隨著企業紛紛移轉到雲端，其數位受攻擊面也因而迅速擴大，本文探討主動式資安風險管理如何協助您強化防禦並降低攻擊或資安事件發生的機率。
數位轉型讓企業的受攻擊面迅速擴大：有 50% 的企業機構採用雲端原生方法來支援員工和客戶，此外，聯網裝置數量預計將在 2025 年攀升至 559 億台。雲端移轉與連線數量的大幅增加，為駭客帶來了新的攻擊途徑 (而且是未受管理的途徑)。
受攻擊面的擴大已衍生出新的複雜性，而這經常會讓資安營運團隊陷入被動回應事件與難以控制衝擊範圍的劣勢。
本文說明主動式資安風險管理不僅能讓 IT 和資安營運彼此之間能夠跨功能合作，打破可視性藩籬、改善威脅偵測及回應，同時還讓資安領導人更容易了解、溝通及防範整體企業的風險。
繼續閱讀趨勢科技保護了世界各地的大小企業（SOHO、中小企業、一般企業和大型企業）、政府和消費者，擁有超過55萬的商業客戶和數百萬的消費者客戶。從這些領域獲得的大量全球威脅情報讓我們能夠確保看到全球範圍內發生的幾乎所有威脅。使用專家智慧加上機器智慧，趨勢科技能夠為現在和未來的所有客戶提供保護。
：趨勢科技威脅情報副總裁Jon Clay
趨勢科技是當今為數不多能夠全方位保護你數位世界的網路安全公司，不管是你家中的辦公室和家庭、開車上班的路上或是你的工作環境。
我從1996年7月開始了我的網路安全之旅，當時我在一家已經成立8年的網路安全公司 – 趨勢科技擔任銷售工程師。我在這行業已經工作26年了 – 沒錯,都是在趨勢科技，我可能對趨勢科技多年來所取得的成就有些「老王賣瓜」式的自豪，但我還是迫不及待的想分享我對趨勢科技正在做，未來也將會持續做下去事情。
繼續閱讀
Google 隱形眼鏡，而非眼鏡﹔來自特斯拉和通用汽車的自動車會出現在許多車庫內，而非少數；主要支付生態系重啟以及網路犯罪持續在這一切創新間擴散。只有少數幾件事我可以比較肯定地將會發生在未來24到36個月內。我們的技術長Raimund Genes和趨勢科技出色的研究團隊已經描繪出我們對2015年的預測。當我們消化過去幾年的趨勢和向前預測網路風暴會帶著我們迎向新年，很明顯地，這一年的可能攻擊列表不該掉以輕心。
2015年威脅預測報告中所用的鏡頭是從全球的角度來看。我們直接地瞄準威脅活動、惡意分子和加速的APT 針對性攻擊。讓我們說清楚，資安公司不會像2002年關鍵報告裡的「先知」那麼有效。然而，有著世界一流的威脅情報/鑑識分析、公開和私下與全球執法單位的共同合作以及一個致力於提供價值的合作夥伴生態系的幫助；多少可以達到抵禦網路犯罪和國家活動等邪惡意圖的效果。 繼續閱讀
網路威脅已經進化到會嘗試去預先繞過分析和偵測。安全廠商每天所做出的進步，都會有網路犯罪份子加以反擊。拿Stuxnet做例子，為其他威脅開創使用LNK漏洞的方法。Conficker蠕蟲/DOWNAD讓網域生成演算法（DGA）變成流行。現在也被其他惡意軟體家族所使用，包括ZeroAccess和TDSS。 這些閃躲技術的目標很簡單：避免早期偵測和讓攻擊者可以建立目標電腦上的立足點。 在我們的報告 – 「網路偵測閃躲方法」裡，我們將討論威脅如何透過夾雜在正常網路流量中來阻礙偵測。包括連線到Google和微軟更新，還有流行即時通所產生的流量，像是Yahoo即時通。下面是一些我們所看到，會用這種方法來防止被偵測的遠端存取木馬（RAT）：
雖然名單並不是特別長，而且方法很簡單，這篇報告顯示出網路犯罪份子可以去適應並提升自己的技術能力。再次強調他們是如何不斷地改進自己的方法和策略，以繞過網路安全，企圖去接管系統，並且在安全研究人員前隱藏自己。想知道更多關於這些威脅的資訊，以及如何有效地偵測惡意網路流量，你可以參考完整的文章 – 「網路偵測閃躲方法：和正常流量混合」。
@原文出處：How Threats Disguise Their Network Traffic作者：Sabrina Sioting（威脅反應工程師）
對於網路犯罪份子來說，沒有太小而無不去攻擊的目標。但小型企業仍然有著這樣的心態 – 只有跨國大公司才是網路犯罪分子的目標。他們堅信，因為他們很小所以很安全。正因為如此，這些企業老闆往往無視於網路犯罪威脅和安全問題，也讓小型企業成為被垂涎的對象。
不要成為他們的一份子。是時候面對現實了。
現實一
任何企業，無論大小、類型都可能是網路犯罪的受害者
大多數小型企業不相信網路犯罪份子會把目標放在他們身上。根據Visa公司和美國國家網路安全聯盟（NCSA）的調查，註1 一千個小型企業中，有85％認為大型企業是比他們更有可能的目標。超過一半（54％）對於自己比大型企業做好更多準備來保護公司和客戶資料具有信心。
這些小型企業認為自己不會出現在攻擊者的雷達上。他們的想法是，和他們這些小型企業比起來，網路犯罪分子會先針對大型企業或消費者。但在現實中，網路犯罪分子並不會有任何歧視。只要有利可圖，只要有可以攻擊的點，他們就會動手。並沒有所謂的優先順序，只要有安全漏洞就可以了，所以就算是小型企業，網路犯罪份子都會一視同仁。
現實二
網路犯罪份子對於小型企業所掌握的資訊是有興趣的
雖然並沒有大型企業那種規模，但是中小企業（SMB）還是一樣面臨內容安全風險。銀行詐騙攻擊仍是個真實存在的威脅。註2 中小企業一直都是惡意軟體的目標，像是會竊取密碼的鍵盤側錄程式，讓網路犯罪分子可以去存取其財務帳戶。資料竊盜變得十分猖獗，在二〇一一年，中小企業的銀行帳戶被偷走了超過十億美元。註3 這表示你的員工和客戶的資料，以及財務帳戶資訊都是網路犯罪分子的首要目標。
圖1. 資料遺失事件內的個人資訊（來源：https://datalossdb.org）
現實三
網路犯罪份子每一秒都會產生針對小型企業的新威脅
單單二〇一二年上半，我們就替中小企業防護了超過一億四千二百萬次威脅。我們的趨勢科技專家們指出，至少有兩個因素造成了這麼大的數量。首先是社交工程攻擊成為主流，讓中小企業成為容易攻擊的目標。
而第二個原因就是中小企業的數量龐大。光是在美國一地，二〇一一年就有約二千七百萬家中小企業。註5 讓中小企業成為一個值得攻擊的目標。但對網路犯罪份子來說，中小企業更具吸引力的是他們往往缺乏保持IT團隊的預算，更不用說是專責於資安的IT部門。
網路犯罪份子讓小型企業損失數十萬美元。殭屍網路是他們首選的武器。殭屍網路會悄悄滲透進網路內。讓網路犯罪份子可以在員工和客戶不知情下去取得小型企業電腦的控制權。
在二〇一二年三月，美國聯邦調查局提出關於有駭客攻擊美國中小企業的銀行詐騙攻擊報告。註6 這些網路犯罪分子使用惡名昭彰的惡意軟體 – ZeuS/ZBOT木馬程式來攻擊小型企業。這些惡意軟體攻擊竊取了超過三百萬美元。
趨勢科技專家們也看到了專門針對小型企業的網路釣魚活動和漏洞攻擊。這些騙局所用的訊息常常都和稅有關，利用政府機構的名義，透過假客戶投訴或採取法律行動等恐嚇威脅手法。同時也利用漏洞攻擊常見的應用程式。
現實四
法規遵循是很花錢，但不符法規會更加花錢，而且會為網路犯罪開啟一扇窗戶
並非所有小型企業都了解法規遵循（Compliance）問題。有些人甚至認為自己符合，並且有足夠的安全防護。除此之外，有15％的中小企業覺得他們可能在一年內遇到安全入侵問題。註7
不符法規最終可能會導致生產力損失、業務中斷和高額的法律費用。對於跨國企業來說，法規遵循費用大約是三百五十萬美元。註8 但和不符法規的高額代價相比，這是個很小的支出。你的小型企業也和許多大型企業一樣，會有流程、人員和技術，這一切都同樣的面對網路犯罪的威脅。
現實五
小型企業正轉移到雲端去，同時擁抱雲端安全，但網路犯罪份子也不會落後
雲端運算已經不再只是個口號，而成為了現實。今日的整體中小企業雲端運算市場價值估計約有八十六億美元 註9，而到了二〇一四年會來到一千億美元。此外，從二〇一一年起，有高達74％的中小企業計劃增加在雲端運算軟體上的支出。而在二〇一〇年下半年，採用雲端運算的中小企業只有14％，這是個顯著的進步。
儘管整體來說，這一切都在積極發展中，但小型企業仍然沒有花費足夠的經費在雲端安全上。IDC的報告指出，只有19％的小型企業和約36％的中型企業有將提高安全管理視為優先的關鍵IT支出。註10 中小企業的IT開支。每年是以5-6％的速度成長。
小型企業面對損失資料、生產力、銷售、聲譽跟最重要的金錢風險，因為網路犯罪份子所製造的威脅是以指數在增加。
你要如何保護企業？
在目前的威脅環境中，沒有企業是安全的。每個企業都是網路犯罪份子的首要目標。
利用以下提示和最佳作法來保護你的企業：
@原文來源:
想了解更多關於網路安全的秘訣和建議，只要到趨勢科技粉絲網頁 或下面的按鈕按讚
◎延伸閱讀
《趨勢專家談雲端運算》VMworld的熱門話題：為什麼安全團隊喜歡虛擬化桌面架構
會攻擊VMware虛擬機器的新病毒:Crisis（又稱為Morcut）
《趨勢專家談雲端運算》軟體定義網路重新洗牌：VMware收購Nicira，Oracle收購Xsigo
