攲器資安快報~2016年五月份
這個月的更新很「熱鬧」,從 Microsoft、Apple、QNAP 到 Synology 都有更新(這樣寫好像怪怪的,但真的是每家都有),比較重要的部份列舉如下:
Microsoft
- MS16-051,Cumulative Security Update for Internet Explorer
- MS16-052,Cumulative Security Update for Microsoft Edge
- MS16-053,Security Update for JScript and VBScript
- MS16-057,Security Update for Windows Shell
- MS16-060,Security Update for Windows Kernel
- MS16-062,Security Update for Windows Kernel-Mode Drivers
- MS16-064,Security Update for Adobe Flash Player
主要建議更新上述關於 Edge、Internet Explorer、系統核心與 Adobe Flash,這幾項平時會用到的程式。
Apple
- iTunes 12.4
- Safari 9.1.1
- OS X El Capitan v10.11.5 and Security Update 2016-003
- watchOS 2.2.1
- iOS 9.3.2
- tvOS 9.2.1
Apple 這次的更新,除了開發人員用的 Xcode 外,只要有這項設備,就是乖乖更新吧。
QNAP
Samba 的相關更新,有人買 NAS 不用 Samba 做內部網路分享的嗎?這當然是一定要更新的。
Synology
- Important Information about OpenSSL Vulnerabilities (CVE-2016-2107 and CVE-2016-2108)
關於 OpenSSL 的更新,這部份其實是偏向「預防萬一」,對 NAS 本身並沒有直接的影響,不過在新的 DSM 裡也會一併更新進來。
原廠的連結及畫面如下,有閒情逸致的業界相關人士可以點過去看看 …
Microsoft Tech Center
網址:https://technet.microsoft.com/zh-tw/security/bulletinsApple Security Updates
網址:https://support.apple.com/en-us/HT201222QNAP Security Bulletins and Advisories
網址:https://www.qnap.com/i/en/support/con_show.php?cid=41Synology Product Security Updates
網址:https://www.synology.com/en-global/support/security
攲器資安快報~2016年四月份
四月份的更新有點冷清,Microsoft 跟 Apple 都只有一點點而已。
Microsoft Tech Center 在四月公布的更新裡,只有四項是 Simon 覺得一定要裝的如下:
- MS16-037
Internet Explorer 累積安全更新,雖然微軟自家的瀏覽器已經逐漸在家用市場裡消失,但在大公司裡卻仍舊是不可或缺的角色,還在使用的朋友還乖乖更新吧; - MS16-038
Microsoft Edge 累積安全更新,改用 Windows 10 的朋友,如果預設還是用微軟自家的瀏覽器,請乖乖更新; - MS16-049
http.sys 的安全性更新,這是最基本的網頁通訊協定,現代人用電腦有不上網的嗎?那 … 就乖乖更新吧; - MS16-050
Flash 的安全性更新,這 … 幾乎是每個月都要補洞的軟體,雖然 html5 已經漸漸取代它的地位,但 … 看看 Yahoo 奇摩,還是乖乖更新吧 …
Apple 比較重要的更新只有一個「iOS 9.3.1」,有支援的裝罝請務必更新(我家的老 iPhone 4S 都裝了)。
攲器資安快報~2016年三月份
這個月的資安快報只有二家廠商有更新,一個是固定常客 Microsoft,另一個則是 Apple。
Microsoft Tech Center 在三月八號公佈了一系列的更新,對一般使用者比較重要有下面幾項:
- MS16-023
Internet Explorer 的安全更新,雖然 IE 已經沒什麼人在用了,但不少大公司仍因為自家設定的 Plug-in 而不得不用它,所以,這真的是一定要更新項目。 - MS16-024
Windows 10 裡的 Edge,雖然比老前輩 IE 表現好很多,但仍是略遜於常見的 Safari、Chrome、Firefox 等瀏覽器,但因為它是 Windows 內建的瀏覽器,為了避免意外,還是老實更新吧。 - MS16-029
這個更新是關於 Office 的,避免開啟檔案時,意外執行遠端程式碼,有在使用 Office 的朋友,最好更新以免不小心「中獎」。 - MS16-033
避免 USB 儲存裝置在第一次安裝驅動程式時,意外獲取比較高的系統權限,因而允許其中的程式對系統造成影響,這部份,Simon 建議所有 Windows 的使用者都該更新。 - MS16-034
看到「Kernel」的字眼,裝就對了,連想都不用想。更何況,這個更新是針對保護系統核心的,當然要裝。 - MS16-036
Adobe Flash Player … 這 … 不用多說,雖然是 Adobe 自家都放棄的產品,但 … 為了瀏覽網頁方便,還是乖乖的裝更新吧。
至於 Apple 則是因為三月發表會,公佈了一系列的產品與相關系統更新,由於裡面包含了大部份產品,Simon 建議更新所有與您有關的項目(iOS、WatchOS、OSX El Capitan、OS X Server …)。
Continue Reading…
攲器資安快報~2016年二月份
Microsoft 2016年1月份安全性更新
微軟資訊安全技術中心的網站裡,公告了一月份發出的更新。請各位資訊相關從業人員多加注意;一般使用者,請多利用 Windows 內建的 Windows Update 更新到最新版;攲器的客戶請不用擔心,這些更新有您電腦需要的,已經安裝完成。
這個月的更新中,「MS16-005」這項,Simon 覺得滿重要的,現在很多的 Rootkit 都是透過驅動程式這項進入系統,不得不多留點心思防範。
惡意軟體的預防
大多數的惡意軟體是利用作業系統漏洞、使用者誤信、或是廣告進入電腦。嚴格來說,其實都是使用者自己放進來的,要預防也得從自身使用電腦的習慣著手,Simon 整理了幾個要注意的項目如下:
- 不要開啟來路不明的郵件與附件檔
這真的算是現代人的常識了,現在免費信箱對垃圾郵件的過濾能力都很強悍(像:Google GMail、Microsoft 的 Live Mail、Yahoo Mail …),基本上是看不太到奇奇怪怪的郵件;企業本身用的郵件伺服器廠商更是要慎選,「中獎」一次的損失可真是很嚇人的。 - 不要瀏覽不安全的網站
透過搜尋引擊網站,或是較新的瀏覽器(像:Chrome、FireFox 或 Safari),其實都會針對網站做簡單的過濾,如果搜尋引擊有著「這個網站可能會危害你的電腦」,那 … 還是敬而遠之吧。 - 不要安裝來路不明的程式
說起來簡單,但卻是最難的(特別是針對行動裝置)。該付錢程式就乖乖付錢,除了很專業的程式(AutoCAD、Adobe 家族、Maya … 但通常專業人士也都會乖乖買正版,畢竟是『生財工具』),現在常用的軟體其實都不算貴(或者說,也多少有『低價取得』的管道),避免安裝「破解版」的程式,天下真的沒有白吃的午餐,一時貪小便宜,往往得用更大的代價去換。 - 安裝防毒軟體並保持更新狀態
個人使用上,其實有很多強悍的免費防毒程式,像:Avast、AVG、Avira …;企業使用上的選擇較少,但 Avast 也有出企業版的免防毒程式,對中小企業真的是一大福音。 - 安裝防火牆程式
軟體防火牆的防護能力有限,但真的是聊勝於無,除了 Windows 自己內建的防火牆外,還可以考慮 ZoneAlarm 出的免費防火牆。
當然,最好的方式還是用硬體防火牆來做防護,現在路由器的價格都不算高,一台具有完整防護功能的路由器大概在 NT$3,000 上下,不會設定的話,也可以考慮一下攲器提出的「路由器設定服務」。 - 定期更新作業系統、瀏覽器、防毒軟體和常用軟體
正版軟體的好處,就是可以安全且放心的去更新最新的新版本(出了問題還可以打電話去靠夭);避免因為系統漏洞影響損失資料的最好方法,真的就是定期更新,微軟的安全性更新網站,每個月都出一大堆更新可不是玩假的(也讓我們這些工程師測個半死)。
定期更新程式,把系統漏洞降到最低,真的是避免惡意軟體攻陷的最佳方法之一。 - 定期備份資料
這真的是老生常談了,個人電腦比較重要的資料大概是充滿回憶的照片或錄影檔案,企業電腦大概是公司內部文件或是帳務資料。
如果真的覺得這些資料重要,那花點小錢買個外接硬碟,設定好自動備份,真的是最萬無一失的作法;進階一點的使用者可以考慮單機用的小型陣列系統;家裡不止一台電腦,想要透過內部網路,有個更加完整的方案,不妨考慮買套網路硬碟,至於企業用戶,請參考攲器提出的「企業網路硬碟代管方案」。
以上是簡單的預防惡意軟體措施,其實也就是些簡單的電腦使用習慣而已,希望這篇文章能對寈怕受到惡意軟體攻擊的朋友有點幫助。
備註;企業用戶如果不想花太多時間在維護電腦上頭,不妨參考攲器提出的「企業電腦服務方案」。