Information Security Fundamentals and Practices 資訊安全概論與實務

第一篇第1章 資訊安全概論

資訊科技與資訊安全的演進

資訊戰 • 【中共駭客入侵五角大廈【2007/09/10 聯合報】 • 美國國防部的情治報告指出，中共計畫在二〇五〇年之前取得壓制全球敵人的「電子優勢」。英國泰晤士報報導，美國情報官員分析解放軍文件和將領談話的內容，歸納出中共企圖在衝突爆發初期就癱瘓敵人的金融、軍事和通訊能力。五角大廈在報告的評估中指出，中共其實已經展開一場新的武力競賽，解放軍將攻擊性的電腦行動視為在戰爭初期「捷足先登的關鍵」。 • 西方媒體上周報導，中共解放軍的駭客今年六月入侵美國國防部的電腦系統，並經常滲透英國政府十個部門的電腦，竊取軍事檔案等機密。中國駭客今年也曾滲透德國政府的電腦系統。

歷史上的一些資訊安全事件(I) • Elk Cloner 被視為最早的電腦病毒 (virus)，在1982年由一位十五歲的學生 Rich Skrenta 寫在 Apple II 電腦上，以軟碟為感染媒介。使用受感染的軟碟開機五十次，就會出現一首打油詩。 • Melissa 為1999 年由電子郵件傳播的 Word 巨集病毒，他利用受感染電腦的電子郵件通訊錄，再發出五十封病毒郵件，因此數小時內就可以傳遍全球。 • Code Red 蠕蟲 (worm) 利用當時微軟作業系統的瑕疵，在 2001 年 7 月 19 日一天內，讓全球 359,000 台電腦受感染。 • 2004 年的 Witty 蠕蟲攻擊 Internet Security Systems (ISS) 公司的防火牆及其它資訊安全產品的漏洞，在半個小時內癱瘓全球12,000 台電腦，受害者都是裝備有安全防護的主機。

歷史上的一些資訊安全事件 (II) • 一位十九歲的俄國駭客在1999年侵入 CD Universe，盜取三十萬筆信用卡資料。在勒索十萬美元贖金未遂後，他將其中的數千筆資料公布在網際網路上。 • 2000 年 9 月，全球首屈一指的金融服務機構 Western Union 關閉網站五天，因為遭到駭客入侵並盜走一萬五千筆信用卡資料。駭客利用系統維修時沒有防火牆的15分鐘空檔入侵。 • 在1991年美伊波灣戰爭期間，荷蘭的駭客侵入 34 個美軍電腦系統，並獲得軍事佈署、戰艦及武器等細節。若伊拉克購買到這些資料，波灣戰爭的結果將難以預料。 • 2003 年經過一連串提款卡側錄、盜領風波後，金管會銀行局要求所有銀行全面換發晶片卡。

幾個誤導的觀念

資訊安全的取捨 • 資訊安全涵蓋的領域很廣，攻防手法又不停地演進，因此天下沒有絕對完美的防禦。資訊安全是一種取捨 (tradeoff): • 人力與財力資源有限，因此需要在造成不安全的眾多因素中做取捨。應選擇將資源投資在最容易受到攻擊或是對組織衝擊最大的弱點上。 • 「安全」與「便利」之間需要做合理的取捨。過度防禦會造成使用者的不便，反而違背資訊科技給人帶來便利的初衷。

資訊安全是管理議題 • 許多人誤以為資訊安全是個「技術」議題；事實上它是一個需要技術輔助的「管理」議題。【管理疏失案例】在 2003 與 2004 年，世界知名的 Wells Fargo 銀行員工的筆記型電腦有兩次在公司外遭竊。最敏感的客戶交易紀錄及二十萬筆信用卡資料外洩，造成公司嚴重的財務與形象損失。

資訊安全的三個 P 人員若不遵守資訊安全程序，產品就無從發揮功效。人員 (People) 資訊安全產品 (Product) 程序 (Process)

CISSP的資訊安全的領域 • 資訊安全與風險管理 (Information Security and Risk Management) • 存取控制 (Access Control) • 應用程式安全 (Application Security) • 密碼學 (Cryptography) • 通訊與網路安全 (Telecommunications and Network Security) • 實體安全 (Physical Security) • 營運安全 (Operations Security) • 安全架構與設計 (Security Architecture and Design) • 業務持續與災害復原計畫 (Business Continuity and Disaster Recovery Planning) • 法律、規章、遵循性與調查 (Law, Regulations, Compliance, and Investigations)

資訊安全的三元素

實體安全 • 實體安全保護你的資產與資訊，讓未經授權的人無法做實體接觸。所保護的是看得見、摸得著、並能被偷的東西。 • 實體安全的維護有以下三個重點： • 讓你所保護的實體位置不要成為受攻擊的目標。 • 即時的偵測到侵入或竊盜的發生。 • 在損失重要資訊或系統遭侵入後，能夠快速復原。

營運安全 • 營運安全在於確保組織經常能夠正常運作，這是大多數資訊安全人員的主要工作範圍。營運安全包括以下重點： • 電腦、網路及有線與無線通訊系統的運作。 • 資訊與檔案管理。 • 存取控制、身分認證及網路的安全結構設計。 • 經常性的網路維運、與其它網路的連結、備份計畫與復原計畫等。

管理與政策 • 資訊安全政策若要發揮作用，需要組織最高層的絕對支持。 • 一般組織的資訊安全政策應考慮以下項目： • 行政管理政策 (administrative policies) • 軟體設計要求 (software design requirements) • 災害復原計畫 (disaster recovery plans, DRP) • 資訊政策 (information policies) • 安全政策 (security policies) • 使用政策 (usage policies) • 使用者管理政策 (user management policies)

資訊安全的目標

存取控制的模式 • 存取控制 (access control) 決定使用者與系統間之溝通，以防止系統資源或資料被未授權存取。它可分為三種模式： • 強制存取控制 (mandatory access control, MAC) 是由系統管理員 (administrator) 統一規定哪些人能存取哪些系統、檔案或資料。 • 任意存取控制 (discretionary access control, DAC) 讓每個系統、檔案或資料的所有人 (owner) 決定存取權限。 • 角色基準存取控制 (role-based access control, RBAC) 存取權限非因人而制定，而是以其在組織中的角色(如職務) 決定。

身分認證的要素 • 身分認證 (authentication) 是資訊安全的重要環節，它讓使用者或要求存取的系統證明自己的身分。認證有以下三種要素： • 所知之事 (something you know) 例如通關密碼 (password) 或是 PIN。 • 所持之物 (something you have) 例如智慧卡或其它身分證明裝置。 • 所具之形 (something you are) 例如指紋或視網膜比對。 • 以上三者中同時使用多者 (multi-factor authentication)，被視為較佳之身分識別系統；例如同時使用智慧卡與通關密碼。

身分認證的方法 • 通關密碼使用 something you know。Password Authentication Protocol (PAP) 是將使用者名稱與通關密碼以明碼形式送到伺服器上比對，這是最簡單的認證方法但並不安全。 • 生物特徵 (biometrics) 使用 something you are，包括手的比對 (如指紋、掌紋)，臉部特徵，視網膜 (retina) 與虹膜 (iris) 掃描等。 • 安全代符 (security tokens) 使用 something you have，這種隨身攜帶的元件上儲存著比人腦能記憶的通關密碼複雜許多的認證資訊，使身分認證程序更加安全。常見的安全代符包括： • 一次性密碼代符 (one-time password tokens) • 智慧卡 (smart cards) • 記憶卡 (memory cards) • 無線射頻身分證明 (RFID)

身分認證的方法 (II) • Challenge Handshake Authentication Protocol (CHAP) 是一個握手協定 (handshake)：客戶端 (client) 送一個登入要求 (logon request) 給伺服器；伺服器回應一個挑戰 (challenge)。挑戰通常是一串隨機數。客戶端以金鑰 (key) 將挑戰加密後做成回應 (response) 送給伺服器後，伺服器以對應的金鑰驗證回應之正確性，以決定是否授權客戶端開始使用伺服器的資源。登入要求挑戰回應授權或拒絕客戶端伺服器

身分認證的方法 (III) • 憑證 (certificates) 是另一種常用的身分認證方法。如右圖，客戶端要使用應用伺服器的資源，它先與安全伺服器完成認證 (如使用 CHAP) 後取得一張憑證，客戶端以憑證就可以存取應用伺服器。憑證可能是一串很長的數字，或一張儲存著很長數字的智慧卡。應用伺服器 3. 查驗憑證 1. 進行認證 2. 授予憑證客戶端安全伺服器

身分認證的方法 (IV) • Kerberos 是常用的單點登錄 (single sign-on) 技術。電腦設備間(例如客戶端與應用伺服器之間) 的對話都以較有效率的對稱式 (symmetric) 加解密來完成，而密鑰則由密鑰分派中心 (KDC) 掌控。相較之下，憑證系統因為使用非對稱式加解密，故較 Kerberos 複雜。應用伺服器 3. 憑票證通訊 1. 要求存取應用伺服器 2. 授與票證 (ticket) 客戶端 KDC

常見的網路服務與協定 • Mail：幾乎所有使用者都需要電子郵件服務。 • Web：相關的安全考量應包含網站伺服器 (web server) 及客戶端的網路瀏覽器 (web browser)。 • 即時通訊 (instant messaging, IM)：IM 像是兩者或多者間的即時電子郵件，它有時會受到下載惡意碼攻擊。 • Telnet：Telnet 允許遠端使用者以模擬終端機的方式連上系統，這種舊式的協定沒有安全防護，應該改採用較安全的協定，如 SSH 等。 • File Transfer Protocol (FTP)：FTP 在網際網路常被使用，但經由 FTP 傳輸的資訊沒有加密，登入的通關密碼也多以明碼傳送，應小心使用。 • Domain Name Service (DNS)：DNS 將網路位址如 www.abc.net翻譯為TCP/IP 位址如 192.168.0.110。

設計網路安全的四個考量

制訂設計目標 • Confidentiality, Integrity, 與 Availability 常被合稱為網路安全的 CIA；但 Accountability 也經常被考慮在資訊安全的設計目標裡。我們將這四個安全組件簡述如下： • 保密性 (confidentiality)：保密性的目的在防止未經授權的人或系統存取資料或訊息。 • 完整性 (integrity)：完整性在於確保被使用的為正確資料。 • 可用性 (availability)：可用性在保護資料不致流失，無法使用的資訊等於沒有資訊。 • 責任性 (accountability)：組織內有許多部門與個人，當事件發生時該由誰負責處理必須明確規定。

切割安全區域 (I) • Internet: 全球網路 (global network) 連結電腦與個別的網路。 • Intranet: 公司或組織內的私人網路 (private network)。 • Extranet:Extranet 包含組織內的 Intranet 與外部和夥伴組織間的連結，夥伴可以是供應商、承包商等。它是兩個可以互相信任 (trustworthy) 的組織之間的連線，這種連線可以用專線或經由網際網路上架設 VPN 來完成。專線或網際網路上的VPN 企業內部網路夥伴公司

切割安全區域 (II) • Demilitarization Zone (DMZ) 中文譯作非軍事區或安全區，是指放置公開資訊 (如網站) 的區域。可用防火牆將外部、內部、與 DMZ 分隔開。內部網路 DMZ 網站伺服器 Internet 防火牆

融入新科技 (I) Virtual Local Area Networks (VLAN) • 公司組織龐大，我們將 LAN 分割為數個虛擬的 VLAN 的好處為： • 降低 LAN的廣播(broadcast)流量 • 提高網路效能且方便管理 • 降低對網路實體連結的依賴 • 強化資訊安全管理，可以將權限相當的使用者劃分在同一個 VLAN 區域內。企業網路 VLAN 1 VLAN 2 路由器 VLAN 3

融入新科技 (II) Network Address Translation (NAT) • IP 位址有被用罄的顧慮，故部分私有 IP 位址(如下)被保留給內部 LAN 使用，其上所有電腦在公開網路上共用一個 IP 位址。 • 10.0.0.0 – 10.255.255.255 • 172.16.0.0 – 172.31.255.255 • 192.168.0.0 – 192.168.255.255 • 使用 NAT 的公司與外部網路只有一個接點，可以有效隱藏內部網路不為外部知曉。 • NAT 伺服器可以監控進出的資料，所以除了提供 IP 位址的翻譯外，兼具部分的防火牆過濾功能。

融入新科技 (III) • Tunneling 是指在兩個系統或網路間建立一條虛擬的專屬通道。雖然還是在公開網路上，但通道兩端使用彼此同意的方法來封包信息。 • Tunneling protocols 包括 IPSec, L2TP 等。 • 以 tunneling protocols 建立的網路被稱為 virtual private network (VPN)，在不安全的公開網路上建立私有的安全通道。 Internet 路由器路由器 Tunnel through the Internet

管理資訊風險 • 資產識別 (asset identification)：公司或組織將資訊及系統條列出來，並標示其價值。 • 威脅識別 (threat identification)：包括竊盜、系統失敗與惡意破壞等內部威脅；以及盜賊、駭客等外部威脅。 • 弱點識別 (vulnerability identification)：資訊弱點可能發生在作業系統、TCP/IP 網路、電子郵件系統等。 • 風險評鑑 (risk assessment)：量化考量「威脅 (threat) 」利用「弱點 (vulnerability) 」對「資產 (asset) 」造成「衝擊 (impact) 」的「可能性 (likelihood) 」。

多層次防禦方法 • 只在個人電腦上安裝防毒軟體不算多層次防禦 (layered defense)；應該在每台個人電腦、檔案伺服器、郵件伺服器上都裝防毒軟體，並在代理主機上 (proxy server) 做內容篩檢，才算多層次防禦。 • 僅只設定使用者與檔案的存取權限不算多層次防禦；應該做到： • 為所有檔案建立較細節的存取控制單 (access control list, ACL)。 • 以電腦系統來設定每位使用者對檔案的存取權限。 • 為存放資料的電腦規畫實體安全，避免資訊或系統遭竊取。 • 建立使用者登入機制，確保使用者身分之認證。 • 監控使用者對重要檔案之存取，並留下紀錄。

從OSI規劃網路多層次防禦 (I) • 防火牆要設定封包篩檢功能，用以保護網路層 (networklayer)。 • 代理主機 (proxy) 在應用層 (application layer) 保護公司或組織免於未經授權的進入。 • 在網路層使用 NAT ，可以隱藏 LAN 的 IP 位址。 • 在實體層 (physical layer) 使用遮蔽式雙絞線 (shielded twisted pair, STP)，避免被惡意掛線監聽。 • 在網路層使用入侵偵測系統 (intrusion detection system, IDS)，監看進出網路的資料有無惡意攻擊的跡象。後頁續

從OSI規劃網路多層次防禦 (II) • IPSec 等技術建立 VPN，在網路層防禦資料竄改等惡意攻擊。 • 在應用層妥善設定網站伺服器 (web server)，為公開與敏感的資訊建立不同的網站，以防禦未經授權的存取。 • 網頁伺服器應要求數位簽章 (digital signature) 確保資料完整性。 • 在所有裝置上都只打開必要的連接埠 (port)，能在網路層與傳輸層 (transport layer) 降低網路攻擊風險。 • 存取機密文件時，在傳輸層使用 secure socket layer (SSL) 協定。 • 在網路層，每週執行網路掃描，以尋找新弱點。 • 郵件伺服器 (mail server) 應受病毒防禦軟體保護。

Information Security Fundamentals and Practices 資訊安全概論與實務