資安趨勢部落格 - 手機病毒/電腦病毒防禦密技,不只守護網路安全,還提供各種實用3C實用小秘訣,由資安/防毒軟體領導品牌趨勢科技 Trend Micro 每日更新

趨勢科技全面探索 IoT 資安，助各類智慧應用場域消弭威脅風暴

2018 年 03 月 30 日2018 年 03 月 30 日趨勢科技 TrendMicro

伴隨物聯網（IoT ,Internet of Thing ）技術發燒、聯網裝置數量攀升，現今人人皆已身處萬物聯網之應用情境。儘管IoT應用普及度激增，但相關資安防護措施，並未出現同等幅度進化，加上聯網裝置製造商、使用者普遍缺乏防範意識，導致IoT成為駭客攻擊的大好題材。

當前不管是涵蓋眾多子系統的智慧城市，或貼近民眾日常生活的智慧家庭網路、車聯網，都淪於駭客攻擊目標，潛藏著前所未見的風險；譬如向來採取實體隔離的工業網路，都曾在Web連線過程出現破口，導致PLC與SCADA慘遭入侵，甚至感染勒索病毒，釀成巨大災損，突顯IoT確實危機四伏。

建立防禦模型，力抗智慧城市資安危機

不可諱言，容納各式感測器、致動器、異質網路的智慧城市，堪稱最複雜的IoT應用場域，風險指數相對較高，是亟需加強防禦的一環。

趨勢科技資深研究員Philippe Lin說，有不少人利用IFTTT APP自行設定各種服務之間關聯性，智慧城市彷彿是大量IFTTT的集合體，是內含大量系統的複雜系統，可能潛伏許多系統風險。有人認為智慧城市網路有實體隔離措施，縱使駭客入侵，也只能上去看看、製造一些隱私權侵犯話題，不足以做出致命舉動，但事實並非如此。

去年底一場歐洲的工業自動化展，某專家將多廠牌SCADA設備一字排開，眾目睽睽下展開「Gateway to (S)hell」駭人演繹，只見他透過這些設備的Web介面，成功存取Shell、掌握Root權限，此情景若發生在現實世界，後果著實不堪設想。

Philippe Lin指出，趨勢科技已提出智慧城市防禦模型，透過「Sensor的Sensor」嚴謹方式，隨時偵測各種感測器、功能與服務的狀態，以提高城市遭攻擊後的復原能力，另彙整十大要點，幫助政府與承包商共創安全智慧城市，它們包括：執行品質檢驗與滲透測試；建立服務層級協議(SLA)；建立縣市政府下轄的電腦緊急應變小組；確保軟體完整性，並定期更新；考量智慧基礎建設的使用年限；時時謹記隱私資料處理規範；通訊管道必須認證、加密且做好管制；準備手動操作備案；設計容錯的系統；及確保基礎服務永續運作。

強化閘道防禦，遏阻駭客入侵家庭網路 繼續閱讀

報告：聯網汽車能操縱交通號誌控制演算法, 塞車時間多 14 倍

2018 年 03 月 30 日2018 年 04 月 24 日趨勢科技 TrendMicro

密西根大學（University of Michigan）的研究人員表示，單單一輛有攻擊企圖的汽車就可能對基於聯網汽車的交通運輸系統造成干擾。他們的研究展示了一輛聯網汽車的資料欺騙（data spoofing）攻擊能夠透過汽車對基礎設施（V2I）來讓交通系統誤認為十字路口已經壅塞。

V2I是可以讓汽車與交通基礎設施（如自動收費系統、道路攝影機、交通號誌和測速器）共享資訊的無線通訊。

延伸閱讀：防護未來的交通運輸網路

在這項研究中，交通號誌控制演算法遭受影響而造成交通堵塞，研究人員評估對22%的汽車來說，半分鐘的路程會變成超過了七分鐘（14倍的時間）。繼續閱讀

企業資安簡易指南：網域監控 – 如何在網路釣魚出現前主動偵測並封鎖?（上）

2018 年 03 月 28 日2018 年 03 月 19 日趨勢科技 TrendMicro

網路釣魚（Phishing）是最古老的網路騙局之一。已經普遍到每個使用者和企業都可能看過好幾個釣魚網頁。許多防止網路釣魚建議都會教使用者如何避免或防禦網路釣魚攻擊，但使用者（特別是企業）該如何在它們出現前主動偵測並封鎖呢？

網域名稱內有什麼？

許多網路釣魚攻擊（特別是關於金融詐騙和信用卡資料竊取）都會複製正常網頁來偽造出詐騙網頁。例如，使用者可能會被騙去點入詐騙郵件內的連結，雖然他以為自己點的是正常電子郵件。結果就會被送到詐騙者所控制的山寨網頁。一旦使用者在該網頁輸入自己的帳號密碼和信用卡號，網路犯罪分子就可以攔截並竊取。

有許多種方法可以用來建立假網頁。最常見的是購買或註冊跟正常網域非常相似的新網域，然後放上詐騙網頁。接下來詐騙者就可以寄送網路釣魚郵件來吸引使用者連上。

這些準備工作可能需要數小時或數天，取決於註冊服務商的回應，代管服務的處理速度及詐騙者自己的時間安排和技術能力。所以企業就可以對新網域註冊進行監控和偵測。但具體該如何運作呢？

如何處理網域名稱？

網域名稱是一組定義網路行政自治權、管理權或控制權的字串。網域名稱由網域名稱系統（DNS）的規則和程序構成，並且以階層式架構組織起來。它由“DNS根網域”開始，接著是用“.”（點）隔開的下級或子網域。

比方說網域名稱trendmicro.com，裡面有第一級的“.com”和第二級的“trendmicro”。第一級稱為“頂級網域（TLD）”。它們分成幾類：

gTLD – 通用頂級網域；原本只有7個（.com、.edu、.gov、.int、.mil、.net、.org），但現在變得多很多。
ccTLD – 國碼頂級網域；這些由各國所擁有，如法國的.fr，台灣的.tw等。

繼續閱讀

準備好面對嚴苛的 GDPR (歐盟一般資料保護法規)了嗎?

2018 年 03 月 27 日2018 年 03 月 27 日趨勢科技 TrendMicro

歐盟的「一般資料保護規範 (GDPR)」試圖加強規範企業對重要個資的管理方式，不論是自行蒐集處理或委託第三方服務皆然。因此，在貴重資訊的管理和保護方面，關鍵的問題即在於：脆弱的環節在哪裡？

網路犯罪者攻擊大型組織常用的手法，便是從安全控管機制較薄弱的第三方供應商下手。深入瞭解相關領域是一項重要任務，因為許多企業會在毫無可見度的情況下，將資料散佈至其他組織。Ponemon Institute 於 2017 年進行的研究指出，57% 受訪者並未保留共享資訊的第三方名單，而 82% 不知道自己的重要資料是否與第四甚至第五方共用。

同一份調查指出，至少 56% 的受訪者在 2017 年遭遇第三方資料外洩的情況。這項問題對企業而言十分嚴重，因為在 GDPR 的規範之下，供應鏈若發生資料洩漏與入侵事件，組織將遭到究責。平均而言，光是一次資料洩漏，美國企業就得負擔 730 萬美元的罰款、賠償與客戶流失成本。

第三方供應商包括行銷團隊、法律事務所、甚至物流與自由工作者，乃至於任何曾經蒐集或經手客戶、聯絡窗口或員工資料的實體。雲端儲存等外包 IT 後端流程也不例外。過去幾年來曾發生一些嚴重案例，皆是組織因忽視供應商安全性而成為資料外洩的受害者。