思 科 年 度 安 全 報 告
揭示大眾對網絡安全整備度的觀念和現況存有巨大差距
60%思科安全功能基準調查受訪者沒有隨時更新安全程式，亦只有10%的IE用戶運行最新版本；仍有90%受訪者對自己的網絡保安能力「有信心」
【2015年3月6日，香港訊】 2015年思科年度安全報告 (Cisco 2015 Annual Security Report) 檢視了智能威脅和網絡安全的發展趨勢，揭示企業必須採取「 全員參與」的方式防範各種網絡攻擊。入侵者現更精通於在保安環境中乘虛而入，逃避檢測及隱藏不良活動。保安團隊作為防禦者，必須不斷改善防護手法以保護企業免受日益複雜的網絡攻擊。這些問題亦由於入侵者的地緣政治動機和各地就數據主權、數據定位和加密的法規衝突，變得更為複雜。
入侵者 -
網絡犯罪分子正擴大他們的策略和技術以進行網絡攻擊活動，令攻擊更難檢測和分析。思科威脅情報在往年所得的三大趨勢如下：
* 「雪靴」垃圾郵件（Snowshoe Spam）：一種新興的熱門攻擊方式，入侵者從大量IP位置發送少量垃圾郵件以免被偵測，以多元途徑製造機會去利用已被入侵的帳戶。
* 網絡漏洞危機四伏：由於網絡保安公司能在短期內破解較普遍的攻擊套件，網絡犯罪分子因而使用不常見的套件以順利執行他們的攻擊策略。由於這方式並不注目，故成為可持續發展的運作模式。
* 惡意組合：Flash和Java Script各自一直被視為不安全的程式語言，雖在保安檢測和防禦有所改進，但黑客已適應並結合兩者的弱點作部署攻擊。透過兩種Flash和JavaScript檔案上作共享攻擊，讓保安設備更難識別、封鎖攻擊及透過逆向工程套件進行分析。
用戶
用戶正面對左右為難的處境。他們不僅是入侵者的目標，更是在不知不覺下幫助策動網絡攻擊的一群。思科威脅情報的研究揭示，於2014年間，黑客已經從入侵伺服器和操作系統的目標，轉移至攻擊用戶的瀏覽器和電子郵件。用戶從受入侵網站的下載，令Silverlight的攻擊增加228%，而垃圾郵件和惡意廣告的攻擊更增加250%。
防禦者
思科安全能力基準研究 (Cisco® Security Capabilities Benchmark Study) 訪問了九個國家*共1,700家企業的首席資訊安全總監 (CISOs) 及安全營運 (SecOps)的高級管理人員，結果顯示他們對自身保安能力的認知和現實存在相當大的差距。當中，75% 的首席資訊安全總監認為他們的保安工具為「非常或極其有效」。然而，少於50% 的受訪者使用如補漏和配置等標準工具來填補漏洞，並確保它們運行最新版本。Heartbleed為去年最具代表性的保安漏洞，但仍有56%已安裝的OpenSSL為4年前或以前的版本。由此可見，保安團隊並沒有作出足夠補漏措施。
*包括美國、巴西、英國、德國、意大利、印度、中國、澳洲、日本。
雖然許多防禦者認為其保安流程已被優化，保安工具亦有效，但事實上，他們的保安整備程度仍需改進。
據研究報告結果所得，企業董事會應擔當制定保安優先順序和期望的角色。思科的「保安宣言（Security Manifesto）」為一套正式保安準則，作為實踐保安的基礎，幫助董事會、保安團隊及企業用戶更加了解並回應當今世界的網絡安全挑戰。當企業要建立一套更靈活的保安方案，並要在適應力及創新方面領先網絡罪犯，可將此作為基準。原則的內容包括：
1. 保安必須能支援企業營運
2. 保安必須與現有架構相容並可使用
3. 保安必須具透明度及資訊性
4. 保安必須可提供可視性及支援適切的行動
5. 保安必須被視為「人的問題」
登入www.cisco.com/go/asr2015瀏覽思科年度安全報告全文
關於報告
2015思科年度安全報告為知名保安調查報告之一，檢視由思科保安專家蒐集的最新威脅情報，提供揭示2015年網絡保安趨勢的業內洞察、趨勢和重大發現。該報告更強調從思科保安能力基準研究 (Cisco Security Capabilities Benchmark Study) 得出的數據結果，檢視企業現時的保安取態和對防禦網絡攻擊的認知和整備程度。此外，該報告亦探討了地緣政治趨勢、全球數據本地化發展以及將網絡保安提升為董事會層級議題。
支援引述
思科首席保安信任總監及高級副總裁John N. Stewart表示：「保安需要總動員參與，董事會以至個人用戶均應投入。我們曾擔心DoS，現在我們亦擔心數據的銷毀；我們曾擔心IP盜竊，現在我們則擔心關鍵服務故障。我們的敵人手法越漸成熟，利用我們的弱點，在顯而易見之處隱藏攻擊。保安必須在整個攻擊過程提供保障，採用的技術必須為回應這需求而設。在線服務必須可彈性運行。以上種種必須立即進行，以保護我們的未來。保安正需要在我們業內前所未有的領導、合作和責任。」
思科保安業務部首席工程師Jason Brvenik表示：「攻擊者越來越擅長利用保安漏洞作案。我們觀察到約56%的OpenSSL版本仍容易遭受Heartbleed攻擊，而這些主要攻擊在任何時侯，只需利用高緊急漏洞的1%便可。儘管如此，我們觀察到少於一半的受訪保安團隊以標準工具如補漏、結構管理等防止保安侵擾。即使有領先的保安技術，企業仍需要出色的保安程序，保護企業和用戶免遭受日益複雜的攻擊和活動。」
補充資料
* John N. Stewart在思科年度安全報告影片: http://youtu.be/ioy5N5d3ugs
* 閱讀思科保安部落格。
* 關注@CiscoSecurity Twitter上的保安議題對話。
* 你可於思科保安的Facebook專頁讚好: http://facebook.com/ciscosecurity
思科香港及澳門區董事總經理招卓敏及思科香港及澳門區系統工程師總監伍偉強於傳媒午宴上介紹2015年思科年度安全報告，檢視智能威脅和網絡安全的發展趨勢。
關於思科
思科 (NASDAQ：CSCO) 為領導全球的IT網絡技術供應商，協助企業透過聯所未連之科技，掌握明日商機。有關思科的最新資訊，請瀏覽http://thenetwork.cisco.com。
Cisco、Cisco標誌及Cisco Systems是Cisco Systems或其附屬公司在美國及部份國家的註冊商標。有關思科的商標名冊，可到 www.cisco.com/go/trademarks 查閱。文中提到的其他商標歸各有關公司所有。文中所提及之夥伴並不指思科與其他公司之夥伴合作關係。本文件是思科之宣傳資料。
