛擬化環境被入侵。落入這些威脅的深淵可能會讓他們的業務中斷,更糟的可能會導致資料外洩或財務上的損失。

虛擬主機間(Inter-VM)攻擊和其他淪陷方式

運行相同作業系統和應用程式的虛擬伺服器就跟實體伺服器一樣。所以像是惡意軟體和漏洞攻擊這些會影響實體環境的威脅,一樣會影響虛擬化環境。

繼續閱讀

天氣預報軟體 – GoWeather出現木馬山寨版,攔截手機認證碼,駭客看影音你付費

趨勢科技發現一個Android惡意軟體家族會未經使用者同意就下載應用程式和付費影音,讓受害者花上不必要的錢。它們都是正常的天氣預報軟體 – GoWeather的木馬化的山寨版本,被趨勢科技偵測為ANDROIDOS_TROJMMARKETPLAY。

 

 

 

 

 

 

 

 

 

經過研究,趨勢科技取得這惡意軟體家族的三個樣本。其中一個樣本(偵測為ANDROIDOS_TROJMMARKETPLAY.B)和其他樣本比起來,似乎是測試用的版本。我們發現許多測試資訊和代碼,留下讓我們可以找到幕後黑手的線索。

 關閉付費彈出視窗,他下載影音等應用程式你買單

現在讓我們專注在可能是測試版本的樣本上。一旦安裝完畢,ANDROIDOS_TROJMMARKETPLAY.B會將行動網路的APN更改為CMWAP,讓行動裝置自動登錄到第三方應用程式商店 – M-Market。使用者第一次登入時會出現付費彈出視窗。惡意軟體會接著關閉此視窗,並打開M-Market上的頁面去尋找並下載付費影音或應用程式。這行為會讓受害者幫他人下載的應用程式和影音買單。

使用者第一次登入時會出現付費彈出視窗。惡意軟體會接著關閉此視窗,並打開M-Market上的頁面去尋找並下載付費影音或應用程式。這行為會讓受害者因為不想要的應用程式和影音而花錢

 

要求回覆認證碼簡訊遭攔截,驗證碼圖片遠端解碼,受害者渾然不知

通常使用者會接到M-Market所傳來的確認簡訊,並要求回覆認證碼。不過在此案例中,惡意軟體會攔截並回覆簡訊,所以受害者並不會察覺。至於驗證碼圖片,惡意軟體會下載圖檔,並且送到遠端伺服器來進行解碼。解碼伺服器的位置放在設定檔內 – yk-static.config。這檔案裡還包含其他設定,包括用來發送簡訊的電話號碼。網域名稱欄位是用來放解碼伺服器的位置。

 

解碼伺服器的位置放在設定檔內 - yk-static.config。這檔案裡還包含其他設定,包括用來發送簡訊的電話號碼。網域名稱欄位是用來放解碼伺服器的位置。

 

趨勢科技還觀察到ANDROIDOS_TROJMMARKETPLAY.B有個顯著的不同。和其他同家族的惡意軟體樣本(偵測為ANDROIDOS_TROJMMARKETPLAY.A)比起來,這個測試版本具備自我更新的功能。它攔截並回覆驗證簡訊的方法也不同。 變種.B使用資料庫, 變種.A則使用檔案來儲存驗證碼。此外,變種.A含有尋找付費影音的程式碼。

繼續閱讀