焦点速看：新兴联网科技威胁迫在眉睫　趋势科技呼吁全面掌控资安视野

2022年企业上云持续成长，带动企业数位韧性的提升，也为骇客攻击产业链开启升级模式。面对新旧威胁夹击，网路资安厂商趋势科技在CYBERSEC 2022大会中，从当前影响企业组织最剧的威胁出发，引领与会人员探讨骇客集团如何设下陷阱，透过勒索病毒及开放原始码漏洞等攻击手法让企业落入犯罪组织的圈套；并针对「元宇宙」和「电动车」等新兴科技应用领域发表资安挑战观察及防御建议，呼吁各界在网路危机可以秒瘫世界的威胁中，透过加强布建全方位视野的资安布局，採取行动快速制敌。

【资料图】

面对利用既有攻击手法，以及元宇宙和电动车等新兴科技延伸出现的资安威胁，趋势科技呼吁加强布建全方位视野的资安布局

趋势科技台湾区暨香港区总经理洪伟淦表示，骇客集团透过既有攻击手法获利并锁定新兴科技产业为下一波攻击目标已是进行式，然而，随著科技发展与商业环境的演变，未来企业要面对的是更为棘手、经过缜密性规划的进阶攻势。中国台湾位处全球高科技製造供应链中枢，资安事件所影响的范围不再是单一公司问题，而是扩及客户、合作伙伴、产业供应链甚至国家的重要议题。如何透过资安风险的管理及评估以升级资安韧性，应列入政府与企业经营团队的重要工作项目。

针对最新资安情势的观察，趋势科技核心技术部资深协理暨VicOne威胁研究副总裁张裕敏指出，近期研究团队发现不论在IT、OT或CT场域中，骇客已组成庞大的网路犯罪产业链，布局一连串相连的攻击循环模式，以造成全球企业严重损失的勒索攻击为例，从企业在发现遭到勒索攻击的当下，其所损失的不再只是是否支付赎金的问题，更可能衍生机敏资料遭外洩，是否有能力侦测系统弱点及即时修复漏洞，或甚至资安防御机制被骇客摸透而一再发动APT攻击等组织犯罪等后患隐忧。

勒索软体不再只是单纯勒索与资料加密

勒索软体一直是企业和组织最头痛的威胁之一，根据趋势科技调查报告指出，光是过去三年间就有将近七成的企业曾经遭受勒索软体的攻击。然而，随著商业环境演变，预期骇客除了将持续藉由社交工程、网攻、漏洞进行攻击外，还将寻找合法软体更新管道攻入企业(Software Supply Chain Attack)以窃取重要机密与存取权限来获取高额赎金。

若遇到勒索软体威胁，张裕敏建议，不要付赎金、寻求资安公司解密、进行资料外洩后的损害控制、进行攻击路径的釐清与阻断、帐密/认证等全面更新、资料备份机制再检验、AD/AAD机制重新了解等做法。

开放原始码安全问题应加以审视

开放原始码为企业应用发展带来了灵活与扩充性的优势，然而开发者对于开放原始码层层函数库的引用与依赖，亦使其成为骇客绝佳的攻击温床，特别是2021年底爆发Log4j重大安全漏洞问题，再度引起企业对开放原始码安全性的重视。对此，趋势科技呼吁企业应定期检视在企业内部使用了多少开源软体、是否能有效掌控与稽核开源软体的弱点，及是否有建置软体物料清单(SBOM)以缩短修补应变时间。

除了企业常见的资安威胁情势，骇客也已准备好在「元宇宙」及「电动车」两大新兴领域伺机而动，不仅干扰单一个人或企业运作，对新兴产业的发展也将造成关键影响，资安防护佈局将成为未来不可或缺的重要对策。

元宇宙

随著元宇宙概念持续发展，企业纷纷投入耕耘元宇宙世界中的土地买卖、虚拟货币交易、区块链、智能合约等相关市场商机，民众也相继开始在元宇宙世界进行虚拟交易买卖，期望从新兴的科技概念中致富获利。预估骇客也将跟随潮流朝向虚实整合目标迈进，将过去20年实际网路攻击经验複製到元宇宙之中，从企业和使用者两端逼近，包含NFT交易平台、QR code、热钱包都将有机会被骇客利用进行钓鱼及诈骗。

电动车

电动车已经让车辆从代步工具延伸成为智慧移动装置，联网车将为骇客集团新的攻击场域，位处电动车产业上游的供应链零组件厂商也将成为骇客发动攻击的首要目标，透过锁定工厂或研发单位，预先把恶意程式埋进原始码或公版程式内，等待恶意韧体版本部署到车子后在合适时机唤醒，不论针对车内娱乐系统、导航或是远端入侵自动驾驶系统，都将对行车及人身安全造成影响。

电动车的三大安全防护考量包括：车内网路安全防护(In-Vehicle Network Protection)、整车安全防护(Whole Car Protection)、车联网安全防护(Connected Car Protection)等。透过新的防护概念如安全性设计(Secure by Design)、SBOM、ISO 21434/WP29/R155/R156等法规遵循、汽车IDPS部署、Vehicle SOC建置、VA/PT/Fuzz test技术稽核等，强化电动车的安全。

面对崭新威胁情势，企业必须掌握先机升级资安行动。企业经历了数位转捩点，实体与虚拟世界的隔阂正在快速消弭，然而许多企业朝数位升级前进但资安措施却仍在原地踏步，导致资安团队对于不断产生的风险警示和攻击模式应接不暇。唯有在拥抱新科技的同时将资安同步纳入考量，频繁检视现行资安策略与既有防御机制是否足以因应新兴风险，才能在各种新兴威胁情势下稳如泰山。