威脅防護 on 資安見聞錄

[提醒] 小心針對Mac的惡意程式-MacDefender

Thu, 02 Jun 2011 04:13:00 +0000

正所謂樹大招風，隨著蘋果系列電腦在全球的熱賣，一向不太容易中毒的Mac OS X作業系統，也出現了特別針對它的惡意程式，目的是想要騙取使用者的個資和金融資料。

最近出現的「MacDefender」是個偽造的防毒軟體，當使用者瀏覽到某些網站時，它會突然跳出一項訊息，告訴使用者電腦已感染了病毒，需要安裝此一防毒軟體來協助解毒。

但是事實上，這個假防毒軟體才是真病毒，它的目的是獲得使用者的信用卡資料，然後再利用它去進行其他的詐騙行為。

目前，除了MacDefender之外，它還有其他的化名，像是MacProtector和MacSecurity等也都是惡意程式，主要的攻擊對象包括OS X 10.4 ~ OS X 10.6，至於預防的方法是遇到有這樣的訊息通知時，就請大家趕快先關閉瀏覽器，如果瀏覽器已經自動下載這個惡意軟體，並且進行安裝時，請記得馬上取消安裝，也不要輸入電腦的使用者或管理者密碼，然後就趕快把這個安裝檔案拖到垃圾筒丟掉囉。

萬一您已經不小心裝了這個惡意軟體，那麼最好不要提供任何的信用卡或金融資訊，然後盡快將它移除，移除的步驟，可參考以下apple網頁的說明。

至於先前提到瀏覽器自動下載的問題，因為apple的Safari瀏覽器，預設在下載完成後，就會自動開啟它認為安全的檔案，像是JPG、PDF等，所以為了避免可能執行到惡意的程式，建議大家把這個功能關閉，方法很簡單，請打開Safari的「偏好設定」，然後選擇「一般」的頁面，再把「將下載完成後自動開啟"安全的"檔案」的選項，取消勾選即可。

[參考資料] 如何避開或移除 Mac Defender 惡意軟體

[觀點] 小心殭屍網路對企業造成的衝擊

Tue, 29 Jun 2010 09:46:00 +0000

殭屍網路(Botnet)在資安業界，已經是受到關注與研究的議題之一，對於網路服務業者來說，更是避之唯恐不及的對象，但對於一般企業而言，或許它對自己的危害並沒有十分明顯，也就使得管理人員容易忽略這個可大可小的資安威脅。

過去曾經遇見一位朋友，自認為在他的產業裡，公司只是個毫不起眼的中小企業，並沒有太多商業機密或有價值的資訊值得惡意人士來入侵，因此對於媒體不斷披露的資安事件，往往認為是過於誇大而一笑置之，更不願意花一些時間來檢視組織是否存有資安的問題。

其實以往我也同意，如果組織內並沒有太多具有價值的資訊，的確很少有機會去引來惡意人士的覬覦，因此也會建議中小企業，在做風險評估與風險處理時，不需要花五塊錢去保護只有二塊錢價值的東西。但是，價值這件事其實是很難在當下就立刻判定的，尤其是對於資訊資產，並不能用傳統資產的概念來予以估價，而是必須更深遠地去思考在資安事件的背後，可能對企業造成的衝擊，以及有形與無形的損失。

看出攻擊背後的意義

有一個觀念我們需要轉變，那就是今日許多的資安攻擊事件，主要目的已不單單只是想要取得組織內部的資訊，而是還要將組織當作是一個跳板，作為入侵他人的管道，或是當作散布惡意訊息和發動攻擊的替身。

所謂「道高一尺、魔高一丈」，全球各地的執法機關會利用資訊科技來預防和阻止犯罪，惡意人士也會費盡心思來運用資訊技術，以便隱藏自己的犯罪軌跡，所以現在許多的攻擊行為都是採取分散式，並且採取不易被發覺且成功機會較高的手法來避免遭到追查，這也是今日殭屍網路會受到惡意人士青睞的原因。

殭屍網路的運作機制並不複雜，惡意人士(botherder)可透過木馬程式(bot)來操控組織受感染的殭屍電腦(bot client)，這些電腦在平時可能不會有任何攻擊行為，而且透過變形和自我隱藏，也不太會被防毒軟體偵測到。一旦惡意人士想要發動攻擊時，只要下達一個指令給中繼站(command & control server)，再透過中繼站來呼叫殭屍電腦，就可組成為數眾多的殭屍網路，針對特定目標發動攻擊。

殭屍網路的攻擊方式，除了最常見的阻斷服務(DoS)之外，也可以利用它們來散布垃圾訊息與郵件(spam)，所以今日的企業組織，除了要擔心自己會成為被攻擊的對象之外，更要思考自己是否會成為攻擊別人的犯罪工具與代罪羔羊。

殭屍網路的發展現況

根據CSI電腦安全協會2009年電腦犯罪與安全調查報告顯示，在443位來自美國政府機關、金融、學術、企業、醫療等組織的安全專家，在過去一年所處理的資安事件中，近六成是和惡意程式有關，也有二成是直接和殭屍電腦有關的資安事件，他們預期在2010年的情況將會更加嚴重。至於賽門鐵克的網路安全威脅報告則指出，亞太地區擁有最多殭屍電腦的城市就是台北，數量約有18萬7千台。

其實bot並非天生就是壞人，運用bot概念來進行網路資料的蒐集與搜尋，已是目前相當成熟的應用，只是到了後來，慢慢有人往偏的方向走，像是透過它來進行網路訂票，搶購熱門的運動賽事或演唱會門票，之前再轉手售出來賺取價差，或是利用它來廣泛寄送行銷資訊，形成大量的垃圾郵件而造成資源浪費，則是比較不可取的作法之一。

尤其是垃圾郵件的寄送，目前已經形成了龐大的地下商機，具估計世界上有8成左右的垃圾郵件，都是藉由殭屍網路來發送，雖然各家資安廠商開發出各種不同的郵件過濾機制，主動封鎖主要的垃圾郵件發送網址名稱，但仍無法很有效地減少垃圾郵件的侵襲。

目前殭屍網路已發展出一項更新的技術，稱之為fast-flux，簡單的說，這項技術可以讓殭屍網路的操控者，持續不斷地去註冊和取消節點的網域名稱，使得透過IP網址來封鎖及識別垃圾郵件的方法，已經不再那麼地有效。

fast-flux從2006年出現至今，已成為網址名稱管理單位一個頭痛的問題，除了會影響網址名稱解析服務的運作之外，更讓殭屍網路變得難以偵測，惡意人士甚至把殭屍網路變成一種出租服務，只要願意付出一些費用，就可以利用它來達到非法目的，更讓整個犯罪行為就像船過水無痕一樣難以追查。

認識知名的殭屍家族

談到殭屍網路，許多人以為它只是單一的威脅，事實上殭屍網路是由許多不同功能的惡意程式所組成，其攻擊手法也有一些不同的差異存在，以下為幾個重大且常見的殭屍網路說明：

PushDo

PushDo是全球第二大的垃圾訊息殭屍網路，出現於2007年1月，許多人對它感到陌生的原因是，它善於利用不同的技術來隱藏自己，除了能在世界各地持續不斷地發送垃圾訊息之外，也能利用相同管理來散布惡意程式。當然，阻斷服務攻擊也是它的工作之一，最近的行為特徵則是針對網站發出SSL要求，然後不予以回應，使得原本使用率不高的網站突然流量暴增，進而造成網站無法提供正常的瀏覽服務。

ZeuS(Knebar)

ZeuS是一個老牌的駭客工具包，包括了像是木馬、通訊埠掃瞄等工具，透過不同攻擊工具的運用，讓它不容易被一網打盡而得以存活。目前由ZeuS所組合而成的Knebar殭屍網路，特色是能夠運用多重的中繼站，一旦某個中繼站被封鎖，可以快速地切換到另一個來重新啟動，惡意程式本身也能不斷變種，換句話說，這是一個具有備援機制的殭屍網路，是相當難纏的對手。

Mariposa

Mariposa是西班牙語「蝴蝶」的意思，背後控制它的犯罪集團，曾經讓世界190個國家，超過1300萬台電腦染上惡意程式，透過木馬來竊取包括使用者帳號密碼、信用卡號等有價值的資訊。另外，它也能利用IE瀏覽器的漏洞和USB隨身碟來散布，側錄使用者的登入資訊，再偷偷回傳給中繼站，最後回到犯罪集團的手中。

Waledac

Waledac的專長是發送垃圾郵件，也就是一個典型的spambot，它是由全球數十萬台已被感染的電腦，所串聯起來的殭屍網路，每天可發出高達15億封的郵件。根據微軟hotmail的統計，在短短不到二十天的時間，它就針對hotmail的使用者，發送了大約6.5億封的垃圾郵件，除了浪費使用者的時間之外，許多垃圾郵件也會趁機夾帶惡意程式，伺機進駐到企業內部之中。

Torpig

它最擅長的是收集個人資訊，曾經創下在十天內感染了18萬台電腦，獲取高達70G的使用者資訊，其中包括不同金融機構的帳號、使用者身分資料、信用卡號碼、電子郵件帳號等。Torpig運用了fast-flux技術，使得它的傳播途徑難以完全封鎖，反向追蹤也變得十分困難。

Koobface

Koobface是個不斷進化的殭屍網路，一開始是利用散布惡意聯結，來誘騙使用者下載假的YouTube影片解碼器，藉此來感染使用者的電腦。如今則是搭上facebook的熱潮，它有能力去假造一個facebook使用者帳號，並且通過Gmail的帳號認證，然後建立起個人的檔案頁面，同時加入一些個人檔案和照片，目的是偽裝成一個正常的使用者，再大量去送出交友要求，並在塗鴉牆上張貼惡意的訊息。

如何因應殭屍網路威脅

對於企業來說，要防範殭屍網路的威脅可以從二個層面來看，首先是思考如何避免被害(避免遭到阻斷服務攻擊)，其次則是如何避免去危害他人(被感染成為殭屍電腦)。

關於第一個層面，有些廠商會建議添購專門阻擋殭屍網路的高效能網路設備，但是若遇到大量來自世界各地的分散式阻斷攻擊，這時候就需要ISP業者的支援聯防，所以在事前我們應該要做的，就是去了解ISP業者能提供的協助有哪些，包括緊急聯絡方式、處理流程、所需處理時間等，建議在服務合約中就明訂清楚，這對於企業將會是個保障。

至於要如何避免成為殭屍網路的幫手，由於目前殭屍網路惡意程式通常來自於網路下載和電子郵件，所以教育訓練會是一個好的開始，管理人員需要制訂清楚的網路使用政策，並且讓員工明瞭後果的嚴重性，以避免誤入社交工程的陷阱。

當然，光是教育訓練是不夠的，找到對的技術也很重要，建議管理者可評估適合的閘道端網路內容過濾方案，藉由掃瞄網頁內容和郵件附件，在惡意程式還沒有抵達內部之前就加以阻擋，同時也可阻止殭屍網路和中繼站連絡的phone home行為。

最後在管理方面，成立一個資安事件應變小組是有必要的，唯有透過專責人員對於資安問題有更深一層的了解，預先擬定適當的應變措施，才可避免在事件發生時手忙腳亂，導致錯過了最佳的處理時間，進而造成企業更多的損失。(本文刊載於2010年5月號網管人雜誌)

[觀點] 防範網路大軍的惡意入侵

Tue, 26 Jan 2010 07:48:00 +0000

資安的防禦工作和攻擊手法比較起來，事實上難度更高，也很難全面地加以兼顧。在網路攻擊氾濫的今天，網管人員只要稍有鬆懈，很容易就會受到來自四面八方的惡意入侵，一旦使用者電腦或服務主機受到操控成為跳板，隨之而來的就是更多令人頭痛的問題。

相信大多數六年級生和更年長的朋友，都曾經歷過殭屍電影的熱潮，在電影中道長只要憑藉手中的符咒，一一黏貼在殭屍的頭上，然後一搖手中的法鈴，就能操控所有殭屍行走跳躍的方向。在這個網路盛行的年代，也有所謂的殭屍網路(Botnet)出現，它是指一群受害者的電腦受到操控，成為受人擺佈的「殭屍」，可以被惡意人士利用來發動大規模的網路攻擊，或是從事散布垃圾郵件或病毒的惡意行為，而且這些攻擊往往難以追查到幕後的真正控制者。

為什麼電腦會變成「殭屍」？可能的原因有很多，但比較顯而易見的原因則有二個，一是管理人員平時未做好管理工作，讓電腦缺少適當的防禦機制，例如未安裝防毒軟體、未修補作業系統漏洞等，造成使用者的電腦具有容易入侵的弱點，進而感染了木馬或病毒等惡意程式。另外一個原因則是使用者本身缺少了資安意識，喜歡點選開啟來路不明的電子郵件或檔案，或是濫用電腦去下載非法軟體，導致電腦很快就變成殭屍大軍中的一員。

殭屍網路危害的情況

過去，殭屍網路大多被用來作為癱瘓他人網站的利器，只要透過同一時間操控大量的殭屍電腦，發動分散式的阻斷服務攻擊，往往就會造成企業的網站難以招架而停擺，網管人員也很難在短時間內就能找出攻擊的源頭並加以阻擋。殭屍網路也能被用來作為發送垃圾郵件的工具，藉由不斷轉換不同的受害電腦當做發信主機，就可使得過濾郵件黑名單的功能容易因此失效。

隨著網路廣告服務的盛行，殭屍網路更被用來和地下經濟做結合，利用操控分散在各地的電腦，針對特定線上廣告進行點擊，就可以獲得廣告的收入，此一類型的手法，被稱之為「點擊詐欺」。換句話說，殭屍們已不再像以往只具有單一功用，而是會隨著情境設定的轉移，即可成為駭客們手中操弄的不同角色，而探究其目的，多數都是為了獲得不法利益才來進行。

如今，殭屍的行為模式也變得更加有組織，除了以廣告點擊方式來獲利外，目前最新的手法是可以竄改Google的搜尋結果，以假的廣告連結來加以替代，每當不知情的使用者一點擊，也就成為幫忙駭客賺錢的工具之一。殭屍網路還能夠幫助駭客蒐集各項有價值的資訊，例如個人電腦上的使用者身份資料、帳號密碼，以及信用卡號等，根據加州大學的研究人員指出，在短短十天內，殭屍網路即有能力獲得高達70G的使用者資訊，藉此可獲得高遠數百萬美元的不法利益。

至於目前很流行的社交網路，使用者若一不小心，也很容易成為殭屍網路中的一份子。根據希臘Foundation for Research and Technology機構的研究顯示，只要透過在社交網路上的應用程式，分享圖片給使用者瀏覽，透過此應用程式中所隱藏的框架，就可以驅使使用者的電腦向特定的主機傳送網路流量，除了可用來當作實行阻斷攻擊的跳板，還能夠竊取其他使用者帳號並散播惡意程式。

從殭屍網路到鬼網間諜

除了殭屍網路之外，如今更出現了一個新名詞，叫做「鬼網」。根據加拿大的研究人員指出，在最近兩年之內，包括台灣等世界共103個國家，有1295台政府和民間企業組織的電腦，都曾經遭到間諜滲透，一旦這些電腦被植入了惡意軟體，駭客就能在遠端監控使用者的行為，還能夠開啟電腦上的網路攝影機，監視四周的環境動態，許多包括國家級的機密文件，恐怕也已經遭到竊取。

以往要滲透他人的電腦，往往會採取網路釣魚等社交工程手法，透過發送內含惡意軟體或惡意連結的郵件來引誘使用者上鉤。但是研究人員表示，鬼網的運作主要是有系統地針對特定目標，以便可獲得一開始即鎖定的機密資訊，而且它極有可能是透過國家的力量發起，儼然成為一種新型態的資訊戰爭。

這樣的手法，是否也會被運用在商業環境中，仍有待觀察。但依照以往經驗，商場如戰場，各種商業間諜的案例仍然層出不窮，相信只要是有利可圖，惡意人士應不會輕易放過這塊大餅，所以相對的，這也是給企業的一道警訊，在未來的商業競爭中，很可能也會面臨這種非法的手段，是否該及早作好準備，也考驗著企業經營階層的反應能力。

網路威脅的應對之道

一開始即提到，防禦這件事在資安工作中，可能遠比入侵他人的難度要高出許多，所以企業要如何因應，在千頭萬緒中究竟該如何做起？個人的建議是盡量以簡御繁，先從簡單能做的著手，也就是先回頭檢視企業現有的環境，擬定防禦策略，並及時修補可能的安全漏洞。

因此，企業可以從管理面開始，首先擬定網路的安全政策與規範，不過在擬定之前，需要全面檢視現有的網路架構，建議可以由外向內，一層一層地確認目前的安全設備，是否已處於正確位置並發揮作用，同時也要進行服務主機的強化，然後再到使用者端進行弱點補強。網管人員可以進行的工作，包括：

檢測防火牆的存取政策是否適當，是否開放了企業不允許的網路服務和通訊埠，當需要變更存取政策時，應依照企業擬定的變更管理程序來進行。
檢視入侵偵測防禦系統的特徵比對是否能持續更新，並確認封包本身的檢測深度是否合理有效，同時可評估是否進一步與網路安全設備連動，以進行聯合防禦。
檢視相關的網路設備所使用的作業系統和韌體是否為新版，以避免可能存在的安全漏洞，必要時可請設備廠商協助予以更新。
確認網路設備的管理帳號和密碼，是否有一定的控管程序，避免使用預設的管理帳號，並要求密碼具備一定的強度(例如大小寫數字混合，長度8碼以上)。
定期檢視網路設備的活動監控記錄，並進行網路設備的效能評估，以確保相關設備不會因特定連線或流量的增加，導致無法負荷而停擺。
確保網路防禦機制能夠持續運作，因此適時的備份與回復演練是絕對必要的，當大量的網路攻擊和新攻擊手法出現時，若能和外部資安專家或維護廠商在平時就建立良好的聯繫管道，在戰時就能適時的尋求外部支援。

總結

網路安全的攻防之間，似乎是一項永無止盡的工作，但是藉由基礎防禦機制的強化，就能獲得相對的安全保障。當然，在此也要提醒網管人員，千萬別一昧地追求技術上的控制，而忽略了適時的管理手法反而簡單有效。所以在使用者方面，除了透過技術機制協助使用者更新防毒軟體及病毒碼，修補作業系統的安全漏洞之外，更需要讓使用者具備一定的資安認知，包括了社交工程的防範、電子郵件的應用安全、上網瀏覽的安全注意事項等，因為使用者的教育訓練，往往就是有效且成本最低的防禦策略，可藉此來大幅降低日常作業所面臨的資安風險。(本文刊載於2009年6月號網管人雜誌)

[新聞] 勒索軟體的新花招

Tue, 03 Nov 2009 13:03:00 +0000

勒索軟體(Ransomware)雖然在台灣並不流行，但是在國外卻是令人頭痛的資安問題之一，以往的勒索軟體，常見的手法是透過惡意程式感染電腦之後，自動尋找系統中重要的資料夾，然後設定密碼將它鎖住，並且秀出一段訊息要受害者到特定網站，在付出贖金之後，才能得到解開的密碼。

最近，賽門鐵克公司發現有一隻名為「Trojan.Ramvicrype」的木馬，它會使用RC4的演算法將受害者最近打開過的檔案加密，轉成一個副檔名為「.vicrypt」的檔案。而且不同於以往的勒索軟體，這隻木馬它不會直接要求你付錢來取得解密的鑰匙，而是當受害者發現檔案打不開了，自己上搜尋引擎用副檔名這個關鍵字去找解答或幫手時，就會出現這樣一項幫忙解救的服務連結，當然，既然提供了救援服務，這時侯就可以名正言順跟你收錢囉。

[新聞連結] Tales from the Crypt

[觀點] 從資安威脅挑戰談端點安全防護

Fri, 30 Oct 2009 06:49:00 +0000

所謂的端點設備是泛指所有具備運算功能，並且會連接企業網路的桌上型電腦、筆記型電腦、PDA等手持裝置，以及具備無線網路、儲存媒體、可程式化控制的相關系統裝置等。在企業之中，一般使用者的電腦系統是比較容易受到惡意入侵的管道，因為駭客不需要去和企業的資安防護系統硬碰硬，就可以透過Web或是email直接滲透到使用者端，取得其所想要的資訊，而且每當有端點設備，在離開了企業的資安防護範圍之後，所面臨的資安風險更會大幅增加。

只是，面對為數眾多的端點設備，對IT人員而言，在管理方面將是一個頭痛的問題。舉例來說，雖然企業針對使用者的資訊安全防護，制定了安全存取政策(Policy)和控制措施，若是要透過人工的方式，一一部署到使用者端並且強制實施，似乎不太可能，所以必須要尋求一個自動化的方案。不過，在端點上所需的安全防護甚多，如果防毒有一項政策、防火牆有一項政策、遠端連線也有一項政策，需要分開部署或是安裝多重的使用者端代理程式(Agent)，對於使用者日常作業的穩定性和方便性，勢必會造成一些影響。因此，尋求一個可以全面整合並管控的端點安全方案，在單一Agent上支援所有的端點安全防護功能，會是比較好的實施辦法。

端點設備面臨的資安威脅

根據日前資安廠商Websense的2008年資料外洩意見調查指出，有高達99％的IT人員非常關心資料外洩的問題，其中有44％的受訪者更認為，企業最重要的資安問題就是「智慧財產權遺失」，其次則為「客戶個人資料遺失」、「財務資料遺失」和「員工個人資料遺失」。另外，也有63％的受訪者認為，由於外接式儲存裝置便於攜帶的特性，是最容易發生資料外洩的首要管道。

企業的端點設備，皆存放著大量的企業資料，一但遭到入侵成功，損失可能難以估計，特別是一些行動裝置如筆記型電腦，一旦離開了企業實體環境，就會有容易遺失或被竊的風險，如果硬碟裡所儲存的敏感資訊，沒有適當的加密防護，就等於是將企業機密雙手奉上給別人。目前，端點設備所面臨的資安威脅與管理挑戰，基本上有以下幾種：

惡意程式入侵 - 惡意程式像是病毒、蠕蟲、間諜程式的攻擊已愈來愈頻繁，尤其是駭客可跳過企業對外的資安防護，直接透過網頁瀏覽方式，讓使用者不小心下載惡意程式，直接入侵端點設備。
遠端連線竊聽與儲存媒體遺失 - 隨著行動使用者的增加，其所使用的行動設備與儲存媒體，在離開企業之後，會面臨遠端存取時的安全問題，企業必須要有可靠的身分驗證與資料安全傳輸機制，並針對行動裝置上的硬碟和USB儲存媒體，做好適當的管控與防護。
端點難以集中管理 - 企業內眾多的端點裝置，要如何進行統一的資安政策部署，並且增加資安管理的可見度，對於IT人員來說難度甚高，除了會增加管理成本支出外，更有可能影響使用者系統的穩定與效能。

端點安全的部署建議

為了因應以上的威脅與挑戰，企業可考慮部署端點安全解決方案，藉由全面性的安全防護來因應資安問題，不過在選擇評估時，建議需考慮以下幾點：

能偵測並阻擋惡意程式 - 端點必須具備防毒、防間諜軟體、防火牆等功能，並可透過中央控管方式，提高端點的可見度，也就是說管理人員有能力針對所有端點進行定期掃瞄，並且可掌握有哪些設備已經中了毒，還能夠針對端點設備的現況，提出詳細的安全報告。

可加密保護敏感性資料 - 行動裝置已經愈來愈輕薄短小，若是一不小心遺失了設備，而且資料本身並沒有保護措施，那麼重要的資訊就會立即面臨遭到揭露或存取的風險。保護端點資料安全的控制措施，應包括了磁碟加密、外接式儲存媒體加密和周邊連接埠控管等。目前針對資料的加密方式，可以對儲存媒體進行單一檔案加密、資料夾加密，或是整顆硬碟加密。另外，控管周邊連接埠的好處是，可防止資料被複製到外接式的儲存媒體中，也可同時防止像是USB病毒感染，避免惡意程式透過這些管道直接滲透至企業內部之中。

統一部署安全政策 - 在端點部署了安全政策，即可針對連線設備做好網路存取行為的管理，例如在連線之前可要求必須更新病毒碼和安裝最新的系統修補檔，並且限制其執行不被允許的應用程式，像是P2P軟體等。另外，針對遠端連線的使用者，透過安全政策的要求，可以檢查系統狀態是否安全，並且在安全的傳輸通道下，才允許他們連回企業的內部網路。

確保遠端連線安全 - 端點安全方案必須確保遠端設備能使用加密的安全通道，才可進行資料的傳輸，例如使用者在咖啡廳、機場等地使用公開的無線網路時，應透過VPN的運用，來避免連線過程可能被竊聽而導致資料外洩。

提供中央控管機制 - 具有中央控管機制，將可大幅降低IT人員在管理時的負擔，除了能協助派送必要的軟體或政策更新之外，還能夠即時監控、掌握目前的端點安全情況。對管理者而言，提供清晰的報表也是很重要的，因此良好的端點安全方案，應該要能協助管理人員簡化對於安全事件的管理。

減少對使用者的影響 - 一項新的安全控管措施在佈署時，最重要的就是要避免影響使用者現有的工作，降低對於使用者作業系統的衝擊。因此，好的端點防護方案應避免佈署多重的Agent，以防止系統資源過度消耗，造成系統的不穩定，雖然安全控制措施多少都會有一些效能的影響，但是應控制在正常運作的範圍之內。

循序漸進來解決問題

在端點安全方案出現之前，有許多企業已經部署了單一的資安防護措施，但是彼此之間卻缺少整合管理的能力，因此，目前的端點安全方案，最大的優勢就是可以進行安全防護的一致性整合，提供企業更快速簡便的管理方法。

如果企業已開始評估導入端點安全方案，對於產品的功能、建置時程、人員訓練，一定要記得詢問協助建置的廠商是否有完整規劃，尤其要考慮到可擴充的問題。因為事實上，如果有些產品功能目前並沒有迫切的需求，就不需要一次全部都導入，而是可採取適當的配套方法，先針對目前的需求來循序進行。

舉例來說，端點安全方案提供了全面性的防護功能，但是若現在最需要的是針對防毒、遠端連線安全、集中式管理所有端點設備，那麼防止惡意程式、個人防火牆、遠端連線VPN、中央政策控管就是該先行規劃的項目，至於硬碟加密、周邊控管、應用程式控管等功能，只要確認廠商有提供可擴充的方案，即可留待有需求時再行導入。(本文刊載於2008年10月號網管人雜誌)

[觀點] 從混合攻擊手法談整合威脅管理

Fri, 30 Oct 2009 06:37:00 +0000

近年來的資安事件，無論是網站入侵或是資料外洩問題，惡意人士採用的已不再只是單一的攻擊手法，而是會透過各種管道，先探測系統存在的弱點，再伺機植入惡意程式，這種混合式的攻擊手法，對企業運作已是一項重大的威脅。

舉例來說，像是七夕情人節剛過，有許多人的電子郵件信箱都會收到愛情告白信，若只是因為一時的好奇，按下了郵件中所附上的網址連結，很容易就會被植入蠕蟲，而成為散佈垃圾郵件的主機之一。此外，如果你還是個喜歡關心世界大小事的網路使用者，那麼最近自動發送給你的「CNN十大新聞影片(CNN.com Daily Top 10)」郵件，裡面附上了熱門新聞影片的網址，當你點選之後，它就會告訴你需要去更新電腦中的Flash Player程式，才能順利觀看影片，一旦你依照指示下載並更新了程式，它同時也偷偷安裝好了一隻叫做「TROJ_TIBS.CSZ」的木馬。

以上這些事件，已不再只是單純的散播病毒，而是混合了包括垃圾郵件、間諜軟體、蠕蟲和惡意連結等方式，把惡意程式裝扮成美味可口的模樣，散佈到企業的各個角落，意圖來引誘好奇心重的人們上當。如果使用者不小心受到感染，很容易就會成為殭屍網路(Botnet)中的一員，變成一個被利用的攻擊跳板。

全面資安防護大不易

當然，以上的惡意攻擊手法，對聰明的IT人員來說是不會輕易上當的，但是對企業為數眾多的一般使用者而言，即使管理人員已常常提醒大家不要開啟來路不明的郵件，他們還是很容易就會受騙，而且還會用無辜的語調說，「這封信看起來就是由CNN發的，而且連結的網頁也和CNN網站長得一模一樣，所以才會打開呀」。因此，除了加強使用者的資安意識之外，面對各式各樣的攻擊手法，我們還是得設法從技術面來加以預防。

目前，企業內部的基礎資安防護措施，通常包括了防火牆、入侵偵測防禦與防毒系統等，如果組織還包括了分支單位，或是有行動工作者需要遠端存取企業內部資源，那麼建置一個安全的連線管道如VPN，也是必要的安全措施。但是，這些防護措施說來容易，真正要管理起來卻不是那麼簡單，因為每項單一功能的設備，都會有自己的管理介面，也需要個別去設定各種安全規則與政策，每當IT人員面對眾多的資安軟硬體設備時，在管理上很容易就會發生掛一漏萬的情況，也就演變成為資安事件發生的潛在原因。

因此，對企業而言，資訊安全是一項全面性的工作，任何一個地方都不能夠有疏漏，只要有惡意人士發現了其中一個弱點，很可能就會利用它來危及整個企業的重要資訊與系統運作。不過，目前國內的中小企業，在缺少專職資安人員的情況下，資安工作通常都是交由IT人員來負責，可是IT人員平常的任務繁多，往往已經是身兼數職，一邊要確保主機正常運作，一邊又要維護網路，若再加上資訊安全這一項，就成為雪上加霜的沉重負擔。

認識整合式威脅管理

探討驅動這些混合式攻擊的背後目的，除了是為獲得有價值的商業資訊之外，竊取個人身份資料也是重要的原因之一。針對日漸增加的安全威脅，資安廠商也推出了整合防毒、防駭的整合式威脅管理(Unified Threat Management；UTM) 設備，來協助企業抵禦外敵，這些產品的出現，主要就是為了簡化過多單一功能產品的管理問題，以及考量到許多企業需要能夠集中管理的資安防護方案。

根據資策會資訊市場情報中心的調查指出，有近三成的企業沒聽過UTM這項產品，而UTM的效能不彰則是無法大量普及的最大原因。但是，隨著CPU與網路元件處理速度的加快，硬體效能已經得到大幅的提升，目前各家廠商正在努力思考的方向，其實是在「功能」、「效能」和「成本」之間，去創造一個擁有最合適平衡點的UTM產品。

對企業來說，導入資安產品的目的，最終還是要回歸到本身的需求，並且能夠解決所面臨的問題，雖然說UTM集合了各種功夫於一身，但是要寄望它同時將各種功夫都發揮到極致，基本上是不太可能的，就算有這種產品推出，成本花費也會是一般企業難以負擔的，所以在建置的過程中，廠商會努力和使用者溝通，才能找出符合使用者需求與適當的解決之道。更何況，有些企業並不想只依賴一個十八般武藝都很強的產品，他們真正需要的是一個容易部署且符合功能需求、能提供一定程度的安全防禦、在問題發生時能很快通報給管理人員的安全方案。所以，只要效能和成本比可以接受，採用UTM產品也會是一個不錯的選擇。

UTM產品的評估重點

如今，市面上的UTM產品種類繁多，到底要如何才能選擇一個適合企業應用的方案？基本上，個人認為UTM主要會適合以下情況的企業來應用：

希望簡化安全部署與管理的大型企業
人力和資源有限的分公司或中小型企業
需要針對遠端使用者，提供遠端存取與安全連線的企業。
尚未部署其他安全方案，希望在單一方案中整合防火牆、入侵防禦、防毒、VPN等技術。

因此，企業在評估採用UTM方案時，除了最令人關心的價格問題之外，還需要考量的因素有：

安全性 - 在UTM中所採用的安全技術，像是防火牆、防毒、VPN、入侵偵測等，是否在業界具有一定的知名度，企業除了要考慮個別模組的表現之外，也需要考量技術整合的整體安全性，是否有能力為企業有效阻擋各種安全威脅。

管理性 - 對於UTM設備來說，採用集中式管理是必要的功能，無論是組態設定、設備監控、產生報表，都必須要能透過統一的政策來進行。在管理方面，採用可彈性化與視覺化的物件設計，對於管理人員來說，將能大大減輕管理時的負擔與時間成本。

擴充性 - UTM所包含的安全與管理功能，必須是模組化且可更新的設計，因為對現今企業多樣化的網路環境而言，為了加強安全性，UTM設備不能只是一個固定的裝置，而要能夠隨著企業的成長需求，以彈性化方式進行調配管理。

高效能 - 適合企業採用的UTM，在系統平台上需要有特別的硬體設計，才能符合企業在效能上的要求，而透過支援高可用性，將使企業的關鍵業務不會停擺，同時降低效能上運作的瓶頸。

簡化管理是解決問題的關鍵

今日安全威脅的產生速度已愈來愈快，而且攻擊的層面也更加廣泛，企業在擬定資安防禦策略時，除了加強原有的系統防護之外，如何去簡化安全的管理機制，制定快速的事件處理流程，將是解決資安問題的重要關鍵。

現今的整合威脅管理產品，在先天上具有管理與佈署簡便的優勢，唯一要克服的，是效能與功能面的展現要求。不過，隨著硬體元件的改良，加上可擴充運作的方式，針對資安人力有限的企業，不失為一項良好的資安防護措施，在事事要求投資報酬率(ROI)的今天，如何去兼顧安全與成本，將是管理人員需要及早去學會的重要功課。(本文刊載於2008年9月號網管人雜誌)