自帶設備(BYOD):企業用戶的安全缺口?

自帶設備(BYOD):企業用戶的安全缺口?

作者:Cesare Garlati(趨勢科技消費化資訊傳播者)

 

這篇文章來自筆者2012年8月7日在東京Direction 2012大會上發言的一部分。

 

筆者2012年8月7日在東京Direction 2012大會上發言
筆者2012年8月7日在東京Direction 2012大會上發言

 

 

長久以來,我一直都在講消費化自帶設備(BYOD)。而從我上次在新加坡CIO研討會上演講之後,過去這一年有什麼樣的變化呢?

 

發生的變化就是有越來越多企業都允許自帶設備。高階主管和IT經理第一時間地學到了自帶設備所帶來的好處和風險

 

趨勢科技一直都和產業分析師(如Decisive Analytics和Forrester Research)共同合作去替IT決策者診斷問題,幫助我們了解他們的困難以及可以提供什麼樣的解決方案。他們也讓我們對於自帶設備有著深刻的了解。

 

因此,讓我們從最明顯的問題開始:自帶設備有多普遍?在去年,從我們的消費化報告裡可以看出,剛剛好超過一半的受訪者(56%)說他們的公司允許自帶設備。而從我們2012年最新的研究裡可以看到,這個數字已經顯著的增加了:Forrester的研究發現,這個數字目前超過了76%。最有趣的是,過去有些抗拒的國家,現在都變得比較接受自帶設備了。

 

自帶設備都是指哪些呢?大多數人都認為是:筆記型電腦、智慧型手機和平板電腦。而就是後兩者會導致企業最多的問題。企業的IT了解如何保護和管理安裝傳統作業系統的筆記型電腦。但很多企業還不知道要如何妥善管理來自非傳統IT廠商的行動平台,像Apple(iOS)和Google(Android)。

 

即使企業接納了自帶設備,他們也面臨了危險以及現實上可能產生的問題。到目前為止,最大的擔憂是資料安全、法規遵從和員工隱私。不僅如此,大約有一半受訪企業都承認,曾經因為自帶設備而遺失資料。

 

企業會做些什麼來確保自帶設備不會成為安全上的噩夢呢?一般來說,幾乎在所有案例裡,IT管理者會安裝安全和遠端管理軟體到使用者的設備上。讓IT更容易去抹除個人設備上的資料,一旦公司資料處於危險中時。

 

這些都是很好的開始,但想要妥善保護自帶設備,管理者必須了解兩件事情:要保護什麼以及威脅是什麼?

 

IT管理者普遍認為,當談到安全性和管理性時,受歡迎的這些行動作業系統在根本上是一樣的。然而,這並不完全正確。

 

在消費化報告裡,趨勢科技也檢視了這四種行動平台的安全特性:黑莓機、iOS、Windows手機和Android。這同時也是我們對這四個作業系統的評比順序:從最安全到最不安全。

 

如果你是IT管理者,這成了一個大問題:最安全的作業系統正在死去,而最普及的手機作業系統卻有著最多的漏洞!IT經理必須要了解,每種行動平台上的威脅狀況都有些許的不同,而要如何做好保護也就會跟著有所改變。

 

讓我們看看兩種最普及的行動作業系統以了解有哪些風險。第一是Apple iOS平台。

 

一般印象都認為Apple是個封閉、安全的平台。然而,這並不會因此讓它對危險免疫:如果你會去看那些被公開披露的漏洞,iOS在2012年的數字是大幅飆高的。還有越獄(JB),會打破Apple所築的圍牆,也降低了安全性。因此,iOS也有其危險性

 

然而,Android才是真正需要擔心威脅的。來看看下圖:

 

Android上惡意軟體的成長速度甚至超出預期
Android上惡意軟體的成長速度甚至超出預期

 

 Android上惡意軟體的成長速度甚至超出我們的預期。Android的另一個問題是,有太多正在使用中的版本。看看下面圖表:

 

 

Android的另一個問題是,有太多正在使用中的版本
Android的另一個問題是,有太多正在使用中的版本

 

 

 

市面上有超過80%的Android設備使用的是舊版本。這意味著它上面的漏洞可能不會被修復,新的安全功能也可能無法使用。

從根本上說,相對於iOS是個封閉平台,Android是個開放平台。所以也就更可能會有各種威脅的出現,甚至在官方Android應用程式商店上也會有。讓我們看看下列事件,都是在今年剛剛發生:

 

 

簡單來說,行動平台上的威脅的確存在。但是不管你喜不喜歡,自帶設備都會出現在你的公司。IT經理應該做的是找出讓企業安全的方法。所以並非是盲目的轉換過去,而是理性的面對未來趨勢。

 

我希望你能從這次談話中得到三件事:

 

一、擁抱消費化。

 

它一定會發生,它也帶來了更高的生產力和整合了工作力。IT管理者應該意識到這一點,並努力讓自帶設備在企業內部成功

 

二、了解各種行動平台的風險狀況。

 

每個行動平台上都有不同的功能以及面臨的危險。了解這些是讓自帶設備安全的關鍵。

 

三、部署新的安全和管理工具

 

一旦你了解使用者所面臨的威脅和危險,你可以部署適當的工具和技術以防範這些問題。

 

更多資源

 

 

你可以在http://BringYourOwnIT.com或推特http://twitter.com/CesareGarlati上關注Cesare

 

@原文出處:BYOD: A Leap Of Faith For Enterprise Users? 作者:Cesare Garlati(消費化資訊傳播者)

 

@延伸閱讀
資料防護對中小企業來說比對大型企業還重要

是時候回收舊電腦和手機,但裡面的資料要清除乾淨了嗎?

員工可能是最大的安全威脅?! 五個建議幫助員工避免網路風險

趨勢科技發表2012資安關鍵十二大預測

 

APT 攻擊

 

@參考推文
雲端系!史上最強防毒軟體現身
看更多<PC-cillin真的不一樣>100字推文

◎ 歡迎加入趨勢科技社群網站

《趨勢專家談雲端運算》軟體定義網路重新洗牌:VMware收購Nicira,Oracle收購Xsigo

作者:趨勢科技雲端安全副總裁Dave Asprey

首先是VMware收購Nicira,接著Oracle收購Xsigo,最近幾個禮拜真是風起雲湧。這些重大的收購案將會完全打亂網路和資安產業原有的秩序,只是時間問題而已。

網路虛擬化已經開始八年了,不過一直都還是在地下的階段,除非你在特定的少數公司內,不然很容易就會遺漏掉它。一直到最近幾年,網路虛擬化、OpenFlow和軟體定義網路(SDN)才算是比較興起。

我曾經待過開始參與這幾間公司內。以下是為何我覺得這兩筆交易對雲端運算和網路的未來很重要的原因。這並非來自我的空想,我曾經是第一家網路虛擬設備公司的技術和行銷副總裁(Zeus Technologies,現在被Riverbed所併購)。我在Citrix的虛擬化業務部門進行策略規劃,就在他們併購NetScaler之後(這家網路公司已經成為Citrix雲端網路加速產品的骨幹)。我也曾經參與過兩家網路虛擬化的早期廠商 – Vyatta和3Leaf(Xsigo的前競爭對手之一)。而我關於雲端網路的書戶會在六個月左右推出。

在六月中旬,VMware技術長Steve·Herrod(我在去年RSA的雲端安全聯盟大會上介紹他上台),告訴CIO Journal軟體定義網路代表「想要虛擬化資料中心所需要的巨大改變,可以減少需要分別管理的的設備。」這代表不再需要更多Juniper和Cisco的路由器和交換器了,而是各種直接在雲端資料中心內運作的設備。

事實上,我曾在2007年的馬爾他NetEvents大會上說過類似的話:

我對未來資料中心的願景非常非常的龐大,將不再會有交換器,而是許多的虛擬設備。這一定會發生,因為變動虛擬設備要比變動交換器內建硬體要來得快的多。當你想要升級虛擬設備,就只是另一次的設備定期更新而已,你就有一套完整的內建網路安全功能了。

我真的非常高興VMware會快速地做出這項投資。Nicira交易看起來會讓軟體定義網路的世界由VMware作主,直到一分鐘後出現了Oracle/ Xsigo的新聞。

Nicira交易的影響

首先,幾個VMware收購事件必須注意的關鍵:

  • Nicira最大的幕後推手之一是Andreessen Howorwitz的Ben Horowitz。這並不令人驚訝,Ben從LoudCloud(又名Opsware)起家,他跟我一樣了解網路設定帶來的問題。我在Exodus Communications所做的初期雲端產品跟LoudCloud的初期雲端服務(也是基於Exodus資料中心)是互相競爭的。人們如果想將網路變得跟伺服器軟體一樣的有彈性,在撞過幾次牆之後通常都會想到一樣的結論! 繼續閱讀

假拉票真詐騙~我朋友參加攝影比賽,幫忙一下…別上當!!手機簡訊認證碼詐騙新招「網路投票」

「嗨嗨~可以用你的手機收一下簡訊嗎?」這招已經不流行了,最新招術是→冒充 facebook 臉書朋友,要你幫忙參加”Yahoo 攝影聯合會”的攝影作品投票~~~趨勢科技已確認該網站並非 Yahoo 官方網址,而是用來從事網路詐騙的網路釣魚(Phishing)網站

有網友表示收到臉書朋友傳來如下訊息:

投票啦~我朋友參加攝影比賽,幫忙投票@http://www.voXXXyahoo.com/page/index.php
這是網址,有三張圖片,編號是…..每張幫他投一票….不要投錯哦….拍謝….打擾到抱歉

若不疑有他點選上述貌似 Yahoo 的網址連結,會進入一個攝影作品投票網站:

《拉票啦~我朋友參加攝影比賽,幫忙一下…別上當!!手機簡訊認證碼詐騙新招「網路投票」》
《拉票啦~我朋友參加攝影比賽,幫忙一下…別上當!!手機簡訊認證碼詐騙新招「網路投票」》

趨勢科技提醒您請不要在投票過程中輸入❶手機號碼❷手機認證碼,以免【被申請大量網拍人頭帳號】或成【小額付費詐騙受害者】
✔立即免費下載試用PC-cillin 雲端版 ,避免成為”手機認證碼“系列詐騙受害者

下圖是Facebook 出現的第一代手機簡訊詐騙,注意注意!!不要把手機號碼輕易給”朋友”,提醒大家不要用傻瓜密碼或被證實容易破解的密碼,以免帳號被盜用,又被駭客用來欺騙朋友

朋友變得怪怪的~原來是臉書被盜
Facebook 出現的第一代手機簡訊詐騙

《詐騙集團要你的手機認證碼,做什麼?》

1.申請大量網拍人頭帳號
:
警方調查發現,由於成為網拍賣家,只需要手機簡訊認證,流程不夠嚴謹,因此,詐騙集團大肆利用駭客手法盜取民眾的臉書和即時通帳號,再冒充被害人帳號發送訊息給親朋好友,誘騙親友提供手機簡訊認證碼,歹徒也就靠著這批認證碼,向拍賣網站申請大量網拍人頭帳號,供日後犯罪使用。
相關報導: http://news.msn.com.tw/news2757399.aspx

2.「小額付費」詐騙!:

王小姐收到表弟傳遞MSN訊息給她,說網路購物需要手機接收認證密碼,但電話螢幕突然壞了,請她提供手機門號及身分證字號,以幫忙代收簡訊。王小姐詢問為何代收簡訊還須提供身分證字號,她遂不疑有他…後來王小姐收到電信公司傳來小額付費1,000元扣款成功的簡訊通知,得知該筆款項將列入她下個月電信帳單內支付
http://www.cib.gov.tw/news/news02_2.aspx?no=855

@延伸閱讀:
Facebook 臉書帳號被偷時該怎麼辦?

安裝這個可以拿到別人的 facebook 臉書密碼?!是詐騙!

六個常在 Facebook上犯下的錯誤與案例(詳盡案例說明)

想免費下載“暗黑破壞神三(Diablo 3 free download)” ,請先分享至臉書?搜尋找麻煩,個資竟分享給駭客!

三步驟防護Facejacking:即使有人知道你的Facebook密碼,也無法登錄的必學設定

答應她的臉書Facebook 交友邀請,個資被看光

測試你的密碼:更多的密碼外洩事件(含複雜密碼,簡單記憶法設定教學)

“電子郵件帳號被入侵,還好裡面沒重要的東西?! “事實上,裡面是大有東西在。
從 Yahoo 被駭事件,看如何降低線上服務資料外洩,對你帳號密碼的衝擊?

關於密碼千萬不要做的四件事與密碼設定小秘訣
你可能沒想過的密碼保護秘訣
從Hotmail 密碼外洩事件,看六種密碼被竊的手法(上)

我複製、貼上密碼,他在幕後接收!-從Hotmail 密碼外洩事件,看六種密碼被竊的手法(下)

【立即下載試用PC-clin 2012 雲端版 臉書地雷區 bye bye~免費下載防毒軟體:歡迎即刻免費下載試用NSSLABS 最新防毒軟體測試第一名的防毒軟體PC-cillin 2012 即刻按這裡下載

@參考推文
雲端系!史上最強防毒軟體現身
看更多<PC-cillin真的不一樣>100字推文

◎ 歡迎加入趨勢科技社群網站

 

從李宗瑞偷拍女星名模事件,談網路偷拍案例(同場加映:電腦送修之前該做的事)

最近李宗瑞與女明星偷拍事件,隨著不雅照曝光,關係人忐忑不安,小編提醒大家前幾年爆發的前女主播性愛光碟偷拍事件,被病毒廣為利用,以「如果偷拍光碟出DVD版」「第二集男主角是誰?前後五分鐘!!價值700萬??」…等標題吸引網友點擊,也提醒大家跪求下載點時請不要以身試法淫照網上流傳 散布可囚兩年。在網路上搜尋相關新聞時,也要小心 Black_Hat SEO 搜尋引擎毒化 手法,2011 年四月這則新聞陸網友受不了下載《肉蒲團》全遭駭 , 話說許多大陸網友要趁「五一假期」組團赴港、台觀賞《3D肉蒲團之極樂寶鑑》(因為大陸沒上映),擋得住電影上演卻檔不住大陸網友在網路上熱搜,不過在下載一個「完整版下載」的檔案時卻慘遭木馬程式入侵,導致電腦中毒。報導說估計約有十萬網友受到「肉蒲團的木馬程式」入侵。

◎提醒大家:不要因為好奇心,讓電腦和自己都被害/駭
*網友點閱李宗瑞不雅淫照 小心中毒
*刊登淫照 記者列被告
*李宗瑞粉絲團擅自PO照,玩笑開過頭 可能觸法

言歸正傳,這幾天的新聞讓小編想到這篇報導:攝影機遭遠端遙控 女子裸照PO上網 ,大意是說一名男大學生入侵某女子的電腦,再透過木馬程式網路遠端遙控,開啟女子電腦上的攝影機,並將該女子全裸出浴過程記錄,還入侵受害人部落格,將全裸影像上傳。其實這不是新病毒,早在2005年趨勢科技就曾發佈相關的狗仔病毒(WORM_RBOT.ASH),當時並沒有造成大流行。但隨著 Web 2.0時代來臨,這類病毒也開使用網頁來進行犯罪,而且兩岸華人都相繼傳出案例。

比如2007年中國浙江省也有一名男子利用木馬病毒,遙控一名美女在電腦架設的網路攝影機鏡頭(web cam),拍下她脫衣服的影片。這名男子食髓知味竟把影片裸照回傳給這名女子,要求她再脫一次。最後女子報警,這位半年內入侵百部電腦的男子終於被警方逮捕。在這個案例中,駭客遙控偷拍過程如下:
1.在特定網頁上植入木馬
2.受害者點選特定網頁後中毒但不自知
3. 駭客遙控受害者的網路攝影機並錄下裸照影片

由於這種利用病毒偷窺隱私的行徑,都是在背景執行,一般使用者很難察覺。再加上網路攝影機型號的不同,當病毒啟動攝影功能時,不見得會出現音效或燈號來提醒。有些筆記型電腦,內建的 WebCam 可隨時啟動,使得病毒傳播的機會大增。

網路上有幽默的網友提出忠告:「做愛前請戴保險套,前戲前請關電腦」(>”<|||| )。小編也想到的一些方法如下:

  1. 出浴前請先穿衣服,更衣前請先戴面具(///^_^…….)
  2. 網路攝影機不用時,請用不透光的布把鏡頭遮住。
  3.  電腦不用時請關電源
  4.  拔掉網路線或無線網卡(不適用內建無線網卡者)
  5.  切勿開啟不明檔案
  6.  使用可即時防禦網頁惡意程式的防毒軟體
    繼續閱讀

有了這款協尋兒童手機app,爸媽再也不擔心小孩走失?

還記得本部落格提過的這款: ”正妹行蹤通報器”APP,現在有針對孩子所在位置的 APP,但爸媽別急著安裝….

作者:趨勢科技資深分析師Rik Ferguson

 

爸爸我要永遠跟你在一起

最近我注意到有個智慧型手機的應用程式號稱能夠幫忙父母親找到走失的小孩。我很驚訝於這樣一個有價值的想法,卻是這麼糟糕的實行方式,讓所有這服務使用者的的小孩都可能落入在危險之中。

 

這軟體的運作原理是這樣的:

 

1 – 父母親下載這應用程式並購買服務,讓他們將小孩的資料加入以準備好哪天可能會不見。我不是在開玩笑,我有三個小孩,我知道這種事有多常發生,我也記得我曾經讓我媽這樣擔心受怕過好幾次。而到目前為止都還好…

 

2 – 有個志同道合的「社群」,這些人喜歡小孩,也希望能夠幫上驚慌父母的忙。他們會下載免費版本的應用程式。這些人不上傳任何小孩的資料,他們是「支援網路」。

 

3 – 小塔昆覺得寵物店比老爸想用來消磨一整個下午的五金行倉庫要有趣得多了,所以就偷偷溜出去了。

 

4 – 就在走過水管區和排氣管區時,老爸發現小塔昆不見了,於是立刻在他的手機軟體上發出警報。通知附近的其他智慧型手機使用者(有裝此應用程式)小塔昆走失了。

 

5 – 附近的每個「支援網路」成員都收到了通知,包括照片和小塔昆的資料,可以大幅加快安全找到他的機會。成員之一會找到他,並發送簡訊給驚慌的父親,讓他知道一切都還好。

 

到目前為止都還好?

 

如果你是一個壞人,目標是走丟的無助孩童,你會想要下載哪個應用程式?

 

應用程式廠商對於可能被壞人濫用的說法是,一旦在當地廣播失踪兒童的詳細資訊後,就會產生一個「白熱區域」,也讓壞人不敢接近。因為在該地區有太多人知道這孩子走丟了,所以壞人不敢去接近這無助的孩子。

 

這個說法建立在兩件事上,第一,有足夠多的人下載這應用程式,才有辦法建立這白熱區域。第二,在該地區警示等級升高並不代表沒人敢去接近孩子是因為怕被指控是壞人。我知道是怎麼回事,特別是男生,你必須先想清楚是不是該去接近公園裡哭哭啼啼的孩子,並嘗試幫助他,即便你是跟自己的孩子在一起。

 

在最壞的情況下,廠商還聲稱,他們有所有安裝這應用程式使用者的詳細聯絡方式。我安裝測試後發現,我可以輸入任何電子郵件地址,任何電話號碼和任何名字。沒有任何檢查步驟,這應用程式就可以執行,即便是完全虛假的資料。而他們的隱私權政策明確指出,他們不會將使用者的位置資料儲存在他們的伺服器上,這表示,當真正出問題的時候,並沒有什麼資料可以提供給執法單位參考。

繼續閱讀