「知彼知己」= 駭客角度 ?!

2018 / 10 / 22

編輯部

「知彼知己」幾近於從駭客的角度，以滲透測試或攻防演練等方式來來檢視是否存在安全漏洞。行政院國家資通安全會報技術服務中心副主任侯猷珉提到，政府施行網路攻防演練最早可推到民國92年開始，那時因為許多網站尚未有防護機制，常成為國際駭客攻擊炫耀的對象。為了避免發生類似情況，政府自己籌組攻防團隊先行測試演練，攻擊成功後，就會在網頁上留下標示並通報該單位處理，連帶建立資安事件應變處理與系統復原的機制。

常見資安漏洞
為了因應網路攻擊威脅加劇，政府不斷擴大攻防演練的範圍，到了民國102年，開始有正式的攻防計畫。參與單位也從原本的行政院二級部會，到103年，擴大到交通相關國家基礎設施，104年增加了油電能源與機場等重要設施，105年有DDoS (分散式阻斷服務)的跨機關演練。106年更不限於中央部會，加入地方政府單位，進行金融、電信、交通的跨領域綜合演練。雖然參與演練的大多是政府機關，但發現的漏洞與缺失民間機構一樣會有，所以侯猷珉分享多年攻防演練的經驗成果與案例，也值得大家參考重視。

進一步，侯猷珉以安全性設定為例，舉例說明，還看過一些狀況是詢問廠商和資安同仁時都表示設定沒有問題，但結果還是被打穿，最後才發現所有網路流量都會經過的Router，竟然使用預設密碼。或有些醫院申請ADSL線後，MIS人員就直接買了Router、Switch安裝，以為網路能通可用就好，管理帳號密碼都未修改，結果被駭客當作跳板，將所有流量直接傳到對岸，這都是安全性設定管理不當的問題。

重要基礎設施的部分，通常所有資訊設備都是由MIS負責管理。但有些像門禁系統就由人事負責，水、電等則歸在總務部，有時候這些基礎設施為了進行遠端控管，會向MIS申請IP連網對外透通，後來發現這些IP成為幾十組駭客輪流入侵攻擊的對象，所以MIS進行設備盤點時不應該侷限在機房內的資訊系統，像這些重要基礎設施也要考量是否在安全的防護範圍之內。

因此，侯猷珉也特別提醒IoT設備的管理，網路攝影機IP Cam不是只用在居家監控，現在很多的農、漁民，或是環控系統都會藉由IP Cam、感測器來進行現場實地的監控與收集資料，但這些聯網設備很多都疏於管理或直接使用預設帳密，不但對隱私造成威脅，也可能被駭客入侵成為發動DDoS攻擊的工具。

20萬與200萬的區別
最後，侯猷珉也針對評選標案給與些中肯的建議，他舉例表示系統的開發要導入SSDLC，所有的需求報告中要加入系統安全需求並集結成章，驗收測試也要加入安全性測試，系統上線時也要與廠商討論安全管制的基準為何？像政府機關有許多的網站系統都是委外開發，但以往都僅著重在功能性的測試驗收，未重視系統的安全防護。結果發現有些網頁的首長信箱竟可上傳檔案，且未檢查檔案格式，讓駭客直接上傳並執行攻擊程式以獲取管理員權限。或是留言版內容未經過濾，被駭客利用進行跨站腳本攻擊，甚至被存入資料庫裡造成系統管理權限的外洩。

還有在認證過程中有用到cookie，但未做好管控，使駭客能在本地端找到cookie修改後連結進入系統，這些都再再地表示系統開發人員對權限控管不夠熟悉，「這也是系統開發20萬元和200萬元的區別」，因此侯猷珉特別呼籲評選標案時，別只用最低標做為招標條件。將資安防護延伸到IT系統中，前置到系統開發前，後推到系統上線後，擴大組織的縱深防禦架構。

駭客資安意識