【專題】影音部落格來勢洶洶 駭客虎視眈眈

記者／葉慧麗、陳慧綾、王雅亭、陳郁涵、林珍妮、黃威哲、莫榮歡、秋菁
(2007/01/29 AM08:25)



　影音部落格的興起，帶動部落格用戶利用視訊記錄自己的心情故事。另一方面，雖然影音部落格成為網路新趨勢，但同時也成為駭客攻擊的目標。駭客將會利用用戶瀏覽網頁時，入侵用戶端電腦並竊取資料，所以為了避免駭客和惡意程式攻擊或潛入用戶端電腦，防毒資安紛紛推出不同防護策略，已防禦惡意攻擊的入侵。

　根據創市際2006年5月最新調查顯示，目前台灣網友中，有38.7%網友擁有個人部落格，其中有12.1%網友經常性更新部落格。因此照片、影音檔案分享早已成為新網路運用趨勢，安全威脅也因而提高。根據賽門鐵克最新一期網路安全威脅研究報告指出，目前Web2.0互動式網路運用已成為市場主流，也引發新一波網路安全威脅，個人部落格是web2.0興起的代表之1。

◎各個防毒資安廠商防禦措施──使用者端伺服器防護措施

　防毒軟體卡巴斯基公司總經理張義淵表示，2006年6月開始卡巴斯基已針對影音部落格提供防護機制。首先針對使用者端, 卡巴斯基網路軟體套裝其中1個功能就是直接掃描網路連線，以確保連線中不涵網路惡意軟體、木馬、病毒等入侵。經過這階段掃描和確認後，才讓使用者安全瀏覽、使用部落格，並確保使用者在上傳影音和照片到部落格的過程中，不受惡意程式入侵或病毒的干擾。

　除此之外，部落格多數使用HTTP網路流量傳遞，而卡巴斯基最新防護技術針對所有網路流量的過程，如遇到有問題的網路流量，便可直接攔截，進而檢查流量中所有資料、檔案等。因此，病毒或惡意程式便不會隨著有問題的網路流量進入電腦。

◎各個防毒資安廠商防禦措施──架設部落格端伺服器防護措施

　張義淵透露，卡巴斯基也專門針對部落格伺服器提供防毒措施。這個軟體直接安裝在伺服器上，以檢查所有進入部落格伺服器的流量，並針對伺服器做防護措施。所有上傳、傳送的過程，將會透過ICAP通訊協定，將所有欲上傳或傳送的文件、檔案做掃描和檢測，確定無誤後再傳遞到接收端。

　無論使用者上傳任何文件、影音檔案、照片等，所上傳的所有文件、檔案都會先經過ICAP通訊協定的檢測，經過確認後才傳送到伺服器中。經過這1連串的檢測、掃描，如果使用者端和接收端都有這些防護措施，那麼影音部落格便不會發生惡意程式攻擊或病毒入侵事件。再者，電腦也不會因為影音和照片上傳至部落格而導致遭病毒入侵。

◎各個防毒資安廠商防禦措施──整合式防護措施

　諾頓防毒2007中文版可抵禦病毒與木馬，諾頓網路安全大師2007中文版更可防範駭客「零時攻擊」，提供部落格使用者一個完善的網路安全環境。所謂「零時攻擊」，是指惡意攻擊針對系統廠商尚未公佈修補程式的弱點。

　賽門鐵克建議，若用戶以寬頻、ADSL上網，並大量運用網路資訊，必須安裝具備入侵偵測、防火牆、防間諜程式等功能整合式安全軟體，才足以抵禦目前多變的網路威脅。另外部落客可使用諾頓儲存還原大師定期備份資料，以避免任何的硬體、系統出錯導致珍貴相片遺失。此外，用戶端也必須時常更新安全軟體、定期下載Windows修補程式，以確保安全防護保持在最新、最即時狀態。

◎目前部落格防護措施可能面臨的漏洞

　張義淵指出，部落格架站者和部落格使用者是不同的人在管理與使用。換言之，維護部落格和使用部落格的都不會是相同的人，所以卡巴斯基提供兩段人員防護機制。例如，某家IT公司的部落格植入木馬連結，到隻所有站長、使用該部落格的人都受到木馬威脅。因為維護部落格端的伺服器並沒有使用任何防護措施，導致有心人在維護部落格端的伺服器中寫入惡意程式，進而是所有部落格的網站加入惡意引擎程式碼。這個惡意引擎程式碼在使用者瀏覽部落格時，將木馬帶進電腦中。

　另外，如使用者將影音部落格的防護機制關掉，那麼防護機制不能產生任何防護作用，進而導致惡意程式或病毒入侵可能性增加。使用者沒有時常更新影音部落格防護機制，也會導致防護機制出現漏洞。因為所有防護機制和措施都必須根據不同的時間進行更新，以杜絕最新病毒或惡意程式的產生。如果使用者沒有時常更新防護機制，那麼遇到最新的惡意程式時，防護機制並不能攔截該惡意程式，進而導致惡意程式或病毒入侵。

　　張義淵進一步說明，使用者不良的使用習慣也會導致惡意程式有機可乘。有些使用者在瀏覽網站時，會因更新和防護機制掃瞄過程影響，導致網速降低而取消防護機制更新和掃瞄動作。所以防護機制無法進行掃描和更新，也會導致防護機制無法正常進行。這個道理就如同戰士脫掉盔甲和戰衣上戰場打仗的道理相同。

◎影音部落格防護機制未來願景

　張義淵說，由於現階段的防護機制掃瞄、檢測過程都會影響使用者瀏覽網站或導致電腦速度降低，所以未來將會針對防護機制在檢查、檢測、掃描等各方面的過程加速，以免妨礙使用者瀏覽網站或是用電腦。

　即使各家資訊安全軟體廠商提供自動化解決方案，仍不可能百分百確保用戶端網路安全，ISP網路服務供應商亦有責任強化部落格網站安全以抵禦駭客攻擊，唯有資安廠商與網路服務供應商共同合作，才能建立安全無慮的網路環境。

奧多比推出適用Linux平台的Flash Player 9

記者／陳慧綾
(2007/01/18 PM09:52)

　全球軟體廠商奧多比於1月18日宣佈推出支援Linux 平台的Adobe® Flash® Player 9，這個用戶端執行時期(client runtime) 能在Linux 開放原始碼作業系統上結合Flash 內容與各種應用程式。Adobe Flash Player 9 可跨平台使用。從今天開始，Linux 開發人員可透過免費Adobe Flex® 2 SDK、Adobe Flash Player 9 和Flex Data Services 2 Express，便能於Linux 平台上創造、測試並部署多樣化網路應用程式 (RIA)。

　奧多比資深產品經理Emmy Huang表示，網路影音內容日益增加，Adobe Flash Player迅速成為廣受採用的業界標準，成功結合互動內容與應用程式。目前，Linux已能完整存取網路上Flash 內容和應用程式。

　藉由高效率使用記憶體、處理圖像、影音與文字優異功能、ActionScript 虛擬器(AVM2)執行速度加快10倍等性能，Adobe Flash Player 9改善了使用者體驗。為了創造橫跨多元平台、豐富的網路應用程式，奧多比捐出AVM2開放原始碼給Mozilla 基金會，共同主持Tamarin 開放原始碼新專案，加速發展描述性語言的統一標準。

　Novell 的Linux 與開放平台解決方案行銷經理Justin Steinman 指出，Adobe Flash Player 9呈現高品質效能、安全的觀賞經驗與優異的程式模型，並大幅提昇SUSE Linux Enterprise Desktop使用效能，進而導致Linux成為企業專用桌上型電腦。

　Red Hat 企業解決方案資深副總裁Tim Yeaton 透露，Adobe Flash Player 9不僅滿足Linux 用戶所需的電腦功能，進而打造全世界優秀的Linux 使用體驗。

趨勢科技取得Vista最高認證 提供消費端網路安全防護

記者／陳慧綾
(2007/01/18 PM07:27)

　全球網路安全領導廠商趨勢科技於1月18日宣佈，支援Windows Vista作業系統的最新一代PC-cillin 套裝軟體已經通過「Certified for Windows Vista」認證，台灣的繁體中文版預計將於2月6日正式上市並推出下載服務。新一代產品將透過偵測以及移除病毒、蠕蟲、特洛伊木馬程式功能，保護用戶電腦避免遭受感染，並藉由封鎖及移除惡意間諜軟體、隱藏rootkit程式及廣告軟體，協助用戶保護隱私。

　趨勢科技亞太地區個人消費產品事業群總經理丘立全表示，近來由於行動用戶或家庭網路用戶數量大幅增加，消費者需要以更安全的方式處理電子郵件、線上購物、分享照片、轉帳交易、瀏覽網頁與即時通訊等線上活動，並且免於其它惡意攻擊與干擾。

　通過「Certified for Windows Vista」認證的Trend Micro PC-cillin Internet Security，整合了趨勢科技知名的PC-cillin™核心引擎，並增加多項反惡意軟體保護的新功能，如防止rootkit程式、間諜軟體、網路釣魚、垃圾郵件、駭客攻擊、病毒、WiFi攻擊威脅、以及近來持續擴大的身分竊取（identity-theft）威脅等。此外，Trend Micro PC-cillin Internet Security還整合了TrendSecure線上安全服務，讓消費者不論在家裡或公共場所使用電腦都能得到安全保障。目前TrendSecure服務已經在美國、日本、澳洲、英國、台灣等地推出。

　PC-cillin 2007 for Windows Vista盒裝版的訂購價格為1年 1690元，包括TrendSecure線上安全服務，可提供最多3部PC的保護與支援。為了確保提供客戶持續不間斷的資安防護，訂購期間所推出的新服務及功能皆可免費使用，此外訂購期限結束後的盒裝升級版為890元，線上續約費用為790元，。PC-cillin 2007 for Windows Vista將於2月6日起提供下載，之前已經訂購的使用者，可直接上網免費下載即可更新至支援Vista新版程式。

尚富煜科技與Cellopoint合作 擴張台灣郵件安全市場

記者／陳慧綾
(2007/01/18 PM08:22)

　尚富煜科技以提供安全整合性產品為主，並取得Cellopoint「E-mail Firewall」系列台灣區代理權，代理事業版圖擴展至電子郵件安全（E-mail Security）防禦與郵件監控稽核（Mail Audit）領域。

　尚富煜科技總經理郭煜杰表示，尚富煜科技的企業宗旨是協助客戶建立良好資安環境。這次取得Cellopoint E-mail Firewall系列代理權，對尚富煜科技擴展銷售通路非常有利。同時尚富煜科技可預見2007年電子郵件安全（E-mail Security）防禦與郵件監控稽核（Mail Audit）的市場必定比往年更好。

　Cellopoint大中國區行銷業務總監王彥雄表示，未來，尚富煜科技將代表Cellopoint在台灣執行銷售業務、技術支援、市場行銷與售後服務。尚富煜科技與Cellopoint將全面暢通經銷通路管道以利產品導入不同產業及客戶群中，協助台灣企業避免郵件遭受惡意程式入侵。

McAfee發佈網路身份竊盜趨勢報告

鍵盤側錄案例增加250%　網釣警報成長100倍
記者／陳慧綾
(2007/01/16 PM05:30)

　邁克菲公司於16日發佈McAfee Avert Labs的全球身份竊盜（identity theft）趨勢報告，顯示出網路及電腦平台上的身份竊盜大幅度成長。

　報告指出，鍵盤側錄程式（Keyloggers）1種駭客用來追蹤使用者鍵盤輸入動作並籍以竊取帳號密碼等私人資料的惡意軟件，在2004年1月至2006年5月間增加了250%；另一項驚人的發現則是，反網釣工作小組（Anti-Phishing Working Group）在這段期間所發佈的網釣警報數目竟然增加100倍（從2004年1月的176次到2006年5月的17600次）。

　這份研究指出，身份竊盜讓全球經濟付出極大的代價。根據美國聯邦貿易委員會（Federal Trade Commission）的統計，單單在美國，消費者和企業因此所付出的代價每年就高達500億美金。英國內政部（Home Office）的統計則顯示，過去3年來身份竊盜對英國造成的損失達32億美金；澳洲中央治安研究（Australian Centre for Policing Research）則估計，身份竊盜每年造成30億美元的損失。

　這份白皮書的內容裡討論各種身份竊盜技術，從翻垃圾這種非科技性的方法，到鍵盤側錄這種藉由監視電腦鍵盤動作以竊取網路帳號和密碼的智慧型技術。這份報告提供了全球豐富的各種身份竊盜案例，綜覽各種類型的身份竊盜犯罪與組織，以及他們又如何藉此謀取不法之利，或引起恐怖活動。

賽門鐵克與百度策略聯盟

記者／陳慧綾、莫榮歡
(2007/01/15 PM02:30)



　基礎架構軟體供應商賽門鐵克公司與中文搜尋引擎百度進行策略聯盟，將提供2款最新且榮獲獎項肯定的諾頓產品，分別是「諾頓網路安全大師2007中文版」以及「諾頓防毒2007中文版」給在中國的個人消費者，透過賽門鐵克制的百度附屬網站中，消費者可選購世界頂級的網路安全解決方案。這也是首次中國消費者能夠自行選擇單月版、半年版以及全年版的訂購服務。

　賽門鐵克與百度的合作協定正代表了中國線上安全產業的1個重要里程碑。隨著中國網路的迅速發展，及消費者的日倚賴著網路的數位生活，廣大網友正面臨前所未有的個人資訊安全威脅，網路社群的安全性正在取代單機操作下的資安需求，也成為資訊安全廠商最主要的服務要想；除此之外，由於網友的使用習慣多變，全球個人資訊安全市場正經歷從實體銷售的「盒裝防毒軟體」到線上資訊安全完整性服務轉型的變革。

　賽門鐵克與中國網路搜尋引擎百度將共同合作使消費者避免間諜程式、病毒、犯罪軟體、釣魚程式、駭客、網路蠕蟲以及rootkits等線上威脅，更確保消費者線上交易的資訊安全。百度長期以來累積的網路用戶資源，以及對於用戶經驗的深厚了解與精進，加上賽門鐵克個人資訊安全技術，為本次合作的成功奠定了基礎。

中小企業ISMS精要版 符合成本效益原則

記者／陳慧綾、王秋菁、黃威哲
(2007/01/08 PM10:30)



　NII中小企業資安輔導服務，以國際／國家資訊安全標準ISO／CNS 27001簡化，強調成本效益原則，以快速低成本達成企業結構化、系統化管理，避免資源重複配置、浪費，以節省營運成本等需求，並協助控制資安風險至可接受程度。

　NII經理梁理旋表示，中小企業資源有限，在資訊技術應用上處於相對弱勢，一旦遭遇資訊安全問題之衝擊，例如：駭客入侵、天然或人為災害等，所遭受到的營運風險並不亞於大型企業。

　台灣中小企業家數約為116.4萬家，佔台灣企業總數97.8%。中小企業e化提高競爭力同時，企業仰賴資訊設備及網際網路程度亦隨之增加，伴隨而來的資訊安全問題須受控制。

　梁理旋透露，為協助中小企業做好資訊安全防護，經濟部中小企業處及中華民國資訊軟體協會於94年度「縮減產業數位落差計畫」中，委託NII產業發展協進會設計了台灣「中小企業資安最佳範例」規範。

　中小企業資安最佳範例內容與架構有6大資安面向，包括電腦安全、網路安全、應用系統、人員安全、委外和法令遵循。

NII資訊安全認知與教育訓練服務 培訓專業資安管理人才

記者／陳慧綾、王秋菁、黃威哲
(2007/01/08 PM10:30)



　根據Gartner 2006資訊安全管理評析顯示，當資安技術發展成熟，資安問題處理重點將轉向企業或組織資訊應用面的制度與管理。為達更安全且更省錢目的，企業或組織在資安防護上應更著重流程而非產品。當組織能透過良好員工教育訓練、並施行較好的控管程序時，則不必花太多的投資，即可達到更高的安全目標。無論企業規模為何，企業資安落實計劃中，認知與教育訓練為不可缺少的重要工具。

　NII經理歐弘詹表示，企業員工教育訓練分成3個重點，第1重點是企業組織建立資訊安全管理架構之重要依據；若企業組織欲朝取得國際認證發展，其相關人員必備之專業訓練條件。第2重點是全球約43%企業對災難並無準備，一旦發生電腦當機、駭客入侵、天然因素、員工惡意破壞等災難，僅44%的企業有採取復原或備份資料因應。第3重點是根據CompTIA第4年度安全調查（2006/04/18），企業或組織資安問題近6成是因人員操作錯誤；和2005年數據比較，成長50%。

　i-Security網站（資安資源入口網站）其中所包含的內容有線上學習課程、企業資安評量、資安電子報和多元資安資源。i-Security主要特色是入口網站、持續性內容更新、強調實務操作、簡要分類，便利搜尋、範本套用和實體課程輔佐。

　NII資訊安全教育訓練服務針對不同對象的學習重點，其中包括企業或資訊主管人員、資訊人員和一般員工。