【客座文章】不是不爆，時候未到：正視資安風險空窗期的威脅

 作者  創泓科技產品經理Jim Huang

趨勢科技在近期公布的一份資訊「臺灣企業平均遭駭客入侵潛伏的時間為598天」，而FireEye所發布最新的亞太區M-Trends報告中也提到，亞太區企業和政府機構，平均是要520天才會發現自己遭受攻擊。

換言之，多數單位至少有將近一年半的時間，是處於資安風險階段而不自覺，如果無法發覺自身有哪些存在的弱點漏洞，並且進行妥適的防護控制，則相對是給予網路犯罪者更充分的布局時間，以及得逞機率。

資安威脅朝向經濟犯罪的趨勢

過往，資安事件多數的目的是以「攻擊與破壞」為主，但近年來所發生的資安事件，則是朝向「經濟犯罪」發展。

根據資誠會計師事務所公布的《2016 資誠全球經濟犯罪調查報告－金融服務業》顯示：46％的全球金融業，在過去一年，曾發生經濟犯罪事件，而每件經濟犯罪造成的損失，在10萬美元上下。

就以近期廣為討論的第一銀行ATM盜領事件來說，犯罪金額高達8仟多萬臺幣（約為250萬美元），如果加上對於企業形象傷害，則整體造成的損失更大。而且，第一銀行發生這樣的狀況，不僅是金融服務業者，才必須注意關心的，其他產業也可能面臨類似危機。

綜觀本案，所採取的手法包括：第三方跳板入侵、管理控制權限取得、非法軟體派送、惡意程式植入，以及異常網路連線通訊等，而這些入侵方式，對於各個產業的組織單位都適用，只是受攻擊的最終目標，由「銀行ATM」改成其他系統而已。

舉例來說，在2013年發生於南韓的Dark Korea事件，在這起攻擊當中，包括韓國KBS電視臺、新韓銀行、農協銀行，以及濟州銀行等6家企業，超過48,700臺資訊系統與ATM伺服器接連當機，連帶地，數千臺ATM發生故障，網路銀行與信用卡服務也受創。

另外，美國第二大連鎖商店Target發生的資料外洩事件，也是很典型的例子，當時曾造成4000萬張的金融卡資訊，以及7000萬名顧客的個人資料外洩。甚至於，近來猖獗的「加密勒索威脅」事件等，也都與此有關。

雖然規模大小不一或受害標的不同，但從事件內容分析，即可見到類似的犯罪手法過程，並且以「經濟犯罪」為任務目標。

正視資安的「風險空窗期」

當我們更仔細探究這些資安犯罪事件得逞的原因，主要還是在於人們對於資安的認知與心態，例如，過於倚賴既存的防護機制、隔岸觀火的僥倖想法、不願意正視實際的資安風險狀態等。

而這樣的發展，或許跟我國對於資安相關的規範設計有關。以《政府機關（構）資通安全責任等級分級作業規定》為例，針對A級機關的安全性檢測為：每年至少辦理2次網站安全弱點檢測、1次系統滲透測試及1次資安健診；針對金融機構的《金融機構辦理電腦系統資訊安全評估辦法》則要求：凡與客戶有直接接觸的資訊系統，規定每年都需要進行一次資訊安全評估作業。

不過，如此的檢測頻率，已經無法符合近幾年的新一代資安威脅，相對地，因為依循（滿足）這樣的規範下，反倒造成資安威脅空窗期的提升。

從賽門鐵克最新一期網路威脅分析報告來看，過去這六年來，惡意變種程式的數量，從每天 6,400隻，成長至每天 1,179,000隻（增加了184倍），而目前的惡意程式，則有80％利用各式新或舊的系統漏洞。就以2015年最強勢的漏洞攻擊套件Angler來說，占全年所有漏洞攻擊套件活動的59.5％，利用包括Flash、IE、Silverlight等應用程式的漏洞，而且，加密勒索軟體中常見Angler身影。

除了這些知名的威脅外，事實上，我們更應該深究系統漏洞的最新情報。

光是今年，有多家重量級的軟體廠商，包括Oracle、SAP、VMware等公司所釋出的重大修補數量，就已經夠多了。另外，資安廠商，如Symantec、趨勢科技、Kaspersky、FireEye等，亦是漏洞連連，甚至，連防火牆廠商Cisco和Fortinet也無法倖免——因駭客Shadow Brokers入侵NSA關連組織，被發現NSA用來入侵漏洞的工具中，也包括這兩家防火牆的漏洞。

然而，「漏洞的存在」並不是造成資安問題的重點．事實上，未能察覺組織環境內的「漏洞存在」狀態，並且執行適當的反應措施，才是造成資安風險空窗期，以及受害（駭）機率的問題所在。

正視資安風險的存在，思考如何正確而有效地縮短空窗期

對此，我們必須先認知殘酷的現實：「安全，並沒有100％的防護方法」。同時，我非常喜歡國外對於資安防護用「Achilles' heel」來描述現今網路資安威脅，而「Achilles' heel」引申的字義為「致命弱點」．換言之，即使如希臘神話戰神——阿基里斯具有強大的神功護體，只要存在一處弱點，就足以摧毀，更何況發展一日千里的資訊科技；相信對於計畫犯罪的駭客們而言，肯定比所針對的目標單位，更清楚掌握環境中存在可利用的弱點及後門，只要弱點存在越久、沒有變動，相對就讓駭客有充分時間，去選擇及籌組多個最佳的攻擊連續技，等待適當的時機收割結果。

不過，如果我們能以最快速度，掌握自身的「Achilles' heel」所在，並透過不同的防護措施來協助，將可以縮減資安風險空窗期——不僅增加駭客布局的困難度，相對也更容易察覺已經下手的異常跡象，進而將資安防護程度提升到最高．以下我提出五點建議，做為參考：

一、正確、詳細的資產管理

企業若要做好IT管理，首要工作是資產管理（Asset Management），你必須清楚掌握各個資產的網路連線資訊（IP位址、MAC位址、主機名稱等）外，並最好針對系統類型（作業系統、韌體、虛擬機器等）、應用服務（網站、中介軟體、資料庫、TCP/UDP網路埠號等），以及任務專案的型態（電子商務系統、ERP系統、ATM系統等），予以區分，如此對於往後的諸多資安防護工作，將會有非常大的幫助。

以2016年中而言，單是基礎架構領域的IT廠商，就已公布為數不少的安全漏洞，其中，以Oracle居冠，有3百多個弱點，而微軟、IBM也陸續公告多達1百多個弱點。圖片來源／Cisco CISOC 2016 Midyear Cybersecurity Report

二、掌握最新的資安風險狀態

資安風險狀態的掌握方式，可以透過主動掃描、被動掃描、事件記錄，以及合規檢測等方式來達成。不過，在觀念上，必須以「資安」為重，而非以滿足管理稽核的作業來看待。

以主動掃描（Active Scan）而言，應針對不同的資產類型，進行適當的弱點掃描檢測，並且定期執行掃描。舉例來說：針對各類型系統資產，進行每週一次的一般性網路掃描；針對重要應用服務系統，進行每月一次的授權深層掃描；針對特殊任務系統，進行每季一次的授權深層掃描，以及規範檢測。

由於主動掃描是排程進行，因此，如果可以同時結合被動掃描（Passive Scan）方式，就能夠以網路側聽探查弱點型態，以及異常非法的網路行為。

舉例來說：當資產系統在主動掃描時未能檢測出的弱點（可能被蓄意隱匿或當下尚未啟動），一旦發生網路通訊行為時，可由被動掃描偵測，比對是否為具弱點的應用程式版本；同時，可依據網路政策，檢測不合規定或未知的服務，甚至進一步偵查是否有惡意網路連線，以及敏感資料傳遞等．

另外，事件記錄也是資安工作重要的項目之一，因為透過系統日誌（Syslog）或事件日誌（Event Log）的資料回饋，都有助於提升資安事件的識別能力。

而透過相關系統及網路資安設備的事件記錄關聯分析（Event Correlation Analysis），能夠針對異常狀況而有所警覺，若能結合前述掃描機制所探查的情報，也能具備資安威脅的掌握能力。

至於合規檢測，則是依據各單位制訂的資安管理辦法，或所依循的規範。例如：系統的管理原則（密碼的長度、複雜度、更換週期等）、安裝程式管理原則（黑名單、白名單），以及端點安全原則（防毒防駭的啟動與否、版本別、資料是否更新）等。以Windows系統為例，多數單位雖然透過AD GPO來派送政策，但實際派送作業是否成功，仍很難驗證。不過，基本上，合於規則的系統，被駭的機率相對低。

綜觀歷年安全漏洞數量，至今仍居高不下，根據CVE Detail網站的統計，近兩年被發現的漏洞高達5千個以上，而以類型而論，與程式碼執行相關的弱點最多，累積有2萬多個。圖片來源／CVE Details

三、快速評估資安風險的改善方式

要縮短資安風險的空窗期，除了快速掌握風險狀態外，加速評估改善的方式更是重要且艱辛的任務。

多數IT人員都明白「系統有洞就要補」，但實際上，有很多原因，讓IT人員難以執行修補作業。以金融單位而言，漏洞評估週期為3個月，而其他多數單位則為半年或一年期的年度計畫。

要達到「快速改善」的方式，我提出以下3種建議：

1.選擇性修補

依據資產系統的位置及任務型態，針對全球已經對外公布、具有可被利用（Exploitable）的弱點項目，優先進行評估修補作業；也可針對適用最大多數系統改善的修補程式，進行評估。

2.補強／補償措施

弱點修補程式之所以無法執行修補，可能是由於系統商尚未釋出，或是已經終止服務的情況下，或是IT人員測試評估結果認為對線上服務有重大影響，因此，透過外部或第三方的補強／補償措施，來達成資安風險改善的效果，例如，設置Web Application Firewall，來補強對外網頁服務的SSL風險或程式改寫問題。

3.加強控制

上述2種方式都無法施行時，針對該重要的資產系統加強控制措施，是必要的行動，例如：限制存取控制來源、限定服務通訊埠、限定管理權限、提高密碼複雜度、監控異常存取，以及設定變動等。

資安風險評估必須以不同的角度檢視，並且從持續檢測出的大量資訊中過濾分析，以利於快速準確的反應，尤其是針對已存在攻擊碼的弱點風險，處理順位更是首要任務。圖片來源／Tenable SecurityCenter

四、參考資安國際規範

國內目前對於資安規範的意識仍相較於其他國家顯得薄弱，多數以政策指導的原則，普遍缺乏明確的技術執行要求．舉例來說，我們如何判斷一個航班的飛航安全？可能包括這架飛機的最近一週的保養記錄、當天的檢修確認、機師的健康狀態、乘客安檢結果、當天起降地的氣候等；但我們如何判斷一套系統的資安狀態？似乎莫衷一是。

因此，參考國際規範如PCI-DSS、HIPPA、GCB、SOX等的執行細則，並選擇適用的項目，進一步可針對各資產系統的安全要求，定義可量化及量測的標準，透過前述資安檢測方式，來觀察資安風險係數。例如，以「保證確認報告（Assurance Report Cards）」的方式，也有助於管理者的資安風險解讀。

五、建立正確的防護並落實執行

相信各單位對於資安相關的人力、資源、預算都相當有限，因此，藉由資安風險的掌握，將對於資安防護機制能夠有正確有效的規畫與投資。

簡單來說：對症下藥。不論存在的弱點修補與否，都因針對該資產系統的安全性進行強化，能夠做到降低風險的同時，再加上適當的防護措施，可以讓資安的投資可以獲得最大效益發揮。

確實掌握自己的安全弱點，才能有效防禦

套句孫子兵法所言：「知己知彼，百戰不殆。」，而其中，「知己」這件事，在現今資安環境下，更為重要。

要做到前述的資安風險管理方法，必須倚賴更自動化的管理手段，以及可數據分析量化的資訊情報，如果仍以傳統的人工作業，則勢必事倍功半。

請記得，資安風險的改善是必須持續，並且不斷因應風險趨勢進行調整。若能常態性地進行資安風險管理，相對提升整體投資效益及降低成本。否則，「不知彼，不知己，每戰必殆。」