訂閱電子報∣ 友善列印字體大小 文章分享-Facebook 文章分享-Plurk 文章分享-Twitter
「別把保險箱放門口」,駭客猖獗、工研院資安攻防技術部助企業建護城河
數位時代林芷圓
獲取產業訊息零時差!立即訂閱電電公會電子報。

「CYBERSEC 2022臺灣資安大會」於20日在臺北南港展覽館二館正式揭開序幕。為呼應各界對後疫情時代資安防護的迫切需求,今年大會以「CHANGE NOW 數位轉型 資安升級」為題,除了邀請超過300家海內外的資安品牌參與展出,也齊聚超過1萬名的產、官、學、研等資安專業人士,共同思索資安解決方案。

總統蔡英文蒞臨開幕典禮,她指出:「資安不能單打獨鬥,必須依靠聯防,(臺灣)政府正在加快腳步打造資安聯訪體系。」蔡總統表示,具體行動例如推動上市(櫃)公司設立資安專責單位與資安長,並計畫今(2022)年年底會有113家上市櫃公司完成目標;在公控資安領域,倚賴台積電、工研院等努力下,日前也已經推動半導體設備資安國際標準SEMI E187,有助於強化供應鏈安全。不僅如此,政府在今年底將成立「國家資通安全研究院」,藉此精進資安相關技術的研究。

美國在台協會(AIT)台北辦事處處長孫曉雅(Sandra Oudkirk)也來到現場,她表示:「臺灣的公部門、私部門是網路攻擊的目標,這已經不是什麼秘密了,但近期臺灣政府網站受到的網路攻擊量比過往高出23倍。」孫曉雅指出,強而有力的網路預防措施,對於保護臺灣各行各業的經濟利益顯得至關重要;而頻繁遭受駭客網路攻擊的情況也一再提醒我們,不能只依靠IT部門獨自面對資安挑戰,如今所有人在網絡防禦中都扮演著重要角色。

為企業把關資安韌性!工研院資安攻防技術部提出12點建議

有鑑於資安事件層出不窮,數位發展部數位產業署(以下簡稱產業署)另舉辦「中堅企業暨產業資安階段成果發表會」,說明內部如何協助企業提升資安韌性。

工研院資安攻防技術部技術經理陳伯榆提到,從本次參加資安體檢的企業當中,可歸納出12點資安威脅與風險所在。但他也特別強調:「檢測標的(樣本)是個別廠商,所以這些分析結果只能作為參考,不能推估到各個產業(母體)。」

以下說明12點問題的內涵:

問題一:資料庫是否適合在外部網路被發現

「基本上資料庫不適合開在外面,按理來說,資料庫是存放重要數據的地方,它的敏感程度只有企業本身可以知道。」陳伯榆指出,過往的駭客竊取資料時,可能會經過防火牆等重重關卡;但假設企業直接把資料庫亮在外面,對駭客而言是極容易入侵與控制的目標。

「即便資料再不重要,(資料庫開在外面)都可能讓『主機』成為跳板或被植入惡意程式。」陳伯榆因此建議,企業主(或資安長)應在系統開發設計上進行變更、調整。

問題二:Exchange Server版本問題

陳伯榆在本次的曝險探析中發現,部分企業的Microsoft Exchange系統似乎已經EOS(中止技術支援)。假設遇到過時的軟體怎麼辦?理論上,企業主必須找機會為軟體升級,以避免漏洞可能帶來的駭客攻擊。不過,陳伯榆也坦言,Exchange Server的升級是相對困難的、存在許多風險,以致於很多IT人員不敢貿然行動。

但無論如何,「適時編列預算來升級內部軟體」,才是企業經營的長久之計。

問題三:防火牆管理平台暴露在外網

「舉個例子,家裡可能會有保險箱,但我們不會把它擺在門口,我可能擺在衣櫥裡面,或是其他不顯露的位置。」陳伯榆將防火牆(firewall)比擬為保險箱的存在,如今有企業將防火牆管理平台直接放在外網,極容易遭受駭客暴力破解、撞庫攻擊。

旁人乍聽之下容易理解,但企業為何要這麼做?「資安有三個要素:安全性、可用性、完整性,當你過度重視安全性,你的可用性就下降。」陳伯榆解釋,防火牆的管理介面入口必須要藏起來,但也不能太過隱蔽(否則使用上不方便),意即企業必須在這些要素之間找到平衡。

更重要的是,防火牆的韌體應盡速更新升級。

問題四:FTP協定是否改採用SFTP

所謂FTP(檔案傳輸協定),簡單來說是指「沒有經過加密的檔案傳輸」,比如現在很多人使用Google雲端傳輸資料,潛在的駭客其實隨時可以從中攔截、甚至進一步入侵帳號密碼。

因此,建議企業應升級成SFTP(安全檔案傳輸協定),加密整個檔案傳輸通道。陳伯榆補充,目前在ISMS(Information Security Management System,資訊安全管理系統)制度與資安外部稽核時,都會要求在本項進行改善。

問題五:非必要通訊埠應該關閉

陳伯榆發現,有些企業開通的外部通訊埠(port)類型累計近2,000組,「一旦開通的通訊埠越多,駭客可以入侵的資安缺口就越多。」

因此,除非企業有特殊用途,否則一律建議以最小化、零信任原則進行管理。

問題六:Open SSH & Open SSL的潛在威脅

Open SSH與Open SSL,兩者都是開放原始碼(open source)的軟體函式庫套件,目前也都存在公開、已知的網路安全性漏洞問題。

陳伯榆因此建議,在不影響相關資訊系統操作、服務運作的前提下,企業有必要盡快進行版本升級與更新。

問題七:路由器(router)是否應該暴露在外部

「路由器(router)是一種類似IoT的裝置,那IoT的資安環境是很脆弱的,經不起我們做深度的資安驗證或紅隊測試。」陳伯榆指出,在路由器相關的資安驗證實例與經驗中,至今很少有(企業)100%安全通過驗證。

對此,他建議「路由器」應該藏在安全保護環境下,且企業有必要持續強化韌體更新、將相關管理介面進行黑箱弱點掃描,以確保符合資安防護能力。

問題八:Tomcat安全設計與管控

「我們現在連到任何一個網站,會有Web Service,它可以是RSS、Apache或Tomcat。」陳伯榆解釋了Tomcat的意義,同時直指其缺點所在,即Tomcat所提供的管理介面,方便用戶可以直接從遠端登入、修改設定,也讓駭客有許多可趁之機。

陳伯榆指出,設定孔(入侵點)不應該暴露在外,而最好的做法是直接關閉Tomcat的後臺管理平台。

問題九:VPN因疫情需要,安全上應注意

隨著疫情時代來臨,VPN(虛擬私人網路)也被頻繁使用,但人們往往忽略了兩個安全考量:第一,VPN是否啟用二次驗證機制,假設沒有啟用,則存在駭客暴力破解密碼的問題;第二,定期檢核VPN紀錄,藉此確保沒有異常來源地與時間的登入存取。

陳伯榆表示,假設企業內部檢測VPN紀錄時發現,IP位址顯示在印度、俄羅斯等並未開展市場的地區,則極有可能是遭到駭客入侵。對此,企業有必要時刻提高警覺。

問題十:開源CMS系統應注意安全

國際知名的CMS(Content Management System, 內容管理系統),例如WordPress平台,其實處處存在資安漏洞,它可能存在於後臺的管理平台,也可能潛藏在網站封面的模板。

即便如此,企業不太可能直接放棄開源軟體使用。陳伯榆因此建議,企業必須定期針對開源CMS系統進行資安檢測,以及強化後臺登入的安全管控。

問題十一:遠端桌面暴露在外網問題

「有些企業直接把遠端桌面暴露在外網。」面對這項問題,只能說明企業的資安意識有待提升。陳伯榆對此建議,桌面可搭配VPN服務進行強化作業。

問題十二:部分AIoT裝置在外網被偵測

「IoT裝置本身的安全性強度,並不足以面對分散式阻斷服務(DDoS)或相關駭客滲透。」陳伯榆表示,企業除了須定期更新韌體外,也應將IoT建立在專網基礎環境中,對企業資安來說會比較有保障。

責任編輯:侯品如

訂閱電子報 友善列印 字體大小:
獲取產業訊息零時差!立即訂閱電電公會電子報。