【新聞】英特爾77億美元 併McAfee 強攻資安

其實真相是這樣的......

Intel總裁: "我要防毒, 幫我去買McAfee."
手下: "是, 老闆!"

隔幾天....

手下: "報告老闆, McAfee買好了!"
Intel總裁:"那等等幫我裝, 要付多少錢?"

⋯⋯

手下: "77億!"

如何進行個人資料盤點

　　《個人資料保護法》通過後，企業也必須回頭審視手邊擁有的個人資料，是否是當事人提供或間接蒐集而來，而這些個資使用目的是否已有變更，這些個資狀態都攸關企業未來在使用這些個資時，是否必須再取得當事人同意。

　　機關企業應該從業務流程的資訊流，去盤點企業目前所擁有的個資種類、數量和形式等，企業必須盤點到底有哪些個人資料，而這些個資來源是直接或者是間接蒐集而來的。要做個資盤點，蒲樹盛說，從資料的生命周期來看個資盤點是最適當的方式之一，從規畫、教育訓練、個資盤點並產生類別清單、個資流向、個資歷程等，就可以清楚掌握每一個資料的來龍去脈。

　　對於企業而言，這些個人資料盤點的流程，是最花時間也最需要人力的關卡。許多企業都在尋找自動化個資盤點的工具，但目前而言，仍須以半人工查驗的方式，才能盤點出企業內的個人資料有哪些資料類型和種類。

　　「除了要盤點電子化的個人資料外，企業還必須盤點紙本的資料。」若民眾到銀行開戶，會填寫很多書面申請表，銀行會掃描轉存成影像檔、PDF檔或其他電子化格式存檔，但這些紙本資料因為都有當事人的詳細個人資料，因此企業對紙本個人資料進行各種個資處理、利用、儲存甚至刪除等，都不可以忽略紙本個資這一個環節。

　　若您所服務的單位打算進行個人資料的盤點，各位可以參考K大俠所設計的「個人資料盤點調查表」，交由各部門負責人進行登記整理，以便作為下一個階段管理與保護個人資料的重要依據。（本文部份內容轉載於itHome）

立即檢查您的寬頻/AP分享器！

假如您的設備剛好是用 Web 頁面管理，採用 DD-WRT 或 OpenWRT Linux-based 的韌體，那麼快趁這僅存的幾天想好對策吧。因為 Seismic 的 Craig Heffner 宣稱他利用千年傳統．全新感受的入侵方法 - DNS rebinding，成功地入侵了許多台分享器，並且預計在下個星期於 Black Hat 2010 中發表這項研究成果，屆時地球上將會有數以百萬計的分享器生活在隨時被入侵的陰影之中。

目前 Heffner 嘗試攻擊了 30 種不同型號的分享器，一半以上都應聲而倒，裡頭還包括數款常見的分享器，如上圖的 Linksys WRT54G。雖然一般而言，換掉預設的密碼就可以預防大部份的駭客入侵。然而 Heffner 相信根本的解決之道還是得由廠商盡快推出修正程式，才能讓普羅大眾免受這場災難。延伸閱讀經測試過的分享器列表，各位不妨看看家裡使用的那台是否也在名單之中。

（本文轉載於癮科技）

Vendor Model H/W Version F/W Version Successful

ActionTec MI424-WR Rev. C 4.0.16.1.56.0.10.11.6 YES

ActionTec MI424-WR Rev. D 4.0.16.1.56.0.10.11.6 YES

ActionTec GT704-WG N/A 3.20.3.3.5.0.9.2.9 YES

ActionTec GT701-WG E 3.60.2.0.6.3 YES

Asus WL-520gU N/A N/A YES

Belkin F5D7230-4 2000 4.05.03 YES

Belkin F5D7230-4 6000 N/A NO

Belkin F5D7234-4 N/A 5.00.12 NO

Belkin F5D8233-4v3 3000 3.01.10 NO

Belkin F5D6231-4 1 2.00.002 NO

D-Link DI-524 C1 3.23 NO

D-Link DI-624 N/A 2.50DDM NO

D-Link DIR-628 A2 1.22NA NO

D-Link DIR-320 A1 1 NO

D-Link DIR-655 A1 1.30EA NO

DD-WRT N/A N/A v24 YES

Dell TrueMobile 2300 N/A 5.1.1.6 YES

Linksys BEFW11S4 1 1.37.2 YES

Linksys BEFSR41 4.3 2.00.02 YES

Linksys WRT54G3G-ST N/A N/A YES

Linksys WRT54G2 N/A N/A NO

Linksys WRT160N 1.1 1.02.2 YES

Linksys WRT54G 3 3.03.9 YES

Linksys WRT54G 5 1.00.4 NO

Linksys WRT54GL N/A N/A YES

Netgear WGR614 9 N/A NO

Netgear WNR834B 2 2.1.13_2.1.13NA NO

OpenWRT N/A N/A Kamikaze r16206 YES

PFSense N/A N/A 1.2.3-RC3 YES

Thomson ST585 6sl 6.2.2.29.2 YES

請關掉電腦的Autoplay功能！

各位有在使用USB隨身碟的朋友請注意，微軟剛剛發布一個Zero-Day（零時差）的弱點，可能會讓受害者的電腦被遠端攻擊者控制，目前尚未有更新的Patch修補程式，微軟目前建議將Autoplay（自動執行/播放）的功能關掉，特別是針對USB這類可攜式的儲存設備。

至於如何做？如果您是Windows XP的用戶，這邊提供您一篇網文，請自行連過去參考。而Windows 7預設應該是關閉autoplay的。

重視家用網路設備資訊安全

使用D-Link（友訊）AP（無線路由器）的網友請注意，根據國外報導，D-Link DAP-1160這款無線路由器存在兩個弱點，可以被惡意的使用者跳過安全檢查機制，進一步取得該網路設備的控制權。

其實家用網路設備的安全性這個問題，K大俠早在今年2月所寫的一篇文章：「別讓你的寬頻分享器或AP變成駭客的跳板！ 」就有提到，最近因為工作的關係，與許多使用寬頻分享器或無線AP的客戶接觸，發現這些用戶家裡面的網路設備預設的管理密碼，沒有變更而使用原廠預設的比例竟然高達100%！

K大俠覺得既然消費者對於自家的網路設備安全性沒有警覺心，那麼廠商應該在這方面多給消費者一些協助，例如出廠預設的密碼在第一次設定時，應強迫消費者變更。同時，對於管理介面，應該一律預設僅限內部網段連接。

而像遇到D-Link這種因為韌體所產生的弱點，廠商也應該負起責任，除了儘快提供修補的韌體與更新方式外，也要積極對消費者盡告知的義務，就像汽車業者一般，召回或協助消費者把問題解決才是。

Adobe PDF Reader、Flash新漏洞之解決方法

最近不少朋友都轉寄這篇文章：「Adobe出現新零時漏洞　下載PDF檔要當心」給K大俠

http://tw.news.yahoo.com/article/url/d/a/100623/52/27y8r.html

我想這個問題應該有不少人關心，到底有沒有對策？

Adobe公司給了答案，主要的解法為：

1.針對Flash本體請安裝10.1版。

2.避免Adobe Reader受害的方式是暫時將authplay.dll這個檔案給更名或刪除。（路徑應該在 C:\Program Files\Adobe\Reader 9.0\Reader\authplay.dll）

但其實不論是什麼檔案，下載前最好都要確認來源是否值得信任。若是朋友寄來的，也最好先詢問一下本人最定不是自動轉寄的再開啟。

談個資法與電信法對電信業在資安上的新挑戰

隨著新版個人資料保護法的通過，企業對於客戶資料的保護，已不再侷限於特定產業，而是全面性的要求。其中電信業由於特殊的中介服務性質，掌握許許多多用戶的個人資料，自然成為個資法適用的主要目標。另一方面，電信業的主管機關NCC也積極推動業者強化資訊安全管理，在「電信事業資訊通訊安全管理作業要點」中希望各電信業者導入資安管理體系（ISMS），取得相關認證。未來並規劃於電信法修正條文中，將此作業要點的位階拉高，賦予對應罰則，以加強對業者的要求。因此電信業者除了要針對個資法的要求做因應外，也應把ISMS納入企業流程的一環，做好法規遵循的準備。

新版個資法與電信法修訂這兩項遵法議題有一定的相關度，但其目標是完全不同的。業者在面對這兩項議題時，可以先單獨思考個別的要求，對企業現有服務與流程做差異分析。但在進行風險改善或處理計畫時，為了避免資源重複投入的浪費，宜將兩邊的需求加以整合。

例如：個資法第二十七條中，針對個人資料檔案安全維護計畫及業務終止處理方法，要求「非公務機關保有個人資料檔案者，應採行適當之安全措施，防止個人資料被竊取、竄改、毀損、滅失或洩漏。」這部份其實與許多ISO 27001附錄A的控制項有許多關聯。而且施行ISMS後，許多政策或程序都會被要求增加執行的紀錄或做有效性評估，這部份對於企業來說，在處理未來與客戶個資相關爭議時，可以藉由ISMS施行的相關紀錄，作為法律上責任歸屬的依據。

但是個資法與電信法也有許多不同的要求，例如個資法對於資料的生命週期與相關權利義務有非常詳細的陳述，企業必須認真檢視現行客戶與行銷名單的來源、內容與處理流程，在企業流程上做適當的因應。亦即為了保有行銷名單，可能要做好付出成本的準備。而電信法若修正後，可能會要求現有業者，需完成ISO 27001甚至是ISO 27011的國際管理標準驗證。其施行範圍，也可能擴大至「交換機房、交換中心匯集處」等，影響層面與範圍都可能加大許多，規模較大的電信業者必須及早做好準備。

K大俠在此要強調，針對個資保護或資安管理作業，要作到滴水不漏同時要兼顧業務進行順暢是絕對不可能的。然而企業必須體認到投資在資訊安全上的成本，隨著法令上責任的變更與罰則的加強，已不再是過往聊備一格的選擇。電信業除了面臨個資法外，未來還有新版電信法的挑戰，因此增加資安上的投資，或許也是提昇企業未來競爭力的一個重要方式。