Q&A on 資安見聞錄

[Q&A] Log日誌管理的安全議題

Fri, 01 Jul 2011 07:52:00 +0000

最近，網管人雜誌的媒體朋友，和我聊了幾個有關日誌管理的問題，以下將我的回覆，分享給大家作為參考囉~

Q. 系統日誌普遍存在於各個IT基礎設備中，伺服器、防火牆與入侵偵測系統、路由器、閘道器、資料庫，在在都有些事件日誌的設計以便讓企業能夠即時除錯，為何這些過去早已存在的日誌無法企業遵循個人資料保護法的需求？過去的系統日誌欠缺那些元素？

A. 就個人的觀察，一般IT人員對於log的處理態度有以下幾種：

不清楚系統和設備到底有沒有log，所以沒有特別去保存，而且就算有log功能也不想啟動，擔心會影響效能。

知道系統和設備有log，但是散布在各個系統和設備上，只採用其預設的機制，當有問題發生時，再進個別的系統或設備去查詢。

知道系統和設備有log，也建立了簡單的Log server(如syslog)進行蒐集，但因採用明碼傳輸，缺少安全的控管機制，也沒有適當的工具可快速進行彙整調閱和分析。

已添購了log產品設備，利用它來蒐集與儲存log，但是在管理方面仍缺乏相關政策和作業辦法，例如該蒐集哪些重要的log、如何進行分析、儲存的週期是多久、是否有安全控管機制等。

因此，過去的系統日誌管理主要所欠缺的元素有：

認知問題 - IT人員缺少對於日誌管理的概念，因此不知道有哪些重要的log，也不知該如何著手。
缺乏工具 - 雖然有進行集中保存，但因缺乏適當的管理工具，讓日誌無法進一步作為IT營運、資安防護的參考。
管理政策 - 雖然已添購設備進行日誌管理，但並沒有制定管理政策和作業辦法，相關的日誌可能保存的不夠完整，也無法作為法規因應的證明。

Q. 企業針對日誌管理應該以核心應用服務為主還是該全面化？

A. 對一般企業而言，建議其日誌管理可先從業務相關或核心應用服務著手，例如電子商務業的線上交易日誌、醫療業的醫療資訊系統日誌、服務業的客服系統日誌等。另外，為了未來因應個資法，只要是和個資蒐集、處理和利用等相關系統，也會是日誌管理的重點，因此，可先從重要的部份開始，未來再逐步跨大到整個IT營運資訊的匯整。

Q. 從企業的角度來看，做好日誌管理應該從那些面向著手？

A. 企業想要作好日誌管理，建議可從三個面向來著手：

人員訓練 - 相關人員是否已具備日誌管理的認知與安全概念，明白哪些日誌是重要的，以及是否有能力可進行日誌的蒐集、分析等。
作業流程 - 內部是否已制訂了日誌管理辦法，明確界定日誌需要蒐集的範圍、儲存方式、存取權限、安全機制等。
適當工具 - 隨著組織架構和系統設備的多寡，企業是否提供IT人員適當的工具，可協助進行日誌保存、分析調閱、產生報表等相關工作。

Q. 一項好的日誌管理方案又該具備那些要項？

A. 一項好的日誌方案需要具備以下要點：

蒐集能力 - 是否支援廣泛的系統、網路、資安等相關設備的日誌格式；是否可採取客製化方式，蒐集企業自行開發的應用系統或其他少見設備的日誌；是否可完整的蒐集日誌資訊，並且減少對系統效能的影響等。
儲存能力 - 是否可有效保存原始的日誌資訊；是否可正規化(Normalise)日誌資訊以便進行彙整分析；是否有足夠的儲存能力，甚至可更進一步支援資安事件管理(SIEM)或SOC(資安營運中心)的需要。
調閱能力 - 是否可迅速進行日誌蒐尋、報表分析，以符合法規和稽核(Audit Trail)的要求。
安全機制 - 是否採用安全的傳輸方式進行蒐集；是否有良好的存取控制或儲存加密技術，可避免日誌受到不當的竄改。

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Tony（2011-07-13）

Dear 傑克, 您好，請教您關於日誌報表是否有明確的法規(個資法或ISO27001)規定要有哪些報表才符合呢?煩請抽空賜教，感謝!

傑克小花（2011-07-14）

Hi Tony, 感謝您的提問，關於日誌報表的格式，並沒有法規要求一定要有哪些內容才行，但是以導入ISO 27001的組織為例，管理人員通常會想要了解所實施的資安控制措施，是否能夠符合標準中133項控制措施的要求。因此，許多的資安設備在報表功能方面，會強調可以產出符合ISO 27001的報表，主要就是在內容方面能針對標準的控管要求項目，與目前的實施現況加以對應呈現，以方便管理者可以迅速掌握。

[Q&A] 什麼是安全港架構(Safe Harbor Framework)？

Mon, 09 May 2011 15:06:00 +0000

許多組織，在網站的資料收集和隱私權政策中(像是google的隱私權政策)，常會提到其遵守所謂的「安全港架構(Safe Harbor Framework)」，到底它是什麼架構？要遵循哪些事項？恐怕清楚知道的人就不多了。

根據維基百科的定義，安全港架構是一項法律的規定，可減少或消除當事人在法律的責任，但其要件是當事人的各項作為，必須能夠履行良好的誠信原則，或符合所定義的法規標準。此一安全港架構即是立法者制訂用來保護在合法或情有可原的違反情況下，或是鼓勵採取適當隱私保護作為的措施。

目前美國和歐盟及瑞士都有通過彼此認可的安全港架構，主要是因各國對於隱私和個人資訊保護所採取的措施皆不同，例如歐盟即禁止個人資訊傳輸至非歐盟的國家。

但是若透過安全港架構，歐盟的成員國就可允許美國傳送、儲存或使用歐盟成員國民的個人資訊，也就是將符合安全港原則的美國企業也視為符合其「資料保護命令(The European Commission’s Directive on Data Protection)」的標準。

同理，美國和瑞士的作法也是類似，以此作為一個彼此互信採認的橋樑，讓美國的企業或組織同樣可遵守瑞士的資料保護法(Swiss data protection law)。

想要符合美國和歐盟的安全港計劃，組織可以加入一項自我律定的隱私計劃，遵守美國和歐盟的安全港架構的要求，或是也可以制訂本身所監管的隱私政策，以符合美國和歐盟的安全港架構。

關於安全港的隱私原則，主要有以下幾項要求：

告知(Notice)
組織必須告知個人關於其資訊的蒐集和使用目的，組織也必須提供個人在有任何疑問時，如何與該組織連繫或投訴、向第三方揭露資訊的方式，以及組織所提供可用來限制使用和揭露的選擇。

選擇(Choice)
組織必須給予個人選擇(退出)，是否可將他們的個人資訊透露給第三方或用於不符合當初蒐集目的或隨後的授權。對於敏感資訊，也必須提供明確的選擇(加入)，是否將資訊透露給第三方，或使用在不符合當初的蒐集目的，或是個人隨後授權的目的之上。

Onward Transfer (Transfers to Third Parties) 轉出(轉讓給第三方)
要將資訊揭露給第三方，必須符合告知和選擇原則。同時組織若作為轉讓的代理人，必須確保第三方同樣遵守安全港隱私保護原則，例如訂立書面協議，要求第三方至少也要提供相同水準的隱私保護。

存取(Access)
個人擁有存取在組織中所持有個人資訊的權利，而且能夠要求更正、修改或刪除不正確的個人資訊，除非其將產生和個人隱私不相稱的風險或侵犯到其他人的權利。

安全(Security)
組織必須採取合理的預防措施，保護個人資訊不會遺失、濫用，和受到未經授權的存取、洩露、竄改和破壞。

資料完整性(Data integrity)
個人資訊必須使用於和蒐集相關的目的上，組織必須採取合理的步驟來確保資料的可靠性，以達成預期的使用、正確、完整及現行趨勢。

執法(Enforcement)
為了確保符合安全港原則，必須是(a)易於獲得的獨立申訴機制，使每個人的投訴和糾紛可進行調查和解決，提供適用於法律或隱私部門的損害賠償；(b)確認公司承諾遵守安全港原則的程序已被實施；(c)未遵守原則時，矯正所產生問題的義務，處罰措施必須夠嚴格，以確保組織遵守法規，組織若未能提出年度的自我認證書，將會被從參與者名單除名，組織遵守安全港的利益也無法被保證。

[參考資料]

[Q&A] 什麼是 SAS 70？

Thu, 24 Jun 2010 05:20:00 +0000

SAS 70全名為The Statement on Auditing Standards No.70，它是由美國認證會計師協會(AICPA)所發展，並被國際所認可的稽核標準，主要實施對象為金融服務機構和提供資訊服務的組織。透過第三方以SAS70為準則的公正稽核過程，可以驗證受稽核的服務組織已具備並實施有效的內部控制。

SAS70的稽核類型分為兩種：Type I和Type II，兩者皆會產出一份稽核報告。在Type I中，服務組織必須提供內部控制的詳細描述，以供稽核員進行檢查，項目包括：

組織內部控制環境各層面的描述，這些將影響到組織內部人員，同時也是其他控制措施的基礎。
風險評鑑的流程，包括如何識別和分析和控制措施有關的風險，說明風險如何被適當地管理。
說明政策和程序等控制相關活動，可確保管理被真正實施。
資通訊的交換流程與形式，以及人員在各時間點應盡的責任。
內部控制目標和相關的控制措施，以及其他組織可能要求的補償性控制措施。

在完成稽核之後，稽核員將針對服務組織提供的內部控制描述，發布一份公正的評估聲明，說明各項控制措施是否已被適當的設計，以達成組織描述的控制目標。

至於Type II的稽核，則不只是採取以上的步驟，在實施Type II的稽核過程中，組織的控制措施將經過六個月(也有可能更長)的測試，以確認其是否真正有效地運作。

因此，Type II的稽核報告中除了包括Type I的評鑑之外，更增加了測試過程的完整描述，以及其最後產生的結果。

參考資料：SAS 70 OVERVIEW

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

亨利王（2019-08-25）

https://www.otava.com/reference/sas-70-ssae-16-and-soc-comparison/

[Q&A] 網頁上的威脅不斷增加，在使用者的瀏覽器上我們可以找到哪些免費外掛工具，協助他們判斷連上的網站是否安全？

Wed, 25 Nov 2009 10:55:00 +0000

隨著電子商務服務愈來愈多，網路拍賣交易的風潮亦盛行不已，各項網路詐騙犯罪事件也層出不窮，其中尤以釣魚網站與含有惡意程式的不安全網站，危害一般的使用者的情況最為嚴重，根據資安業者的統計，目前台灣已成為亞洲區最多網路釣魚網站的城市之一。

日前，刑事警察局科技犯罪防治中心的清查也發現，網路釣魚的詐騙行為已經發展成為集團式的犯罪型態，這些惡意駭客都是有計畫且不斷密集地架設假網站，包括了假冒網路銀行、航空公司、旅行社、人力銀行與理財網站等，目的即是為了竊取使用者的帳號、密碼與個人隱私資料。

面對每天不斷產生的惡意網站，或許你會說我已經有安裝防毒軟體了，為什麼還會感染病毒和惡意程式呢？其實，目前的防毒軟體仍須依賴不斷更新的病毒碼與行為特徵，才能有效攔截惡意程式，但是當你連上那些因為缺少安全管理，而被入侵並植入惡意連結的正牌網站時，在不知不覺之間就會被偷偷安裝了木馬程式，這種不斷翻新的手法往往令人防不勝防，因此，為了避免不小心落入網路上的釣魚陷阱，使用者還是應該有所警覺，並且積極尋找自保之道。

免費網頁安全外掛工具

為了防止使用者掉入網路釣魚的陷阱，微軟已經在Vista的Internet Explorer 7.0瀏覽器裡內建了防網路釣魚的功能，不過，若你是Windows XP或Windows 2000的使用者，在沒有升級最新的瀏覽器版本之前，則可以利用廠商免費提供的瀏覽器外掛工具，來獲得惡意威脅的提示與預警功能。

目前由業者所提供的免費外掛工具，像是McAfee SiteAdvisor和TrendMicro TrendProtect，都已支援了IE和Firefox兩大知名瀏覽器，並且整合了Google、MSN、Yahoo等搜尋引擎的搜尋結果，會以燈號顏色來顯示連結網站的安全性。使用者只要透過此一外掛工具，就可得知該網站的安全評等訊息提示，而且也能在尚未點選連結之前，即可獲知該網頁是否含有惡意程式和間諜軟體，以及在註冊登記之後，會不會濫發各式垃圾郵件給你。所以，藉由外掛工具的幫助，就可以有效降低誤入惡意網站的可能風險，以避免個人資料遭到竊取或非法利用的機會。

McAfee SiteAdvisor介紹

McAfee SiteAdvisor是一個免費的瀏覽器附加工具，可以幫助我們透過Google、Yahoo、MSN等搜尋引擎的搜尋結果，來分辨這些網站是不是含有間諜軟體、垃圾郵件與網路釣魚的惡意威脅，它的分析技術主要是根據網站名譽、使用者網站註冊後被濫發信件的頻率，以及個別使用者回報等指標來評等網站，然後會用最簡單的燈號來告訴我們：綠色代表安全，可以放心瀏覽網站；紅色代表危險，顯示網站已有不良記錄；黃色則是提醒大家，它有潛在的一些問題，瀏覽時一定要小心注意。

SiteAdvisor的安裝方式其實一點也不困難，使用者只要直接連接到McAfee SiteAdvisor首頁，點選「立即下載SiteAdvisor」按鈕，在下載完成之後直接執行安裝檔案，接下來只要依照提示依序點選「下一步」即可。安裝完成之後，瀏覽器就會自動連線到McAfee網站，並且出現「感謝您安裝」的畫面，然後會提醒你在右上角的工具列中已多了一個小按鈕，如果瀏覽的網站是安全的，它會顯示綠色，若是不安全的網站，它就會用紅色來警告你。

當你安裝了SiteAdvisor之後，只要使用瀏覽器連到搜尋引擎像是Google，再輸入關鍵字去搜尋網站，所顯示出的搜尋結果旁邊都會出現代表安全與否的燈號，如果把滑鼠移到燈號上面，並且按下「更多資訊」連結，它還會出現更進一步的詳細說明，讓你在瀏覽之前，即可了解此網站是否有任何安全上的問題。

McAfee SiteAdvisor的安全性評等是依靠網站的自動安全測試，包括像是網站快顯視窗數量、安全網站連結、下載檔案評估、網站表單註冊後被濫發郵件的機率，再經由使用者所提供的意見及McAfee自己的人工分析來判斷，SiteAdvisor同時希望藉由偵測傳統安全性產品常常遺漏的威脅，像是間諜軟體攻擊、網路詐騙及垃圾郵件網站，來加強使用者瀏覽網頁時的安全。

TrendMicro TrendProtect介紹

TrendMicro在併購了HijackThis這家公司之後，緊接著推出了TrendProtect網頁評等外掛工具，可分別支援Internet Explorer和Firefox兩款瀏覽器，幫助使用者在瀏覽網頁時，避免瀏覽到不安全的網站。TrendProtect主要是依據四項資料來進行網頁評等，分別是內容分類、網釣詐騙偵測、網站名譽與網頁名譽，同時也會分析每一個獨立的網頁，察看其中是否含有惡意的連結，對於那些被惡意駭客入侵，並且植入惡意程式連結的網頁，可以即時地發出警告。

TrendProtect的安裝方式也非常地簡單，只要連結到TrendProtect下載網頁，依照使用者所使用的瀏覽器來下載，接著依照安裝說明指示，就可一步一步順利完成。在TrendProtect安裝完成之後，會在瀏覽器的工具列上新增一個「TrendProtect」按鈕，這個按鈕會藉由改變它的顏色，來顯示出目前所瀏覽的網頁的狀態是安全、不安全、可信任或未評等，以及是否含有不當的內容。

TrendProtect使用綠(安全)、紅(危險)、黃(不確定)、灰(未知)的燈號顏色來標示網站的安全等級，若是使用Google、MSN和Yahoo搜尋引擎，也會針對搜尋的結果，提供燈號顏色的安全評等功能，只要將滑鼠移動到燈號標示上，就會顯示出關於網頁評等的更多資訊，也可以點選連結到TrendProtect的HouseCall首頁，執行免費電腦掃描服務。

另外，只要點選工具列上的「TrendProtect」按鈕，並且選擇「Option」項目，使用者還可自訂顯示、信任網頁和內容分類的樣式，若是點選了「Check your Computer’s Security」，也會馬上啟動免費的線上掃毒服務HouseCall，來掃瞄你的電腦。

外掛工具優缺點與安全建議

SiteAdvisor與TrendProtect兩者同樣都是免費好用的瀏覽器工具，在功能方面當然也有一些不同，例如：

SiteAdvisor是針對整個網站的內容做評比，而TrendProtect則是分析個別的網頁為主。
當滑鼠移到燈號上面時，SiteAdvisor顯示的資訊比TrendProtect來得詳盡。
SiteAdvisor提供使用者網站安全評比功能，TrendProtect則提供一個「Content Categories內容過濾」的功能，裡面可以自行勾選想要過濾的網頁內容。
SiteAdvisor的操作介面都是中文，而TrendProtect雖然只有英文介面，但卻結合了免費的HouseCall線上的掃毒服務。

基本上，這兩個瀏覽器外掛工具，都是可以幫助你在瀏覽網頁與搜尋過程中，避免進入惡意的網站，但若是想要完全避免網路釣魚的陷阱，最好還是要養成不要點選任何來路不明、看不懂或是覺得可疑的網路連結，尤其是來自垃圾郵件或是由不明人士轉寄來的電子郵件。

如果你還是不小心進入了可疑且內容不明的網站，請立即關閉瀏覽器離開網頁，千萬不要按照該網站上的指示，作出任何的回應動作，以免感染惡意程式，而且也要記得經常更新防毒軟體的病毒碼，並且啟動作業系統的防火牆功能。(本文刊載於2007年iThome資安專刊)

[Q&A] 目前各國政府的資安法規中，網站安全通常與哪些議題相關？

Wed, 25 Nov 2009 09:50:00 +0000

談到網頁安全，讓我們先來回顧一下過去所發生的重大資安事件，在2005年，美國的CardSystems Soultions電子付款資料處理公司，因為遭到駭客入侵植入了惡意程式，導致4000萬筆帳戶資料外洩，引起了一陣軒然大波，成為史上規模最大的個人資料外洩事件；在2007年6月，歐洲更發生了大規模的網站遭受駭客入侵、竄改網頁程式碼的事件，受到影響的網站超過了一萬個，其中絕大多數是屬於旅遊、飯店、汽車製造與影音娛樂類等網站；而根據刑事局科技犯罪防治中心的統計指出，目前惡意網頁也已成為台灣排名第一的網路犯罪手法，主要受害的不再只是提供服務的網站業者，而是可能上網瀏覽網頁的一般民眾。

以上這些採用各種惡意攻擊手法，入侵具有系統漏洞或是根本沒做好安全防護的網站，並在網頁中植入惡意程式，伺機竊取個人資料的手法，已經成為新一代的網路犯罪型態，例如以旅遊產業而言，在網站上大都提供了線上訂購旅遊行程等付款服務，如果業者沒有妥善的安全防護機制，在網頁中被植入了惡意程式連結，當使用者利用瀏覽器進入了網站，查看旅遊行程並且利用線上刷卡付款時，很可能就會被偷偷地安裝了木馬程式，而導致個人資訊像是帳號、密碼和信用卡號等資料外洩。

PCI-DSS資料安全標準簡介

有效維護網頁安全，對於提供線上交易服務的業者而言，絕對是責無旁貸的必要工作，因為一旦發生資料被竊事件，除了嚴重打擊業者商譽之外，如果消費者因此而對網路交易機制失去信心，受害的將是所有提供電子商務服務的業者。

目前，由American Express、Discover Financial Services、JCB、MasterCard Worldwide、Visa International等五家知名的電子付款與信用卡業者所共同組成的PCI Security Standards Council，即制定了「支付卡行業資料安全標準(PCI Data Security Standard；PCI-DSS)」，此一提供給全球產業共同遵守的資料安全標準，要求所有提供信用卡服務的商店，在儲存、處理與傳遞持卡人資料時，必須要有符合要求的安全控制措施。

在PCI-DSS V1.1版中，一共分為6大類12項基本要求，這些要求可用來審視網站的安全機制，用以保障持卡人的帳戶及交易資料安全，條文內容說明如下：

一、建立並維護安全的網路

要求1：安裝並且維護防火牆配置以保護持卡人資料
要求2：不可使用供應商提供的原廠設定值作為系統密碼及其他的安全參數

二、保護持卡人資料

要求3：保護儲存的持卡人資料
要求4：將透過公共網路傳送的持卡人資料及敏感資料加密

三、維護一個弱點管理程式

要求5：使用防毒軟體並應經常更新程式及病毒碼
要求6：發展及維護安全系統和應用程式

四、實施強而有力的安全存取控制措施

要求7：根據業務需要限制對於持卡人資料的存取
要求8：對於進行電腦存取的每一個人只賦予唯一的ID
要求9：限制對持卡人資料進行實體存取

五、定期監控並測試網路

要求10：追蹤並監控對網路資源及持卡人資料所進行的所有存取
要求11：定期測試安全系統及流程

六、維護一個資訊安全政策

要求12：實施並維護一個資訊安全政策

PCI-DSS標準對網頁安全的要求

雖然，PCI-DSS標準所要求的對象是支付卡相關產業，目的是為了要保護電子商務交易的資料安全，但是個人認為目前全球適用的資安標準法規中，以PCI-DSS標準和網頁安全最為相關，因為PCI-DSS除了具備廣泛的資訊安全要求之外，更可作為網站服務業者加強網頁安全的實施參考，其中尤以標準中的第4項與第6項要求，可用來檢驗並加強網頁安全。

在第4項要求中，PCI-DSS要求必須針對透過公共網路傳送的持卡人資料及敏感資料加密，以防止資料在傳輸的過程中被截取竊聽，因此，網站必須提供SSL/TLS或IPSec等安全傳輸協定，並且針對所傳輸的資料進行加密，在這裡所指的公共網路，範圍包括了網際網路Internet、WiFi無線網路、行動電話GSM系統與GPRS無線傳輸服務。

另外，在第6項「發展及維護安全系統和應用程式」要求中，PCI-DSS標準條文對於網頁安全還有以下的細項要求：

必須確保所有系統與軟體都已安裝了最新的安全更新程式，在軟體供應商發布了安全修補檔(Patch)之後，最遲必須在一個月內完成安裝各項更新。
業者必須建立一套流程來確認及發現安全弱點，例如接收軟體供應商最新的安全預警訊息，根據其所發布的弱點進行系統相關的更新，而此一流程需要有完整的文件記錄。
要求業者必須根據安全業界最佳實務，來發展應用系統安全開發流程，例如在開發流程中導入Security Development Life Cycle(SDLC)，以確保在應用程式開發過程之中，每個階段都能結合安全性的要求。
一旦系統或軟體的配置需要更改，所有變更必須要遵循變更管理流程，像是已獲得高層的授權、經過回復測試，並且有完整的過程記錄。
依據OWASP發展安全的網頁應用程式(Web Application)指引，必須確保應用程式碼沒有常見的安全弱點問題，像是無效輸入問題、跨網站腳本攻擊(XSS)、緩衝區溢位、SQL Injection資料隱碼攻擊、不當的錯誤訊息處理、DOS阻絕攻擊和不安全的系統配置等。
必須確保網頁應用服務足以防護已知的入侵或攻擊手法，例如通過滲透測試(黑箱測試)與原始碼審查(白箱測試)的驗證，以及在網路伺服器前安裝應用層防火牆(Application firewall)等。

企業必須建立資訊安全政策

除了以上針對網頁應用安全的要求之外，隨著新的弱點與攻擊手法不斷出現，PCI-DSS標準中也要求系統必須接受定期的安全測試，以確保安全性不會因為時間或是軟體變更的關係而受到影響，換句話說，針對網頁安全，至少每年都必須要執行一次滲透測試，以確保系統的安全無虞，而且也要部署常駐的關鍵檔案監控軟體，一旦發現網頁檔案遭到竄改更動，就能立即主動發出警訊通知，使相關管理人員可以在第一時間內進行處置，以避免重大資安事件的發生。

最後，無論是在PCI-DSS標準或是資訊安全管理系統的最佳實務ISO 27001標準中，都強調企業組織必須要建立一個資訊安全政策，只有透過管理高層的發布重視，讓所有員工了解資訊安全的重要性，以及必須承擔的保護責任，才能真正地落實資訊安全；也唯有妥善運作的安全團隊和明確的資訊安全責任定義，才能將企業組織可能面臨的營運風險降至最低，並且保障所有使用者的權益。(本文刊載於2007年iThome資安專刊)

[Q&A] 若想定期了解網站安全，甚至是整個網站安全的趨勢，有哪些網站發布的統計資料或白皮書是值得參考的？

Wed, 25 Nov 2009 09:05:00 +0000

隨著各種網站攻擊事件不斷的發生，網頁安全的攻擊與防禦已經到了白熱化的地步，對於企業內的IT人員而言，面對傳統的網路攻擊與病毒防範，想必已經不會陌生，可是對於近幾年來新興的網站攻擊與入侵手法，卻經常感到難以招架。追究其原因，多半是來自於相關資訊安全知識的不足，尤其是對於網頁應用攻擊的手法更感到陌生，所以也就不太了解究竟該如何去防範入侵，並且加強維護網頁安全。

幸好，目前網路上已有許多開放的團體與非營利的機構，針對網頁應用安全議題，提供了很多豐富專業的資訊，可供我們來學習與效法，以下則為各位介紹，個人經常去補充資安知識，值得推薦的網頁應用安全資訊網站。

推薦一：WhiteHat Security

WhiteHat Security是由前Yahoo的資安長Jeremiah Grossman所創辦的公司，主要提供了各種有關網站安全的解決方案與服務。在WhiteHat Security網站的新聞專區中，收集匯整了來自世界各個媒體有關網頁應用安全的文章，讓你不必再花費力氣去一一瀏覽各個媒體所刊登的訊息。

WhiteHat的部落格是由Jeremiah親自執筆，主要分享他個人的網站安全防護經驗，其中一系列的「How to」文章，像是「如何加強網站防護避免被駭」、「如何檢查你的WebMail帳號是否被入侵」、「如何評估你的網站價值」、「如何找到你的網站弱點」等，是非常實用的經驗分享。

個人最喜歡WhiteHat Security網站的一點，是在於它的安全資源中心，提供了為數眾多的Whitepaper還有簡報檔，讓使用者可以免費下載閱讀。雖然WhiteHat Security的Whitepaper有些頁數並不多，但是字字珠璣且淺顯易讀，以下幾篇推薦給有心想了解網站安全的朋友們，可以到網站下載瀏覽的文章：

Ten Things You Should Know about Website Security
WhiteHat Security Web Application Security Risk Report
The Top Five Myths of Website Security
Website Security 101

推薦二：Web Application Security Consortium

Web Application Security Consortium (WASC)是由許多專家、業者和開放資源的代表所共同組成的國際性社群，WASC透過這些會員們的意見交換，不斷地產生各項網頁安全技術資訊、文章和安全指引等，可提供給來自世界各地的商業組織、學術團體、政府機構與資安專家們，協助他們面對不斷變化的網頁應用安全的挑戰。

雖然WASC的創辦者之一是WhiteHat Security的Jeremiah，但是WASC秉持著中立自主，並不偏向任何營利組織，它主要的目標是創造一個開放性的論壇，讓所有對於網頁應用安全有興趣的人，都能共同參與討論，促使各界更加關注各項有關網頁應用安全的事件與議題。

WASC網站提供了Mailing List討論服務，使用者可以用e-mail方式來訂閱，參與各項網頁應用安全的主題討論，另外，也可以透過RSS Feed來訂閱，相當地方便而且不會漏失任何的訊息。WASC也設立了許多有關網頁應用安全的計劃，如果你願意參與並且貢獻自己的專業，可以主動與各個Project Leader聯絡。

WASC網站同樣也有很多豐富的參考資料，在你點選Library連結之後，就可以看到有關網頁安全的書籍介紹，以及它收集自各個知名網頁安全業者，所免費提供的Whitepaper，雖然資料有一段時間未更新了，但仍然具有參考價值。

推薦三：Cgisecurity

Cgisecurity是目前最早建立，內容有關網頁應用安全的網站，它的創建者同時也是WASC的核心創辦者之一，如果你是想要從事網頁應用安全研究的學生，那麼Cgisecurity是你不可錯過的網站，因為它提供了相關的期刊paper，可作為研究的參考之用。

Cgisecurity網站最大的特色，就是將網頁應用安全的相關主題，分門別類地排列，使用者可以很快地一網打盡同一類型的參考資料，像是以研究Phishing主題為例，當你點選連結進入內頁之後，即可得知有關Phishing的網站、相關的工具與軟體、技術文章、新聞連結、犯罪案例，以及如何自我防護等相關資料；如果你想了解什麼是SQL Injection，也只要輕鬆按下一個連結，就可以在這個網站內獲得問題解答、相關的參考文章與網路連結指引。總之，這個網站資訊相當豐富，肯定會花掉你不少時間。

推薦四：World Wide Web Consortium

World Wide Web Consortium(W3C)是由全球資訊網(WWW)的發明人Tim Berners-Lee所創立的組織，其成立的宗旨是為了推動全球資訊網的相關技術，並鼓勵各項合作與討論。同時，W3C也致力於各種網際網路標準的研發、制定與推廣，使業者的對於全球資訊網的應用發展，能有一個可供遵循的標準。

W3C針對網際網路的各種應用，建立了一些工作小組，像是Web Security Context Working Group就專注在研究使用者部署安全技術時，可能會面臨的問題，尤其是在企業部署了安全機制之後，惡意駭客可能會採取規避的方法來欺騙過關，在這部份W3C工作小組能提供一些因應之道。

在網頁安全方面，如果你是網頁應用程式的開發人員，可以參照網站上所提供有關資安的文件，像是XML Security的規格說明、XML簽章與加密，以及金鑰的管理等。至於目前最熱的AJAX網頁技術，W3C也有一個工作小組，產出許多可供開發人員參考的文件，同時也提供Email List給有興趣的人員訂閱討論。

推薦五：Open Web Application Security Project

OWASP(Open Web Application Security Project)開放Web軟體安全計畫，是一個全球開放的社群，也是一個非營利的組識，長期致力於改善有關網頁應用服務的安全性，以提供給政府和業界參考。OWASP的主要目標在於協助建立網頁應用安全的標準、工具與技術文件，以減少應用程式在開發過程中可能會產生的弱點，防止惡意駭客利用這些弱點來進行破壞。

在台灣分會會長Wayne的努力之下，OWASP台灣分會已於2007年正式成立，並且開放給各界人士參與，目前，每年由OWASP所公布的十大Web資安漏洞資料，已成為業界人士用來加強網站安全與修補漏洞的參考指標，也被政府機關列為網頁應用安全必要的檢測項目之一。

在OWASP網站上，除了十大Web資安漏洞說明資料外，你還可以找到目前正在進行的相關計劃說明，歷年研討會的簡報資料與影音檔案，而對於下一代網頁Web2.0有興趣的研究者，也可在此找到可供參考的paper文件。另外，OWASP的部落格也持續不斷地在更新，對於網頁應用安全有興趣的人，相信在此可以獲得很多有用資訊。

總結

以上是幾個相當不錯的國外網站，在此分享給各位作為參考，由於網頁攻擊的手法日新月異，對IT人員而言，唯有不斷地補充相關知識，才能有效做好資訊安全防護工作。但比較可惜的是，國內目前還相當缺乏有關網頁安全的開放組織與中文參考資訊，大多只能依賴國外網站所提供的內容，這點大家要一起加油了。(本文刊載於2007年iThome資安專刊)