2017年12月19日 星期二

106 年 11月份 TWCERT/CC資安情資月報

第 1 章、摘要

為提升我國民眾資安意識,TWCERT/CC於每月發布資安情資月報,月報中統整上月重要資安情資,包含TWCERT/CC近期動態、資安政策、資安威脅、資安趨勢、駭客攻擊事件、軟硬體漏洞及資安事件通報統計分析等資訊。
TWCERT/CC近期動態,本中心於本月辦理中日工程研討會
在資安政策方面,美公布決策準則,處理資安漏洞,而台灣強打資安 產值拚550億,並擬訂標準,防堵物聯網資安漏洞,另為了防駭客星、臺9國簽訂資安聯防。資安威脅方面,US-CERT警告WINDOWSASLR含有可接管系統的臭蟲,另US-CERTFBI警告:小心四處流竄的北韓駭客工具FALLCHILLGOOGLE公布常見帳號竊取手法,網路釣魚比駭客入侵更嚴重,另十多款防毒軟體隔離恐失效,AVGATER漏洞能縱放被封鎖的惡意程式,而空白WORD暗藏木馬,俄國駭客組織用微軟DDE協定攻擊散佈惡意程式。資安趨勢方面,新版OWASP十大網站安全風險排名出爐,微服務風潮帶來三大新安全風險,另4成公司查不到攻擊的駭客 金融業最常被盯上,而醫療領域IOT應用帶來安全新隱憂。
在駭侵事件方面,美國服飾商Forever 21顧客信用卡資料外洩,而英國典當業之電商購物網站客戶資料遭駭,Uber也證實遭駭,5700萬筆資料外洩,另加入LINE@會員、分享好友, 即可獲得折價券」,勿貪小便宜,避免個資遭竊,偵測工具KRACK Detector,可用來避免有心人士利用WPA2弱點進行KRACK攻擊。
在軟硬體漏洞部分, Microsoft釋出11月之安全更新;Oracle緊急釋出更新修復Identity Manager漏洞;OracleTuxedo軟體平臺存在嚴重漏洞JoltandBleedLinux KernelALSA 定序介面、waitid()系統呼叫存在弱點導致系統權限遭剽竊;Linux kernel經檢測USB驅動程式漏洞多達數十項;IEEE P1735規範之加密流程出現7漏洞,將危及電子設計智財權;OpenSSL釋出新版修補資料外洩漏洞;LibreOffice釋出新版修補記憶體寫入錯誤;Apache釋出OpenOffice4.1.4版修補漏洞;EMC修補ScaleIORSA® Authentication Manager數個漏洞;特定Intel處理器技術多組漏洞導致代碼執行或提權事件。
在資安研討會及活動部分,20171212日至15日於台大醫院國際會議中心舉辦「2017 Taiwan Internet Forum-與你我有關的資訊安全」,另20171219日於台北文創大樓舉辦「2018資安趨勢論壇」,另20171221日及20171228日分別於中國文化大學進修推廣部、NTC.im人才培訓中心召開白帽駭客認知班訓練課程。
本月份事件通報統計部分,分別介紹通報來源統計圖、攻擊來源統計圖及攻擊類型統計圖等統計數據,另接獲大量疑因遭駭客以電子郵件社交工程攻擊方式所獲之電子郵件帳號及密碼外洩清單。