存取控制 on 資安見聞錄

[觀點] 解析資訊安全控制措施(八) - 存取控制的資安要求(下)

Thu, 20 Oct 2011 15:07:00 +0000

上一期談到了ISO 27001中有關存取控制的營運要求，組織需要建立存取控制的政策和使用者的存取管理，包括像是註冊要求、密碼管理和確保無人看管設備的安全責任等，接下來將說明和網路、作業系統、應用系統的存取控制要求。

在A.11「存取控制」的要求中，第四個控制項目為A.11.4「網路存取控制」，其目標是要確保組織所提供或使用的網路服務，避免受到任何未經授權的存取，因此需要採取一些控管作法，來確保網路本身和使用者在利用時，不會發生安全上的問題，危害到組織的整體營運。

網路存取控制的要求

在這個控制項目中，共有七項要求的控制措施，包括了需要制訂適當的網路服務政策、對使用者和相關設備能予以適當的鑑別，以及針對作業系統、應用系統和行動運算的存取，也能實施必要的安全管控，各項控制措施的重點和實務作法，說明如下：

A.11.4.1 網路服務的使用政策
這項控制措施是要求組織制訂一項有關網路服務和使用的政策，讓使用者只能使用已取得授權才可存取的服務，因此在這項政策中需要說明有哪些網路服務是允許使用者來存取的？申請使用和授權的程序為何？可允許使用和存取的方式？以及所採取保護網路連線和服務的安全管理機制。

舉例來說，某企業提供員工使用內部電子郵件的服務，所以在電子郵件的使用政策中，即說明了使用者可以透過其員工編號進行申請(線上或表單方式)，經主管核准之後即可使用Outlook等郵件應用程式來存取。若使用者需要透過外部網路來使用郵件服務的話，需要透過虛擬私有網路(VPN)，經過身分驗證之後，才可連結內部網路並存取郵件服務。

A.11.4.2 外部連線的使用者鑑別
這項控制措施是要求當使用者需要從外部網路連回使用相關服務時，需要採用適當的鑑別方法，確認使用者的身分以便進行存取控管。在實務方面，最常見的作法是採用VPN方式，以使用者帳號、密碼進行身分驗證之後，建立安全加密的通道，才允許其使用網路服務。

組織若允許使用者透過外部連線來存取內部的服務，也等於是對外開啟了一條通道，為了降低來自外部入侵的風險，同時強化網路連線的安全性，有些組織會配合使用Token、憑證或一次性密碼(OTP)，來進行身分識別，同時採取加密方式，確保連線過程不會受到外部的干擾和竊聽。

A.11.4.3 網路設備鑑別
組織若想要限制來自特定地點或設備的網路連線，最好的方式是採取自動設備的識別方法，以鑑別連線的設備是合法且經過授權的裝置。實務上最容易採取的方式，是識別網路設備的MAC address和網路IP，尤其是目前普遍使用的無線網路，相關行動設備皆建議採取此種方式來進行識別，若再配合使用者的身分鑑別，則可以大幅提高其安全性，避免受到惡意人士採用偽冒身分的攻擊。

A.11.4.4 遠端診斷與組態埠保護
現今組織的資訊設備或系統，大都需要支援廠商定期的協助與維護，因此許多網路設備和電腦主機，也都設定組態埠並提供遠端診斷服務，如果其開放的組態埠沒有實施任何安全防護，就容易受到外來的入侵和未授權的存取，所以這項控制措施就是要求針對提供遠端診斷和組態埠，實施適當的安全防護，在實體上面，可以採取上鎖和移除的方式來進行，若是邏輯上的話，則是透過作業程序，要求需要事先申請並確認身分之後，才可開放使用，在診斷完成之後，也可適時關閉相關的組態埠和服務。

A.11.4.5 網路區隔
在組織之中，隨著規模的擴大以及資訊服務的增加，網路環境也顯得愈來愈複雜，若沒有實施良好的管理，資訊的傳遞、儲存、使用可能會危及本身的機密性、完整性和可用性。因此，這項控制措施是要求將資訊服務、使用者群組所使用的網路，進行適當的區隔，以避免敏感性資訊受到不當的存取。

在實務方面，最常見的作法是採取虛擬網段(VLAN)的方式進行，透過網路交換器、路由器、防火牆等設備，依照不同網域的安全要求來加以分割，以確保網路流量的區隔和安全邊界的劃分。要注意的是，區隔應依照資訊的價值、機密等級和群組重要性來進行，以避免某一區域網路中斷時，對營運造成不必要的衝擊。

A.11.4.6 網路連線控制
對許多組織而言，若使用者無法上網的話，可能當天的業務營運就會受到影響；但有另一種觀點認為，若開放使用者任意上網的話，也會造成工作力的大幅降低。因此若撇開資安的問題不談，組織對於網路連線這件事，本來就該給予關注和管理，在本項控制措施中，提到針對跨越組織邊界和共享的網路，需要依照所制定的存取控制政策和營運要求，適當地限制使用者上網的能力。

在實務方面，可以採取閘道端(Gateway)的網路設備，來過濾使用者的網路流量，藉此來限制其可使用的網路服務，例如即時通訊、檔案傳輸(FTP)、遠端登入(Telnet)，以及近年來流行的P2P檔案分享等，以避免不必要的資安問題發生。

A.11.4.7 網路路由控制
網際網路的優勢在於其無遠弗屆的資訊傳遞，以及快速方便的連線傳輸，對一般使用者而言，在遠端的這朵雲中，資訊的傳輸路徑是開放且難以選擇的，也會有許多安全風險隱身其中。但對企業來說，為了確保資訊傳輸的安全，需要採取一些技術來進行強化，這項控制措施即是要求針對網路連線，需要實施適當的路徑選擇控制。在實務方面，可以透過NAT機制來限制電腦的連線與資訊流，也可採用代理伺服器(Proxy)來確認連線來源與目的的位址，藉此避免違反組織既定的安全存取政策。

作業系統的存取控制

針對作業系統安全控管方面，在A.11.5「作業系統存取控制」的控制項目中，目標是要防止作業系統受到未經授權的存取，在這個項目中共有六項控制措施，分別說明如下：

A.11.5.1 安全的登入程序
針對作業系統的使用，需要避免不必要的非法存取機會，因此這項控制措施是要求在登入的過程之中，只揭露和系統有關的最少資訊。實務方面，在登入畫面中，僅提示必要的登入訊息，不提供額外的像是預設帳號或密碼的提示。若登入錯誤，也不明確指出是哪一部分的資料錯誤，同時限制系統登入錯誤的次數，若超過的話，將予以延遲或鎖定登入帳號，並保留各項登入的記錄。

A.11.5.2 使用者識別與鑑別
在A.11.2.1中要求使用者需要正式註冊，並賦予其唯一的帳號識別碼(ID)，本項控制措施即是要求使用者只能使用其個人帳號，並採取鑑別技術以識別其符合所宣稱的身分，實務方面，也可透過使用者的識別碼來記錄或追蹤其相關的使用行為。

A.11.5.3 密碼管理系統
使用者若選擇了不夠強固的密碼，就容易受到外來的破解和冒用，這項控制措施是要求需透過系統來管理密碼，以符合嚴謹度的要求。舉例來說，在系統上可要求使用者必須使用一定長度(6碼)以上、英文大小寫與數字混合的密碼；在首次登入時，要求需要更改其臨時性或預設的密碼；在密碼使用一定時間(三個月)之後，要求使用者重新設定其密碼等。

A.11.5.4 系統公用程式的使用
作業系統除了可安裝應用軟體之外，本身也提供了許多公用程式如系統管理工具等，由於這些工具往往可更改系統的組態，產生資訊安全上的風險，所以這項控制措施要求嚴格限制能夠跨越系統和既有應用等公用程式的使用。實務上最好的作法是在一般使用者的電腦上移除這些工具，系統管理人員也需要經過授權才可使用公用程式，並且保留變更記錄。

A.11.5.5 會談期逾時
為了避免資訊系統受到不必要的冒用，以及來自網路阻斷服務的攻擊，這項控制措施要求在超過閒置的時間之後，關閉不動作的會談期(session)，建議的作法為在系統閒置一段時間之後，即自動清除螢幕內容，或是自動關閉應用程式或網路連線，尤其是來自外部的連線與服務要求。

A.11.5.6 連線時間的限制
對於高風險或是敏感性的系統，這項控制措施要求需要限制其可供連線的時間，以加強其安全性，例如有些組織會限制重要系統僅在上班時間開放服務。

應用系統存取與行動控管

在A.11.6「應用系統與資訊存取控制」的控制項目中，目標是要防止存在於應用系統中的資訊受到不當存取。在這個項目中共有二項控制措施，A.11.6.1「資訊存取限制」是要求需要依照所制定的存取控制政策，只有符合擁有存取權限的人員才可存取系統。A.11.6.2「敏感性系統隔離」則是要求敏感性的系統要有專屬的作業環境，以避免其他未經授權的人員可以操作使用。

在A.11.7「行動運算與遠距工作」的控制項目中，目標是要確保在組織以外，相對保護較弱的工作環境，其資安風險能夠受到適當的控管。在這個項目中共有二項控制措施，A.11.7.1「行動運算與通訊」是要求針對行動運算的設施要採取適當的安全控管，例如筆記型電腦等行動裝置採取加密機制，並避免留置在無人看管的地點。A.11.7.2「遠距工作」則是要求針對遠距工作，需要制訂相關政策、工作計劃和程序，例如需要考量遠地工作的實體安全、所使用網路的安全要求、是否安裝防毒軟體和防火牆等。

存取控制可降低資安風險

之前提到在規劃資訊安全管理的策略時，建議可依照「PPT」的思考架構來進行，對於網路、作業系統、應用系統的存取控制要求方面，同樣也是要涵蓋人員(People)、流程(Process)、技術(Technology)。對許多資訊人員而言，網路管理、作業系統及應用系統的維護，已是日常不可或缺的工作之一，而「存取控制」更是各項系統所必要的安全控制措施，希望透過連續二篇文章的說明，可協助您制訂組織的良好存取控制政策，並了解適當可行的存取控制方法。(本文刊載於2011年7月號網管人雜誌)

[參考資料]

ISO/IEC 27001:2005
ISO/IEC 27002:2005

舊留言存檔

以下留言轉存自原 Blogger 網站，僅供存檔，無法回覆。

Blogger（2011-11-09）

hi, 拜讀您一系列ISO 27001的法規介紹, 深入淺出的文字說明著實讓小弟獲益不少, 果然理論尚須佐以實務經驗, 不知道針對附錄A.10.3-A.10.8的控制要項, 您是否有意願補完呢? thx

傑克小花（2011-11-09）

Hello~您好~ 呵~感謝您的回覆，我還以為沒有人在看，所以不會被發現少了一篇，如果這些文章對您有幫助的話，我很樂意分享給您~

Blogger（2011-11-10）

您謙虛了！對自行準備證照的我們來說，文章中的 "目標要求" 與 "實務作法" 甚為重要，前者釐清相似性條文實則不同的ISMS要求內容，後者極具參考價值。如果可能，在您時間允許下，是否考慮將附錄A.12-A.15撰文分享呢，謝謝^^

Blogger（2011-11-10）

抱歉，想請教您，既然ISO 27001中的附錄A中的管制目標與控管項目被視為條文4.2.1(g)的一部分，實務上在執行主導稽核時，何種情況需具體寫出附錄A？可用4.2.1(g)一言以蔽之嗎？又是否針對稽核表的缺失等級或建議事項有所不同呢？謝謝您的答覆。

傑克小花（2011-11-10）

Hello~關於您提到的問題，回覆如下：

後續的內容我會陸續分享，您也可以直接參閱網管人雜誌的內容，這個月剛好就把A.15給講完了。

在稽核時，本文4~8章和附錄A的133項控制措施都是必要的審查項目，不過，附錄A的某些項目是可以排除的，但必須將原因寫在適用性聲明中。舉個例子，像A.10.9.2是線上交易的控制要求，如果貴公司並沒有提供線上交易服務的話，那麼就可以在適用性聲明中以未提供線上交易服務，作為不實施這項控制措施的理由囉~

[觀點] 解析資訊安全控制措施(七) - 存取控制的資安要求(上)

Fri, 09 Sep 2011 06:55:00 +0000

上一期談到了ISO 27001中有關通訊與作業管理的各項控制措施，接下來將說明附錄A.11存取控制的資安要求，包括了使用者的存取管理與應有的安全責任、網路與作業系統的存取控制，以及應用系統的存取控制等。

在協助組織規劃有關資訊安全管理的策略時，經常會提到一個俗稱為「PPT」的思考架構，它是指人員(People)、流程(Process)、技術(Technology)，也就是說在資安管理的要求方面，基本上會涵蓋此三個層面：包括需要依照組織營運目標與資訊安全政策，透過教育訓練來讓所有員工了解並落實其應有的安全責任；依照各單位業務屬性不同，訂立各項安全的作業流程，並留下相關的作業記錄；以及透過各項資安技術的協助，來偵測防禦可能來自內部與外部的各項威脅。

因此，針對資訊的存取控制方面，它也是一個很好的參考指標，像是在人員方面的存取控制要求，我們的思考重點在於如何確保資訊只能讓已經過授權的人員才可存取，如何讓人員了解並落實存取資訊時應盡的使用者責任；在流程方面，則是要確保所有的資訊存取，是否都是基於營運所需的安全要求，是否以文件化方式建立了各項和資訊存取有關的政策；至於在技術方面，針對網路、作業系統與應用系統，是否劃分了安全邊界，是否進行良好的使用者身分識別，並且賦予適當的連線控制，以上這些都是組織資安管理的重點。

存取控制要求的安全層面

關於存取控制的資安要求，包括了使用者存取管理與應負的安全責任、網路與作業系統的存取控制，以及應用系統的存取控制等，在ISO 27001附錄A.11「存取控制」中，一共有七個控制項目來說明其涵蓋的資安控制措施。

A.11.1「存取控制的營運要求」的目標，是要確保各項資訊的存取都能受到適當的控制，以避免濫用或外洩的事件發生。在A.11.1的條款中僅有一項名為「A.11.1.1 存取控制政策」，這項控制措施的目的是要依照營運相關的存取安全要求，建立文件化的存取控制政策，並且在這項政策中明確說明每位使用者和使用群組，應該要如何去配置其應有的存取權限，而這些存取權限的考量，則可能來自於本身的職位或所接觸資訊的安全等級，以及對組織整體的營運風險考量。

在組織之中的存取控制措施，將會牽涉其存取授權的流程，包括如何提出授權的請求、如何審查並賦予權限，以及不需使用時的權限如何移除等。在實務方面，我們在建立存取控制規則時，必須掌握一個原則，那就是「除非允許，否則一律禁止」，這項原則可應用在實體的敏感區域門禁管制，或是邏輯上的防火牆存取規則，將可大幅降低不當的存取設定可能帶來的資安風險。

使用者的安全責任與要求

在A.11.2「使用者存取管理」的控制項目中，目標是要防止未經授權而存取的情況發生，也就是要確保只有經過授權的人員才可以存取資訊。在這個項目中共有四項控制措施，分別說明如下：

A.11.2.1 使用者註冊
這項控制措施是要求所有的使用者在獲得存取資訊的權限之前，必須經過正式的使用者註冊程序，換句話說，若不再需要存取資訊時，也需要經過適當的註銷程序，撤銷其所具有的存取權限。在實務方面，最常見的作法是讓使用者透過表單流程來進行申請，通過審查核可之後，就會賦予其一個唯一的識別帳號(user ID)，藉此來管控並留下其存取資訊的記錄。在審核時要注意的是，所賦予的權限是否符合其職務角色，以避免違反職務區隔的要求，另外，若使用者的職務有所變動，則原先擁有的存取權限應予以凍結或移除，以避免權限過大的情況發生。

A.11.2.2 特權管理
許多組織都依賴資訊系統來維持日常的運作，在這些系統之中會有一些人配置了和一般使用者不同的特殊權限，像是系統開發人員和系統管理人員等，以因應系統的開發與維護。但是，這些特殊權限往往可以不受原本系統的限制與控管，所以在配置時更要小心注意，本項控制措施即是要求組織要限制和控管特權的配置與使用，實務上最簡單的作法就是特權的申請需要經過管理階層授權，並且留下相關記錄，另外，特權的使用也要明訂相關的作業辦法，使用的過程也要保存其系統記錄(log)。

A.11.2.3 使用者密碼管理
在A.11.2.1中提到使用者需要經過正式的註冊程序，才可獲得其專屬可識別的帳號，而搭配帳號所使用的密碼，也會是另一項管理的重點。本項控制措施要求使用者密碼的配置，需要有正式的管理流程來進行控制，也就是說在配置的過程中會有一些安全上的要求，例如有些組織可能會在聘僱時要求員工簽署保密協議，內容包括要求員工不得任意洩露個人的密碼。而在密碼配發過程中，組織應避免採用不安全的方式提供密碼(例如電話告知)，一開始所提供給員工使用的臨時密碼，也要強制其在第一次登入系統時就要馬上進行更改。

A.11.2.4 使用者存取權限的審查
使用者在獲得存取權限的配發之後，將不會是永久不變的，而會隨著其調職、升遷、離職等情況，其權限就需要進行適當的調整。本項控制措施要求管理階層需要定期地針對使用者的存取權限進行正式的審查，因此實務上建議在存取控制政策中即納入組織將定期(例如三個月或半年一次)在使用者的職務變更之後，實施權限審查與重新配置，以維持對於資訊和系統服務存取的有效控制。

一開始提到資訊與系統的存取控管，除了需要考量「流程」、「技術」之外，「人員」也是不可或缺的要素，尤其是目前許多資安事件的發生，多數原因是來自內部人員的控管不當，所以使用者方面的配合落實，將會是強化資訊安全的重要關鍵。在A.11.3「使用者責任」的控制項目中，目標是要防止未經授權的使用者，存取其不允許使用的資訊和資訊設施，以避免其受到損害。在這個項目中共有三項控制措施，分別說明如下：

A.11.3.1 密碼的使用
使用者一旦獲得其系統使用的帳號密碼，在使用方面就需要按照組織要求的安全規定，像是避免使用不安全的懶人密碼，而選用一定長度以上，大小寫數字混合的嚴謹密碼，以及密碼定期的加以變更等。此外，最重要的是使用者必須盡到保管密碼的責任，也就是維持密碼的機密性，要避免將它寫下並放置在桌面上，或是與其他人共用。因此，本項控制措施的重點就是要求使用者需依照安全的方式來選擇並使用其密碼。

A.11.3.2 無人看管的使用者設備
使用者在組織中所使用的資訊設備(例如所配發的個人電腦)，由於自己是資產的保管人，所以大都熟知其資產的保管責任，比較缺乏的是資產所含的資訊安全責任觀念，如果有些設備是屬於無人看管，那麼在安全上面就更容易為人所忽略。本項控制措施要求對於所使用的無人看管設備，也要實施適當的保護，例如一些公共使用的工作站電腦，在一定閒置時間或結束使用時會強制終止其現有連線(session)，或是設定有密碼保護的螢幕保護程式；在其設定的可用時間以外，則使用鑰匙鎖或放置在上鎖的地點，以避免其受到未經授權的使用。

A.11.3.3 桌面淨空與螢幕淨空政策
在辦公區域的使用者桌面上，最常見的資訊就是紙本的文件，以及儲存大量資料的可移除式媒體，如USB隨身碟和行動硬碟等。針對其所包含的敏感資訊，本項控制措施要求採取桌面淨空和螢幕淨空等安全政策，以降低資訊外洩的風險，因此，需要使用者的配合實施來強化其安全管控。舉例來說，像是在相關的作業辦法上明訂，使用者在離開座位時，需要將敏感資訊或儲存媒體收藏在上鎖的抽屜或櫃子等安全地點；暫時不使用個人電腦時，應登出系統或設置螢幕保護程式；若使用印表機列印敏感資訊時，應立即自印表機上方取走等，以上這些都是實務可行的作法。

人員、流程、技術缺一不可

存取控制一向是持續受到重視與討論的資安議題，但依據個人的觀察發現，許多組織在資訊存取控制的實施方面，著重的仍然是資安設備的部署，例如為了防止資料外洩，所以會添購DLP或端點安全等資安產品，利用其對於使用者週邊資料輸出設備的控制，像是禁止使用USB裝置和光碟機等設備，或是監看電子郵件和即時通訊的內容，來達到其所謂控制的目的。

事實上，這些技術方案沒有什麼不好，尤其是在目前資安人力的短缺之下，透過集中化管理技術的協助，可大幅降低資訊管理人員的負擔。只是，為了讓成本與效益最大化，我們可以換個角度來想，如果組織沒有配合明訂相關的資訊存取政策與作業辦法，以及配合使用者的教育訓練宣導等，若只是藉由單點的技術管控，往往很難發揮其應有的效果，更無法發揮技術管控背後的真正意義，因此「PPT」真的缺一不可，提供給各位管理人員作為參考。(本文刊載於2011年6月號網管人雜誌)

ISO/IEC 27001:2005
ISO/IEC 27002:2005

[新聞] 強化 B2B 安全架構的4個層面

Wed, 23 Jun 2010 02:52:00 +0000

在網路世界中，有愈來愈多的商業夥伴，需要透過網路彼此相互連結，並且交換商務資料，因此資訊安全的控管就顯得更加重要。

對B2B業者來說，過去的資料交換介面相當單純，因為不會有太多的設備和應用程式需要聯結溝通，但如今隨著資訊科技的發展，許多重要的應用程式、伺服器和資料庫都需要彼此連結，雖然採用DMZ的佈署方式仍然存在，但卻需要更多有關身分驗證等的安全控制措施。

最近，隨著雲端服務的熱潮，為了控管雲端安全，許多資安技術像是反惡意程式、script分析、url過濾、IPS和web應用層防火牆等，都是許多組織考慮採用的產品，但是針對Web 2.0 App動態產生內容和透過雲端分享的新方法，傳統的資安控制措施不見得是那麼地有效。

針對B2B的資安架構，在CSO Online由Forrester Research分析師Usman Sindhu所發表的一篇文章，針對組織基本的存取控制策略，提到了以下4個層面的安全防護建議：

1. 應用程式存取控制 - 當應用程式和服務存在雲端之上，身分驗證與存取的授權就顯得十分重要，因此透過識別與存取管理(IAM)，能夠去定義身分角色、責任和應用程式存取層級，以控管對關鍵資源的存取。

2. 資料存取控制 - 作者將資料存取控制定義為分享給相關團體時應有的授權過程和資料保護，認為相關技術的採用是因為組織想要對資料進行分類、提取、加密、發現，以及控制誰可存取資料，所以除了技術之外，也需要制定一項政策以針對網路不同存取點來實施權限管理。

3. 網路存取控制 - B2B的互動需要仰賴入侵偵測、入侵防禦系統，以及資安事件管理來消除可能的威脅，所以組織整體的存取控制將可用來啟動B2B環境，針對不同的網路層面和交換介面應有的安全措施。

4. 實體存取控制 - 識別證與監視器已成為許多組織基礎的安控措施，而為了達到實體的安全控管，也有組織採用GPS、RFID、感應器、智慧卡等技術，以連結到使用者進行身分識別，因此基於身分識別的控管方法，將成為實體存取控制的新領域。

以上是B2B基礎安全架構的4個層面，作者認為B2B並沒有一項容易實施的資安解決方案，而是需要多種的技術，在不同層面上進行整合的控管，所以組織需要自行去定義需使用的安全技術，以發展出適合的存取控制安全架構。

參考資料：The 4 tiers of a secure B2B framework

[專題] 談企業面臨的十大網路存取問題

Wed, 25 Nov 2009 14:58:00 +0000

在國際共同遵循的資訊安全管理系統標準ISO 27001中提到，「資訊是企業的重要資產，因此無論資訊以何種型式存在，都必須要加以適當的保護。」當網路成為企業營運重要核心的今天，維護網路運作與資訊存取的安全，已是企業IT部門的重要任務，也是無法卸下的職責。

根據資策會MIC的調查指出，在2007年企業所發生的資安事件類型，以「電腦病毒感染」的比例最高，佔了五成左右，也因為病毒感染容易持續發生，加上電子郵件與即時通訊普遍使用的推波助瀾，使得病毒的擴散速度與感染規模更快更廣，讓企業不得不去重視資訊內容的安全。

過去，企業多半著重在防禦外部的攻擊，而忽略了來自於內部的攻擊，將造成更大的破壞與影響，無論是內部登入的使用者，或是遠端採用VPN連結內部網路的裝置，若系統本身帶有惡意程式像是病毒、蠕蟲、木馬等，很容易就會對整個網路系統造成危害。

另外，目前無線網路幾乎已成為筆記型電腦的標準配備，加上無線網路基地台(AP)的產品愈來愈輕薄小巧，架設容易且隨插即用，使無線網路的不當使用比率也持續攀升，所以該如何防堵非法的網路存取，防止商業機密的外洩，已成為了資訊管理人員另一個頭痛問題。

從資料外洩看網路存取問題

回顧近年來國內外發生的重大資料外洩事件，可以讓我們了解資訊存取控管的重要性，最著名的例子是從2005年7月開始，美國零售業者TJX公司，因為內部的無線網路遭到入侵，至少有長達一年半的時間，歹徒可自由地進出TJX的資料庫，任意竊取客戶的個人資料，造成至少4500萬筆以上的客戶信用卡資料外洩，連帶使得銀行信用卡部門也蒙受巨大的損失。

在日本，根據JNSA的調查資料顯示，2006年日本共有2223萬筆個人資料外洩，其中外洩件數以金融保險業最多，洩漏人數最多的則為製造業、資訊通信業和服務業，其資料外洩的原因除了人為遺失之外，其次是遭竊以及透過P2P檔案交換軟體而洩漏。同年，國內某半導體廠商，也曾因資料存取控管疏失，遭到合作夥伴竊取IC設計資料。

賽門鐵克的「全球網路安全威脅研究報告」則指出，資料外洩導致個人資料遭竊取的原因，其中「不安全的政策」佔了34%，從這些過去發生的事件，我們可以發現，資料外洩多半與非法裝置入侵和不安全的政策有關，尤其是隨著企業組織的成長，面對成千上百個可能連結內部網路的裝置，究竟我們該如何去監控與管理？

依據個人的觀察分析，目前企業組織普遍面臨的網路存取問題，有以下十點：

使用者身份不明 - 難以識別到底是誰(Who)、使用什麼樣的裝置(What)、從何處連上內部網路(Where)。
連線設備的安全性 - 難以確保連上內部網路的裝置，不帶有惡意攻擊程式，如病毒、蠕蟲、木馬等。
缺少嚴謹的授權程序 - 難以規範使用者依照其身份執行應用程式，並且僅能存取符合其權限的資料。
合法使用者的攻擊 - 難以防範已通過身份驗證的使用者，不會成為駭客的跳板，伺機攻擊企業內部網路。
病毒爆發 - 一旦病毒疫情爆發時，缺少有效的控制措施，預先加以防範並隔離。
資料外洩 - 無法完全封鎖可能的資料外洩管道，尤其是針對無線網路設備和USB裝置的使用，缺少有效的管理。
網路環境複雜 - 隨著時間愈久，在疊床架屋的情況下，導致網路架構太過複雜，而且相關網路設備過於老舊，無法支援新的管理模式。
資安政策不明 - 企業普遍有IT人力不足的現象，缺少專業資安人才的協助，不知如何去制定一個適用的資訊安全政策。
預算有限 - 在每年有限的IT預算之下，難以規劃並導入適當的網路存取控制方案。
控管困難 - 隨著分點、使用者人數與裝置作業系統種類繁多，難以有效進行部署控管。

網路存取控制的管理原則

以上所談到的十大問題，其實業界提供了可用的解決方法，可以藉由導入適合的網路存取控制方案(Network Access Control；NAC)，來解決以往面臨的種種難題。

根據國外NWC Analytics的調查指出，驅使企業想要部署網路存取控制方案的前三大原因為：

為了符合網路安全法規的要求。
需針對特定網路資源強制執行存取控制措施。
針對合作夥伴、合約商等難以管理的使用者，加以適當的存取控制。

基本上，網路存取控制的原則就是要確保「只有合法且安全的裝置才能連上內部網路」，因此在制定管理政策方面，有以下幾個重點必須要把握：

連線前，先要證明你是誰 - 使用者和其所使用的裝置，在能夠存取企業網路和相關資源之前，必須要通過身份的驗證，並且確保使用者作業系統的安全性，例如是否安裝了防火牆及防毒軟體、是否更新了系統修補程式(Patch)。

連線中，賦予適當的權限 - 在通過身份驗證之後，依據預先設定的角色(Role)或群組，給予適當的存取權限，限制使用者只能存取符合其角色所需要的資源。

連線後，監控、記錄與稽核 - 管理人員能夠持續監控使用者是否有不當的攻擊行為，在發現攻擊行為時能即時加以阻斷，並且定期稽核歷史記錄，並提供事件回應報告。

網路存取控制的導入建議

一個良好的網路存取控制方案，必須具備三個特質，分別是「簡單、完整、彈性」，它必須能夠將所有不符合安全管理政策的裝置加以隔離，並且拒絕或限制其連結內部網路，直到使用者的裝置更新之後，重新檢測其符合了安全政策的要求，才會允許它連結並使用內部網路。

此外，網路存取控制還必須能夠整合現有的網路環境，減少必須的網路架構變更，以避免不必要的風險與成本，並且能夠在事件發生時，盡快地通報管理人員。換句話說，它對於管理人員最大的幫助，就是能夠簡單掌握用戶端裝置使用網路的現況。

因此，企業在選擇導入網路存取控制方案時，首先需要思考的重點有：

網路存取控制的Agent要如何佈署？是否支援不同作業平台？所支援的防毒軟體與防火牆有哪些？

與企業原有網路架構的相容性？是否支援802.1x？是否支援Windows AD和Radius身份認證？是否需要重新分割VLAN？與IDS/IPS的整合度？能否控管使用者的應用程式(Layer 7)？

隔離之後的處置方式為何？如何引導使用者更新系統？如何重新進行驗證？

現今的網路存取控制方案，可以應用在針對使用者端點安全的要求、訪客裝置的安全管理、VPN使用者連線管理，以及無線網路使用管理等範疇，而且有能力和企業既有的管理政策相結合，以符合未來的成長與法規的要求。所以導入之後所產生的效益，在於能夠保護資訊資產、降低可能的風險、符合法規與稽核要求、改善與維護網路的可用性，以及降低人為的操作疏失。

法規對網路存取控制的要求

近年來，資訊安全已成為世界先進國家重視的焦點，國內政府也大力推動重要的部會單位，需要依據ISO 27001的實施步驟，建立符合標準要求的資訊安全管理系統(ISMS)。

事實上，網路存取控制方案，可協助企業達成ISO 27001中，「A.10通訊與作業管理」和「A.11存取控制」二大控制目標，只要妥善部署了解決方案與安全作業規範，即可達到ISMS驗証與稽核的要求。

另外，如何去評估因網路存取控制不當，造成機密資訊外洩之後，對於企業可能產生的風險與衝擊，也是不可忽視的重要工作，企業應該針對重要關鍵的營運流程，進行營運衝擊分析(Business Impact Assessment)，來評估是否可承受資安事件發生後所造成的營運損失。這一部份可參考最新的營運持續管理標準BS 25999，將資安事件拉高到經營層面來看，對於IT人員在尋求高層人員的支持，以及爭取相關預算，會有實質上的幫助。

總結 - 化被動為主動

在孫子兵法中提到，「困敵之勢，不以戰，損剛益柔。」意思是指堅守住自己的陣地，來讓敵人陷入困境之中，使得原本被動的防守變為主動，網路存取控制的精神，倒是相當符合兵法所隱藏的含意。

面對今日來自四面八方的混合式攻擊與威脅，IT管理人員也必須不斷提升自己，從政策面著手規劃，再搭配適當的技術來加以控管，將非法的或是發動惡意攻擊行為的裝置，即時加以隔離，堅守好內部網路的防護堡壘，以避免可能的資安事件發生。(本文刊載於2008年iThome資安專刊)

[觀點] 從資料竄改事件談網路存取控制

Tue, 27 Oct 2009 06:50:00 +0000

在2007年12月，國稅局有位低階的三職等公務員，竟擁有修改納稅人資料的權限，並且利用查核系統管制上的疏失，涉嫌竄改「稅務電子管理系統」中，包括納稅人的性別、婚姻狀況、親屬等資料，製造出可退稅的資格來詐領退稅款項，不法獲利高達三百多萬元。

若從資安管理的角度來思考，從這個事件中，反映出了以下幾個問題：

納稅人已完成報稅的資料，為何還能夠進行修改？
低職等的人員為何會擁有更高等的權限？
對於重要敏感系統的連線存取，為何沒有適當的管控措施？

一般而言，若是沒有作好網路使用的管制，一旦有人順利進入企業內部，並且發現無人使用的網路插孔，這時候只要將網路線接上可連網的裝置，即可輕鬆連線存取區域網路。如果一些應用系統上面也沒有作好權限控管，或是有員工在網路芳鄰上分享資料，那麼有心人士要取得一些有用的敏感資訊，並不是一件困難的事。

此外，若缺少了適當的網路監控工具，網管人員其實也很難掌握使用者，到底是從什麼地方？利用什麼樣的裝置來連上企業網路？更無法識別使用者的身份來賦予適當的存取權限，或是進一步限制使用者可存取的應用系統。所以，聰明的人，只要利用合法的連接埠或通訊協定，就可繞過網管的限制，而隨心所欲地存取各項網路資源。

網路存取控制基本架構

過去，企業多半著重在防禦外部的攻擊，以為部署了防火牆或入侵偵測防禦等系統，就等於作好了資安防護工作，而忽略了來自於內部的非法連線或惡意存取，將會造成更大的破壞與影響。如今，隨著各家廠商的努力研發，網路存取控制(Network Access Control；NAC)方案已經有了不同的面貌，透過多層次的安全架構與彈性的佈署方式，可以有效驗證網路使用者的身份，並且透過政策(Policy)的設定，來控管使用者僅具有適當的存取權限，以預防可能的資安事件發生。

目前，NAC還不算是一個業界標準，因此屬於同樣類型的解決方案，還有其他的說法像是：UAC、NAP等，但基本上它們目的都是相同的，如果要用一句話來形容網路存取控制的目標，那就是「必須確保只有合法且安全的裝置，在給予適當的權限之後，才允許它連上內部網路。」此處的合法，指的是必須要「經過身份驗證」，而安全則是要求符合預設的政策，像是「確認連線裝置已安裝系統修補程式、防毒軟體和防火牆等」。

歸結起來，一個網路存取控制方案的架構，基本上有三個主要的元件，各自負責不同的任務，簡要說明如下：

Agent - 必須要安裝在每一台電腦上，用來收集使用者端連線裝置的資訊，確保系統安裝了安全防護軟體，並且已修補了系統漏洞。通常網管人員一聽到Agent，直接聯想到的就是佈署上面的問題，目前NAC的Agent主要是透過使用者以瀏覽器啟動Active X方式來安裝，避免需要耗費人工安裝的問題，不過若是Windows以外的系統，有些就必須以人工來安裝。如果在某些情況下無法安裝Agent，也有所謂Agentless的方式，可透過AD的管理者權限，或是以掃瞄的方式來收集使用者端的資訊，但其缺點則為耗時且功能不夠完整。

Enforcement - 通常Enforcement可由DHCP、Gateway或Switch來擔任，其他支援802.1x的網路設備也能一起協助把關，它是網路裝置連線後會遇見的第一道關卡，負責檢查使用者的電腦狀態是否合乎安全政策的要求，就如同入境時進海關一樣，會要求旅客必須出示證件來證明其身份，並且檢查有無攜帶違禁品。如果一切合格之後，它會詢問Policy Server要開放何種權限給使用者，可以通行到哪裡？如果不合格，就會把使用者請到小房間裡隔離起來，作更進一步的要求與確認，等到更新之後且合乎了政策的要求，才會允許進入。

Policy Server - 主要儲存規範使用者行為與權限的安全政策，並且協助使用者和AD或RADIUS來進行身份驗證，在Policy Server中定義了每個角色(Role)具備什麼權限？可以使用哪些應用程式？可以存取哪個網段的應用系統？

適合導入產業與部署建議

企業想要做好網路存取控制，主要的目的就是為了分辨合法或非法裝置、控管存取權限，以及確定連線裝置是安全的。當然，在不同的產業，對於網路存取控制有不同的需求，依照個人的觀察，適合導入網路存取控制的產業，通常具有以下特徵：

分點過多且有遠端存取需求
要求訪客的電腦安全
高度資料保密
具有研發部門
要求存取權限區隔

至於在部署的考量方面，企業需要事先評估的項目有：

支援度 - 需考慮不同系統平台的Agent部署方式，評估要採取事先安裝、遠端安裝，或是不安裝agent來進行。另外，要考慮是否支援目前的身份驗證方式，像是支援AD、LDAP和RADIUS，還有是否支援所使用的防毒軟體等。
相容性 - 部署前需要評估和網路架構的相容性，若是採用802.1x方式，則需要評估設備是否能支援運作。另外，也要考慮應用程式的相容性問題，確保企業內部客製化的應用程式，在NAC的架構上也能夠順暢使用。
隔離處置方式 - 需要了解使用者若是不符合政策要求，到底是如何被隔離的？是否被隔離在不同的網段，以及要如何引導使用者進行更新？必須有明確的指示可協助使用者在更新完成之後，能夠順利再次登入網路。

以逸待勞是最佳防禦方式

讓我們回到一開始提到的竄改納稅人資料事件，如果事先部署了適當的網路存取控制措施，就可以避免不具權限的人去連線存取敏感資料。不過，網路存取控制並不是萬靈丹，如果使用者透過其他方式取得了合法身份，依然可循正常的管道來從事非法竊取資料的行為。

因此，今日的資安工作，應該藉由管理面和技術面共同著手，在管理方面，先從制訂存取政策與作業流程開始，要求除非獲得授權許可，否則一律禁止存取敏感資料；至於在技術方面，可強制進行身份驗證，設定強而有力的密碼設定規則，這會是一種有效的補強性控制措施。而藉由NAC的協助，還可以同時防止非法的網路連線存取，並阻隔惡意程式從內部爆發的問題。(本文刊載於2008年6月號網管人雜誌)