资讯管理的安全与保护观点.ppt

第14章 資訊管理的安全與保護觀點,本章大綱,組織的資訊安全議題 防火牆與網路安全 資訊的加密系統與數位簽章 組織整體的資訊安全管理系統：ISO27001架構,組織的資訊安全議題(1/2),Symantec針對亞太地區2010年的資訊安全調查報告發現： 2009年有超過75%的企業機構在過去曾經受過駭客的攻擊。 在這些攻擊中，前三位最嚴重的損失報告，分別為知識產權盜竊、客戶信用卡或其他財務資訊盜竊，以及客戶個人身份資料被盜。 亞太區企業為對抗駭客攻擊，每年需要投入平均高達763,000美元。,組織的資訊安全議題(2/2),組織資訊安全的主要議題 組織資訊安全的環境與背景 組織資訊安全的漏洞與弱點 網路安全的服務與目標 網路安全的威脅與攻擊的模式 當代網路安全的重要趨勢與主要挑戰 網路安全的主要防護機制,圖14-1 資訊安全的主要議題與架構,組織資訊安全的環境與背景,首先在資安的環境與背景方面，影響犯罪普及的主要原因有下列幾點： 企業電腦化之普及所潛藏之危機 Internet的開放性 匿名性與距離性 犯罪速度快、容易複製、波及面大 電腦犯罪容易潛伏及隱藏 法律的周延性不足,組織資訊安全的漏洞與弱點,作業系統本身的弱點(Vulnerabilities of OS) 通訊協定本身的弱點(Vulnerabilities of Commanication Protocds) 網路軟體上的弱點(Vulnerabilities of Network Sobtware) 管理制度上的弱點(Vulnerabilities of Managerial Policy) 人員的弱點(Vulnerabilities of Human),網路安全的服務與目標,我們希望在網路上提供哪些服務的品質？在此方面，主要包括下列五點： 安全隱密性(Confidentiality)：指的是當資料傳遞時，除了被授權的人，不會受到外力的擷取。 身分認證性(Authentication)：指的是當傳送方送出資訊時，就必須能確認傳送者的身分是否為冒名。 資料的完整性(Integrity)：指的是當資料送達時必須保證資料沒有被篡改的疑慮。 授權性(Authorization)：使用者只能擷取被授權部分的資訊。 不可否認性(Non-Repudiation)：使用者已使用或接受某項服務（例如下訂單）時，不能否認其未使用過。,網路安全的威脅與攻擊的模式(1/2),網路上的主要攻擊模式 電腦病毒(Virus)的散布 阻絕服務(Denial of Service, DoS) 後門或特洛伊木馬程式(Trapdoor/Trojan Horse) 竊聽(Sniffer) 偽裝(Masquerade) 資料篡改(Data Manipulation) 否認(Repudiation) 網路釣魚(Phising),網路安全的威脅與攻擊的模式(2/2),雙面惡魔(Evil Twins) 網址轉嫁連結(Pharming) 點擊詐欺(Click Fraud) Rootkits 整合上述各種資安的弱點與攻擊的模式，一個企業Web-based的資訊流在不同的節點中主要的資安威脅如圖14-2。,圖14-2 Web-based系統各環節的資安威脅,當代網路安全的重要趨勢與主要挑戰(1/2),網路門戶開放安全危機大 系統漏洞數量大 使用者疏於更新電腦系統 病毒的製造功力更強與變種更快 攻擊工具的普及與容易取得 蠕蟲(Worm)與傀儡模式(Bot)的聯手攻擊 DDos的威脅加大 結合搜尋引擎的攻擊(Search Engine Attack),當代網路安全的重要趨勢與主要挑戰(2/2),無線手機的攻擊(Cell Phone Attack) Web 2.0的攻擊(Web 2.0 Attack)：的社交網站面臨更多安全問題 雲端運算架構上的攻擊(Cloud Computing Aetach) 網路釣魚客的猖獗 間諜軟體與惡意程式的猖獗 惡意的SPAM 社交工程的攻擊,圖14-3 網路安全的新威脅與挑戰,網路門戶開放安全危機大,病毒可以透過超文件傳輸協定(Hypertext Transfer Protocol, HTTP)的特殊連接埠(port:80)建立與企業網頁伺服器的連結，進行破壞。 病毒可以透過寄信通訊協定(Simple Mail Transfer Protocol, SMTP)，進行惡意的郵件轉發，造成企業網路頻寬與郵件伺服器的傷害。 病毒可以任意更改網域名稱系統(Domain Name System, DNS)，使企業內部的網域名稱與IP位置無法順利相互映射，影響企業網路運作。,系統漏洞數量大,2009年調查報告中，64%的網站仍含有重大安全漏洞。發現了2.2萬個安全漏洞。 安全漏洞比例最高的網站類別是社交網站(Social Network Site)。其次是教育網站，有重大安全漏洞的比例占了83%。,使用者疏於更新電腦系統,大部分使用者都沒有為電腦進行系統更新。,攻擊工具的普及與容易取得,例如，其中一個名為 Zeus 的殭屍網路攻擊套件，電腦使用者只需花費少至700美元便可買到。,蠕蟲(Worm)與傀儡模式(Bot)的聯手攻擊,Botnet又稱傀儡程式(Bot)或受控制的網路系統或僵屍網路(Zombies)，指的是：一群已經被駭客入侵並控制的電腦所組成的攻擊網路（有些數目多達10萬台），這種集結所形成的攻擊力量非常駭人，包括引發洪水般的分散式阻絕服務攻擊(Distributed DoS, DDoS)的大量寄發、難以追蹤的垃圾郵件(SPAM)或是大量散布惡意程式(Malicious Code) 。,DDos的威脅加大,Worm散布Bot Bot散布Worm，Worm再散布Bot的持續循環 利用Bot散布Worm，入侵攻陷後，再由Worm散布及植入更多的Bot，如此所形成的散布循環，其波及的威力可想而知。,結合搜尋引擎的攻擊 (Search Engine Attack),結合Google強大的搜尋能力，讓攻擊者找尋攻擊標的的速度大幅增加，也大幅提升攻擊範圍！此外，利用搜尋引擎最佳化技術(SEO)展開攻擊也是其中的一種方法。,無線手機的攻擊(Cell Phone Attack),手機的病毒威脅 手機與電腦同時下毒 簡訊網釣(SMiShing),Web 2.0的攻擊(Web 2.0 Attack)：的社交網站面臨更多安全問題,透過社交網站，許多認識或不認識的使用者集中在相同的平台上並作互動，一旦這些社交網站被挖掘出安全性弱點，攻擊者將可以快速地利用並影響到大量的使用者。 這些攻擊本身會非常相似，資料竊取式攻擊將遵循標準模式，首先散布垃圾資訊開展釣魚攻擊透過漏洞攻擊和散步惡意軟體來達到目的。,雲端運算架構上的攻擊 (Cloud Computing Aetach),網路犯罪借鑒安全即服務(Security-as-a-Service)的理念，打造網路犯罪即服務(Cybercrime-as-a-Service)這一特殊品牌。,網路釣魚客的猖獗,網路釣魚(Phising)，簡單的說，指的是：利用虛設或仿冒的網站以超低價或誘人的免費贈品來引誘消費者上網登錄個人私密資料或進行採購行為，利用此手法來釣到受害者的個人機密（如信用卡卡號）或金錢的一種電腦犯罪行為。主要有下列三種型態： Web型 DM型 賀卡型,間諜軟體與惡意程式的猖獗,間諜軟體是一個廣泛的名詞，泛指所有快速繁殖，且能夠巧妙滲入PC的合法廣告軟體，以及具有明顯的惡意程式碼，例如鍵盤側錄器(Keystroke Loggers)，其又被稱之為可能不需要的程式(Potentially Unwanted Programs, PUPs)。雖然其惡意攻擊性不如病毒，但仍會造成使用者隱私資料及網頁瀏覽行為的被盜取，並會收到及代傳大量的垃圾廣告郵件(SPAM)。,惡意的SPAM,上述的PUPs整合SPAM就稱為惡意的SPAM。垃圾郵件經過這麼多年還是持續的氾濫：在2009年，Symantec指出有88%的電子郵件屬於垃圾郵件，平均每天約有1070億個垃圾郵件在全球世界各地發放，而這其中有85%的源頭是來自殭屍網路。,社交工程的攻擊,所謂社交工程(Social Engineering)指的是駭客利用人類的天性，包括同情心、好奇心、求知心、貪心、恐懼心，用抽大獎、情色影片、恐嚇信、可憐求助、社會公益、環保救地球與老年人健康資訊等各種動機來吸引使用者登入惡意網站。這些網站繼而攻擊受害使用者所採用的網頁瀏覽器，再找出觀看影片或文件檔案插件的漏洞再發動攻擊。,表14-1 網路安全服務項目、威脅 與防護法,防火牆與網路安全,防火牆的基本概念 防火牆的技術與架構 防火牆的基本目標 防火牆的主要問題,圖14-4 防火牆示意圖,防火牆的基本概念,防火牆(Firewall)顧名思義就是防止網際網路上的危險延伸到企業內部網路。防火牆介於網際網路和企業內部網路相連結之間。所以網際網路和企業內部網路兩者之間的傳輸，均需經過防火牆，如此防火牆可先檢查傳輸的合法性，若是合法，傳輸連結方能送達目的地。,防火牆的技術與架構,封包過濾型 以封包過濾方式的防火牆，檢查往來的封包，依據封包的標頭資訊，以及該企業制定的安全策略，決定封包之合法性。屏障式路由器(Screening Router)就是一種以封包過濾方式的防火牆。 代理者型 以代理者方式的防火牆主機，可以是含有兩個網路介面卡的主機(Dual-Home Host)。一個介面連接網際網路；另一個連接內部網路。兩者並非直接相連，連結要求必須經過合法檢驗。,防火牆的基本目標,過濾封包以阻止網路駭客的入侵。 作為所有封包進出的門戶，方便管理者集中式的管理。 過濾系統安全政策所禁止的網路服務。 保護企業內部網路，避免來自網際網路的入侵。 當外部使用者存取高度機密檔案時，先加以記錄並通知系統管理者。 調節網路交通流量。,防火牆的主要問題,較難提供全面性的安全 無法提供資料隱密性 無法確認資料來源的認證性 無法預防內部威脅 無法保護那些不經過防火牆的網路連結,資訊的加密系統與數位簽章,資訊加密的主要機制 數位簽章與資訊安全 數位信封與SSL,資訊加密的主要機制(1/2),加密(Encryption) 將原始文件轉換成亂碼，而唯有使用解密(Decryption)的金鑰(Key)才能讀出原文的程序，但是在傳輸前使用一個 Key的參數來執行原始文件數位碼的轉換程式(Transform Program) 包括數位碼的倒置、中間穿插左右、前後對調，及各種轉換運算，而使整份文件原來的字碼被加密轉換後，變成一大串亂碼，必須使用解密的 Key 才能透過轉換程式將此份文件的數位碼還原成原來的次序，也才能讀取正確的原始資料。 Key 一長串的文字、符號、數字的組合這些參數，用來啟動指揮轉換程式來轉換原始的文件，使得原始文件變成亂碼。,圖14-5 資訊的加密與解密,資訊加密的主要機制(2/2),對稱式加密法(Symmetric Encryption) 此為傳統的加密法，其特色是買賣雙方同時持有一個同樣的 Key 來加密和解密，所使用的Key稱為秘密金鑰(Secret Key)。但 Secret Key有一個很大的問題，亦即如每個企業對業務往來的對象都有不同的Key，且常常要換。 非對稱式加密法(Symmetric Encryption) 又稱之為公鑰的基礎設施(Public Key Infrastructure, PKI)。此法的特色主要是使用兩把對應配對的Key，即公鑰(Public Key)與私鑰(Private Key)，互相可加密解密對方。在這個機制中，Public Key是公開的，可以讓業務往來的客戶、廠商、消費者和銀行知道的；而Private Key只有自己知道，不能洩露給任何人。,圖14-6 非對稱式的加密法,數位簽章與資訊安全,數位簽章(Digital Signature, DS)，簡單的說，指的是：利用PKI的機制來保護資料傳遞的隱密性與不可否認性的一種通訊安全機制。而支援數位簽章的主要機制，包括下列幾點： 碎映函式 數位簽章 電子認證中心 安全電子交易協定,碎映函式,所謂碎映函式(Hash Function)，指的是：對於任一長度的訊息，將其映射成一個固定長度（例如128 Bits）的數值。,數位簽章,傳送者將文件經特別碎映函式運算後產生一獨特的號碼(128 Bits)，稱之為訊息摘要(Message Digest)，再利用傳送方的Private Key對此摘要加密，謂之數位簽章(DS)。,圖14-7 數位簽章流程圖,電子認證中心,所謂電子認證中心(Electronic Certificates Authority, CA)，指的是：一個有公信力的第三者，如財團法人、銀行、信用卡公司等等。 在EC上交易的個人或企業必須在CA認證身分後，再核發電子憑證(Electronic Certificate)及 Public Key 與 Private Key。CA最主要的任務是管理買賣雙方的認證問題。,圖14-8 電子憑證的主要內容,安全電子交易協定(Secure Electronic Transaction Protocol, SET),在 Internet 上以信用卡付款方式的安全交易協定，是一個整合利用加密、Public Key/Private Key、數位簽章、認證中心等機制，用以保護買賣雙方資料傳遞的隱密性、安全性與確認性。,圖14-9 SET的交易結構,數位信封與SSL(1/3),數位信封 所謂數位信封，簡單的說，指的是：利用速度較快、較不安全的對稱式加密法的秘密金鑰來對大量的文章內容加密，之後利用較安全的PKI來對秘密金鑰加密（由於其數量很小，因此不會妨害速度），而其主要的利用方法即是所謂的SSL。,數位信封與SSL(2/3),SSL SSL(Secure Sockets Layer)是數位信封的應用，其是目前最被普及利用的安全機制，主要的安全防護程序如下： Server端（例如A）將自己由CA所發給的電子憑證(Electronic Certificate)傳送給Client端（例如消費者的PC）。 Client端的Browser（例如IE），其儲存有世界主要CA的公鑰，可利用此來解開Serv