Pen Test Partners的資安研究人員發現由第三方行動應用程式管理汽車警報的漏洞。據報此漏洞影響到了約300萬輛使用這些智慧物聯網（IoT）裝置的汽車。以下是關於這些漏洞你所需要知道的資訊。
[相關新聞：晶片鑰匙漏洞讓駭客可以打開速霸陸汽車]
這些是什麼漏洞？
這些是管理智慧警報功能的應用程式API內的IDOR漏洞（insecure direct object reference）。當不安全應用程式暴露出對內部元件的數值、資料或引用時就可能發生。例如，IDOR漏洞可以洩漏儲存在應用程式後端的資訊。
在智慧警報案例中，API內的IDOR漏洞無法正確驗證對應用程式的請求。影響智慧警報的漏洞已經披露給受影響的廠商並加以修復。
繼續閱讀企業打造智慧工廠需要投入相當大的精力。一開始還要先了解它們獨特的地方及它們所能提供的新優勢。而現實上，還必須要認識智慧工廠融合了虛擬和實體環境後所可能出現的風險和威脅。
跟許多整合工業物聯網（IIoT）的系統一樣，智慧工廠融合了資訊技術（IT）和操作技術（OT）來做到即時監控、互操作性和虛擬化等功能。但這也代表了受攻擊面的擴大。更重要的一點是，融合環境內的網路威脅能夠直接對現實造成影響。
因此，IIoT的安全性對於建立和運作智慧工廠有著相當重要的作用。但應該要如何去做？想回答這個問題就必須先了解打造IIoT安全性的各個模塊。
推薦的智慧工廠資安架構
對應資料
智慧工廠的運作是由資料所驅動。智慧工廠所使用的大量資料包括了儲存的原物料數量、機器的生產速度、派送的地點以及其他更多（取決於各產業）。大數據讓智慧工廠能夠描繪出實體運作的虛擬景象，用來執行預測結果和做出自主決策等功能。
企業應該要為必需的大量資料做好準備，識別要使用的資料類型並對應到各個程序（從收集和轉移到處理和儲存）。對應也代表要紀錄所有可能的出口和進入點。比方說，工作人員可以用USB隨身碟等外部儲存設備將資料從辦公室移動到工廠。終端機也可能會進出工廠來進行服務。除了替處理此類場景的工作人員制定安全協定外，還應該利用工具來確保這些可移動設備在連接或重新連接工廠系統前乾淨且沒有病毒。
趨勢科技對 2019 年的資安預測是根據我們內部研究專家對當前與新興科技、使用者行為、市場潮流以及這些因素對威脅情勢的影響所做的分析。我們考量其主要影響範圍以及科技與政治變革的擴散特性，將這些預測分成幾大領域:
【2019 年資安預測 】在家上班員工,將為企業帶來那些資安風險?
【2019 年資安預測 】社交工程網路釣魚將取代漏洞攻擊套件成為主要攻擊管道
【2019 年資安預測】在選舉壓力下，政府對抗假新聞的行動將被迫讓步
【2019 年資安預測 】網路犯罪集團將運用更多魚目混珠的技巧
【2019 年資安預測 】不只是企業高層主管，變臉詐騙也將開始鎖定一般員工
家用路由器對於想要掌控智慧家庭裝置的網路犯罪集團來說，仍是一個非常誘人的攻擊目標。智慧家庭環境將重現 2000 年早期一個資安史上名為「蠕蟲戰爭」的重要時代。
近年來一些利用路由器所發動的智慧裝置攻擊 (亦稱 IoT 攻擊) 大致上不是根據 網路上流傳的 Mirai 惡意程式原始碼 ，就是根據其他行為類似的惡意程式所衍生而來。它們都會自動掃瞄網際網路來發掘同一款裝置下手。
由於裝置的數量是有限的，而且一台裝置只能接受一個惡意程式的指揮來從事分散式阻斷服務 (DDoS) 攻擊和其他攻擊，因此，網路犯罪集團便開始在程式內加入一些程式碼不讓其他駭客操控裝置，或者將其他駭客的惡意程式剔除，以便能夠獨占裝置的控制權。
首樁智慧醫療裝置攻擊的真實受害案例將會是銀髮族。
企業目前正試圖開發智慧追蹤裝置和其他連網醫療裝置的 銀髮族客群 ，例如一些可監視心跳或者在年長者滑倒或跌倒時緊急通知某個網路帳號的智慧裝置。過去，年長者因為身邊存有一筆養老積蓄而相對較富有，因此經常成為 電話詐騙的對象 。
我們認為，銀髮族在 2019 年很可能成為智慧裝置攻擊的第一個受害者。理由是，使用健康追蹤裝置的年長者不見得非常熟悉電腦操作，因此不會去檢查這些裝置的隱私權設定，使得自己的資料因而外洩，或者不知如何保護自己的帳號，讓駭客能夠竊取其健康資訊或其他個人資料。 繼續閱讀
【2019 年 1 月 10日台北訊】全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704) 今天宣布推出「趨勢科技 IoT Security 2.0 (Trend Micro IoT Security , TMIS 2.0) ，協助裝置製造商與託管服務供應商 (MSP) 提升產品及整體物聯網 (IoT) 生態系資訊安全，同時亦為廠商帶來一項差異化競爭優勢。
在現有的傳統資安產品設計下，使用者無法自行在 IoT 產品上安裝防護，這就是 TMIS 2.0 所要解決的問題。趨勢科技執行副總裁大三川彰彦表示：「IoT 威脅再也不是一種假設性的問題，全球各地皆有端點產品遭駭客入侵導致資料外洩、受到勒索病毒和虛擬加密貨幣挖礦惡意程式感染，或者被駭客入侵後納入其 DDoS 殭屍網路等。因此，裝置製造商很重要的一件事就是要提升裝置的安全。藉由在裝置內直接內建威脅監控、偵測及防護能力，消費者和企業就能在裝置安裝並啟用 TMIS 2.0 的那一刻起，開始享受更優異的安全性，而這也是 IoT 裝置製造商逐漸面臨的一項市場需求。」
TMIS 2.0 平台可在產品開發週期預先安裝至 IoT 裝置內，不需花費太多力氣進行部署，而且能藉由各種系統強化與風險偵測功能來提供最大防護。此次新版本與趨勢科技領先業界的 Smart Protection Network 全球威脅情報平台密切整合，提供網站信譽評等服務與 IoT 信譽評等服務以防止裝置連上惡意網址/網站。
其強化的安裝腳本，能讓裝置製造商及 IoT 託管服務供應商 (MSP) 更容易進行整合，所提供新的自動化功能可讓廠商輕鬆掌握裝置的資安狀況，減輕營運負擔。除此之外，還有漏洞、虛擬修補部署狀況等等的相關報表可透過電子郵件方式寄給系統管理員和裝置製造商，進而提供更彈性的管理功能。
而資安偵測記錄檔則儲存在裝置上，裝置製造商可針對特定用途來存取這些記錄檔，例如：顯示裝置的紅色警戒狀態。而 TMIS 2.0 也提供離線模式並支援代理器 (proxy) 來配合各種不同網路環境。除了上述強化功能之外，還有該產品原本各項防護功能，包含：應用程式白名單、代管式入侵防護服務 (HIPS) 以及系統漏洞掃瞄。
透過最新TMIS 2.0，能縮小駭客入侵裝置的攻擊面，確保裝置的韌體安全並防範主動式攻擊。不但能降低終端消費者的資安風險，更能盡量減輕裝置的維護成本，進而提升裝置製造商與MSP 的商譽。
如需有關趨勢科技 IoT Security 的更多資訊，請參閱：趨勢科技 IoT 解決方案。
對許多的物聯網（IoT ,Internet of Thing）使用者來說，針對智慧型設備的漏洞攻擊一直都是個問題。而最惡名昭彰的物聯網威脅或許是不斷變種的Mirai惡意軟體，一直被用在許多的攻擊活動中，會利用預設或弱帳密來入侵設備。自從它的原始碼在2016年流出之後，出現了各種不同的Mirai變種和衍生病毒。
我們分析了一個稱為「Miori」的Mirai變種，它會透過PHP框架（ThinkPHP）的遠端程式碼執行（RCE）漏洞散播。它所利用的漏洞比較新 – 相關的詳細資訊到12月11日才浮出水面。這隻IoT殭屍網路病毒會攻擊ThinkPHP 5.0.23及5.1.31之前版本的上述漏洞來進行散播。直得注意的是，我們的Smart Protection Network也顯示出ThinkPHP RCE相關資安事件在最近有所增加。我們認為駭客們會各自利用ThinkPHP漏洞來賺取好處。
除了Miori，有幾隻已知Mirai變種（如IZ1H9和APEP）也會利用相同的RCE漏洞進行散播。這些變種都會用預設帳密或暴力破解攻擊來透過Telnet入侵並散播到其他設備。一旦這些Mirai的變種感染了Linux機器，就會將其變成殭屍網路的一部分，用來進行分散式阻斷服務（DDoS）攻擊。
檢視Mirai變種 – Miori
Miori只是Mirai諸多分支的其中一個。Fortinet曾介紹過它跟另一個變種Shinoa有驚人的相似之處。我們自己的分析顯示使用Miori病毒的駭客利用Thinkpad RCE來讓有漏洞的機器從hxxp://144[.]202[.]49[.]126/php下載並執行惡意軟體：
圖1.、RCE下載並執行Miori惡意軟體