2013 年

2013-01-30

啟動資安防護,從系統安全開始
Openfind 產品經理 詹傑淳

資訊安全一直以來都是各界最重視的一個議題,不論是傳統的就地部署(on-premises)服務系統,或是近年來興起的雲端服務(off-premises),資訊安全都一直持續遭受威脅及考驗。
 
回顧 2012 年,知名國際入口網站的資料庫主機遭受到駭客入侵,遭竊取的用戶帳號與密碼超過 45 萬筆,並且將取得的帳號與密碼全數公布於網路上;另外,某國際商業社群網站資料庫也遭受駭客的入侵,洩漏高達 650 萬筆會員資料,該名駭客也是將盜取的資料公布於論壇。經由上述案例,我們可以發現這些資安事件遭到曝光,都是因為駭客主動對外公布盜取的資料,其它尚未遭受曝光的駭客行為可能更難以估計。
 
即使資訊安全是現在各界最重視的一個項目,但是資料外洩及駭客入侵的新聞仍時有所聞,總是在一段時間內,就會有許多大量用戶的帳號密碼遭盜竊或是機密資料外洩的相關新聞,也導致許多用戶的權益遭受到嚴重的損害。根據 OWASP(The Open Web Application Security Project) 2012 年的統計,駭客的前 10 大網路攻擊手法如下表所示:
 

TOP
駭客攻擊手段
1
Injection
2
Cross Site Scripting / XSS
3
Broken Authentication / Session Management
4
Insecure Direct Object References
5
Cross Site Request Forgery
6
Security Misconfiguration
7
Insecure Cryptographic Storage
8
Failure to Restrict URL Access
9
Insufficient Transport Layer Protection
10
Unvalidated Redirects and Forwards

 
這些攻擊手法,主要可以歸納為下列三點:
1.      系統程式本身設計與開發的缺失
2.      系統權限控管的限制不足
3.      傳輸的管道不安全
 
由此可知,大部分的駭客是利用存在於系統本身的缺失,來達到入侵或資料竊取的目的。
 
以往談到資訊安全,通常大家防禦的焦點會放在網路傳輸、網站安全以及資料庫保護,系統本身的安全往往是大家最容易忽視的一環。系統在設計及開發的階段,如果沒有針對安全議題進行考量,就很容易造成系統本身的設計及架構上存在著嚴重的安全缺失。當系統上線後,就必須使用更多的防護機制來彌補系統安全性的不足,如此一來所花費的成本將會更加的巨大,因此系統的穩定及安全更顯得額外重要,安全穩固的系統即使遭受到強烈的攻擊,也可以將風險控制到最小。
 
啟動資訊安全的第一步,穩健的系統服務
 
Openfind 長久以來致力於研發安全的產品系統,透過累積數年來的實務經驗、豐碩的研發成果以及完善的產品開發,建構出高品質的產品系統。各項產品能夠長時間通過不同客戶與環境的嚴苛考驗,並且持續的提供高效能、安全以及穩定的系統服務,都要歸功於完備的開發流程。
 
 

 

‧訓練計畫

施行安全的產品開發流程,首先從工程師的「訓練計畫」開始,除了核心技術能力的淬煉外,培養研發設計的資訊安全意識,並建立良好的安全規範,讓往後產品規劃及開發的階段中,每研發人員都能自動的遵守與實踐。訓練的過程中,特別重視「避免 Buffer Overrun」、「Initialize Memory」、「避免 Memory Leak」及「避免 Double Free等關注於系統安全的訓練。這些都是最容易造成系統發生問題、漏洞產生及駭客攻擊風險的重點項目。以確立 Openfind 產品標準的穩定性及安全性。

‧系統開發

「系統開發」的過程中,安全的架構設計是非常重要的。如果是發生於系統架構上的安全性缺失或是漏洞,在未來的開發及維護上都不易將這些缺失彌補,最糟的情況下,可能需要將整個系統重新的設計及開發。因此系統設計的階段,會針對需求提出多種的架構設計,並且對各種設計方式進行評估及安全性議題的討論,確保設計出來的系統能兼顧安全及效率。實作的階段,除了遵守程式開發的安全規範外,在開發完成後,會針對完成的原始碼進行 code review;並且使用知名的原始碼檢測工具 Klocwork,進行安全性掃描,確保完成項目與功能的安全與穩定。 

‧品質確保

完成系統開發後的「品質確保」是不容忽視的階段,在此階段對系統品質進行把關。測試階段,透過大量 Testing Case 試,輔以全面的 Auto-testing,並使用知名網頁弱點掃描軟體 Acunetix,對系統進行掃描,檢測的重點包含了網頁最容易遭受到的攻擊性項目,如:SQL injectionCommand injectionCross-site scripting(XSS)…等等。並且參與工業局 FY101 資通訊安全產業推動計畫,與工研院雲端中心合作針對(雲端)資安相關產品進行雲端作業系統(ITRI-CCMA Cloud OS; Xen Hypervisor)相容性及防護能力檢測,檢測內容包含網頁及系統/網路弱點檢測,包含了 Web Application 掃描檢測工具:「HP WebInspect (商業用資安檢測軟體)」、「Google Skipfish (Google 開發檢測Web Vulnerability 工具)」;與 System/ Network 掃描工具:「McAfee MVM (FoundStone) (商業用資安檢測軟體)」、「Nessue (全球知名開源碼資安檢測工具)」。

‧技術支援

最後在「技術支援」的部分,Openfind 將安全的系統部署及專業的技術支援,也視為最重要項目之一。當客戶遇到技術相關問題或是發現系統潛在威脅時,Openfind 會在第一時間內回應,並用最快速的方式處理,避免客戶暴露在風險之中。

 
 
啟動資訊安全的第二步,安全防護機制
 
當確立系統的安全性之後,企業與外界溝通的傳輸管道及防護機制也是非常重要的。Openfind推出「郵件系統安全感知服務」協助企業更強化系統使用的安全,提供安全防護降低遭受攻擊的風險。
 

郵件系統安全感知服務

「郵件系統安全感知服務」的項目,首先是「建立安全的傳輸管道」。藉由郵件主機安裝 SSL 伺服器憑證,即可啟用 SSL 密傳輸保護;將使用者與郵件主機之間的傳輸進行加密,無須擔心資料外洩。

 密碼強度分析檢核模組
 
定期的針對使用者所設定的密碼進行強度的分析,對密碼強度不足的高風險帳號,提供「弱密碼帳號清單報表」給系統管理人員,以便可以及早通知帳號持有者知悉並進行密碼修改。
 
郵件資訊系統變更與稽核感知模組
 
系統主動針對系統檔案偵測權限的變更或異常的異動,預防有心者將木馬或後門程式植入系統內,非法惡意竊取資料,造成企業損失。
 
遠端登入採用動態密碼簡訊服務(One-time Password)
 
系統管理者對郵件系統透過遠端登入進行系統維護時,除了必須通過系統管理帳號的密碼驗證外,還需要透過系統發送至管理者手機的密碼,才能成功的登入系統,利用雙重的防禦機制,即使管理者的帳號密碼外洩,有心者也無法入侵系統,築起更加安全的防護機制。
 
結語
 
資訊安全是每個管理者都非常重視的議題,但面對現今多元的使用平台及複雜的網路環境,很容易會有新的威脅產生,防不勝防;除了需要注重資訊的傳輸安全之外,系統本身的安全也不容忽視。在面對新的威脅產生,唯有穩定及安全的系統,可以通過大環境嚴苛的考驗。Openfind 將會不斷的努力精進,持續的為使用者把關,提供高效能、安全以及穩定的系統服務。