作者

潘后儀 / 資料參考: 廠商提供

HITCON CISO Summit 2024
編輯台

超過 8 個國家、逾200名全球資安要角齊聚台灣 – HITCON CISO Summit 2024

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

成立於 2015 年財團法人台灣駭客協會 (HIT)，主要以推廣資訊安全，扮演政府、企業與民間的最佳溝通與合作的橋梁，同時傳遞全球關鍵的資訊安全議題給予社會大眾為宗旨，HIT 協會至今從未懈怠。HITCON 台灣駭客年會，則是台灣駭客協會所專注推廣的資安教育系列中一個主要的活動平台，重中之重。

邁入第20年的 HITCON 台灣駭客年會，每年在台灣舉辦持續累增上千名的從事資安工作的人員與相關技術研究者齊聚一堂，這幾年，來自全球各地資安高手，以及指標性的資安專家也陸續相繼出現 HITCON 活動現場與大家分享資安議題與發展的趨勢。

日前，台灣駭客協會 (HIT) 主辦一場邀請制的閉門會議 HITCON CISO Summit 2024 資安長高峰會議，今年是第三年，無論是受邀貴賓的職務、參與的國家或是會議討論的主題，每年逐步拉高層級與專業深度，同時更為聚焦專門為參與的來賓量身訂製的閉門交流會議，今年 (113) HITCON CISO Summit 則匯集近 200 名來自台灣、美國、英國、日本、韓國、新加坡、泰國、菲律賓等 8 個國家，頂尖產官學界的資安決策者，齊聚一堂。主辦單位 HIT 台灣駭客協會透過專題演講與圓桌會議交流的形式，於會議中探討國際與公私聯防，以及在 AI 時代下建構企業的資安政策與未來發展方向等議題。

HITCON CISO Summit 2024 的開幕嘉賓，主辦單位邀請國家安全會議諮詢委員李育杰、美國在台協會處長谷立言等，總統賴清德也同時送上賀電，肯定 HITCON CISO Summit 資安長高峰會對台灣產業的重要性。會議的現場安排四場專題演講，分別邀請美國網路安全暨基礎設施安全局（CISA）、日本 NTT Security，以及 Google 的亞太區資安長，對於如何促進科技生態系安全的全球計畫、電信集團的網路安全挑戰，以及資安與 「負責任」的人工智慧等最近所討論的熱門議題進行分享。

4 8 edited
國家安全會議諮詢委員 / 李育杰
3 3 edited 1
美國在台協會（AIT）處長 / 谷立言

我國數位發展部部長黃彥男分享，國家資安戰略與數位發展部的資安韌性推動策略要點和實作，內容提及結合政府跟民間的力量，透過數位治理強化民主治理，以及公私機關協作資安的項目，包含持續推動資安策略、共同防禦、資安培訓計畫和產業環境完善等。此次受邀的與會貴賓多達 200 名來自百工百業的菁英，HIT 規劃圓桌會議的安排達15桌次，每個桌次所討論的議題非常豐富與扎實，分別有人才培育、半導體安全、金融資安、風險管理、智慧製造、資安長管理、資安政策與發展方針、資安韌性、關鍵基礎設施等，讓會議進行期間與貴賓彼此互動相當熱絡。

5 2 jpg
數位發展部部長 / 黃彥男

HITCON CISO Summit 2024 總召集人鄭仲倫（Mars Cheng）表示，為CISO資安長量身打造專屬的活動與國際長期鏈結，是HIT初衷也是目標。資安長的高峰會議，我們以聚焦資安長目前面臨真正的需求與痛點為主軸，並邀請海內外產官學專家於會議中深入分享與提供解決的方向，也期許日後將會議所交流的知識內容，進一步成為亞洲資安長的知識庫，因此我們台灣駭客協會 HIT 也將更加努力精益求精的延續下去 HITCON CISO Summit 資安長高峰會。

2 6 jpg
HITCON 20 周年，再次升級 CISO Summit，匯聚近 200 位來自台灣、美國、英國、日本、韓國、新加坡、泰國、菲律賓等 8 個國家的政府單位、組織及企業，齊聚 10 月的台北

此外，HITCON（台灣駭客年會）歡慶 20 週年慶，系列第二場活動台灣駭客年會- 企業場（HITCON Enterprise 2024）將於 10 月 30 日登場。以「HITCON 20 年：從人類到 AI，駭客精神共融進化」為主題，將邀請到來自美國、日本的全球資安界重量級人物親臨現場，還有來自台灣政府、資安公司與社群組成的「台灣隊」，不藏私公開 AI 時代之下最有料企業資安實務。有興趣的朋友也歡迎您報名參加。

HITCON Enterprise 2024 台灣駭客年會企業場
日期：2024.10.30 (三) 10:00 – 17:30
地點：台北松山文創園區 – 多功能展演廳(台北市信義區光復南路 133 號 2 樓)
大會議程 (與報名)：https://hitcon.org/2024/ENT/

  • 照片來源 : HITCON 提供
0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
編輯台

IBM 2023年報出爐：斥資近70億美元研發AI、量子、半導體

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

編輯推薦: 這篇是IBM 董事長暨執行長克許納（Arvind Krishna）「致 IBM 投資人」的一封信件內容摘要，於日前IBM發布2023年企業年報所公開出來的，編輯整理出三段內容，分別為「技術和行業應用」、「科技研發成果分享」、「IBM 車庫方法論」，提及IBM不但持守也實現三年前(2020)四月對客戶與夥伴所許下的承諾。

2023 年，IBM聚焦於混合雲和人工智慧（AI）為當今最具變革力的科技，透過IBM旗艦級 AI與資料平台產品watsonx，協助重新打造客戶服務，現代化海量的代碼，以自動化的企業流程提升員工生產力。2023年，IBM 的總營收為 619 億美元，按固定匯率計算成長 3%，自由現金流112 億美元，與2022年相比成長 19 億美元，且IBM投資於公司業務發展的金額十分可觀，為投資人創造價值，2023 年斥資近 70 億美元於研發領域，支出超過 50 億美元收購 9 家公司且派發股息超過 60 億美元。

技術和行業應用

AI 和混合雲科技持續驅動價值創造，使企業得以擴大規模、提高生產力、抓住新的商機。IBM 已經建立兩個強大的技術平台，即為AI而生的watsonx平台與為混合雲而生的 Red Hat OpenShift平台，並從企業對這兩項科技的強勁需求之中獲益。

AI而生的watsonx平台

watsonx 是一個完整的 AI 與資料平台，目的提供 AI 模型，協助客戶管理企業級AI應用的全生命週期，包括訓練、調校、建置與持續管理這些模型。隨著客戶從體驗生成式 AI 、轉到在全企業裡打造與建置AI，IBM 聚焦於實際且重要的應用場景，包括代碼現代化、客戶服務和數位員工。

行業應用如下:

  • 花旗銀行、巴西Bradesco銀行和英國NatWest銀行等金融機構，運用 watsonx 提升生產力、改善應用程式代碼品質、提升客戶體驗。
  • 安永會計師事務所推出的全新EY.ai 人資解決方案，則使用 watsonx Orchestrate讓HR 工作與流程自動化。
  • NTT Data Business Solutions、Wipro 和 TCS 等合作夥伴成立watsonx 卓越中心，以協助企業擴大AI創新領域。
  • watsonx 的生成式 AI功能與 IBM諮詢部門相結合，持續強化美國網球公開賽、美國名人賽、溫布頓網球公開賽、葛萊美獎和 ESPN旗下遊戲Fantasy Football的數位體驗。
  • IBM 員工也在運用 watsonx 提高自身的生產力，工作流程化繁為簡，將人工作業自動化，例如更輕鬆地處理 HR 和 IT 工作，代碼生成速度提升60%、且更快地回覆客戶詢問。

混合雲而生的 Red Hat OpenShift平台

混合雲架構已經被廣泛採用，近 80% 的 IT 決策者表示運維為混合雲環境；然而有近三分之二的企業卻表示IT環境複雜，管理不易，因此隨著他們在多雲環境中採用生成式 AI，將會是項更為嚴峻的挑戰。

Red Hat OpenShift的IBM混合雲平台，可以協助客戶從被動地接受既成的混合架構（hybrid by default），轉換到主動打造的混合架構（hybrid by design）；使企業在混合多雲環境（包括公有雲和私有雲）無縫地運行工作負載，簡化營運，統一資料和應用，加速創新。它同時也為watsonx 平台提供了關鍵性的支持，使客戶能夠靈活地管理在複雜的多雲環境裡運行的眾多 AI模型。

頁次: 1 2 3

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
編輯台

[工商] Whoscall推出新功能:自動化保護，避免個資外洩

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

編輯推薦: 文中有段達文西個資暨高科技法律事務所所長葉奇鑫律師分享對於防詐騙、防個資外洩與時俱進的思維，葉律師說「詐騙已經AI化，個人很難有能力抗衡，因此必須借助科技工具，用AI對抗AI或自動化保護功能，來避免個資外洩…」

去年(2023)立法院三讀通過「個人資料保護法」的部份條文，要求成立「個人資料保護委員會」明定此委員會既是個資法主管機關也是獨立機關身分，同年三月金管會強化上市（櫃）公司資訊安全管理機制，也修訂相關法規，要求上市(櫃)公司於發生重大資安事件時，應即時發布重大訊息，盡到資訊揭露之責等，透過這幾項重大法規的要求，我們可以警覺到無論從民眾個人或是企業的個資外洩事件持續延燒，再者每日頻繁的詐騙事件新聞，也可嗅出我國「個資外洩」的嚴重性。

面對個資外洩，民眾如何自保或應對？

根據Gogolook調查，台灣電話號碼的外洩率高達65％，在亞洲僅次於馬來西亞的73%，但高於日本的56%與泰國的45%。我國戶政司統計，20歲至65歲人口約1,600萬人視為電話號碼擁有者為推估，全台約有1,040萬人受到威脅。由於個資外洩是詐騙集團掌握民眾聯繫方式進而展開詐騙攻擊的關鍵第一步，常見大規模外洩的多為企業或政府資料庫遭駭，零星事件則出現在民眾誤入釣魚網站、陌生問卷表單，甚至是參與來路不明的心理測驗遊戲，形同將個人資訊打包拱手送出。

達文西個資暨高科技法律事務所所長葉奇鑫律師表示，詐騙已經AI化，個人很難有能力抗衡，因此必須借助科技工具，用AI對抗AI或自動化保護功能，來避免個資外洩，隨著政府將建立新的個資保護規範下，消費者的個資若因企業平台漏洞而外洩，消費者將能更有效的依循法律途徑獲得保障。而對於鮮少使用的服務，消費者也可有權主動要求企業刪除相關個人資料與紀錄，降低個資外洩的風險。

此外，眼見信用卡個資外洩而遭盜刷的案例也層出不窮，金融媒合平台「袋鼠金融」提醒，若不慎在不明網站上輸入信用卡或金融卡資訊，請務必盡快撥打銀行機構的24小時客服電話進行停卡並前往警察局報案，避免遭到盜刷，尤其是金融簽帳卡資料若外洩，盜刷、扣款是不需要OTP驗證，更易造成財務損失的風險。

Whoscall新功能「個資外洩偵測」提前阻斷詐騙風險

Gogolook（走著瞧股份有限公司）旗下個人數位防詐App Whoscall於四月初宣布推出新功能「個資外洩偵測」，提供全球用戶免費查詢個人資料外洩風險，除了大幅降低民眾掌握個資權益的門檻，更能從詐騙源頭防範威脅、超前應對。Gogolook消費者防詐事業群總監劉彥伯指出：「這次的新功能將讓Whoscall不只能夠被動預防詐騙，而是在詐騙來襲前主動預警並加強防範。接下來，我們也會持續精進偵測的性能，朝向自動定期偵測、主動通報發展，同時也會再擴大查詢項目到Email等範疇。隨詐騙手法與場景的多元化， Whoscall積極拓展防詐技術與創新功能，繼續扮演用戶行動裝置中必備的防詐App。」

［產品說明］

Whoscall推出最新功能「個資外洩偵測」，於雙平台（iOS/Android）均可使用，您只需下載Whoscall，即能在App首頁中免費啟動偵測功能，依循引導流程操作30秒內即可完成查詢步驟。用戶僅要輸入手機號碼並通過OTP簡訊驗證，Whoscall即能從以該號碼為查詢基礎，偵測過往的外洩紀錄，以及是否有相關帳號、密碼、姓名、地址與Email也於同次外洩事件遭到外流或在非法場域中受到兜售，皆能一目瞭然，最後Whoscall也會引導用戶針對外洩的個資項目進行補救建議。

Whoscall新功能「個資外洩偵測」使用說明（Android） 1
Whoscall新功能「個資外洩偵測」使用說明（Android） 2
Whoscall新功能「個資外洩偵測」使用說明（iOS）
0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
Red Hat 2024 年全球技術趨勢報告 : 數位轉型階段「IT優先投資」
觀點說

Red Hat 2024 年全球技術趨勢報告:數位轉型階段「IT優先投資」

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

今年三月中旬，全球開放原始碼軟體解決方案廠商Red Hat，與往年慣例公布全球產業IT管理者調查報告，這份調查是去年(2023)8月到9月針對超過700名企業IT管理者所進行調查且受訪者均來自營收超過1,000萬美金的企業。

這次Red Hat調查是藉由資料洞察探討企業在數位轉型階段、企業的IT 與非 IT的優先投資項目、雲端狀態進程，以及所面臨的挑戰。總共有11個調查題目，我們列出三個分享給大家。

題目: 未來 12 個月，貴公司會將資金優先投資於哪些 IT 技術？

我們從受訪地區，歐美、中東、非洲與亞太地區的回覆上，整理而言「安全」仍是首要優先投資的項目，分別以威脅情報、偵測與回應， 雲端安全與網路安全名列前三名，對於亞太地區來說，資料保護、隱私權與主權則為榜首，佔44%，因此資料安全能是我們大家不能忽視的。

Red Hat調查報告後探究安全的領域發現到過往曾出現的矛盾，如今再現。對於威脅情報、偵測與回應（34%）是 IT 安全性的優先投資項目，然而「安全性意識培訓」及「聘僱安全性或法規遵循人員」在各地區域的排名卻呈現墊底，同時這幾年全球皆意識供應鏈安全上的威脅，針對第三方或供應鏈安全的投資卻依舊處於後段班，這些值得我們大家思。

【新聞圖片一】在未來 12 個月，貴公司會將資金優先投資於哪些安全性目標？ 2 scaled

頁次: 1 2 3

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
Check Point揭全面安全平台，推首代資安助理 Infinity AI Copilot提供企業最佳後援
編輯台

Check Point揭全面安全平台，推首代資安助理 Infinity AI Copilot提供企業最佳後援

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

編輯說: 總部位於以色列，超過30年遍布全球的軟體網路安全防護廠商Check Point Software，進入台灣將近20年時間，當時台灣企業對於防火牆資安的需求正值全盛期，Check Point Software在政府機關、企業單位的IT資訊、資安人員幾乎是耳熟能詳的品牌。今日全球掀起AI浪潮，AI的應用雙面刃，如何善加運用AI有著許多議題，今天我們來看看Check Point Software如何藉由AI技術帶入資安產品內所發揮的效益與分享。

人機協作 共同抵禦威脅多變的網路環境

Infinity AI Copilot 是AI 驅動與雲端交付的網路安全平台供應商Check Point Software於二月宣布專為威脅多變的網路環境所設計之Check Point Infinity 平台，推出首代 Infinity AI Copilot協助企業組織抵禦生成式 AI 產生之攻擊，盼成為企業組織最佳的安全後盾。Check Point Software 產品管理副總經理 Eyal Manor 表示透過 Infinity AI Copilot將 AI 技術無縫融入安全團隊的日常工作，提升效率和準確性，以開創以人機協作為核心的網路安全。

Check Point 研究報告中提到去年(2023)是全球網路攻擊肆虐的一年， 勒索軟體數量劇增 90%，企業全年平均遭受  60,000 次網路攻擊；此外，全球組織都面臨專業從業人員短缺的問題，全球資安人才缺口達到約 400 萬。在此情況下，保護網路和資料都可能變得困難且充滿壓力。因AI 的驅動，網路犯罪者利用生成式 AI 發動複雜網路攻擊的次數不斷攀升，黑帽駭客（Black-Hat）平台為非法目的自動生成社交媒體內容與進行帳號活動，甚至將 AI 技術整合到垃圾郵件和 KYC 驗證服務，創造假的身分證明文件，都再再顯示網路犯罪的複雜程度已達到了全新層級。

Check Point Infinity 全面安全平台

因應現今網路安全挑戰與威脅，Check Point 全面且統一的安全解決方案 Check Point Infinity 平台，其適用於任何 IT 環境，也賦予企業安全架構靈活度，涵蓋所有攻擊維度的即時 AI 威脅防禦、將安全策略統一以簡化營運，並藉由Infinity ThreatCloud AI快速取得即時威脅情報，以及整合了自動化和編排功能。

第一代Infinity AI Copilot 重點特色包括：

  • 加速安全管理
    Infinity AI Copilot 可事件分析、實施和故障排除等安全任務節省高達 90% 時間，助於安全專業人員更專注在策略創新。
  • 管理和部署安全策略
    根據每位客戶的內部規範，管理、調整和自動部署存取規則與安全控制。
  • 改善資安事件減緩威脅和回應
    善用 AI 技術進行威脅獵捕、分析及應對。
  • 監管所有解決方案和環境
    AI Copilot 可監管 Check Point Infinity 平台上的所有產品，涵蓋網路、雲端、工作區。
  • 簡化自然語言處理
    Infinity AI Copilot GenAI 能理解任何語言，並以聊天方式回應，因此與其互動，就如同與真人對話般流暢，使用者因而能更輕鬆地溝通與執行任務。此自然語言能力促進了無縫互動以及高效任務執行。
0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
Sophos 報告:亞太地區和日本 90% 會因為資安防禦的倦怠和疲勞感而受影響
編輯台

Sophos 報告: 亞太地區和日本 90% 因為資安防禦的倦怠和疲勞感而受影響

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

幾年前，國外大學的資訊研究教授表示，資訊安全防禦的基本觀念是防禦，然而防禦的觀念進入資安人員內心後，自然成為一種心理警戒的狀態，當這樣的威脅狀態時刻保持警惕，慣性長期累績下來對於資安人員將可能成為不可控的壓力存在。

全球網路安全服務公司Sophos發表和研究機構 Tech Research Asia (TRA) 合作進行的《亞太地區和日本網路安全的未來》第四版的調查報告。調查報告整體顯示，受訪者幾乎在網路安全防禦操作的各面向，都感到倦怠感受，負責網路安全和資訊 IT 領域的受訪者中 90% 會因為資安防禦上的倦怠和疲勞感而受影響。

該研究顯示，有 30% 的受訪者表示，在過去一年內倦怠感明顯增加，其中 41% 表示這種倦怠感促使他們無法充分投入工作中，更有 17% 的受訪者，指出因為倦怠或疲勞感造成對網路安全漏洞的防禦上產生了影響，甚至直接造成網路安全漏洞事件，甚至有 17% 的公司，在應對網路安全事件的速度比平均反應時間顯現出更緩慢。

我們從調查報告的數字看到，企業資安人員因為長期網路安全防禦的工作所產生的倦怠或是疲勞感，對企業網路安全的守護上有顯著高度的影響，我們分別摘要調查報告，提供給大家參考:

資安人員對於網路安全防禦的倦怠和疲勞感的原因

  • 缺乏支援網路安全事件的資源
  • 例行性工作過度單調  
  • 來自董事會、高階管理層的壓力增加 
  • 網路工具和系統，不斷出現過多的警示   
  • 威脅事件增加，各種威脅手法層出不窮，使得網路環境更具挑戰且永無止歇

網路安全防禦產生的倦怠和疲勞感，對資安人員的影響

  • 41% 無法充分投入工作
  • 34% 受到網路安全漏洞或攻擊時感到更為焦慮
  • 31% 網路安全事件發生和事件責任會產生懷疑、疏離和冷漠
  • 30% 網路倦怠感與疲倦感的狀況會想辭職或轉換職業 (受訪者中有 23% 已經採取行動並辭職)
  • 10% 感到內疚無法在自己的角色在網路安全的防禦上，盡更大的努力

資安人員產生網路安全倦怠和疲勞感，對企業營運直接影響的四個關鍵

  • 關鍵一、直接導致網路安全漏洞 
    17% 受訪者指出，網路安全倦怠或疲勞會對網路安全漏洞產生影響，或直接造成網路安全漏洞。

頁次: 1 2

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
[2024資安預測 3-1] Fortinet 公布《2024全球資安威脅預測》
編輯台

[2024資安預測 3-1] Fortinet 公布《2024全球資安威脅預測》

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

網路攻擊者運用新型態的科技工具，瞄準地緣政治動盪時發動攻擊，利用相互連結的基礎設施，並將目標轉向關鍵產業，對社會造成重大的影響。攻擊者甚至也運用更多的平台或軟體漏洞、由企業組織內部進行滲透，對其內外夾擊試圖突破企業組織的安全防護，因此，2024是我們面對新型態攻擊的挑戰年。

2024年的第一周，接下來的幾天，我們來重點閱讀幾篇，來自全球資安網路服務廠商們所公布的資安威脅、全球資安趨勢的預測與建議提醒。我們將分享給大家三篇關於資安的預測，今天我們先來閱讀第一篇，來自全方位整合與自動化網路資安廠商Fortinet旗下的威脅情資中心FortiGuard Lads所公布的《2024 全球資安威脅預測》。

短期獲利，甚至獲取暴利，是近幾年來我們觀察到網路犯罪者最愛使用的模式，甚至他們也會採取先進的科技技術，例如生成式人工智慧來加速發動攻擊與更加靈活的威脅受害者。接下來我們來看，FortiGuard Labs威脅情資中心所公布的《2024全球資安威脅預測》六大趨勢。

趨勢一、「不攻則已、攻則勢大迅猛」襲向關鍵產業

過去幾年全球勒索軟體攻擊急遽增加，不論企業規模或產業型態，均成為攻擊目標，然而隨著越來越多網路犯罪者，透過勒索軟體攻擊方式獲取高報酬，對於企業規模較小或是對於網路犯罪視為容易得手的目標，均很快被耗盡。因此，未來預測攻擊者的注意力將轉向關鍵基礎設施的產業，例如醫療、金融、交通運輸和公共事業由水電等，一旦受到攻擊，不僅國家社會安全產生重大的影響外，對於攻擊者得到豐厚報酬的機率很高。

趨勢二、零日漏洞新時代到來，「零日掮客」將現身

報告中表示觀察到2023年零日漏洞(zero-day)和常見的漏洞披露（Common Vulnerabilities and Exposures，CVEs）數量創下歷史新高，而這一數字仍在不斷上升中，有鑑於此Zero-Day為攻擊者所帶來可能的價值，報告中指出在網路犯罪即服務（Cybercrime-as-a-Service，CaaS）社群中將出現「零日掮客」，也就是網路犯罪者將於暗網上向買家仲介出售零日漏洞。而N日漏洞仍將持續使企業組織暴露於重大風險中。

趨勢三、滲透威脅日增，著重從內部的資訊偵查偵蒐以達成初始滲透

當企業組織強化網路安全防禦且提升資安防禦能力後，網路攻擊者將難以從網路外部滲透至企業組織內部網路中，因此網路犯罪者則開始尋找新方法以達成滲透的目的，因此FortiGuard Lads於報告中預測攻擊者攻擊戰術將持續「向左靠攏」，包括資安攻擊鏈中事前偵查（Reconnaissance），找出目標對象可利用的弱點或是武器化（Weaponization）階段，找出可做為攻擊的武器，例如已知的漏洞惡意程式、蠕蟲或是建立後門，從目標對象企業組織的內部獲取有用的資訊，藉以找到初始滲透的關鍵。

頁次: 1 2

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
數位之戰，掌握「三三原則」制定全方位資安策略
編輯台

數位之戰，掌握「三三原則」制定全方位資安策略

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

隨著數位轉型的加速，企業上雲已成為不可逆的趨勢。雲端技術已成為數位轉型的主要引擎，推動企業將工作負載轉向雲端，多數機構選擇混合雲或多雲策略以確保業務的擴展和連續運作。

這幾年，無論是公單位或是私人企業對於資訊IT系統建置與維運的思維方式，已經逐一的從地端的思考模式轉移到雲上進行日常的營運，這除了反映出企業對於雲端技術信任度提高之外，對於企業上雲營運的意願度也相對提高。

企業營運模式的轉變，雲上的威脅也不曾減少，因此隨著企業日益依賴雲端技術的趨勢，雲上的資訊安全也同為重要，且雲端環境相較於傳統IT環境，在資安方面存在更大的挑戰，企業該如何從雲端建置的思維，制定全面的安全策略，確保其數據和業務在雲端環境中得到最佳的保護呢?

掌握「三三原則」，制定全方位資安策略

華碩集團資安長金慶柏表示，企業在進行上雲規畫時，應制定全方位的資安策略，以確保企業資訊安全。金慶柏建議以下三個制定資安策略的基本原則：

  • 建立完善的資安治理架構：
    制定明確的資安政策與程序，並建立資安管理組織與團隊。
  • 評估雲端服務的資安風險：
    了解雲端服務的安全功能與限制，並採取適當的補強措施。
  • 落實雲端安全防護措施：
    身份認證與授權管理、資料加密、入侵偵測與防禦、異常行為監控等。

金慶柏進一步指出，制定資安策略的三個必需思考的因素：

  • 企業的產業特性：
    金融業、醫療業等產業的資安風險較高，需要制定更嚴謹的資安策略。
  • 企業的業務需求：
    企業上雲的目的、上雲的範圍等，都會影響資安策略的制定。
  • 企業的資安能力：
    企業應評估自身的資安能力，並採取適當的補強措施。

金慶柏建議，企業在進行雲端安全防護時，很難單打獨鬥，更可以進一步透過資安顧問及雲端服務業者團隊的專業協助，獲得更全面的資安觀點與解決方案。接續勤業眾信、Google Cloud與行政院資訊處也相繼分享與建議。

頁次: 1 2

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
Sophos調查只有 24% 的醫療機構能夠在攻擊者加密資料之前中斷勒索軟體攻擊
編輯台

Sophos調查:只有 24% 的醫療機構能在勒索攻擊加密資料之前中斷攻擊

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

Sophos《2023 年醫療業勒索軟體現況》: 受訪機構中，網路犯罪分子成功加密了近 75% 的勒索軟體攻擊的資料。在資料被加密的勒索軟體攻擊中，還有 37% 資料被竊，表明「雙重攻擊」手法有明顯增加的跡象。

提供網路安全即服務的全球資安服務業者Sophos，於今年十一月初發布醫療業的調查報告《2023 年醫療業勒索軟體現況》。此份報告《2023 年勒索軟體現況調查》是針對美洲、歐洲、中東和非洲和亞太地區 14 個國家/地區，擁有 100 至 5,000 名員工的組織中的 3,000 名 IT/網路安全領導者進行的調查，其中包括 233 個醫療機構。

報告中顯示在受訪機構中，網路犯罪分子成功加密了近 75% 的勒索軟體攻擊的資料。這是過去三年來加密率最高的情況，相較於去年只有 61% 的醫療機構回報資料被加密，今年則是明顯增加了。 此外，僅有 24% 的醫療機構能夠在攻擊者加密資料之前中斷勒索軟體攻擊，和 2022 年的 34% 相比有所下降；這亦是該行業過去三年中回報的最低數字。

從被動防禦轉變為主動式監控

Sophos技術長 Chester Wisniewski 表示，組織在被加密之前成功擋下攻擊的百分比是安全成熟度的一個重要指標參考依據。對於這次調查報告醫療業來說這個數字僅為 24%，相對偏低了。更重要的是，這個數字還在下降，這表明該行業正逐漸失去對抗網路攻擊者的能力，越來越難以偵測和阻擋正在進行的攻擊。 Cester Wisniewski進一步說，勒索軟體攻擊越來越複雜，而且攻擊者不斷加快攻擊的腳步。

在最新的《給科技領袖的主動攻擊者報告》中，我們發現從勒索軟體攻擊從開始到被偵測到的中位數時間僅為五天。甚至還有占比 90% 的勒索軟體攻擊發生在下班時間，這對於大多數企業來說，勒索軟體威脅已經過於複雜且無法獨自應對。所有組織機構中，尤其是醫療產業，更需要新科技新技術來協助企業組織對抗網路犯罪的防禦方法，從防禦作法轉變為 24/7 全天候的主動監控和調查警示，也可同時可參考透過託管式偵測和回應 (MDR) 等服務獲得外部支援。

Sophos《2023 年醫療業勒索軟體現況》調查發現分享

  • 資料被加密的勒索軟體攻擊中，有 37% 資料被竊，表示「雙重攻擊」的手法增加。
  • 遭受攻擊後，有 47% 的醫療機構在一週內復原，其數字較去年的 54% 降低。
  • 受訪的醫療機構回報，勒索軟體攻擊的總體數量從 2022 年的 66% 下降到今年的 60%
  • 調查報告表示，憑證外洩是導致醫療機構遭受勒索軟體攻擊的主要根本原因，其次是漏洞利用
  • 受訪醫療機構支付贖金的比例從去年的 61% 下降到今年的 42%，這個數字低於跨行業平均值，跨行業平均值為 46%

頁次: 1 2

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
Unit 42 : 新的資料竊取(infostealer)惡意程式已能掌控 Facebook 商業帳號憑證
編輯台

Unit 42 : 新的資料竊取(infostealer)惡意程式已能掌控 Facebook 商業帳號憑證

by 潘后儀 / 資料參考: 廠商提供
作者 潘后儀 / 資料參考: 廠商提供

始終致力於幫助實現「每一天都比前一天更安全」為目標的網路安全服務廠商Palo Alto Networks，其旗下威脅情報小組Unit 42是匯集世界知名的網路威脅研究人員、事件回應專家和專業安全顧問，所創建的一個情報驅動與即時回應的組織。

網路商業帳號 要固牢!

今年八月Unit 42 威脅情報小組於最新的部落格文章中表示，發現一項從未被通報過的網路釣魚攻擊行動，目的為散佈資料竊取程式。該程式偽裝成試算表範本等辦公工具的惡意連結，藉此取得 Facebook 商業帳號控制權，同時這個新變種（ NodeStealer 2.0，以 Python 編寫）不同於 Meta 於 2023 年 5 月通報的版本，除了可竊取加密貨幣，還使用 Telegram 外洩資料，由此可看出攻擊者以 Facebook 商業帳號為目標趨勢日益明顯，目的則在於進行廣告詐欺獲取經濟利益。

調查表示，主要感染途徑為 2022 年 12 月的網路釣魚攻擊行動，攻擊者藉此傳遞惡意程式 1 號與 2 號變種，並利用多個 Facebook 頁面和使用者作為資訊發佈管道，誘騙受害者下載自已和雲端檔案儲存供應商的連結。點選連結後，當受害者下載一個包含惡意資料竊取程式 .exe 執行檔的 .zip 壓縮檔，則表示上鉤了。

惡意程式採高調又分散的手段

惡意程式1 號變種的攻擊手段相當高調，建立各種可能視為異常活動的處理程序，包括強制關閉圖形化使用者介面 (GUI) 上的快顯視窗。惡意程式 2 號變種的攻擊則更加分散，增加了識別惡意活動的難度。攻擊者竊取使用受害者的使用者 ID 和存取權杖後，這兩種變種均可連接至Meta Graph API竊取 Facebook 商業帳號憑證。Graph API是管理資料進出 Facebook 的主要方式，攻擊者會使用 Graph API 竊取目標對象的追蹤者數量、使用者驗證狀態、帳號是否使用預付服務等資訊，並傳送至命令與控制伺服器 (C2)，同時攻擊者也會試圖檢視常用瀏覽器的 cookie 和本機資料庫以竊取登入憑證。另外，惡意程式2 號變種則更進一步，將真正使用者的電子郵件地址改為網路攻擊者控制的信箱，讓使用者永遠無法存取帳號。

主動前進 資安教育訓練

對於今年八月，Unit 42 威脅情報小組的調查發現此惡意程式的感染途徑對於網路社交軟體無疑增添了一筆威脅警示， Alto Networks台灣區總經理尤惠生表示，網路行銷和廣告是現今多數企業的核心。利用 NodeStealer 2.0 的 2 號變種，網路攻擊者可以更改電子郵件地址，並讓使用者永遠無法存取帳號。不當使用帳號抵用金或發佈不當內容，可能會導致大規模的財務和聲譽損失。而 Facebook 的使用族群年齡層偏高，對科技的熟悉度有限，容易成為攻擊目標。

最後，尤惠生建議若想防範 NodeStealer 及其各類變種，組織需要審視防護政策，除了留意 Unit 42 威脅情報小組所提供的入侵指標 (IoC)，更重要的則是企業內部，要採取主動措施，教育員工防範現代網路釣魚策略，企業可運用現今時事、業務面的需求和其他具吸引力的主題來進行員工的資安意識的宣達與訓練，已達到教育訓練的目的與成效。

首圖片來源: Unit 42

0 TwitterPinterestLinkedinWhatsappTelegramLINEEmail
載入更多文章

為提供您更好的網站服務內容，本網站使用cookie來改善您的體驗，繼續瀏覽本網站，即表示您同意上述聲明。閱讀我們隱私權政策 同意