雜記 on 資安見聞錄

[活動] Info Security 2014 第十三屆亞太資訊安全論壇

Sat, 15 Mar 2014 06:40:00 +0000

由資安人雜誌所主辦的資安年度盛會又來囉~ 以下是由資安人雜誌所提供的活動訊息，歡迎有興趣的朋友們一起來參加喔。

Info Security 2014 第十三屆亞太資訊安全論壇

有50場演講課程讓您親身體驗及簡易明瞭多元化的未來趨勢。高度能量的資安場合，讓您全面吸取最為豐富及精華的經驗與知識。同時現場教室外還有30家以上專業資安廠商為您示範產品的應用及說明。

歡迎免費報名參加，讓自己充電及吸取最先進的資安新知及新技術。

活動時間: 2014年3月19日(三) ~ 21日(五)
活動地點: 台北世貿南港展覽館 5樓
報名網址: http://www.secutechinfosecurity.com/14/tw/seminar_register.aspx?ff=5

活動洽詢：02-2659-9080 分機667 潘小姐
主辦單位: 資安人雜誌敬邀

[活動] BSI年會 - 雲端安全STAR認證正式開跑

Tue, 12 Nov 2013 14:30:00 +0000

今天參加了連續第十年舉辦的英國標準協會(BSI)年會，現場依舊是人潮滿滿、座無虛席。本次年會的重點在於說明有關ISO 27001:2013的更新內容，以及BSI與雲端安全聯盟(CSA)所合作推動的STAR認證。

ISO 27001的更新，基本上和FDIS的內容差不多，所以我就不多說了，目前BSI也已經開始提供新版的訓練課程，至於轉版課程可能還要再等等。對我而言，最讓我感到有興趣的，其實是BSI對於雲端安全成熟度的評估方法，這將會決定想要取得STAR認證的雲端服務供應商，如何獲得其績效得分與獎牌。

關於STAR認證

在2013年9月25日，CSA和BSI正式宣布推出STAR認證(STAR Certification)，這項認證結合了ISO 27001管理系統標準的要求，藉由實施雲端控制矩陣(Cloud Control Matrix；CCM)，再以成熟度評估的方式來量測雲端服務的安全水準。

對雲端服務供應商來說，想要取得STAR認證，需要具備以下三個條件：
1. 已取得ISO 27001認證
2. 導入CCM的安全控制要求
3. 已達到成熟度評估的水準

因此，雲端服務供應商必須確認其所提供的雲端服務，已在ISO 27001認證的範圍之內，然後實施CCM的安全控制要求，以CCM v1.4而言，它涵蓋了法規遵循、資料治理、設施及場所安全、人力資源安全、資訊安全、法律議題、營運管理、風險管理、發行管理、回復能力和安全架構等11項控制領域，其中包括了98個安全控制措施，這些控制措施都可參照ISO 27001本文和附錄A的內容，彼此達到互補的功能。

關於雲端安全成熟度

如果組織對自己的雲端安全管理有信心，接下來就可以請BSI來實施獨立的第三方驗證，BSI將以成熟度評估方式，針對CCM的11項控制領域，分別依據以下五個管理能力來進行評分:

溝通和利害關係人的參與
政策、計劃、程序及系統化方法
技巧和專業能力
負責態度、領導能力和管理
監控與量測

針對每一個控制領域，BSI都會依據5個管理能力進行成熟度量測和評分，以「政策、計劃、程序及系統化方法」的管理能力為例，其評分的準則如下。

無正式實施方法(1-3分) : 指沒有證據顯示在營運和管理方面，針對服務的存取、身分識別、權限的指派已有相關的作業程序。

被動式實施方法(4-6分) : 指證據僅顯示在營運和作業流程方面，每當作業方式變更時，相關文件化的程序才會隨之改變。

主動式實施方法(7-9分) : 指組織已採取文件化的計畫方式，並涵蓋了所有控制領域。

持續改進實施方法(10-12分) : 指有證據顯示針對營運持續議題，以及可能的安全事件，加以識別並且實施了風險分析。

最佳化實施方法(13-15分) : 所有的政策、作業程序及計畫發展，皆與營運策略維持一致。

最後，每一個控制領域的得分會加以平均，若平均得分為3~6分，可取得銅牌；6~9分則為銀牌；9分以上則可獲得金牌。一旦獲得了STAR的獎牌，雲端服務供應商就可展現給客戶，以達到市場的區隔並建立口碑。

根據BSI表示，目前全球已有三個組織正式取得了STAR認證，英國兩家為惠普(HP)與脈動(Pulsant)，亞洲一家是阿里巴巴，三家都取得了銀牌。預計在2014年第二季，台灣預計也會有2~3家取得這項認證。所以，雲端服務供應商可藉由STAR認證來展現自己的安全成熟度，以贏得客戶的信心；而消費者也多了一項管道，可以得知所選擇的服務廠商，是否有足夠的能量來確保資訊安全，這對雙方來說的確是一項福音。

資料來源 : CSA官方網站、BSI英國標準協會

[提醒] 又接到詐騙電話，請注意個資外洩的問題

Tue, 23 Aug 2011 10:50:00 +0000

最近在一家新成立不久的網路書店買過書，就在今天下午5點半左右，我接到一通聲稱是該公司服務人員的電話(+022752-4815)，其實在電話號碼前出現+號，除非您有很多老外朋友，否則往往就是讓人覺得可疑的地方，不過死豬不怕燙的我，還是接了起來，在吵雜的背景音下，一開始對方感謝我在網站上購書，說最近又到了很多新書，要我有空可以多上去逛逛。

但接下來話鋒一轉，她正確地說出我曾在何時購書、金額是多少，以及是在哪家超商取貨，然後就是典型的詐騙說詞，聲稱雖然我是在超商付款，但是因為人員作業疏失，導致分期重複扣款等等(真不知都已付現了，是要怎樣分期…)。

由此初步可以判斷，這家公司在購物流程上可能存在安全漏洞，導致消費者購物資料有外洩的可能，雖然該公司在網站上已有SSL安全機制，但這並不代表整個流程(物流、資訊流)是安全無虞的。

所以站在消費者的立場，我還是寫了一封信到客服信箱，建議該公司應注意加強資安的控管(尤其那些能取得資料的合作廠商)，並且在網站首頁上多加宣導，提醒消費者要小心注意，以免受騙上當，而影響該公司聲譽和日後購物的意願。

可惜的是，這封信居然被退了回來，看了一下退信的訊息(Over quota)，難道是和我一樣的好心人太多，把人家的服務信箱給灌爆了嗎？

有趣的是，在我寫這篇文章的同時，另一通電話也打來了(+22371-0350，他們忘了區碼要加一個0)，一樣冒稱是這家網路書店，一開始同樣是謝謝我在網站買書，然後又提到我之前幾月幾號買書，一共是多少錢(數字都完全正確喔)，當我追問她我買了什麼書時，她卻說她是快遞部(辛苦了，還要充當客服)，所以不知道購買的內容。

不過，這次她換了一套說詞，雖然同樣是人員作業疏失，但沒有分期了，而是把我當成批發商，以後買書都可用批發價，問我要不要加入，還要請她們主任跟我談，但我實在是不想再聽廢話了，所以就掛斷不接了。

只能說，詐騙集團的花招甚多，連假冒本地的電話，也都弄成是別人家的傳真號碼，若是真要打回去，恐怕也找不到人吧，只能提醒大家多多小心囉~

[更新 @8/23]
嗯~看來我只是其中一位受害者，該業者的臉書已經po出提醒，要大家小心了。

[更新 @8/24]
在網站首頁也有對於詐騙的公告說明了~

[活動] 終結個資外洩之亂研討會

Fri, 29 Jul 2011 02:57:00 +0000

個人認為，參加研討會活動是獲得資訊和認識朋友最快的方法，雖然許多研討會為了能夠順利舉辦，往往需要廠商的協力贊助，所以在內容上面，免不了也會加入相關產品的介紹。不過，為了吸引參加者，研討會也會邀請一些業界的先進，來分享其個人專業或經驗上的知識與心得。

由網路資訊將於8月4日(四)所舉辦的「終結個資外洩之亂」研討會，上午邀請了BSI英國標準協會的Peter老師作為開場，談到和個資保護有關的法規，相信業界沒有人會比Peter老師更加地了解，每次聽他的課，也一定會有相當多的收穫。

至於下午的議題，則請到了律師和技服中心的長官，針對法律層面和技術防範手法，提出了一些分析和因應之道，建議有空的朋友們，不妨抽空前往聆聽。

另外，受到網路資訊主編的邀請，個人在活動網站上也分享了有關存取控制和漏洞修補的兩篇文章，一併提供給大家作為參考。

資安文章分享：
http://prj.networkmagazine.com.tw/110801/author/hwajuinjay/
研討會報名：
http://event.networkmagazine.com.tw/event/2011/08/04/

[分析] 雲端運算的迷思 - IaaS的安全誰該負責？

Fri, 15 Jul 2011 06:02:00 +0000

許多客戶租用了雲端運算服務，就以為資安的問題，應該都由服務供應商來解決，並且負起相關的責任，但事實上，恐怕不是這麼一回事。

根據Amazon所發布的文件指出，對於其所提供服務的安全，Amazon皆有採取符合相關法規的安全措施(例如SAS 70、ISO 27001、PCI DSS等)，但是客戶也具有相對性的責任，必須自己注意控管安全上的問題。

或許您會問，有沒有搞錯？客戶花了錢租用服務，還要自己管好安全的問題？

事實上，如果雲端服務供應商所提供的服務模式是屬於IaaS(基礎架構即服務)，這其實是有一些道理的。讓我們先回頭來看到底什麼是IaaS？

根據NIST的定義，所謂的IaaS具有以下特徵：

用戶可使用的是雲端服務供應商所提供的處理、儲存、網路及其他基礎的運算資源
用戶可隨意部署和執行軟體，包括作業系統和應用程式
用戶不必管理或控制底層的雲端基礎設施，但是擁有對作業系統、儲存和部署應用程式的控制，以及管控有限制的網路組件(ex.主機防火牆等)

從以上特徵來看，若客戶能夠自行管控作業系統和應用程式部署，那麼和它有關的安全問題，實際上Amazon是管不到的，也就是說像是因為主機沒有上patch，或是所採用的應用程式本身有漏洞，而造成相關的資安事件，恐怕使用者端的責任會大一些。

Amazon在文件中指出，只要是將IT基礎架構搬移到Amazon所提供的環境，那麼客戶與Amazon之間就具有所謂的「責任分享模式(Shared Responsibilty model)」，也就是說，客戶也必須分擔從主機作業系統、應用程式、虛擬層的相關責任，尤其像是在虛擬環境中的guest OS的安全更新、其他相關的應用軟體，以及Amazon所提供的防火牆設定，客戶需要小心思考所採用的服務，其相對所具有的安全責任和法規問題。

若以生活中的狀況來舉例，我們可以把Amazon想成是一棟出租大樓的管理者，它將大樓中許許多多的辦公室出租給使用者，管理者主要是負責大樓結構是否堅固耐用，並提供基本的水電等基礎設施服務。管理者可以在租約中告知，使用者必須要負責自身辦公室的門禁安全，還有辦公室中的一切行為，必須要合乎法規的要求，不可從事違法的事項。

因此，如果有人常常離開辦公室忘了關門，或是有閒雜人等進出也不在意，結果發生了竊盜的事件，那麼責任應該要由誰來負責呢？

或許您還會問，那管理者都沒有任何責任嗎？其實還是有的，我們可以要求管理者在大樓走道間安裝監視器，並協助調閱出事當天的影像，不過，如果使用者還是輕忽安全的問題，那麼管理者的作為還是鞭長莫及的，所以，對於租用雲端服務可能面臨的安全問題和責任，請使用者務必要三思了。

<參考資料>

[提醒] 小心針對Mac的惡意程式-MacDefender

Thu, 02 Jun 2011 04:13:00 +0000

正所謂樹大招風，隨著蘋果系列電腦在全球的熱賣，一向不太容易中毒的Mac OS X作業系統，也出現了特別針對它的惡意程式，目的是想要騙取使用者的個資和金融資料。

最近出現的「MacDefender」是個偽造的防毒軟體，當使用者瀏覽到某些網站時，它會突然跳出一項訊息，告訴使用者電腦已感染了病毒，需要安裝此一防毒軟體來協助解毒。

但是事實上，這個假防毒軟體才是真病毒，它的目的是獲得使用者的信用卡資料，然後再利用它去進行其他的詐騙行為。

目前，除了MacDefender之外，它還有其他的化名，像是MacProtector和MacSecurity等也都是惡意程式，主要的攻擊對象包括OS X 10.4 ~ OS X 10.6，至於預防的方法是遇到有這樣的訊息通知時，就請大家趕快先關閉瀏覽器，如果瀏覽器已經自動下載這個惡意軟體，並且進行安裝時，請記得馬上取消安裝，也不要輸入電腦的使用者或管理者密碼，然後就趕快把這個安裝檔案拖到垃圾筒丟掉囉。

萬一您已經不小心裝了這個惡意軟體，那麼最好不要提供任何的信用卡或金融資訊，然後盡快將它移除，移除的步驟，可參考以下apple網頁的說明。

至於先前提到瀏覽器自動下載的問題，因為apple的Safari瀏覽器，預設在下載完成後，就會自動開啟它認為安全的檔案，像是JPG、PDF等，所以為了避免可能執行到惡意的程式，建議大家把這個功能關閉，方法很簡單，請打開Safari的「偏好設定」，然後選擇「一般」的頁面，再把「將下載完成後自動開啟"安全的"檔案」的選項，取消勾選即可。

[參考資料] 如何避開或移除 Mac Defender 惡意軟體

[提醒] 假AppStore，真Spam

Sun, 22 May 2011 14:45:00 +0000

隨著iPhone和iPad在全球的熱賣，相信許多人都已經加入成為蘋果一族，而且願意花費數美元不等的金錢來購買有趣或實用的App小軟體。當然，一些惡意人士更不會錯過這個大好機會，也搭上了這班順風列車，藉此來散布垃圾郵件或廣告連結。

最近我就收到一封看似來自Apple AppStore的信，信件主旨是「ID:9406-02708 Apple AppStore Order Notify」，內容則是通知我的訂單被取消了，若要欲知詳情的話，可以點選它附上的「order status」連結來進行查詢。

只是最近我根本沒有購買app，所以直覺懷疑這是一封詐騙郵件，不過我相信，有許多無辜的民眾可能會上當，因為它偽造的內容，看起來蠻像一回事的，發信人看起來是來自Apple AppStore，收件人也是自己的信箱無誤，至於內容方面只是單純的通知，主要的破綻是它附上的連結網址根本就是和apple八竿子打不著的網站。

此外，簡單分析了一下郵件的標頭，發現這封信的退信地址被亂填為IBM，發信來源則是一家英國公司，更可確定這不會是apple的官方郵件。

幸好，Gmail已主動的將它標示為垃圾郵件，所以提醒大家也就不要好奇地再去點選它，以免電腦感染不必要的惡意程式囉~

[調查] 2011年全球資訊安全人員大調查

Thu, 05 May 2011 08:05:00 +0000

由(ISC)2與Frost & Sullivan市調公司合作，所進行的2011全球資訊安全人員大調查已經公布，共有10413位來自世界各個產業與組織的資安專業人員參與，這項調查的結果，將有助於組織發現在未來可能面臨的主要安全威脅，以及資安人員所需要具備的專業技能，讓組織可以降低在資訊安全方面的風險。

這項調查提到了幾項主要的發現，簡要說明如下：

應用程式的弱點是組織面臨的首要威脅 - 有超過20%的資安專業人員認為這項威脅主要和軟體開發過程有關。

行動裝置是組織第二個要因應的安全問題 - 儘管大多數的組織都已有了安全政策和工具可因應這項威脅。

明顯的專業技能差距將危及資安人員在未來可以防護組織的能力 - 許多新技術的部署(例如雲端運算和虛擬化技術)，抵銷了相關人員在獲得更多有關新技術安全訓練的要求。

資訊專業人員已度過了經濟衰退的危機 - 有3/5的人表示在2010年都有獲得加薪，尤其是亞太地區和2007年的調查相比，成長幅度最多。(註：亞太地區資安人員的薪水相對是最低的~~)

雲端運算描繪出在技術部署和所需要的安全技能之間的落差 - 有超過50%的人指出已經建置了私有雲，也有40%的人提到已採用軟體即服務(SaaS)，但有超過70%的人強調需要一些新的安全技能，才可以去適當防護基於雲端的技術。

開發中國家顯現了更多經驗成長和學習的工作機會 - 平均來說，和已開發國家的人員相比，開發中國家的人員只少了兩年的經驗，也花了更多的時間在安全管理，較少將時間用在處理內部安全問題上面。

資訊安全工作機會將持續地成長 - 2010年的調查估計，全球有228萬的資訊安全專業人員，預估在2015年將成長至420萬人左右。

[參考資料] 2011 (ISC)² Global Information Security Workforce Study

[閒聊] 做資安，讓我們一起Nike Nike!!

Sat, 28 Nov 2009 05:10:00 +0000

在今年年初的時候，和雜誌社的編輯朋友談起，受到全球金融風暴的影響，大多數企業都會節省支出，藉此渡過不景氣的寒冬。

「那麼原本預算就不多的資安工作，這時候究竟該怎麼辦呢？」他問。因此，也就醞釀了這一篇「談企業如何省錢做資安」的文章。

其實我相信所談的內容，大多數的管理人員都知道，只是平時缺少了動力去執行而已，這也點出了資安管理工作常犯的一項疏失，那就是「知而不行」。

例如：IT人員知道系統存有一些安全漏洞，但就是遲遲不去作更新；員工知道公司的上網安全規範，但就是不願意去遵守。

等到發生了資安事件之後，大家再來互推責任，然後隨著時間一久，一切又恢復照舊。這樣下去，想要做好資安，往往只是白費功夫。

到了年底，如果你負責的資安工作，還在原地踏步的話，那麼也該加緊腳步了。套用一句以前老師常用來勉勵學生的話，那就是做事學習都要記得「Nike Nike」，做資安，當然也要讓我們一起「Just do it~!!」。

[閒聊] 網路世界，你想要有多安全？

Mon, 09 Nov 2009 05:07:00 +0000

曾經和一位對病毒很有研究的專家朋友聊天，提到現在許多變種的木馬和加殼病毒真是厲害，往往令人防不勝防，因此對於防毒公司來說，並不會花太多工夫在加強病毒的偵測技術上，大多只能專注在處理當下廣泛散佈的病毒，並且盡快地更新特徵在病毒碼中，提供給使用者下載更新。

如果你是個經常中樂透的幸運兒，又剛好碰上了只有幾個人才有緣相見的木馬，若想要尋求防毒公司提供解藥，個人猜想他們應該是不太會搭理你的問題。

從事資安這一行，經常被問到的一件事就是：哪一套防毒軟體最有效？到底是紅牌、黃牌，還是綠牌好？回答這一類問題，對於非常認真的朋友，我會提供一些國外的測試報告給他，請他參考數據分析的結果；如果只是隨口問問的人，我的答案通常會是，只要挑市面上有聽過的大廠牌就可以囉。

至於那些對防毒軟體效果本就心存疑慮的人，我會試著提醒他們說，基本上防毒軟體並不能完全解決未知的病毒，預多只能協助你清除掉目前普遍傳染的病毒。換句話說，安裝防毒軟體有點像是雨天撐傘一樣，你不撐鐵定會淋得一身溼，若撐了傘的話，至少重點部位還是有保障的。

專家朋友說：「萬一電腦中了毒真的找不到解藥，那乾脆就不要解了，當作得個小感冒，可以強身；不過，偶爾感冒一下沒關係，千萬要懂得去避免大病纏身，才不會一病不起。」我倒蠻喜歡這個說法，當然，這並不是說中了毒之後就別管它了(小心傳染給親朋好友時會被追殺)，而是提醒大家真的不必太過執著，萬一解不了病毒，還可以選擇其他的方法，例如把硬碟格式化後重灌系統，這樣可能會有損失但也可順利重生。

每次講資訊安全的第一堂課時，我總是會提醒來參加的朋友說：「網路世界裡沒有百分之百的安全。」也就是說，資安風險是不太可能完全消除的，所以在我們的生活中，只能盡力尋找各種風險應對之道，回到資安的行話就是，對於風險要事先尋求適當的控制措施，萬一事件還是不幸發生了，那就選擇能夠接受的處理方法，並作為下一次努力改善的目標。

關於危機的應對，我記得有個不錯的例子，那是雲門舞集創辦人林懷民在排練場火災事故發生之後，接受媒體的訪問時談到：「大火時我為何能夠從容面對，因為在那個當下你什麼都做不了，半夜二點大火，我三點多就趕到了，看到現場真的覺得無能為力，所以乾脆就坐下來抽煙，但是我心裡想，在大火的隔天，我們一定要照常開工。」

所以，面對網路上的風險，與其害怕得因噎廢食，倒不如做好該有的防備，然後選擇從容應對。

[簡報] 從資料外洩談DLP解決方案

Mon, 02 Mar 2009 04:03:00 +0000

雖然大環境仍處於不景氣的狀態，但資安工作卻是疏忽不得。根據資安廠商的預測，2009年防治資料外洩的產品，仍是企業規劃導入的重點項目之一。

在資料外洩方案中，最熱門的就是DLP相關產品，它在2008年時各家廠商就已經推出，但由於架構過於龐大複雜，部署起來並不是那麼的容易，因此事前的評估與規劃就顯得更為重要。

以下簡報內容，將協助你快速了解DLP的幾項特點，以及導入時的注意事項。

Data security from jackforsec

[簡報] 從資料外洩談行動裝置管理

Tue, 24 Feb 2009 12:48:00 +0000

資料外洩是近年來在資安領域中，相當熱門的話題，無論在國內或國外，資料外洩的事件層出不窮，對企業造成了營運的損失，對民眾更造成了隱私的傷害。

以下簡報內容是我曾講授的課題之一，討論有關行動裝置的資安管理，可以搭配上一篇文章一併閱讀，提供給有興趣的朋友作為參考。

Mobile security from jackforsec

[學習] 成為資安人的學習之路

Thu, 12 Feb 2009 08:32:00 +0000

經濟不景氣，許多人選擇充實自己，以便能在工作崗位上有所發揮，或是準備尋求更好的職務。如果您從事的是資訊相關工作，那麼在此時，多多補充些資訊安全專業知識，對您來說一定會有所幫助。

針對資安學習，我曾經講授過一堂課，對於資安人員的角色與職責、應具備之專業能力，以及資安相關證照，作了簡單說明。如果您對於資安工作有興趣，或是想考取資安相關證照，歡迎您參考以下簡報內容。

Security training from jackforsec

[說明] 學習與分享

Mon, 09 Feb 2009 03:23:00 +0000

學習資訊安全是條漫漫長路，在這裡，將個人的學習心得和所見所聞，與有志一同的朋友們分享，也竭誠歡迎您的參與和回應。