資安趨勢部落格 – 第 908 頁 – 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

趨勢科技發表2012資安關鍵十二大預測

2012 年 01 月 05 日2012 年 01 月 05 日趨勢科技 TrendMicro

企業高敏度資料與行動資安防護備受注目

APT、 BYOD、Mobile apps則成資安三大關鍵戰場

【2012 年 1 月 4 日，台北訊】全球雲端資訊安全領導廠商趨勢科技(東京證券交易所股票代碼：4704) 今日發表新年度企業展望，並針對2012資安市場發布「資安關鍵十二大預測」(12 Threat Predictions for 2012)。趨勢科技2011年在雲端資安布局已有顯著成效，不僅在個人消費性及企業資安市場榮登雲端資安市占率第一名的寶座，在行動裝置安全亦有完整的布局。而針對2012年的整體威脅上，預測中指出資料安全保護已成為資安的關鍵主戰場，不論個人或企業皆須跳脫傳統單純防毒思維，進一步思考防護私密資料的重要性。

趨勢科技台灣及香港區總經理洪偉淦表示：「隨著智慧型手機市場日益擴大以及平板電腦的銷售量不斷提升，行動資安已是消費者不容忽視的重點議題。因此行動安全將是趨勢科技2012年消費性資安防護的頭號重點。」另一方面，透過社交工程手法展開攻擊以竊取個資牟利亦為消費者需持續防範的駭客手法。

而在企業端方面，趨勢科技特別指出由於企業建構虛擬化環境逐漸普及，並伴隨使用行動裝置的普及率升高，在使用雲端資訊流存取的快速及方便之時，如何建立有效保護資料的安全架構將為IT 系統管理員最迫切的挑戰。洪偉淦進一步說明：「在2011年網路犯罪者對大型企業的客製化APT攻擊 (Advanced Persistent Threat , APT) 已有數起案例，預期今年將會越演越烈，而擁有機密資料的中小企業也將成為APT攻擊的目標，中小企業主不可不防。。而隨著個資法施行細則於2011年11月上路，趨勢科技也將盡全力協助企業客戶做好周全防護！」

資料是駭客的目的 也是資訊安全架構的防護重心

趨勢科技同步提出「2012 關鍵12 資安威脅預測」報告，主要分為IT趨勢預測、行動運算、威脅情勢，以及資料外洩與資安事件等四大面向。

IT趨勢預測：實體、虛擬與雲端等系統的保護工程日趨複雜將是IT人員的最大挑戰

雖然針對虛擬機器 (VM) 與雲端服務攻擊的專門手法已存在，但網路犯罪者在攻擊虛擬或雲

端平台時，多數仍採用傳統實體攻擊手法，因為虛擬和雲端平台易被攻擊卻更難防護，採用

虛擬與雲端此纇新技術的同時，如何妥切保護公司機密資料是IT人員的最大挑戰。

IT趨勢預測：資安與資料外洩事件將迫使全球企業在2012年正視使用者個人裝置 (BYOD)盛行， 對資訊安全維護的挑戰

個人裝置 (Bring-Your-Own-Device，簡稱 BYOD) 的時代已經來臨。隨著更多企業資料透過這

些裝置來存取或儲存，IT人員無法管理這些裝置，或是這些裝置未受到充分保護，恐導致資

料外洩的事件不斷增加，預期2012企業將被迫重視個人裝置的管理，尋找資料保護最佳的因

應之道。

行動運算：行動裝置應用程式(Mobile APPs)的安全漏洞，將成為網路犯罪者竊取資料的管道

在2011年以前行動裝置平台的威脅大多是以惡意程式的型態出現。趨勢科技預料從2012年起，網路犯罪者將鎖定正常的行動裝置應用程式，尋找可能導致資料外洩的安全漏洞，進行個資竊取的不法行為。

資料外洩與資安事件：駭客團體數量將持續增加，對擁有高度敏感資料的企業是更大威脅

2011 年，Anonymous 和 LulzSec 等駭客團體突然竄起，專門鎖定個別企業及個人發動含有政

治意圖的攻擊行動。趨勢科技預測這類團體在 2012 年將更活躍，並透過更高的技巧滲透企業

內部，以躲避 IT 人員和執法機關偵查，達成其攻擊目的。

APT攻擊將加劇且愈趨頻繁，中小企業成為駭客鎖定攻擊之目標

2011年政府與大型企業遭受進階持續性威脅（Advanced Persistent Threat, APT）攻擊時有所聞，最大的威脅與挑戰在於駭客透過社交工程手法突破資安防線，藉以滲透並擴大攻擊範圍，竊取機密資訊。趨勢科技提醒APT攻擊將不斷的進化，擁有重要智慧財產權與掌握客戶個資的中小企業也與大型企業同樣面臨資訊安全危機。繼續閱讀

2011 金毒獎【得獎名單】與【得獎理由】

2012 年 01 月 05 日2012 年 01 月 05 日趨勢科技 TrendMicro

趨勢科技公佈的 2011 年「金毒獎」，這項趣味性的獎項，提供網友輕鬆認識網路毒駭的新趨勢。現在直接來看”金毒獎”名單:

獎項	得獎者	得獎理由：	歷年參考案例
導演獎	APT-進階持續性滲透攻擊	遠端指揮若定,行騙各大機構,長期臥底,暗度陳倉,偷渡機密資料,顯少失手	專偷商業機密的Nitro 目標攻擊背後的意義進階持續性威脅LURID: 入侵了61個國家1465台電腦,包含外交等單位現在是在駭什麼？從近日Sony 花旗等大公司被駭談駭客史
女主角獎	災難詐騙	演技楚楚動人, 賺人熱淚 ,善款黑心殺手	<黑心騙愛心>日本大地震惡意臉書專頁地震防災守則之一:別被搜尋結果下毒了海地賑災捐款出現網路詐騙
男主角獎	假防毒軟體	虛情假意,賣力演出, 歷久不衰	假Facebook 密碼更新通知信，內有”假掃瞄，真騙錢”木馬假防毒軟體聲稱是Windows自動化更新,可安裝Windows XP的更新
人氣獎	社群網路詐騙	交遊廣闊,人氣製造機(=犯罪集散地)	“紀念賈伯斯,蘋果決定贈送1000 台 iPad,是臉書詐騙 !看看誰最常看你的 Facebook個人檔案？日本大地震黑心詐騙紛出籠,假新聞,假募款,假臉書分享…
觀眾票選最佳影片	社交工程陷阱	一切都是觀眾自己的選擇 (一個巴掌拍不響好奇心比駭客工具更省事)	不要再點選 COSTCO 卡片了是騙局 lady Gaga的臉書和 Twitter 被駭,駭客張貼送 ipad 的連結超過 10 萬人點選拍賣網站的 iPhone 4S 新年特價超便宜?!拆穿假購物網站的四個破綻
最佳替身演員	惡意關鍵字搜尋結果 Black SEO黑帽搜尋引擎優化	張冠李戴每一筆意外的搜尋結果都可能導致電腦出生入死	個人資料沒有企業資料有吸引力？使用搜尋引擎，當心一下”指”就個資外洩 Google 閱讀器出現冒牌貨，荼毒社交網站用戶不只上網找[免費防毒]會遇到假毒軟體!!
最上版面獎	資料外洩	免費上頭條版面殺手有兩種：春光外洩、資料外洩。前者是B咖女星常用的招數，後者是企業最不想要的曝光方式。	SK Comms 資料外洩事件使南韓當地企業開始提高其安全預算 Epsilon 資料外洩事件後,談個人 email 電子郵件安全從全球最大e-mail行銷公司遭駭談受害者的因應之道
最佳女配角	不明連結	戲份不多但保證搶版面 (短一行連結不佔版面，卻會駭到你)	賓拉登死去活來? 賓拉登處決影片?小心夾帶惡意連結散播車禍現場影片惡意連結
最佳男配角	就業詐騙	低調不搶戲份,幕後”閱”人無數忠實呈現求職者身分, 個資準確度百分百,錢途無量	不景氣找工作當心偽造的就業網站
行腳節目獎	手機病毒	一手掌握,病毒帶著走	日本色情業者利用行動條碼（QR Code）誘騙付費 Android智慧型手機的惡意程式，半年內增加14.1倍 Android木馬應用程式 :木馬幫你手機申購加值服務 Android app 惡意程式：愛情測試、電子書閱讀器、GPS 定位追蹤等應用程式夾帶病毒

繼續閱讀

小型企業所該了解的關於網站威脅和網路犯罪的五件事

2012 年 01 月 04 日2012 年 12 月 24 日趨勢科技 TrendMicro

對於網路犯罪份子來說，沒有太小而無不去攻擊的目標。但小型企業仍然有著這樣的心態 – 只有跨國大公司才是網路犯罪分子的目標。他們堅信，因為他們很小所以很安全。正因為如此，這些企業老闆往往無視於網路犯罪威脅和安全問題，也讓小型企業成為被垂涎的對象。

不要成為他們的一份子。是時候面對現實了。

現實一

任何企業，無論大小、類型都可能是網路犯罪的受害者

大多數小型企業不相信網路犯罪份子會把目標放在他們身上。根據Visa公司和美國國家網路安全聯盟（NCSA）的調查，^註¹ 一千個小型企業中，有85％認為大型企業是比他們更有可能的目標。超過一半（54％）對於自己比大型企業做好更多準備來保護公司和客戶資料具有信心。

這些小型企業認為自己不會出現在攻擊者的雷達上。他們的想法是，和他們這些小型企業比起來，網路犯罪分子會先針對大型企業或消費者。但在現實中，網路犯罪分子並不會有任何歧視。只要有利可圖，只要有可以攻擊的點，他們就會動手。並沒有所謂的優先順序，只要有安全漏洞就可以了，所以就算是小型企業，網路犯罪份子都會一視同仁。

2010年NCSA VISA 小型企業研究概覽

現實二

網路犯罪份子對於小型企業所掌握的資訊是有興趣的

雖然並沒有大型企業那種規模，但是中小企業（SMB）還是一樣面臨內容安全風險。銀行詐騙攻擊仍是個真實存在的威脅。^註2 中小企業一直都是惡意軟體的目標，像是會竊取密碼的鍵盤側錄程式，讓網路犯罪分子可以去存取其財務帳戶。資料竊盜變得十分猖獗，在二〇一一年，中小企業的銀行帳戶被偷走了超過十億美元。^註3 這表示你的員工和客戶的資料，以及財務帳戶資訊都是網路犯罪分子的首要目標。

資料遺失事件內的個人資訊（來源：https://datalossdb.org）

圖1. 資料遺失事件內的個人資訊（來源：https://datalossdb.org）

現實三

網路犯罪份子每一秒都會產生針對小型企業的新威脅

單單二〇一二年上半，我們就替中小企業防護了超過一億四千二百萬次威脅。我們的趨勢科技專家們指出，至少有兩個因素造成了這麼大的數量。首先是社交工程攻擊成為主流，讓中小企業成為容易攻擊的目標。

而第二個原因就是中小企業的數量龐大。光是在美國一地，二〇一一年就有約二千七百萬家中小企業。^註5 讓中小企業成為一個值得攻擊的目標。但對網路犯罪份子來說，中小企業更具吸引力的是他們往往缺乏保持IT團隊的預算，更不用說是專責於資安的IT部門。

網路犯罪份子讓小型企業損失數十萬美元。殭屍網路是他們首選的武器。殭屍網路會悄悄滲透進網路內。讓網路犯罪份子可以在員工和客戶不知情下去取得小型企業電腦的控制權。

在二〇一二年三月，美國聯邦調查局提出關於有駭客攻擊美國中小企業的銀行詐騙攻擊報告。^註6 這些網路犯罪分子使用惡名昭彰的惡意軟體 – ZeuS/ZBOT木馬程式來攻擊小型企業。這些惡意軟體攻擊竊取了超過三百萬美元。

趨勢科技專家們也看到了專門針對小型企業的網路釣魚活動和漏洞攻擊。這些騙局所用的訊息常常都和稅有關，利用政府機構的名義，透過假客戶投訴或採取法律行動等恐嚇威脅手法。同時也利用漏洞攻擊常見的應用程式。

現實四

法規遵循是很花錢，但不符法規會更加花錢，而且會為網路犯罪開啟一扇窗戶

並非所有小型企業都了解法規遵循（Compliance）問題。有些人甚至認為自己符合，並且有足夠的安全防護。除此之外，有15％的中小企業覺得他們可能在一年內遇到安全入侵問題。^註7

不符法規最終可能會導致生產力損失、業務中斷和高額的法律費用。對於跨國企業來說，法規遵循費用大約是三百五十萬美元。^註8 但和不符法規的高額代價相比，這是個很小的支出。你的小型企業也和許多大型企業一樣，會有流程、人員和技術，這一切都同樣的面對網路犯罪的威脅。

現實五

小型企業正轉移到雲端去，同時擁抱雲端安全，但網路犯罪份子也不會落後

雲端運算已經不再只是個口號，而成為了現實。今日的整體中小企業雲端運算市場價值估計約有八十六億美元 ^註9，而到了二〇一四年會來到一千億美元。此外，從二〇一一年起，有高達74％的中小企業計劃增加在雲端運算軟體上的支出。而在二〇一〇年下半年，採用雲端運算的中小企業只有14％，這是個顯著的進步。

儘管整體來說，這一切都在積極發展中，但小型企業仍然沒有花費足夠的經費在雲端安全上。IDC的報告指出，只有19％的小型企業和約36％的中型企業有將提高安全管理視為優先的關鍵IT支出。^註10 中小企業的IT開支。每年是以5-6％的速度成長。

小型企業面對損失資料、生產力、銷售、聲譽跟最重要的金錢風險，因為網路犯罪份子所製造的威脅是以指數在增加。

: 中小企業所使用的雲端服務（來源：spiceworks.com）

你要如何保護企業？

在目前的威脅環境中，沒有企業是安全的。每個企業都是網路犯罪份子的首要目標。

利用以下提示和最佳作法來保護你的企業：

保持警覺。確保你自己和每個員工（不管是不是技術人員）都了解最新的網路犯罪。接受關於最新詐騙手法的訓練，並且實施最佳作法，像是不回應不明電子郵件，或點開裡面的附加檔案或可疑連結。

強制落實內部安全規範。加強網路安全性和銀行通訊協定也是明智的作法。

提早計劃。隨時注意是否有可疑的網路活動，準備好任何入侵攻擊的緊急應變措施。

保護你的設備。確保你的設備或客戶端是安全的。趨勢科技的Worry-Free Business Security Service是基於雲端的安全解決方案，可以提供企業資料隨時隨地的防護。它可以防護個人電腦、伺服器和其他Windows設備，像是銷售用設備。

@原文來源:

https://www.trendmicro.com/cloud-content/us/pdfs/business/tlp-small-business-is-big-business-nov2012.pdf

想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁或下面的按鈕按讚

◎延伸閱讀

五個給小型企業關於雲端運算的迷思與事實

《趨勢專家談雲端運算》VMworld的熱門話題：為什麼安全團隊喜歡虛擬化桌面架構

虛擬化的無代理防護也適用於雲端嗎？

會攻擊VMware虛擬機器的新病毒:Crisis（又稱為Morcut）

Cirsis/MORCUT 惡意軟體掛載虛擬機器

《趨勢專家談雲端運算》軟體定義網路重新洗牌：VMware收購Nicira，Oracle收購Xsigo

《趨勢專家談雲端運算》墮入虛擬化相關威脅的深淵

◎即刻加入趨勢科技社群網站,精彩不漏網

安全不是採用雲端運算唯一的阻礙

2012 年 01 月 03 日2012 年 12 月 24 日趨勢科技 TrendMicro

安全不是採用雲端運算唯一的阻礙

在AWS re:Invent大會的九十分鐘主題演講中，Andy Kassy相當不加掩飾地提出使用AWS（亞馬遜網路服務）與私有雲的原因（在32分鐘時）：

所以採用公共雲應該是不用多加思考了，對吧？哦！等等，但是Andy跳過公共雲的安全問題 – 我要怎麼相信客戶的敏感資料在公共雲中是安全的？

我親身經歷過，也聽說過。

我同意，越來越少消息是企業因為會擔心將客戶的敏感資訊儲存在公共雲而不願採用雲端技術了。（對了，Jassy的主題演講也有所新意，提到了美國太空總署噴射推進實驗室（NASA/JPL）使用了公共雲，Netflix的故事已經舊了。）

或許是因為網路？

企業可能會因為顧慮到如何連結他們資料中心內的伺服器又兼顧安全，而無法將其應用程式遷移到公共雲。一位顧客來到我們在AWS re:invent的攤位，對於AWS和我們所宣布的事情都非常興奮。想要了解「那我的VLAN（虛擬區域網路）該怎麼辦？可以在網路第二層就隔離我的實體和虛擬伺服器嗎？而且我的伺服器有兩個網路：一個網路負責資料和應用程式，另一個是管理用網路 – 我該如何在AWS架構這一切？」