1.企业IT应用正逐渐朝着云端化/SaaS应用、移动化/信息系统App化以及消费化/BYOD等几个方向发展。

2.移动设备普及带来设备管理与安全方面的隐忧，进阶持续性渗透攻击(Advanced Persistent Threat，APT)成为IT管理者面临的挑战。

3.一个让IT管理者不得不面对的课题是BYOD，今年已有许多企业开始陆续进入评估，甚至编列预算准备建置管理机制。

站在岁末年终之际，回头看今年企业IT应用趋势，不难发现正逐渐朝向云端化/SaaS应用、移动化/信息系统App化以及消费化/BYOD等几个方向发展。

只是就信息安全层面来看，IT管理者所面临的最大挑战，除了移动设备普及带来设备管理与安全方面的隐忧外，主要威胁几乎矛头皆指向进阶持续性渗透攻击(Advanced Persistent Threat，APT)。

针对这类目标式攻击的问题，业内人士洪伟淦指出，根据一年来于客户端实地调查发现，遭受攻击的情况确实相当严重，只是受骇单位通常根本不敢声张，一旦确定为攻击事件则立即被列入最高机密处理。以往这类攻击事件并不会被重视，甚至去年只要谈到APT，多数IT主管都认为那是属于政治目的之攻击，只有政府单位才会遇到。自从今年逐渐意识到现代化攻击行为已趋向低调隐匿，企业才开始升起警觉性，思索看似风平浪静的IT基础架构下，究竟有多少未被发现的攻击行为。

黑客组织化获利模式

“今年陆续接获客户主动要求检测，也发现的确就是遭受APT攻击，且情况都蛮严重，几乎可说是遍地开花，不论行业别都全面遭遇此类事件。”业内人士洪伟淦强调。尽管台湾近两年高科技制造受大环境景气影响始终低迷，却仍是重要的攻击标的。去年还只是预测企业内部握有专利、营业秘密等核心竞争力资料，势必会成为觊觎的目标，没想到今年就出现许多高科技制造业接连遭受攻击，而发现时，资料往往早就已经被盗走。

业内人士张嘉渊亦观察到，过去一年来企业端已逐渐意识到社交工程、钓鱼网站、诈骗等攻击的破坏力，而不再只是单纯当成新闻事件看待。”数字战争的利益导向，诱使黑客日渐猖獗。以前犯罪手法算是抢公司保险库，现在则是数据库、档案库，且不容易被发现。得手后再把数字资产到黑市交易变现，可能还远远超过以往犯罪抢夺的有形资产。”

像是近期出现的CryptoLocker勒索软件，一旦顺利入侵计算机系统后，随即加密系统中所有档案，若不依照指示于期限内支付三百美元(约台币九千元)赎金，档案将永远无法恢复。且支付方式是透过比特币(BITcoin)等在线交易，利用网络虚拟支付难以被追踪的特性，来进行犯罪行为。由此可发现，现代化黑客攻击已经不只以APT手法窃取数据，地下犯罪组织经济规模已成形，最终目的即在于藉此获利。

重新检视新型态攻击

现代化黑客攻击具有高度的隐匿特性，想方设法规避各式防御侦测，即使企业内部已建置多层式防护，仍不敌黑客技术。”根据FireEye全球调查报告指出，95%的资安事件，皆是检调单位发现，当然台湾也不例外，这是很可怕的事实。”FireEye台湾区总经理马胜彰表示，就以今年发生在南韩的320黑客攻击事件来看，受影响的银行、电视台等皆属大型企业，不乏最高端的现代化安全防御机制，仍旧被攻击得逞，其实为政府与企业带来不小震撼。根据FireEye对此事件持续研究与观察后续发展，发现这类大规模攻击行为，皆是计划性的预谋犯案。

“追踪这起南韩320事件后，除了深入挖掘出更多先进攻击手法，更重要的是，从该起事件中学习到，既然资安事件势必会发生，不论是政府、民间企业，必须重新省思，依实际的要求而言：需要多快时间可发现遭受攻击、多快反应可把损害降到最低、多快可修复，以此三大要点来检视资安方面的投资。”马胜彰强调。

面对信息科技进步的趋势，IT部门需吸收新知建立基本概念，而黑客攻击行为的变化可说是当中不可或缺的一环。如今多数IT主管都理解资安投资永无终止，只是思维上，仍旧局限在传统资安工具。马胜彰观察，主要是来自心理因素影响，若IT主管承认现有的投资不足以因应新型态攻击行为，需要导入新兴防护机制，例如FireEye来协助，则可能会遭受高层管理的质疑，既有资安建置已投入相当多资源，若坦言仍不足够，恐会被认为是管理能力的问题。

“有时一个对的解决方案，要在企业内部推广时，通常会遇到政治因素问题。所以必须透过许多渠道跟更高层主管沟通，说明这类新型态攻击事件之所以无法被有效控制，并非IT人员疏于防范或技术能力问题，而是黑客攻击技术精进之下，仅以现有的建置来抵制，有防御上的极限。”马胜彰强调，像是FireEye采新兴技术提供的解决方案，主要是为了补强现有的资安投资。尽管现在针对已知型恶意软件的特征码辨识技术，已经能防范大部分既有资安威胁，但面对APT这类未知型攻击行为，必须采有别于以往的技术来辨识与抵制。

未知型恶意软件的攻击行为，通常有些特定迹象可循。Fortinet技术总监刘乙举例，恶意软件渗入后通常会向所谓中继站(Command and Control，C&C)联系，但由于中继站必须为动态变换才能躲避侦测，于是恶意软件透过算法或程序中内建的名单一一访查时，经常会出现许多联机失败的记录，而以往多功能进阶防火墙(Unified Threat Management，UTM)并没有内建记录这类行为模式，如今则可透过报表或警示来发现。欲察觉出这类可疑行为，IT人员必须具备这方面的概念，并搭配相关工具来协助。