辦公室常用的生產力工具 Chrome 跟 Excel，最近都出現一些資安問題。
Excel、Google Chrome爆安全漏洞！零日攻擊是什麼？
根據資安新聞網站《Bleeping Computer》報導，Google威脅分析小組（Threat Analysis Group）的研究人員在近期發現，Google Chrome再次存在安全漏洞，以及讀取 Excel 檔案資訊的開放原始碼 Perl 函式庫也有漏洞，意思是電腦程式的安全性與訪問權限存在破口，可能被駭客濫用。
目前，美國網際安全暨基礎設施安全局（CISA）已經將Chrome與Excel的重大漏洞新增到被利用漏洞（KEV）目錄中，並且向美國聯邦機構發佈緊急通知，要求該機構在1月23日前解決問題。
到底「安全漏洞」具體會造成甚麼影響？公部門或企業單位如何預防？
理論上，程式存在漏洞是很正常的現象，但如果廠商不能趕在上線（或更新）前及時修復，這些漏洞就會變成駭客發動攻擊、植入惡意程式碼的突破口，進而入侵整台電腦系統，形成所謂的「零日攻擊」（zero-day exploit），或者稱零時差攻擊。
這會是一場開發人員與駭客之間的時間競賽，前者努力修補漏洞，後者試圖開發漏洞攻擊手法，分秒必爭。
釣魚郵件、暴力破解密碼⋯零日攻擊恐害企業丟失機密資料
根據網路安全服務提供商Cloudflare說明，攻擊者有各種方法來利用 zero-day 漏洞。其中，一種常見的策略是透過網路釣魚電子郵件來傳播惡意程式碼，這些郵件中包含嵌入了漏洞利用的附件或連結。當使用者下載附件或點擊連結時，就會執行這些惡意負載。
資安廠商趨勢科技（Trend Mirco）則分享，駭客可能透過暴力破解密碼、利用組態設定上的錯誤，先入侵某個系統、伺服器或網路，然後再植入含有漏洞攻擊手法的惡意程式。
舉例來說，索尼影視娛樂（Sony Pictures Entertainment）在2014年發生了一次著名的 zero-day 攻擊，許多敏感性資訊因此遭公開，包含未發行電影的複本、高級員工之間的電子郵件通訊以及商業計畫。Cloudflare指出，類似的攻擊事件會對企業產生許多不良影響，除了丟失有價值的機密資料，還可能喪失客戶與消費者的信任，以及企業不得不轉移寶貴的工程資源來修補漏洞。
如何防範零日威脅？建議採取多重資安防禦策略
問題是如何即時防範 zero-day 威脅？有觀點指出，偵測零時差攻擊的最佳方法是通過「使用者行為分析」，一旦電腦系統出現異常行為，意味著很可能正在遭受惡意攻擊。
也有廠商建議，企業在資安策略上應該採取「最小授權原則」，意即企業內部使用的工具或系統中，能不開放的權限就不要開放，以此有效降低駭客取得網際網路與內網權限的風險。
此外，重視保護電子郵件閘道、伺服器與網路。「零時差攻擊可能會出現在針對企業網路基礎架構各種不同環節的攻擊當中，其用途包括：協助執行惡意程式、植入惡意檔案或從事橫向移動，這正是為何每個環節都應該受到重視。」趨勢科技表示。
「zero-day 威脅很難被發現，」各家資安廠商都坦言，建議所有企業採用多重的資安防禦，比如透過防火牆與瀏覽器隔離，適當過濾惡意流量與網路活動，再搭配採用沙盒模擬分析（sandbox）技術，隔離可疑與惡意檔案，有助於縮小受攻擊面。
資料來源：BleepComputer、CloudFlare、趨勢科技
責任編輯：蘇祐萱
