slide1 n.
Download
Skip this Video
Loading SlideShow in 5 Seconds..
9-1 電腦系統與網路的安全問題 PowerPoint Presentation
Download Presentation
9-1 電腦系統與網路的安全問題

Loading in 2 Seconds...

play fullscreen
1 / 73

9-1 電腦系統與網路的安全問題 - PowerPoint PPT Presentation


  • 144 Views
  • Uploaded on

9-1 電腦系統與網路的安全問題. 資訊科技與資訊安全的演進. 電腦系統與網路安全的主要目的. 保護電腦與網路中記錄、處理、儲存、共用、傳送和接受的數位資訊不被遺失、濫用、洩露、竄改或 損害 數位 資訊必須能被有效保護,不會因為各種不同類型的弱點或設施的缺失而遭受 損害 數位 資訊 承受的 威脅 包括錯誤、遺漏、欺詐、意外和故意損害. 歷史上的一些資訊安全事件 (I).

loader
I am the owner, or an agent authorized to act on behalf of the owner, of the copyrighted work described.
capcha
Download Presentation

PowerPoint Slideshow about '9-1 電腦系統與網路的安全問題' - suki-english


An Image/Link below is provided (as is) to download presentation

Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author.While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server.


- - - - - - - - - - - - - - - - - - - - - - - - - - E N D - - - - - - - - - - - - - - - - - - - - - - - - - -
Presentation Transcript
slide4
電腦系統與網路安全的主要目的

保護電腦與網路中記錄、處理、儲存、共用、傳送和接受的數位資訊不被遺失、濫用、洩露、竄改或損害

數位資訊必須能被有效保護,不會因為各種不同類型的弱點或設施的缺失而遭受損害

數位資訊承受的威脅包括錯誤、遺漏、欺詐、意外和故意損害

CH9資通安全

slide5
歷史上的一些資訊安全事件(I)

Elk Cloner 被視為最早的電腦病毒 (virus),在1982年由一位十五歲的學生 Rich Skrenta 寫在 Apple II 電腦上,以軟碟為感染媒介。使用受感染的軟碟開機五十次,就會出現一首打油詩。

Melissa為1999 年由電子郵件傳播的 Word 巨集病毒,他利用受感染電腦的電子郵件通訊錄,再發出五十封病毒郵件,因此數小時內就可以傳遍全球。

Code Red蠕蟲 (worm) 利用當時微軟作業系統的瑕疵,在 2001 年 7 月 19 日一天內,讓全球 359,000 台電腦受感染。

2004 年的 Witty 蠕蟲攻擊 Internet Security Systems (ISS) 公司的防火牆及其它資訊安全產品的漏洞,在半個小時內癱瘓全球12,000 台電腦,受害者都是裝備有安全防護的主機。

slide6
歷史上的一些資訊安全事件 (II)

一位十九歲的俄國駭客在1999年侵入 CD Universe,盜取三十萬筆信用卡資料。在勒索十萬美元贖金未遂後,他將其中的數千筆資料公布在網際網路上。

2000 年 9 月,全球首屈一指的金融服務機構 Western Union 關閉網站五天,因為遭到駭客入侵並盜走一萬五千筆信用卡資料。駭客利用系統維修時沒有防火牆的15分鐘空檔入侵。

在1991年美伊波灣戰爭期間,荷蘭的駭客侵入 34 個美軍電腦系統,並獲得軍事佈署、戰艦及武器等細節。若伊拉克購買到這些資料,波灣戰爭的結果將難以預料。

2003 年經過一連串提款卡側錄、盜領風波後,金管會銀行局要求所有銀行全面換發晶片卡。

slide7
攻擊者的類型

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

hackers
駭客分類 Hackers

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

slide9
推動資訊安全應有的觀念

資訊安全是一種取捨

資訊安全是管理議題

slide10
資訊安全的取捨
  • 資訊安全涵蓋的領域很廣,攻防手法又不停地演進,因此天下沒有絕對完美的防禦。資訊安全是一種取捨 (tradeoff):
    • 人力與財力資源有限,因此需要在造成不安全的眾多因素中做取捨。應選擇將資源投資在最容易受到攻擊或是對組織衝擊最大的弱點上。
    • 「安全」與「便利」之間需要做合理的取捨。過度防禦會造成使用者的不便,反而違背資訊科技給人帶來便利的初衷。
slide11
資訊安全是管理議題

【管理疏失案例】在 2003 與 2004 年,世界知名的 Wells Fargo 銀行員工的筆記型電腦有兩次在公司外遭竊。最敏感的客戶交易紀錄及二十萬筆信用卡資料外洩,造成公司嚴重的財務與形象損失。

許多人誤以為資訊安全是個「技術」議題;事實上它是一個需要技術輔助的「管理」議題。

slide13
資訊安全的三個 P

人員若不遵守資訊安全程序,產品就無從發揮功效。

人員 (People)

資訊安全

產品 (Product)

程序 (Process)

slide16
火燒機房-管理與政策面

失火網路癱 NCC︰應賠償用戶 自由時報 – 2013年2月27日 上午4:32 行動用戶斷網 可要求減月租費〔自由時報記者林嘉琪、吳仁捷/台北報導〕

「數位通」機房前日起火造成國內重要ISP供應商「是方電訊」中斷客戶服務十幾個小時,全台許多網站斷網,國家通訊傳播委員會(NCC)昨天表示,是方應提出復原措施及改善計畫,補償用戶損失,行動用戶斷網則可要求減月租費。受影響的電信業者正研擬賠償方式,近期公布。

中華電信行動網路則因有自己的機房及線纜,上網正常。整體狀況直到是方二十六日凌晨一點五十分恢復營運後才陸續解除。

上網龜速舉證難 可能無法獲賠償

NCC通訊營管處技正林慶恒強調,火燒機房事件的賠償分成二部分:一部分為是方對企業客戶賠償,這部分賠償標準要視雙方契約內容;另一部分則是一般民眾上網龜速,但民眾可能無法獲得賠償,因為依照行政院消保處的「行動通信網路業務服務」定型化契約範本規定,必須用戶是「行動通訊斷訊」,也就是完全中斷或不能傳遞才求償。換句話說,如果民眾無法舉證有斷訊事實,電信業者可以不用減免月租費。

林慶恒表示,目前確定受損害可獲賠償的為語音○七○網路電話終端用戶,全台約有一到二百多位用戶。依據定型化契約斷訊達十二到廿四小時的受影響使用者可扣減月租費三十分之一。

台灣大哥大表示,前晚塞網後,客服單位至少接上百通民眾抱怨電話,正在研擬賠償標準。遠傳速博企業客戶也受到波及,待是方賠償細則出爐後再討論賠償客戶做法。

凸顯是方應變不足 應該檢討改進

是方公關企劃副理黃小玲表示,目前必須視與業者個別契約內容,才能確定如何賠償。是方的公告強調將精進緊急應變處理的經驗並改進。

消基會董事長張智剛表示,民眾手機無法穩定上網,雖然未達到賠償標準,但是電信業者無法確保代管單位(是方)的服務品質,可能因此流失消費者。該起事件凸顯機房的不斷電系統和備用電源都沒有發生作用,應該檢討作業流程。

林慶恒表示,NCC已要求業者加強風險管理、檢討機房電力系統備援、路由分散及緊急事故演練,並提出事後復原措施與改善計畫。

slide17

維護資訊安全的方法

CH01 電腦基本架構

slide18
存取控制的模式
  • 存取控制 (access control) 決定使用者與系統間之溝通,以防止系統資源或資料被未授權存取。它可分為三種模式:
    • 強制存取控制 (mandatory access control, MAC) 是由系統管理員 (administrator) 統一規定哪些人能存取哪些系統、檔案或資料
    • 任意存取控制 (discretionary access control, DAC) 讓每個系統、檔案或資料的所有人 (owner) 決定存取權限
    • 角色基準存取控制 (role-based access control, RBAC) 存取權限非因人而制定,而是以其在組織中的角色 (如職務) 決定
slide19
身分認證的要素
  • 身分認證 (authentication) 是資訊安全的重要環節,它讓使用者或要求存取的系統證明自己的身分。認證有以下三種要素:
    • 所知之事 (something you know) 例如通關密碼 (password) 或是 PIN。(Gmail簡訊驗證?)
    • 所持之物 (something you have) 例如智慧卡或其它身分證明裝置。
    • 所具之形 (something you are) 例如指紋或視網膜比對。
  • 以上三者中同時使用多者 (multi-factor authentication),被視為較佳之身分識別系統;例如同時使用智慧卡與通關密碼。
slide20
身分認證的方法
  • 通關密碼使用 something you know。Password Authentication Protocol (PAP) 是將使用者名稱與通關密碼以明碼形式送到伺服器上比對,這是最簡單的認證方法但並不安全。
  • 生物特徵 (biometrics) 使用 something you are,包括手的比對 (如指紋、掌紋),臉部特徵,視網膜 (retina) 與虹膜 (iris) 掃描等。
  • 安全代符 (security tokens) 使用 something you have,這種隨身攜帶的元件上儲存著比人腦能記憶的通關密碼複雜許多的認證資訊,使身分認證程序更加安全。常見的安全代符包括:
    • 一次性密碼代符 (one-time password tokens)
    • 智慧卡 (smart cards)
    • 記憶卡 (memory cards)
    • 無線射頻身分證明 (RFID)
slide21
網路安全的三大基本安全需求

機密性

資訊安全

完整性

可用性

CH09 資通安全

slide22
電腦系統與網路安全威脅與攻擊

C

侵入 (Access)

機密性 (Confidentiality)

I

篡改(Modification)

完整性 (Integrity)

A

阻斷服務 (Denial-of-Service, DoS)

可用性 (Availability)

slide23
資訊安全威脅的目的

CIA

  • 達到侵入 (access) 的目的
    • 讓沒有進入權限的人或系統能夠未經授權地使用他人資源。目的在破壞 CIA 裡的機密性 (confidentiality)
  • 達到篡改(modification)或否認 (repudiation) 的目的
    • 讓沒有修改權利的人或系統能夠竄改他人資訊或否認某些事實。目的在破壞CIA 裡的完整性 (integrity)
  • 達到阻斷服務 (denial-of-service, DoS) 的目的
    • 讓惡意的人或系統能夠干擾或阻斷他人網路或服務。目的在破壞CIA 裡的可用性 (availability)

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

slide24
侵入
  • 侵入 (access attack) 主要在破壞對方系統的機密性,其手法眾多,以下是部份類別:
    • 垃圾搜尋 (dumpster diving) 是一種實體攻擊的方法,攻擊者搜尋垃圾以找出可能含有密碼或機密訊息的廢棄文檔。
    • 竊聽 (eavesdropping):機密常在不經意的對話中遭有心人竊聽。
    • 窺視 (snooping):包括實體文件或是電腦中的檔案被有心人窺視或利用,辦公桌上的小紙條也經常是不經意洩密的元凶。
    • 中間監看 (sniffers) 手法常被使用在網路環境中,可以在收發者間直接掛線,或是在 ISP 裝置側錄功能。

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

slide26
篡改與否認
  • 篡改 (modification) 是指未經授權的刪除、插入、或更改資訊,並期望別人無法察覺。
    • 例如學生更改考試成績,或是駭客進銀行網路刪除信用卡消費紀錄等。
  • 否認 (repudiation) 是將正確的資訊弄成無效或誤導的狀態。
    • 例如惡意者冒名發騷擾郵件給他人,或是惡作劇學生侵入系上網站發布放假三天的消息等。
    • 否認的反面為不可否認 (non-repudiation),是指藉由提供原本的證據,使發件人不能否認曾發出信息,而收件人也不能否認曾收到信息。
      • 例如在網路上購物,商家有時不只要求消費者提供信用卡號,還要信用卡的 PIN。藉由消費者的身分確認,商家就有不可否認的證據來進行交易。
  • 篡改和否認 是網路釣魚的必備手段

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

slide29
阻斷服務
  • 阻斷服務 (denial-of-service, DoS)
    • 讓受害的網路或伺服器忙於處理假的服務要求,而無法處理真的要求。
  • 兩種常見的 DoS 攻擊:
    • Ping of death
      • 不停的對受攻擊的網路送ICMP封包(如 Ping 指令),超過系統所能承受。
    • Buffer overflow
      • 緩衝溢位是嘗試在電腦的記憶體上塞入過多的資訊,可以讓駭客在目標的系統上執行任何命令。
  • 分散式 DoS (distributed DoS, DDOS)
    • 由駭客的主機控制網路上多台傀儡電腦 (zombies) 同時對受害者發動 DoS 攻擊。而發動攻擊的傀儡電腦的使用者其實也是不知情的受害者。

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

slide31

網路安全的攻擊手法

CH01 電腦基本架構

slide32
認識一般的攻擊
  • 許多攻擊是利用系統潛在的弱點,例如軟體或通訊協定在設計或安裝上的漏洞。
  • 常見的攻擊手法:
    • 密碼猜測攻擊 (password-cracking attack)
    • 後門攻擊 (backdoor attack)
    • 中間人攻擊 (man-in-the-middle attack)
    • 重放攻擊 (replay attack)
    • 欺騙攻擊 (spoofing attack)
  • 這些攻擊的目的可能是「侵入」、「篡改與否認」、「阻斷服務」或是他們的綜合。

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

password cracking attack
密碼猜測攻擊(password-cracking attack)
  • 通關密碼破解工具很容易取得,它們大概都採用兩種方法
    • 使用工具在中間監看
    • 提供密碼檔案 (password file) 進行字典攻擊 (dictionary attack)
  • 字典攻擊與窮舉攻擊 (brute-force attack) 不同的是:
    • 窮舉攻擊會逐一嘗試所有可能的密碼組合
    • 字典攻擊會使用一個預先定義好的密碼檔案 (字典) 中的常用單字
  • 為了防禦密碼猜測攻擊,通關密碼的設定應該:
    • 夠長,以增加窮舉攻擊的難度。
    • 夠冷門,以降低字典攻擊的成功率。
    • 經常更換,以防被攻破的帳號遭駭客長期利用。

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

backdoor attack
後門攻擊 (backdoor attack)

後門的產生有兩種途徑,一種是軟體開發者原先設計的維護用後門 (maintenance hook),另一種是侵入者留下的後門以便重新進入。

開發一個複雜的作業系統或應用軟體時,工程師常在程式裡設計後門以利測試與修改,但必須在產品上市前移除。

後門也可能由入侵者植入。

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

man in the middle attack
中間人攻擊 (man-in-the-middle attack)

客戶端

伺服器

中間人

  • 中間人攻擊是指在伺服器與使用者之間放置一個軟體,讓雙方都無法察覺。這個軟體攔截一方的資料,備份或篡改之後若無其事地傳送給另外一方。
  • 近年隨著無線網路盛行,中間人攻擊更加容易。
    • 許多人使用無線網路並未加密 (尤其在公共場所);
    • 無線網路的中間人攻擊不需要掛線 (tapping),在各種方便的位置都可以輕易進行。

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

slide36

網路監聽封包分析軟體:Wireshark

打開信箱之後,使用者名稱及密碼立刻遭到攔截

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

replay attack
重放攻擊 (replay attack)

登入資訊

登入資訊

客戶端

伺服器

攻擊者

重放 (replay) 攻擊是指攻擊者攔截使用者登入資料,在稍後的時間再正式登入伺服器。重放攻擊對 Kerberos 之類的登入系統是有效的。

為避免重放攻擊,加解密過程常會使用會談金鑰 (session key),會談時限一過,金鑰就失效。

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

spoofing attack
欺騙攻擊(spoofing attack)
  • 欺騙攻擊 (spoofing) 是攻擊者偽裝成一個熟悉並且可信任的的伺服器或網站,藉以騙取登入資料或其他秘密資訊。
    • 網路釣魚 (phishing) 是一種欺騙攻擊,它可能是一個看似有公信力的惡意網站,或是冒名的電子郵件要受害者連結到惡意網站。
  • 歹徒安置的假 ATM 機器也是欺騙攻擊的工具,受害者插入磁條提款卡並輸入密碼後即遭電子側錄。提款卡晶片化後,這類手法又被翻新:
    • 【中國農業銀行公告】不法分子在ATM機插卡口處安裝吞卡裝置造成吞卡故障,並在ATM機旁張貼假的銀行告示,誘騙持卡人按假告示上的聯系電話與冒充銀行工作人員的不法分子聯系,不法分子騙持卡人說出銀行卡密碼後,支開持卡人,從ATM機取出銀行卡並盜取持卡人銀行卡資金。

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

slide39
釣魚郵件案例

Source:潘天佑 (2011),資訊安全概論與實務,第二版,碁峰

slide42
基本的網路安全

制定安全設計目標

切割安全區域

融入新科技

管理資訊風險

建立多層次防禦

slide43
常見的網路服務與協定

Mail:幾乎所有使用者都需要電子郵件服務。

Web:相關的安全考量應包含網站伺服器 (web server) 及客戶端的網路瀏覽器 (web browser)。

即時通訊 (instant messaging, IM):IM 像是兩者或多者間的即時電子郵件,它有時會受到下載惡意碼攻擊。

Telnet:Telnet 允許遠端使用者以模擬終端機的方式連上系統,這種舊式的協定沒有安全防護,應該改採用較安全的協定,如 SSH 等(PieTTY)。

File Transfer Protocol (FTP):FTP 在網際網路常被使用,但經由 FTP 傳輸的資訊沒有加密,登入的通關密碼也多以明碼傳送,應小心使用。

Domain Name Service (DNS):DNS 將網路位址如 www.abc.net翻譯為TCP/IP 位址如 192.168.0.110。

slide45
制訂設計目標
  • Confidentiality, Integrity, 與 Availability 常被合稱為網路安全的 CIA;但 Accountability 也經常被考慮在資訊安全的設計目標裡。我們將這四個安全組件簡述如下:
    • 保密性 (confidentiality):保密性的目的在防止未經授權的人或系統存取資料或訊息。
    • 完整性 (integrity):完整性在於確保被使用的為正確資料。
    • 可用性 (availability):可用性在保護資料不致流失,無法使用的資訊等於沒有資訊。
    • 責任性 (accountability):組織內有許多部門與個人,當事件發生時該由誰負責處理必須明確規定。
slide46
切割安全區域 (I)

專線或網際網路

上的VPN

企業內部

網路

夥伴公司

Internet: 全球網路 (global network) 連結電腦與個別的網路。

Intranet: 公司或組織內的私人網路 (private network)。

Extranet:Extranet 包含組織內的 Intranet 與外部和夥伴組織間的連結,夥伴可以是供應商、承包商等。它是兩個可以互相信任 (trustworthy) 的組織之間的連線,這種連線可以用專線或經由網際網路上架設 VPN 來完成。

slide47
切割安全區域 (II)

內部網路

DMZ

網站伺服器

Internet

防火牆

Demilitarization Zone (DMZ) 中文譯作非軍事區或安全區,是指放置公開資訊 (如網站) 的區域。可用防火牆將外部、內部、與 DMZ 分隔開。

slide48
融入新科技 (I)

企業網路

VLAN 1

VLAN 2

路由器

VLAN 3

Virtual Local Area Networks (VLAN)

  • 公司組織龐大,我們將 LAN 分割為數個虛擬的 VLAN 的好處為:
    • 降低 LAN的廣播(broadcast)流量
    • 提高網路效能且方便管理
    • 降低對網路實體連結的依賴
    • 強化資訊安全管理,可以將權限相當的使用者劃分在同一個 VLAN 區域內。
slide49
融入新科技 (II)

Network Address Translation (NAT)

  • IP 位址有被用罄的顧慮,故部分私有 IP 位址(如下)被保留給內部 LAN 使用,其上所有電腦在公開網路上共用一個 IP 位址。
    • 10.0.0.0 – 10.255.255.255
    • 172.16.0.0 – 172.31.255.255
    • 192.168.0.0 – 192.168.255.255
  • 使用 NAT 的公司與外部網路只有一個接點,可以有效隱藏內部網路不為外部知曉。
  • NAT 伺服器可以監控進出的資料,所以除了提供 IP 位址的翻譯外,兼具部分的防火牆過濾功能。
slide50
融入新科技 (III)

Internet

路由器

路由器

Tunnel through

the Internet

Tunneling 是指在兩個系統或網路間建立一條虛擬的專屬通道。雖然還是在公開網路上,但通道兩端使用彼此同意的方法來封包信息。

Tunneling protocols 包括 IPSec, L2TP 等。

以 tunneling protocols 建立的網路被稱為 virtual private network (VPN),在不安全的公開網路上建立私有的安全通道。

slide51
管理資訊風險

資產識別 (asset identification):公司或組織將資訊及系統條列出來,並標示其價值。

威脅識別 (threat identification):包括竊盜、系統失敗與惡意破壞、間諜活動等內部威脅;以及惡意攻擊、盜賊、駭客等外部威脅。

弱點識別 (vulnerability identification):資訊弱點可能發生在作業系統(security patch補丁)、TCP/IP 網路、電子郵件系統等。

風險評鑑 (risk assessment):量化考量「威脅 (threat) 」利用「弱點 (vulnerability) 」對「資產 (asset) 」造成「衝擊 (impact) 」的「可能性 (likelihood) 」。

slide52
9.7虛擬私有網路

CH09 資通安全

slide53
虛擬私有網路

CH09 資通安全

slide54
虛擬私有網路技術

PPTP虛擬私有網路技術

L2TP虛擬私有網路技術

SSL 虛擬私有網路技術

IPSec虛擬私有網路技術

CH09 資通安全

slide55
防火牆

CH09 資通安全

slide56
防火牆

企業組織內技術上的第一道防線是使用防火牆來保護對網際網路的存取

防火牆為企業內部網路(intranet)和外部網路(extranet)之間建立起一道屏障,將駭客阻絕於門外

防火牆可以是軟、硬體組成的獨立設施、亦可以只是嵌入於某既有設備的軟體元件

防火牆是不同網路或網路安全域之間資訊流的唯一出入口,能根據資訊安全政策控制(允許、拒絕、監測)出入網路的資訊流

防火牆本身具有較強的抵抗攻擊能力

CH09 資通安全

slide57
防火牆的種類

路由器(Router)

封包過濾(packet filtering)

狀態檢視(stateful inspection)

應用層閘道(application-level gateway)

電路層閘道(circuit-level gateway)

CH09 資通安全

slide62
多層次防禦方法
  • 只在個人電腦上安裝防毒軟體不算多層次防禦 (layered defense);應該在每台個人電腦、檔案伺服器、郵件伺服器上都裝防毒軟體,並在代理主機上 (proxy server) 做內容篩檢,才算多層次防禦。
  • 僅只設定使用者與檔案的存取權限不算多層次防禦;應該做到:
    • 為所有檔案建立較細節的存取控制單 (access control list, ACL)在SWITCH上設定一些IP存取規則的設定,(你可以設定一個IP限定它只能跟跟某個PORT或是一群IP能做些什麼、不能做些什麼)。
    • 以電腦系統來設定每位使用者對檔案的存取權限。
    • 為存放資料的電腦規畫實體安全,避免資訊或系統遭竊取。
    • 建立使用者登入機制,確保使用者身分之認證。
    • 監控使用者對重要檔案之存取,並留下紀錄。
osi i
從OSI規劃網路多層次防禦 (I)

防火牆要設定封包篩檢功能,用以保護網路層 (networklayer)。

代理主機 (proxy) 在應用層 (application layer) 保護公司或組織免於未經授權的進入。

在網路層使用 NAT ,可以隱藏 LAN 的 IP 位址。

在實體層 (physical layer) 使用遮蔽式雙絞線 (shielded twisted pair, STP),避免被惡意掛線監聽。

在網路層使用入侵偵測系統 (intrusion detection system, IDS),監看進出網路的資料有無惡意攻擊的跡象。

osi ii
從OSI規劃網路多層次防禦 (II)
  • IPSec 等技術建立 VPN,在網路層防禦資料竄改等惡意攻擊。
    • IP Security(簡稱 IPSec)是針對位於網路層的Internet Protocol所提出的安全性協定
  • 在應用層妥善設定網站伺服器 (web server),為公開與敏感的資訊建立不同的網站,以防禦未經授權的存取。
  • 網頁伺服器應要求數位簽章 (digital signature) 確保資料完整性。
  • 在所有裝置上都只打開必要的連接埠 (port),能在網路層與傳輸層 (transport layer) 降低網路攻擊風險。
  • 存取機密文件時,在傳輸層使用 secure socket layer (SSL) 協定。
  • 在網路層,每週執行網路掃描,以尋找新弱點。
  • 郵件伺服器 (mail server) 應受病毒防禦軟體保護。
slide65
9.9電腦病毒

CH09 資通安全

slide66
電腦病毒

電腦病毒是一種惡意程式,破壞電腦系統,變更或影響電腦正常運作程序

主要是以修改電腦中已存在的正常程式的方式使電腦「感染病毒」

修改的程式執行後的結果將使其達到破壞的目的例如刪除檔案或將硬碟格式化

被感染程式常具散布該惡意程式之能力,繼續感染該電腦其他正常程式或網路上與其相連接的其他電腦程式

網路環境中,許多電腦相關設備非常容易即可彼此分享檔案、服務或資源,也成為電腦病毒散佈的溫床

CH09 資通安全

slide67
電腦病毒的生命週期

潛伏期(dormant):病毒已感染電腦但並未開始進行破壞的行為,但待一定條件成熟時即開始發作,但並非每一種病毒都有潛伏期

繁殖期(propagation):病毒自我複製感染其他電腦、程式、檔案或複製到系統檔案區;被感染的電腦或程式

觸動期(triggering):病毒程式啟動其設計之破壞功能,準備進入發作期

CH09 資通安全

slide68
電腦病毒的生命週期

發作期(execution):病毒程式開始展現其既定的破壞功能

根除期(eradication):所謂的根除某特定的電腦病毒只能說使其病毒很難再蔓延,電腦與網路的防護安全機制已經能有效地制止該電腦病毒發揮其功能

CH09 資通安全

slide69
電腦病毒種類

寄生型病毒(parasitic virus)

常駐型病毒(memory-resident virus)

開機型病毒(boot sector virus)

變形病毒(polymorphic virus)

變體病毒(metamorphic virus)

巨集病毒(macro virus)

電子郵件病毒(E-mail virus)

CH09 資通安全

slide70
防毒方法
  • 安裝防毒軟體
  • 定期更新防毒軟體的病毒碼與掃毒引擎。
  • 定期修正作業系統或應用軟體的漏洞。
  • 下載或匯入的檔案須經掃毒處理。
  • 不下載與執行來路不名的軟體、遊戲與多媒體檔案。
  • 不隨意使電腦系統連接行動碟。
  • 不輕易連接電子郵件中內嵌之網址或開啟其附件檔。

CH09 資通安全

slide72
危安事件處裡程序

收集步驟:有效率的收集網路危安事件行為或跡象包括事件相關物證

研析與辨識:就收集或偵測到的資料,正確且快速地研析並辨識系統和網路是否存在異常或網路危安事件

通報程序:依網路危安事件的程度明確地訂定通報的程序包括通報的對象、層級和內容

處置與復原程序:依網路危安事件的程度明確地訂定標準處置與復原流程,包括攔截、追查、根除、備份、重建和研析等實務處理程序

CH09 資通安全

slide73
結語

重視電腦系統與網路存在的安全威脅及其安全

三大基本安全需求:機密性(Confidentiality)、完整性(Integrity)與可用性(Availability)

確保網際網路上網站安全

虛擬私有網路技術透過網際網路建構不同網路間的安全通道

運作防火牆以提供確保電腦或企業內部網路與網際網路鏈接時保護機制

有效地防治電腦病毒

系統與網路可能發生的危安事件應考慮的處裡程序。

CH09 資通安全