資訊安全概論 樹德科技大學 資訊工程系 林峻立 助理教授

為何需要資訊安全 資訊的價值與風險 資安的成本 < 資訊的價值 資安的成本 < 資訊損失的價值 駭客的目的 自我肯定 獲取利益

資訊安全問題的演進 資訊科技從1960年代開始。80年代初電腦在封閉的環境中由少數人操作，安全風險低。 80年代普及的個人電腦未考慮存取控制，而且軟碟經常交換使用，資訊安全問題浮現。 90年代網際網路蓬勃發展，也為病毒與駭客提供絕佳的攻擊管道。 2000年之後，電子商務蓬勃發展，駭客攻擊之目的從惡作劇轉變為利益導向。

資訊安全的取捨 資訊安全涵蓋的領域很廣，攻防手法又不停地演進，因此天下沒有絕對完美的防禦。資訊安全是一種取捨 (tradeoff): 人力與財力資源有限，因此需要在造成不安全的眾多因素中做取捨。應選擇將資源投資在最容易受到攻擊或是對組織衝擊最大的弱點上。 「安全」與「便利」之間需要做合理的取捨。過度防禦會造成使用者的不便，反而違背資訊科技給人帶來便利的初衷。

幾個誤導的觀念 推動資訊安全會增加工作負擔，並影響組織的正常作業。資訊安全事件不會這麼巧就發生在我身上吧！ 資訊安全就是要花錢，一次把錢花夠了，就能建立一套完美無缺的防禦體系。 資訊安全靠產品，只要有功能強大的「防火牆 (firewall)」和「防毒軟體 (anti-virus)」就夠了。

人員若不遵守資訊安全程序，產品就無從發揮功效。 資訊安全的三個 P 人員若不遵守資訊安全程序，產品就無從發揮功效。 產品 (Product) 程序 (Process) 人員 (People) 資訊安全

CISSP的資訊安全的領域 (Certified Information Systems Security Professional) 資訊安全與風險管理 Information Security and Risk Management 存取控制 Access Control 應用程式安全 Application Security 密碼學 Cryptography 通訊與網路安全 Telecommunications and Network Security

CISSP的資訊安全的領域 (Certified Information Systems Security Professional) 實體安全 Physical Security 營運安全 Operations Security 安全架構與設計 Security Architecture and Design 業務持續與災害復原計畫 Business Continuity and Disaster Recovery Planning 法律、規章、遵循性與調查 Law, Regulations, Compliance, and Investigations

資訊安全的三元素 實體安全 Physical Security 資訊安全 三元素 Security triad 營運安全 Operational Security 資訊安全 三元素 Security triad 管理與政策Management and Policies

實體安全 實體安全保護你的資產與資訊，讓未經授權的人無法做實體接觸。所保護的是看得見、摸得著、並能被偷的東西。 實體安全的維護有以下三個重點： 讓你所保護的實體位置不要成為受攻擊的目標。 即時的偵測到侵入或竊盜的發生。 在損失重要資訊或系統遭侵入後，能夠快速復原。

營運安全 營運安全在於確保組織經常能夠正常運作，這是大多數資訊安全人員的主要工作範圍。營運安全包括以下重點： 電腦、網路及有線與無線通訊系統的運作。 資訊與檔案管理。 存取控制、身分認證及網路的安全結構設計。 經常性的網路維運、與其它網路的連結、備份計畫與復原計畫等。

管理與政策 資訊安全政策若要發揮作用，需要組織最高層的絕對支持。 一般組織的資訊安全政策應考慮以下項目： 行政管理政策 (administrative policies) 軟體設計要求 (software design requirements) 災害復原計畫 (disaster recovery plans, DRP) 資訊政策 (information policies) 安全政策 (security policies) 使用政策 (usage policies) 使用者管理政策 (user management policies)

資訊安全目標 機密性 (Confidentiality) 完整性 (Integrity) 可使用性 (Availability)

機密性 確保資料傳遞與儲存的私密性 避免未經授權的使用者有意或無意的揭露資料內涵 軍事命令 企業營運資訊 銀行帳戶 個人隱私

完整性 資訊經常需要改變，完整性（integrity）是表示改變只能由授權的人或透過授權的機制來進行。 避免非經授權的使用者或處理程序篡改資料 資訊經傳送或儲存過程中必需證明其內容並未遭到竄改或偽造才能稱為完整性

可使用性 一個組織產生或儲存的資訊要能讓被授權者可以使用。資訊經常需要改變，這表示它必須讓被授權者存取。 讓資料隨時保持可用狀況。 企業資料必需即時並可靠的提供給企業內部各個層級的使用需求。 系統的高度可用性通常指的是必需確保不能中斷服務。

攻擊 威脅機密性的攻擊 威脅完整性的攻擊 威脅可使用性的攻擊 被動攻擊與主動攻擊

與安全目標有關的攻擊分類法

威脅機密性的攻擊 窺探攻擊(Snooping attack) ：是一種對資料的非法存取或攔截。 流量分析(Traffic analysis) ：透過監控網路上傳輸的資料，來獲得其他類型的資訊。

威脅完整性的攻擊 篡改(Modification)：代表攻擊者攔截訊息並修改它。 偽裝(Masquerading 或 spoofing)：發生在攻擊者企圖扮演其他人。 重送(Replaying) ：代表攻擊者在得到某一個使用者傳送的訊息後，並在稍後重新傳送它。 否認(Repudiation) ：訊息發送者可能稍後否認她曾經傳送訊息，而訊息接收者可能稍後否認他已經收到訊息。

威脅可使用性的攻擊 阻斷服務攻擊(Denial of service, DoS)：是一種非常常見的攻擊，它可能減緩或全部中斷一個系統的服務。

被動攻擊與主動攻擊的分類

服務與機制 國際電信聯盟－電信標準化部門 (ITU-T) 提供一些安全服務和安全機制來實現那些服務。安全服務和機制是緊密相關的，因為某一機制或許多機制結合起來將被用來提供某一種服務。

安全服務

安全機制

安全服務與安全機制之間的關係

密碼學

密碼學?

密碼學?

產品? 服務?