雲端時代，光靠密碼就能保護帳號安全，你確定嗎？

免費報名2月8日【「勒索」威脅無所不在：雲端時代的雲端資安防護之道】思科線上研討會
報名網址：https://goo.gl/CqGBe1 (點選「註冊」填寫報名資料即完成報名)

還記得2014年上百位好萊塢女星因iCloud被駭而私密照外流的事件嗎？但別以為你不是明星就不用擔心這樣的事，如果有天是時代你工作上的資料，或是光靠你的個資被有心人竊取呢？

雲端工作現在已經成為主流，而擁有龐大用戶帳號的密碼網路平台或雲端空間，現在也同樣成為駭客鎖定的護帳號安目標。例如Yahoo在去年承認2013年時有30億用戶的全確帳戶都受到安全漏洞的影響；而廣受喜愛的Dropbox，也在之前因為帳密外洩而差點關門大吉。定嗎

2017年底Google公布研究結果，雲端分析黑市帳號綁架者最常見的時代手法是第三方外洩攻擊、網路釣魚郵件及鍵盤側錄工具，光靠其中因第三方外洩攻擊而曝光的密碼Google帳密高達 33億個，顯見駭客攻擊所影響的護帳號安範圍持續擴大。

存放在雲端空間的全確資料不一定真的安全。隨著雲端技術成熟發展，定嗎第三方雲端服務應用益發便利，雲端使用者可以隨時隨地存取Email、將檔案和照片甚至是機密資料上傳到雲端空間，卻也帶來極大的資安風險。

一但雲端空間遭到駭客入侵，外流的資料若牽涉到商業機密，則損失非同小可。思科大中華區資安資深技術顧問林傳凱舉例，許多個人工作室和小企業主習慣將客戶資料放在雲端硬碟，而對駭客來說，雲端硬碟很容易破解。幾年前就有一家成衣廠被投訴到165反詐騙專線，結果發現是駭客從雲端竊取了成衣廠的客戶資料，引發問題。

Photo credit: Pixabay

此外，許多中小企業或新創公司鼓勵員工自攜手機和筆電工作，讓員工從遠端也能直接登入雲端信箱或公司所用的第三方平台。如此作法確實提高了員工效率與工作彈性，卻也讓資安風險更難以捉摸。林傳凱說：「企業及員工使用第三方應用程式的情況越來越多，此舉正在打破企業原有的安全邊界和防護架構。」過去還可以限制只有在辦公室內，才能存取公司資訊資產。只要管理好攜入攜出的設備，就能將企業員工納入保護傘內。「但雲端服務讓人不受時空條件限制都能任意存取，這時企業不可能在所有的渠道建立防火牆，因此，更必須對所使用的應用程式做好安全控制。」

《思科2017年度網路安全報告》指出，一旦員工透過開放授權（OAuth）授予存取權限，這些應用程式便會觸及企業的基礎架構，讓使用者可以在企業的雲端和軟體即服務（Software as a Service, 簡稱 SaaS） 平台之間自由連線。

同時，有些企業為了節省成本，往往選擇租用公有雲（Public Cloud）服務，或者自建機房私有雲（Private Cloud）與公有雲混搭，成為混合雲（Hybrid Cloud）。然而，林傳凱表示：「某些公有雲平台，只提供防火牆和基礎建設，其他的安全防護都得靠企業自己設計，但中小企業極有可能無力處理，也使得企業IT部門失去資安掌控權。」

林傳凱進一步解釋，，2017 年常見的資安服務就是「雲端存取安全中介服務（CASB）」，CASB是針對雲端的防護機制，也就是在服務供應商和使用雲端服務的員工裝置之間，能夠加密、解密、防止資料外洩、偵測分析，並有存取控制功能的軟體服務，有效防止資料外洩。

個人及企業員工如何預防雲端資料外洩威脅，林傳凱提供幾點建議：

1、定期更換個人雲端帳號和密碼，不要設定瀏覽器自動儲存密碼。

2、定期進行資料備份。

3、安裝防護軟體和網路防護工具。

4、定期更新系統弱點和漏洞。

5、不要安裝不明來源應用程式，不要點擊可疑的郵件連結和附件檔案。

6、不要輕易使用公共場所WiFi，非必要需使用的話，建議加VPN私人連線。

Photo credit: Pixabay

雲端服務為現代講求時效性的工作者帶來彈性與便利，但也代表駭客和我們站在同樣的起跑點，利用使用者容易輕忽的漏洞發動攻擊。常見的駭客攻擊手法包含引誘使用者下載假的應用程式、點擊惡意網路廣告、點擊電子郵件中的釣魚連結等，通常是針對使用者常見的使用習慣、人性弱點或下意識的直覺以進行誘騙，讓人在無意間掉入陷阱。

林傳凱分析，駭客的釣魚郵件、應用程式或網站通常都得透過DNS（網域名稱系統），就像是一個作為入口的門牌號碼，以利進一步竊取資料。針對此點，思科提供Cisco Cloud Security，透過及早封鎖威脅、延伸防護、妥善防護使用者資料及應用程式，進而啟動安全的雲端應用，步驟式地抵禦威脅並保護雲端資料及應用程式。

此外，思科也提供免費的個人網址過濾工具OpenDNS，以及企業級可以分析使用者狀況的Cisco Umbrella資安防護傘，用以保護使用者自動判斷出有害的網址，並分析裝置是否被植入木馬程式，透過安全網際網路閘道提供抵禦威脅的第一道防線，啟動多雲端世界中的有效資安防護。

欲了解更多當今勒索病毒與企業資安防護知識，立刻報名2月8日【「勒索」威脅無所不在：雲端時代的資安防護之道】思科線上研討會，免費報名網址：https://goo.gl/CqGBe1 (點選「註冊」填寫報名資料即完成報名，名額有限，額滿為止)

【「勒索」威脅無所不在：雲端時代的資安防護之道】線上研討會資訊

• 時間：2018年2月8日 14:00 - 15:40 (14:00開放登入)
• 講題：

- 雲端工作成為未來主流，但也代表有更多資安漏洞產生（例如勒索軟體）
- 勒索軟體的侵入邏輯解說 與 一般資安防護的弱點說明
- 過去資安防護之所以不足的困境（隔離性不足、可視性低、複雜性高）
- 思科的解決方案如何解決這個困境
- 國內外具體案例分享
- 在教育、企業、醫院的應用方案

• 講者：

陳宗祈 思科大中華區資訊安全戰略與運營部經理
林傳凱 思科大中華區資安資深技術顧問
游証硯 思科大中華區資安戰略暨資深資安顧問

• 報名網址：https://goo.gl/CqGBe1 (點選「註冊」填寫報名資料即完成報名)