[研究報告] 不安全的函式庫

之前我提到很多關於更新的議題，包含作業系統、應用程式等，如果沒有做好更新的動作，往往就提供了惡意份子最佳的可趁之機。現在作業系統幾乎都有自動更新的功能，也有越來越多的應用程式開始具備自動更新的能力。即使是沒有自動更新功能的應用程式，我們也可以透過相關工具 (如 Secunia PSI) 來達到通知、甚至是更新的功能。

除了上述的東西需要更新，還有一個很重要的東西一直處於一個被遺忘的角落裡，那就是軟體所引用的函式庫或框架。透過函式庫與框架，可以讓軟體開發人員專心在主要的業務功能上，加快開發的速度。而在 Open Source 精神的引領下，各式各樣的函式庫與應用框架推陳出新，更讓開發人員瞬間擁有許多好用的利器。但是水能載舟、亦能覆舟。這些函式庫與框架，往往在被引入系統後，就遭到開發者的刻意忽略，而不再進行相關更新。很可惜的是，雖然這類函式庫與框架的寫作人員通常擁有相當不錯的技術能力，但是仙人打鼓有時錯，這些函式庫與框架同樣會有安全性的問題。

Apsect Security, Inc 前一陣子發表了一份與 Sonatype 所共同研究的報告 (The Unforunate Reality of Insecure Libraries)，內容是針對目前常見的 Java 函式庫與框架進行相關的使用情況與安全性分析。在此份研究報告中包含下列重點：

• 在所有取樣分析的  31 個套件的 1261 個版本中，有 37% 存在已知的安全漏洞。
• 在所觀察到的 1.13 億次下載中，共有 0.298 億次 (26%) 的下載內容是包含已知的安全漏洞。
• 最常被下載的套件包含 GWT, Xerces, Spring MVC 與 Struts 1.x (沒錯，是 1.x)。
• 諷刺的是，安全相關的套件通常反而包含更多已知的安全漏洞。對此，報告中認為可能的原因之一是這類套件通常會受到較多安全專家的檢視，因此讓安全漏洞難以遁形。
• 如果以 Aspect Security, Inc 輔導客戶的經驗來看，這些 Open Source 的套件仍有許多未被發現的安全漏洞。
• 套件的安全與否跟之前版本的安全漏洞數量沒有太大的關聯。
• 因為通常一個系統會包含多個 Open Source 套件，因此大多數的系統至少包含一個以上的已知安全漏洞。而大型公司的系統因為功能複雜，導致包含的套件也越多，所以包含已知安全漏洞的可能性將相對提高。

嚴格來說，系統存在安全漏洞並不表示就可以被惡意份子成功地加以利用並造成傷害，但是用這種說法來說服自己確實是鴕鳥了點。當然，這些狀況絕對不是 Java 獨有，使用其他語言所開發的系統也存在著類似的問題。

前面我提到開發者刻意忽略系統中所引用套件的更新，其實是一種推卸責任的說法。現實狀況是，這類套件的更新資訊散落各處，要能夠有效地加以追蹤本來就是一個非常困難的事情。而版本之間的相容性，更造成了開發者不敢 (心理因素居大)、甚至不能更新的窘境。更有甚者，有些開發者會針對這些 Open Source 套件進行內部的修改 (修 Bug、提昇效率、或是功能延伸，理由不一而足)，如此一來，更新版本將是一個浩大的功能，因此最後只好一直守著舊的版本。而對於那些已經進入維護階段的系統，我相信更是不會有開發者主動去更新其所引用的套件。因此，這類問題不能丟給開發者自由心證，組織必須制定一個明確的管理辦法加以因應。對此，Aspect Security 在報告中提出了下列建議：

• 列出目前系統所使用的套件。
• 仔細審核這些套件 (的原始碼)。
• 限制使用未經授權的套件版本。
• 關注套件的更新資訊，並適時予以更新。

目前市面上也有一些工具提供上述的功能，但是建置費用與後續的維護成本可能並不是一般企業所能支付的。因此，在此先祝各位好運了。

[研究報告] 惡意程式最多的行動裝置平台為 Symbian OS

McAfee 於日前公布了最新一季 (2011 Q1) 的威脅報告，內容包含下列觀察結果：

 

 

• Android 躍居為行動裝置平台中最受惡意程式青睞的第三名，僅次於 Symbian OS 與 J2ME。因為 Android 的開放性以及高佔有率，預計針對 Android 的威脅將持續增加。在感染的方式上，大多將惡意程式注入合法程式中並誘使使用者加以安裝。當使用者一旦安裝這些受到感染的程式後，除了可能將機密資料(例如 IMEI 或是手機號碼) 傳遞出去外，也有可能成為殭屍網路的一員。
• 因為多個組織聯合起來對付 Rustock Botnet，所以 Botnet 的數量呈現下降的現象，連帶的使得透過 Botnet 發送的垃圾信件數量也持續呈現下滑的趨勢。不過這場與 Botnet 的戰爭，誰輸誰贏還有待後續的觀察。
• 竊取銀行帳號/密碼或其他機密資料的程式持續發威，並且隨著技術的成熟，這些惡意程式 (如 Zeus、SpyEye) 可以透過模組化的方式動態地新增功能，提升所引起的威脅。
• 搜尋引擎關鍵字的濫用，這些關鍵字包含新聞時事 (如日本地震) 以及熱門話題 (如 Android 手機)。駭客可以透過搜尋結果的呈現，將使用者導向惡意網站，並對其進行攻擊 (如偷渡下載)。除了對使用者進行攻擊之外，也有可能誘使使用者進行捐款 (如針對日本地震) 以獲取金錢上的利益。
• 在非法檔案 (如受版權保護的軟體) 分享方面，美國是主要的地區，其次分別是德國與中國。
• Adobe 產品 (主要為 Flash 與 PDF) 的弱點數量大幅超越 Microsoft 的產品弱點。Adobe 成為弱點最多的廠商，也順勢成為最受駭客青睞的的廠商。
• Botnet 衍生出 Botnet as a Service 的形式。對 Botnet 的使用者而言，可以用更低廉的成本取得相關服務 (如寄送垃圾信件或發動 DDoS 攻擊)。
• Hackvitism 利用網路進行串連，發起了許多世人關注的活動。埃及、摩洛哥、敘利亞、土耳其等國家或地區，人民透過網路串連後，聚集在一起以表達出人民的心聲。

對原始完整報告有興趣的讀者，可以在這裡下載。

相關連結：

• McAfee Threats Report: First Quarter 2011 by McAfee Labs

[研究報告] 小心 WebDAV 的使用

安全廠商 eEye Digital Security 在上個月 (5月) 發表了一份報告，內容針對去年度 (2010年) 微軟所發佈的安全通告進行分析。在報告中，提出了幾項在組態上建議採行的控制措施，以避免或減少安全問題的危害：

• 避免使用 WebDAV – 對許多使用者而言，WebDAV 並不是日常工作所需的功能。然而在較新的微軟作業系統中，這些協定卻是預設開啟的，因而造成了安全問題的發生。關閉 WebDAV 的使用可以透過 GPO 將 WebClient 這個服務加以停用，或者是利用網路設備 (如IPS) 將 WebDAV 的封包加以攔阻。唯在進行 WebDAV 使用的封鎖之前，應確實了解內部有哪些 WebDAV 協定的使用是必須的，以免影響原有作業之進行。
• 避免使用 Office 的 Converter 功能 – Office 的 Converter 功能主要是用來提供 Office 程式開啟不同版本的 Office 文件(包含開啟舊版的文件，或者是新版的文件)。同樣的，這樣的功能也不是大多數使用者在進行日常業務時所需的。關閉 Converter 的功能可以透過 GPO 或是機碼的方式對使用者進行設定，唯需特別注意的是每一個 Office 功能 (如 Word 或 PowerPoint) 需分別設定。
• 使用代理伺服器 - 雖然代理伺服器本身不能阻隔攻擊行為的發生，但是卻可以有效避免被成功攻擊後所產生的危害，這些危害包含與控制中心的溝通、或者是相關機密資料的外洩。必須注意的是，這些代理伺服器不僅需針對 HTTP 的協定，更應該包含所有的網路協定。
• 採用 VLAN 與 IPSec - 採用 VLAN 不但可以避免封包的偷窺 (Sniffing) 或修改攻擊，更可以藉由分析 VLAN 間的流量找出可疑的網路行為。如果再加上 IPSec 的使用，即使是同一個 VLAN 之內的封包也無法進行偷窺或修改的攻擊。
• 避免使用 NTVDM – NTVDM 是用來模擬 16 位元程式執行環境的子系統，此對大多數的使用者而言同樣並非所需的功能。
• 使用最新版本的應用程式 - 這裡講的不是安裝最新的更新檔 (Patch 或 Service Pack)，而是安裝最新的版本，例如使用 Office 2010 取代 Office 2007。根據實際的數據顯示，新版的應用程式確實擁有較少的安全問題，而這主要歸功於微軟不斷地致力於提昇軟體安全。只是微軟在提昇軟體安全的同時，卻忘了把舊的軟體一併改進，所以才會造成此一現象。當然，這點建議在採行上還有其他因素需要考量，包含轉換成本以及相容性等。

對原始報告內容有興趣的讀者，可以在這裡下載完整的內容。

 

相關連結：

• eEye Research Report: In Configuration We Trust

[研究報告] IBM X-Force 2010

IBM X-Force 上個月發表了 2010 年的年中報告，報告中有幾項重要趨勢值得特別注意：

• 攻擊者使用更多的隱匿技術來進行攻擊，例如像是 JavaScript 混淆 (Obfuscation) 的手法，而這些技術已經對 IT 安全專家造成相當程度的困惱。
• 被發現的安全弱點數量持續成長，與去年同期相比成長了 36%，創下歷史新高點。
• 利用 PDF 的攻擊行為隨著攻擊手法的翻新持續增加。PDF 攻擊被大量採用的原因在於其攻擊目標為防禦能力較差的終端設備 (如個人電腦)，一旦入侵成功就可以作為其他入侵手法的跳板。
• Zeus botnet 持續對企業產生莫大的影響，而新版的 Zeus 甚至開始提供攻擊者更新的功能。

至於在網站應用程式安全方面，有下列幾個重要的現象：

• Cross-site Scripting (XSS) 與 SQL Injection 依舊是主要的弱點類型。其中 SQL Injection 雖然於前次報告發表時呈現下滑的現象，但是在這次的報告中又再次上升，顯示 SQL Injection 的問題依舊需要善加處理。
• 在網站應用程式平台 (Web Application Platforms) 方面，其弱點數量所佔的比例就高達所有弱點的 14%。進一步加以分析，其中僅 12% 為平台本身的問題，而高達 88% 的問題則來自於擴充元件 (plug-ins)，顯見擴充元件的安全品質仍與平台本身有相當程度的差距。
• 在終端設備部分，瀏覽器依舊是問題的主要來源。但是就如前述所言，PDF 的攻擊大幅成長並緊追在瀏覽器問題之後。
• 以瀏覽器 (包含 plug-ins) 的分類來看， Firefox 與 IE 的弱點數量依舊佔了大多數。而 ActiveX 的弱點數量雖然成長幅度較不明顯，但是其弱點數量卻遠較瀏覽器本身更高。

對於完整報告有興趣的讀者可以在這裡加以下載。

相關連結：

• IBM X-Force報告揭示全球網路安全威脅空前凌厲 @ 資安之眼

[研究報告] 入侵資料中心的五個有效方法

SpiderLabs 的顧問 Ryan Jones 於日前表示，根據他實際檢驗過許多資料中心後的經驗顯示，僅管這些資料中心花了大把的銀子做好網路的安全防護，但是在實體方面的防護仍舊存在許多明顯可見且容易被有心份子所利用的安全漏洞。

他列出了五項最容易進入資料中心進行破壞的手法，包含

1. 從建築物的空隙爬進去 (Crawling through void spaces)。
• 當高架地板與懸吊式天花板在規劃或安裝時沒有仔細考量，就很容易形成一個能夠輕易進出的管道。
• 為了避免產生此一問題，需要盡可能使用實體的牆壁延伸於整個高架地板與天花板之間，不然至少應該使用石膏牆板 (dry wall) 加以封閉。
2. 撬開或破壞安裝不正確的門扉或窗戶 (Jimmying open improperly installed doors or windows)。
• 使用實心材質的門板。有些門板使用空心夾板的材質，很容易受外力的破壞。另外像是玻璃 (非強化玻璃) 材質的門板，也存在類似的缺點。
• 確定鉸鏈的安裝方向是否正確。一旦鉸鏈安裝在錯誤的方向，那麼有心份子就可以將門扉卸下以達到破壞的目的。這個問題可以透過實際動線的模擬來加以防範。
3. 打開門鎖 (Lock-picking the door)。
• 除了門板本身的安全外，門鎖也是很重要的一環。事實上，一般門鎖除了可以利用專門的工具加以破壞之外，有些門鎖甚至只要使用一張卡片就可以加以解除。
• 使用高安全性的門鎖或者生物識別的系統，可以減少這類問題的產生。
4. 尾隨 (Tailgating)。
• 因為人們通常熱於幫助別人，而且也不願意與他人產生無謂的衝突，因此往往會協助他人通過受管制的門扉。例如當我們看到一個人雙手抱著重物時，會很自然地幫他擋住即將關閉的門扉以協助其進入。如果再搭配一些肢體動作或是外型偽裝 (如制服、識別證)，其成功率將更為提高。這部分需要透過教育訓練以提升員工的危機意識。
• 此外，如果門扉的關閉動作較為緩慢，有心份子甚至可以在沒有人注意到的情況下偷溜進去。對於此一問題，可以將門扉的關閉時間加以縮短。而 man trap 可以進一步減少這類問題的發生。
• 除此之外，聘用安全人員檢驗所有人員的進出也是一個可行的方法。
5. 假冒合約廠商或其他服務人員 (Posing as contractors or service repairman)。
• 屬於社交工程的手法。
• 除了強化員工相關的教育訓練外，同時必須制定明確的識別機制與作業規範，以避免員工無所適從、甚至誤解所產生的安全危機。

嚴格來說，在傳統上這些原本就是常見的實體安全問題。但是當在講求高安全性的資料中心也存在著同樣的問題，再再顯示出令人不安的隱憂。原因可能在於或許是因為現在大家太過於強調網路/系統/應用程式的安全，反而忽略了最基本的問題。另外一個可能的原因就是實體安全的負責人員跟資訊安全 (系統) 人員屬於不同的體系，兩者之間如何能夠有效地協調並確保重要的資產受到合適的保護，所需的不僅僅只是技術方面的考量，更包含了政治性的議題。

 

相關連結：

• Five Ways to (Physically) Hack a Data Center
• Top 5 Ways Into a Data Center

[研究報告] Facebook 終於成為釣魚攻擊的熱門目標

根據  Kaspersky 最近針對 2010 年第一季垃圾郵件 (Spam) 的分析報告顯示，Facebook 一躍成為釣魚攻擊目標的第四名 (5.7%)，排列在 Paypal (52.2%)、eBay (13.3%)、HSBC (7.8%) 之後。攻擊目標的前三名多與金流有關，Facebook 則以社交網站的身分獲得青睞，其比例甚至高於名列第五名的搜尋引擎龍頭 Google (3.1%)。

儘管釣魚攻擊通常並不是利用被攻擊目標的安全漏洞加以進行，但是目標網站依舊有教育其使用者如何避免遭受釣魚攻擊的義務。在這方面，Facebook 似乎並沒有任何作為。隨著 Facebook 的持續成長，針對 Facebook 的釣魚攻擊 (與其他類型的攻擊) 只會越來越多。身為使用者的我們，既然不能改變網站的設計，能夠做的就是更加小心，不要讓自己成為釣魚攻擊的下一個受害者。

在這份報告中還有另外一個值得注意的變化，那就是垃圾郵件的來源地區中，因為中國政府加強管理網域註冊政策，因此減少了垃圾郵件散佈的數量。這個做法，或許值得其他國家做為借鏡。

 

相關連結：

• Spam evolution: January-March 2010
• Hacker launch phishing attack on Facebook users @ Reuters

[研究報告] OWASP Top 10 for 2010 正式公布

OWASP (Open Web Application Security Project) 每三年一次的 Top 10 報告，於日前 (2010/04/19) 正式定案。這次報告的副標題由 2007 年的 The Ten Most Critical Web Application Security Vulnerabilities 變成了 The Ten Most Critical Web Application Security Risks，顯示 OWASP 試圖跳脫以純技術眼光來看待 Web Application 議題的思考模式，而是以整體的風險來加以評估。當然，風險其實是很”個人化”的，所以 OWASP 所謂的風險依舊是以”一般性”的眼光來加以評估，在實際的應用上必須自行重新評估。

在獲選入榜的項目中，除了排名因為評估方式改變而有所變化外，還有下列幾項的變更：

• 新增第六項為不正確的安全設定 (Security Misconfiguration)。
• 新增第十項為未驗證的重新導向與轉發 (Unvalidated Redirects and Forwards)。
• 移除第三項惡意程式的執行 (Malicious File Execution)。
• 移除第六項資訊洩漏與不適當的錯誤處理 (Information Leakage and Improper Error Handling)。

雖然 Web Application 的安全風險絕對不只是 OWASP Top 10 中列出的項目，但是 OWASP Top 10 的內容依舊極具參考價值，對於有志增進 Web Application 安全的從業人員來說是很重要的文件，甚至更是許多相關產品或政府規範所必備的檢查項目。而且報告中也提供了問題說明與建議的解決方法，算是一份很好的學習與參考資料。這次公布的 OWASP Top 10 包含下列十個項目：

1. 注入 (Injection)
2. 跨站腳本攻擊 (Cross-Site Scripting, XSS)
3. 失效的驗證與連線管理 (Broken Authentication and Session Management)
4. 不安全的物件參考 (Insecure Driect Object References)
5. 跨站請求偽造 (Cross-site Request Forgery, CSRF)
6. 不正確的安全設定 (Security Misconfiguration)
7. 不安全的加密資料儲存 (Insecure Cryptographic Storage)
8. 限制網址存取失效 (Failure to Restrict URL Access)
9. 傳輸層保護的不足 (Insufficient Transport Layer Protection)
10. 未驗證的重新導向與轉發 (Unvalidated Redirects and Forwards)

相關連結：

• OWASP Top 10 Project

[研究報告] 高達七成的組織使用雲端運算前沒有進行相關的安全評估

在評估雲端運算時，對於資訊安全的影響是很重要的一個因素。事實上，根據 ISACA 最近公布的一份問卷調查顯示，有高達 45% 的受訪者表示他們認為導入雲端運算所產生的風險是高於所帶來的效益，顯見現今雲端運算的導入對於資訊安全的潛在威脅是很大的。對照另一份由 Ponemon Institute LLC 與 Symantec 所共同發表的研究報告顯示，有高達七成的組織在使用雲端運算前並沒有對廠商進行相關的安全評估。在這些進行評估的組織中，有 65% 採用口頭的方式加以評估，其他評估方式依序是 合約規範 (26%)、檢查表或問卷 (25%)、安全相關的規範 (23%)、內部安全團隊 (18%)、第三方的安全專家或稽核員 (6%)。兩份報告的結論，或許可以看作是因果關係。因為 IT/IS 部門在導入雲端運算時並沒有參與其中的安全評估作業，所以對於其潛在風險自然較為擔憂。另外一方面，這也可以看出現今組織對於雲端運算所產生的安全威脅在認知與作為上仍是相當不足。當然另外一個有可能的原因是組織在面對雲端運算的決策時顯得太過於急躁了。雲端運算來勢洶洶，但是組織在面對這樣的技術與運用時，卻不能被沖昏了頭，以免未受其利而先受其害。研究報告的標題是 Flying Blind in the Cloud，講的正是這種貿然而進的風險，或許一開始馳騁的快感很吸引人，但是一旦出事後其後果可是很嚴重的。

在 Phnemon Institute LLC 與 Symantec 的報告中，其他重要的發現包含：

• CRM 與 webmail 是使用最廣泛的應用服務。
• Java/PHP/Python 等開發平台是使用最廣泛的平台服務。
• 儲存是最常用的基礎服務。
• 僅有少數的組織會針對儲存於雲端的重要資料進行主動式的保護措施。
• 組織在採用雲端技術時往往會忽略一般常用的檢查程序。
• 企業主往往在 IT/IS 部門對於安全風險沒有足夠掌握的情況下進行決策。
• 僅有不到  20% 的組織在決策過程中會有 IT/IS 的團隊成員參與，而且這些參與的成員對於評估項目的掌握程度大多是不足的。
• 大多數的企業內部對於由誰負責評估雲端技術的供應商存在很大的意見分歧。

原始報告可以在這裡下載。

 

相關連結：

• Flying Blind in the Cloud
• Fewer than One in Ten Companies Evaluate Vendors or Train Employees on Cloud Security
• 2010 ISACA IT Risk/Reward Barometer—US Edition

[研究報告] 搬家多了一項考量，那就是資訊安全？

大家都常聽到選用甚麼樣的作業系統、應用程式可以比較安全而不容易被駭。不管這些論述是否公平與公正，但是至少其與安全的關連性並不會讓人產生過於突兀的感覺。但是說如果安全與否跟你所在的區域有關，可能就不是那麼令人能夠直接聯想了。根據 Symantec 日前所公布的一份報告顯示，在美國的 50 個城市中西雅圖  (Seattle) 是最容易發生網路犯罪行為的地區，其次則是波士頓 (Boston) 與華盛頓 (Washington, D.C.)，而最安全的城市則是底特律  (Detroit)。在公布的訊息中並沒有詳細地解釋這樣的排名是如何加以決定，不過就結果來看網路化程度越高的地區排名就愈前面。這樣的數據老實說有些無聊，因為網路化程度越高本來就有更多受害的機會，所以自然產生的網路犯罪事件就多。對使用者而言，不管居住在哪個區域，都必須做好有關資訊安全的防護，畢竟駭客 (通常) 可不會因為你的國籍而改變心態。

 

相關連結：

• The Norton Top 10 Riskiest Online Cities Report Reveals Who’s Most Vulnerable to Cybercrime

[研究報告] 雲端運算的七大安全威脅

CSA (Cloud Security Alliance) 在這個月 (2010 年 3 月) 初發布了一份研究報告，標題是 “Top Threats to Cloud Computing V1.0”，列出了目前雲端運算所遭遇的七大安全威脅。必須特別注意的是排列順序跟威脅本身的危害程度沒有關係，而且使用者必須依據自身所處的環境決定這些威脅的影響並採取適當的控制措施。這些威脅分述如下：

1. 濫用或利用雲端運算進行非法的行為 (Abuse and Nefarious Use of Cloud Computing)
   此一威脅主要是針對雲端運算服務的供應者而言。雲端運算服務供應商 (尤其是 IaaS 與 PaaS 供應商) 為了降低使用的門檻，通常並不會要求使用者必須經過嚴格的資料審查過程就可以直接使用其所其提供的資源，有些服務供應商甚至提供免費使用的功能或試用期。這些做法雖然可以有效推廣雲端運算的業務，卻也容易成為有心分子利用的管道。事實上，已經有包含殭屍網路、木馬程式下載在內的惡意程式運行於雲端運算的系統內。
2. 不安全的介面與 APIs (Insecure Interface and APIs)
   使用者透過使用者介面或是  APIs 與雲端運算服務進行互動，因此這些介面與 APIs 是否安全直接影響到雲端運算服務本身的安全性。像是使用者介面的驗證與授權功能是否安全，APIs 的相依性與安全性，都是必須特別注意的地方。此外，如果有使用第三方的加值服務，這些服務的介面與 APIs 的安全性也必須一併加以考量。
3. 惡意的內部人員 (Malicious Insiders)
   內部人員所造成的問題，這幾年來已經成為許多組織關注的重點，採用雲端運算將會讓內部人員所產生的問題更形嚴重。一個最主要的因素在於使用者無法得知雲端運算服務供應商如何規範與管理內部員工，甚至連招聘的條件與流程也屬於非公開的資訊。以安全的角度來說，”未知”絕對不是一種幸福，而是一種芒刺在背的威脅。更何況以雲端運算的業務性質而言，絕對是有心分子眼中的肥魚，所以內部惡意員工的比例應當會比一般組織來的更高。
4. 共享環境所造成的議題 (Shared Technology Issues)
   雖然使用雲端運算的服務 (尤其是 IaaS) 時使用者好像擁有獨立的環境，但是這些環境都是從共享的實體環境中透過虛擬化的技術所產生出來的。這些虛擬化的平台能否將不同的使用者進行有效地隔離，以避免彼此之間相互干擾其服務的正常運算，甚至是避免彼此之間可以存取對方的資源，對雲端運算的安全來說是一個嚴格的挑戰。
5. 資料遺失或外洩 (Data Loss or Leakage)
   資料遺失與外洩對於一個組織的影響不只在於實際上的金錢損失，更在於如企業形象之類的無形損失。雲端運算因為其特定的緣故，使得資料遺失或外洩的議題面臨更加嚴峻的考驗。包含是否擁有足夠的 AAA (驗證、授權、稽核)、是否採用適當且足夠的加密技術、資料持續性的需求、如何安全地刪除資料、災難復原、甚至是司法管轄的問題，都是必須認真加以考量的問題。
6. 帳號或服務被竊取 (Account or Service Hijacking)
   儘管帳號或服務被竊取的問題由來已久，但是這類問題對於雲端運算來說更具威脅性。首先因為雲端運算不像傳統的 IT 架構般擁有實體的東西，因此一旦帳號或服務被竊取後，除非有其他的方式加以證明，否則惡意分子可以完全取代原先使用者的身分。在傳統的 IT 環境中，因為使用者至少還擁有硬體的控制權，所以即使發生帳號或服務的竊取行為，使用者還是可以進行一些事後的補救措施，但是這些補救措施在雲端運算的架構下可能無法執行。此外，對於那些公開的雲端運算服務而言，直接暴露於網際網路上也讓這些竊取行為更加容易發生。
7. 未知的風險模型 (Unknown Risk Profile)
   如我在前面所述，以安全的角度來說，”未知”絕對不是一種幸福，而是一種芒刺在背的威脅。以雲端運算來說，不管是 IaaS、PaaS、SaaS 都是將服務包裝成一個使用者不需了解也無法了解的系統，讓使用者專注於如何”使用”該系統。但是這樣的方便性，也讓使用者無法了解這些服務所使用的網路架構、安全架構、軟體版本等等各式各樣的重要資訊。這些資訊對於評估安全狀態是很有幫助的，欠缺這些資訊將使得這樣的評估行為無法被有效地進行。

 

相關連結：

• Top Threats to Cloud Computing V1.0

[研究報告] 搞定人才有資訊安全可言

根據一份由 Absolute Software 與 Ponemon Institute LLC 在前一陣子所發表的研究報告中顯示，人依舊是筆記型電腦安全的最大危害來源。儘管各式各樣的資安新聞事件已經讓越來越多的人注意到筆記型電腦對於資料外洩所產生的重大危害，甚至也導入了一些防範措施 (如加密技術)，但是問題依舊存在，很多安全的使用規範並沒有被確實地加以了解或是遵守。

在這份長達 24 頁的報告中，提出了下列幾項主要的發現：

• 高達 95% 的 IT 人員表示在他們的組織中曾經發生過筆記型電腦遺失或遭竊的事情，因而造成資料外洩的比例則為 72%。僅有  44% 的 IT 人員可以確認這些筆記型電腦有使用加密機制保護其中的資料。由這些數字交互比較後可以發現，即使經過加密技術的保護，依舊會導致資料外洩的資安事件發生。
• 33 % 的 IT 人員相信加密技術就可以完全保護筆記型電腦中的資料，而不再需要其他的防護措施。針對業務經理而言，有這樣錯誤認知的比例更高達 58%。有時候對於一個工具過分的加以信賴，反而會帶來更大的危害。
• 針對業務經理而言，有 36% 的人仍舊對於加解密的密碼沒有做好足夠的保護措施。像是把密碼寫在便利貼或是與其他人分享密碼，都使得加密技術的保護作用大大地減低。IT 人員在這方便的表現，明顯優於業務經理們。由此可見很多基本的資訊安全概念 (例如如何保護密碼)，不但不可或缺，其重要性更不會因為採用新技術而降低。
• 60% 的業務經理表示他們關閉了筆記型電腦的加密功能，其中 48% 更明白表示這樣作已經違反了組織的安全政策。顯見政策的規劃一定需要搭配適當的資訊安全教育訓練與查核機制，方能確保政策的有效落實。
• 高達  55% 的業務經理在外使用筆記型電腦時，會將筆記型電腦留在陌生人附近而離開至其他地方。

原始報告可以在這裡下載。

 

相關連結：

• The Human Factor in Laptop Encryption
• Analyst Study Shows Employees Continue to Put Data at Risk
• 噗浪有危險了？創辦人雲惟彬筆電遭竊！
• 伊能靜遇怪盜 只偷筆電不偷錢

[研究報告] 研究顯示程式開發人員缺乏足夠的安全教育

Veracode 將它們在近來一年半內所掃描過的程式結果進行分析，於本月初 (2010 年 3 月) 發表了一份報告，標題是 “State of Software Security Report: Volume I”。報告中有下列幾項重要的發現：

1. 大多數的軟體是不安全的。
   以 Veracode 自行建立的測試方法而言，有 58% 的軟體是不安全的。如果採用 OWASP Top 10 (2007) 或是 CWE/SANS Top 25 Most Dangerous Programming Errors (2009) 的方式加以檢測，內部開發的系統有高達 88% 的比例無法通過測試。如何建立一個有效的安全軟體開發流程是刻不容緩的任務。
2. 企業軟體架構中採用為數眾多的第三方軟體，而應用程式則使用了許多的第三方元件。
   不管是哪種形式的架構或軟體，第三方軟體/元件都佔有相當的比例。因此在評估上必須注意到這些第三方軟體/元件本身的安全性，以及如何與之進行安全的整合。
3. 開放源碼在安全性方面並沒有與其他類型的軟體有太大的差距，但是在修正時間與 (疑似) 後門程式數量上的表現優於商業軟體或是委外開發的軟體。
   開放源碼在修正問題上擁有最快速的反應，而商業軟體則需花費最長的時間來修正問題，這個現象應該與商業軟體公司的生態環境較為複雜有關。因為開發源碼的程式碼為可公開取得的資料，所以在疑似後門程式的數量上同樣擁有最好的表現。不過不管是那一種類型的軟體，最好在導入前都能夠進行相關的評估，尤其是針對一些重要的系統，評估動作更是不可省略。
4. 使用 C/C++ 程式語言所開發的軟體依舊佔有相當的比例，而這些軟體所含有的漏洞很容易被攻擊者利用以取得系統的控制權。
   C/C++ 是商業軟體中最常見的開發用程式語言，且在樣本中有高達 42% 的 C/C++ 應用程式含有可以引發遠端程式執行 (remote code execution) 的漏洞。對於內部開發的系統而言，C/C++ 程式語言所佔的比例則低了許多。
5. 很多顯而易見且容易修正的錯誤充斥於各個軟體之間，由此可見開發人員欠缺有關如何進行安全程式設計的教育訓練。
   包含 Cross-site Scripting (XSS)、SQL Injection  這類存在已久的安全議題，依舊是軟體中最常見的安全性錯誤。目前已經有一些工具可供使用，以減少程式受到這些類型問題的影響。由分析結果可見開發人員對於此類問題與防範方法的認知誠屬不足，應該予以加強。
6. 金融與政府部門的軟體相較於其他產業的軟體而言較為安全。
   這兩個產業的軟體雖然同樣還有很多必須加以改進的地方，但是也有不少可供其他產業參考的做法。
7. 在受評估的軟體類型中，委外開發軟體所佔的比例最低，顯見合約通常欠缺有關安全需求的接受標準。
   雖然委外開發軟體的比例越來越高，但是在送檢軟體中所佔的比例卻相當低 (2%)。除了委外開發的軟體外，很多自行開發的系統/軟體也包含了這些委外開發的程式碼，因此其影響層面是全面的。針對這類軟體，將安全性需求與驗收標準明載於合約之中是一項很重要的工作。

 

相關連結：

• State of Software Security Report

[研究報告] Sophos 2010 安全威脅報告

根據 Sophos 於日前發表的 2010 安全威脅報告 中指出， 除了有越來越多的惡意程式被發現外，發展中國家連網電腦數量的劇增，更讓駭客有了更多的攻擊目標。這些地區的電腦，或許性能不好，而且內部也沒有多少重要的資料，但是因為安全防護能力相對較差，所以是成為殭屍網路一員的極佳目標。

而社交網站的崛起，迅速成為使用者遭受攻擊的主要管道之一。而原本企業採用的封鎖政策，也因為業務遂行的需要，已經被迫必須採用更細微的控制方法。事實上，很多企業都已經採用部落格、社交網站來推行業務，所以社交網站的安全已經是一個不得不面對的議題。這個議題其實是多面向的，包含如何管理內部使用者的使用情形、如何避免成為資料外洩的管道、如何避免成為惡意程式入侵內部使用者的管道等課題，再再挑戰著企業的安全狀態。

另外一個熱門的話題，則是有關雲端運算的趨勢。報告中認為雲端運算的大量運用，將會讓資料外洩的問題更加嚴重，不但發生的頻率可能變高，其所危害的資料量也將更為龐大。而攻擊目的的趨勢則是已經從商業利益延伸到政治、經濟、甚至是軍事的層級。也就是除了 Cybercrime、 Cyberterror之外，Cyberwar 亦是不遠矣。這些安全的問題，都需要政府單位統一統籌才能有效加以防範。而除了政府之外，所有系統的開發商也都負有相當程度的責任。畢竟這些廠商才是真正執行的單位，有再好的法規與基礎措施，依舊需要能夠真正落實才能發揮作用。

完整的報告可以在相關連結加以下載。

 

相關連結：

• Security Threat Report: 2010

[研究報告] 2009 上半年 Web 攻擊事件報告 - WHID

WHID 針對 2009 年上半年發表了一份研究報告，在報告中顯示網頁置換  (Defacements) 依舊是網站攻擊事件中最常見的損失 (28%)，其次才是機密資料的洩漏 (26%)。

而在攻擊者所使用的手法中，SQL Injection 依舊是主要的攻擊手法 (19%)，其他像是不夠充分的驗證、內容假造、Brute Force等手法，也常被用來作為攻擊的方法。在攻擊手法中，需要特別注意的是有 11% 表示並不知情，一個原因在於組織對於網站的監控/稽核制度的不足，另外一個可能的原因則在於組織不願意將這樣的資訊加以公開。

至於受攻擊的目標，社交/Web 2.0 類型的網站為主要對象 (19%)。其他依序為媒體 (16%)、零售業 (12%)、科技 (12%)，網際網路 (12%)、政府 (12%)等。

這份報告是根據 WHID 在 2009 年上半年所收集的 44 個攻擊事件所產生，或許不能代表所有的攻擊事件，但是依舊具有一定的參考價值。

 

相關連結：

• The Web Hacking Incidents Database 2009 Bi-Annual Report (Aug 2009)

[研究報告] 國家基礎建設可能遭受網路攻擊

根據 McAfee 前一陣子所發表的 報告 中指出，包含美國在內的國家正在發展先進的網路攻擊能力 (Offensive Cyber Capabilities)。這些國家除了美國之外，還包括了中國、蘇俄、法國、以色列等，可說是網路時代的冷戰時期。儘管大家都不願意發動所謂的網路戰爭 (Cyber War)，但是這樣的攻擊行為一旦發生，受到影響的絕對不只是上網的民眾，而是所有的人民。因為這類攻擊的目標包含了基礎公共建設，例如電力系統。在報告中指出像是自動化監控 (SCADA, Supervisory Control and Data Acquisition) 系統就是一個明顯而脆弱的目標。目前很多設施都使用自動化監控系統加以管理，而且已經具備網際網路連線的能力，以提供遠端管理的功能。這類系統一旦遭受入侵或破壞，所產生的危害將是相當的嚴重。不可諱言，因為報告中講的都是屬於各個國家的機密資訊，所以其真實性與可信度都會受到一定程度的質疑。不過就歷史發展的過程來看，這樣的結果是必然的，差別只在於何時與何地罷了。

 

相關連結：

• Cyber-war Could Threaten Security of Critical Infrastructure
• In the Crossfire – Critical Infrastructure in the Age of Cyber War

[研究報告] 95% 的部落格留言、聊天室與論壇的內容是惡意或無用的資料

根據 Websense 日前一份針對網路安全研究報告中提出的數據顯示，有高達 95% 的部落格留言、聊天室與論壇的內容是惡意或無用的資料。雖然使用者的參與 (尤其是提供資料) 造成了 Web 2.0 榮景，但是也同樣成了有心分子用來散佈惡意程式的重要方式之一。

這份報告收集資料的時間為 2009 年上半年，並將分為網站安全、電子郵件安全與資料安全三個部分，關於網站與資料安全有下列的發現：

• 惡意網站的數量較 2008 年下半年之數量成長了 233%，而跟 2008年上半年相較更是成長了 671%。
• 藏有惡意程式的網站中，有 77% 是屬於合法的網站。這些網站因為被入侵，而變成了散佈惡意程式的管道。
• 在前100大的網站中，有 61% 的網站中包含了惡意程式或是導像惡意網站的連結。
• 95% 的部落格留言、聊天室與論壇的內容是惡意或無用的資料。
• 提供有關 Sex 網站連結的網頁中，有 50% 藏有惡意程式。
• 提供像是 Sex、成人內容、賭博、藥物等內容的網頁中，有 69% 包含至少一個以上的惡意連結。
• 在 2009 年上半年所發現且提供像是 Sex、成人內容、賭博、藥物等內容的新網頁中，有 78% 包含至少一個以上的惡意連結。
• 網站攻擊行為中，有 37% 會進行資料的竊取。
• 資料竊取的攻擊中，有 57% 是透過網站進行的。

透過這些數據，我們再次看到網站安全的議題持續惡化中。網站不僅是現今網路攻擊的主要管道，其成長的力道亦相當驚人。而且不像過去以惡意網站為主，現在大量合法網站淪陷為惡意程式的溫床，讓使用者更加防不勝防。使用者與網站擁有者雙方除了多加小心外，更需透過有效的工具才能夠免於惡意程式所帶來的傷害。

 

相關連結：

• State of Internet Security, Q1 – Q2, 2009

[研究報告] 企業尚未有效地應付現今的主要威脅

根據 SANS 於近日所公布的一份報告中指出，現今企業所面臨的資訊安全問題主要來自於兩個方面。一個是沒有及時更新的用戶端軟體 (Unpatched client-side software)，另外一個則是與網際網路連結的網站 (Internet-facing web sites)。

雖然目前作業系統已經多具備自動更新的功能，甚至企業也可能已經導入了更新的管理工具(如 WSUS)，但是更新依舊是一個令人頭痛的問題。因為現在網路服務越來越多樣化，各式各樣的文件、影音格式已經融入日常的應用中，而用來解析這些資料的應用程式(如 Adobe Flash、Adobe PDF Reader、Microsoft Office)就成了有心分子的重要目標。再加上這些應用程式之前不像作業系統那般容易受到攻擊，所以其開發廠商在安全防護的心力與經驗相對較低，進而造成較多的安全漏洞。

針對特定的應用程式，還有一些特定的問題。例如 Flash 的 Plugin 缺乏自動檢查並更新的機制，而且 Flash 的 Plugin 不但不同的瀏覽器需要分開安裝，甚至有些第三方的應用程式也會自行內附 Flash 的動態連結檔 (dll)。所以光要完全更新 Flash 就是一個艱鉅的挑戰。另外一個常見的應用程式 - Java ，則是因為更新時不會自動移除舊版本，所以會造成使用者產生已避免舊版程式問題的假像。

除了應用程式本身造成的安全問題，還有另外一個更需要急迫面對的問題就是部分企業依舊僅將眼光放在作業系統的更新，而忽略了應用程式更新的重要性。這麼多的問題，其結果只有一個，那就是有心分子絕對不會輕易放過這麼好的”機會”。

而在所有攻擊行為中，有 60% 是跟 Web 有關的。其中高達 80% 是利用 SQL Injection 與 Cross-Site Scripting 這兩種手法，再其次則為 PHP File Include。這些”老問題”不但依舊存在，而且甚至有增加的趨勢，顯見企業還沒有認真的面對這些問題，另外一個可能則是還有找到正確的方法。

另外一個觀察到的結果就是所謂的 Zero-day 弱點有增加的趨勢。除了因為有越來越多的應用程式被有心分子當作目標外，另一個更重要的原因在於如何找到軟體漏洞的技能已經越來越”普及”，甚至可以透過一些工具的協助來加快發現的速度。

在資訊安全的領域中，需要定期重新檢討相關政策與風險，並據此擬定計畫。在網際網路發達的這個時代，其所容忍的時間間隔將越來越短，因為有心分子隨時隨地都在找新的機會、新的手法。而在金融風暴的這個時間點，即使沒有面臨資源短缺的問題，至少也會面臨提高效率的議題。所以如何能夠迅速地發現(將)發生的問題，並同時用最有效率的方法加以面對或防範，成了重要的課題。尤其對於資源原本就較欠缺的中小企業，更應該好好檢視對自己最有效益的解決方案，以免發生補了窗戶卻忘了替大門上鎖的糗事。

 

相關連結：

• The Top Cyber Security Risks
• SANS finds pros overlooking dangers of client, web apps

[研究報告] 76%的企業封鎖社交網站

根據日前一份由 ScanSafe 所公布的研究數據顯示，在其客戶中有高達 76% 的比例針對社交網站進行封鎖。這個數字已經高於”線上購物”這類傳統上被認為會嚴重影響工作效率的被阻擋率 (52%)，甚至也高於”武器相關”網站的被阻擋率 (75%)。

阻擋這類網站雖有一部分的理由導因為避免資料外洩的風險，但是主要的原因仍在於避免員工因使用這些網站而造成工作效率的低落。這樣的做法我個人認為其實有些反應過度了。

不管是從安全或是工作效率的面向出發，有一個不可否認的事實，那就是社交網站對於某些業務的進行確實有它的好處。凡事本就有利有弊，如何取其利、避其害，才是該採取的思維，因噎廢食可就不是那麼聰明的決定。因此，針對業務的性質，找出必須使用社交網站的員工，並訂定明確的使用規範，是比較正面的作法。

另外一個更具爭議性的話題就是，阻擋這類非工作必要的網站是否就比較有工作效率？通常員工(不管懂不懂電腦)都有一個不為人道的專長，那就是公司禁止的事情，總會有人有辦法加以突破，更遑論公司(幾乎)沒有辦法隨時監控員工的電腦使用行為。甚至，根據學者的研究，在工作時進行適當的休閒上網瀏覽，不但不會降低工作效率，甚至還能提升工作效率。所以下次當你決定要封鎖社交網站(或其他種類的網站)時，請確定你有充分的理由支持這樣的作法。

 

相關連結：

• Employers crack down on social networking use
• Freedom to surf: workers more productive if allowed to use the internet for leisure 

[研究報告] 高達8成的公司使用真實資料進行開發與測試

在一份由 Ponemon Institute LLC 所公布的研究報告中指出，有高達八成的受訪者表示使用真實資料進行開發與測試。使用真實資料進行開發有甚麼問題，不都是在內部掌控的環境下嗎？如果再搭配其他兩項數據，問題的嚴重性應該就不言可喻。

第一項數據是危害資料安全的主要來源是內部使用者(無意或有意)以及協力廠商。

第二項數據是有接近一半的受訪者表示對於開發/測試環境的保護並不如正式環境一般”安全”。

也就是說儘管有良好的安全機制保護線上的資料，但是這些資料的分身(有時候甚至超過一個分身)在開發/測試環境中卻是沒有受到良好保護的。這些資料可供內部使用者、甚至協力廠商利用，而這些人正是資料安全最大的危害來源。資料內容包含客戶資料、員工資料、信用卡資料、交易資料…無所不包。

事實上，我也實際遇過在開發環境中看到真實的員工資料，其中包含薪資。這個問題說大不大，說小也不小。薪資資料在所有公司都是極高的機密，甚至很多公司明文禁止討論。

系統開發/測試期間有時候確實需要”接近”真實的資料，才不會在上線後才發現很多莫名其妙的錯誤。但是，並不是每個人都需要用到全部的資料，甚至很多人往往只要利用假造的資料就可以進行相關工作。所以，我們應該套用最小權限的概念，只提供特定角色任務執行上所需的資料內容。使用的方法可包含 Masking (把不需要的資料欄位改成無意義的內容) 及 Reduction (只取出必要的資料筆數)等。透過有效的管控與 Masking/Reduction 機制，將可以大幅減少資料安全受到威脅的機會。對於協力廠商，除了這些機制外，其他傳統上使用的方法 (簽訂NDA、定期Auditing等)也必須一併考慮開發/測試資料的保護，以達更完整的防護。

相關連結：

• Data security in development and testing - Ponemon Institute research report
• Survey: Data at risk in app testing and development

[研究報告] 一成以上的安全事件導因於不足的驗證

The web hacking incident database (WHID) 於日前公布了一份雙年度的研究報告，此報告主要針對網站安全事件作進一步的統計與分析。不同與其他以技術或網站弱點為主的研究報告，此報告的研究基礎是真實發生的攻擊事件，並著重在所發生的影響，而不僅只於技術上的弱點。

研究報告中指出，所有攻擊事件的目標中，以 Defacement 的比例最高 (28%)。這裡所謂的 Defacement ，除了我們一般常提到的網頁置換外，也包含了植入惡意程式於網頁中的攻擊行為。也就是只要是非法改變網頁內容的行為，不管這樣的內容是不是可視的，都會被歸類於 Defacement 。報告中也特別指出，過去因為大家對於 Defacement 的印象是多為影響單位的形象，而非系統本身，所以也往往採取較消極的防護措施 (如 SIV)。但是這樣的狀況已經改變，網站常常因為 Defacement 而變成了攻擊的管道之一，也因此需要針對此類問題的發生原因好好加以分析並防護。

另外一個發現就是 Web 2.0 的網站 (例如 Twitter)，已經取代政府單位，成為受到最多攻擊的目標 (19%)。原因無他，因為這類網站的高使用率，使得它們成為攻擊管道的最佳候選人。此外，上面擁有眾多的個人資料，也是一個充分的誘因。當然，另外一個可能的原因是這類網站對於安全防護較不重視，或是能力較為不足。

而對於攻擊手法的分析上，SQL Injection 雖然已經出現許久，仍舊是最主要的攻擊手法 (19%)。再次證明攻擊方著重在效率，而非使用技術的層次高低，而防禦方卻往往很容易落入技術的迷失。另外一個就是顯見程式安全對於系統開發人員來說，依舊是比較缺乏的一塊，因此對於這類存在已久的問題還是沒有方法加以有效避免。此外，需要特別注意的是有高達 11% 的事件無法確認攻擊手法，顯示對於紀錄/分析/稽核的功能與能力，仍舊有相當的改進空間。而同樣排名第二的另一個攻擊手法則是利用驗證機制的不足 (11%)，似乎再次顯示開發人員對於建置一個安全網站的能力不足以應付所面對的威脅。

 

相關連結：

• The Web Hacking Incidents Database 2009: Bi-Annual Report
• Social network attacks top website target list