雲端時代,光靠密碼就能保護帳號安全,你確定嗎?

評論
Photo credit: Pixabay
Photo credit: Pixabay
評論

 

Photo credit: Pixabay

免費報名 2 月 8 日【「勒索」威脅無所不在:雲端時代的資安防護之道】思科線上研討會
報名網址(點選「註冊」填寫報名資料即完成報名)

存放在雲端的資料不一定真的安全,駭客往往利用人性弱點或下意識的直覺進行誘騙,思科建議個人或企業建立 API 型防護機制,步驟式地抵禦威脅、保護雲端資料。

還記得 2014 年上百位好萊塢女星因 iCloud 被駭而私密照外流的事件嗎?但別以為你不是明星就不用擔心這樣的事,如果有天是你工作上的資料,或是你的個資被有心人竊取呢?

雲端工作 現在已經成為主流,而擁有龐大用戶帳號的網路平台或雲端空間,現在也同樣成為駭客鎖定的目標。例如  Yahoo 在去年承認 2013 年時有 30 億用戶的帳戶都受到安全漏洞的影響;而廣受喜愛的 Dropbox,也在之前因為 帳密外洩 而差點關門大吉。

2017 年底 Google 公布 研究結果 ,分析黑市帳號綁架者最常見的手法是第三方外洩攻擊、網路釣魚 郵件及鑑盤側錄工具,其中因第三方外洩攻擊而曝光的 Google 帳密高達 33 億個,顯見駭客攻擊所影響的範圍持續擴大。

存放在雲端空間的資料不一定真的安全。隨著雲端技術成熟發展,第三方雲端服務應用益發便利,使用者可以隨時隨地存取 Email、將檔案和照片甚至是機密資料上傳到雲端空間,卻也帶來極大的 資安風險

一但雲端空間遭到駭客入侵,外流的資料若牽涉到商業機密,則損失非同小可。思科大中華區資安資深技術顧問林傳凱舉例,許多個人工作室和小企業主習慣將客戶資料放在雲端硬碟,而對駭客來說,雲端硬碟很容易破解。幾年前就有一家成衣廠被投訴到 165 反詐騙專線,結果發現是駭客從雲端竊取了成衣廠的客戶資料,引發問題。

Photo credit: Pixabay

此外,許多中小企業或新創公司鼓勵員工自攜手機和筆電工作,讓員工從遠端也能直接登入雲端信箱或公司所用的第三方平台。如此作法確實提高了員工效率與工作彈性,卻也讓 資安 風險更難以捉摸。林傳凱說:「企業及員工使用第三方應用程式的情況越來越多,此舉正在打破企業原有的安全邊界和防護架構。」過去還可以限制只有在辦公室內,才能存取公司資訊資產。只要管理好攜入攜出的設備,就能將企業員工納入保護傘內。「但雲端服務讓人不受時空條件限制都能任意存取,這時企業不可能在所有的渠道建立 防火牆 ,因此,更必須對所使用的應用程式做好安全控制。」

《思科 2017 年度網路安全報告》指出,一旦員工透過開放授權(OAuth)授予存取權限,這些應用程式便會觸及企業的基礎架構,讓使用者可以在企業的雲端和軟體即服務(Software as a Service, 簡稱 SaaS)平台之間自由連線。

同時,有些企業為了節省成本,往往選擇租用公有雲(Public Cloud)服務,或者自建機房私有雲(Private Cloud)與公有雲混搭,成為混合雲(Hybrid Cloud)。然而,林傳凱表示:「某些公有雲平台,只提供防火牆和基礎建設,其他的安全防護都得靠企業自己設計,但中小企業極有可能無力處理,也使得企業 IT 部門失去資安掌控權。」

林傳凱進一步解釋,,2017 年常見的 資安服務 就是「雲端存取安全中介服務(CASB)」,CASB 是針對雲端的防護機制,也就是在服務供應商和使用雲端服務的員工裝置之間,能夠加密、解密、防止資料外洩、偵測分析,並有存取控制功能的軟體服務,有效防止資料外洩。

個人及企業員工如何預防雲端資料外洩威脅,林傳凱提供幾點建議:

  1. 定期更換個人雲端帳號和密碼,不要設定瀏覽器自動儲存密碼。
  2. 定期進行資料備份。
  3. 安裝防護軟體和網路防護工具。
  4. 定期更新系統弱點和漏洞。
  5. 不要安裝不明來源應用程式,不要點擊可疑的郵件連結和附件檔案。
  6. 不要輕易使用公共場所 WiFi,非必要需使用的話,建議加 VPN 私人連線。
Photo credit: Pixabay

雲端服務為現代講求時效性的工作者帶來彈性與便利,但也代表駭客和我們站在同樣的起跑點,利用使用者容易輕忽的漏洞發動攻擊。常見的駭客攻擊手法包含引誘使用者下載假的應用程式、點擊惡意網路廣告、點擊電子郵件中的釣魚連結等,通常是針對使用者常見的使用習慣、人性弱點或下意識的直覺以進行誘騙,讓人在無意間掉入陷阱。

林傳凱分析,駭客的釣魚郵件、應用程式或網站通常都得透過 DNS(網域名稱系統),就像是一個作為入口的門牌號碼,以利進一步竊取資料。針對此點,思科針提供 Cisco Cloud Security,透過及早封鎖威脅、延伸防護、妥善防護使用者資料及應用程式,進而啟動安全的雲端應用,步驟式地抵禦威脅並保護雲端資料及應用程式。

此外,思科也提供免費的個人網址過濾工具 OpenDNS,以及企業級可以分析使用者狀況的 Cisco Umbrella 資安防護傘,用以保護使用者自動判斷出有害的網址,並分析裝置是否被植入木馬程式,透過安全網際網路閘道提供抵禦威脅的第一道防線,啟動多雲端世界中的有效資安防護。

欲了解更多當今勒索病毒與企業資安防護知識,立刻報名 2 月 8 日【「勒索」威脅無所不在:雲端時代的資安防護之道】思科線上研討會:  免費報名網址  (名額有限,額滿為止)

【「勒索」威脅無所不在:雲端時代的資安防護之道】線上研討會資訊

Photo Credit:CISCO
  • 時間:2018 年 2 月 8 日 14:00 -- 15:40 (14:00 開放登入)
  • 講題:
    -- 雲端工作成為未來主流,但也代表有更多資安漏洞產生(例如勒索軟體)
    -- 勒索軟體的侵入邏輯解說 與 一般資安防護的弱點說明
    -- 過去資安防護之所以不足的困境(隔離性不足、可視性低、複雜性高)
    -- 思科的解決方案如何解決這個困境
    -- 國內外具體案例分享
    -- 在教育、企業、醫院的應用方案
  • 講者:
    陳宗祈 思科大中華區資訊安全戰略與運營部經理
    林傳凱 思科大中華區資安資深技術顧問
    游証硯 思科大中華區資安戰略暨資深資安顧問
  • 報名網址:https://goo.gl/CqGBe1

 

延伸閱讀:

評論