企業資安 - 資安趨勢部落格

2015年第三季資安威脅總評: 駭客已悄悄將PoS攻擊目標移轉到中小企業 (SMB)

2015 年 11 月 24 日2015 年 11 月 24 日趨勢科技 TrendMicro

2015 年第三季 (七至九月) 出現了不少重大資安威脅，例如：銷售櫃台系統 (PoS) 惡意程式、系統漏洞以及 Pawn Storm攻擊行動。我們在第三季資訊安全總評季報「危險迫在眉睫：今日的漏洞將為明日的攻擊揭開序幕」當中詳細說明了這些威脅。

在 PoS 惡意程式方面，我們看到這一季的攻擊數量明顯增加。不過，駭客卻已悄悄將目標移轉到中小企業 (SMB)。這一季，整體攻擊量較 2015 年第二季 (四至六月) 幾乎翻了一倍。本季，中小企業占全球所有 PoS 惡意程式偵測數量的 45%，其次是一般消費者，占 27%，大型企業則只占 19%。這現象反映出這類獲利導向的攻擊目前共通的局勢，那就是：中小企業已成為駭客的「理想目標」，一方面中小企業可提供比一般消費者更高的獲利，另一方面卻比大型企業相對缺乏資源，無法建置進階的安全防護措施。而在美國，2015 年 10 月 11 日的 EMV 信用卡設備建置期限，似乎也扮演了一項重要因素，因為大型機構大多擁有足夠的資源來升級設備以支援 EMV 技術，中小企業則不然。

第三季同樣也是系統漏洞情況嚴重的一季。本季出現了多個零時差漏洞，主要原因是 Hacking Team 駭客公司在七月發生資料外洩，導致該公司將近 400GB 的內部資料外流。而這批資料當中即包含了多個 Hacking Team 資料外洩所發現的系統漏洞 (這些漏洞很可能也已用於他們所開發的間諜工具當中)。這批資料外流之後，漏洞研究人員 (包括趨勢科技在內) 紛紛迅速投入研究，希望找出其中所包含的漏洞，並且盡快找出解決方法。全部加起來， Hacking Team 資料外洩外流的資料總共被找到五個新的未修補漏洞，其中三個是由趨勢科技研究人員所發現。它們主要是Adobe Flash 的漏洞，但 Microsoft Windows 也無法倖免。不幸的是，駭客們也掌握了這批資料，同時也很快就將某些漏洞收錄至漏洞攻擊套件當中，其中最知名的就是 Angler 漏洞攻擊套件，該套件在這起資料外洩發生幾天之後就收錄了其中一個 Adobe Flash 漏洞。
繼續閱讀

給企業和員工的資安建議

2015 年 11 月 16 日2016 年 01 月 25 日趨勢科技 TrendMicro

本文為企業和上班族解析各項安全措施和最佳實作。包括如何跨平台的保護資料和設備以及員工可以如何避免公司網路受駭的一些準則。

企業最佳實作

有句俗話說「預防勝過治療」。雖然這句話有很多種用法，當你談到企業安全時，預防的成本會比不得不面對治療時要便宜得多。尤其是當你想到資料外洩事件或其他威脅會對組織造成多大的傷害時。

注意壞連結 – 不停的待在網路上讓使用者暴露在各種網路陷阱和詐騙中，這不僅危害使用者本身，還可能包括受害者網路內的其他人。閱讀本指南來了解如何察覺惡意廣告、垃圾郵件和電子郵件詐騙、網路銀行詐騙和其他騙局。

加密你的工作郵件 – 不管今日有多少可以用來通訊的平台，電子郵件仍是商務訊息最常見也最被廣泛使用的平台。一封電子郵件所包含的重要資料和個人資訊就可能決定一家公司的成敗，所以一定要記得小心謹慎。你還可以為網頁郵件帳號設定電子郵件加密。

繼續閱讀

Windows Server 2003 終止支援後,你仍可以管好舊系統嗎？

2015 年 08 月 17 日2015 年 08 月 19 日趨勢科技 TrendMicro

2014年4月，微軟宣布結束對 Windows XP 的支援。不管小或大的企業有許多都面臨技術上的挑戰，因為他們日常運作用系統和伺服器即將走向產品支援週期的盡頭。這同時也代表他們的電腦暴露遭受未修補漏洞被攻擊的風險。儘管對舊作業系統的支援結束，它的佔有率仍在增加。安全問題也同樣地在增加。

[延伸閱讀：XP後的生活]

2015年7月14日,微軟也不再為 Windows Server 2003 也在作業系統發布安全性更新、定期產品修補程式和漏洞通知。在這時候，會建議企業轉移到新作業系統來防止系統和網路遭受漏洞攻擊，避免遭受資料洩露、惡意軟體感染和 APT 攻擊。繼續閱讀

< WS 2003 EOS >7月14日 Windows Server 2003終止支援!

2015 年 07 月 14 日2015 年 07 月 27 日趨勢科技 TrendMicro

Windows XP在去年停止支援，現在則是另一套作業系統停止支援的時候了 –2015年7月14日輪到了Windows Server 2003，這被廣泛部署的微軟作業系統即將終止支援，自其2003年4月推出至今已經過了相當長的時間。估計仍有260萬到1100萬的Windows Server 2003使用者仍在活躍使用中。

但這次停止支援會帶來另一全新的挑戰。跟Windows XP不同，Windows Server 2003是伺服器作業系統。不像Windows XP被用在家用電腦和企業工作站/筆記型電腦上，Windows 2003為企業伺服器帶來更深層次的攻擊面。Windows Server 2003（仍然）被廣泛地用在核心功能上，像是目錄伺服器、檔案伺服器、DNS伺服器和電子郵件伺服器。組織依靠它來執行關鍵應用程式和支援內部服務，像是Active Directory、檔案共享和建置內部網站。

當Windows Server 2003支援終止，不會有機制將它保持在最新狀態，這對防護安全問題來說很關鍵。一般來說，作業系統需要透過定期支援來解決安全問題，包括：

取得安全更新來防護漏洞
取得絕大部分產品問題的正規支援
取得非安全性更新，即「一般性」臭蟲修復

了解風險

作業系統終止支援（特別對Windows Server 2003來說），代表你IT部門開始有許多事情好做。組織需要準備應對缺少的安全更新、合規性問題、對抗惡意軟體及其他非安全性漏洞。你不再會收到安全問題的修補程式或弱點通知。當出現會影響你伺服器的漏洞時，你將不再知道。

在推出之際，Windows 2003要比Windows 2000更加安全。而隨著時間過去，很明顯地它也有著自己的一串漏洞。CVE清楚地指出使用Windows Server 2003的企業要面對接近403個漏洞，其中有27%是遠端程式碼執行漏洞。沒有通知來幫忙監控和衡量這些漏洞所帶來的風險，可能會讓你的伺服器安全開了一個大洞。繼續閱讀

企業資安訓練只是新進員工的一次性事件?(內有影片)

2014 年 10 月 21 日2014 年 10 月 14 日趨勢科技 TrendMicro

資訊安全：它是一場旅程

作者：Rik Ferguson（趨勢科技全球安全研究副總裁）

影片裡「只想把事情做好」的員工,竟成最脆弱的資安漏洞,問題出在哪裡?

人,是最大弱點,企業，不管大小，都必須想辦法去解決「只想把事情做好」之原意良好員工所帶來的風險。同樣地，雇主也有責任去隨時瞭解技術和網路犯罪的發展，以提供有效的教育訓練。

企業必須確保他們真正瞭解今日所面對的威脅，不只是他們自己所認為的。他們需要確保他們的使用者被訓練好可以有能力且謹慎地去使用網路和公司資源，而非只是盲目地相信技術解決方案。員工應該知道無形的危害會如何發生和他們要關心哪些地方。

同樣地，人們需要清楚他們自己以及別人個人資料的真正貨幣價值，給予應有的對待，而不是隨便地透過社群和專業網路、部落格、電話、假問卷調查等方式提供給好奇的不知名者。

目前大多數公司的資訊安全訓練僅提供給新進員工。作為新進員工，你必須消化所有相關的政策並簽名。問題是這通常是一次性事件，三個月或三年過去，不僅員工會忘記如何實際應用這些政策，而且也沒有重新審查這些政策，只是假定威脅或技術環境本身沒有變化。

教育訓練，尤其是在資訊安全領域，應該是一個持續的過程而不是一次性事件。理想情況下，它應該有樂趣和被參與，確保安全性會放在公司意識的前線，無論是在工作還是外面。良好的資訊安全實踐應超出工作場所範圍，如在家裡活動，尤其是在自帶設備和消費者化時代，可能會帶給工作嚴重的影響。

資訊安全訓練對於提供給不感興趣的對象來說會是個棘手的問題；許多重要經驗可以向行銷、創意和網站內容學習，成為你企業的一部份。安全訓練不只是安全小組的任務；它需要企業內部多個團隊共同合作才能達到真正的成功。

遊戲化的概念或利用遊戲設計技術來提高非遊戲領域是能夠被成功應用在安全訓練的地方。將你的員工以功能性或地域性分組；用分階段的方式來提供員工相同的訓練，隨著時間慢慢的升級。制定排行榜來激發你員工的競爭心理，用一系列意想不到的測試來讓他們接受挑戰；比方說神秘來電者嘗試進行社交工程技術，嘗試在社群網路上建立關係，網路釣魚電子郵件活動設計用來誘捕粗心的人。如果你的員工隊伍已經被事先警告過訓練中包含實作元素，而且他們的安全雷達將會被不斷的測試，這只會加強他們的一般安全意識。能夠持續性的賺取成就和獎項，建立激勵動機來將安全性保持在你做日常一切事務時的列表頂端。

重點不是要懲罰或用其他方式對待得分最低的個人或團體；而是要建立安全的文化，讓每個員工都更加瞭解到他們行為所造成的後果，即時這些行為在當時看起來完全無害。

資訊安全不是一個目的地，這是一場旅程。

在10月份，我們支援國家網路安全聯盟以慶祝網路安全月 – 旨在教育企業和個人如何保持網路安全。到這裡來看看我們為你所收集的有用影片、圖表、部落格文章和報告。

＠原文出處：Information Security: It’s a Journey