Chinese Copywriter: Jamie
Saturday, June 6, 2009
Monday, April 7, 2008
无印良品
字：陈慧绫
一个没有“品牌” 的品牌，源自于日本，其公司坚持“没有标志与优质” 的行销观念。虽然极力淡化品牌意识，可是它的设计理念却带出不一样的“无印良品”的独特品牌形象，它所倡导的自然、简约、质朴的生活方式让大众受落并形成潮流上的“品味”。
日本良品计划株式会社是西友株式会社于1980年开发的PB品牌，1983年于东京流行发讯地的“青山”开出第一家独立旗舰店，受到消费者支持与肯定后，于1990年才正式成立良品计划株式会社，发展至今已有23年的历史，其年营业额超过1,151亿日圆，员工数超过2890名，目前在日本国内共有直营店121家，经销点146家，是日本最大的Life Style Store。无印良品在日本以外的海外展店方面，目前在英国、法国、香港三地已经成立子公司，在海外的店铺数达26家，台湾是继英国、法国、爱尔兰、香港、新加坡、韩国後的第7个海外市场。
根据日本日经流通新闻针对自主性较强，29岁至32岁的消费族群进行品牌好感度所调查的结果显示，“无印良品”因为拥有可提供消费者购物的安心感、商品的流行感及合理的价格等特性，为品牌好感度调查的第一名，品牌好感度更高达51.1%，受到日本消费者高度的支持，可见“无印良品”在日本消费者生活中是不可或缺的品牌，具有相当重要的地位。
历史
1980年，世界经济增长陷入低迷，日本也经历了严重的能源危机。当时的消费者不仅要求商品有好的品质，也希望价格从优。在这种情况下，“无品牌”概念在日本诞生了。当年，木内正夫创办了“无印良品”公司，向市场推出了第一批无品牌产品。这些产品包装简洁，降低了成本，所使用的口号是“物有所值”。回到商品的起点，先考虑它的机能，制造出最简单的商品。 1983年，无印良品在东京青山开设了第一家旗舰店。由于大受消费者的肯定，几年内在日本就有了上百家专卖店。1991年，无印良品在伦敦开设了它的第一家海外专卖店，此后陆续进入法国、瑞典、意大利、挪威、爱尔兰等国家，2005年7月，其上海专卖店正式开业。
品牌管理
简单就是无印良品的强大特点之一。除去了商标，省去了花俏的设计与一切不必要的加工和颜色，简单只剩下素材与功能。除了在店面上悬挂着招牌与购物袋的标志之外，在所有无印良品商品上丝毫无法找到“品牌”标记。除了红色的Muji方框，消费者几乎只找到黑与白的商品。
在商品开发中，无印良品对设计、原材料、价格都制定了严格的规定。例如服装类要严格遵守无花纹、格纹、条纹等设计原则，颜色上只使用黑白相间、褐色、蓝色等，无论当年的流行色多么受欢迎，也决不超出设计原则去开发商品。
为了环保和消费者健康，无印良品规定许多材料不得使用，如PVC、特氟隆、甜菊、山梨酸等。在包装上，其样式也多采用透明和半透明，尽量从简。由于对环保再生材料的重视和将包装简化到最基本状态，无印良品也赢得了环境保护主义者的拥护。此外，无印良品从不进行商业广告宣传，就如木内正夫所说：“我们在产品设计上吸取了顶尖设计师的想法以及前卫的概念，这就起到了优秀广告的作用。我们生产的产品被不同消费群体所接受，这也为我们起到了宣传作用。”
在市场上，有人认为无印良品是一个品牌，可是它却象征一种生活的哲学。它不强调所谓的流行，而是以平实的价格加强商品价值意义，并以似有若无的设计中，将产品形成一种生活简单品味。
Sunday, June 24, 2007
【專題】 藍芽成駭客入侵途徑 資安業者推藍芽防護措施
記者／葉慧麗、陳慧綾、林珍妮、王雅亭、陳郁涵、黃威哲、莫榮歡、秋菁 (2007/06/24 PM10:56)
McAfee於2007年4月20日發佈Sage半年期刊中強調，被駭客利用來竊取資訊的間諜程式將無孔不入，尤其近期內將可能透過日漸普及的藍芽（Bluetooth）技術，大規模擴散至使用者的智慧型手機（SmartPhone）或筆電中，盜取機密資料。但對於這個說詞，業者卻有不同的說法與防範措施。
根據McAfeeSage半年報顯示，間諜程式已不再僅限於PC當中，手機將是下一波駭客運用來「賺錢」的重點。值得注意的是，隨著藍芽技術普遍應用於手機、筆記型電腦等行動裝置，駭客也可能很快地將利用該技術，進行大規模資料竊取等網路犯罪行為。早在3年多前便已有安全專家發現存在於多款Sony Ericsson和Nokia藍牙手機上的漏洞，可能造成使用者遭受被稱作bluesnarfing的攻擊，讓駭客可透過該漏洞窺視、修改甚至複製受害手機上的通訊錄和行事曆資料。
McAfee台灣區技術經理林秉忠表示，經過多年發展，藍芽技術現可說是無所不在，愈來愈多人正運用藍芽在手機、PC與筆記型電腦間進行檔案、音樂、資料傳輸等行為，也有更多企業辦公室根本就是所謂的「藍芽環境」，包括手機、筆電、耳機等都在運用藍牙技術。
藍芽存在安全隱憂最大問題，在於使用者目前大多不懂得如何進行安全防範。林秉忠強調，95%的使用者已懂得在電腦上安裝防毒軟體，但對於手機安全的防範卻寥寥無幾，但使用者大多在智慧型、PDA手機中，存著大量個人資訊，這也讓駭客更輕而易舉便可取得機密資料。
卡巴斯基奕瑞科技總經理張義淵透露，執行藍芽的行動裝置中約有 23% 為智慧型手機。 而其中 80% 支援「物件傳輸」功能；對於使用藍芽的行動惡意軟體，如 Cabir、ComWar、PBStealer、Skuller 等的散佈，「物件傳輸」是必備的功能。 這也帶出現代行動裝置安全性的關鍵議題，藍芽的使用。
趨勢科技表示，隨著日新月異的科技發展，藍芽技術為消費者帶來了許多便利，使用率也日益普遍。藍芽技術自從2004年開始被發現首隻入侵的病毒後，這個惡意的破壞自此更加囂張的在藍芽技術中貫穿。
◎藍牙技術攻擊手法
駭客便可能利用遠端遙控的方式，透過被植入後門程式支援藍牙技術的電腦，開啟植入技術並連線到四周的藍牙手機、藍牙筆電等裝置，進一步盜取機密個人資料，讓企業辦公室內的成員都無一倖免。此外，駭客還可能透過Bluejacking攻擊，進行垃圾郵件大量散播。
趨勢科技指出，凡是遭到病毒入侵後的藍芽系統，都會造成資安及資料外洩，這已經成為了病毒中的1種趨勢。病毒透過藍芽系統入侵之後，會自動植入1種惡意的連結，透過使用者瀏覽該網站後，連結就會被牽引至另外1個網站下載更多的檔案，造成既嚴重又複雜的病毒程式。這種情況已經日益嚴重，目前不止是在台灣，甚至是其他國家也一樣。台灣大概是在2006年下半年開始爆發這種現象，一直到現在這個情況都沒辦法停止，而且看起來會有越來越嚴重的現象。
◎藍牙技術攻擊防護措施
張義淵表示，針對藍芽行動惡意程式入侵方面，若手機用戶讓啟用藍芽功能的裝置，保持可發現模式，不僅可能使裝置遭受惡意程式的侵害，同時駭客也會利用許多已知的藍芽弱點，發動攻擊。 在現今的大環境下，使用者不僅應持續以隱形模式使用藍芽功能，同時也應注意接收的MMS。
防毒業者或資安業者認為一般防範藍芽技術遭駭客入侵的措施是比較難的，因為現在這種病毒都會被置在一些使用者常瀏覽的網站里，譬如旅遊網站，公家單位網站，電子網站等都曾經是被駭客入侵過的案例。所以一般使用者，很難去判斷說他們瀏覽的網站是否有問題，畢竟他們不是去瀏覽色情網站或者非法網站，而是一般經常使用的網站。所以當一般使用者要去做預防的話，是一件相當困難的事。不過，防毒業者或資安業者都認為最好的建議就是透過資安軟體去進行這樣的一個防護措施。當然使用者還是可以在藍芽系統上自己學習做一些基本的防護，譬如一些經常瀏覽的網站會提供防護的方法，至於那些常常被入侵的網站就建議使用者盡量避免使用。
由於IE瀏覽器常會有一些程式上的漏洞，所以要經常去做定期的更新，因為病毒時常會透過這種漏洞進行入侵，這是使用者避免藍芽遭受病毒入侵非常重要的行為之一。最終，防毒業者或資安業者還是建議使用者配合使用防毒軟體或資安軟體進行防護，因為這些軟體會定期提供使用者在藍芽技術使用上的檢查，尤其是避免有異常行為的網站。
其實透過藍芽技術的駭客病毒或著是病毒入侵是有一個局限性，因為藍芽技術是有一定的距離限制，所以說很難會有大規模的病毒爆發或者大規模的駭客入侵現象。
目前為止藍芽技術也曾經發生了一些資安保密遺漏的事件，包括透過木馬病毒以及一些駭客入侵的程式，盜取一些保密的資料。此外，駭客也會透過手機業者的一些防護漏洞去進行入侵的行為，業者也因此針對手機的部份研發了新的防護軟體。
McAfee於2007年4月20日發佈Sage半年期刊中強調，被駭客利用來竊取資訊的間諜程式將無孔不入，尤其近期內將可能透過日漸普及的藍芽（Bluetooth）技術，大規模擴散至使用者的智慧型手機（SmartPhone）或筆電中，盜取機密資料。但對於這個說詞，業者卻有不同的說法與防範措施。
根據McAfeeSage半年報顯示，間諜程式已不再僅限於PC當中，手機將是下一波駭客運用來「賺錢」的重點。值得注意的是，隨著藍芽技術普遍應用於手機、筆記型電腦等行動裝置，駭客也可能很快地將利用該技術，進行大規模資料竊取等網路犯罪行為。早在3年多前便已有安全專家發現存在於多款Sony Ericsson和Nokia藍牙手機上的漏洞，可能造成使用者遭受被稱作bluesnarfing的攻擊，讓駭客可透過該漏洞窺視、修改甚至複製受害手機上的通訊錄和行事曆資料。
McAfee台灣區技術經理林秉忠表示，經過多年發展，藍芽技術現可說是無所不在，愈來愈多人正運用藍芽在手機、PC與筆記型電腦間進行檔案、音樂、資料傳輸等行為，也有更多企業辦公室根本就是所謂的「藍芽環境」，包括手機、筆電、耳機等都在運用藍牙技術。
藍芽存在安全隱憂最大問題，在於使用者目前大多不懂得如何進行安全防範。林秉忠強調，95%的使用者已懂得在電腦上安裝防毒軟體，但對於手機安全的防範卻寥寥無幾，但使用者大多在智慧型、PDA手機中，存著大量個人資訊，這也讓駭客更輕而易舉便可取得機密資料。
卡巴斯基奕瑞科技總經理張義淵透露，執行藍芽的行動裝置中約有 23% 為智慧型手機。 而其中 80% 支援「物件傳輸」功能；對於使用藍芽的行動惡意軟體，如 Cabir、ComWar、PBStealer、Skuller 等的散佈，「物件傳輸」是必備的功能。 這也帶出現代行動裝置安全性的關鍵議題，藍芽的使用。
趨勢科技表示，隨著日新月異的科技發展，藍芽技術為消費者帶來了許多便利，使用率也日益普遍。藍芽技術自從2004年開始被發現首隻入侵的病毒後，這個惡意的破壞自此更加囂張的在藍芽技術中貫穿。
◎藍牙技術攻擊手法
駭客便可能利用遠端遙控的方式，透過被植入後門程式支援藍牙技術的電腦，開啟植入技術並連線到四周的藍牙手機、藍牙筆電等裝置，進一步盜取機密個人資料，讓企業辦公室內的成員都無一倖免。此外，駭客還可能透過Bluejacking攻擊，進行垃圾郵件大量散播。
趨勢科技指出，凡是遭到病毒入侵後的藍芽系統，都會造成資安及資料外洩，這已經成為了病毒中的1種趨勢。病毒透過藍芽系統入侵之後，會自動植入1種惡意的連結，透過使用者瀏覽該網站後，連結就會被牽引至另外1個網站下載更多的檔案，造成既嚴重又複雜的病毒程式。這種情況已經日益嚴重，目前不止是在台灣，甚至是其他國家也一樣。台灣大概是在2006年下半年開始爆發這種現象，一直到現在這個情況都沒辦法停止，而且看起來會有越來越嚴重的現象。
◎藍牙技術攻擊防護措施
張義淵表示，針對藍芽行動惡意程式入侵方面，若手機用戶讓啟用藍芽功能的裝置，保持可發現模式，不僅可能使裝置遭受惡意程式的侵害，同時駭客也會利用許多已知的藍芽弱點，發動攻擊。 在現今的大環境下，使用者不僅應持續以隱形模式使用藍芽功能，同時也應注意接收的MMS。
防毒業者或資安業者認為一般防範藍芽技術遭駭客入侵的措施是比較難的，因為現在這種病毒都會被置在一些使用者常瀏覽的網站里，譬如旅遊網站，公家單位網站，電子網站等都曾經是被駭客入侵過的案例。所以一般使用者，很難去判斷說他們瀏覽的網站是否有問題，畢竟他們不是去瀏覽色情網站或者非法網站，而是一般經常使用的網站。所以當一般使用者要去做預防的話，是一件相當困難的事。不過，防毒業者或資安業者都認為最好的建議就是透過資安軟體去進行這樣的一個防護措施。當然使用者還是可以在藍芽系統上自己學習做一些基本的防護，譬如一些經常瀏覽的網站會提供防護的方法，至於那些常常被入侵的網站就建議使用者盡量避免使用。
由於IE瀏覽器常會有一些程式上的漏洞，所以要經常去做定期的更新，因為病毒時常會透過這種漏洞進行入侵，這是使用者避免藍芽遭受病毒入侵非常重要的行為之一。最終，防毒業者或資安業者還是建議使用者配合使用防毒軟體或資安軟體進行防護，因為這些軟體會定期提供使用者在藍芽技術使用上的檢查，尤其是避免有異常行為的網站。
其實透過藍芽技術的駭客病毒或著是病毒入侵是有一個局限性，因為藍芽技術是有一定的距離限制，所以說很難會有大規模的病毒爆發或者大規模的駭客入侵現象。
目前為止藍芽技術也曾經發生了一些資安保密遺漏的事件，包括透過木馬病毒以及一些駭客入侵的程式，盜取一些保密的資料。此外，駭客也會透過手機業者的一些防護漏洞去進行入侵的行為，業者也因此針對手機的部份研發了新的防護軟體。
【專題】全球一成網站潛藏惡意程式 網站防護措施成焦點
記者／葉慧麗、陳慧綾、林珍妮、王雅亭、陳郁涵、黃威哲、莫榮歡、秋菁 (2007/06/24 PM10:55)
根據 Google發布的1則新聞顯示，在450萬個網站中，每10個網站就有1個潛藏惡意程式，如木馬程式。這些程式將引領駭客入侵電腦並竊取私密資料。所以，網站的防護措施成為了焦點。各個防毒軟體公司紛紛推出並提供各種防護措施以解決網站潛藏惡意程式問題。
Google於2007年5月發布「瀏覽器潛在的魅影：網路惡意軟體之分析」（The Ghost in the Browser: Analysis of Web-based Malware）報告，報告中指出，網路惡意軟體興起，是因為網際網路在人們日常生活中扮演愈來愈重要的角色，而且架設網站愈來愈容易。同時Google也對450萬個網站做深入研究報告，研究中發現其中每10個網站就有1個可能順便把木馬程式病毒成功下載（drive-by download）到使用者電腦裡。而這類型惡意軟體可能讓駭客存取存在電腦或其連線網路上的私密資料，或是安裝惡意應用程式。
根據國際資安組織SANS調查指出，台灣平均每天至少有5個網站被駭。根據資安公司TippingPoint國際和資安機構SANS日前發布的統計數字，台灣2007年1月至3月遭到網路駭客攻擊的網站，經過相關單位回報的統計數量就高達465個，平均每天至少有5個網站遭受駭客攻擊。若與其他韓國、香港、新加坡等亞洲國家相較，台灣受駭主機已回報數量最多，其中又以com.tw主機受駭比例最高，超過一半以上。
根據SANS統計資料，從2000年開始到2007年2月，被駭客入侵且已回報給SANS入侵紀錄，超過12,000多次。若是以網域名稱（domain name）來看，com.tw網站受駭數量最高，超過6,500個（6,513），是鄰近香港的5倍多。edu.tw和idv.com網域的網站受駭數量分列第2、3高，非政府組織org.tw與政府部門gov.tw受駭主機數量較商業網站數量為少。
Sophos資深技術顧問Graham Cluley表示，Google的報告凸顯惡意程式日益猖獗的趨勢。在4月間，每周新增URL網址當中，平均有8000個網址內含惡意軟體。根據Sophos觀察，內含惡意軟體網頁中，高達70%是在合法的、但遭駭客鎖定的網站上發現。
◎網站潛藏惡意程式的各種手法
Tipping Point亞太區資深業務總監葉精良表示，近來駭客攻擊的方式，除了輕病毒重木馬外，主要攻擊手法還包括用戶端攻擊手法、零時差攻擊和各種網路應用程式攻擊。用戶端攻擊手法包括植入傀儡程式（Bot）、間諜程式、廣告軟體以及downloader等。
葉精良說，駭客利用這些由傀儡電腦組成傀儡網路（Botnet）對企業發動DDoS（分散式阻斷式服務）攻擊，除了針對有利可圖的金融產業發動攻擊外，日前也發生美國駭客利用傀儡電腦對公共建設作出攻擊，如核電廠、甘迺迪機場的網站等。根據日前出版的賽門鐵克全球網路安全威脅研究報告第11期，台灣在亞太區傀儡程式感染國家排名第2高，證實這類型網路威脅手法氾濫。
從2006年起，零時差攻擊（Zero Day Attack）數量越來越多，除了早期IE瀏覽器弱點外，從去年6月陸續發現微軟Word、Excel應用程式弱點，而駭客在微軟未推出修補程式（patch）之前，便發動零時差攻擊。
隨著各種網路應用的普及，企業在執行各種網路第7層的網路應用程式時，都不會關閉80埠。因此，不論是Web-based的Wiki、新聞群組（user group）、BBS布告欄與部落格，或者是包含PHP檔案和微軟伺服器弱點SQL Injection（隱碼攻擊）攻擊手法，由於應用程式的安全性不夠高，所以有許多弱點成為駭客可用來發動攻擊的方式。
Sophos資深技術顧問Graham Cluley說明，駭客為了把惡意軟體植入網站，會藉破解網路server安全防護、操縱使用者上傳內容、在廣告和第三方widgets程式動手腳等方式達到目的。
◎網站潛藏惡意程式防護措施
Google在本周一由署名「反惡意程式小組」（Anti-Malware Team）的人員發表了網路安全部落格，該部落格將定期發表安全相關的趨勢、報告及議題。Google安全部落格首先探討的議題是惡意程式，Google所定義的惡意程式是用來竊取使用者機密資料的軟體，使用者只要透過有漏洞的瀏覽器或外掛程式造訪被駭或惡意的網站就可能受到惡意程式影響。
為了保護使用者的安全，一年前就開始防範惡意程式，例如在使用者的搜尋結果中針對可疑的網站提出警告，或是透過Google Desktop Search避免使用者下載漏洞攻擊程式。
趨勢科技提供資安威脅防護技術──網路信譽服務（Web Reputation Service）。這項技術將整合至趨勢科技的多層式防護策略，提升其Web安全防護功能。Web信譽技術是透過每日追蹤超過3億個網域，以及超過20億次的點閱動作，建立一個網域信譽資料庫。這個信譽值根據該網站的URL目錄分類、IP位址變化、所在國家和歷史情況等狀況計算，透過信譽值比對，就可以知道某個網站潛在的風險級別，當用戶訪問具潛在風險的網站，系統就可即時的提醒或阻止。
趨勢科技表示，針對台灣目前的趨勢來看，網站潛藏惡意程式的機率是非常高的。防毒業者或資安業者其實已經針對惡意程式這種現象，研發了全新的防護功能。這種軟體是使用在一般電腦的防毒上，被稱為WRS的防護軟體。WRS的功能可以在使用者瀏覽網站時，進行電腦資料庫的檢查，確認是否有該網站的資料存在，可以避免是惡意程式的連結或者是比較可疑的惡意程式行為。如果WRS發現了這般情況後，這個功能變會先去做攔截的動作。
假如是在一般企業的使用上，防毒軟體業者或資安業者會建議企業使用者在舺道端建立HTTP啟用的過濾機制。透過這樣的機制就可以採用比較嚴格的檢查方法，譬如說一些相關的執行檔來攔截惡意的程式等，或者一些具有可疑性的檔案都會做攔截的動作，甚至是啟用其過濾系統或WRS的功能去做防護。如果是都有做了這些比較好的防護之後，一般在企業內的電腦都會比較不容易受到惡意程式的入侵。
趨勢科技指出，有關這種網站潛藏惡意程式的現象，防毒業者或資安業者認為是不會減少的，反而會日趨增加。當然他們也會依照惡意程式入侵的現象，研發更具有防護措施的軟體。
除此之外，其實企業內的電腦也是可以啟用一種稱為OPP的功能，來鎖定一些特定或比較特別檔名的病毒。因為惡意程式所產生的病毒，基本上檔名幾乎都是一樣的，所以可以透過OPP的功能把這些病毒檔名鎖定，避免重複入侵的機會。
邁克菲（McAfee）在去年併購網站分級軟體商，也在全線產品中內建新的網頁安全瀏覽工具SiteAdvisor，利用紅、黃、綠等顏色區分網站危險度。該公司技術主要根據網站名譽、使用者網站註冊後被濫發信件的頻率，以及個別使用者回報等指標來評等網站。
而賽門鐵克針對交易網站推出的諾頓（Norton）網路交易安全大師，除利用後端黑白名單資料庫比對外，還從行為模式與分析底層寫作手法輔助辨認；使用者則可透過安裝在瀏覽器上的諾頓工具列所顯現的紅、灰、綠顏色，獲知該網站是否為釣魚網站。
根據 Google發布的1則新聞顯示，在450萬個網站中，每10個網站就有1個潛藏惡意程式，如木馬程式。這些程式將引領駭客入侵電腦並竊取私密資料。所以，網站的防護措施成為了焦點。各個防毒軟體公司紛紛推出並提供各種防護措施以解決網站潛藏惡意程式問題。
Google於2007年5月發布「瀏覽器潛在的魅影：網路惡意軟體之分析」（The Ghost in the Browser: Analysis of Web-based Malware）報告，報告中指出，網路惡意軟體興起，是因為網際網路在人們日常生活中扮演愈來愈重要的角色，而且架設網站愈來愈容易。同時Google也對450萬個網站做深入研究報告，研究中發現其中每10個網站就有1個可能順便把木馬程式病毒成功下載（drive-by download）到使用者電腦裡。而這類型惡意軟體可能讓駭客存取存在電腦或其連線網路上的私密資料，或是安裝惡意應用程式。
根據國際資安組織SANS調查指出，台灣平均每天至少有5個網站被駭。根據資安公司TippingPoint國際和資安機構SANS日前發布的統計數字，台灣2007年1月至3月遭到網路駭客攻擊的網站，經過相關單位回報的統計數量就高達465個，平均每天至少有5個網站遭受駭客攻擊。若與其他韓國、香港、新加坡等亞洲國家相較，台灣受駭主機已回報數量最多，其中又以com.tw主機受駭比例最高，超過一半以上。
根據SANS統計資料，從2000年開始到2007年2月，被駭客入侵且已回報給SANS入侵紀錄，超過12,000多次。若是以網域名稱（domain name）來看，com.tw網站受駭數量最高，超過6,500個（6,513），是鄰近香港的5倍多。edu.tw和idv.com網域的網站受駭數量分列第2、3高，非政府組織org.tw與政府部門gov.tw受駭主機數量較商業網站數量為少。
Sophos資深技術顧問Graham Cluley表示，Google的報告凸顯惡意程式日益猖獗的趨勢。在4月間，每周新增URL網址當中，平均有8000個網址內含惡意軟體。根據Sophos觀察，內含惡意軟體網頁中，高達70%是在合法的、但遭駭客鎖定的網站上發現。
◎網站潛藏惡意程式的各種手法
Tipping Point亞太區資深業務總監葉精良表示，近來駭客攻擊的方式，除了輕病毒重木馬外，主要攻擊手法還包括用戶端攻擊手法、零時差攻擊和各種網路應用程式攻擊。用戶端攻擊手法包括植入傀儡程式（Bot）、間諜程式、廣告軟體以及downloader等。
葉精良說，駭客利用這些由傀儡電腦組成傀儡網路（Botnet）對企業發動DDoS（分散式阻斷式服務）攻擊，除了針對有利可圖的金融產業發動攻擊外，日前也發生美國駭客利用傀儡電腦對公共建設作出攻擊，如核電廠、甘迺迪機場的網站等。根據日前出版的賽門鐵克全球網路安全威脅研究報告第11期，台灣在亞太區傀儡程式感染國家排名第2高，證實這類型網路威脅手法氾濫。
從2006年起，零時差攻擊（Zero Day Attack）數量越來越多，除了早期IE瀏覽器弱點外，從去年6月陸續發現微軟Word、Excel應用程式弱點，而駭客在微軟未推出修補程式（patch）之前，便發動零時差攻擊。
隨著各種網路應用的普及，企業在執行各種網路第7層的網路應用程式時，都不會關閉80埠。因此，不論是Web-based的Wiki、新聞群組（user group）、BBS布告欄與部落格，或者是包含PHP檔案和微軟伺服器弱點SQL Injection（隱碼攻擊）攻擊手法，由於應用程式的安全性不夠高，所以有許多弱點成為駭客可用來發動攻擊的方式。
Sophos資深技術顧問Graham Cluley說明，駭客為了把惡意軟體植入網站，會藉破解網路server安全防護、操縱使用者上傳內容、在廣告和第三方widgets程式動手腳等方式達到目的。
◎網站潛藏惡意程式防護措施
Google在本周一由署名「反惡意程式小組」（Anti-Malware Team）的人員發表了網路安全部落格，該部落格將定期發表安全相關的趨勢、報告及議題。Google安全部落格首先探討的議題是惡意程式，Google所定義的惡意程式是用來竊取使用者機密資料的軟體，使用者只要透過有漏洞的瀏覽器或外掛程式造訪被駭或惡意的網站就可能受到惡意程式影響。
為了保護使用者的安全，一年前就開始防範惡意程式，例如在使用者的搜尋結果中針對可疑的網站提出警告，或是透過Google Desktop Search避免使用者下載漏洞攻擊程式。
趨勢科技提供資安威脅防護技術──網路信譽服務（Web Reputation Service）。這項技術將整合至趨勢科技的多層式防護策略，提升其Web安全防護功能。Web信譽技術是透過每日追蹤超過3億個網域，以及超過20億次的點閱動作，建立一個網域信譽資料庫。這個信譽值根據該網站的URL目錄分類、IP位址變化、所在國家和歷史情況等狀況計算，透過信譽值比對，就可以知道某個網站潛在的風險級別，當用戶訪問具潛在風險的網站，系統就可即時的提醒或阻止。
趨勢科技表示，針對台灣目前的趨勢來看，網站潛藏惡意程式的機率是非常高的。防毒業者或資安業者其實已經針對惡意程式這種現象，研發了全新的防護功能。這種軟體是使用在一般電腦的防毒上，被稱為WRS的防護軟體。WRS的功能可以在使用者瀏覽網站時，進行電腦資料庫的檢查，確認是否有該網站的資料存在，可以避免是惡意程式的連結或者是比較可疑的惡意程式行為。如果WRS發現了這般情況後，這個功能變會先去做攔截的動作。
假如是在一般企業的使用上，防毒軟體業者或資安業者會建議企業使用者在舺道端建立HTTP啟用的過濾機制。透過這樣的機制就可以採用比較嚴格的檢查方法，譬如說一些相關的執行檔來攔截惡意的程式等，或者一些具有可疑性的檔案都會做攔截的動作，甚至是啟用其過濾系統或WRS的功能去做防護。如果是都有做了這些比較好的防護之後，一般在企業內的電腦都會比較不容易受到惡意程式的入侵。
趨勢科技指出，有關這種網站潛藏惡意程式的現象，防毒業者或資安業者認為是不會減少的，反而會日趨增加。當然他們也會依照惡意程式入侵的現象，研發更具有防護措施的軟體。
除此之外，其實企業內的電腦也是可以啟用一種稱為OPP的功能，來鎖定一些特定或比較特別檔名的病毒。因為惡意程式所產生的病毒，基本上檔名幾乎都是一樣的，所以可以透過OPP的功能把這些病毒檔名鎖定，避免重複入侵的機會。
邁克菲（McAfee）在去年併購網站分級軟體商，也在全線產品中內建新的網頁安全瀏覽工具SiteAdvisor，利用紅、黃、綠等顏色區分網站危險度。該公司技術主要根據網站名譽、使用者網站註冊後被濫發信件的頻率，以及個別使用者回報等指標來評等網站。
而賽門鐵克針對交易網站推出的諾頓（Norton）網路交易安全大師，除利用後端黑白名單資料庫比對外，還從行為模式與分析底層寫作手法輔助辨認；使用者則可透過安裝在瀏覽器上的諾頓工具列所顯現的紅、灰、綠顏色，獲知該網站是否為釣魚網站。
Friday, June 22, 2007
賽門鐵克發佈6月垃圾郵件研究報告
記者／陳慧綾 (2007/06/22 PM09:37)
賽門鐵克郵件研究報告觀察2007年5月份的全球垃圾郵件的概況，發現圖像式垃圾郵件比重持續下降。除了以往的發展潮流仍然延續外，這個月也出現一些新興的攻擊手法。
圖像式垃圾郵件的比重仍然呈現高低變化，相較於3月的27%及4月的37%，至5月底時約佔整體垃圾郵件流量的16%。賽門鐵克曾經在2007年1月份偵測到最高流量，達佔當月整體垃圾郵件流量的52%。雖然近來圖像垃圾郵件比重下降，然而，賽門鐵克觀察到提供圖片出處連結及圖片內嵌超連結的垃圾郵件卻有增加的趨勢。有鑒於近來圖像式垃圾郵件比重下降的趨勢，賽門鐵克將持續追蹤此趨勢，觀察是否暫時性的高低變化或者已形成新型趨勢。
儘管圖像式垃圾郵件比重持續下降，垃圾郵件在電子郵件流量仍然佔有很高的比例，2007年5月份在SMTP應用層的垃圾郵件比例持平在65%。垃圾郵件出現幾種新型有趣的技術包括提供出處連結及圖片內嵌超連結的垃圾郵件新手法、「母親節快樂」卡片垃圾郵件攻擊手法和419垃圾郵件熱度持續延燒。
賽門鐵克郵件研究報告觀察2007年5月份的全球垃圾郵件的概況，發現圖像式垃圾郵件比重持續下降。除了以往的發展潮流仍然延續外，這個月也出現一些新興的攻擊手法。
圖像式垃圾郵件的比重仍然呈現高低變化，相較於3月的27%及4月的37%，至5月底時約佔整體垃圾郵件流量的16%。賽門鐵克曾經在2007年1月份偵測到最高流量，達佔當月整體垃圾郵件流量的52%。雖然近來圖像垃圾郵件比重下降，然而，賽門鐵克觀察到提供圖片出處連結及圖片內嵌超連結的垃圾郵件卻有增加的趨勢。有鑒於近來圖像式垃圾郵件比重下降的趨勢，賽門鐵克將持續追蹤此趨勢，觀察是否暫時性的高低變化或者已形成新型趨勢。
儘管圖像式垃圾郵件比重持續下降，垃圾郵件在電子郵件流量仍然佔有很高的比例，2007年5月份在SMTP應用層的垃圾郵件比例持平在65%。垃圾郵件出現幾種新型有趣的技術包括提供出處連結及圖片內嵌超連結的垃圾郵件新手法、「母親節快樂」卡片垃圾郵件攻擊手法和419垃圾郵件熱度持續延燒。
Thursday, June 21, 2007
賽門鐵克：微軟安全產品弱點可能影響IE 7.0瀏覽器
記者／陳慧綾 (2007/06/21 PM11:40)
賽門鐵克安全機制應變中心將Microsoft Internet Explorer中的Cumulative Security Update之中的弱點，列為本月安全性公告中影響最為嚴重的弱點，這2個弱點會直接影響Vista作業系統上的Internet Explorer 7.0。
當使用者瀏覽夾帶惡意程式碼的網站時將有機會被感染。成功利用該弱點的駭客不僅可植入惡意程式，若該受感染的使用者以管理者身份登入作業系統，將有可能使得駭客自由操控此台電腦。
以上弱點都將影響一般使用者。儘管如此，當企業用戶瀏覽夾帶惡意程式碼的網站亦有可能受此弱點影響。微軟安全性更新提供最新及所有過去的Internet Explorer弱點修補程式。
用戶端弱點會影響Schannel Security Package 安全, 也被列為嚴重等級，當使用者透過Windows Internet Explorer瀏覽傳送數位簽章的惡意程式碼網站時，該弱點可能被駭客利用受影響的原件，成功發動攻擊。
這個弱點可能影響微軟Microsoft Windows XP, Windows 2000以及Windows Server 2003等多項產品。儘管如此，這個弱點只會在2000或Server 2003 平台上發動阻斷式攻擊。
賽門鐵克安全機制應變中心產品群經理Vince Huwang指出，對家庭用戶及企業用戶來說，定期更新修補程式可有效保護他們的電腦抵禦潛在威脅及攻擊。這些利用瀏覽器弱點發動的攻擊與5月號的資訊安全公告裡所發佈的攻擊手法並沒有太大的差異。
賽門鐵克安全機制應變中心將Microsoft Internet Explorer中的Cumulative Security Update之中的弱點，列為本月安全性公告中影響最為嚴重的弱點，這2個弱點會直接影響Vista作業系統上的Internet Explorer 7.0。
當使用者瀏覽夾帶惡意程式碼的網站時將有機會被感染。成功利用該弱點的駭客不僅可植入惡意程式，若該受感染的使用者以管理者身份登入作業系統，將有可能使得駭客自由操控此台電腦。
以上弱點都將影響一般使用者。儘管如此，當企業用戶瀏覽夾帶惡意程式碼的網站亦有可能受此弱點影響。微軟安全性更新提供最新及所有過去的Internet Explorer弱點修補程式。
用戶端弱點會影響Schannel Security Package 安全, 也被列為嚴重等級，當使用者透過Windows Internet Explorer瀏覽傳送數位簽章的惡意程式碼網站時，該弱點可能被駭客利用受影響的原件，成功發動攻擊。
這個弱點可能影響微軟Microsoft Windows XP, Windows 2000以及Windows Server 2003等多項產品。儘管如此，這個弱點只會在2000或Server 2003 平台上發動阻斷式攻擊。
賽門鐵克安全機制應變中心產品群經理Vince Huwang指出，對家庭用戶及企業用戶來說，定期更新修補程式可有效保護他們的電腦抵禦潛在威脅及攻擊。這些利用瀏覽器弱點發動的攻擊與5月號的資訊安全公告裡所發佈的攻擊手法並沒有太大的差異。
賽門鐵克重新定位 以IT風險管理業者自居
記者／陳慧綾 (2007/06/21 PM11:35)
經過一連串併購擴充產品線，賽門鐵克一改多年來資安廠商的定位，而以IT風險管理業者自居。
賽門鐵克執行長John W. Thompson上週在賽門鐵克使用者大會VISION 2007上指出，資案與IT基礎架構早已糾結在一起，無法分割。他表示，賽門鐵克如同現今許多企業一般，已不再單獨看待資安議題，而是以IT風險管理的角度同時檢視企業營運流程以及資安問題。
所謂IT風險，包括來自安全、可用性、效能與法規遵循四大領域的風險，而管理的手段，主要是透過導入科技產品、建立標準作業流程等，以因應可能出現的風險。
自從2004年底宣佈併購儲存軟體大廠Veritas後，賽門鐵克即開始由單純的資安(Security)廠商，擴張業務與產品組合至IT風險管理領域。該公司日前即於全球同步推出IT風險評估(Symantec Foundation IT Risk Assessment)顧問服務，採用ITIL與BS17799等國際標準，以及該公司研發之資訊信心風險模型(Information Assurance Risk Model)為企業評估IT風險及報告，為該公司繼去年底推出首個類似服務後，再向IT風險管理領域進軍的最新一步。
IT風險管理並非新議題，管理顧問公司如Deloitte、Accenture等，早就提供相關的風險管理顧問服務。為了與管理顧問公司區別，賽門鐵克全球業務與行銷事業群總裁Enrique Salem表示，該公司將會與Accenture合作，由Accenture負責流程顧問等服務，賽門鐵克則提供技術解決方案。
經過一連串併購擴充產品線，賽門鐵克一改多年來資安廠商的定位，而以IT風險管理業者自居。
賽門鐵克執行長John W. Thompson上週在賽門鐵克使用者大會VISION 2007上指出，資案與IT基礎架構早已糾結在一起，無法分割。他表示，賽門鐵克如同現今許多企業一般，已不再單獨看待資安議題，而是以IT風險管理的角度同時檢視企業營運流程以及資安問題。
所謂IT風險，包括來自安全、可用性、效能與法規遵循四大領域的風險，而管理的手段，主要是透過導入科技產品、建立標準作業流程等，以因應可能出現的風險。
自從2004年底宣佈併購儲存軟體大廠Veritas後，賽門鐵克即開始由單純的資安(Security)廠商，擴張業務與產品組合至IT風險管理領域。該公司日前即於全球同步推出IT風險評估(Symantec Foundation IT Risk Assessment)顧問服務，採用ITIL與BS17799等國際標準，以及該公司研發之資訊信心風險模型(Information Assurance Risk Model)為企業評估IT風險及報告，為該公司繼去年底推出首個類似服務後，再向IT風險管理領域進軍的最新一步。
IT風險管理並非新議題，管理顧問公司如Deloitte、Accenture等，早就提供相關的風險管理顧問服務。為了與管理顧問公司區別，賽門鐵克全球業務與行銷事業群總裁Enrique Salem表示，該公司將會與Accenture合作，由Accenture負責流程顧問等服務，賽門鐵克則提供技術解決方案。
Subscribe to:
Posts (Atom)
