<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; vertical-align: top; color: rgb(51, 153, 255);">1205-1211一定要看的資安新聞</strong></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>＃Linux安全</strong></span></h3>
<h2><strong>Linux漏洞將允許駭客挾持VPN連線</strong></h2>
<p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖1）linux漏洞CVE-2019-14899_圖片來源Seclists_org.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89linux%E6%BC%8F%E6%B4%9ECVE-2019-14899_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Seclists_org.jpg" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Seclists.org</span></p>
<p>新墨西哥大學的幾名資安研究人員發現，大多數Linux版本都含有編號為CVE-2019-14899的安全漏洞，這個弱點將允許駭客挾持VPN連線，目前波及眾多基於Linux與Unix的作業系統，涵蓋Android、iOS、macOS、Ubuntu、Fedora、Debian、Arch、Manjaro、Devuan、MX Linux 19、Void Linux、Slackware、Deepin、FreeBSD與OpenBSD等。除了作業系統之外，研究人員也在不同的VPN服務上測試該漏洞，結果顯示，不論是OpenVPN、WireGuard或IKEv2/IPSec，都會受害。研究人員William Tolley建議，用戶可啟用反向路徑過濾機制，並執行加密封包，以執行暫時性的補救。<a href="https://www.ithome.com.tw/news/134652"><span style="color:#A9A9A9;">更多內容</span></a></p>
<h3> </h3>
<h3><span style="color:#B22222;"><strong>＃資安預測</strong></span></h3>
<h2><strong>地緣政治風險加劇，IDC預測將促使資安在地化發展</strong></h2>
<p>年底將至，不少業者開始公布新一年度的市場觀察，在12月5日，研究機構IDC發布最新的臺灣ICT市場十大趨勢預測。其中關於資安產業的面向，他們指出，「地緣政治風險加劇，持續驅動資安在地化」的新趨勢，預期到了2022年，將有4成比例高速發展數位基礎建設的國家，走向資安在地化，以確保經濟發展的穩定性與國家安全。隨著近年的國際局勢轉變，他們認為，臺灣除了要持續強化關鍵技術自主布局，以及資安人才培育，在特殊的政治經濟背景之下，將有望發展出獨特的資安產業優勢。對於更多未來的資安方面預測，在前一年度的IDC的十大預測中，他們曾表示，在2024年資安管理服務市場中，全球將有9成的客戶採用威脅生命週期管理（Threat Life-Cycle Management）服務，並預期資安管理服務仍將是臺灣資安市場成長的重要驅動力。<a href="https://www.idc.com/getdoc.jsp?containerId=prAP45709319"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>＃勒索軟體</strong></span></h3>
<h2><strong>美國資料中心供應商CyrusOne也成勒索軟體受害者</strong></h2>
<p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖4）CyrusOne遭勒索軟體攻擊_圖片來源擷取自CyrusOne官方網站.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89CyrusOne%E9%81%AD%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AACyrusOne%E5%AE%98%E6%96%B9%E7%B6%B2%E7%AB%99.jpg" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自CyrusOne</span></p>
<p>在12月5日，美國知名資料中心供應商CyrusOne證實，該公司位於紐約的資料中心遭到勒索軟體攻擊。他們在全球共有45個資料中心，其中有10個位於美國。這次受影響的是紐約資料中心的管理服務，因為勒索軟體而被加密了特定裝置，並波及了他們的6家客戶。至於該公司的資料中心託管服務，包括IX及IP Network服務都未受害。目前CyrusOne還在調查中，並未公布細節，但率先報導的ZDNet則說CyrusOne所感染的是勒索軟體是Sodinokibi。在此之前，今年8月牙醫診所備份公司Digital Dental Record也是感染這支勒索軟體，資安業者Cybereason甚至推測Sodinokibi將成為GandCrab後，下一個全球感染力最強的勒索軟體。<a href="https://www.ithome.com.tw/news/134717"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>＃APT攻擊</strong></span></h3>
<h2><strong>BMW與現代汽車遭越南駭客鎖定</strong></h2>
<p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖4）越南駭客鎖定汽車產業攻擊_圖片來源擷取自BR官方網站.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E8%B6%8A%E5%8D%97%E9%A7%AD%E5%AE%A2%E9%8E%96%E5%AE%9A%E6%B1%BD%E8%BB%8A%E7%94%A2%E6%A5%AD%E6%94%BB%E6%93%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AABR%E5%AE%98%E6%96%B9%E7%B6%B2%E7%AB%99.jpg" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自BR</span></p>
<p>最近德國媒體Bayerischer Rundfunk披露，有一個可能是由越南政府支持的駭客集團OceanLotus，正嘗試入侵全球的汽車產業，目的是竊取智慧財產，包括BMW與現代汽車（Hyundai）都是受害者。報導指出，OceanLotus從今年3月發動攻擊，在BMW的電腦系統上安裝了Cobalt Strike的滲透工具──這是一款提供滲透測試與紅隊演練人員使用的工具，只是最近這幾年經常受到駭客的青睞。BMW直到最近才發現，內部網路藏有Cobalt Strike。不過該公司表示，駭客尚未進入BMW的核心系統，而現代汽車則尚未對此回應。<a href="https://www.ithome.com.tw/news/134707"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>＃系統安全 ＃無檔案攻擊</strong></span></h3>
<h2><strong>北韓駭客發展出Mac環境的無檔案攻擊程式手法</strong></h2>
<p class="rteright"><a href="/sites/default/files/images/（圖2）北韓駭客發展出Mac版無檔案攻擊程式手法_圖片來源Dinesh_Devadoss's Twitter.jpg"><img alt="" src="/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E5%8C%97%E9%9F%93%E9%A7%AD%E5%AE%A2%E7%99%BC%E5%B1%95%E5%87%BAMac%E7%89%88%E7%84%A1%E6%AA%94%E6%A1%88%E6%94%BB%E6%93%8A%E7%A8%8B%E5%BC%8F%E6%89%8B%E6%B3%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Dinesh_Devadoss's%20Twitter.jpg" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自Dinesh Devadoss's Twitter</span></p>
<p>研究人員表示，最新他們觀察到的木馬程式，顯示北韓駭客也逐漸學習新技巧，透過無檔案攻擊手法增加匿蹤的能力。上週，研究人員Dinesh_Devadoss發現一隻Mac木馬程式名為UnionCrypto的樣本，研判來自北韓駭客組織Lazarus Group，而該惡意樣本一開始在VirusTotal的57個防毒引擎中，只有2個將它判斷為可疑程式。另一研究人員Patrick Wardle也指出，Lazarus Group經常對macOS下手，但這次攻擊展現的高明手法，卻是前所未見，Unioncrypto不只是在加密交易App注入木馬程式，特別的是，可直接在記憶體寫入與執行惡意程式碼。<a href="https://www.ithome.com.tw/news/134748"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>＃雲端存取安全</strong></span></h3>
<h2><strong>強化雲端存取安全，AWS宣布加強與簡化S3的存取控管</strong></h2>
<p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖5）AWS_S3 Access Point_李宗翰攝.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89AWS_S3%20Access%20Point_%E6%9D%8E%E5%AE%97%E7%BF%B0%E6%94%9D.jpg" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／李宗翰攝</span></p>
<p>在今年的re:Invent大會上，AWS執行長Andy Jessy在大會第二天的主題演講當中，宣布推出S3 Access Points的功能，可簡化應用程式對於S3資料存取方式的管理，用戶可以更容易管理S3環境當中每個儲存桶（bucket）的數百個存取點，針對應用程式自定名稱與存取權限許可，這麼一來，不只是為共用資料集的存取提供新的方法，針對共享S3資料桶存取方法的建立與維護，也能更為便利。在存取控管政策的制定上，S3 Access Points能讓用戶透過前置字元和物件標籤來強制施行許可，因此可限制物件資料的存取。而且，這項功能可將S3資料存取的範圍，局限在AWS的VPC到防火牆之間，而當中提供的Service Control Policies，也能用於確保所有存取點都在限用的VPC當中。<a href="https://www.ithome.com.tw/news/134688"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>＃安全更新漏洞</strong></span></h3>
<h2><strong>駭客釋出工具以免費使用Windows 7的延伸安全更新</strong></h2>
<p>微軟即將在明年的1月14日，終止對Windows 7的支援，若要持續取得該作業系統的安全更新，則必須額外購買延伸安全更新（Extended Security Updates，ESU），不過，有駭客在MyDigitalLife論壇上釋出了一項BypassESU工具，安裝後就能繞過系統對ESU授權的檢查，讓Windows 7用戶可免費取得延伸安全更新資格。不過，這個工具顯然是違法的，外界也猜測，在BypassESU曝光之後，微軟很快就會修補這個臭蟲。<a href="https://www.ithome.com.tw/news/134745"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>＃個資外洩</strong></span></h3>
<h2><strong>75萬筆的美國出生證明申請書在AWS上曝光</strong></h2>
<p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖3）birth-certificates_圖片來源Techcrunch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89birth-certificates_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90Techcrunch.jpg" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／Techcrunch</span></p>
<p>資安業者Fidus Information Security與媒體TechCrunch，在12月10日共同揭露一起AWS上的資料外洩事件。他們發現一個不需密碼就能存取的儲存體，存放了75.2萬筆的美國出生證明申請文件，似乎是某家私人公司所擁有。這些文件內容包含了申請人的名字、生日、地址、電子郵件、電話號碼、家庭成員名字，以及申請理由，同時，也包含9萬筆的死亡證明申請書。此外，這是經常更新的資料庫，在一周內就新增了9,000筆的申請文件。他們曾經聯繫該業者，但一直未收到回應，只好通知AWS代為轉達，同時也聯繫了當地的資料保護機關。<a href="https://www.ithome.com.tw/news/134734"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color:#B22222;"><strong>＃釣魚網站 ＃社交工程</strong></span></h3>
<h2><strong>詐騙集團假冒國內企業與機關網站事件不斷，近期中華郵政、鉅亨網與經濟部相繼發出警告</strong></h2>
<p class="rteright"><a href="https://s4.itho.me/sites/default/files/images/（圖8）詐騙集團假冒網站事件不斷中華郵政經濟部接連提出警告_圖片來源擷取自經濟部.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%968%EF%BC%89%E8%A9%90%E9%A8%99%E9%9B%86%E5%9C%98%E5%81%87%E5%86%92%E7%B6%B2%E7%AB%99%E4%BA%8B%E4%BB%B6%E4%B8%8D%E6%96%B7%E4%B8%AD%E8%8F%AF%E9%83%B5%E6%94%BF%E7%B6%93%E6%BF%9F%E9%83%A8%E6%8E%A5%E9%80%A3%E6%8F%90%E5%87%BA%E8%AD%A6%E5%91%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90%E6%93%B7%E5%8F%96%E8%87%AA%E7%B6%93%E6%BF%9F%E9%83%A8.jpg" style="width: 220px; float: right;" /></a><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／擷取自經濟部</span></p>
<p>最近半個月來，企業收到民眾通報釣魚網站並發出警告的案例增加，從11月中旬到12月初，中華郵政、鉅亨網與經濟部接連發出公告，表示出現假冒公司網站與名義的情況，各自提醒民眾或用戶不要受到釣魚網站詐騙個人資料與敏感資訊。例如，中華郵政在11月15日發出警告，指出接獲民眾通報，有詐騙集團假冒中華郵政公司網頁，疑似取自公司的歷史網頁資訊，且另外嵌入了原本網頁所沒有的輸入欄位，並標示「請輸入您的手機號碼查詢包裹信息」。到了12月3日，經濟部也發出相關警告，指出有不肖份子假借經濟部名義，發送邀請招標的電子郵件，以及要求至網站登錄相關資訊。<a href="https://www.ithome.com.tw/news/134619"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h3><span style="color: rgb(178, 34, 34);"><strong>＃</strong></span><strong><span style="color:#B22222;">物聯網資安標章 </span></strong><span style="color: rgb(178, 34, 34);"><strong>＃</strong></span><strong><span style="color:#B22222;">網路攝影機 </span></strong><span style="color: rgb(178, 34, 34);"><strong>＃</strong></span><strong><span style="color:#B22222;">無線路由器</span></strong></h3>
<h2><strong>臺灣物聯網資安標章發展上軌道，已有9家業者的22款產品取得資安標準合格證書</strong></h2>
<p class="rteright"><strong><a href="https://s4.itho.me/sites/default/files/images/（圖9）臺灣物聯網資安標章成果發表會1206_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%969%EF%BC%89%E8%87%BA%E7%81%A3%E7%89%A9%E8%81%AF%E7%B6%B2%E8%B3%87%E5%AE%89%E6%A8%99%E7%AB%A0%E6%88%90%E6%9E%9C%E7%99%BC%E8%A1%A8%E6%9C%831206_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 220px; float: right;" /></a></strong><span style="color: rgb(169, 169, 169); font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; text-align: right; background-color: rgb(247, 247, 247);">圖片來源／羅正漢攝</span></p>
<p>為了強化臺灣產品在國際上的競爭力，近年由政府帶頭，推動的物聯網資安檢測認證標準，自2018年6月開始，經濟部與國家通訊傳播委員會（NCC），共同發布相關資安驗證標章制度，期望帶動臺灣產品資安水準。在這項計畫執行一年半後，在12月6日，相關單位舉辦了物聯網資安標章成果發表會，並公布目前最新的進展。其中，在物聯網資安認可實驗室方面，已經從去年底的4家增至8家，而取得標章合格的產品，更是從原本單一業者的2款產品，增至9家業者22款產品。從多家業者陸續響應的態勢來看，顯然這項資安標準的推動，正開始步上發展軌道。更重要的是，自今年12月開始，其中的網路攝影機資安產業標準，已發布成為國家標準（CNS 16120）。未來目標，期望達到國際標準相互認證。<a href="https://www.ithome.com.tw/news/134764"><span style="color: rgb(169, 169, 169);">更多內容</span></a></p>
<p> </p>
<h4><span style="color: rgb(0, 153, 255);">更多資安動態</span><br />
●<a href="https://www.ithome.com.tw/news/134601">Google與Mozilla移除過度追蹤使用者行為的Avast擴充程式</a><br />
●<a href="https://www.ithome.com.tw/news/134598">Microsoft Edge 79將強化追蹤保護且不危及相容性</a><br />
●<a href="https://www.ithome.com.tw/news/134708">報導：有人在黑市盜賣莫斯科監視器畫面</a><br />
●<a href="https://www.ithome.com.tw/news/134618">Google：8成Android程式都已加密傳輸流量</a><br />
●<a href="https://www.ithome.com.tw/news/134689">LINE資安團隊任務分工首度在臺公開！</a><br />
●<a href="https://www.ithome.com.tw/news/134676">物聯網興起，大幅帶動PKI防護需求，1/5物聯網採用HSM驗證設備資料的完整性</a></h4>
</div></div></div>
