資安防禦重點- 落實AP安全與端點管理

資安威脅越來越難以捉摸，資安解決方案的種類也越來越多，當最基礎的網路安全設備如：防火牆、入侵偵測(IPS)…等都已經具備了，下一步該怎麼做？該採購哪些資安解決方案，是IT/資安人員最關注的課題，以下將分別就政府與學校來探討其應注意的資安防禦重點。

政府資安防禦重點：避免資料外洩

政府部門擁有國家機密與民眾資料，一直是駭客/網軍攻擊的頭號目標，如何避免這些機密資料因為外部攻擊或內部公務員疏失而外洩，自然成為政府資安維運的主要目的。從前述文章中可以看出，政府資料外洩有很大一部份的原因在於，AP程式不安全，像今(2013)年5月底發生的電子公文事件，便是因為駭客取得了程式碼，再利用一句話木馬技術，將偽裝成更新程式的惡意程式，直接push到使用者電腦中。

落實AP安全與端點管理

其實，許多政府部門的資訊系統都存在歷史包袱，少數有預算的重點單位可以打掉重做，重新做好原始碼保存管理，但大多數的單位只能繼續使用這些早期開發且找不到維運廠商的AP。

零售業個資保護注意事項草案 僅針對資本額1千萬以上

個人資料保護法及施行細則自去(2012)年10月1日上路後，目前僅有4個主管機關已公佈個資檔案安全維護計畫。

 

包括管轄範圍大的經濟部或管轄重要產業的金管會都尚未公佈最後正式版本，主要原因是主管機關為免對產業造成過大衝擊，因此持續進行協調中。然而據指出，目前針對零售業，主管機關經濟部商業司已制訂「零售業個資保護注意事項草案」，此份「注意事項」將適用於登記資本額新台幣1000萬元以上者。

 

經濟部商業司持續推廣個資保護管理制度TPIPAS，日前在說明會中，資策會科法所說明最新零售業個資保護注意事項草案的內容。科法所法律研究員蕭崴仁指出，目前此份注意事項僅適用無店面零售業及採會員制的其他綜合零售業，不含行動或電視購物業者，且針對資本額新台幣1000萬元以上才需符合。

DNS攻擊 紐約時報和Twitter也中槍

敘利亞電子軍(Syrian Electronic Army，SEA)在八月份相當活躍，繼8/15攻擊美國有線電視新聞網(CNN)、時代雜誌(Time)及華盛頓郵報(Washington Post)旗下網站後，又於8/27再度發動DNS攻擊，入侵紐約時報(New York Times)和Twitter。


紐約時報網站在8/27下午發生斷斷續續的網路故障問題並持續了數個小時，雖然紐約時報一開始表示是因為技術性的問題，不過不久後就對外證實是遭受SEA駭客組織的DNS攻擊所致，紐約時報並同時呼籲其員工在這段時間內避免發送敏感郵件。此外，Twitter也在當天證實遭到駭客入侵，且DNS記錄被竄改。

雲端身分認證機制 - SAS驗證(動態密碼 / 雙因素認證)，最有效防止非法登入的雲端解決方案

SAS驗證合法登入，最有效防止非法登入的雲端解決方案

【為什麼公司需要這個呢 】
∙帳號非法登入比你想像中還容易發生
以下任何一種常見的行為都可能讓你的帳號密碼失竊
1.使用的電腦中毒或有木馬軟體
2.多個網站用相同的密碼
3.按下E-mail中的危險連結
※透過雙因素驗證，可以有效解決不肖人士的不當登入

身分資訊竊取 - 美國起訴5名竊取1.6億張信用卡資訊的駭客

5名駭客被控共謀入侵電腦網路，並竊取個人身份及金融資訊，估計已藉此蒐集了逾1.6億個信用卡或簽帳卡號碼，然後透過黑市銷售。

美國聯邦檢察官本周起訴5名駭客，這些駭客竊取了超過1.6億張的信用卡與簽帳卡資訊，並透過黑市銷售，這也是美國史上遭到起訴的最大宗資料外洩詐騙案。

身份認證器 - SafeNet eToken 5200

SafeNet eToken 5200 是一個零足跡的 USB 身份驗證解決方案，為用戶提供基於 web 應用程式的安全訪問，SSL VPNs 網路，雲端應用和基於 web 的用戶，可來自任何一台電腦而不需要用戶端驅動軟體。

SafeNet eToken 5200 結合強大的、 基於證書的身份驗證，完整移動性，和隨插即用簡潔的裝置，提供一系列強大的業務、協助工具和安全性方面的好處。SafeNet eToken 5200 還支援由 SafeNet 和身份驗證管理器，通過精簡的所有身份驗證操作，包括部署、 配置、 註冊和日常維護，以及遺失令牌後的支援作業。
 

資訊安全防護 - 做好伺服器防護措施

日本NTT Com週三（7/24）表示，內部伺服器遭非法存取置入惡意程式，此事件導致可登入該社各種網路服務的專用帳號OCN ID有外洩風險，估計約有400萬帳號受影響。

駭客遠端攻擊 - 技術有瑕疵 5億手機恐遭駭

聯合國國際電信聯盟告訴路透社，計劃發函警告世界各國和業者，手機技術發現嚴重缺陷，可能讓駭客能夠從遠端攻擊或控制至少5億支行動電話。

柏林的安全研究實驗室（Security Research Labs）發現，這個程式錯誤（bug）能使駭客從遠端控制並複製某些手機的SIM卡。

安全研究實驗室表示，駭客能用被駭的SIM卡從事金融犯罪或電子偵監。安全研究實驗室將於7月31日在拉斯維加斯舉行的黑帽（Black Hat）駭客會議上說明問題所在。

正修科大 洩200學生個資

高雄正修科技大學管理學院資訊創新服務中心遭投訴外洩200餘名學生個資，從網路上就可查到這些學生姓名、身分證字號、E-mail帳號、手機、家裡電話、地址，一覽無遺。

資訊安全防護 - 主機安全稽核

自從網際網路開始連接了原本需仰賴傳統媒介的世界後，每日訊息的交換不斷的增加。逐漸的，網路的速度越來越快，訊息的傳遞越來越豐富，傳遞的方式也越來越多，從 Web 1.0 到現在所提出的 3.0 概念，所有的資訊也開始從原本集中的資訊儲存到分散再回到現有的雲端概念，每個人也開始對於所擁有、公開、利用、分享的訊息是如何被保護也開始重視。

個資安全防護 - Facebook臭蟲可能導致600萬用戶資料外洩

Facebook上周指出，該站透過與外部安全研究人員合作的白帽計畫（White Hat program）發現了一個臭蟲，該臭蟲有可能讓其他用戶存取約600萬名用戶的個人電子郵件位址或電話號碼。

Facebook解釋了該臭蟲發生的原因，表示當用戶上傳聯絡人資訊至Facebook時，Facebook會針對這些資料進行比對來供友人推薦服務，例如會推薦用戶邀請那些在聯絡人名單上但尚未成為Facebook用戶的使用者，而不會推薦那些已在Facebook上的聯絡人。

數位身分認證解決方案

 
概述︰
多因素數位身分驗證的解決方案，可幫助企業提供員工、客戶及合作夥伴在任何時間、任意地點，利用任何一台電腦，透過網路的方式，安全的登入個人資訊。提供高效率強大的身分驗證，包含一次性密碼令牌或 USB 令牌與任何基於 RADIUS 驗證閘道器、應用程式整合，包括頂尖的 VPN 解決方案、安全的 WEB 訪問解決方案等。

全球首款加密虛擬機器管理程式(Crypto Hypervisor)

SafeNet 今天宣佈推出限量版 SafeNet Crypto Hypervisor ( SafeNet 密碼超級監控 ) 解決方案，作為其安全突破策略的一部分，説明各組織以高效且可擴展的方式實現其密碼資源的虛擬化，並確保所有的資料都得到安全的加密，即使轉移到虛擬化環境也能防止資料遺失。

採用SafeNet Crypto Hypervisor 後，IT 部門和服務提供者可跨越實體環境、虛擬環境以及雲端環境提供的需求，彈性的金鑰保險存儲和加密服務，只需要數分鐘即可完成數天前才能完成的工作。此解決方案的高安全加密服務充分滿足雲端營運模式需求，可説明了發掘虛擬化技術的成本潛力與優勢，且不會降低安全性或合規性。

IT 部門對加密服務的交付(如安全的金鑰存儲)有著全面性集中控制。使用者對其加密服務也有著全面性控制，並且可確保其他租戶和管理員無法訪問其加密金鑰。

數位簽章服務 - 動態密碼產生器

線上服務認證方案為線上服務供應商及機構帶來商業價值，為遠端用戶 ( 客戶、夥伴廠商、內部用戶) 提供強力安全認證，易於在操作的平台上獲取網頁服務、數位簽章服務。

SafeNet 廣泛的隨插即用漫遊和基於軟體的驗證解決方案，是垂直市場的理想方案。包含銀行金融、信託中心、健康護理、教育和政府機構。線上服務認證解決方案能平衡高度安全性和簡易性操作，提供給成千上萬的用戶安全又便捷的服務。

OTP動態密碼鎖 - 雙因素認證

概述︰
多因素數位身分驗證的解決方案，可幫助企業提供員工、客戶及合作夥伴在任何時間、任意地點，利用任何一台電腦，透過網路的方式，安全的登入個人資訊。提供高效率強大的身分驗證，包含一次性密碼令牌或 USB 令牌與任何基於 RADIUS 驗證閘道器、應用程式整合，包括頂尖的 VPN 解決方案、安全的 WEB 訪問解決方案等。

eToken 網路登入 - 線上身分認證

線上服務認證
線上服務認證方案為線上服務供應商及機構帶來商業價值，為遠端用戶 ( 客戶、夥伴廠商、內部用戶) 提供強力安全認證，易於在操作的平台上獲取網頁服務、數位簽章服務。

SafeNet 廣泛的隨插即用漫遊和基於軟體的驗證解決方案，是垂直市場的理想方案。包含銀行金融、信託中心、健康護理、教育和政府機構。線上服務認證解決方案能平衡高度安全性和簡易性操作，提供給成千上萬的用戶安全又便捷的服務。

個資安全,資料保護

【從法規面解讀 7大產業如何遵循個資法】系列~~銀行業：消金資料禁止國際傳輸

ＯＯ銀行報廢電腦委外銷燬未全程監督，客戶個資外洩

ＯＯ銀行去年把計畫要銷毀的電腦委外處理，但銷毀過程中，ＯＯ銀行人員沒有全程監控，導致部分電腦的硬碟資料外流到二手市場，金管會裁定ＯＯ銀行200萬元罰鍰。金管會委官員說，ＯＯ銀行計畫銷毀27台個人電腦，並將電腦設備委外給外部廠商銷毀，ＯＯ銀行的人員沒有全程監控，其中11台個人電腦的硬碟外流到二手市場；這凸顯銀行在汰換電腦時，內稽內控出現缺失，該銀行並沒有建立妥適的資訊安全管控程序。（聯合報/20120601）。

登入驗證 - 遠端存取身份認證應用

多因素認證在所有組織裡扮演著一個重要的功能 – 以獲取接觸企業的網路，保護用戶的身分並確認要求使用者是誰。近期引人注意的安全漏洞、不斷改變的商業環境，為了存取控制需要有全新的考量。像是 SaaS 應用和移動式設備管理 – 扮演著在信賴和控制中如何被建立和維護。

由於新的威脅、風險和漏洞以及不斷演進的企業需求，在控制、選擇和未來的擴展性，需要一個強大的身份認證做為基礎。

公司行號較熟悉的安全防護措施，仍然是資料備份,加密,稽核

保護個資，企業已責無旁貸，如今除了用資料加密、權限控管，讓不相干的人員無法存取個資，但是對於被授權操作系統的人員，以及資訊系統管理者、應用程式開發人員而言，也需加以防範。

以往個人資料因為各方經手處理的業者，作法不夠審慎，而使得這些資料一不小心就暴露在外，當有心人士蒐集、處理、利用後，又導致我們在日常生活中受到不必要的 打擾。例如收到廣告信、促銷產品或服務的簡訊或電話，甚至被詐騙集團欺騙，而使得存款或銀行帳號被盜用，這些事件時有所聞。

駭客計畫於2013年春季攻擊30家美國銀行

繼安全公司RSA在今年十月發出警告，指出一個名為Project Blitzkrieg的網路攻擊行動將鎖定30家美國銀行，以竊取其用戶帳戶中的金額後，McAfee日前也發布一份安全報告指出，該網路攻擊計畫確實存在，而且即將在2013年春季展開，因此呼籲銀行業者必須高度警戒。