产业电子化课程课件.ppt

1、Ch14：資訊管理的安全與保護觀點祝天雄 博士100.07.本章大綱o 14.1 組織的資訊安全議題o 14.2 防火牆與網路安全o 14.3 資訊的加密系統與數位簽章o 14.4 組織整體的資訊安全管理系統：ISO27001架構前言o E化的結果，組織內許多有價值之資訊以數位形式保存。o Internet開放的特性。o 資訊安全成為重要議題。314.1 組織的資訊安全議題(1/17)o 根據針對美國財星雜誌(Money)五百大企業的資訊安全調查報告發現：n 60%企業皆曾遇過未經授權而資訊系統被使用的情形。n 77%發現到電腦安全入侵事件。n 74%企業表示受攻擊的來源點是網際網路連線。n

2、近30%受訪者表示沒有能力察覺資訊安全事件的來源。o 因此，在e化的網路時代，組織的資訊安全便成為了一個非常重要的議題。組織的資訊安全議題(2/17)o 組織資訊安全的主要議題組織的資訊安全議題(3/17)組織資訊安全的環境與背景o 企業電腦化之普及所潛藏之危機n 犯罪並不一定要實際侵入實體的組織內部作業，而只要透過電腦系統的入侵就可以輕而易舉地得到重要的資產與資訊。o Internet的開放性n Internet其本身是開放、公開、相互連結的。因此，世界上任何人都可上網，只要你能力夠強，就有可能入侵他人的系統。o 匿名性與距離性n 犯罪者人在何處？是誰在網路的另一端敲鍵盤？相對於實體就較難以

3、追查。此外，網路入侵也較容易消滅或偽裝數位化證據，因此就更難查證。組織的資訊安全議題(4/17)o犯罪速度快、容易複製、波及面大n由於許多電腦犯罪的行動，例如病毒的傳播，其攻擊方式可以藉由非常容易的大量複製，透過相互連結網路傳遞的漣波效應，更加擴大打擊面。此外，電腦的破壞、資訊的盜取或是金錢的移轉等犯罪行為，常常在幾分鐘、甚至幾秒鐘內就可以完成。o電腦犯罪容易潛伏及隱藏n例如程式中的邏輯炸彈潛藏在合法的程式中，待適當的時機再行破壞，如此一來，已失最佳防堵的時機，在蒐證上更行困難。o法律的周延性不足n目前許多犯罪的法律，都只沿用實體犯罪的法律規範，辦案者也都非資訊專業人員，且法律規定亦跟不上這類

4、層出不窮的電腦犯罪手法。組織的資訊安全議題(5/17)o組織資訊安全的漏洞與弱點n除上述的外部環境之外，也由於組織的資訊系統先天上有許多安全的漏洞，或稱之為弱點(Vulnerabilities)，因此很容易遭受犯罪者入侵。o 作業系統本身的弱點n 不管是Windows或Linux系統，本身在安全上都有漏洞，例如Windows上的IIS、IE、SQL Server、UNIX的RPC、Apache Web Server、Sendmail等系統。o 通訊協定本身的弱點n 現行Internet上所使用的通訊協定，由於當初在設計時，並沒有考慮安全的問題，因此在通訊協定內並沒有置入嚴密的安全保護機制，所以

5、也存在了許多弱點。組織的資訊安全議題(6/17)o 網路軟體上的弱點n 例如網站郵件伺服器、檔案伺服器，也常常在設計當初或新增功能與服務時，並未周延考慮安全防禦，因此也存在著許多弱點。o 管理制度上的弱點n 組織常常並沒有制訂周延的安全防禦機制，包括資訊安全教育、資訊安全政策、資訊安管措施等措施，因此，也會產生許多管理制度上的弱點與漏洞。o 人員的弱點n 許多組織內部的員工，由於各種不同的動機，也常常會進入企業內部資訊系統內進行電腦犯罪(Computer Crime)的行為產生，一般來講內賊難防，因此，此為組織最常遭受到的攻擊點。組織的資訊安全議題(7/17)o 網路安全的服務與目標n 安全隱

6、密性(Confidentiality)：指的是當資料傳遞時，除了被授權的人，不會受到外力的擷取。n 身分認證性(Authentication)：指的是當傳送方送出資訊時，就必須能確認傳送者的身分是否為冒名。n 資料的完整性(Integrity)：指的是當資料送達時必須保證資料沒有被篡改的疑慮。n 授權性(Authorization)：使用者只能擷取被授權部分的資訊。n 不可否認性(Non-Repudiation)：使用者已使用或接受某項服務（例如下訂單）時，不能否認其未使用過。組織的資訊安全議題(8/17)o網路安全的威脅與攻擊的模式n網路上的主要攻擊模式o 電腦病毒(Virus)的散布：電腦

7、病毒可能會自行複製，或更改應用軟體或系統的可執行元件，或是刪除檔案、更改資料、拒絕提供服務，其常伴隨著電子郵件，藉由文件檔或執行檔的巨集指令來散布。o 阻絕服務(DoS)：指系統或應用程式的存取被中斷或是阻止，讓使用者無法獲得服務。例如利用大量郵件炸彈塞爆企業的郵件伺服器，或藉由許多他人電腦送出http的請求而癱瘓Web Server。o 後門或特洛伊木馬程式：指未經授權的程式，可以透過合法程式的掩護，而偽裝成經過授權的流程，來執行程式。組織的資訊安全議題(9/17)o 竊聽(Sniffer)：指的是：使用者之識別資料或其他機密資料，在網路傳輸過程中被非法的第三者得知或取得重要的機密資訊。o

8、偽裝(Masquerade)：指攻擊者假裝是某合法使用者，而獲得使用權限。例如偽裝別人的名義傳送電子郵件，或偽裝官方的網站來騙取使用者的帳號與密碼。o 資料篡改(Data Manipulation)：指儲存或傳輸中的資料，其完整性被毀壞。o 否認(Repudiation)：使用者拒絕承認曾使用過某一電腦或網路資源，或曾寄出（收到）某一文件。例如價格突然大跌。o 網路釣魚(Phising)：此法主要是建立色情網站或者虛設、仿冒的網路商店，引誘網友線上消費，並輸入信用卡卡號與密碼，以此來輕易獲取網友的機密資料。組織的資訊安全議題(10/17)o 雙面惡魔(Evil Twins)：其是網路釣魚法另一

9、種方式，指的是一種常出現在機場、旅館、咖啡廳假裝可提供正當無線網路連結到Internet的應用服務，當使用者不知情登上此網路時，就會被竊取其密碼或信用卡資訊。o 網址轉嫁連結(Pharming)：犯罪者常侵入ISP的伺服器中修改內部IP的資訊並將其轉接到犯罪者偽造的網站，所以即使使用者鍵入正確的IP也會透過轉接到犯罪者的網站，而被擷取資訊。o 點擊詐欺(Click Fraud)：許多網路上的廣告例如Google，是靠點擊次數來計費(Pay by Click)，但某些不法網站利用軟體程式或大量中毒的殭屍網站(Zomhies)不法的去點擊廣告，造成廣告商對這些大量非真正消費者的點擊來付費，或者有的

10、犯罪者故意大量去點擊競爭對手的廣告，讓其增加無謂的廣告費用。組織的資訊安全議題(11/17)o Rootkits：是指一堆能竊取密碼、監聽網路流量、留下後門並能抹掉入侵系統的相關記錄以及隱藏自己行蹤的程式集，為木馬程式的一種。如果入侵者在系統中成功植入 Rootkits，一般人將很難發現已經被入侵，對於入侵者來說，就能輕易控制系統，而且通行無阻。圖14-2 Web-based 系統各環節的資安威脅組織的資訊安全議題(12/17)o當代網路安全的重要趨勢與主要挑戰n網路門戶開放安全危機大o 病毒可以透過超文件傳輸協定(HTTP)的特殊連接埠(port:80)建立與企業網頁伺服器的連結，進行破壞。

11、o 病毒可以透過寄信通訊協定(SMTP)，進行惡意的郵件轉發，造成企業網路頻寬與郵件伺服器的傷害。o 病毒可以任意更改網域名稱系統(DNS)，使企業內部的網域名稱與IP位置無法順利相互映射，影響企業網路運作。n系統漏洞數量大o 根據軟體安全研究機構Secunia與賽門鐵克(Simetech)所公布2007年安全漏洞報告中，針對瀏覽器、瀏覽器外掛、作業系統、企業版防毒等軟體，總共發現有4690個安全漏洞。有72%的安全漏洞極為可能被攻擊者利用來入侵系統。組織的資訊安全議題(13/17)n病毒的製造與變種更快o 2004年後網路上的大病毒一再的變種，Sasser有22種、Netsky有87種、My

12、Doom有99種，使得對於這些病毒的防制更加困難。nWorm與Bot的聯手攻擊o Botnet又稱傀儡程式(Bot)或受控制的網路系統或僵屍網路(Zombies)，指的是：一群已經被駭客入侵並控制的電腦所組成的攻擊網路（有些數目多達10萬台），這些僵屍已經在數位戰場上集結，等待駭客指揮官從遠端下達攻擊指令、進行攻擊，這種集結所形成的攻擊力量非常駭人，包括引發洪水般的分散式阻絕服務攻擊(Distributed DoS,DDoS)的大量寄發、難以追蹤的垃圾郵件(SPAM)或是大量散布惡意程式(Malicious Code)。組織的資訊安全議題(14/17)nDDos的威脅加大o蠕蟲是透過E-Mai

13、l在網路上大量傳播的病毒，例如Netsky與Bagle。Worm與Bot最近發展出了下列兩種聯手攻擊的方式：nWorm散布Bot：亦即駭客使用Worm來散布Bot，僅僅一隻發信Worm便可以將Bot傳播到數以千計的Botnet。nBot散布Worm，Worm再散布Bot的持續循環：例如2004年的Netsky與Bagle變種版本是利用Bot散布Worm，入侵攻陷後，再由Worm散布及植入更多的Bot，如此所形成的散布循環，其波及的威力可想而知。n無線手機的攻擊o手機的病毒威脅o手機與電腦同時下毒o簡訊網釣(SMiShing)組織的資訊安全議題(15/17)nWeb 2.0的攻擊oAJAX可被攻

14、擊者編寫惡意鏈結，使用戶端的瀏覽器去特定網頁，造成電腦破壞。o利用RSS feed檔案中插入惡意JavaScript程式，可在用戶端非法安裝軟體或是竊取Cookies資訊。n網路釣魚客的猖獗o網路釣魚，即利用虛設或仿冒的網站以超低價或誘人的免費贈品來引誘消費者上網登錄個人私密資料或進行採購行為，利用此手法來釣到受害者的個人機密或金錢的一種電腦犯罪行為，其不僅傷害個人，也傷害被仿冒的企業名聲。o主要有下列三種型態：nWeb型nDM型n賀卡型當代網路安全的重要趨勢與主要挑戰(2/2)o 無線手機的攻擊(Cell Phone Attack)o Web 2.0的攻擊(Web 2.0 Attack)：的

15、社交網站面臨更多安全問題o 雲端運算架構上的攻擊(Cloud Computing Aetach)o 網路釣魚客的猖獗o 間諜軟體與惡意程式的猖獗o 惡意的SPAMo 社交工程的攻擊組織的資訊安全議題(16/17)o2007年約有196860個不同的網路釣魚攻擊訊息，平均每天攔截到1250萬封的釣魚郵件。o被冒用來作為釣魚攻擊誘餌的企業或品牌中，有79%為金融財務單位。o網路釣魚攻擊的目標以拍賣網站如eBay為首要。n間諜軟體的猖獗o間諜軟體是一個廣泛的名詞，泛指所有快速繁殖，且能夠巧妙滲入PC的合法廣告軟體，以及具有明顯惡意的工具，例如鍵盤側錄器，其又被稱之為可能不需要的程式(PUPs)。n惡

16、意的SPAMo上述PUPs整合SPAM就稱為惡意的SPAM。根據資安人雜誌2007年的報告，在所監測到的E-Mail流量中，有61%被歸類為垃圾郵件。平均每攔截到233封垃圾郵件中，就有一封是帶有惡意程式。圖14-3 網路安全的新威脅與挑戰組織的資訊安全議題(17/17)o 網路安全的主要防護機制14.2 防火牆與網路安全(1/4)o 防火牆的基本概念n 防火牆(Firewall)顧名思義就是防止網際網路上的危險延伸到企業內部網路。圖14-4為其基本架構，防火牆介於網際網路和企業內部網路相連結之間。所以網際網路和企業內部網路兩者之間的傳輸，均需經過防火牆，如此防火牆可先檢查傳輸的合法性，若是合

17、法，傳輸連結方能送達目的地。防火牆與網路安全(2/4)o 防火牆的技術與架構n 封包過濾型o 以封包過濾方式的防火牆，檢查往來的封包，依據封包的標頭資訊，以及該企業制定的安全策略，決定封包之合法性。屏障式路由器就是一種以封包過濾方式的防火牆。n 代理者型o 以代理者方式的防火牆主機，可以是含有兩個網路介面卡的主機。一個介面連接網際網路；另一個連接內部網路。兩者並非直接相連，連結要求必須經過合法檢驗。這種防火牆也被稱之為應用閘道。防火牆與網路安全(3/4)o 防火牆的基本目標n 過濾封包以阻止網路駭客的入侵。n 作為所有封包進出的門戶，方便管理者集中式的管理。n 過濾系統安全政策所禁止的網路服務

18、。n 保護企業內部網路，避免來自網際網路的入侵。n 當外部使用者存取高度機密檔案時，先加以記錄並通知系統管理者。n 調節網路交通流量。防火牆與網路安全(4/4)o 防火牆的主要問題n 較難提供全面性的安全n 無法提供資料隱密性n 無法確認資料來源的認證性n 無法預防內部威脅n 無法保護那些不經過防火牆的網路連結14.3 資訊的加密系統與數位簽章(1/8)o資訊加密的主要機制n加密：將原始文件轉換成亂碼，而唯有使用解密的金鑰(Key)才能讀出原文的程序。資訊的加密系統與數位簽章(2/8)nKey：一長串的文字、符號、數字的組合，用其來轉換原始的文件，使得原始文件變成亂碼。n對稱式加密法：為傳統的

19、加密法，其特色是買賣雙方同時持有一個同樣的 Key 來加密和解密，所使用的Key稱為秘密金鑰(Secret Key)。但 Secret Key有一個很大的問題，如每個企業對業務往來的對象都有不同的Key，且常常要換（甚至每個交易都要換），造成管理上非常複雜、成本很高。n非對稱式加密法，稱之為公鑰的基礎設施(PKI)。此法的特色主要是使用兩把對應配對的Key，即公鑰(Public Key)與私鑰(Private Key)，互相可加密解密對方。圖14-6 非對稱式的加密法資訊的加密系統與數位簽章(3/8)o 數位簽章與資訊安全n 數位簽章(DS)，是利用PKI的機制來保護資料傳遞的隱密性與不可否認

20、性的一種通訊安全機制。而支援數位簽章的主要機制，包括下列幾點：o 碎映函式，是對於任一長度的訊息，將其映射成一個固定長度（例如128 Bits）的數值。o 數位簽章，指傳送者將文件經特別碎映函式運算後產生一獨特的號碼(128 Bits)，稱之為訊息摘要，再利用傳送方的Private Key對此摘要加密，謂之數位簽章(DS)。圖14-7 數位簽章流程圖資訊的加密系統與數位簽章(4/8)o 電子認證中心(CA)，指一個有公信力的第三者，如財團法人、銀行、信用卡公司等等。消費者、廠商、銀行之所以可以非常放心地在EC上交易，是因為這些廠商或消費者已通過上述有公信力的第三者審核，是規規矩矩的企業、銀行、

21、消費者。CA最主要的任務是管理買賣雙方的認證問題，包括發放、儲存及管理註冊者的電子證書、Public Key及個人資料，使用者要先註冊登記，取得電子憑證。圖14-8 電子憑證的主要內容資訊的加密系統與數位簽章(5/8)o 安全電子交易協定(SET)，是 Visa 與 Master Card 兩大信用卡組織並結合 IBM、Microsoft、Netscape 等公司於1996年2月協議發展出在 Internet 上以信用卡付款方式的安全交易協定，是一個整合利用加密、Public Key/Private Key、數位簽章、認證中心等機制，用以保護買賣雙方資料傳遞的隱密性、安全性與確認性。資訊的加密

22、系統與數位簽章(6/8)o數位信封與SSLn數位信封o 是指利用速度較快、較不安全的對稱式加密法的秘密金鑰來對大量的文章內容加密，之後利用較安全的PKI來對秘密金鑰加密（由於其數量很小，因此不會妨害速度），而其主要的利用方法即是所謂的SSL。nSSLo 此為數位信封的應用，其是目前最被普及利用的安全機制，主要的安全防護程序如下：n Server端將自己由CA所發給的電子憑證傳送給Client端。n Client端的Browser，其儲存有世界主要CA的公鑰，可利用此來解開Server的電子憑證，取得其內部的企業資訊與其公鑰。資訊的加密系統與數位簽章(7/8)n Client端的IE會隨機產生一

23、個對稱式的秘密金鑰，SSL利用此金鑰對內文（信用卡號或訂單）加密，再利用Server端的公鑰對秘密金鑰加密，形成數位信封。n Client端將密文（信用卡號）與數位信封（亦即利用企業公鑰加密保護的秘密金鑰），一起傳送給Server。n Server端以自己的私鑰解開數位信封內的秘密金鑰，再以秘密金鑰解開內文（亦即信用卡資料）。o 由以上的說明可知，SSL只對Server端有進行CA的認證，但並沒有對Client端的消費者進行認證，因此其可說是半個PKI與SET。資訊的加密系統與數位簽章(8/8)14.4 組織整體的資訊安全管理系統：ISO27001架構(1/6)o ISO27001的主要控管架

24、構n 目前國際間最知名、最普遍被採用的資訊安全規範就是所謂的 ISO27001（原來稱為BS7799）標準，2005年被ISO接受改名為ISO27001。o 資安的政策與組織構面n 資訊安全政策o 主要的目的在於明確並廣泛陳述組織資安的願景與方向。資訊安全政策可以形成企業由上而下的安全共識；此外這項政策是一個企業ISMS的最高指揮方針，並以此方針來規範以下其他所有的控管作業。圖14-10 ISO27001的主要11個資安架構表14-2 ISO27001的主要11個資安控管要項組織整體的資訊安全管理系統：ISO27001架構(2/6)n安全組織(Security Organization)o資訊

25、安全的推動，必須要有適當的組織架構來支援。分為下列兩種組織：n內部安全組織：此部分的主要控管作業包括管理單位對資安的承諾、資安工作的協調、責任的配置、授權的程序、保密的協議、獨立的資安審查等。n外部安全組織：主要工作是當資安工作委外給資訊安全管理提供者(MSSP)，如何識別與管理中間的風險，雙方安全如何分工與管理等都是這個層面所需要考慮的。n資產管理(Asset Management)o資產責任o資產風險分類：將資訊資產分類，目的在於顯現出組織重視資訊資產的保護，並且依優先權不同的資訊資產給予適當安全措施。組織整體的資訊安全管理系統：ISO27001架構(3/6)o 資安的作業控管面n 人員安

26、全的明定(Personnel Security)o 人員聘僱之前o 聘僱期間o 聘僱終止或變更：此時要有清楚的程序來移除其 IS的存取權限，終止其職責與歸還資產等，不讓其有機會與權限破壞組織資安的機會。n 實體與環境安全o 實體環境o 設備的安全管理組織整體的資訊安全管理系統：ISO27001架構(4/6)n 通信與操作管理o 網路安全與惡意的防範。網路安全控制包含三種安全控制措施：防火牆、網路安全入侵偵測系統及防毒軟體，所謂的入侵偵測系統，是指確認可疑的存取與使用特徵，或發現有未授權存取的跡象時，用警報信號來通知安全人員有關入侵的發生。o 作業程序管理 o 電子商務管理o 監控組織整體的資訊

27、安全管理系統：ISO27001架構(5/6)n系統的獲取開發與維護o 主要是在系統的開發與維護中，就要考慮IS的安全，並將安全機制內建在IS中；主要控管作業包括：n 開發與維護過程的安全控管：防止開發人員方便的侵害系統並確認系統程式無後門等不法侵入機會。n 應用系統的正確處理：系統的輸入、處理、輸出等資料，都要嚴謹的再確認與稽核程序。n 系統檔案的安全控管。n資訊與系統的存取控制(Access Control)n使用者的存取控制n資料的有效控制n網路的有效控制組織整體的資訊安全管理系統：ISO27001架構(6/6)o反應與回復面n企業永續運作管理o 即當組織遇到影響或中斷企業核心運作的天然與人為的災害時，須建立正確步驟、流程，以及必要的備份資源，以確保企業能在第一時間回復營運，將損失減到最低。n資訊安全事件管理o 當組織碰到天然或人為的安全事件發生時，為了降低損害、減低衝擊所執行一序列的流程。n遵行(Compliance)與稽核o 即上述各控管作業，在不違反法律的情況下，員工都能確實的遵行，而不只是喊喊口號，因此組織內部或外部認證單位要不定時的進行稽核查證的工作。組織也要制定獎懲制度。