行動裝置、巨量資料、社交媒體以及雲端服務已經成為駭客覬覦的目標，新的威脅手法也將推陳出新，接下來就來看看業界專家們對於2013年在網路與資訊安全領域的趨勢發展觀察，以及對企業提供哪些資安防範建議。
掌握組織風險、確保資料安全已經成為多數企業每年規劃時的重點目標，過去一年當中，企業或多或少都已聽聞過一些嚴重的駭客攻擊和破壞事件。2013年，這場攻擊者和企業之間的資安攻防戰仍會持續不斷。有鑑於此，為保護企業的資訊安全，必須掌握駭客所使用的方法以及不斷變化的策略。
在這次的訪談中，許多業界專家不約而同表示，資安攻擊手法將會更為複雜精細，再加上行動裝置、巨量資料、社交媒體以及雲端服務都成為駭客覬覦的目標，新的威脅手法也將推陳出新，未來一年可預見的網路安全威脅和趨勢也將圍繞這些議題打轉，接下來就來看看業界專家們對於2013年在網路與資訊安全領域的趨勢發展觀察，以及對企業提供哪些資安防範建議。
惡意軟體手法翻新
 |
| ▲賽門鐵克首席技術顧問張士龍指出，網路犯罪雖然不是一個新的議題，但是技術面不斷翻新，預期今年勒索軟體將成為很常見的網路欺詐手段。 |
隨著「假冒防毒軟體」攻擊的減少，一種更惱人的新模式攻擊「勒索軟體」（Ransomware）正在湧現。勒索軟體不僅於詐騙受害者，還會進行威脅恐嚇，且更具破壞性，駭客除了利用線上支付方式進行詐騙取得金錢，更會使用恐嚇方式威脅受害者付款。以最近被發現的一項利用Java漏洞並且整合詐騙的手法為例，駭客利用Java存在的漏洞，並且結合惡意程式，進入到企業系統中，以類以綁架的手法對電腦資訊進行勒索，例如把系統鎖住等，當使用者希望解開時，就必須支付一些贖金，如此一來，惡意程式便能藉以牟利。
賽門鐵克首席技術顧問張士龍指出，網路犯罪雖然不是一個新的議題，但是技術面不斷翻新，預期今年勒索軟體將成為很常見的網路欺詐手段。「目前這項發展還是以一般的個人電腦或伺服器為目標居多，行動裝置雖然還不多見，但隨著行動裝置愈來愈受歡迎，漏洞勢必也會愈來愈多，因此不排除有這個發展的可能性，但是這種透過網路詐騙的方式或網路犯罪的勒索軟體，目前看起來將會非常流行。」
經社交網路詐取個資
 |
| ▲Check Point台灣區技術顧問吳炳東指出，透過社交網路進行攻擊，以取得個資的案例將愈來愈多。 |
此外，透過社交網路進行攻擊，以取得個資的案例將愈來愈多。Check Point台灣區技術顧問吳炳東指出，過往駭客的手法可能是打電話給總機，並要求將電話轉接給某位員工，只要這通電話有顯示來電號碼，看起來就像是來自於公司內部一樣。然而，現在，這些手法再也不需要了，因為許多網路詐騙者所需要的詳細資料已被貼在社群網路上，只要一個看起來有說服力的公司或個人檔案經由朋友的要求連接時，便足以讓一個詐騙社群引擎運作。
因此，他也建議使用者，當任何一個連結出現邀請點選時，即使對要求者很熟悉，也要保持高度警戒，最好是經過確認後再點選較為妥當。
APT攻擊持續擴大
雖然APT攻擊已經不是新聞，但這項攻擊在2013年仍會持續擴大與發展。儘管企業對於APT攻擊會愈來愈警覺，但對駭客而言APT仍是利益所在，也會加強研發攻擊的方法。
趨勢科技業務部資深經理吳韶卿分析，由於APT的攻擊行為原就低調，因此，不少被攻擊的企業並沒有意識到已經被攻擊了，目前以台灣的現況來看，反而是公部門比較有資安意識，原因便在於公部門內部有些稽核單位，不管從網路層面或系統層面，都可以即時將攻擊的狀況回報給主管機關，因此警覺意識相對較高，現今的問題還是在於如何防範、應該怎麼做、能不能有效執行等實際作為上。
「反觀，私人企業對於APT的敏感度就不一樣，有些企業會比較重視，有些則不會，例如同是銀行業，有些人會認為這是一個很大的威脅，但有些就沒有意識到安全層面的風險，這就不是很一致。」他提到，2013年，APT攻擊會加深其廣度與深度，而且可能有更多的駭客及不法組織會持續投入，企業應該將防禦APT威脅列為資安規畫重點。
行動應用安全性堪憂
根據賽門鐵克安全機制應變中心發布最新惡意程式Android.Exprespam分析，這項惡意程式鎖定Android使用者，並企圖竊取個人資訊。
Android.Exprespam在2013年一月初被發現，僅短短數週此惡意程式便已有不少斬獲。這份分析內容顯示，名為「Android Express’s Play」的假冒應用程式商店在一週內吸引超過3,000次的造訪，可能遭竊的個人資料達7萬5千筆至45萬筆。
賽門鐵克首席技術顧問張士龍提到，行動裝置的惡意程式不斷地竄出，幾乎每一周都有新事件發生。過去一年，惡意程式的數量愈來愈多，但絕大多數還是在個人電腦或筆記型電腦上出現，在行動裝置上出現的惡意程式大概僅有35萬個，但預估，在2013年這個數字可能有數倍的成長，甚至會破百萬，成長量相當大。
「行動裝置上惡意程式的殺傷力，將可以直逼過去在個人電腦或筆記型電腦的程度。行動裝置的安全是企業必須更嚴謹看待的項目。」他解釋，這項觀察的立基點在於，眾多的使用者對於網路犯罪或多或少都已經有所意識，因此，普遍會在個人電腦或筆記型電腦上安裝防毒軟體等防範機制，但是現在的使用者對於行動裝置安全的防範意識較低，再加上現在的行動裝置有可能是企業配送，但也有可能是員工自行購置攜帶，因此，安全性更需被考量。
「我們會建議，從兩個面向來規範，一是當行動裝置連線到網路系統，準備連到公司網路時，應該有些檢查的機制，直接透過Remote Agent的方法來檢查這台目前的狀況。」張士龍繼續說明，其二是針對APP也要做些保護。當企業要推動行動裝置，如何確保員工拿到APP裡的重要資料而不會外洩，或資料詐騙不當的使用？最好是針對APP進行安全的管控機制，像是透過MAM來加強APP的使用安全。例如誰可以登入、誰能使用、誰不能複製貼上等等，透過工具或解決方案來降低行動裝置可能遭遇到的風險。