資安與個資保護宣導以及行動裝置安全介紹 郭瑞祥顧問 nk@cretech.com.tw 大綱 資訊安全宣導 現在流行什麼 APT 介紹 個資保護宣導 動裝置安全宣導 2 1
資訊安全宣導 現在流 什麼? 加密勒索程式 加密勒索軟體捲土重來, 舉攻擊小型企業與個 戶 感染徒徑主要來 釣魚郵件, 但也出現透過軟體漏洞植入的 法 4 2
加密勒索程式 越演越烈的勒索病毒 最近在網路上 個貼文, 在資訊 員之間廣為流傳 : 間位於臺北市的公司, 因為會計 員點選釣魚郵件裡, 免費中獎 iphone 6S 的消息, 導致 ERP 伺服器上的資料被 CryptoLocker 加密, 影響業務報價 倉儲盤點, 連各部門的差勤打卡系統也無法使, 如此誇張的描述, 不禁讓 想問, 公司要倒了嗎? 最後的結果, 該名會計 員與主管調離現職, 伺服器資料全部重新建置 5 雅虎廣告網路受惡意廣告入侵, 用戶可能感染勒索程式 ads.yahoo.com 網站被偵測到惡意程式, 駭客利 惡意廣告 的攻擊 法, 將有惡意程式的廣告透過合法網站送到使 者電腦, 並將 戶導向代管 Angler EK 攻擊套件的網站, 如果使用者電腦有漏洞, 就會感染惡意程式 ads.yahoo.com 負責執 雅虎旗下主要服務的廣告, 包括首頁 財經 遊戲 新聞入口網站 運動及影藝網站 6 3
智慧家庭 ( 物聯網 ) 聽起來很美好, 但是這些危險你也需要知道 1. 講話被竊聽? 今年 2 月, 有媒體在三星 SmartTV 隱私條例中找到了這樣的宣告 : 請注意 : 當你在講一些包含個人或者其他敏感資訊的話題的時候, 它們也會被當作資料被採集並且傳輸到協力廠商中 2. 隱私被入侵? 今年,Synack 安全公司的專家對 16 種家 動化設備進 調查, 其中包括家 監視器 家庭 動化控制器和恒溫控制器 但是結果讓 失望, 他們發現幾乎每 種設備都非常容易被入侵 原因就是很多 都沒有修改原始密碼和對資料進 加密 7 資訊安全宣導 APT 介紹 4
啥是 APT? 9 社交工程電子郵件攻擊流程 攻擊階段控制階段活動與擴散階段 3 安裝後門程式 4 建立 C&C 通道 1 觸發軟體弱點 2 夾帶惡意附件的社交 程信件 5 內部網路攻擊與擴散 10 10 5
南韓事件 爆發時間 :2013/3/02 下午 2 點範圍 6 家企業約 32000 台主機中斷服務, 無法啟動 金融業 新韓銀 (Shinhan Bank) 農協銀 (NongHyup Bank) 濟州銀 (Jeju Bank) 媒體業 韓國放送公社 (KBS) 文化廣播 (MBC) 南韓新聞頻道 (YTN) 衝擊 營運中斷 金融業 : ATM 臨櫃交易 線上交易全面停擺 媒體業 : 節目無法播出, 對外網站無法運站 由於植入自我毀滅性惡意程式, 系統檔案被損毀, 電腦主機及伺服器無法開機, 導致儲存資料無法還原 11 南韓事件帶來的啟發 別被騙了, 不可能 瞬間同時打掛 32000 台主機 早就在裡面埋樁很久了 又是社交 程! 駭客比資訊 員還清楚內部環境 新聞錯了, 不是安博士被攻破, 是被利 重點應該想想 : 還有多少類似安博士的系統, 可能被駭客利用? APT 威脅問題 惡意程式處理 12 6
南韓事件不是第 個, 也不會最後 個 13 台灣另類的世界第 14 7
數十年來始終不變 15 數十年來始終不變 16 8
數十年來始終不變 17 別再用傳統角度看 APT 威脅了 - APT 的 4 大特性 9
如果你沒聽過 APT Advanced 深入 熟悉目標特性的 針對性的 Persistent 持續性 Threat 威脅 19 特性 1: 利用人性弱點 為什麼防不勝防? 資安水桶理論, 造成的問題往往是資安防鏈中的最弱點 駭客也講投資報酬率 利 性弱點, 社交 程攻擊是成功率最 的 式 20 10
APT 入侵最有效也最簡單的方式 - 社交工程電子郵件 特性 2: 傳統防禦機制失靈 防毒軟體無法辨識 APT APT 的惡意程式幾乎都是客製化的 利用系統或文件軟體漏洞, 甚至是零時差弱點 防火牆完全無效 黑名單平均存活時間短, 隨時變換, 擋不完 利用正常的通信埠及通信協定 入侵偵測無效 網路流量正常, 小量批次傳送資料 22 11
特性 3: 刻意躲避偵測的客製化攻擊 你喜歡, 駭客更愛! 23 南韓事件是特例 偷資料才是王道 特性 4: 低調而迂迴 看看最近很紅 Mandiant 怎麼說? 近半數受害單位 / 組織不知道 已被入侵了 12
APT 受害者平均被入侵近 年後才發現異常 Reference by Mandiant M-Trend 2013 Report APT 攻擊具有 誅九族 的特性 Reference by Mandiant M-Trend 2013 Report 13
傳說獅子的鬃毛可以治禿頭了 - APT 的 3 大迷思與欠缺 APT 的 3 大迷思與欠缺 迷思 將 APT 與病毒, 入侵與 DD os( 阻絕服務 ) 混為一談 APT 是威脅, 不是攻擊! 認為強化與依靠現有防禦措施即可 萬 城在現代擋得了誰? 自認自己不值得被攻擊 你的資料與重要性不是你決定, 是駭客決定! 欠缺 缺乏正確認知 缺乏決解方案 缺乏處理流程 28 14
別再相信獅子的鬃毛可以治禿頭了 - APT 的 3 大迷思與欠缺 APT 駭客攻擊劇本 1 情報蒐集 2 社交攻擊 3 操縱通訊 4 橫向感染 5 資料發掘 6 資料外傳 15
如何防範? 讀取信件要領 先將公務與私 郵件賬號分開 確認寄件者 是否為您認識的人或業務需要 確認郵件主旨 是否為奇怪的主旨, 或與寄件者不搭的主旨 確定郵件內容是否與寄件者或主旨有關 確定郵件內容是否得宜 例如是否得提供個資料機敏資料 是否須向寄件者確認 32 32 16
使用者防護停看聽 (1) 停 使 任何電子郵件軟體前, 必須先確認以下設定 必須安裝防毒軟體, 並確實更新病毒碼. 審慎開啟郵件及其附件或連結. 必須取消郵件預覽功能, 避免無意開啟郵件. 設定過濾垃圾郵件機制. 建立電子郵件驗證機制. 33 取消郵件預覽功能 34 17
關閉信件預覽功能 Windows Live Mail 選取 檢視 / 版面配置 不勾選 顯示預覽窗格 Outlook express 選取 檢視 / 版面配置 不勾選 顯示預覽窗格 Outlook 2010 選取 檢視 / 讀取窗格 選擇 關閉 Outlook 2007 選取 檢視 / 讀取窗格 選擇 關閉 35 35 關閉郵件自動下載圖片及其他內容 36 18
關閉郵件自動下載圖片及其他內容 ( 續 ) 37 關閉自動下載圖檔 Windows Live Mail 選取 工具 / 安全性選項 / 安全性 勾選 阻擋 HTML 電子郵件中的圖片和其他外部內容 Outlook express 選取 工具 / 選項 / 安全性 勾選 阻擋 HTML 電子郵件中的圖片和其他外部內容 Outlook 2010 選取 檔案 / 選項 / 信任中心 / 信任中心設定 / 自動下載 勾選 不自動下載 HTML 電子郵件訊息或 RSS 項目中的圖片 Outlook 2007 選取 工具 / 信任中心 / 信任中心設定 / 自動下載 勾選 不自動下載 HTML 電子郵件訊息或 RSS 項目中的圖片 38 38 19
不以 HTML 模式開啟郵件 39 以純文字模式開啟郵件 40 20
以純文字開啟信件 Windows Live Mail 選取 工具 / 選項 / 讀取 勾選 在純文字中讀取所有郵件 Outlook express 選取 工具 / 選項 / 讀取 勾選 在純文字中讀取所有郵件 Outlook 2010 選取 檔案 / 選項 / 信任中心 / 信任中心設定 / 電子郵件安全性 勾選 以純文字讀取所有標準郵件 Outlook 2007 選取 工具 / 信任中心 / 電子郵件安全性 勾選 以純文字讀取所有標準郵件 41 41 使用者防護停看聽 (2) 看 收到郵件後, 必須注意 郵件主旨是否與本身業務相關 其餘郵件不建議開啟, 如需開啟應確認郵件來源 聽 若懷疑郵件來源, 必須進 確認 透過電話或電子郵件向寄件人於開啟前確認郵件真偽 42 21
個資保護宣導 個資法修法囉!! 44 22
新聞 : 教育界的資料外洩事件, 實際上比政府或銀行還要多 非營利隱私權資料交流中心在過去十年來所收集的資料中, 教育部門在資料外洩事件的前五位, 佔總數的 4.8% 雖然離前兩名的零售業 (47.8%) 和金融業 (10.2%) 還有段距離, 但是跟醫療保健 (5.5%) 很接近了, 且令 驚訝的是, 它還在銀 及政府單位之上 根據被竊資料 來進 身分竊盜和詐騙活動的角度來分析這些產業, 發現教育部門在第五位 (10.9%), 僅次於金融業 (11.2%), 且離第三名的政府機構 (13.6%) 和第二位的零售業 (15.9%) 不遠 45 法條 5 最小蒐集原則 個 資料之蒐集 處理或利, 應尊重當事 之權益, 依誠實及信 法為之, 不得逾越特定目的之必要範圍, 並應與蒐集之目的具有正當合理之關聯 46 23
身分證影本有哪些資料? 47 行動裝置安全宣導 24
行動裝置現況 49 行動裝置安全 - 駭客的下 個戰場 在蘋果 (Apple) iphone 與各種 Android 智慧型 機 (Smartphone) 成 且越來越普及的趨勢下, 雙 共同建構近 100 萬套龐 的軟體市集生態, 創造了駭客入侵的誘因 50 25
智慧型手機防護 當使 者越來越仰賴 iphone Android 等智慧 機 平板電腦, 單位的安全防護網將會面臨有別於傳統的新風險 不只要防範鎖定 機伺機入侵的木馬和惡意程式, 還得預防遺失 機 導致資料外洩的風險 伴隨著 機進入單位的 3G 網路, 更是輕易跳過內網管制的防線傳統的防護網已經逐漸瓦解, 單位必須正視 動應 帶來的新風險, 才能有效鞏固防護網 51 7 大非法獲利模式 Android 安全風險高 根據賽門鐵克最新研究報告指出, 就目前針對 Android 平台 開發的 動惡意軟體來看, 可能的謀利 式共有以下 7 種 : 1. 帳單詐騙 2. 追蹤與監控手機的間諜軟體 3. 搜尋引擎中毒連上特定 URL 網址 4. 點擊付費廣告提 廣告點閱數 5. 將惡意程式偽裝成和這些 APP 同名的假冒軟體隨安裝次數付 6. 重新包裝或複製 個受歡迎且合法的遊戲程式騙取廣告收入 7. 竊取網路銀行交易確認碼雖然現在藉由 動惡意軟體非法獲利的比率並不, 但隨著 眾逐漸汰換現有 機 轉 使 智慧型 機, 未來 Android 動攻擊的投資報酬率將會愈來愈, 使 機的安全風險也將隨之增加 52 26
賬單詐騙 53 電話安全嗎? 54 27
行動應用容易忽略的 6 大風險 合法上架的手機 App 不 定安全 4G 網路成為企業內網新後門 手機遺失等同筆記型電腦遺失 無法封口阻擋的 USB 隨身碟 手機是進入企業核心系統的鑰匙 越獄讓手機系統安全出現漏洞 55 行動裝置防護重點 越獄 /root 沒有 防護機制 安裝 APP 借 機 機遺失 56 56 28
越獄 /root 破解 為什麼要破解? 需要花錢買軟體 - 因小失大 喜歡玩些不一樣的 APP 機越獄不違法, 但不安全 越獄被美國政府視為消費者合法使用權力之一, 各種破解工具越來越自動化, 甚至出現全自動的破解 App, 按一個鈕就可以讓 iphone 越獄 讓 Android 破解, 使用者可以任意取得管理者權限, 讓智慧手機預設的安全機制防護洞開, 更容易成為惡意程式竊取企業資料的溫床 57 安裝 APP 50 萬種 APP 可以選擇, 但安全嗎? 有注意權限宣告嗎? 58 29
手機遺失 機密碼?? 機 PIN 碼? PIN 碼可保護你的手機 SIM 卡, 避免他人未經同意使用你的手機撥打電話 記下你的 機唯 識別碼 (IMEI)15 碼 當你的手機被偷或遺失時, 這組號碼是電信公司向警察單位查詢尋獲手機或贓機的辨識號碼, 通常在失竊手機報案時, 警察也會詢問你的 IMEI 碼 59 借用手機 網路安全 : 勿輕易將手機借予他人使用 網路拍賣由於門檻低, 任何人皆可運用來販售商品或服務, 形成 70 萬賣家大軍, 但其中品德水準良莠不齊, 人數龐大無法有效管理, 使得交易安全比較薄弱目前網拍交易平台業者以手機 信用卡... 等可稽資料, 作為 確認 賣家身份的認證方式 60 30
遠端控制軟體 61 Airdroid Demo http://web.airdroid.com/ 31
駭客假冒臉書發帳號停用通知 駭客假冒臉書名義, 發送內含釣魚網頁連結的假警告信件給使用者, 通知使用者帳號已經遭檢舉為垃圾帳號, 需於 24 小時內立即點選 email 內的連結進行帳號安全性確認, 否則帳號將可能遭永久停用 63 App 程式好方便? 小心下載恐洩個人資料! 近來人手一支智慧型手機, 且十分依賴各項 App 程式的功能, 但根據國外媒體報導顯示, 許多手機應用程式的使用條款中, 允許手機程式開發商可以查閱手機用戶的個人資料, 甚至查看照片 通話對象, 個人資料在不知不覺中外洩 64 32
app 不要亂下載 _ 間諜袋著走 _ 揭發智慧型手機間諜軟體, 滲透個人和企業的秘辛 65 Google 定位紀錄示範 定位紀錄網址 33
案例手機網路用量大增, 原來被植入木馬 某位在公關公司 作的李小姐, 因在外跑業務因此經常需要利 機上網, 李小姐所使 的是電信公司所推出每月 500M 的上網 案, 幾個月使 下來發現,500M 的流量通常都 不完 就在今年過完年後, 李小姐發現, 不到 個星期的時間, 500M 的上網流量已全部耗盡, 將 機送 維修中心檢查後才發現, 己的 機中竟然被安裝了不少的惡意程式, 己卻渾然不知 許多木馬程式是利 機的作業系統漏洞進 攻擊, 不僅可以強制開機啟動, 還會 將 機連上網際網路, 甚 竊取並對外傳送 戶 機中的各種資訊 67 你的行動裝置有防護機制嗎? 防毒軟體 - 很多 很多 防火牆軟體 - Android 防火牆 :DroidWall 系統監視軟體 - 很多 很多 用電量 網路使用量 容量 68 34
行動安全的十大秘訣 設備 / 機型選擇 啟 加密機制 需要驗證機制 利 遠端資料抹除功能 事件管理 69 行動安全的十大秘訣 ( 續 ) 控制第三 應 程式 網路安全機制 使 入侵防禦 / 檢測軟件 (IPS / IDS) 防毒軟體 藍牙管制 70 35
其它用途 - 社群網路 71 手機社群網路服務應用的風險 隱私權課題 身分遭竊取 惡意程式 使用者的位置追蹤 72 36
手機的社群網路應用個資保護小撇步 只接受你認識的朋友邀請 謹慎思考要張貼哪些資訊 幫朋友打卡與 Tag 前, 先取得同意 定期檢視你的隱私權設定 73 手機防護 當使 者越來越仰賴 iphone Android 等智慧 機 平板電腦, 單位的安全防護網將會面臨有別於傳統的新風險 不只要防範鎖定 機伺機入侵的木馬和惡意程式, 還得預防遺失 機 導致資料外洩的風險 伴隨著 機進入單位的 4G 網路, 更是輕易跳過內網管制的防線傳統的防護網已經逐漸瓦解, 單位必須正視 動應 帶來的新風險, 才能有效鞏固防護網 74 37
手機越獄不違法但不安全 最近接連陸續傳出 機應 程式的安全威脅事件, 就連 Android 官 軟體市集也 連出現了 50 多款通過審查上架的 App 暗藏惡意木馬程式, 迫使 Google 動 遠端刪除權限來移除使 者設備中的惡意程式 再加上 機破解 越獄被美國政府視為消費者合法使 權 之, 各種破解 具越來越 動化, 甚 出現全 動的破解 App, 按 個鈕就可以讓 iphone 越獄 讓 Android 破解, 使 者可以任意取得管理者權限, 讓智慧 機預設的安全機制防護洞開, 更容易成為惡意程式竊取企業資料的溫床 75 手機駭入實錄 76 38
手機防護 :Android 目前已知感染套件如下 Omok Five, in 如果您有安裝 a Row, 最好趕快解除安裝 几何战机 _PewPew Advanced App to SD Advanced Barcode Scanner Advanced Compass Leveler Advanced Currency Converter Advanced File Manager Advanced Sound Manager App Uninstaller Basketball Shot Now Best password safe Bowling Time Bubble Shoot Chess Color Blindness Test Dice Roller Falling Ball Dodge Falling Down Finger Race Funny Face Funny Paint Hilton Sex Sound Hot Sexy Videos Magic Hypnotic Spiral Magic Strobe Light Music Box Photo Editor Piano Quick Delete Contacts Quick Notes Scientific Calculator Screaming Sexy Japanese Girls Sexy Girls: Japanese Sexy Legs Spider Man Super Guitar Solo Super History Eraser Super Ringtone Maker Super Sex Positions Super Sexy Ringtones Super Stopwatch & Timer Supre Bluetooth Transfer Task Killer Pro Tie a Tie 憤怒鳥 憤怒鳥季節版 憤怒鳥太空版 下坠滚球 _Falldown 大家来找茬 多彩绘画 投篮高手 致命绝色美腿 桌上曲棍球 躲避弹球 蜘蛛侠 裸奔先生 Mr. Runner 墨水坦克 Panzer Panic 掷骰子 软件强力卸载 資料來源 : http://blog.aegislab.com/index.php?op=viewarticle&articleid=80&blogid=2 77 惡意程式新手法 : 下載時無毒更新後再變病毒 近期夾帶惡意程式的 App 報導增多, 使 者後續在下載 App 安裝前多半會加以考量, 但相對地在 App 後續更新卻較少有所防範, 因此有不少惡意程式在後續的設計便會採取先讓使 者下載並正常使, 等進 第 次 App 更新後, 便會透過這樣的心理防範差異讓使 者點按同意提供相關軟體權限, 進 讓惡意程式取得 機控制權 78 39
手機防護 :Android 當我們有 天在某個咖啡店享 著免費無線網路時, 很開心的登入 己的 Facebook 帳戶, 然後旁邊 個拿著 Android 機的, 有可能透過 個叫做 FaceNiff 的 App 輕易獲取我們帳戶的控制權, 然後隨意發表訊息 唯 的解決 法, 就是我們在使 公 無線網路環境時 定要使 加密連線現在 Facebook 等網站服務都已經內建 強制 https 加密連線 的功能, 定要記得事先做好設定 79 手機防護 :Android 解決策略 : 不安裝 來路不明 的小遊戲或軟體 移除不需要或不常 的小遊戲或軟體 安裝防毒軟體或防護程式 安裝 Android Market Security Tool 80 40
ios 作業系統平台 ios 是由蘋果公司獨家開發的封閉式作業系統 itunes 是 款媒體播放器的應 程式, 來播放以及管理數位音樂和與視訊檔案 QuickTime 是由蘋果電腦所開發的 種多媒體架構與程式 安全問題 : ios 作業系統 : 例如 : 版本衝突 核心程式漏洞等 App Store 線上應 程式商店 : 例如 : 不安全 竊聽程式等 81 ios 越獄 (ios 破解 ) 優點 : 解除 ios 上的限制, 安裝 App Store 以外以及未經 Apple 許可的軟體 可自行改裝作業系統, 或改變手機軟體介面 取得手機系統的管理者權限, 控制並使用命令列 shell 程式 缺點 : 部分手機或電信商, 為避免維修爭議, 一經越獄則喪失手機的保固或相關優惠 越獄後因取得手機管理者權限, 大幅增加感染惡意程式的機率 因可安裝未經 Apple 事先授權及測試的程式, 大幅增加手機當機及效能資源不足的機率 容易遺失手機原本的資料, 例如 : 簡訊 通訊錄 設定值等 82 41
手機防護 :iphone 解決策略 : 不安裝 來路不明 的小遊戲或軟體移除不需要或不常 的的小遊戲或軟體安裝防毒軟體或防護程式使 原裝 不要越獄或破解 iphone 最容易感染的環境 : 越獄 (JB, Jailbreak ) 過 安裝了 SSH 且沒有更改預設密碼 喜好在 App Stone 搜尋安裝軟體 83 行動裝置安全使用注意事項 不要破解 / 越獄 /root APP 注意事項 注意警告標語 只在信譽良好的網站中下載 APP 關閉手機的 GPS / 藍芽 /WiFi 功能 使用完服務後登出會員 使用開機及 PIM 密碼 記下 IMEI 要裝防毒軟體 注意用電情形 84 42
挑選防毒軟體的原則 所謂挑選防毒軟體的原則就是要挑 適合 己電腦或企業單位的軟體 安裝 堆 己根本就不會感染病毒的防毒軟體, 只是在拖垮 己電腦的效能, 還不見得有效 機版防毒軟體挑選重點 : 遠端鎖定 遠端清除資料 省電 85 手機防毒軟體推薦 CM Security avast!mobile Security AVG Antivirus. 86 43
Thank You 感謝聆聽敬請指教 44