掌握正確防護概念 擬定制勝的資安策略

  • 魏淑芳
有鑑於眾多企業苦思如何遏阻駭客入侵、如何保護營業機密,及如何維繫商務系統之正常運作,DIGITIMES特別於日前假北中南三地,邀集產業菁英展開一系列「企業資安日論壇」,提供豐盛的資安知識饗宴。

DIGITIMES企劃

回顧2013至2014年期間,令人震驚的資料外洩事件,一波波接著上演,包括全美最大美容用品供應商的Sally Beauty,慈善連鎖超市Goodwill、大型的辦公用品連鎖業者Staples,都先後淪為受難苦主;但更讓全球矚目的重大事故,則是全美第二大零售商Target、Sony影業的遭駭事件,綜觀許多以資安為主題的研討會,往往都拿這兩大案例當做教材。

按理說,已有如此多企業機構遭到駭客蹂躪,其餘企業理當引為借鏡,趕緊強化資安防禦才是,時至2015年,應該不會再重演重大資安事故;但可借的是,GitHub遭遇史上最大規模DDoS攻擊,依然教人怵目驚心。

可怕的是,前述一干受難的企業機構,絕非疏於善盡資安防護,但終究無法從惡意攻擊活動中全身而退,顯見近年來資安威脅更為可怕,不論是讓人聞之色變的進階持續威脅(APT)、分散式阻斷服務(DDoS)攻擊,都迫使現代企業陷入前所未見的險境。

值得一提的是,隨著行動裝置、雲端服務、物聯網(IoT)等新科技應用不斷湧現,固然帶給企業莫大商業機遇,但同時也導致IT管理環境趨於複雜,讓營業資訊外洩風險驟增,甚至危及企業正常營運,同時嚴重減弱企業競爭力。

威脅接踵而至  企業亟需累積防禦知識

有鑑於眾多企業苦思如何遏阻駭客入侵、如何保護營業機密,及如何維繫商務系統之正常運作,乃至於思索如何藉由設備採購、管理流程與觀念的轉變,以期建立符合新環境的資訊安全策略。為此DIGITIMES特別於日前假北中南三地,展開一系列「企業資安日論壇」,期盼為廣大企業IT管理者,提供豐盛的資安知識饗宴。

環顧此次企業資安日論壇的議程設計,可謂涵蓋諸多面向。針對企業內網環境的安全議題,包括深具14年DDoS防禦歷練的Arbor Networks,闡述如何建構多層防禦機制以抵抗難纏的DDoS攻擊;專業資安產品代理商翔偉資安科技,闡述企業如何突破人力或預算限制,仍可藉由網路正規化、端點防護等基本功,減少遭受APT等惡意攻擊的機率;依德科技則提倡內外兼顧的資安聯防觀念,藉以抵禦未知安全威脅。

除此之外,台灣思科系統有感於傳統企業資安防護過度偏重「預防」,鮮少關注遭到攻擊過後的「修正」議題,遂提出一個橫跨攻擊前、中、後等不同階段的安全新模型。另一方面,台灣優利系統也特別介紹堪稱獨特的取「網路隱身術(Stealth Solution)」,強調若能令駭客無法窺視企業網路環境,即可大幅增強機敏資訊的保全實力。

面對APT或DDoS等新型態威脅,企業意欲善加攔阻,難度可謂不低,不管設備整備度、人員專業技能,在在都是問題,亦無充裕財力可以補足這些資源缺口,值此時刻,雲端資安服務不啻是一個值得評估採納的選項,而中華電信也一舉端出SmartSOC巨量資料蒐尋保存服務、APT狙擊手、DDoS防護等內容,為企業指出新型態防禦機制的建構之道。

駭客精進攻擊手段  防守一方豈能懈怠?

當然不可諱言,企業不吝投入可觀資訊預算,藉此建立Anti-Spam、Web Filtering、入侵防禦系統(IPS)、Antivirus、WAF...等一干資安防護系統,終極目標即是牢牢守護珍貴的資訊資產,以確保關鍵任務能夠恆常運行。因此DIGITIMES特別設想了許多可能干擾企業資料保全的風險來源,邀集對此夙有專精的產業界專家現身說法,希冀幫助企業點出一些潛在危機。

比方說,企業在窮盡一切努力布局邊界防護的同時,卻往往忽略,內部網路的威脅其實更加可怕,理應針對特權帳戶善加管理,即由力悅資訊闡述如何補強此一罩門。擅於資料外洩防護(DLP)技術的精品科技,有感於隨著行動裝置、雲端應用的盛行,已使得企業苦心建立的IT治理架構,逐漸顯露更多破綻,遂提出行動雲端的管控建議,期使企業擴大IT疆界治理能力,嚴加捍衛機敏資料。

另外,Black Duck Software從開源安全性漏洞的自動檢測與修復的角度,闡述企業如何化解這個過往多所忽略、但不乏執行難度的隱憂。至於嘉航科技則闡述如何透過私有雲、虛擬桌面、加密技術等元素,協助製造業建構研發雲,以確保研發資訊無論落地與否,都無洩漏疑慮。

針對行動裝置衍生的全新威脅,來自安華聯網科技、亞洲大學等產學界菁英,都提出頗值得參考的防禦觀念。

此外來自國家高速網路與計算中心、安創資訊的講師,則將資安防禦、巨量資料分析甚至是IoT等看似不同的技術概念,加以巧妙融合,意外擦出令人驚艷的火花,使企業用戶不禁恍然大悟,原來一直處心積慮想要透析惡意攻擊的全貌,結果花了力氣建立資安事件管理平台(SIEM)、日誌管理系統,充其量也不過只是看到冰山一角。

唯有納入更多樣本、更多分析來源,才足以洞察惡意攻擊事件的真正來龍去脈,而只有參透這些玄機,也才能徹底拔除病根,避免相同攻擊事故再次重演。

更重要的,DIGITIMES特邀兆益數位總經理、同時也是中華民國電腦稽核協會理事主委的莊盛祺擔任講師,從COBIT 5治理架構的制高點,闡述企業內部資安與電腦稽核管理之道,特別在於如何確保企業營運目標與IT發展策略維持一致,點出相當精闢的見解,只因企業若僅單獨實行COSO內部控制制度框架,其實是不夠的,其對於影響內部控制流程的資訊系統特性,並沒有太多著墨,而COBIT 5正是突破僵局的可行之計。

總括而論,面對APT、DDoS,甚至是勒索軟體、入侵雲端服務、攻擊開源套件漏洞...等一波波新式威脅接踵而至,企業必須有所體悟,既然駭客花費了如此多的時間與精神,持續精進攻擊與滲透手法,身為防護的一方,亦應該提升對等的能力,才不致讓攻守均勢失衡而陷於危殆。