關於我們 | 新聞中心 | 聯絡我們 | 採購清單 採購清單 () | 我的HKTDC |
English 简体
Save As PDF 列印本頁
QQ空間

新加坡網絡安全會議:物聯網恐成最大安全缺口

今屆RSA國際網絡安全會議亞太及日本大會(RSA Conference Asia-Pacific and Japan),有出席者表示,現時資料外洩事故每年合共為涉事亞太區企業造成17,500億美元損失。同時,隨著越來越多公司採用物聯網,網絡安全問題恐怕會大大惡化。

照片:
你的公司能抵禦黑客攻擊嗎?
照片: 你的公司能抵禦黑客攻擊嗎?(Shutterstock.com)
你的公司能抵禦黑客攻擊嗎?

戰略與國際研究中心(The Centre for Strategic and International Studies)是一個全球性的安全事務智庫,總部設於美國首都華盛頓,根據其發出的資料,在截至2018年4月為止的一年內,全球共出現90宗被定性為「嚴重」的網絡攻擊,估計合共對大型公私營機構造成近6,000億美元損失,金額較前一年報指的5,000億美元還要高得多。事實上,由於很多公司往往不願對外公布任何資料外洩事故,以上估算很可能只是實際金額的冰山一角。在上述背景下,RSA國際網絡安全會議亞太及日本大會正好配合時機,為全球業者提供一個探討網絡保安的平台。

雖然會議在名稱中特別提到日本,不過舉辦地點卻非位於東京或該國其他縣市,而是新加坡市中心,相信更能引起注意。另一方面,RSA這個縮寫也很易令人誤會是指地區安全大會,但事實上卻是指RSA Data Security公司研發的公開鑰匙加密技術,具體而言是以該技術3位發明者Rivest、Shamir和Adleman的姓氏首字母組合而成。這些資料不是人人知曉,但應該有助瞭解會議的本質。

RSA總裁Rohit Ghai是今屆開幕禮致辭嘉賓之一。他深信目前業界嚴重錯估網絡攻擊造成的損失,實際數字應遠不至此:「2017年,單以亞太區而言,網絡安全事故便為企業帶來逾17,500億美元損失。

「基於某些原因,和西方企業相比,亞洲公司成為網絡攻擊對象的機會一般高60%至80%。由於事故頻仍,當地很多網絡安全專家早已應接不暇、疲於奔命,因此約44%個案往往完全無人應對。

「基於網絡問題牽涉的範疇極廣,攻擊技倆層出不窮,商家與其展望會有甚麼牢不可破的防衛技術,還不如想想如何日積月累地加強網絡安全。其中一種方法,就是從人員、程序和系統等重要資產著眼。其實,黑客的資源有限,所以一般只會向容易攻擊的目標下手。因此,最佳的自保之道是集中做好每一細節,例如修正防守漏洞,簡單點說就是設法避免令自己成為目標。」

網絡安全問題本已極其繁複,然而微軟(Microsoft)首席安全顧問Lisa Lee認為,隨著物聯網(IoT)裝置的使用範疇日廣,情況將更加惡劣:「目前,我們基本上面對數據泛濫的問題。以全球而言,現在我們每月要分析4,000億封電郵,掃描12億部裝置,保護7.5億個雲端用家賬戶,檢查180億項網上搜尋,以及核實4,500億個身分驗證。在這些工作中,我們每月會發現9.3億個網絡威脅。一般而言,企業現時要防範12至60種網絡威脅。由於他們的數據分散,日常運作又越來越複雜,因此情況便更棘手。我認為,機器學習是解決問題的唯一方法。我們要使用機器來對抗黑客。事實上,他們很多也是利用機器來發動攻擊。

「舉例說,有公司使用普通的規則庫型網絡保安系統,監察所有賬戶登入活動,結果其中28%被歸類為可疑,也就是說他們要檢查2.8億個登入紀錄,看看當中有沒有欺詐行為。由於數量驚人,他們當然沒可能逐一分析。不過後來,他們改用機器學習技術,疑似欺詐行為的比率隨即大減至0.001%。

「另外,今年3月6日,我們更親眼見證旗下的機器學習系統一展身手,表現令人難忘。當日正午時分,系統偵測到一次大規模網絡攻擊,使用的是新種病毒Dofoil。結果,它只用了數毫秒時間,便阻擋了超過400,000次攻擊。」

照片: 業者在場內分享網絡保安技術。
業者在場內分享網絡保安技術。
照片: 業者在場內分享網絡保安技術。
業者在場內分享網絡保安技術。
照片: 會議談到現有網絡保安技術的一些缺陷。
會議談到現有網絡保安技術的一些缺陷。
照片: 會議談到現有網絡保安技術的一些缺陷。
會議談到現有網絡保安技術的一些缺陷。

甲骨文(Oracle)雲端運算部執行副總裁Amit Zavery同樣認為,機器學習將是大勢所趨:「現在,我們面對的是以人工智能發動的密集攻擊,依靠人手對抗根本是螳臂擋車。

「事實上,現時社會出現的網絡入侵事故中,85%涉及的漏洞在事發時已有更新檔予以修正,只是涉事公司未有安裝。一般而言,一家公司每星期會收到約17,000個安全警告,當中準確的只有19%,而有專人調查的更只有4%。正如本公司主席Larry Ellison所說,我們不能依賴人手來與電腦對撼,不然根本必敗無疑,這場必須是電腦與電腦之間的比拼。」

今屆會議,雖然不少看法覺得網絡安全工作將會日益艱巨,不過也有出席者認為,至少從目前所見,某些網絡攻擊威脅已有所緩和。Thomas Keenan博士是加拿大卡加利大學(University of Calgary)電腦科學系環保設計學教授,是有此看法的嘉賓之一。

Keenan表示,在各種網絡攻擊中,勒索軟體個案正在下降:「根據我們今年的調查結果,45%受訪者表示曾受勒索軟體攻擊,較去年的62%大幅減少。不過,這可能只是短期現象,且勒索軟體也絕對有機會轉移目標,改向物聯網裝置下手。

「例如,黑客可能會攻擊醫院的磁力共振(MRI)或電腦斷層(CT)掃描設備,以病人的性命來要脅院方支付贖金。隨著『重要基建』的定義越來越廣,企業功能中的『關鍵任務』又越來越多,這個問題影響的絕對不止醫院。

「現在,物聯網在很多範疇的重要性都與日俱增。去年10月,黑客便看準這點,利用NotPetya病毒攻擊聯邦快遞(FedEx)、馬士基航運公司(Maersk)和默克藥廠(Merck),令三者合共損失8億美元。因此,我們必須妥善管理旗下的物聯網裝置,並時刻確保它們的保安程式是最新版本。」

賽門鐵克(Symantec)亞太區技術總監Nick Savvides也認為,勒索軟體日後很有機會朝攻擊物聯網的方向發展:「隨著我們使用的科技不斷演進,勒索軟體也隨之變化。記得在2005至2008年,初代勒索軟體都是一些供用家免費安裝的詐騙程式。它們會訛稱在電腦中發現一些問題,並表示付費版本是唯一的解決方法。其後,虛假防毒程式出現,以同一手法行騙。2011年,黑客開始使用加密勒索軟體,發放病毒癱瘓受害人的電腦。2012年,這些加密勒索軟體變得更加精密,到2016至2017年更出現多宗廣為人知的事故。

「根據我們觀察,『挖礦綁架(crypto-jacking)』是勒索軟體的最新發展趨勢,意思是操控受害人的電腦來開採加密貨幣。我們估計,黑客之後會從物聯網裝置下手,入侵工商企業的電腦網絡。因此,商家對所有裝置都應抱零信任的態度,同時也要一直監察旗下系統和雲端服務,留意有沒有任何採幣活動跡象。」

Kevin Skapinetz是IBM Security的策略及設計副總裁,他集中談論亞太區面對的特有問題:「現時,區內一宗網絡安全事故平均會對受害公司造成339萬美元損失。金額如此驚人,原因是目前我們平均要花267天來尋找及處理有關攻擊。要是我們能把時間縮短100天,那麼每宗個案的平均損失就可減少110萬美元。其實,要做到這點絕非難事,關鍵在於提升網絡保安技術,加快應變速度,以及確保公司不同單位能各司其職。

「就這幾方面以言,首先我們正向旗下專有的人工智能技術Watson傳授各種網絡安全知識。目前,Watson已可在數分鐘內提供有用可行的分析,不用再花上數小時。不過,若要改善應變速度,我們便須審視網絡保安機制,為全公司制訂指引,詳述如何應對不同威脅。事實上,制訂明確步驟及清晰分工極為重要。另外,公司還要安排應變程序培訓,讓員工慢慢熟習,務求把執行時間縮至最短。」

照片: 物聯網技術日益普及,不過假如企業疏於防範,便會讓黑客有機可乘。
物聯網技術日益普及,不過假如企業疏於防範,便會讓黑客有機可乘。
照片: 物聯網技術日益普及,不過假如企業疏於防範,便會讓黑客有機可乘。
物聯網技術日益普及,不過假如企業疏於防範,便會讓黑客有機可乘。

RSA國際網絡安全會議亞太及日本大會2018已於7月25至27日在新加坡濱海灣金沙會議展覽中心舉行。

特約記者 Ronald Hee 新加坡報道

資料提供 圖片:香港貿發局經貿研究
評論 (0)
顯示香港本地時間(格林尼治標準時間+8小時)

香港貿發局歡迎您發表意見。請尊重其他讀者,避免離題。
查看本局的發表評論政策

*發表評論(最多2,500字)