對於預測2010年的資安威脅報告(Security Threat Report:Trends for 2010)

時序歲末，又將是新的一年即將來到。這個時節，也正是年度資安威脅報告統計分析成果公佈的時節，對於來年也會做些趨勢的推估、預測。這邊特別蒐集了一些有公佈安威脅報告的資料，大多為一年前所公佈的，個人反到偏愛以回顧的方式來看這些威脅報告，經過一年的風風雨雨，回顧起來更有感觸。如果再多看一些陳年的年度報告，也許會覺得當時做資安算是簡單的哩!!怎當年也是搞得暈頭轉向咧~~XD

應該看的理由：
1. 找到資安防禦方向或重點，對資安廠商來說掌握趨勢，也掌握先機。
2. 年度威脅報告，乃資安廠商投資、建置、蒐集、統計、分析而來的，有的是資安廠商蒐集相關網路資訊而來的，要寫出一份好的報告，說簡單也不簡單，但要寫出一份切中未來趨勢，就有其難處，由這也可以看出其對威脅報告用心。
3. 驗證目前防禦現況，是否符合內部的威脅分析報告或數據。
4. 我要打十個。
5. 將部分主題內容，作為一般教育訓練教材之方向，並加強宣導資安觀念。很多攻擊手法都是針對「人」來著，需要修正的是「人」的觀念。

不該看的理由：
1. 夾帶置入性行銷內容。
2. 威脅報告內容不夠全面性，不夠客觀，容易陷入迷思。這點確實如此，看威脅報告時，還要注意公佈資安廠商的屬性，畢竟分析內容還是在其專業領域中。
3. 沒有內部威脅分析報告，也沒關心外在風雨，無從驗證。
4. 不知道內容都在講啥。
5. 該做的都做都做不完了，哪還有時間管新的問題。

無論是啥理由，對於 2010 年度的報告或預測，這裡整理一些網路上蒐集到的，可以快速檢視一下，也許會有些不同防禦想法或創意發想的：
(依據資料公佈時間排序)

McAfee Lab: 2010 年資安威脅預測

1. 在使用者不斷成長的同時，社交網路（如 Facebook）將會面臨更多複雜的資安威脅。
2. Facebook 及其他網路服務應用程式的爆發式成長將會成為網路罪犯的理想目標所在，這些攻擊將會利用好友信任關係去點選一般使用者可能會小心防範的網路連結。
3. HTML 5 將會弭平桌上型及網路應用程式的界限。這也會讓像是 Google Chrome OS 作業系統成為惡意程式作者「獵殺」一般使用者的新潛在危機。
4. 電子郵件的附件成為傳送惡意程式途徑已行之有年，但它仍然持續增加；不斷地愚弄著企業、媒體記者及一般使用者，下載木馬及其他惡意程式。
5. 由於微軟產品的普及，網路罪犯長久以來都是挑它們下手。但在 2010 年，可以預期的是 Adobe 軟體將成為矚目焦點，特別是 Acrobat Reader 和 Flash 兩項。
6. 針對銀行設計的木馬程式將會變得更聰明，可能會攔截合法的交易而進行未經授權的提款。
7. 僵屍網路 (Botnet) 是網路罪犯的先進基礎架構，常被罪犯利用盜用身來分發送垃圾郵件。近來成功關閉了一些僵屍網路，已迫使這些主事者另尋替代方案；包含點對點傳輸設定 (peer-to-peer setups) 在內，能用來下指令的資訊安全漏洞已愈來愈少。
8. 雖然僵屍網路遍布全球，但我們預測仍能在 2010 年在與網路罪犯的爭鬥中取得一定程度的勝利。

資料來源：McAfee 2010 威脅預測 @2009/12/xx

M86 Security™ 發佈2010年資安威脅報告：

1. 殭屍網路（Botnet）將更形複雜
2. 假冒安全軟體（Scareware）持續增加
3. 中毒的搜尋引擎結果
4. 網站感染的進化
5. SaaS及雲端服務的定位前景
6. 運用協力廠商應用程式
7. 國際網域名稱濫用
8. 攻擊應用程式開發介面
9. 網址縮短服務隱藏邪惡手段

資料來源：M86 Security 新聞 @2009/12/04

趨勢科技2010年資安威脅預測報告：

1. 網際網路基礎架構的變遷為網路犯罪者開啟了更多的機會。
2. 網路犯罪者將利用社交媒體與社交網路混入使用者的「信賴圈」。
3. 全球性疫情將逐漸絕跡，地區性或鎖定特定對象的攻擊將成長。
4. 以下是2010年以及未來的一些主要預測

• 「錢」是一切的誘因，網路犯罪不可能消失。
• Windows 7 將會帶來一些影響，因為，其預設的安全等級比 Vista 稍低。
• 就算使用非主流的瀏覽器或作業系統也無法避免風險。
• 惡意程式每幾個小時就會變形一次。
• 強制性感染已經成為常態，只要瀏覽到惡意網站就會感染。
• 未來將出現針對虛擬化與雲端運算環境的攻擊方式。
• Bot 程式將永遠存在，無法根除。
• 企業網路/社交網路的資料外洩事件仍將持續發生。

資料來源：網路資訊雜誌 @2009/12/16

卡巴斯基實驗室發佈2010網路威脅預測報告：

1. 來自檔案共享網路的攻擊增加
2. 透過P2P網路，散播流行性的惡意程式將大規模的增加
3. 來自網路罪犯的流量持續競爭
4. 偽防毒軟體的詐欺程式衰退
5. 針對Google Wave的攻擊
6. 針對iPhone與Android移動裝置平台的攻擊將有所增加

「在2010年，特定的惡意軟體開發者將越漸成熟，並需要更大量的資源，以對抗防毒軟體公司。應用程式的弱點，仍會是網路罪犯的首要目標。而最終，我相信即時搜尋引擎、黑帽搜尋引擎最佳化技術（Black Hat Search Engine Optimization）與社交網路將會成為網路犯罪的重點。」
資料來源：卡巴斯基 新聞 @2009/12/22

Panda實驗室：2010年度的電腦威脅預測

1. 更多防毒廠商高舉雲端防護的旗幟-雲端運算的風暴即將來襲。
2. 排山倒海襲來的惡意軟體-現行流通的惡意軟體數量將會持續成長。
3. 社交陷阱-透過搜尋引擎（比方說搜尋引擎優化的欺騙手段）和社群網站上，以網頁強迫下載的方式來讓使用者受到感染。
4. Windows 7作業系統-Windows 7在未來兩年內勢必會掀起更多的惡意攻擊浪潮。
5. 手機-如果幾年以後只剩下2～3家比較知名的手機平台，並且人們開始使用手機轉帳服務的話，到時我們再來談手機平台上的網路犯罪潛力也還不遲。
6. 蘋果電腦-預計2010年將有更多設計專屬的惡意軟體去攻擊該平台的作業系統。
7. 雲端運算服務-針對雲端基礎設備或服務的攻擊方式將越來越有可能實現。
8. 網路戰爭-政治動機的網路攻擊，可能影響經濟或關鍵設施。

資料來源：Panda新聞 @2009/12/23

SophosLabs 安全威脅報告：2010年
(此報告乃回顧2009)

1. Social networking：社群網路勢不可檔，做好衝擊因應。
2. Data loss and encryption：第一步如何在資料遺失前對其進行加密，第二步如何控制使用者處理資料。
3. Web threats：Web仍是惡意程式最大散播媒介，而偽防毒軟件與SEO惡意軟件興風作浪。
4. Email threats：惡意郵件不死，透過郵件附件與嵌入連結方式散播從未停歇。
5. Spam：受控制的殭屍電腦仍是最大發信來源。IM及社群網路散播居次。論壇與部落格的留言要注意。
6. Malware trends：有著巨大的地下經濟利益。Adobe Reader(PDF)成為攻擊目標。知名蠕蟲-Conficker。
7. Windows 7：提供一個更加安全的環境，但仍有改善的地方。
8. Apple Macs：調查有69%的 Mac 使用者並未安裝防毒軟體。但跨平台的 PDF 漏洞卻充斥著。
9. Mobile devices：智慧型手機帶來惡意程式的隱憂。
10. Cybercrime：經過十年已經發展成巨大的地下經濟體，而個資與信用卡資料是黑市熱買商品。
11. Cyberwar and cyberterror：民生重大基礎建設(如水力、電力...等)可能透過網路遭受遠端攻擊、控制或破壞等。此亦為未來一大隱憂。

資料來源：SophosLabs @2010/1/xx

Cellopoint對2010年郵件威脅預測：

1. 僵屍網路與惡意程式持續增加
2. 社交網路安全威脅急遽攀升
3. 第三方遊戲與應用程式威脅猶如不定時炸彈
4. 短網址服務成為駭客的最愛工具
5. 中文及東亞語系垃圾郵件量比例升高
6. 雲端運算的安全議題

資料來源：Cellopoint 新聞 @2010/1/4

Websense安全實驗室提出2010年八大威脅預警：

1. 隨Web 2.0而衍生的攻擊將更趨成熟而普及。
2. 殭屍病毒橫行且相互搶占地盤、火藥味濃厚。
3. “假借熟識者的偽Email”因攻擊成功率高，再度成為駭客使用媒介首選。
4. 針對微軟為目標的攻擊事件，目前預測鎖定Windows 7和IE 8。
5. 小心點選搜尋結果。
6. 駭客也花錢下廣告?!假廣告隱藏真危機，網友要小心！。
7. Mac作業系統能夠一如既往面對威脅卻全身而退嗎？2010年會證明，「不可能！」。

資料來源：Websense安全實驗室 新聞資料室 @2010/1/11

賽門鐵克資安儲存趨勢2009年回顧暨2010年觀察
2010年值得觀察的網路安全趨勢：

1. 防毒已經不夠了
2. 社交工程 (Social Engineering) 將成為主要的攻擊媒介
3. 流氓安全軟體廠商將變本加厲
4. 社群網路第三方應用程式將成為詐欺的目標
5. Windows 7將成為攻擊者鎖定的對象
6. 即融殭屍網路(Fast Flux Botnets)將增加
7. 網址縮短服務將成為網路釣魚者的幫兇
8. Mac 和手機惡意軟體將會增加
9. 垃圾郵件作者不再墨守陳規
10. 隨著垃圾郵件作者對環境的適應度，垃圾郵件的數量將持續波動起伏
11. 專業化的惡意軟體
12. CAPTCHA技術將有所改進
13. 即時通訊垃圾郵件
14. 非英文的垃圾郵件數量將持續增加

2010年值得觀察的儲存趨勢：

1. 2010是「刪除年」
2. 2010是終止累積備分磁帶作長期保留之用的一年
3. 無所不在的重複資料刪除
4. 產業競爭將推動標準化軟體的發展
5. 移轉的一年
6. 虛擬化的腳步將超越x86的範圍
7. 雲端儲存迎頭趕上
8. 雲端儲存推動資料管理
9. 企業組織已經無法拖延「綠色」運動

資料來源：賽門鐵克 新聞 @2010/2/25

CSA (Cloud Security Alliance):Top Threats to Cloud Computing V1.0

1. Abuse and Nefarious Use of Cloud Computing(濫用或非法使用雲端運算)
2. Insecure Interface and APIs(不安全的介面與 API)
3. Malicious Insiders(惡意的內部人員)
4. Shared Technology Issues(共享技術產生的議題)
5. Data Loss or Leakage(資料遺失或外洩)
6. Account or Service Hijacking(帳號或服務劫持)
7. Unknown Risk Profile(未知的風險):使用者無法了解雲端所使用的網路架構、系統架構、軟體版本等重要資訊，亦無法進行安全評估。

資料來源：Top Threats to Cloud Computing @2010/3/xx

安天(ANTIY)實驗室信息安全威脅綜合報告
信息安全威脅\趨勢預測：

1. 隨著0Day漏洞的增加，網站掛馬依然是黑客入侵的主要方式，可以預見2010年下半年網站掛馬的數量將會大量增加。
2. 第三方軟件漏洞將成為黑客利用的主要途徑，近年來頻頻發生的第三方軟件安全漏洞多為黑客所利用，也造成了巨大的影響，
3. 無線攻擊將會成為黑客攻擊的新目標，目前已經出現的無線破解技術，可以讓攻擊者免費蹭網。 今後無線攻擊將會給用戶帶來更大的威脅。
4. 病毒將越來越頑固，2010年上半年出現了大量的惡意IE圖標病毒，因其為註冊鍵值，所以傳統的殺毒軟件將病毒清除後並不能刪除惡意的IE圖標。
5. 修改主引導記錄的病毒將增多，病毒利用此技術可以先加載病毒文件再啟動操作系統，使反病毒軟件難以查殺。

反病毒技術發展趨勢分析：

1. 反病毒廠商將根據計算機病毒整體的變化來修改雲計算的算法，用以更快的發現小範圍內傳播的計算機病毒，使雲計算更加合理。
2. 反病毒產品將加強自身及用戶系統的保護，防止主引導記錄被修改等，以弱化惡意代碼取得系統控制權的能力。
3. 反病毒產品將提升綜合處理能力，盡量全面的清除病毒並將系統恢復到正常工作狀態。

資料來源：安天實驗室 病毒预警 @2010/7/6

IBM X-Force 2010 年中趨勢與風險報告：

1. 攻擊者逐漸使用諸如 Javascript Obfuscation 與其他的轉換技術，這讓 IT 安全專業人員備感頭痛。Obfuscation 是一種供軟體開發人員與攻擊者之類用來隱藏或遮蔽所開發應用程式碼的技術。
2. 向來不勝枚舉的安全漏洞舉報增加了 36%。在 2010 年，我們看到大量的安全漏洞揭露，這是因為公開漏洞利用發佈數目大量增加，以及多家大型軟體公司致力於識別及降低安全漏洞。
3. PDF 攻擊持續增加，因為攻擊者找到新方法詐騙使用者。要瞭解 PDF 為何成為攻擊目標，您可以思考一下，在企業組織中端點通常是最弱的鏈結，而攻擊者當然知道這個事實。例如，在特定端點上可能沒有機密資料，但該端點可能會存取具有機密資料的端點，或者，該端點可以作為特定的彈跳點，以啟動對其他電腦的攻擊。
4. Zeus BotNet 工具箱持續嚴重摧殘組織，Zeus BotNet 套件在 2010 年初發行更新版 Zeus 2.0，此版本中的主要新功能為攻擊者提供更新功能

資料來源：IBM X-Force 威脅報告 @2010/8/xx

最後，一些心得與想法：

• 地下經濟(Botnet、黑市交易...)已然成型，正視它吧。
• 有意圖(政治、經濟、商業、機密資料...等目的)的攻擊行動，這才是比較棘手的。
• 新技術(新作業系統、智慧型手機、雲端...等)的出現，永遠都是新戰場，黑白兩道都想插旗子。
• 電子郵件與 Web 一直都是惡意程式散播的超強媒介，但目前都看到電子郵件與 Web 有開始轉型的跡象。(fb 可能推出的新世代電子郵件，Web 有另類 APP 或雲端的轉型概念)
• 熟悉使用各瀏覽器特性，培養建全資安意識，點滴打造安全瀏覽環境，將是網路使用者持續努力的長久課題。
• 企業對於機敏資料的保護，同樣是持續努力的長久課題。
• 漏洞永遠存在，如何在惡意利用前找到或發現，如何在惡意利用當下阻擋或發掘，如何在惡意利用後察覺、反應、應變，沒有解決方案，只有「面對它、接受它、處理它、放下它」。
• 社群網路將使攻擊手法更貼切、平易近人，形成特定、細膩化的攻擊。若使用者無法在社群網路上控管好個人隱私，哪又如何寄望使用者能對企業機敏資料善盡保管之責呢？