今天研究的攻擊威脅類型是惡意程式和密碼破解。

惡意程式

惡意程式是攻擊者設計用來破壞目標對象的電腦設備、監看設備上的操作、收集竊取機密資料、操控受感染的設備來攻擊其他目標。這些惡意程式也分成很多類型，常見的有：病毒(Virus)、蠕蟲(Worms)、木馬(Trojans)、間諜程式(Spyware)、勒索程式(Ransomware)等等。像最近在新聞上看到Apple因為間諜軟體的關係針對iOS版本進行安全性更新、內含蠕蟲的驅動程式擁有微軟的憑證簽章、Android免費App內藏木馬程式。這些都是因為惡意程式引發的資安問題，有些是個資洩漏，有些則是造成企業名譽或財務上的損失。

因為網路攻擊和惡意程式擴散十分頻繁和常見，因此養成好的資安意識及操作習慣我覺得也是很重要的一件事。例如針對惡意程式的防範：如果是已知或常見的惡意程式一般可以透過防毒軟體來防禦，平時也要小心網路上的各種釣魚，避免點擊不確定來源的連結或下載可疑檔案。

另外在這篇文章─惡意軟體─中有針對常見惡意程式的類型做說明和如何降低風險；另外這篇鐵人賽系列文─資事體大 毒擋一面 - 資安防護深入淺出 系列─也有很多種病毒的介紹，並解釋這些病毒進行破壞的方式，是很有趣又很多知識的系列文。

密碼破解

除了釣魚和惡意程式能取得目標用戶的密碼之外，也有透過密碼破解的方式來取得目標用戶的權限進行攻擊。破解密碼的方法就有很多種，例如：密碼噴灑(Spraying)、字典破解(Dictionary)、暴力破解(Brute force)、彩虹表(Rainbow table)。密碼噴灑是用最常見的密碼去嘗試各個服務；字典破解則是使用已知的密碼當做資料進行破解；暴力破解則是用各種組合一組一組去嘗試密碼是否正確。

之前參加過一場講座，主題就是講密碼設定時的注意準則。除了目前普遍服務會要求的英數字、大小寫、特殊符號以及至少12位長度的條件之外，也建議至少三個月更新一次密碼，以及不使用含有個資資訊或是有規則的方式設定密碼。另外更保險的方式是設定多因子登入驗證，例如手機/email接收驗證碼後輸入，確認為本人登入。這些方式能讓帳號密碼複雜度提高，也透過定期更新密碼增加密碼安全性，避免密碼外洩後又被用到其他服務的帳戶上。

延伸閱讀

(1) iOS安全機制不敵駭客攻擊！iPhone遭植入飛馬間諜軟體
(2) 以驅動程式型態存在的惡意蠕蟲Netfilter，驚傳內含微軟簽署的憑證，微軟公布初步調查結果
(3) Android 新木馬病毒藏身免費 App，已挾持數千個 Facebook 帳號
(4) 數位鑑識人員為什麼能破解我密碼