《Black Hat 黑帽大會精選》工業物聯網 (IIoT)漏洞

•    作者:趨勢科技CISA 基礎架構策略副總裁:William “Bill” Malik 

在 Black Hat USA 2020 駭客大會上,趨勢科技發表了兩場關於工業物聯網 (IIoT)漏洞的演講。第一場討論的是某些工業機器人專用程式語言的弱點,第二場則是探討通訊協定閘道的漏洞。任何正在採用工業機器人的企業,以及任何採用多重廠牌設備的 OT 環境,都應該認識這些攻擊威脅。

以下是兩場演講的重點摘要。

當機器人被駭客入侵

今日的工業機器人大多內含功能強大完整的電腦,但工業機器人不如今日絕大多數電腦的地方是,它們連最基本的資安措施都沒有。首先,在架構層次上,工業機器人缺乏任何指令限制或記憶體隔離機制。換句話說,任何程式都能修改任何部份的記憶體或執行任何指令。在傳統的大型主機裡,沒有任何一個應用程式可以存取、修改或執行另一個應用程式或作業系統內部的指令。就連智慧型手機作業系統也有權限管制,例如,應用程式若要存取智慧型手機的相機,必須先取得相機的權限才行。但工業機器人卻允許任何程式碼讀取、存取、修改或操作任何與該系統連接的裝置,包括時鐘。如此一來就無法確保工業機器人的資料一致性,也無法檢查故障,除錯將變得異常困難。

繼續閱讀

趨勢科技推出智慧家庭好幫手「智慧網安管家」,打造網路防護網,所有連線設備不怕被入侵!

大家有沒有想過,你的電腦、手機、平板雖然都已經有「防毒軟體」可以安裝來保護,不過現在很多家電、設備都有「連線」功能,但無法安裝相關防護軟體來保護,應該要怎麼辦?特別像是網路攝影機被入侵的事件相當的多,那如果你今天是智慧冰箱被入侵、智慧電飯鍋被入侵,甚至是你家的智慧開關又會發生什麼事?今天就來分享一款由趨勢科技推出的智慧家庭防護好幫手「智慧網安管家」,所有設備安全狀況透過 APP一目瞭然,除了基本防護還可以自行針對不同設備個別設定控管,幫你打造堅固的網路防護網。

我家有哪些「智慧裝置」?

給大家看一下我的連線裝置,平常常態 24 小時連線的,包括手機、電腦等就有 30 個左右,而全部連線設備更是高達 40 個,你能想像如果這些裝置都被駭客掌控的話會發生什麼事?

繼續閱讀

《資安新聞周報》尋失竊手機APP!藏偷拍錄音風險/Google雲端硬碟爆資安漏洞 備份檔案被調包成惡意軟體/國際建築公司遭 APT 僱傭組織攻擊

本周資安新聞週報重點摘要,本文分享上週資安新聞及事件。你將會看到新聞的簡短摘要及原文連結來閱讀更詳細的見解。

這張圖片的 alt 屬性值為空,它的檔案名稱為 NEWS-R-1024x738.png

資安趨勢部落格一周精選

媒體資安新聞精選

FBI與CISA警告:美國正出現大規模的語音網釣活動     iThome

趨勢科技 Zero Day Initiative (ZDI) 漏洞懸賞計畫再度榮登 漏洞公開揭露市場領導者    iThome

趨勢科技舉辦第六屆年度全球 Capture the Flag (CTF) 網路攻防搶旗賽   iThome

趨勢科技與 AWS 解決方案整合以提升 DevOps 防護的靈活性與自動化    iThome

【資安大會直擊】面對後WannaCry時代,資安威脅防護需同時考量OT環境        iThome

三強聯手 創變智造新未來 台達、微軟、趨勢,攜手打造EDGEMES機械設備製造營運管理系統    工商時報

趨勢科技 2020 上半年攔截了 880 萬次冠狀病毒病相關威脅      經濟日報網

七夕這時段 3倍人搭車去摩鐵啪啪啪       雅虎奇摩

Google雲端硬碟爆資安漏洞 備份檔案被調包成惡意軟體     ETtoday新聞雲

Gmail四月份爆出漏洞遲遲不修 研究人員八月公布漏洞後七小時內急修好        網路資訊雜誌

逾20萬中國傳音手機預載廣告詐騙程式  iThome

Safari藏漏洞使iPhone及Mac用戶陷點擊詐騙風險,但蘋果計畫2021年初才要補    iThome

研究:App Store上有超過1,200個程式採用惡意廣告SDK     iThome

AWS社群AMI藏有挖礦惡意程式       iThome

MITRE公布這兩年全球最危險的25種軟體安全缺陷      iThome

尋失竊手機APP!藏偷拍錄音風險 3C達人:先檢查清單     三立新聞網

Uber前安全長Joe Sullivan因蓄意隱瞞資料外洩事件被起訴  iThome

猶他大學遭勒索軟體攻擊:付贖金的原因不是為了解密資料,而是贖回被盜的學生資料    iThome

南韓 SK 海力士遭駭,藉勒索軟體取得資料並勒索贖金       科技新報網

被抄還是捲款而逃?全球最大暗網黑市「Empire Market」蒸發三天掀恐慌        INSIDE

國際建築公司遭 APT 僱傭組織攻擊,Autodesk 3DS Max 淪為重大工程間諜戰目標    科技新報網

訂閱資安趨勢電子報

繼續閱讀

後疫情時代的八種資安威脅

歡迎來到新常態(New Normal)。現在我們每個人都生活在後新冠狀病毒(COVID-19) 時期,特點就是不確定性、大規模的在家工作及遠端學習。正常生活的界限突然間被打破了,也許再也不會回來。我們都知道這並非是最糟的狀況,但這的確代表我們需要習慣在家生活、工作和學習。這對我們家庭的網路安全、防護及隱私有著重大的影響。

為了幫助你適應這些新狀況,同時保護那些最重要的事物,趨勢科技撰寫了關於”新常態”的二部曲文章。第一部會說明新常態的範圍和特定的網路威脅。第二部會提供有助於解決這些威脅的安全建議和產品。

不用通勤上班/上學,有更多時間接觸七種網路風險


專家們警告可能會有新一波的新冠病毒流行高峰,意味著會有新一波的在家工作潮,而也在家裡的孩子也需要用行動裝置來進行遠端學習。

如果不需要通勤上班或上學,待在個人電腦、筆記型電腦、平板或智慧型手機螢幕前的時間將比以往都要多,甚至包括了智慧電視。這時能會接觸到七種網路風險:

  1. 使用可能不安全的視訊會議軟體。
    Zoom的每日會議參加者人數從2019年12月的1,000萬激增至3月的約2億。
  2. 瀏覽 P2P/torrent網站或平台來尋找成人內容。
    為了好玩,在家無聊的孩子或青少年可能有更多時間和意願去做這些事。
  3. 下載偽裝成合法娛樂或遊戲的潛在惡意應用程式。
  4. 更多線上的購物或銀行交易。
    光是六月就產生了732億美元的線上支出,跟去年同期相比增加了76.2%。當你進行線上購物或銀行交易時可能會讓財務資料外洩。
  5. 使用可能不安全的遠端學習平台。
    教育性行動應用程式在3月2日至16日間的下載數大幅成長了1087%。
  6. 登入企業的雲端服務。
    這包括使用Office 365,遠端完成工作,或用VPN直接連到辦公室。
  7. 在智慧電視上進行娛樂活動、使用串流媒體和瀏覽網路。
    但正如FBI所警告,即使是智慧電視也可能遭受漏洞攻擊。

在家工作(WFH)的四種危險行為

繼續閱讀

《IOT》連網汽車像是有四個輪子的高性能行動電腦,如何防止網路威脅?

作者:William “Bill” Malik(基礎架構策略CISA副總)

連網汽車正在發展中。全球數量在 2018 年到 2022 年間估計會成長270%,預計在幾年內達到1.25億。跟傳統汽車比起來,這些汽車更像是有四個輪子的高性能行動電腦,配備網際網路連線、可經由應用程式進行遠端監視和管理、先進的駕駛輔助及自動駕駛等功能。但這也讓它們更容易遭受機敏資料竊取及遠端操縱的影響,可能造成嚴重的人身安全問題。

這裡是需要新標準的地方。ISO/SAE 21434 道路車輛網路安全工程的國際標準,為汽車產業提供了詳細的指南,有助於應對這些挑戰並減少對商譽及網路帶來的風險。趨勢科技的一份新報告詳細介紹了產業相關人士的需要,以及我們身為網路安全專家所提出的建議。

現代化汽車裝配超過 100 個引擎控制單元(ECU),攻擊者劫持 ECU 就能夠橫向移動到車內的任何目標

繼續閱讀