https://newera17031.activehosted.com/index.php?action=social&chash=17ed8abedc255908be746d245e50263a.2770&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=17ed8abedc255908be746d245e50263a.2770&nosocial=1

觀點

IT經理人個資法 保命錦囊

2009 / 12 / 07
余俊賢
IT經理人個資法 保命錦囊
來,經常於資安事件處理現場遊走,感覺就像是到了戰地,遍地煙硝。本來以為完美防守的陣地,卻看見指揮官與幕僚抓著頭在燒,都是因為駭客與犯罪集團的入侵,資料外洩所引爆的症候群。站在這裡,好像到了一個曾經有人駐守的戰壕,發現前面部隊所建構的防禦工事不夠完全,或者是虛張聲勢沒實質效用,真正要找問題時,後勤與安控完全使不上力或者根本沒有。但是敵人就在眼前,戰況告急該怎麼辦?舉白旗投降嗎?恐怕敵人沒有這麼仁慈,但是他不殺害會生雞蛋的母雞,只是經常在你不注意時,不留痕跡地將金雞蛋取走雞婆地去問了一下之前的資安廠商,為什麼不建議或實施更完整的防禦工事,或者是有提出建議但是用戶不採納等。

許多答案總歸是在於一個機率問題,用戶覺得這樣的問題不大「可能」會發生,不需要用不對稱的資源及預算去預防這個用戶「認為發生機率小」的威脅。也有人說,「駭客不可能用這種手法攻擊」,因此在對於企業體的個資保護、外洩偵測、事發處置上,通常缺乏一套有效的控制與對策。對於資訊或資安經理人而言,也不樂見此狀況發生在自己身上,但是在專案優先次序的取決下,很容易犧牲了基礎的防禦工事,等到事發之後,焦頭爛額且怎麼做都是吃力不討好的無力感便油然而生。企業主也知道這個風險,卻都在賭機率問題,總是以為不會輪到他。

一場資訊不對稱的賭盤

專業資安廠商與人員隨時都要花時間注意資安威脅的每日發展,而一般企業資安人員是否有這麼多時間和精力去關注問題,答案是不大可能。現在的資安威脅一日數變,已經和幾年前的變化相差甚大,資安威脅來源變得更多、更廣、更快,專業的犯罪組織不斷投入資安黑市,造成嚴重問題。安全威脅一日數變,各種變形木馬隨時都在換,一換之後企業最仰賴的防毒軟體就遲遲偵測不出。最近的URLZone木馬,這麼重大的網銀盜領事件,也是一個星期後主流防毒軟體才全面可以偵測,但是萬一犯罪者心情不好一日數改,這樣防毒還抓得到嗎?

 

相對的,要防守一個開放式的陣地很困難,尤其是在資訊不對稱的發展趨勢下,你不知道你的敵人在哪邊?有多少人?有多少武器?現有的防禦能否抵擋新式武器與手法的襲擊?所以這是一場必輸的不對稱賭盤,答案是99.9%有機會出問題。剩下0.1%唯一我們知道的是,對手要的是什麼、可能的目標及目的。

 

資訊資安環境體質總體檢

資安與IT經理人要如何面對這樣的局勢呢?答案是做資訊環境體質改造以及定期巡邏。首先,可以透過簡單的基礎防禦等級自我評估項目(請見資安體檢表)看出企業目前的防禦抵抗力。以上只要六個全部均為「是」,那恭喜你至少具備公認為較佳的資訊安全體質,若是第12項有,但是其他項目沒有,就是最基礎的資訊體質,低於此標準,就相對地危險。但是此等級也必須考量企業的資訊環境規模,一般會使用電腦數量來做比較,超過百台電腦者,最好要有不錯的資訊資安體質。如果六個項目都具備,是不是代表高枕無憂而不會有資安事件發生嗎?答案是否定的。因為,貴公司可能還有網站、資料庫、委外廠商與流動在外的行動電腦等重要資訊資產。

 

1項是基本的必要需求,一般IT人員與系統開發人員現在大多已經做了基本的修補,但誠如前述攻擊手法的變革疾速,擋得了一時,擋不了下一代變形的攻擊手法。近年發生的大量資料庫注射掛馬即為一實例,許多網站已經具備阻擋基本款攻擊的能力,卻擋不下單向一次的大量掛馬攻擊。

2項,是否存放重要的敏感資料,決定了網站是否會經常遭受攻擊的命運。台灣線上購物之發達讓人眼紅,重要網路商城變成為歹徒覬覦的首要目標,此項則為衡量企業該投入多少資源的依據。若有存放敏感資料,並且連結資料庫,則應更注意第345項之評估。使用WAF將攻擊風險與資料外洩風險轉移,是近年來最夯也最亂的市場,隨著攻擊手法的演變,維護WAF的防禦規則也必須跟著進步。第6項乃專門為資料庫安全,著重於特定資料的使用記錄與監控,可以說是最靠近核心資產的一道防線。

 

對於網站與資料庫之稽核(log)檔案之正確處理,是網站入侵事件調查最重要的線索來源之一,缺此則鮮少能全面確實找出問題。因此也必須要考量駭客將之刪除或變造的可能因素。一般會建議把log檔案定期複製到可以寫入的網路儲存裝置,透過集中管理以及快速檢索查詢工具,或者是用SIEM關聯分析作資安事件的偵測控制。如果必須要從log中找出蛛絲馬跡,則可以利用logparser這一類的工具,幫助處理人員快速檢索出特定時間、特定網頁或特殊的攻擊字串等資訊。

 

常見的log檔案包含主機安全事件紀錄(eventlog),以Windows作業系統來說有安全事件、系統與應用程式的event log,而unix-based則有登入、例行工作、郵件與系統錯誤等syslog所記錄的資訊。通常還可以搭配防毒記錄,看看事件前後的可疑中毒跡象,往往都會發現經常中毒的電腦,就會是最後問題的來源。再配合檢查網路防禦裝置,如防火牆、入侵偵測的事件記錄,資料庫稽核記錄如果有開啟也是個重要的資訊來源。可是,這麼多log檔案要怎麼看?假設時間和機器運算能力都充足的前提下,一般人的肉眼怎麼可能找出密密麻麻的資料海裡面的一顆沙呢?這就要借助log彙整與事件關聯的引擎,包含快速地搜尋log檔案的機制。

 

求生不易舉證更難

當今面對的網路犯罪特色就是,來源不確定(很可能是境外)、工具不確定(難以從工具追犯人)、證據不好找且容易被消滅,另外一個就是被害者不容易察覺犯罪正在進行中。似乎完全站在劣勢的企業主,難道就雙手一攤嗎?生意也不用做了嗎?當然不是,看在電子商務每年3成的爆衝成長力道,一定得想出一些可以自保又財源廣進的好方案,這時壓力就全然地落在資訊資安團隊的肩膀上。當企業面臨資安事件的舉證,如何證明「善盡保管與預防」以及「善盡管理責任」呢?

 

將來面對主管機關之稽查時,應該不只是書面審查而已,勢必會包含技術面的稽核。除了上述之基礎防禦措施之外,在商業流程中所接觸、處理的敏感資料,應該都要有存取記錄與資料分級、人員權責之落實,以及資料庫的存取稽核、資料保存的方式與期限和參考第三方的驗證結果,都會在所謂

技術稽核的範圍中。企業亦可效法實體安全門禁監控的概念,將內部、外部的網路流量通通記錄下來,就像是隨處可見的CCTV錄影機,將來有犯罪與事件發生總有個調查的依據,不啻是一個低成本的保命求生方法。再者,要有定期巡邏的觀念,就像是大樓有警衛,不只在門口管門禁,還要定時定點去巡邏,對於企業資訊資產也要定期巡邏,包含上述的各項影響體質好壞的關鍵點。以下為內部環境持續改進自我評估項目,供企業對於強化資訊資安體質做為參考,安全是持續的過程,稍微鬆散造成最嚴重的結果就是從99掉到0

 

1. 企業對於資安意識之強化與人員訓練,人員是資安過程最重要的一環,各項措施的落實都要由人員落實達成。

2. 資安情報定期更新,犯罪手法與武器的進展是不會自動跟您報告的,企業必須要能夠了解到威脅的發展狀況,方可恃吾有以待之。除了各種零時差攻擊、修補更新、犯罪組織目標對象,還包含法規、案例的發展。

3. 資料分級與加密的策略,既然知道最後可能會被偷走的目標,何不將之做更妥善的分級策略,減少接觸面,輔以加密的策略,將可降低遭竊後之衝擊,也善盡敏感資料保管之責。

4. 定期的資安稽核、弱點掃描與滲透測試,問題是不會自己浮現的,資訊資安體質改善了多少、做了多少?可以透過定期的稽核與第三方驗證測試來確認,同時也善盡預防與持續改進之管理責任。此外,資訊安全作業程序與作業權責;重要資訊處理人員是否簽署保密協議;資訊安全管理相關文件及記錄受到適當之保護與管制,也是企業不應忽視的重要項目。最後,如果這些都做了,那發生資安事件的機率還剩多少?答案是可以大幅降低,但仍然不會是零風險。