https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/
https://www.informationsecurity.com.tw/Seminar/2024_PaloAlto/

觀點

網災來襲 考驗政府應變力

2008 / 07 / 14
編輯部
網災來襲 考驗政府應變力

從近年的網路攻擊模式可發現,地下經濟產業已經成形,經濟性目標成為主要攻擊的獲利模式,這種威脅是由小漸大的。


火紅的5月天,網路上也開動一股新的熱潮,網民印象最深刻的應該是《巴哈姆特》、《遊戲基地》遭受網路阻斷服務DDoS攻擊的事件,因為攻擊者要求要在網站上刊登不合適的廣告內容遭到拒絕,因此發動報復式的網路攻擊。如果,被攻擊對象是我們民生所需的資訊基礎建設呢? 在4月中旬,國外陸續傳出大量網站遭到攻擊並且在網站上大量安插含有惡意的攻擊連結,引起非常大的騷動甚至懷疑出現了對於網站伺服器的零時差攻擊,雖然後來證明是並非肇因於微軟的網站伺服器,但是在國內無負責單位發出預先警示,早期將有問題的網站進行修補,這狀況就像是SARS已經在大流行,只是還沒有輪到台灣的網路遭殃,但是卻沒有專責單位負責監控管理這些情資。果不其然,在5月初這一波攻擊逐漸轉移到以中文為主的網站空間,造成短時間內10萬網頁遭到攻擊,連帶的可能會導致許多使用網路的民眾受到損害。SARS要傳入台灣是有實體空間上的限制,但是網路是沒有國界與空間距離的,只要幾秒瞬間,就可以轉移至台灣的資訊領土上。

這樣的狀況,好比發生大火但是沒有消防隊或是義消、傳染病散播但是沒有防疫單位,更沒有緊急應變的單位與能量,民眾只能自求多福,我們可以從《巴哈姆特》、《遊戲基地》的無奈聲明稿裡面看到,「我們沒有辦法防禦住這樣的攻擊,導致巴哈的首頁持續癱瘓。我們會繼續努力,但是目前束手無策。我相信這會是一場艱苦且漫長的戰役,我不敢去想像最壞的情況會是什麼。」加上5月至今仍嚴重出現的大量資料隱碼攻擊,讓原本以為已經修補好台灣大多數網站的美麗數字不攻自破,原來都是做半套的鴕鳥心態,不論是知名企業或是政府機關,都有不少在這次中箭落馬,原來都是玩假的!這次的攻擊之所以會兇猛,根據阿碼科技表示,這次的攻擊手法很特別,僅需一行攻擊碼,不需要獲取其他的訊息之下,以往將錯誤訊息關閉的防禦方法完全失效。而這些知名企業和政府機關真的不知道要去修改這些問題嗎?我們明查暗訪後發現,許多出問題的單位的資安服務承包商都是相同的幾家,可能在服務品質的確實度上需要加強。資安專家表示,一般會先做好外層的防護,然後再逐步修改有問題的網頁程式,這部分是只做了一半,或者經過外部滲透測試(PT)後發現沒問題就不管了。因為新的攻擊手法,如同自然界病毒細菌的進化,導致防禦措施失效,資訊領土的失序。

經濟目標的網路攻擊
從這一兩年來的網路攻擊模式中,我們不難發現到,地下經濟產業已經成形,現在已經濟性目標為主攻擊的獲利模式,包含攻擊能力的租賃(botnet)、竊取個資販售牟利、販賣高科技智慧財產等,還有一種是利用廣告模式賺錢,犯罪者一手抓資料一手向廣告商拿錢。相反的,整個社會花在疲於應付網路攻擊的成本極高但是不被討論,像是個資外洩購物網站,損失在花時間處理善後、客源流失與相關賠償問題的成本,以及個人資料外洩的成本,短期間可能無法立即看出來,但是就長期與經濟規模來看,這種威脅是由小漸大的。如果這些問題發生在國家的民生關鍵基礎之上,我們猜想這是非常有可能的,套句流行語反問,那我們準備好了嗎? 為了預防及避免經濟損失,或者是確保經濟的穩定與成果,日本總務省與經濟產業省責成「Cyber Clean Center」(www.ccc.go.jp/)以及民間的日本網路安全協會(JNSA)針對網路個資外洩、民眾安全的提醒,以及對於資訊國土威脅防護均有其建樹,所以人家不只是釣魚台要顧,資訊國土也要悍守。我們亟需資訊與網路安全的專責主管機關,不論是守土還是固本(避免經濟損失),都是當務之急。