https://newera17031.activehosted.com/index.php?action=social&chash=a60937eba57758ed45b6d3e91e8659f3.2219&nosocial=1
https://newera17031.activehosted.com/index.php?action=social&chash=a60937eba57758ed45b6d3e91e8659f3.2219&nosocial=1

觀點

「知彼知己」= 駭客角度 ?!

2018 / 10 / 22
編輯部
「知彼知己」= 駭客角度 ?!
「知彼知己」幾近於從駭客的角度,以滲透測試或攻防演練等方式來來檢視是否存在安全漏洞。行政院國家資通安全會報技術服務中心副主任侯猷珉提到,政府施行網路攻防演練最早可推到民國92年開始,那時因為許多網站尚未有防護機制,常成為國際駭客攻擊炫耀的對象。為了避免發生類似情況,政府自己籌組攻防團隊先行測試演練,攻擊成功後,就會在網頁上留下標示並通報該單位處理,連帶建立資安事件應變處理與系統復原的機制。

常見資安漏洞
為了因應網路攻擊威脅加劇,政府不斷擴大攻防演練的範圍,到了民國102年,開始有正式的攻防計畫。參與單位也從原本的行政院二級部會,到103年,擴大到交通相關國家基礎設施,104年增加了油電能源與機場等重要設施,105年有DDoS (分散式阻斷服務)的跨機關演練。106年更不限於中央部會,加入地方政府單位,進行金融、電信、交通的跨領域綜合演練。雖然參與演練的大多是政府機關,但發現的漏洞與缺失民間機構一樣會有,所以侯猷珉分享多年攻防演練的經驗成果與案例,也值得大家參考重視。

進一步,侯猷珉以安全性設定為例,舉例說明,還看過一些狀況是詢問廠商和資安同仁時都表示設定沒有問題,但結果還是被打穿,最後才發現所有網路流量都會經過的Router,竟然使用預設密碼。或有些醫院申請ADSL線後,MIS人員就直接買了Router、Switch安裝,以為網路能通可用就好,管理帳號密碼都未修改,結果被駭客當作跳板,將所有流量直接傳到對岸,這都是安全性設定管理不當的問題。

重要基礎設施的部分,通常所有資訊設備都是由MIS負責管理。但有些像門禁系統就由人事負責,水、電等則歸在總務部,有時候這些基礎設施為了進行遠端控管,會向MIS申請IP連網對外透通,後來發現這些IP成為幾十組駭客輪流入侵攻擊的對象,所以MIS進行設備盤點時不應該侷限在機房內的資訊系統,像這些重要基礎設施也要考量是否在安全的防護範圍之內。

因此,侯猷珉也特別提醒IoT設備的管理,網路攝影機IP Cam不是只用在居家監控,現在很多的農、漁民,或是環控系統都會藉由IP Cam、感測器來進行現場實地的監控與收集資料,但這些聯網設備很多都疏於管理或直接使用預設帳密,不但對隱私造成威脅,也可能被駭客入侵成為發動DDoS攻擊的工具。

20萬與200萬的區別
最後,侯猷珉也針對評選標案給與些中肯的建議,他舉例表示系統的開發要導入SSDLC,所有的需求報告中要加入系統安全需求並集結成章,驗收測試也要加入安全性測試,系統上線時也要與廠商討論安全管制的基準為何?像政府機關有許多的網站系統都是委外開發,但以往都僅著重在功能性的測試驗收,未重視系統的安全防護。結果發現有些網頁的首長信箱竟可上傳檔案,且未檢查檔案格式,讓駭客直接上傳並執行攻擊程式以獲取管理員權限。或是留言版內容未經過濾,被駭客利用進行跨站腳本攻擊,甚至被存入資料庫裡造成系統管理權限的外洩。

還有在認證過程中有用到cookie,但未做好管控,使駭客能在本地端找到cookie修改後連結進入系統,這些都再再地表示系統開發人員對權限控管不夠熟悉,「這也是系統開發20萬元和200萬元的區別」,因此侯猷珉特別呼籲評選標案時,別只用最低標做為招標條件。將資安防護延伸到IT系統中,前置到系統開發前,後推到系統上線後,擴大組織的縱深防禦架構。