AWS Lambda讓企業更容易前進無伺服器時代

Amazon新的雲端運算服務(Compute Service)AWS Lambda,讓用戶能用更簡易的方式建立後端服務,執行Javasript程式碼,而無需自行管理維護伺服器,並在流量大時自動擴展規模。雖然只是預覽版,還未正式上市,但目前美國影音串流公司Netflix已在使用。AWS Lambda適合用在提供事件觸發(Event Trigger)的服務,例如使用者用App將圖片上傳至雲端,並在App瀏覽縮圖的功能。當圖片傳送至AWS Lambda的事件成立後,就會觸發縮圖程式產生小圖,而App便能取得產生的結果。

而事件觸發類型的行為皆適用AWS Lambda服務,諸如App中的互動行為、網頁點擊,甚至連線裝置的輸出等,不過Amazon特別提到,盡量不要使用狀態機形式的程式邏輯,以免影響效能。AWS Lambda宣稱無論流量多少,都能維持同樣的效能。總括來說,AWS Lambda是一個極高階的運算服務,整合了營運、管理、安全性更新、程式碼部署、網頁服務以及監控後臺。

 

Amazon列出3種AWS Lambda服務可能的使用情境。

 

可以先把AWS Lambda想像成一般雲端網頁伺服器,而各資料夾被稱作資料桶(Bucket)。

 

使用AWS Lambda提供的工具上傳網頁程式到資料桶中,頁面右邊會顯示資料桶中物件屬性。

 

作為範例所上傳的網頁,是一個陽春的部落格程式。

 

Lambda服務使用Amazon DynamoDB的NoSQL資料庫存放資料。

 

AWS Lambda的關鍵就在資料桶上可以設定事件(Event),當事件被觸發便會執行相對應的動作。

 

以自動產生縮圖為例,設定當此資料桶增加圖檔,則滿足觸發事件的條件,AWS Lambda便自動執行相對應產生縮圖的程式碼。

 

無論是直接將圖上傳至資料桶,或是經由網頁程式上傳,只要資料桶中有新增圖檔,便會產生縮圖。

 

圖左是事件的程式碼,下拉式選單可以選擇幾項預設的事件,也可以用自己撰寫,右邊則是當事件被觸發時,所要執行的動作函式,下方可以預覽程式碼執行的結果。目前Lambda只支援Javascript,未來將會支援更多主流程式語言。

 

後臺可以觀察函式被呼叫的次數以及各種數值。

 

先手動在DynamoDB輸入一筆紀錄

 

圖十一:部落格顯示了手動輸入資料庫的文字,以及剛剛自動產生的縮圖。

 

AWS Lambda免費提供前100萬次請求,以及每月320萬秒的計算時間,之後每百萬請求收費0.2美元。AWS Lambda是Amazon試圖讓企業無伺服器化的重要戰略之一。

—–

資料來源:http://www.ithome.com.tw/news/93920

鎖定微軟SMB漏洞的概念性驗證程式被公開,Windows 10在內多個系統遭殃

US-CERT警告微軟Windows的伺服器訊息區塊SMB存在記憶體毀損漏洞,可能導致駭客自遠端阻斷服務或執行任意程式,CVSS評分為最高風險的10分,影響Windows 8.1、Windows 10、Server 2012與2016等多個系統,目前已有攻擊程式現身。

—–

美國電腦緊急事件應變小組(United States Computer Emergency Readiness Team,US-CERT)在周四(2/2)警告,微軟Windows在處理伺服器訊息區塊(Server Message Block,SMB)時含有一記憶體毀損漏洞,將允許駭客自遠端阻斷服務或執行任意程式。

SMB又名網路檔案分享系統,是微軟所開發的應用層網路傳輸協定,主要功能是讓網路上的機器能夠共享檔案、印表機、串列埠及通訊等資源。

US-CERT說明,當Windows系統連上一個惡意的SMB伺服器時,駭客就能自遠端造成阻斷服務攻擊,若擁有Windows核心權限還可能執行任意程式。

該漏洞在共通弱點評估系統(Common Vulnerability Scoring System,CVSS )上被賦予最高風險的10分,而且攻擊程式已經現身,影響多個Windows版本,從Windows 8.1、Windows 10、Windows Server 2012到Windows Server 2016等。

目前微軟尚未修補該漏洞,US-CERT則建議系統管理人員可封鎖SMB從區域網路到廣域網路的連結,以避免漏洞被開採。

 

資料來源:http://www.ithome.com.tw/news/111664

企業資安龐大風險員工認知與訓練不足

台灣企業普遍認為,員工缺乏網路安全知識是最大的內部威脅,趨勢科技最近所做的一項CLOUDSEC網路安全線上問卷調查顯示,亞太地區企業每 10 家當中不到 1 家真正完全了解網路攻擊的運作。

亞太地區包含新加坡、台灣、印度、菲律賓、香港、日本等,共有300間企業受訪者接受調查,能看出企業普遍缺乏網路安全意識,約50% 的受訪者表示公司並無網路安全意識提升計畫,59% 認為「員工缺乏相關知識」是網路安全威脅。

趨勢科技台灣暨香港區總經理洪偉淦指出,網路威脅真實而存在。不僅如此,隨著數位化、雲端、物聯網 (IoT) 迅速普及,網路威脅將變得越來越個人化,也越來越精密;一套完善網路安全策略,必須主動掌握內部的人員、系統與流程。

洪偉淦強調,公司工作人員有可能成為一個資訊安全脆弱環節,台灣區的調查數字顯示,心員工缺乏資安相關知識恐成為企業資安隱憂更高達近七成,但只要能建立人員的正確態度和知識 就能將這項弱點轉化成最有效的防禦。

企業應嚴格執行資安意識提升計畫,定期實施真實的資安演練, 鼓勵人員不斷提升技能,如此才能做好萬全準備, 對抗持續不斷的威脅。

為了協助企業提升網路安全意識、準備度及效率,趨勢科技 CLOUDSEC 2016 大會將以「掌握情資,化為主動」為主題,廣邀全球資安專家和企業高階主管齊聚一堂, 分享各種不同的觀點及見解,協助企業主動掌握內部人員、系統與流程。

 

新聞來源/NOWnews:http://www.nownews.com/n/2016/08/15/2204609

電子郵件夾帶惡意程式 佯裝求職回函導致電腦中毒

電子郵件夾帶惡意程式相當常見,由於網路求職相當常見,難保沒有佯裝信件欺騙求職者打開,不小心電腦中毒外,同時大量寄出有毒程式,本土電腦防毒業者趨勢科技提醒,畢業季求職者必須保持戒心,不要任意開啟信件附件檔。

趨勢科技產品經理朱芳薇表示,公司調查發現,台灣是點選惡意網址國家第三名,網路犯罪常鎖定熱門關鍵字,透過藏有惡意程式網址,試圖入侵使用者的電腦以竊取個資,隨著求職季到來,求職相關網站也成為熱門關鍵字之一。

求職者在網路搜尋與瀏覽網頁同時,要注意不要輕易點選網址,對於不明背景公司的徵才資訊提高警覺,才能維護網路安全;另外,也要謹慎保管個人金融帳戶資料,若收到要求提供如帳戶、存摺或提款卡等資料,務必小心謹慎。

接受公司職務提供個人帳戶資料前,可在經濟部網站查詢有無公司營業登記,勿輕易相信詐騙集團,以免成為人頭帳戶,被主管機關列為警示帳戶並被凍結;來路不明的抽獎或低投資高報酬的工作,千萬要注意不要任意聽信。。

趨勢科技建議,求職者可安裝具有阻擋惡意網址並偵測惡意檔案及連結的資安防護軟體,避免誤觸資安地雷,PC-cillin2016雲端版可主動偵測並預警來自網站、社群網路和電子郵件中的惡意連結,避免瀏覽網頁時誤擊惡意網址等資安威脅。

資料來源:電子郵件夾帶惡意程式 佯裝求職回函導致電腦中毒

避免Windows電腦遇駭 美建議移除QuickTime

美國國土安全部網路安全小組表示,為了避免遭到駭客入侵,建議民眾移除Windows電腦中的多媒體軟體QuickTime。

繼趨勢科技(Trend Micro)公布蘋果將不再對QuickTime進行安全更新,且發現QuickTime有兩個可能受駭客侵入的安全漏洞後,美國電腦安全應變小組(CERT)今天也發出警告。

法新社報導,CERT指出,利用Windows裡的QuickTime漏洞,可遠端進行攻擊並控制,影響整個系統。

「現在唯一可以緩解的辦法,就是移除Windows中的QuickTime。」(譯者:中央社許湘欣)

資料來源:http://udn.com/news/story/5/1633461-%E9%81%BF%E5%85%8DWindows%E9%9B%BB%E8%85%A6%E9%81%87%E9%A7%AD-%E7%BE%8E%E5%BB%BA%E8%AD%B0%E7%A7%BB%E9%99%A4QuickTime

iOS出現假面攻擊漏洞:你的app就是駭客的app

資安業者FireEye發現,iOS系統出現app的檢驗漏洞,駭客可藉以誘騙使用者下載假冒的app並偷偷取代從蘋果官方 App Store安裝的合法應用程式,讓使用者的app變成駭客的惡意程式,並可能藉以盜取手機內的敏感資訊。

FireEye將此類攻擊手法命名為「假面攻擊」(Masque Attack),其機制主要是利用iOS未針對bundle identifier相同的兩款應用執行憑證比對的系統漏洞,駭客可以透過無線網路或USB進行攻擊。目前安全研究人員在 iOS 7.1.1、7.1.2、8.0、8.1及8.1.1 beta中都發現這個漏洞,不論裝置是否有越獄(jailbreak)都可能受到攻擊。FireEye指出,已有證據顯示問題開始蔓延,而為了防患未然,決定有必要公佈這個漏洞。

FireEye研究人員是在今年7月26日研究新惡意程式WireLurker時發現它開始透過USB進行Masque Attack攻擊。該公司並表示,這個漏洞的安全威脅比WireLurker惡意程式還高,因為它讓駭客能夠藉以用惡意程式模仿正牌應用,像是網路銀行或email等應用的UI,並使駭客透過網路傳播山寨應用程式,進而取代正牌應用,而且,種入的惡意程式雖然取代正牌應用,但不會移除其本機資料,像是儲存的郵件、登入密碼等等。這表示駭客可以因此取得用戶的機密資訊,像是網銀帳號及密碼。

這個漏洞主要存在於企業/ad-hoc供應機制(enterprise/ad-hoc provisioning),因而讓下載的冒牌iOS應用得以取代由App Store下載的合法應用,只要兩款應用都使用相同的bundle identifier,即iOS用以識別每一個開發者的軟體識別碼。冒牌應用可能使用任何名稱(如新版Flappy Bird)誘使用戶下載,安裝後並可能取代任何從App Store下載的合法應用,例如Gmail,只有預載的iOS 應用如Mobile Safari能夠免疫。

由於透過企業供應機制(enterprise provisioning)的應用(該公司稱為EnPublic apps)不受蘋果審查,因此攻擊者可能使用iOS私有API進行背景掃瞄或模仿iCloud UI來竊取Apple ID及密碼。駭客也能使用Masque Attack繞過正常應用的沙箱,而取得根目錄權限以攻擊已知iOS漏洞。此外,行動裝置管理(MDM)介面無法辨別真、假應用,因為它們使用了相同的bundle identifier,目前也沒有MDM API可取得各應用的憑證資訊,因此MDM很難偵測到這類攻擊。

根據FireEye的展示,駭客經由文字簡訊傳送連結,誘使使用者升級New Flappy Bird ,用戶按下安裝鍵後即下載具有com.google.Gmail的新程式,結果導致真的Gmail應用遭冒假的Gmail應用取代。

iOS 7用戶可以到設定(Settings)–>一般 (General) –> 資料匣(Profiles)檢查「供應描述檔」(PROVISIONING PROFILES)確認是否遭遇假面攻擊。FireEye也呼籲使用者,不要從App Store官網以及公司內部之外的地方安裝程式,不要點選任何第三方網站所跳出的程式安裝訊息。看到iOS跳出「不受信任的應用開發者」(Untrusted App Developer)警告時要立即按下「不信任」(Don’t Trust)並移除該程式。(編譯/林妍溱)

 

資料來源:http://www.ithome.com.tw/news/92214

最強大勒索軟體CryptoWall進化到4.0版,更難偵測,連檔名都加密!

CryptoWall 4.0加密的不只是使用者檔案中的資料,甚至還加密了檔案名稱。此舉可讓受害者因不確定哪些檔案遭到加密而更加緊張,可望增加支付贖金的受害者比例。

資安業者Heimdal Security警告,市面上最強大的勒索軟體CryptoWall已出現第四代的版本,除了更難以偵測,而且加密的不只是受害者的資料,連檔案名稱都加密了。

CryptoWall被Dell旗下的安全研究機構CTU視為是網路上最強大也是最具破壞性的勒索軟體,CryptoWall的作者亦不斷更新該軟體,從去年6月問世迄今,不到一年半的時間就推出4個版本。美國FBI也坦承CryptoWall是對美國造成最大威脅的勒索軟體,而網路威脅聯盟(Cyber Threat Alliance,CTA)的調查則顯示,今年1月出爐的CryptoWall 3已造成3.25億美元的損失。

Heimdal Security安全專家Andra Zaharia表示,CryptoWall 4.0大幅改善它的通訊能力,包括可變更協定以躲避偵測,甚至能越過第二代的企業防火牆解決方案,而且只有非常少數的防毒軟體能夠辨識它,使得它被偵測到的機率更低於CryptoWall 3.0。

此外,CryptoWall 4.0加密的不只是使用者檔案中的資料,甚至還加密了檔案名稱。此舉可讓受害者因不確定哪些檔案遭到加密而更加緊張,可望增加支付贖金的受害者比例。

沒變的是CryptoWall 4.0依舊使用TOR匿名網路,而且持續利用受到危害的各網頁來散布,主要感染途徑亦與舊版一致,皆為垃圾郵件與偷渡式下載。

一旦遭到CryptoWall 4.0感染,受害者只有兩個選擇,一是重新格式化系統並從最近的備份回復資料,二是支付贖金但無從保證能夠拿到解密金鑰。

Zaharia強調,他們並不建議受害者支付贖金,最好的作法是經常更新系統及資安軟體,經常備份,不要在電腦上存放重要資訊,以及不要開啟來路不明的郵件或檔案。(編譯/陳曉莉)

 

資料來源:http://www.ithome.com.tw/news/99868

網管注意!勒贖軟體已盯上Linux網站!

Doctor Web根據其加密的目錄判斷,駭客主要目標是網站管理員。Linux.Encoder.1入侵電子商務網站常用的Magento CMS漏洞進入主機系統後,就會加密受害電腦中與網站管理有關的主目錄,然後從其加密的目錄開始重覆搜尋整個檔案系統,下一次則從根目錄開始搜尋。

安全廠商Doctor Web發現一隻名為Linux.Encoder.1的新種特洛依木馬專門瞄準Linux作業系統而來,企圖藉由加密檔案向被害者勒索。

Doctor Web根據其加密的目錄判斷,駭客主要目標是網站管理員。Linux.Encoder.1入侵電子商務網站常用的Magento CMS漏洞進入主機系統後,就會加密受害電腦中與網站管理有關的主目錄,然後從其加密的目錄開始重覆搜尋整個檔案系統,下一次則從根目錄開始搜尋。

Linux.Encoder.1在加密檔案後會加入.encrypted的副檔名,目錄名稱也會加上駭客指定的字串。每個目錄內除了包含被加密的檔案外,還包含駭客勒贖要求的文字檔README_FOR_DECRYPT.txt,以及連向公用RSA金鑰的路徑檔案。Linux.Encoder.1利用這把RSA金鑰儲存加密的AES金鑰後,便會刪除原始檔案。

根據研究人員蒐集到的檔案訊息,駭客要求受害者要支付1個比特幣(大約400美金上下)才能解除檔案的加密。Doctor Web並建議,受害者最好能將樣本及詳細情況提供給專業人員,擅自修改或刪除檔案,可能導致永遠救不回被加密的資料。

Doctor Web估計目前受害電腦並不多,只有數十台。但安全部落格Krebsonsecurity指出,雖然Checkpoint今年4月已經發現Magento的漏洞,Magento也已在10月底釋出修補程式,不過仍有許多小型商務網站未能及時更新。

勒贖軟體已成資安界最大挑戰。CryptoWall自2013年9月出現以來已被FBI列為對美國造成最大威脅的勒索軟體。眾家資安業者組成的網路威脅聯盟(Cyber Threat Alliance,CTA)也估計最新版的CryptoWall 3迄今已造成3.25億美元的損失。(編譯/林妍溱)

 

資料來源:http://www.ithome.com.tw/news/99865

惡劣色情App:偷拍照片再鎖機,然後勒索500美金!

Adult Player會偵測手機是否有相機可用,在用戶使用App時拍攝相片,並將受害者手機及作業系統資訊傳送到遠端伺服器,利用偷拍的相片客製化勒索頁。

 

 

惡劣色情App

惡劣色情App

安全公司Zscaler發現一款名為Adult Player的Android App偽冒成播放色情影片的App,騙取使用者下載開啟後,會偷拍使用者相片並鎖機,然後向用戶勒索高達500美元的贖金。

Zscaler解釋,Adult Player在使用者下載開啟後,會要求管理員權限。使用者按啟動後出現假的更新網頁,實則透過名為「反射攻擊」下載另一個名為test.apk的惡意程式。

Adult Player會偵測手機是否有相機可用,如果有,便會在用戶使用App時拍攝相片,並將受害者手機及作業系統資訊傳送到遠端伺服器,然後以偷拍的相片客製化勒索頁。它會在展示勒索頁的同時鎖住手機,頁面包含假冒來自FBI的文字訊息,指稱使用者因觀看、儲存,及散佈違禁的兒童色情內容,基於安全理由手機遭到鎖定,資訊也被加密。並要求以PayPal支付500美元,即可在24小時內解除手機鎖定及內容加密。

Zscaler指出,這款惡意程式十分頑強,難以移除,即使用戶重新開機還是沒用,因為它會在手機重開機後立即啟動,不讓使用者有時間進入手機「設定」區移除該程式。

資安公司建議,可以安全模式重新開機,在此模式下裝置會在不執行第三方App情況下開機。然後到「設定→安全→裝置管理員」,移除其管理員權限,再到「設定→應用程式」將該程式移除。並建議使用者最好只從信賴的軟體商店如Google Play下載App,可在裝置上的「安全」設定下,取消勾選「未知的來源」以防不慎安裝來源不明的程式。(編譯/林妍溱)

 

資料來源:惡劣色情App:偷拍照片再鎖機,然後勒索500美金!

防毒軟體也有漏洞,Google抓蟲小組示範如何入侵Nod32(記得快更新!)

Google旗下的抓蟲小組Project Zero在官網上公布了一份Eset漏洞分析報告,並展示如何利用此漏洞來入侵安裝了Eset旗下防毒軟體如NOD32的電腦,取得電腦的控制權,任意刪除任何檔案。此漏洞將影響Eset旗下所有防毒軟體,包括企業版NOD32。Eset也於6月22日釋出更新程式。Google警告,防毒軟體也有漏洞,這不只是理論上的風險,已可從媒體報導看出,厲害的駭客開始對防毒軟體有興趣。

Google表示,所有連上網路且安裝Eset產品的電腦都會受到此漏洞的影響。駭客入侵電腦後可以讀取、修改及刪除受害者的任何檔案,甚至使用攝影鏡頭或麥克風等外接裝置,也能監控使用者的鍵盤紀錄或網路流量等。抓蟲小組還以一臺安裝Eset NOD32預設商業版的電腦來示範攻擊行動,只要使用者點選了惡意連結,駭客就可以取得root權限來執行任意命令。Google表示,除了透過惡意連結發動攻擊外,此漏洞還有上百種的攻擊方式。

此漏洞存在於Eset軟體的病毒碼中,因為Eset各平臺軟體都是在執行階段載入病毒碼資料和功能模組,因此,Eset旗下各平臺的防毒產品都會受到漏洞的影響。Googel揭露了目前已知受到影響的產品版本,包括Eset Smart Security Windows版、Eset NOD32 (Windows、OS X及Linux版)、 Eset端點防毒(Windows及OS X版)及Eset NOD32企業版本。

Project Zero用一臺安裝Eset NOD32預設商業版的電腦做為示範,當用戶點了惡意連結,攻擊者便可以用root權限執行任意命令。

圖片來源:Project Zero

資料來源:http://www.ithome.com.tw/news/96983