「校務行政系統資料庫個資防護計畫」教育訓練及說明會 李烜旭 Neo Li CEH、CHFI、ISO27001 LA 2018/11/8

簡報大綱 專案計畫說明 專案功能說明 IBM Guardium-資料庫存取稽核 IBM TEM-端點管理 問題討論

專案計畫說明 The reality of living in a globally integrated world is upon us. But the meltdown of our financial markets has jolted us awake to the realities and dangers of highly complex global systems. But in truth, the first decade of the 21st century has been a series of wake-up calls, with a single subject: the reality of global integration: Frozen credit markets and limited access to capital Economic downturn and future uncertainty abound Energy shortfalls and erratic commodity prices Information explosion and risk/opportunity growth Slowing superpowers and emerging economies New customer demands and business models Global integration is changing the corporate model and the nature of work itself. But we now see that the movement of information, work and capital across developed and developing nations—as profound as those are—constitute just one aspect of global integration. These collective realizations have reminded us that we are all now connected – economically, technically and socially. But we’re also learning that just being connected is not sufficient

建立具備智能、整合及專業的個資資安架構 委託關係 蒐集 處理 利用 確認個資種類 停止、刪除、銷毀 蒐集要件 安全維護 符合特定目的 告知或公告 安全維護 符合特定目的 接受當事人行使權利 查詢 閱覽 製給複製 補充 更正 停止蒐集處理利用 刪除 建立管理作業流程 4

建立具備智能、整合及專業的個資資安架構 委託關係 蒐集 處理 利用 確認個資種類 停止、刪除、銷毀 蒐集要件 安全維護 符合特定目的 告知或公告 安全維護 符合特定目的 接受當事人行使權利 查詢 閱覽 製給複製 補充 更正 停止蒐集處理利用 刪除 個人資料檔案安全維護計畫 業務終止後個人資料處理方法 建立管理作業流程 事業主管機關得指定、非公務機關訂定 5

建立具備智能、整合及專業的個資資安架構 委託關係 蒐集 處理 利用 確認個資種類 停止、刪除、銷毀 蒐集要件 安全維護 符合特定目的 告知或公告 安全維護 符合特定目的 接受當事人行使權利 查詢 閱覽 製給複製 補充 更正 停止蒐集處理利用 刪除 採行適當安全措施(防止被竊取、竄改、毀損、滅失、洩漏) 個人資料檔案安全維護計畫 業務終止後個人資料處理方法 建立管理作業流程 事業主管機關得指定、非公務機關訂定 法規要求 6

新弱點 •個資意識不夠 •資安自保不足 •修正檔未安裝 •觀念陌生 新威脅 新風險 •駭客、變種木馬 •個資數量繁多 •APT 攻擊威脅 –安全需求、安全漏洞 –授權、記錄、適當揭露 新威脅 •駭客、變種木馬 •APT 攻擊威脅 –先進攻擊手法 –緩慢、低調、針對性 –有系統、有組織 –不達目的、絕不罷休 新風險 •個資數量繁多 •特權使用 •不當揭露 •……

個資外洩的風險

新弱點 新威脅 新風險 •個資意識不夠 •駭客、變種木馬 •個資數量繁多 •資安自保不足 •APT 攻擊威脅 •特權使用 •修正檔未安裝 •觀念陌生 –安全需求、安全漏洞 –授權、記錄、適當揭露 新威脅 •駭客、變種木馬 •APT 攻擊威脅 –先進攻擊手法 –緩慢、低調、針對性 –有系統、有組織 –不達目的、絕不罷休 新風險 •個資數量繁多 •特權使用 •不當揭露 •……

借題發揮！ 黑客借 Java 事件大規模散佈虛假修正檔

*客戶負有識別及解釋並遵守和其業務相關的法律或規範之責任. IBM 並不保證透過其提供之服務或產品即代表其可以符合法律之要求. 從外部入侵或在內部盜取都可能發生 行業別 營運秘密 個人資料 科技及製造業 製程流程與參數、設計資訊、未公開產品規格、軟體原始碼、營運及業務、財務、人事資訊 雇員、客戶個人資訊 金融行業 交易資訊、未公開營運資訊、業務、財務、人事資訊 雇員個人資訊、客戶個人資訊、信用卡或帳戶資訊 醫療行業 實驗數據、業務、財務、人事資訊 雇員個人資訊、病患個人資訊、病歷資訊、健康檢查資訊 教育行業 研究報告、業務、財務、人事資訊 教職員資訊、學生及家長個人資訊、學生學習紀錄 政府及軍事 軍事機密資訊、內部調查資料、未公開規劃、稅務資訊、情報資訊 國民、市民資訊、個人稅務及財務資訊、 零售行業 會員資訊、信用卡或帳戶資訊 *客戶負有識別及解釋並遵守和其業務相關的法律或規範之責任. IBM 並不保證透過其提供之服務或產品即代表其可以符合法律之要求. 12

Data Breach Investigations Report by Verizon Business 1313 資料外洩的內憂與外患 1. 外部的攻擊 2. 惡意的內部使用者 離職員工 高權限系統管理者 竊取資料的集團，派人應徵企業的資料管理員相關職務 3. 合作夥伴 92% Data Breach Investigations Report by Verizon Business

機敏性個資防護- 從根本(資料庫DB)做起

個人電腦端防護- 防毒->修正檔管理

專案-功能說明 IBM Guardium-資料庫存取稽核 IBM TEM-端點管理

Guardium本期建置主要範圍 以校務行政系統資料庫為主

Guardium建置環境概述 資料庫主機 本機端及網路存取全面活動監控 透過瀏覽器操作 資料庫主機 S-TAP 記錄本機及網路 存取行為傳送 Auditor Admin 透過瀏覽器操作 Guardium Collector Network Switch 資料庫主機 S-TAP 記錄本機及網路 存取行為傳送 資料庫主機 本機端及網路存取全面活動監控

記錄使用者存取資料庫的完整行為紀錄 Who、When、Where、hoW、What

合規-使用記錄稽核 規定要求 合規的需求The Compliance Mandate CobiT (SOX) PCI DSS HIPAA CMS ARS GLBA ISO 27001 NERC NIST 800-53 (FISMA) 1.查詢敏感性資料 (Successful/Failed SELECTs)  2.改變表定義(DDL) (Create/Drop/Alter Tables, etc.) 3.資料操作變更 (DML) (Insert/ Update/ Delete) 4.例外操作 (Failed logins, SQL errors, etc.) 5.授權變更(DCL) (GRANT/REVOKE) 合規的需求The Compliance Mandate DDL = Data Definition Language (改變表定義)- Create/Drop/Alter DML = Data Manipulation Language (資料操作變更 )- Insert/Update/Delete DCL = Data Control Language (授權變更)- GRANT,/REVOKE

DDL 、DML指令使用記錄稽核

專案-功能說明 IBM Guardium-資料庫存取稽核 IBM TEM-端點管理

TEM 本期之終端設置及推廣單位 計網中心、 教務處、 校友中心、 人事室、 燕巢行政部。

端點管理的目標 軟、硬體資產收集: Patch修正檔案管理: 內部資產處理器(CPU)、記憶體、磁碟機、光碟機、視訊介面卡，網路介面卡、顯示器及IDE/SATA/SCSI;裝置作業系統資訊、啟動時執行的程式、服務的執行狀態(Windows)即已安裝的程式 Patch修正檔案管理: 管理各種作業系統之修補程式，支援Windows、Linux、 UNIX及MAC等作業系統(支援軟體包含Windows, Adobe, Mozilla, Java, Winzip) 零時差攻擊 (Zero Day Attack ) 當系統或應用程式上被發現具有風險性之弱點後，但是在修正程式發佈之前，或是使用者更新前，所進行的惡意攻擊行為。 舉例來說就像是銀行的金庫保全系統被發現有不周全的地方（譬如攝影機有死角），但這時候被搶匪發現這個問題，因此趁虛而入輕易得手，銀行卻束手無策一樣。

Lifecycle Management –軟、硬體資產收集 25

Lifecycle Management –軟、硬體資產收集 26

Lifecycle Management –軟、硬體資產收集 27

Patch Management 修補程式管理 1.全面支援 Windows，Unix，Linux 和Mac作業系統安全相關的軟體修正 2.常用的應用程式如Adobe Acrobat，Apple iTunes，Mozilla Firefox和其他應用程式的軟體修正 3.大幅減少軟體修正週期並提高成功率 28

自動識別軟體未修正的端點 29

Web Report

問題討論 The reality of living in a globally integrated world is upon us. But the meltdown of our financial markets has jolted us awake to the realities and dangers of highly complex global systems. But in truth, the first decade of the 21st century has been a series of wake-up calls, with a single subject: the reality of global integration: Frozen credit markets and limited access to capital Economic downturn and future uncertainty abound Energy shortfalls and erratic commodity prices Information explosion and risk/opportunity growth Slowing superpowers and emerging economies New customer demands and business models Global integration is changing the corporate model and the nature of work itself. But we now see that the movement of information, work and capital across developed and developing nations—as profound as those are—constitute just one aspect of global integration. These collective realizations have reminded us that we are all now connected – economically, technically and socially. But we’re also learning that just being connected is not sufficient

客戶【常用】的稽核政策 –DBA 帳號存取行為 –非上班時間存取行為 –Privileged Command 執行紀錄 –登入失敗次數過多(>3次) –回應時間過長(>5秒) –回應資料筆數過多(>1000筆) –外部 IP 連線紀錄 •其他 – 依據客戶環境與需求【客製化】