考量軌跡資料運用度 DLP未被看見的舉證潛力

尋找從防禦、側錄到舉證的解決方案

在此我們也探討到目前各種資安防禦、側錄設備，能夠做到的舉證（或與記錄管理類產品整合）程度為何？該不該整合？是否可以達到數位證據同一性？現行又有哪些解決方案可提供？甚至是在採購相關解決方案時，應如何達到未來舉證的擴充性。

過去有不少金融單位採購記錄管理解決方案，其主要原因在於之前詐騙活動猖獗，主管機關針對此提出一些控制措施，要求金融單位需作到存取控制稽核（註），儘管並非強制要求，但有這樣的機制對稽核來說是相當方便且靈活的作法。此外，若為了後來因應個資法的需求，亦有電子商務、網路銀行等產業，將含有大量個人資料檔案的設備或資料庫進行Log的集中管理與監控，但是否要再往下佈署到內部伺服器，在法規尚未有明確標準與成本衡量之間，企業仍多有遲疑。

軌跡資料指的是個人資料在蒐集、處理、利用過程中所產生，非屬於原蒐集的個資本體之衍生資訊，包括（但不限於）資料存取人之代號、存取時間、使用設備代號、網路位址(IP)、經過之網路路徑…等，可用於比對、查證資料存取之適當性。過去的個資法施行細則將個資保護範疇包含了備份及軌跡資料，不過根據消息來源指出，基於企業成本與系統考量等，最新一版的個資法施行細則已不含軌跡資料，也就是說，個資的定義並不包含這些Log資料，已不再要求將軌跡資料當作個資來保護，而主要是將軌跡資料做為將來舉證的材料之一。因此軌跡資料或許不用大規模的全數蒐集，卻必須是被有效的運用。

先從存取控管看舉證

若從舉證的角度來考量，企業必須能夠看到從人、事、時、地、物的內容，來做整理、記錄，甚至是後續的佐證資料，至於如何管控則是遵照企業政策。敦陽科技資深行銷經理汪啟江建議，可以先把人事時地物的存取控管做好，再來做像DLP這種比較詳細的檢查。就如同一棟大樓裡有七、八個出入口，如果要鉅細靡遺的檢查將會耗費過多成本，所以做好存取控制有點像是把出入口限縮且只有員工能出入，這時再來做金屬探測或是檢查出入人員攜帶的內容物，負擔就小了。

存取控制建議大概可分做人、事、時、地、物－

人：例如網路設備都有IP位置可表示，透過微軟AD(Active Directory)與IT設備的整合、認證，就可以知道是誰在使用網路 IP存取記錄，也包括權限的控管，例如哪個帳號可以進入到哪個伺服器。因此在每個人登入後，Log就可以做好集中保存控管，至於是否作事後的關連分析，則又是另外一件事。

事：過去的閘道端設備都是辨識port 80，但現今越來越多商用、娛樂的應用程式、Web mail都必須透過支援第七層應用程式的網路設備辨識出來，不僅是IP位址，而是串連起應用程式與AD，如此便能透過產出記錄去發掘，什麼人正在用什麼樣的應用程式，例如透過E-mail往外傳機敏資料或是到惡意網站去下載惡意程式。

時：注意管制的設備必須與Time Server統一對時，無論是防火牆、IPS等眾多網路設備，產生的Log都會有時間標記，這些設備的傳輸都是以毫秒計，時間誤差即使是幾分鐘，都可能會判定成另外的事件，因此造成關聯分析時的誤差，屆時若需舉證則有公信力問題。

地：有些攻擊流量會從奇怪的地方來，例如一直非業務區塊來的網路流量存取，一樣可從Log來看存取IP、來源IP。

物：傳什麼資料？許多Gateway端設備，如下一世代防火牆大部分都沒有側錄功能，如果傳輸出去的資料有夾檔的話，頂多是記錄到檔名，所以如果有搭配側錄內容的解決方案，則在發生問題時就更可以拿來做為數位鑑識佐證之用。

這些資訊都分散在各個平台上，必須要有個共通平台來看這些資訊，早期會透過網路管理平台或系統管理平台來管理，但這只是設備管理，並沒有辦法看到細節的資訊。若要真正的連動，則必須要看各家SI可以做到什麼程度。並且除了在各式各樣設備之上，日誌管理系統(Log Management， LM)蒐集資料可能需要客製化之外，由於許多IT設備本就是針對系統資訊蒐集資訊，所以LM本身對於個資欄位收集也有缺乏深度的疑慮。