當網路釣魚進入行動世界
作者：Gelo Abendan
根據趨勢科技在2012年所觀察到的網路釣魚（Phishing）數量，可以看出網路犯罪份子已經開始針對新目標 – 行動設備。
在2012年，趨勢科技發現有4000個 網路釣魚（Phishing）網址是為了行動平台而設計。雖然這數字還不到該年度所有釣魚網址的百分之一，但還是可以看出行動設備（智慧型手機、平板電腦等）的確是會面臨網路釣魚（Phishing）攻擊的平台。
網路犯罪分子利用偽裝成正常網站的網路釣魚（Phishing）站來誘騙使用者透露出敏感資訊，像是使用者名稱、密碼，甚至是帳戶的詳細資料。
更值得擔心的是，這些網路釣魚攻擊偽裝成什麼樣的網站。在2012年，有75％的行動釣魚網址偽裝成知名銀行或金融單位網站。一旦使用者被誘騙洩露出這些網站的登錄資料，網路犯罪份子就可以利用這些偷來的資料，透過受害者帳號來進行未經授權的交易及購物。
網路犯罪分子利用Google眼鏡熱潮
網路犯罪分子都會想要利用流行而新鮮的事物。這裡有個案例分享，萬眾矚目的Google眼鏡也被用來當作社交工程陷阱( Social Engineering)誘餌，好引誘無辜受害者進入騙局。
趨勢科技發現當搜尋「free Google Glasses」（免費Google眼鏡）時，出現的前幾名搜尋結果中有一個是吸引人的YouTube連結，標題是「{FREE}] Google Project Glass [[FREE GOOGLE GLASSES]」：
這影片複製了原本的Google眼鏡在YouTube上的行銷影片。它還包括如何獲得免費Google眼鏡的資訊，參考下列截圖：
影片下面的文字寫著：
原文：
The future is here!
Google Project Glass is Augmented Reality Glasses
The glasses is not available for public,but it’s possible to get similar glasses for free!
Check it out: (移除了惡意連結)
譯文：
這就是未來
Google眼鏡是擴增實境眼鏡
這眼鏡尚未公開推出，但有機會可以免費獲得
可以到：(移除了惡意連結)
一旦使用者連到該網站，並遵循了如何獲得眼鏡的說明後，就會看到一個包含三個連結的網頁。點入這些連結本來應該會連到如何成為Google眼鏡測試者的說明頁面。
但其實點入這些連結只會將使用者帶入各種問卷調查騙局。有些甚至會透過輸入電話號碼和「確認碼」（透過簡訊發送到使用者自己的手機）到一個網站，讓使用者訂閱不必要的加值服務。
目前，使用者並無法獲得Google眼鏡。只能在八個多月前的2012 Google I/O上預購，而且一個如何創意使用Google眼鏡的活動才剛結束。趨勢科技建議使用者不要點入任何不熟的連結，尤其是那些好到無法置信的交易。（想到預購價要1500美元，這的確好到不可置信）。使用者同時也要小心可能會有騙局利用#IfIhadGlass活動。
趨勢科技已經封鎖了所有相關網站以保護使用者。
＠原文出處：Cybercriminals Hop On the Google Project Glass Bandwagon
想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚
◎ 歡迎加入趨勢科技社群網站
作者：Mark Nunnikhoven
在介紹如何利用AWS身份和存取管理來保護資源的文章裡，Justin介紹了AWS身份存取管理（IAM）的基本知識。今天我們要來看看如何使用IAM來設定密碼策略和多因子身分認證。
密碼策略（Password Policies）
使用強密碼的重要性是眾所周知的。大多數組織都已經有了密碼策略。這種策略通常會定義複雜度（像是包含多少個數字、特殊字元和密碼長度等），以及變更週期（像是每九十天就必須變更密碼）。
有些策略會更進一步，對於不同的設備或角色有不同的要求。CSIS的前廿項控制裡的第12項 – 「控制管理權限的使用」裡介紹了密碼策略的強化。就是要確保具有管理存取權限的人使用複雜密碼，並且必須一年變更好幾次。
IAM目前提供了一連串的設定來強制執行密碼策略。你可以為你的AWS帳號設定密碼策略。這策略可以讓你定義密碼的複雜度，但並不能設定變更週期。
現在就開始使用密碼策略是很棒，但你需要手動要求使用者定期變更密碼，或是採取別的方法加強……或是雙管齊下！
多因子身份認證
AWS的多因子身份認證（MFA）正是我們用來加強密碼策略的方法。
那麼，到底什麼是MFA？就是使用一個以上的認證因子來驗證誰是使用者。有三個常見因子：你知道什麼東西（something you know）、你擁有什麼東西（something you have）和你的生物特徵（something you are）。
我們的使用者已經具備了一個因子，就是密碼（使用者知道的東西）。對於AWS，第二個因子是使用者擁有的東西。可能是硬體認證裝置（可向AWS購買）或用軟體認證裝置，安裝在智慧型手機或其他設備上。
這些認證裝置會顯示隨機生成的數字，必須在使用者輸入自己的帳號和密碼登錄AWS管理控制台時輸入。這數字每隔幾秒鐘就會變化一次，以確保使用者在登錄時有認證裝置在身上。
現在想要認證成功，就必須輸入正確的帳號密碼，加上由正確認證裝置在使用者登錄當下所產生的數字。
一個針對蘋果iOS的例子，FinFisher International的FinSpy Mobile，可以監視使用者位置、聯絡人清單、電話、網路歷史記錄、簡訊，甚至在特定位置打開iPhone麥克風來進行竊聽。
你怎麼知道執行長沒有一支被駭過的iPhone？你怎麼知道有多少「沉默的聽眾」參加最新一次的董事會議？在過去幾年裡，不僅僅是美國能源部（設計和製造核子武器的部門），還有美國聯邦儲備委員會和華爾街日報也都被駭客攻擊。你憑什麼認為你們的高階主管不會受到相同的待遇？
Apple iOS被越獄的紀錄大概就跟它本身的歷史一樣長，但是IT主管們依然低估了這個問題．以及它對企業資料和網路所帶來的安全風險。
最新的iOS 6.1越獄程式在二月四日被釋出。根據將最新破解程式公布在evasi0n.com的作者 – Cyril（又稱pod2g）所提供的網站統計數字，僅僅在前四十八小時就有高達五百萬次下載。在這頭兩天，這些網站出現四千萬次的點閱率。其中有超過一半不重複訪客（約兩百五十萬）來自美國。
這個和我在數月前，在舊金山JailbreakCon 2012（全世界越獄界的代表大會。沒錯，的確有這大會）上遇到Jay Freeman（又稱Saurik）時所得到的數字相符合。Jay Freeman是Cydia的創始者，這是個完全合法而獨立的應用程式商店，以滿足那些解放他們Apple設備的使用者。Jay向我說明，根據他的網站統計資料，無論在什麼時候，都有約5%到10%的Apple iOS是越獄過的。
這有什麼好擔心的呢？因為這代表這些設備很脆弱。Apple如此有名的安全措施可以在短短幾天內就被破解 – iOS 6.1是在一月廿八日正式發表：只花了Cyril和他的朋友們不到一個禮拜的時間就打了Apple一巴掌。即使越獄社群並不是為了金錢目的而這樣做，但我們可以確信壞傢伙們（有組織的犯罪集團和商業間諜軟體廠商）都準備好要加以利用了 – 事實上，可能已經這樣做了。
從根本來說，越獄是當你太過限制使用者時會發生什麼事情的典型例子。他們會加以反抗。我們在許多其他消費性電子產品上都看到類似的模式，從電視遊樂器到電視機上盒都有。蘋果的問題在於它想要完全控制這生態系統的每個環節，從印表機到使用者可以下載的應用程式。這些使用者喜歡他們的Apple設備，但他們卻被當成小孩子對待。有了Android，使用者被當成大人對待：他們被允許下載任何應用程式，從任何自己信任的來源下載。Android作業系統的安全功能和權限模型固然並不完美，使用者被要求透過彈跳視窗來授權應用程式去存取使用者的行事曆、電話簿等。而Apple會事前審閱所有的應用程式，所以沒有這樣的彈跳視窗。但我們將在後面了解到，這會因為越獄過的設備而出現不好的後果。
順帶一提，不要將越獄和解鎖搞混了，解鎖是因為行動設備有綁約特定電信商，為了讓它可以使用其他電信商的網路而作。在另一方面，越獄則是去破壞或繞過iOS設備的安全措施。它可以跟下載一樣地簡單，今天的越獄數量也在不斷地成長，因為有專門的越獄社群會在最新iOS版本出來時，盡快地合作加以破解。
所以使用者因為被當成小朋友對待，被告知可以安裝和下載什麼應用程式，而採取極端手段來反抗，但這有什麼壞處呢？在法律上，因為數位化千禧年著作權法案的關係，越獄智慧型手機是完全合法的（Android上的越獄被稱為Root），但在平板電腦上是違法的。蘋果顯然強烈地反對使用者（還有開發商）透過這方式來掙脫其控制，也警告這會帶來縮短電池壽命、資料不穩和其他不好的後果。而在其中百分百正確的是，越獄的確會帶來不可接受的安全風險。
「電腦遊戲」曾經只是當你在工作時，自己偷偷玩的紙牌接龍。但是到了網路新時代，線上遊戲已經演變成了龐大的產業，充斥著各種多人線上遊戲，聚集了來自各行各業的玩家們，在這精心打造的世界裡熱血奮鬥著。這很酷，但也存在著一些風險。
這裡有五個可以幫助你面對在遊戲中可能會遇到的一些較明顯威脅的秘訣：
一、保持匿名。不要給出你的真實姓名或實際位置。如果你被要求建立個人檔案，確認你沒有提供任何可以用來在現實生活中找到你的資料，像是你的電子郵件地址、實際地址、你的名字或年齡。
二、語音聊天時要小心。有些遊戲可以讓你透過耳機麥克風和其他玩家交談。如果你決定要這樣做，可以考慮使用聲音變造功能來偽裝你的性別和年齡。
三、知道如何對付網路惡霸。確保你知道如何通知管理員，如果遇到有玩家失控的狀況時。你還可以封鎖騷擾你的玩家，最好先知道該如何做，這樣當你遇到一個令你不快的玩家時，就可以盡快地封鎖他了。 繼續閱讀