HP Enterprise Security、果核數位攜手聯防 遊戲安全不中斷

近幾年遊戲業資料外洩、攻擊事件頻傳，從2011年SONY PSN外洩7,700萬筆玩家個資，2012年暴雪戰網玩家的email帳號外洩，2013年任天堂網站2.4萬筆會員個資外洩，幾乎各大遊戲無一倖免。遊戲業對駭客而言，除了有大量個資可竊取之外，入侵遊戲業伺服器竄改金幣寶物餘額，就可破壞遊戲的儲值扣點機制，甚至可以轉點掛賣，將點數變現，更別提發動DDoS攻擊直接勒索。資安防護對遊戲業來說已經不是Nice to have而是Must have。

遊戲業常見問題：DDoS、不安全的開發

HP軟體事業群資安事業處副總經理李正為指出，遊戲業最主要面臨的資安威脅就是以DDoS攻擊為主，尤其一到暑假更是DDoS攻擊高峰，呼籲業者應提早因應規劃。其次，程式開發不夠安全也是遊戲業屢傳出資安事件的原因。

HP合作夥伴果核數位資訊安全顧問陳昱崇表示，OWASP 2010/2013 Top 10中的第一項SQL Injection仍是遊戲業常見問題，包括網頁被掛馬、會員個資外洩、甚至被取得系統管理者權限，導致資料庫遭竊等。企業可以透過導入白箱／黑箱檢測工具，如HP Fortify與HP WebInspect來防範已知風險，同時對於工具無法檢測出的未知風險，則需要透過資安專家定期執行滲透測試來檢測。

陳昱崇進一步指出，Boundary Testing、Input Injection等都是遊戲程式常見的邏輯性弱點，將導致遊戲中扣點機制及公平性遭破壞。需要靠模擬駭客思維的滲透測試才能找出問題。此外，提供圖檔上傳也是遊戲網站或電子商務網站常見功能，但若使用IIS 6.0卻可能遇到分號(；)解析漏洞，可以被有心人士上傳後門程式。對系統而言，駭客往往靠著兩個小弱點，就可以打進伺服器，而後提權成為系統管理者，造成更大危害。

果核數位資訊安全部經理黃韋強則指出，遊戲業所面臨的程式開發問題，與其他產業相同，就是程式設計師缺乏安全開發的概念，即使有檢測工具，但往往礙於上線時程壓力，看到滿滿的漏洞檢測報告，一時之間也不知如何修補。此外，遊戲業經常推出各種新活動、新遊戲，因此也常常會外包開發，但根據果核統計，外包開發的程式漏洞問題佔全部總數達1/4，委外檢測安全也不容忽視。

黃韋強以過去遊戲橘子資安團隊在導入黑白箱工具及SSDLC的經驗，建議企業資安部門要讓程式開發團隊重視程式安全，可以先透過黑箱檢測，直接撈資料出來可讓程式部門立刻注意此問題，接著透過白箱測試的報告，告知問題在哪裡。黃韋強並建議將檢測工具融入開發流程中，每天進行源碼檢測，以化解上線時程來不及修補的問題。

關於DDoS防禦，果核數位資料中心管理部經理王恩義表示，現今DDoS攻擊由於攻擊工具多，甚至供擊者提供「打死才付錢」的服務，助長了DDoS的攻擊。加上DDoS攻擊手法是頻寬型攻擊混雜應用型攻擊，對企業而言極難防禦。目前提供DDoS防禦的服務廠商不少，相較於其他國際電信或DDoS防禦服務廠商，王恩義指出，果核的特色是清洗中心Data Center設在台灣，不需忍受延遲，在10毫秒以下就可清洗過濾，且在國內有35 GB的頻寬，與各家ISP業者有多鏈路的連結。

許多遊戲業的資訊人員大多只管理伺服器，較少有專責資安工程師，但遊戲業競爭激烈，一旦發生個資外洩、伺服器被入侵等資安事件，都將引起玩家反感、進而影響遊戲商譽，因此選擇良好的資安服務廠商才能讓遊戲繼續稱霸。