令人想哭的全球資安震撼教育

加密勒索軟體的威脅日益猖狂，不只是透過網路釣魚郵件發動攻擊，趁機謀取暴利，在2017年5月中，母親節的前夕，更是發生了震撼全世界的大規模攻擊事件，這支惡意程式稱為WannaCry（WanaCrpyt0r），世界各地幾乎無一倖免，只要有能力連上網際網路的地方，沒有落實網路安全防護與系統安全漏洞的修補，就有可能成為受害者。 

對於這起震驚全球的攻擊事件，很多比較資深的IT人員可能記憶猶新，會想起十幾年前肆虐的各式網路蠕蟲，例如：2001年的紅色警戒（Code Red）、Nimda，以及2003年的疾風（Blaster）、Welchia。

對於廣大的微軟伺服器端與個人端作業系統用戶而言，當時可說是陷入人人自危的處境，因為，作業系統Windows 2000、網站伺服器IIS、資料庫SQL Server的安全性弱點，成為惡意程式攻擊的主要目標，因為當時的用戶並未養成定期更新的好習慣，而使得爆發大規模感染的事件層出不窮，也曾經因此出現內外網路大癱瘓的慘況。

一直到微軟痛定思痛，全面改善旗下軟體產品的安全性，以及弱點修補更新機制，並且落實安全軟體生命週期（Security Development Lifecycle，SDL），因此，從他們在2004年推出Windows XP SP2、Windows Server 2003 SP1之後，這種因為系統漏洞遭到濫用的狀況逐漸減少，而且，安全性機制的提供與強化，也成為日後微軟所有產品所必備的部分，甚至，一度因為這部份的考量過於徹底，而因為安全性特色的提供，影響了產品的操作便利性（例如Windows Vista的UAC），導致使用者採用意願低落的情況發生，而有矯枉過正之弊。

不過，即便如此，各種軟體應用程式仍然還是存在著具有安全弱點的可能性，因此，每年的漏洞攻擊事件仍然接連不斷——有些是已知的安全性弱點，用戶未及時更新，而讓攻擊者有了可乘之機，有些則是連廠商也不一定知道的安全性弱點，卻被有心人士所把持、私藏，例如這些漏洞資訊可能會被一些黑客集團或國家安全單位所壟斷，作為他們發展網路攻擊武器的主要資源，而使得全球資安陷入不同與以往的緊張情勢——我們面對的不再只是個人，還是各種動機不明的網路攻擊集團。

而WannaCry攻擊事件在此時爆發，雖然又再一次地徹底顛覆了我們對於現在資安的認知，細究源頭，但也恰巧突顯了現今網路威脅攻防的詭譎情勢，再也不像以前那麼單純——在當前的資安威脅體系下，並非只有使用者、攻擊者、系統廠商、資安廠商這幾個角色，而是參雜了更複雜的生態在其中，牽涉了各方對於技術、金錢、情報的掌握與爭奪，而身在其中的我們，若不想陷入「人為刀俎，我為魚肉」的無知困境，就必須設法了解得更多，而不是繼續採取被動、等別人來告知作法的態度。

而對於企業IT人員，以及專職負責資安的人員而言，趁著這次舉世聞名的WannaCry加密勒索軟體事件，除了思考該如何因應之外，接下來，若想要在公司或組織推動更為有效的資安防護策略，現在就是一個很好的機會，請好好把握！

 相關報導  史上第一勒索蠕蟲WannaCry