勒索軟體、APT橫行 台灣淪為攻擊目標

「行動優先，雲端至上」世代來臨，隨著雲端服務、行動裝置、物聯網的發展，人們的生活日趨便利，但伴隨而來的勒索軟體橫行、個人機密與資訊瓢竊、資安攻擊組織化等問題，大到政府機關小至個人均無一倖免。

根據趨勢科技2016上半年資安總評報告指出，光是2016 上半年，勒索軟體（Ransomware）家族出現數量與2015年相比，成長率竟然高達172%，其攻擊範圍幾乎涵蓋所有階層的網路，且截至2016年第二季，台灣地區所偵測到的勒索病毒則有200多萬，為全亞洲第二高（22%），僅次於日本（23%）。

趨勢科技台灣暨香港區總經理洪偉淦指出，從過去4年的統計資料中發現，勒索病毒與APT（進階持續性威脅）等兩大資安攻擊日趨嚴重，台灣最常遭受APT類型攻擊的前3名為公部門（40%）、高科技產業（25%）及金融業（13%），占全體APT資安攻擊總數78%，代表著經濟含量高的產業易成為駭客首要攻擊目標。

「潛伏598天，這就是台灣企業平均遭駭客入侵潛伏的時間」，洪偉淦表示，駭客躲在企業的這1年半的日子裡，在做什麼？他們會逐一摸透企業內部網路、內部系統的漏洞，只要出現任何一個還未提供修補的零時差（Zero-day ）漏洞時，駭客就能夠在內部發動滲透，竊取機密資料，「政府機關的災情也很嚴重，平均遭駭時間670天，最久有4,174天之久」。

最新型網路攻擊防護廠商 FireEye日前亦發布一份針對亞太區的Mandiant M-Trends報告，根據數據與分析結果指出，亞太區組織機構通常缺乏基本的應變流程與計畫、威脅情報資訊、專業技術與人員，平均要520天才會發現自己遭受攻擊，比全球平均值146天高出374天，顯然亞太區組織機構通常未做好識別網路攻擊與應變處理的準備。

「台灣許多企業對於駭客攻擊可說是毫無防備」，FireEye大中華區總經理徐海國表示，台灣企業很依賴智慧財產，再加上地緣政治局勢緊張，台灣常常受到中國駭客組織攻擊，在這樣的環境之下，台灣企業必須整合相關技術、威脅情報與專業能力，以迅速偵測網路攻擊，現在再用傳統解決方案要找出攻擊者簡直是大海撈針。企業需要的是真正有用的現代化應變機制。

「缺乏頂尖資安人才與資安防禦準備不足，為企業資安環境兩大威脅」，趨勢科技網路安全策略總裁Eduardo E. Cabrera表示，有86%企業指出目前內部缺乏頂尖及具豐富經驗的資安防護人才，其中有92%的企業仍在招募專業資安人才，同時亦有83%認同網路攻擊是現今企業面臨的三大挑戰之一，但僅有38%企業表示已準備好應付資安攻擊。

Eduardo E. Cabrera也指出，每當釋出修補程式或找到解決方法時，網路犯罪集團就會變化攻擊方式，威脅與修補頻繁的進行，讓企業與個人都感到非常頭痛。企業若能假設自己可能遭到攻擊，進而預先做好準備，透過完善的資安防護策略與規範、建構資安事件偵測與即時監控機制、成立資安事件應變小組這三種以「人」為核心防護機制，輔以資安事件處理SOP，定能有效降低資安攻擊對企業造成的損失。

談談勒索軟體

談到勒索軟體（Ransomware），幾乎每個人都會談虎色變，不管是個人或是企業，一旦中招，電腦檔案馬上被加密，公司重要文件、機密、客戶資料，甚至家人、朋友的資訊都會被「上鎖」，可能就要付上一筆「贖金」，但檔案卻不一定可以完全解開！究竟要如何保護自己不受到勒索軟體的危害？而勒索軟體又是什麼？來一探究竟吧！

勒索軟體早於2005年就已經有案例存在，但在最近才開始流行，最主要有兩個關鍵，一是比特幣（ Bitcoin）的出現，讓辦案的檢警無法追蹤收款人的真實身分，也讓綁架勒索者可更方便拿到贖金；另一個則是勒索軟體利用Tor（The Onion Router）進行匿名連線與匿名隱藏服務，不斷地以跳板與變更 IP，讓被攻擊者無法追蹤其來源。

勒索軟體潛藏在網路各處，但要觸發勒索軟體還是要有特定的管道與條件，比如特定的軟體、元件版本、有無安裝 Java 或 Flash等都是「條件」，等到一切「條件」都滿足了，勒索軟體就會啟動，將檔案上鎖。

要如何避免勒索軟體「打劫」？追根究底，最重要的環節還是在「使用者的習慣」，除了要維持作業系統與安裝軟體的更新外，也要定期建立並維護離線備份（離線操作），不過，最關鍵的還是要小心來路不明的軟體與網站，陌生的檔案更不要去開啟。

對於勒索軟體，微軟提出三個不要、四個要與一沒有：

三不要

一.「不要」存取來路不明的網站，避免內建勒索軟體的網站

二.「不要」讀取來路不明的郵件，避免郵件內部含有勒索軟體

三.「不要」下載/執行來路不明的檔案、軟體，避免其中藏有勒索軟體

四要

一.「要」維持系統更新

二.「要」維持電腦上各項軟體更新

三.「要」維持電腦上安全機制運作正常以及防毒病毒碼更新

四. 「要」維持備份電腦中重要檔案於外部儲存媒體或雲端儲存空間 

一沒有

「沒有」經過更新過掃毒軟體檢測過的檔案、軟體、郵件不分享給其他人，避免自己的親朋好友受害。◇