EP49 - WFH在家工作｜資安求生指南
Podcast 連結
因為疫情的關係，最近很多人都在家遠端上班。我們今天就要從員工的角度作為出發點，看看在家上班的我們可以做什麼有什麼在資安上需要注意的地方，除了教大家怎麼保護公司以外也保護自己。
實體安全
當我們改成遠端上班，需要把公司的電腦帶回家工作時，保管公司電腦的責任就從公司轉移到我們身上了
注意事項：
-
確保電腦不會弄丟和被偷
-
確保電腦不會被沒有被授權的人隨意的使用
-
不要把電腦放在沒有人看管的公共場合
-
不要把電腦放在沒有人的車上顯眼的位置
-
開啟電腦的自動鎖定：避免不在電腦旁時電腦被別人亂動（對家中有小孩的人來說可以避免小孩趁你不注意的時候亂動你的電腦、用你的電腦打電動等等）
-
加密硬碟：電腦遺失、被偷時避免電腦裡面的重要資料外洩
-
開啟裝置搜尋功能：幫助我們在電腦遺失的時候更容易被找回來
網路安全
遠端上班時，大家會使用家中的網路和 WiFi，此時所有我們與公司伺服器、資料庫、網頁等等的連線都會需要經過我們家中的路由器，如果家中網路不安全攻擊者就有可能會透過入侵家中的路由器或是網路設備，來攔截我們與公司的網路連線，或是透過我們的網路作為跳板，來入侵公司的系統
注意事項：
- 確保使用夠安全的 WiFi 協定：WPA2 / WPA3
- 安全的連線密碼：千萬不要把家中的路由器設定成不用密碼就可以連線，這樣才可以確保連線的安全而且避免其他人偷連我們的 WiFi
- 更改路由器管理員密碼：不要使用預設帳號密碼，大部分的路由器出廠預設的帳號密碼都是固定幾個，使用預設密碼別人可以輕易的猜到密碼、拿到路由器管理員權限
- 注意智慧家電：物聯網裝置要更新或是確保安全性通常也比較困難，大家也很常會忽略這些裝置的資安，因此這些物聯網裝置很容易成為駭客的目標被作為入侵的途徑和跳板
- 更新路由器的韌體：避免路由器上有已知的漏洞被攻擊者利用
- 不要使用公開的 WiFi：沒有使用額外的保護時，我們的網路連線就會暴露在風險中，其他人是可以攔截到我們使用公開 WiFi 時的連線跟資訊的，因此不管是不是上班都建議大家不要使用外面公開免費的 WiFi
密碼、社交工程
很多公司為了讓員工在家也可以連線到公司內部的網路會提供 VPN 給員工。
很多 VPN 都是使用帳號密碼來進行身份驗證，這代表著如果別人有了你的 VPN 帳號密碼，他們就會可以用你的名義連線到公司的內部網路。因此要確保 VPN 密碼的安全性，可以的話一定要把雙因素驗證開啟。
不只有 VPN 的密碼需要注意，任何工作上使用的密碼都需要夠安全跟被妥善的保管，跟 VPN 一樣盡量都雙因素/多因素驗證開啟。
根據網路公司 F5 的調查，全球在疫情爆發後社交工程跟釣魚相關的攻擊成長了超過兩倍，且很多攻擊者會利用 Covid-19、肺炎、疫苗等等的相關關鍵字來吸引大家的注意，因此大家在遠距上班的過程中要多留意。
遇到怪怪的、不確定安不安全的東西都建議大家要多加確認，有時候多打一通電話跟同事或是老闆確認一下，就可以避免掉日後很多的問題跟麻煩。
新聞連結：F5 - Phishing Attacks Soar 220% During COVID-19 Peak as Cybercriminal Opportunism Intensifies
線上會議
相信很多人都還對一年前全球疫情剛爆發的時候，Zoom 被爆出有資安問題的相關新聞有印象。
複習：Zoom 資安事件追蹤
Zoom 的事件凸顯出了不少線上會議可能引發的資安問題，像是 Zoom 轟炸(Zoombombing)就是一個去年才出現的新名詞。去年當疫情爆發，很多公司跟學校都在使用 Zoom 遠端開會跟上課的時候出現了不少惡意的用戶，他們會去亂入別人公開的會議，並在加入以後分享一些色情或是偏激的仇恨言論，影響別人的會議跟上課。
不管我們用的是哪個會議軟體，都有一些注意事項要留意
注意事項：
- 不要建立公開的會議：避免不認識的人亂加入我們的會議，避免 Zoombombing
- 等候室：開啟這個功能以後任何想要加入會議的人都會被放在一個虛擬的等候室，他們會需要會議內部的人的同意才可以離開等候室加入會議，可以避免 Zoombombing
- 注要畫面分享時畫面上的內容：注意不要不小心分享了機密文件給別人了
- 注意自己跟家人的隱私了：避免家人影響到我們開會，也避免開會影響到家人的隱私。建議與家人妥善的溝通，讓彼此知道對方的開會時間。
- 模糊背景、更改背景：把本人以外的東西都模糊處理或是蓋掉
- 使用鏡頭蓋、鏡頭貼：透過物理的方式把鏡頭遮起來
使用膠帶遮住鏡頭
使用鏡頭蓋遮住鏡頭
公私分開
遠端上班一個很重要的觀念：把工作事項和私人事項分開。工作相關的內容都要在公司提供的電腦上進行，同樣的私人的事情就要在自己的電腦上進行。這樣不只是確保公司資料的安全性，也避免不小心惹禍上身。
公司會有責任提供一個安全的裝置跟環境給員工，但如果我們在公司的電腦上做私人的事情，或是在私人的電腦上工作，然後導致意外發生的話，我們就會需要負起沒做好資安防護的責任。
站在公司的立場，員工使用私人的電腦工作代表著公司的資料會不受公司的管控，公司會沒有辦法知道這些資料有沒有被妥善的保護和加密，即使真的發生外洩的公司也不會有辦法在第一時間知道，因此這對公司來說會是很大的一個風險。
除了公司自己的規定以外，公司可能會需要遵守一些不同的法規和資料保護法，使用自己的電腦上班或是在工作電腦上做私人的事情都有可能會不小心違反了這些法規，給公司和我們自己帶來麻煩。
同樣的道理也適用在我們私人的外接硬碟、雲端硬碟以及 Email。
站在員工隱私的立場，使用公司的電腦或是連線到公司的 VPN 時，公司的網管和 IT 部門可以知道也有權力知道我們在做什麼的，公司是會可以知道我們在做私人的事情的。
如果在家上班的時候想要偷懶但不想被公司知道的話，記得不要用公司的電腦看 YouTube 或 Netflix。
更新與維護
雖說更新是公司的責任，但很多更新會需要把電腦重開機才可以完成，如果我們能夠定期的把電腦重開機的話，就可以確保電腦的更新是有被安裝。
很多駭客都會針對一些遠端工作時會用到的軟體來下手。像是常見的商用 VPN 軟體 Pulse Secure VPN 就被發現有嚴重的漏洞，且有跡象顯示駭客正在積極地透過這些漏洞來進行攻擊，因此確保電腦和軟體是保持在最新的版本是一件很重要的事。
我們也建議在下班以後把電腦保持開機並連線到網路上，因為大多數的公司會選擇在下班時間安裝更新，來避免影響到員工上班。但如果我們一下班就把電腦關機，這些原本應該要在下班時間安裝的更新就會變成在我們上班的時候安裝，此時更新的過程可能就會影響到我們上班。
如果我們能夠確保電腦有定期的重新開機並且在下班後還是開機連到網路的，就可以減少這樣的事情發生影響到我們上班。