1. 主 題 網站資訊安全之檢討與加強措施
  2. 日 期 2017-05-23NEW!
  3. 內 容 壹、前言
    行政院國家資通安全會報於九十一年八月發布警訊,中國大陸駭客自九十年十一月至九十一年七月間,透過電信業者之備用主機為跳板、入侵政府機關網站,竊取機密性資料。行政院因此下函各機關應重視資訊安全,與本案相關之部會主管應特別加強督導。 隨著網路技術與通訊科技不斷地推陳出新,無論是公營機關或私人企業,均有可能面臨資訊安全的衝擊:不僅是機關的正常運作的永續經營受到影響,甚或國家的安全亦受到威脅。本案的發生不但發出警訊,更暴露資訊安全的漏洞與疏失,如何加強資訊安全工作
    貳、駭客入侵方式
    本案發生後:刑事局偵九隊等單位緊急派員在被入侵之電腦內加灌防堵駭客程式,隔絕對外網路,以防範再度入侵。駭客入侵方式如下:
    一、 駭客利用系統弱點如微軟iis入侵備份主機系統,並在此主機內植入後門程式,建立入侵基地。
    二、 駭客由此入侵基地利用所植入之後門程式,以密碼猜測的方法嘗試入侵所連接的客戶主機。
    三、 一旦入侵成功即為客戶主機的合法使用者,甚或取得客戶主機系統管理者的讀取權限,即在客戶主機內蒐集讀取所需要的資料,並將之傳回入侵基地。
    四、 入侵基地的後門程式將收集到的資料傳回駭客,並在攻擊基地清除入侵的痕跡與證據。
    參、檢討與加弱防範措施
    一、 相關被入侵之機關網站末確實依據﹁行政院及所屬各機關資訊安全管理要點第渠章網路安全管理第二十二、二十三、.二十四及二十六點之規定,對重要性、機密性資料嚴加管理,以致造成機密資料外洩。其次被入侵主機之測試帳號均甚簡單,例如通行碼及密碼多設成12345或原來設定的帳號(如webmaSter、ftp、administrator、account、root、Web、admin等)。駭客因此取得這些主機通行碼/密碼,顯然係管理者警覺性不足,而予入侵機會,應引以為鑑。前述相關要點如下
    二十二、各機關利用公眾網路傳送資訊或進行交易處理.應評估可能之安全風險;確定資料傳輸具完整性、機密性、身分鑑別及不可否認性等安全需求:並針對資料傳輸、撥接線路.網路線路與設備、接外連接介面及路由器等事項,研擬要適的安全控管措施。
    二十三、各機關開放外界連線作業之資訊系統.應視資料及系統之重要性及價值,採用資料加密、身分鑑別、電子簽章、防火牆及安全漏洞偵測等不同安全等級之技術或措施,防止資料及系統被侵入、破壞、竄改、刪除及未經授權之存取。
    二十四、各機關與外界網路連接之網點,應以防火牆及其他必要安全設施,控管外界與機關內部網路之資料傳輸與資源存取。
    二十六、各機關利用網際網路及全球資訊網公布及流通資訊,應實施資料安全等級評估,機密性、敏感性及未經當事人同意之個人隱私資料及文件,不得上網公布。機關網站存有個人資料及檔案者,應加強安全保護措施,防止個人隱私資料遭不當或不必之竊取使用。
    二、 本案經檢討後建議加強以下防範措施:
    (一)全面檢討網路及系統安全性,針對漏洞追蹤改善:
    立即協調資訊單位檢查所有服務主機,並依特性分別訂定安全等級。
    上建議視資訊系統建置情形指派管理人員依安全等級定期記錄檢查。
    (二)成立網路安全小組:訂定主機安全等級,加強資訊安全稽核。
    (三)資訊單位定期進行弱點掃瞄,至少每季或半年做一次通盤性弱點掃瞄。對較嚴重的特定弱點或病毒下則不定期依需要掃瞄。
    (四)加強宣導二般人員對資訊安全的認知:個人電腦應安裝防毒軟體。不隨便開啟來路不明的E-mail或下載來路不明的檔案。
    (五)提升系統管理人員資訊安全管理能力:主機建立系統稽核檔,避免被植入後門或木馬程式,即時更新作業系統及應用程式之修補程式。注意網路上相關安全議題,及早防範。並按時分析系統紀錄檔。加強系統管理者對主機系統紀錄之解讀能力。
    (六)加強網路安全管理:採用防火牆保護。隔離外部及內部網路,且避免攻擊者以間接方式入侵內部網路。開放外界連線使用之資訊系統,儘可能以代理伺服器。
    (七)落實系統取存控制:系統存取權限應嚴格控管。且使用者帳號密碼應定期更新,且不得使用不安全密碼。需以遠端登錄方式維護之主機,需限制存取清單,並加強控管。
    (八)存放機密性:敏感性資料電腦主機不可連接到網際網路。
    (九)資訊系統安全等級的分類,加強資通安全軟硬體環境建置,將重要的資訊系統或資料從網際網路隔離出來。
    肆、政風單位之角色
    一、 依據「行政院所屬各機關資訊安全管理要點」第肆章第九點及第十點之規定,政風單位負責辦理資訊機密維護及稽核使用管理事項;以及實施外部稽核之會同辦理單位。於網路安全方面扮演三個角色功能:
    (二)宣導功能:不定期提醒各單位重視網路安全。
    (三)推動功能:推動資訊稽核小組及各相關單位確實實施網路安全查核。
    (四)協調處理功能:事件發生時應立即協調相關單位處理,對警調單位可以發揮聯繫協調處理之功能,並釐清責任界限,另督促辦理應興應革事項,防範類似事件再度發生。
    一、 各機構應加強資訊安全管理與稽核,對於應改善者予以追踩複檢。又鑒於遭駭客入侵之備用主機系統疏於管理,各系統宜建立設備清單列為查核重點,並經設備管埋人員及其主管簽認,以確認各系統的相關設備均有專人管理及督導,而防範類似事件再度發生。
    伍、建議事項:
    一、 政府機關儘可能採用虛擬專屬網路Q︵VPN︶方式建置網路,透過主管機關連接至網際網路,降低危險性。
    Page 5 of 9
    二、 對於無資訊人力之基層政府單位,儘可能不要在網際網路上自建網站,避免被入侵或成為攻擊之跳板。
    三、 政府機關委託學術研究單位的研究計畫,對於敏感文件處理、交付及儲存方式,應於合約內註明,避免造成困擾。
    四、 密碼設定過於簡單或使用初始預設值者,應全面清查督導改善。
    陸、結語
    資訊安全工作因系統不斷更新,會有新的安全漏洞或弱點出現,要防範所有的漏洞或弱點相當困難,各機關必須注意可能出現的危機癥派與異常活動報告,積極防範事件發生;政風單位對於資訊安全相關法、技術標準及規範等,應持續右我充實,以善盡在資訊安全中扮演的角色。
    備註:
    後門程式: 由系統開發人員所檀人之程式以供曰後方便維護系統之用途,惟往往被駭客等有心人士利用非法存取。
    通行碼: 通常在登入系統時所需輸入的字元序列,以作為鑑別身分之用途。
    密碼: 應與通行碼相似。
    資料加密: 利用數學方法將資料內容轉換成亂碼形式,使偷窺者無法輕易解讀文件內容。
    身分鑑別: 用來證明使用者所宣稱身分之程序。
    電子簽章: 依附在電子文件並與其相關連,可用以確認電子文件簽署入身分及電子文件真偽。
    防火牆: 透過安全檢查機制來防護可信賴網域:可有效隔離蔓延速度。
    安全漏洞偵測:通常是利用軟體掃瞄程式找出系統在設計或建置上等等所造成的缺失。
    弱點掃瞄: 利用掃瞄程式找出系統親有的弱點與安全漏洞。
    木馬程式: 由惡意人士所植入之程式以供日後方便入侵系統之用途。
    虛擬專屬網路(VPN,Virtual Privacy Network) 在較不安全的公眾網路上利用資訊安全技術建立一個安全度高的虛擬化專用網路。