轉載「建立安全的雲端環境：身分認證與存取管理實務(上)」訊息

 建立安全的雲端環境：身分認證與存取管理實務(上)

憑證最佳實務(Credential Best Practices)
錯誤的配置和不當的處理可能會導致使用者憑證受到惡意利用，為了保護憑證的安全，應注意以下幾點：

   - 避免明文儲存：雲端憑證不應以明文形式儲存，若需要，可以利用密碼管理工具管理憑證，例如使用硬體安全模組（HSM）來保護私密金鑰。
   - 停用記住密碼功能：為進一步降低風險，應停用網站或程式的記住密碼功能。
   - 實施多因子身份驗證（MFA）：在可能的情況下，應實施多因子身份驗證，例如使用一次性PIN碼、PKI Token等。

如果無法使用基於PKI的身份驗證，則可以生成私密金鑰，允許應用程序以程式設計方式管理雲端資源。在發行金鑰時，應該妥善處理這些金鑰，因為攻擊者將其視為有價值的目標，CISA也提供一些建議包括：

1. 最小權限原則：避免使用root或管理權限建立金鑰，並將金鑰僅授予完成操作所需的最低權限
2. 加密儲存：金鑰應由金鑰管理器處理並加密儲存，而不應以明文形式包含在應用程式原始程式碼中或嵌入到二進位檔案中。
3. 使用SSH金鑰：若使用SSH金鑰對連接到雲端託管虛擬機，則應將私鑰儲存在密碼管理器中，並避免共享。

 聯合身份(Identity federation)
在雲端環境中，組織通常會共享身份資訊，以簡化跨環境的身份管理，這種方式稱為聯合身份(Identity federation)，然而，將本地身份與雲端環境的系統聯合在一起，往往成為攻擊者的目標，因為他們希望在不同環境之間輕鬆移動。為了確保整體安全，保護與監控聯合身份伺服器至關重要，建議執行以下安全措施：

- 使用端點偵測和回應系統識別攻擊的意圖，並定期審核以掌握潛在的危害
- 使用硬體安全模組（HSM）來保護用於聯合身份的憑證和金鑰
- 實施網路分段原則，以隔離重要伺服器

【資安新聞-中時新聞網】

 中市數位局攜手興大等單位 舉辦中部資安長研討會

詳細資訊請參考：https://www.twcert.org.tw/tw/cp-15-7763-d8afb-1.html

轉載「中市數位局攜手興大等單位 舉辦中部資安長研討會」訊息

 

【資安新聞-中時新聞網】

 中市數位局攜手興大等單位 舉辦中部資安長研討會

台中市數位局長林谷隆強調，過去資安長（CISO）與專職資安人員制，主要落實在各級政府與特定非公務機關，隨著企業資安事件發生頻率與日俱增，金管會在2021年底，規定公開發行公司，要指派「資安長」與設置「資安單位」。

因為企業一但發生資安事件，不僅會造成企業營運中斷、財務損失，更可能危害個人隱私，甚至是造成民眾恐慌與困擾。因此，做好資安治理，更需要產官學研界一起攜手合作。

這次「中部資安長研討會」獲得熱烈的回響，代表中台灣產業，對於資安議題的高度關注和需求，更顯示企業對資安人員培訓的需求。因此，此次透過數位局連結跨界資安長合作交流，能為中部地區的資安防護工作，注入新的動力，促進資訊安全意識的普及和技術水平的提升，進一步增強組織對抗資安威脅的能力。

中興大學資通暨個人資訊安全技術與服務產學聯盟主持人林詠章教授指出，透過一系列的研討活動，將資安治理的重點，傳遞給中部產業，並幫助組織優化資安布局規畫與實作落實，以期透過產官學三方的合作，用前瞻思維帶來資安職能培訓，使企業組織可更佳地應對複雜的資安挑戰，提升產業資安治理力量。

詳細資訊請參考：https://www.chinatimes.com/realtimenews/20240424005278-260410?chdtv

轉載「駭客組織Androxgh0st入侵全球逾600臺伺服器，臺灣、美國、印度是主要目標」訊息

【資安新聞-iThome】

駭客組織Androxgh0st入侵全球逾600臺伺服器，臺灣、美國、印度是主要目標

        資安業者Veriti指出，他們近期偵測到駭客組織Androxgh0st攻擊行動升溫，對方在存在已知漏洞的網頁伺服器部署Web Shell，最終目的是打算植入勒索軟體Adhublika，全球受害數量前三大的國家依序是美國、印度、臺灣，分別占25%、9%、5%。

        而對於這些駭客的攻擊手法，研究人員表示，對方主要透過已知漏洞而能在伺服器上部署Web Shell，其中最值得留意的兩個漏洞是網頁應用程式框架Laravel的RCE漏洞CVE-2021-3129，以及遠端管理軟體ScreenConnect身分驗證漏洞CVE-2024-1709（CVSS風險評分為9.8、10），因為，他們利用這類漏洞得到遠端控制的能力。

        而對於正處於活動狀態的Web Shell，研究人員指出，有不少與Oracle WebLogic伺服器RCE漏洞CVE-2019-2725（CVSS風險評分7.5）有關。

 

詳細資訊請參考：https://news.tvbs.com.tw/tech/2458199

轉載「安卓用戶快刪！3款APP暗藏間諜軟體 機密個資恐全遭竊」訊息

【資安新聞-TVBS】

安卓用戶快刪！3款APP暗藏間諜軟體　機密個資恐全遭竊

安卓（Android）用戶當心了，資安機構「ESET」近期在Google Play商店揪出3款APP暗藏代號為「XploitSPY」的惡意間諜軟體，不知情的用戶下載後恐會被盜取手機重要個資數據。

根據ESET指出，「XploitSPY」是一項活躍且有針對性的惡意間諜軟體，自2021年底就開始在網路流傳，多半匿藏在特定網站與Google Play的APP當中，而此次ESET揪出的3款APP都屬於訊息類型的應用程式，分別是「Dink Messenger」、「Sim Info」、「Defcom」。

在ESET舉報後，目前這些APP都已經被Google Play商店強制下架，如果有下載過的用戶，務必要從手機端刪除卸載，才不會讓手機個資暴露在資安風險中。

詳細資訊請參考：https://www.ithome.com.tw/news/162527

轉載「微軟某 Azure 伺服器竟無密碼保護！員工密碼憑證恐怕洩光光」訊息

【資安新聞-TechNews】

微軟某 Azure 伺服器竟無密碼保護！員工密碼憑證恐怕洩光光

微軟近年網路安全事件頻傳，2022 年爆發敏感登錄憑證被自己員工上傳到 GitHub 的荒唐事件。2023 年夏季，Exchange Onlie 被中國駭客入侵，存取美國政府電子郵件系統。4 月初，美國網路安全審查委員會發表審查報告，微軟本可避免自家軟體被駭，全因發展出「不重視企業安全投資和嚴格風險管理的企業文化」。

伺服器儲存許多程式碼、腳本與配置檔，含微軟員工存取其他資料庫與系統的密碼、金鑰與憑證，等於毫無保護完全曝露於公開網路。

SOCRadar 安全研究人員 2 月 6 日通報微軟，微軟也餘 3 月 5 日加強保護措施。但不清楚伺服器處於毫無密碼保護狀態持續多久，也不清楚是否有其他安全研究員或攻擊者發現這安全疏忽與漏洞。

詳細資訊請參考：https://infosecu.technews.tw/2024/04/17/microsoft-left-internal-passwords-exposed-in-latest-security-blunder/

轉載「MIC 預期未來五年全球AI網路安全市場 規模超過350億美元」訊息

【資安新聞-聯合新聞網】

MIC 預期未來五年全球AI網路安全市場 規模超過350億美元

AI發展帶來新的資安風險，也驅動防護發展與商機。資策會MIC表示，AI資安威脅有兩類，第一類是AI系統為攻擊目標，包含資料處理階段的資料污染，以及模型部屬後攻擊，情境如模型遭竊導致對抗性攻擊、提示注入導致資料外洩，以及AI蠕蟲，特別是RAG技術可存取企業知識庫，形成新的攻擊途徑，加上AI自主行為情境複雜且管理不易，使得零信任機制面臨極大挑戰。第二類是駭客利用AI進行網路攻擊，如DeepFake、識別系統漏洞、網路釣魚郵件，生成式AI更加速駭客學習新知與開發攻擊程式。

不同的威脅與攻擊樣態衍生不同的資安防護與商機。關注AI資安防護發展趨勢，資策會MIC表示，資安已是國安層面的議題，推動AI監管法規已成為國際共識並逐漸具體化，為此，企業須配合制定策略、流程，產出符合法規要求的評測與透明度報告，驅動可信任AI的流程與技術發展。

面對AI資安威脅，員工也是防護的關鍵一環，企業除了採取更主動與動態的安全策略，更須強化員工資安教育與培訓，提高企業對威脅的認識與應對能力。另外，開發者在AI整個生命週期都必須考慮資安，即使AI有強大的工作代理能力，也應避免賦予不恰當的權限。

詳細資訊請參考：https://udn.com/news/story/7240/7904489

轉載「駭客組織TA547利用AI產生PowerShell指令碼，目的是散布竊資軟體Rhadamanthys」訊息

【資安新聞-iThome】

駭客組織TA547利用AI產生PowerShell指令碼，目的是散布竊資軟體Rhadamanthys

資安業者Proofpoint揭露駭客組織TA547散布竊資軟體Rhadamanthys的攻擊行動，對方鎖定假冒德國零售業者Metro，針對當地各個領域的數十個企業組織寄送釣魚郵件，以提供發票資料做為誘餌引誘收信人上當。

比較特別的是，研究人員發現，用來載入竊資軟體執行檔的PowerShell指令碼出現不常見的特徵，攻擊者在每個元件的前一行寫入含有「＃」符號的註解，內容極為具體且文法完全正確，基於上述特徵，他們推測對方使用大型語言模型（LLM）產生指令碼的內容。

詳細資訊請參考：https://www.ithome.com.tw/news/162242