資訊安全概論 梁明章 國家高速網路與計算中心 助理技術師.

Presentation on theme: "資訊安全概論 梁明章 國家高速網路與計算中心 助理技術師."— Presentation transcript:

1 資訊安全概論 梁明章 國家高速網路與計算中心 助理技術師

2 安全問題的影響 營收損失 組織聲譽受損 投資者信心動搖 遺失或洩漏資料 影響顧客對組織的信任 商務處理流程 中斷 法律後果
安全性缺口會在不同層面對組織造成影響。常見的影響如下： 營收損失 組織聲譽受損 遺失或洩漏資料 商務處理流程中斷 影響顧客對組織的信任 投資者信心動搖 法律上的後果 - 在許多州 / 國家中，系統安全故障會造成相關的法律後果，例如，Sarbanes Oxley、HIPAA、GLBA、California SB 1386。 安全性缺口可能會造成相當廣泛的影響。一旦察覺或實際發生了安全性弱點時，組織必須立即採取行動，以便確實將弱點移除，使傷害降到最低。 目前許多組織均提供客戶服務，例如，網站。很可能會是客戶先發現攻擊結果，因此，客戶會接觸到的商業服務層面必須盡可能地維持安全性。 投資者信心動搖 遺失或洩漏資料 影響顧客對組織的信任 商務處理流程 中斷 法律後果

3 CSI/FBI 2003 電腦犯罪與安全調查 實作安全性檢測的花費不貲，但是發生安全性意外事件時，這些費用僅佔了減少損失支出的一小部分。
該調查顯示，資訊竊取與拒絕服務 (DoS) 攻擊所造成的損失佔了絕大多數。 所以必須了解，雖然實作安全性保護措施所費不貲，但比起修補安全性入侵事件的費用，可就小巫見大巫了。 解決安全性問題最有效的辦法就是建置一個分層環境，以便隔離任何一層所遭受的攻擊。攻擊必須侵入多個層級才會成功。這就是深度防禦。對於這個安全性架構，此簡報稍後會有更詳細的討論。 實作安全性檢測的花費不貲，但是發生安全性意外事件時，這些費用僅佔了減少損失支出的一小部分。

4 識別安全性威脅 - STRIDE Spoofing (詐騙) Tampering (竄改) Repudiation (否認)
威脅類型 範例 Spoofing (詐騙) 偽造電子郵件 重新執行驗證封包 Fishing網路釣魚 Tampering (竄改) 在傳輸過程中變更資料 更改檔案中的資料（例如網頁） Repudiation (否認) 刪除重要的檔案並加以否認 購買商品之後，卻否認購買行為 Information Disclosure (洩漏資訊) 在錯誤訊息中洩漏資訊 在網頁上因處理不當洩漏機密 Denial of Service (拒絕服務) 使用 SYN 封包阻塞網路 使用偽造的 ICMP 封包阻塞網路 Elevation of Privilege (提高權限) 利用緩衝區溢位以取得系統權限 非法取得系統管理員權限 安全性風險識別，可以經由專案小組成員進行腦力激盪之後，識別出潛在的安全性風險，並收集了有關威脅、弱點、剝削利用及因應對策的資訊。STRIDE 模式提供了一個好用又好記的架構，可以用於辨識威脅與可能的剝削利用。 詐騙 (Spoofing) 識別，是指取得並使用其他使用者驗證資訊的能力。使用其他使用者的名稱和密碼就是詐騙識別的例子。 竄改 (Tampering) 包括資料的修改，例如，竄改用戶端的 Cookie 內容。 否認 (Repudiation)，是指拒絕承認已發生事情的能力，例如，使用者上傳惡意的資料，但是系統卻無法追蹤作業。 洩漏資訊 (Information Disclosure)，包括了將資料洩漏給不該接收的使用者，例如，攻擊者在沒有存取權的情況下，讀取機密性的醫療檔案。 拒絕服務 (Denial of Service) 攻擊會使伺服器拒絕使用者的正常服務，例如，使網站擠滿大量的 HTTP 要求，造成網站無法使用。 提高權限 (Elevation of Privilege)，是指攻擊者在未經許可的情況下執行功能的程序。攻擊者可能透過剝削利用軟體的弱點，或使用非法的憑證達到此目的。 而其他的攻擊可能只會造成組織成本上的損失，舉例來說，攻擊者可能是在傳真服務或行動電話上發動攻擊，引發大量盜撥昂貴的國際電話。

5 組織安全性的架構 採用分層方式： 資料 應用程式 主機 實體安全性 內部網路 人 外部網路 加強偵測攻擊者的風險 減少攻擊者成功入侵的機會
為了使組織中發生攻擊成功的可能性降到最低，您必須將防禦的層級增加至最高。 深度防衛您的組織，是指採用多個層級的防禦措施。當某個層級被侵入時，不代表整個組織都被侵入。一般性指導方針會以假設每個層級均有缺口的情況下，進行設計及建置每個層級的安全性。請按部就班執行每個步驟來保護您所負責的層級。 此外，您可以使用各種工具、技術、原則及最佳實務範例等方式，為每一個層級提供保護。例如： 原則、程序及感測層級 - 為使用者提供安全性教育訓練課程 實體安全性層級 - 安全警衛、上鎖與追蹤裝置 週邊層級 - 硬體及 / 或軟體防火牆，並建立具有隔離處理程序的虛擬私人網路 網際網路層級 - 網路區段、IP 安全性 (IPSec) 和網路入侵偵測系統 主機層級 - 伺服器與用戶端加強訓練、修補管理工具、強固的驗證方法以及主機端入侵偵測系統 應用程式層級 - 應用程式加強訓練和防毒軟體 資料層級 - 存取控制清單 (ACL) 與加密 人 實體安全性 資料 ACL、加密….. 應用程式 加強應用程式、防毒….. 加強OS、修補管理、驗證、HIDS… 主機 內部網路 網路區隔、IPSec、NIDS…… 外部網路 防火牆、VPN….. 警衛、上鎖、追蹤…. 使用者的教育訓練，流程….

6 人往往是最大的安全弱點 (1) 嘿，我想要設定一個防火牆。我應該封鎖哪幾個連接埠呢？ 我想把電腦室的門留一個縫隙。這樣就容易多了。
人們在執行每天的工作時大多不會考慮到安全性的問題。 組織的安全性原則應定義： 可接受的使用。 遠端存取。 資訊保護。 資料備份。 週邊安全性。 主機與裝置的安全性底線。 原則應建立於共識之上，做為人力資源 (HR) 部門針對安全性缺口採取行動的依據，同時，這對安全性缺口的訴訟案件中也會很有幫助。 安全性原則應提供企業一個適當的意外事件處理程序。其中應定義： 責任範圍。 所要記錄的資訊類型。 資訊流向。 發生意外事件時應採取的行動。 通常良好的安全性原則是所有安全性實務範例的基礎。每項原則都應該具有一定的通用性，可以跨越不同的技術與平台。同時，也應該具有一定的明確性，做為 IT 專業人員實作原則的指導方針。 組織安全性原則的範圍需視組織規模大小與複雜的情況而定。請參閱許多組織建立安全性原則的指導方針，例如 和 英文網站。 他們把我最愛的網站封鎖了。真幸運，我有數據機。 我想用我的名字當做密碼。

7 嗯，我也有一個網路環境。你怎麼設定你的防火牆呢？ 我怎麼樣都想不出來好密碼。你是怎麼設定密碼的？
人往往是最大的安全弱點 (2) 嗯，我也有一個網路環境。你怎麼設定你的防火牆呢？ 攻擊者可能會運用社交工程技術，利用工作環境中未察覺或不了解安全性問題的使用者。 對使用者而言，許多安全規則看起來似乎沒有必要，因此也就不會遵守。 許多攻擊都與社交工程有關。社交工程，就是利用大多數人日常生活中缺乏安全性考量這個弱點。攻擊者會花工作時間或是閒暇時間去認識使用者，以取得他們的信任。雖然，攻擊者提出的問題及得到的答案似乎不會造成任何損害，但是全部加起來就足以使他們執行或發動攻擊。 嗨，你知道電腦機房在哪裡嗎？ 嘿，數據機很不錯喔！ 那條線路是幾號啊？ 我怎麼樣都想不出來好密碼。你是怎麼設定密碼的？

8 加強人的安全性 制訂各種標準程序書與規範文件，並要求人員確實遵守執行，且定期查核 安全教育訓練對使用者確實遵守安全性原則會很有幫助
防火牆設定程序 為了制止這些社交工程造成的威脅，組織必須實作清楚且確實的處理程序，讓所有員工嚴格遵守，並實施員工教育訓練。每個實施項目都應該有清楚的文件說明。 請務必不斷地實施安全教育訓練，以便詳細說明這些處理流程和程序。這些說明文件中應包含清楚完整的安全性架構，好讓使用者了解每個階層必須無時無刻保持著安全性。 安全原則，是以基於安全性需求與組織文化而建立的，因此會受到組織規模大小及其目標的影響。有些原則可能適用於所有站台，但有些原則可能只適用於特定的環境。制立安全原則時必須在控制等級與生產力等級之間取得平衡，如果原則太過嚴格，員工可能會想辦法略過這些控制。組織必須針對原則中所定義的控制等級作出管理承諾，否則就無法確實地實作。 實際存取的安全性原則 裝置要求 程序 制訂各種標準程序書與規範文件，並要求人員確實遵守執行，且定期查核 安全教育訓練對使用者確實遵守安全性原則會很有幫助 使用者資訊的安全性 原則

9 實體安全性層級保護 門要上鎖且安裝警鈴 雇用保全人員 加強進出程序管理 監視進出過程 減少資料輸入裝置 透過遠端存取工具加強安全性
您可以使用各種不同的技術來保護機器設備的安全性。實體安全性的等級需視可用預算而定。在假設的情況下，維護高標準的實體安全性是很容易的。但是在實際的世界中，受到的危害可能與地點、建築物和所實施的安全檢測項目有關。投影片上的清單列出一些 (並非全部) 有助於保護機器設備安全的方法。 深度防禦會在基礎架構的所有元件套用實體安全性時，加以啟動。如果任何未經授權的人員都可以取得環境的實體存取權，這樣的環境就稱不上是安全的環境。例如，維修工程師可能從 RAID1 陣列中，換掉一個含有客戶資料的受損磁碟，而這個磁碟也許是可以修復的，但是這些資料現在卻到了第三者的手中。 首先，將伺服器與人力操作員、使用者分隔開來。將所有伺服器的機房上鎖。進入伺服器機房的人員應該嚴格控管並留下記錄。使用進出控管機制，包括了出入証件及生物辨識系統。進出機房應該事先安排，並取得資深工作人員的授權。如果沒有專用的機房，應該將伺服器安全地放在機櫃中，至少也要鎖在機架上。大多數的機架都可以用簡單的鑰匙打開，所以不要只用廠商提供的鎖。 所有機房都應該具有消防設備，必須具備用於因應縱火這類威脅的措施。 所有進出過程都應該由警衛或閉路電視系統 (CCTV) 進行監視。從 CCTV 測錄的錄影帶可以做為稽核，而安裝攝影機也可以遏止投機者的入侵。請記住，大多數的安全缺口都是因善意而「擅自更動」的人員所造成，而非專門惡搞的駭客。 除了在伺服器上套用實體安全性存取規則以外，還可以在遠端系統管理主控台上加以運用。如果可以透過內部網路上任何一個端點的終端機服務存取伺服器，那麼鍵盤與螢幕的直接保護措施就不具有任何意義了。這份指導方針適用於 IP 電子式多電腦切換 (KVM) 解決方案及遠端管理硬體設備。 同樣的，不管是否善意，降低個人受到危害及系統遭到侵入的可能性也是很重要的。移除系統中不必要的資料輸入裝置，例如軟碟機和 CD-ROM 光碟機。 最後，確認所有網路硬體確實地受到保護。如果伺服器已安全地放置在上鎖的機房或機櫃中，那麼所附帶的路由器與交換器也必須確實地保護。否則，入侵者可以輕易地接上筆記型電腦或桌上型電腦，透過週邊設備攻擊伺服器。再次強調，必須控制網路設備的管理方式，否則可能會被攻擊者利用，做為攻擊其他基礎架構的工具。 雇用保全人員 加強進出程序管理 監視進出過程 減少資料輸入裝置 透過遠端存取工具加強安全性

10 外部網路層級保護 Transparent firewall Non-transparent firewall (NAT) VPN IDS
為了確保內部網路環境的安全，您必須要求每個使用者為網域控制站及所要使用的資源進行安全性的驗證。使用相互驗證，好讓用戶端知道伺服器的身分，以避免資料意外複製到攻擊者的系統中。 將網路區段成幾個實體區段或磁碟分割，使整個網路無法從單一位置存取。您可以單獨使用網路交換器和路由器，或是在同一個實體交換器上建立多重虛擬區域網路 (VLAN)，以達到分割效果。 請仔細考慮網路裝置 (例如交換器) 設定的管理方式。例如，您的網路小組可能是使用 Telnet 連接到交換器或路由器，以便更改設定。Telnet 會以純文字格式傳送所有安全性憑證，也就是說，任何可以監聽網路區段的人都可以存取使用者名稱與密碼。這是安全性上的一大弱點。 請只考慮使用安全、加密的方法，例如安全殼層 SSH 或直接序列終端機存取。 同時，您也必須妥善保護網路裝置組態的備份。攻擊者可能會從備份取得一些有用的網路資訊。如果偵測到弱點，您可以使用裝置組態的備份，將裝置迅速還原到安全的組態。 即使已分割了網路，還是要限制傳輸。無論是有線或無線的 LAN，您都可以使用 802.1X 提供安全、加密及驗證式的存取方式。此解決方案可以使用 Active Directory 帳戶與密碼，或數位憑證來進行驗證。如果您是使用憑證，則需要 Windows 憑證服務上建立的「公開金鑰基礎結構」(PKI)；如果您是使用密碼或憑證，則還需要一部在「Windows 網際網路驗證服務」(IAS) 上建立的 RADIUS 伺服器。Windows Server 2003 同時提供了憑證服務與 IAS。 實作加密與簽章技術，例如 IPSec 或伺服器訊息區 (SMB) 簽章，可以防止攻擊者監聽網路上的封包並加以重複使用。 Non-transparent firewall (NAT) VPN IDS IDP 異地備援

11 內部網路層級保護 實作相互驗證 分割網路 加密網路通訊 僅開放必要的通訊連接埠 控制網路裝置的存取，尤其無線網路 簽署網路封包
為了確保內部網路環境的安全，您必須要求每個使用者為網域控制站及所要使用的資源進行安全性的驗證。使用相互驗證，好讓用戶端知道伺服器的身分，以避免資料意外複製到攻擊者的系統中。 將網路區段成幾個實體區段或磁碟分割，使整個網路無法從單一位置存取。您可以單獨使用網路交換器和路由器，或是在同一個實體交換器上建立多重虛擬區域網路 (VLAN)，以達到分割效果。 請仔細考慮網路裝置 (例如交換器) 設定的管理方式。例如，您的網路小組可能是使用 Telnet 連接到交換器或路由器，以便更改設定。Telnet 會以純文字格式傳送所有安全性憑證，也就是說，任何可以監聽網路區段的人都可以存取使用者名稱與密碼。這是安全性上的一大弱點。 請只考慮使用安全、加密的方法，例如安全殼層 SSH 或直接序列終端機存取。 同時，您也必須妥善保護網路裝置組態的備份。攻擊者可能會從備份取得一些有用的網路資訊。如果偵測到弱點，您可以使用裝置組態的備份，將裝置迅速還原到安全的組態。 即使已分割了網路，還是要限制傳輸。無論是有線或無線的 LAN，您都可以使用 802.1X 提供安全、加密及驗證式的存取方式。此解決方案可以使用 Active Directory 帳戶與密碼，或數位憑證來進行驗證。如果您是使用憑證，則需要 Windows 憑證服務上建立的「公開金鑰基礎結構」(PKI)；如果您是使用密碼或憑證，則還需要一部在「Windows 網際網路驗證服務」(IAS) 上建立的 RADIUS 伺服器。Windows Server 2003 同時提供了憑證服務與 IAS。 實作加密與簽章技術，例如 IPSec 或伺服器訊息區 (SMB) 簽章，可以防止攻擊者監聽網路上的封包並加以重複使用。 分割網路 加密網路通訊 僅開放必要的通訊連接埠 控制網路裝置的存取，尤其無線網路 簽署網路封包

12 主機層級保護 實作相互驗證 加強作業系統，安裝安全性更新程式 定期查核作業系統檔案完整性 實作稽核 僅啟用必要的服務 建立異地異機備援機制
用戶端或伺服器系統上所使用的強化技術會因電腦的角色而有所不同。無論是電腦用戶端或伺服器系統，您都可以透過「群組原則」使用安全性範本與系統管理範本，來保護這些系統。 在用戶端系統上，您可以使用「群組原則」限制使用者的權限，並控制軟體的安裝。透過「群組原則」限制使用者執行應用程式，就可以避免使用者不小心執行特洛伊木馬程式。 在伺服器系統上，強化技術也包括了套用 NTFS 使用權限、設定稽核原則、篩選連接埠，以及根據伺服器的角色執行額外的工作。 將伺服器與用戶端補充程式保持在最新的狀態，也有助於改良安全性。Microsoft 提供數種方式可以在系統上套用補充程式，其中包括了 Windows Update、Software Update Service 與 Microsoft Systems Management Server (SMS)。 使用 Windows XP 及以後版本作業系統中提供的最新防毒套件與個人防火牆 (例如「Windows 防火牆」)，可以大幅減少用戶端電腦的攻擊點。 定期查核作業系統檔案完整性 實作稽核 僅啟用必要的服務 建立異地異機備援機制

13 應用程式層級保護 僅啟用必要的服務與功能 設定應用程式安全性設定 安裝應用程式的安全性更新程式 定期查核應用程式的完整性
應用程式的安裝應該只包含所需的服務與功能。 內部所開發的應用程式必須不斷地進行安全性弱點評估，一旦識別任何弱點就應該開發並部署補充程式。 在網路上執行的應用程式應以安全的方式安裝，並且套用所有的 Service Pack 與補充程式。 請執行防毒軟體，以防止執行惡意的程式碼。 如果應用程式受到危害，攻擊者可能可以藉由執行應用程式的相同權限來存取系統，因此，請使用所需的最低權限來執行服務與應用程式。 開發新的自訂應用程式時，請在應用程式開發過程中，實行最新的安全性工程最佳實務範例。 設定應用程式安全性設定 安裝應用程式的安全性更新程式 定期查核應用程式的完整性 使用最低的權限執行應用程式

14 資料層級保護 加密檔案 使用存取控制清單限制資料的存取 從預設位置移動檔案 建立資料備份與修復計劃 建立異地備援
EFS 可以用來加密存放在該檔案系統內的檔案。只有 NTFS 檔案系統的磁碟才能使用 EFS，但是 Windows 2000 以後的版本都可以使用 EFS。您必須瞭解，當檔案在網路上傳輸時，EFS 並不會加密這些檔案。加密程序會使用檔案加密金鑰來加密檔案，並使用公開 / 私密金鑰技術來保護檔案加密金鑰的安全。 NTFS 也提供檔案等級與資料夾等級的安全性。使用者可以建立存取控制清單，定義何人可以存取檔案以及所擁有的存取權限。 您必須結合存取控制清單與加密功能，才能增強資料層級的保護。將檔案加密只會防止未經授權的讀取，並不會防止任何不需要對檔案進行讀取的動作，例如刪除動作。為了防止檔案被刪除，請使用存取控制清單。 因為資料是許多組織賴以維繫的命脈，所以組織環境中必須具備一套完整且良好的資料修復程序。如果組織定期執行備份時，發生了意外或故意竄改、移除資料，組織都可以迅速地從備份中還原資料。不管是在何種環境，可靠的備份還原程序都是非常重要的。此外，備份與還原磁帶也應受到安全的保護。備份與還原磁帶應保存在組織以外的安全地點。未經授權存取備份磁帶所造成的傷害與基礎結構出現實體缺口，均具有同樣的傷害力。 只有在啟用存取控制清單之檔案系統的文件中，才能使用存取控制清單。一旦文件複製到其他的位置 (例如，使用者的本機硬碟機)，便不再提供存取控制。Windows Server 2003 中的 Windows Rights Management Services (RMS) 可以將存取控制功能轉移到物件本身，如此無論文件實際是存放在何處都能執行存取控制功能。此外，RMS 也提供內容建立者更多控制能力，以便控制使用者能夠執行的特定動作，例如，RMS 允許收件者讀取文件，但是不能執行列印、複製和貼上動作，對於 Microsoft Office Outlook® 2003 所傳送的郵件而言，郵件寄件者可以防止收件者轉寄郵件。 從預設位置移動檔案 建立資料備份與修復計劃 建立異地備援 定期查核資料與備份資料的完整性與版本

15 安全的王道 備份～災害復原之能力 備援～業務持續營運之能力 唯有良好的災害復原能力與業務持續能力才是安全的王道 密集度的問題 可用性之檢查
安全的維護 備援～業務持續營運之能力 投資成本與損失的權衡（類似買意外險） 接手時間之長短？ 備援程度之評估？ 演習 唯有良好的災害復原能力與業務持續能力才是安全的王道