2012趨勢發展 資安進入新的威脅紀元

2012資安威脅與環境

隨著行動平台與無線網路日益普及、個資法所引發的法規遵循效應、APT攻擊、及持續精進的傳統攻擊手法，未來一年，企業所面臨的資安環境將會更嚴苛。

一、行動平台與無線網路

在近年來無線網路廣泛使用，不論是WiMax或LTE、4G等通訊方式均提供了更新、更快速的通訊，加上用戶端頻寬的性價比擴充快速，也造就了威脅對於頻寬的濫用。行動平台已經悄悄地走入各位的生活與工作中，而各行動平台的安全問題，除了裝置本身、應用軟體的安全問題頻傳，對企業而言還要面對因為行動裝置的通訊、照相、錄音…等能力所衍生的新問題。

2012會是一個行動裝置聯網遭受傳統資安威脅攻擊發酵的一年，這個態勢已經逐漸醞釀，包含Android、iOS的破解（俗稱jailbreak或root）時間縮短，以及惡意程式以400%的速度增長，在可預期的未來，行動裝置上即將有幾場腥風血雨的大事件也不令人意外。因此，也同步擴展了傳統領域資安與資訊廠商的商機，用人造的科技對抗人造的威脅，如同在電腦網路上面上演的戲碼一般。

趨勢科技九月份在Gartner Summit中有一項調查數據指出：74%的企業決策者已經允許員工使用個人行動裝置於工作相關的活動；69%的人認為行動裝置安全已經是保護企業IT環境的重要項目之一；而79%的IT決策者認為員工應該在他的裝置上安裝行動安全方案。

二、個資法效應

在國外已經具備法律規範趨動力的單一市場中，資訊安全的產品、服務均有逐年成長的趨勢。在國內，因應個資法的效應，預期也會造成新一波資安產業的黃金時代，可惜的是，市場仍舊處在代理國外產品與價格火拼的老問題下，造成總業務量上升但利潤卻無同步增長，觀察後發現原因乃是國內大部分企業與單位在於尋找與評選方案的面向較為狹隘，常常只有一兩種選擇，而選擇的提供來源則是分食各地盤的SI廠商。

我們不能說每種因應個資法的方案都能有效地解決個資法的要求，更不能相信單一方案或產品宣稱具有療效、可一舉解決個資法所有要求，如果真是這樣，那想要藉機海撈一票的方案提供者與採購者都是在一個不切實際的騙局中自欺欺人。因應個資法是沒有捷徑的，該做哪些事都應該被清楚的定義規範，政策與管理是根本體質，產品僅能輔助而非特效藥。

三、產業間諜的衝擊

在Trustwave年度報告中提到一個非常有趣的數字，發生資安事件的產業類型中，歸類於傳統產業下的「食品與飲料」行業占57%為最大宗，零售業與醫院各占18%及10%。在這樣的數字之下，我們在去年看到了大型的資訊廠商、資安廠商、國防承包商遭遇有史以來莫大的產業間諜問題，被統稱歸類為APT這個新的名詞下。簡單來說，這就是間諜行為的網路版。

在Check Point公佈的「社交工程引發的資安風險」調查報告結果亦指出：
- 有48%的受訪企業表示，已成為社交工程(social engineering)的受害者； 
- 過去兩年間至少遭受25次以上的攻擊； 
- 企業在每次資安事件中蒙受2.5萬至10萬美金以上的損失； 
- 86%的企業認為社交工程攻擊已經是嚴重的威脅； 
- 社交工程攻擊的目的多為詐財、取得競爭優勢及報復行為。

有一個英國的案例，有一家設計風力滑輪機革命性風力片的企業，因為遭受先進持續威脅(APT)攻擊被駭客鎖定目標，利用人為失誤、弱密碼與軟體弱點等，獲取情報與創造經濟優勢，使得該公司因為對手推出更便宜的同型產品導致關門大吉，企業面對APT攻擊不可不慎。

四、傳統威脅持續精進

傳統資安威脅包含惡意程式、惡意網站、病毒、蠕蟲、木馬…等，以及攻擊面行為的阻斷服務攻擊(DDoS)，在防護機制逐漸以雲端化、沙箱虛擬檢測與快速聯防之下，也練就一身好武功，尤其那些能夠存活一段時間的著名威脅類型，意味著有某些成分是超越目前現有的防禦機制。

在微軟定期的安全情資報告(SIR)中指出，雖然在2011年弱點發現與公佈的數量下降，但在相同的弱點數量下，對於作業系統的攻擊程式(exploit)數量則攀升，主要最多的攻擊是針對Java、其次為作業系統與HTML/Java Script，而對於Adobe Flash與Heapspray技術手法的攻擊程式則持平微增，但如果以惡意檔案的角度來看，PDF檔案的攻擊被發現數量則是遠超過微軟Office系列檔案。

至於惡意程式種類，以廣告相關軟體Adware為大宗，其次則為木馬Trojan，而蠕蟲(worm)與後門程式(backdoor)則略遜一籌。

從數字看資安威脅

接下來，我們從網路犯罪、垃圾郵件、惡意網站攻擊等面向及各家研究報告，來看企業所面臨的資安威脅究竟有多大。

一、全球網路犯罪對消費者及經濟造成的損失高達1兆美元。值得注意的是，偷竊受害者帳號密碼的行為(Password stealer)，最近造成日本50多家銀行受害金額達二億八千萬日圓（約台幣一億一千元）。英國國防部指出網路駭客攻擊是國家安全及企業經營目前面臨的最嚴重威脅，企業因機密遭竊倒閉，整體經濟損失已高達270億英鎊。英國政府亦投入6億5000萬英鎊來因應網路駭客攻擊之防禦。

二、垃圾郵件數量銳減。從2010年7月的 892億至2011年6月250億封，主要原因研判為，寄送垃圾郵件的殭屍網路(botnet)遭到執法機關取締並關閉，兩個最大的寄送來源且已被關閉的是Rustock與Cutwail殭屍網路。

三、惡意網站已經進入全自動化攻擊時代，加上各種規避黑名單與特徵檢查法，造成一般防禦方式失效。微軟報告中（圖1）指出，對於金融相關的網站攻擊大幅攀升在6月時占47.8%，其次是針對社交網站的惡意釣魚則在四月時達到歷史新高的83.8%至六月約佔20%左右。造成衝擊則是用戶帳密被盜，電腦可能會被入侵成為殭屍電腦(bot)，由受害者轉為加害者的工具。