資訊與網路安全簡介. 2本章內容 0.1 前言 0.2 資訊系統之安全分析 0.3...
Post on 19-Dec-2015
296 views
TRANSCRIPT
資訊與網路安全簡介資訊與網路安全簡介
2
本章內容本章內容
0.1 前言0.2 資訊系統之安全分析0.3 資訊安全的威脅0.4 資訊安全基本需求0.5 資訊安全之範疇0.6 安全的資訊系統架構0.7 資訊安全流程
0.1 前言0.2 資訊系統之安全分析0.3 資訊安全的威脅0.4 資訊安全基本需求0.5 資訊安全之範疇0.6 安全的資訊系統架構0.7 資訊安全流程
3
0.10.1 前言前言
• 資訊訊科技為人類帶來便利的生活，我們在享受這些科技帶來的便利之餘，卻常常忽略了這些科技背後所潛在的安全問題。
• 網路對於生活影響程度與日俱增，駭客利用網路從事電腦犯罪也屢見不鮮。
• 要如何保護在網路中傳遞及儲存於電腦系統之機密資料，免於遭受未經授權人員之竊取、篡改、偽造，則是資訊時代當務之急。
• 資訊訊科技為人類帶來便利的生活，我們在享受這些科技帶來的便利之餘，卻常常忽略了這些科技背後所潛在的安全問題。
• 網路對於生活影響程度與日俱增，駭客利用網路從事電腦犯罪也屢見不鮮。
• 要如何保護在網路中傳遞及儲存於電腦系統之機密資料，免於遭受未經授權人員之竊取、篡改、偽造，則是資訊時代當務之急。
4
資通安全注重的三種資料類型資通安全注重的三種資料類型
• 機密資料– 只允許經授權的人存取，禁止非經授權者存取或閱讀。– 例如軍事、情報、以及有關國家安全之資料。
• 敏感資料– 政府、機構、企業等具敏感性之資料。
• 正確資料– 保護該資料之正確性及有效性，禁止該資料被破壞、偽造以及篡改。
• 機密資料– 只允許經授權的人存取，禁止非經授權者存取或閱讀。– 例如軍事、情報、以及有關國家安全之資料。
• 敏感資料– 政府、機構、企業等具敏感性之資料。
• 正確資料– 保護該資料之正確性及有效性，禁止該資料被破壞、偽造以及篡改。
5
0.20.2 資訊系統之安全分析資訊系統之安全分析
6
弱點分析弱點分析
• 對整個系統架構進行瞭解及測試，系統架設了哪些硬體（例如 : 路由器 (Router) ）、使用哪一種作業系統（例如 :Linux ）、使用了哪些通訊協定（例如 :TCP/IP ）、哪些人會使用本系統、授權了哪些權限給使用者等等。
• 管理者瞭解這些資訊後，進而分析系統的弱點在那裡、哪些人有可能會來攻擊此系統、他們的目的是什麼、以及要攻擊哪些地方。
• 對整個系統架構進行瞭解及測試，系統架設了哪些硬體（例如 : 路由器 (Router) ）、使用哪一種作業系統（例如 :Linux ）、使用了哪些通訊協定（例如 :TCP/IP ）、哪些人會使用本系統、授權了哪些權限給使用者等等。
• 管理者瞭解這些資訊後，進而分析系統的弱點在那裡、哪些人有可能會來攻擊此系統、他們的目的是什麼、以及要攻擊哪些地方。
7
威脅分析威脅分析
• 瞭解系統的弱點之後，進而要分析系統所可能遭受的安全威脅及攻擊，常見入侵並危及系統安全的方式，包含利用電子郵件、利用 Telnet 遠端登入、施放電腦病毒、試圖得到具有高存取權限的帳號、刪除或移動檔案等。
• 有關電腦網路安全相關威脅及事件，請參考美國電腦網路危機處理暨協調中心 (http://www.cert.org/) 及臺灣電腦網路危機處理暨協調中心 (TWCERT/CC) (http://www.cert.org.tw/) 。
• 瞭解系統的弱點之後，進而要分析系統所可能遭受的安全威脅及攻擊，常見入侵並危及系統安全的方式，包含利用電子郵件、利用 Telnet 遠端登入、施放電腦病毒、試圖得到具有高存取權限的帳號、刪除或移動檔案等。
• 有關電腦網路安全相關威脅及事件，請參考美國電腦網路危機處理暨協調中心 (http://www.cert.org/) 及臺灣電腦網路危機處理暨協調中心 (TWCERT/CC) (http://www.cert.org.tw/) 。
8
對策分析對策分析
• 針對這些弱點及所面臨的安全威脅，研擬安全策略及所需的安全機制。例如，
存取控制、使用者認證等。
• 針對這些弱點及所面臨的安全威脅，研擬安全策略及所需的安全機制。例如，
存取控制、使用者認證等。
9
風險分析風險分析• 評估系統風險，對於重要資料我們可以採取更進一步的防護。例如，備份、回復處理等，以防止系統發生安全問題時，可以確保重要資料的正確性， 以降低問題發生時所帶來的損失。
• 安全漏洞所造成之損失包括有形損失及無形損失。
– 有形損失包括硬體及軟體設備、人力成本、雜支成本、及其他因工作延宕所造成之損失。
– 無形的損失則是指公司形象受到影響，其損失費用無從計算。
• 通常投資在資訊安全之費用，應小於系統發生安全漏洞後所造成之損失，但要大於其損失十分之一。
• 評估系統風險，對於重要資料我們可以採取更進一步的防護。例如，備份、回復處理等，以防止系統發生安全問題時，可以確保重要資料的正確性， 以降低問題發生時所帶來的損失。
• 安全漏洞所造成之損失包括有形損失及無形損失。
– 有形損失包括硬體及軟體設備、人力成本、雜支成本、及其他因工作延宕所造成之損失。
– 無形的損失則是指公司形象受到影響，其損失費用無從計算。
• 通常投資在資訊安全之費用，應小於系統發生安全漏洞後所造成之損失，但要大於其損失十分之一。
10
0.3 0.3 資訊安全的威脅資訊安全的威脅資訊安全的目的—在於保護所有資訊系統資源
• 防止未經授權者得到有價值的資訊。
• 防止未經授權者偷竊或拷貝軟體。
• 避免電腦資源（例如，印表機、記憶體等）被盜用。
• 避免電腦設備受到災害的侵襲。
資訊安全的目的—在於保護所有資訊系統資源
• 防止未經授權者得到有價值的資訊。
• 防止未經授權者偷竊或拷貝軟體。
• 避免電腦資源（例如，印表機、記憶體等）被盜用。
• 避免電腦設備受到災害的侵襲。
11
資訊安全的威脅資訊安全的威脅• 天然或人為 - 天然的威脅導因：天然災害 - 人為的威脅導因：管理人員的疏失• 蓄意或無意 - 蓄意的威脅導因：企圖破解系統安全 - 無意的威脅導因：系統管理不良• 主動或被動 - 被動的威脅行為：不會更改電腦系統資料 - 主動的威脅對象：電腦系統上資料會被篡改• 實體或邏輯 - 實體的威脅對象：實際存在之硬體設備 - 邏輯的威脅對象：電腦系統上的資料
• 天然或人為 - 天然的威脅導因：天然災害 - 人為的威脅導因：管理人員的疏失• 蓄意或無意 - 蓄意的威脅導因：企圖破解系統安全 - 無意的威脅導因：系統管理不良• 主動或被動 - 被動的威脅行為：不會更改電腦系統資料 - 主動的威脅對象：電腦系統上資料會被篡改• 實體或邏輯 - 實體的威脅對象：實際存在之硬體設備 - 邏輯的威脅對象：電腦系統上的資料
12
0.4 0.4 資訊安全基本需求資訊安全基本需求
資訊安全基本需求資訊安全基本需求
稽核(Audit)
稽核(Audit)
機密(Confidentiality)
機密(Confidentiality)
辨識(Authentication)
辨識(Authentication)
完整性(Integrity)
完整性(Integrity)
不可否認(Non-repudiation)
不可否認(Non-repudiation)
存取控制(Access Control)
存取控制(Access Control)
可用性(Availability )
可用性(Availability )
13
• 確保資訊的機密，防止機密資訊洩漏給未經授權的使用者。機密性資料內容不能被未經授權者所竊知，僅能被授權者所存取。
• 存取包括讀出、瀏覽、及列印。另外「資料是否存在於系統」也是一項很重要資訊。
• 可透過資料加密程序來達到資料的保密性或機密性。
• 確保資訊的機密，防止機密資訊洩漏給未經授權的使用者。機密性資料內容不能被未經授權者所竊知，僅能被授權者所存取。
• 存取包括讀出、瀏覽、及列印。另外「資料是否存在於系統」也是一項很重要資訊。
• 可透過資料加密程序來達到資料的保密性或機密性。
保密性或機密性 保密性或機密性 (Confidentiality)(Confidentiality)
14
完整性完整性 (Integrity)(Integrity)
• 資料內容僅能被合法授權者所更改，不能被未經授權者所篡改或偽造。
• 資料完整性必需要確保資料傳輸時，不會遭受竄改，以保證資料傳輸內容之完整性。
• 數位簽章，可用來確保資料傳輸過程中，不會被駭客篡改及偽造，以確保資料之完整性。
• 資料內容僅能被合法授權者所更改，不能被未經授權者所篡改或偽造。
• 資料完整性必需要確保資料傳輸時，不會遭受竄改，以保證資料傳輸內容之完整性。
• 數位簽章，可用來確保資料傳輸過程中，不會被駭客篡改及偽造，以確保資料之完整性。
15
鑑別性 鑑別性 (Authentication)(Authentication)
包括身份鑑別 (Entity Authentication) 及資料（或訊息）來源鑑別 (Data or Message Authentication) 。• 訊息來源的鑑別
– 是要能確認資料訊息之傳輸來源，以避免有惡意的傳送者假冒原始傳送者傳送不安全的訊息內容。
– 一般利用數位簽章或資料加密等方式來解決訊息的來源鑑別問題。
• 身份鑑別– 使用者身份的識別是要能快速且正確地驗證使用者身份。
– 為了預防暴力攻擊的惡意侵犯，對於使用者身份驗證的時效性比起訊息驗證要來得嚴謹。
包括身份鑑別 (Entity Authentication) 及資料（或訊息）來源鑑別 (Data or Message Authentication) 。• 訊息來源的鑑別
– 是要能確認資料訊息之傳輸來源，以避免有惡意的傳送者假冒原始傳送者傳送不安全的訊息內容。
– 一般利用數位簽章或資料加密等方式來解決訊息的來源鑑別問題。
• 身份鑑別– 使用者身份的識別是要能快速且正確地驗證使用者身份。
– 為了預防暴力攻擊的惡意侵犯，對於使用者身份驗證的時效性比起訊息驗證要來得嚴謹。
16
可用性 可用性 (Availability)(Availability)
• 確保資訊系統運作過程的正確性，以防止惡意行為導致資訊系統毀壞 (Destroy) 或延遲 (Prolong) 。
• 確保資訊系統運作過程的正確性，以防止惡意行為導致資訊系統毀壞 (Destroy) 或延遲 (Prolong) 。
17
不可否認性 不可否認性 (Non-repudiation)(Non-repudiation)
• 在資訊安全需求中，對於傳送方或接收方，都不能否認曾進行資料傳輸或接收，意即傳送方不得否認其未曾傳送某筆資料，而接收方亦無法否認其確實曾接收到某訊息資料。
• 數位簽章及公開金鑰基礎架構（ Public Key Infrastructure ，簡稱 PKI ）對使用者身份及訊息來源做身份驗證及資料來源驗證 ，並可再與使用者在系統上的活動進行連結，以達權責歸屬及不可否認性。
• 在資訊安全需求中，對於傳送方或接收方，都不能否認曾進行資料傳輸或接收，意即傳送方不得否認其未曾傳送某筆資料，而接收方亦無法否認其確實曾接收到某訊息資料。
• 數位簽章及公開金鑰基礎架構（ Public Key Infrastructure ，簡稱 PKI ）對使用者身份及訊息來源做身份驗證及資料來源驗證 ，並可再與使用者在系統上的活動進行連結，以達權責歸屬及不可否認性。
18
存取控制 存取控制 (Access Control)(Access Control)
• 資訊系統內每位使用者依其服務等級而有不同之使用權限。服務等級越高者其權限越大，相反的，服務等級越小者其權限越小。
• 存取控制主要是根據系統之授權策略，對使用者作授權驗證，以確認是否為合法授權者，防止未授權者來存取電腦系統及網路資源。
• 資訊系統內每位使用者依其服務等級而有不同之使用權限。服務等級越高者其權限越大，相反的，服務等級越小者其權限越小。
• 存取控制主要是根據系統之授權策略，對使用者作授權驗證，以確認是否為合法授權者，防止未授權者來存取電腦系統及網路資源。
19
稽核 稽核 (Audit)(Audit)
• 資訊系統不可能達到絕對安全 (百分之百 ) 。
• 我們必須藉由稽核紀錄 (Audit Log) 來追蹤非法使用者，一旦發生入侵攻擊事件，可以盡快找到發生事件之原因，以做為回復系統 (Recovery) 及未來能偵測此類入侵手法，以防止再一次入侵系統。
• 資訊系統不可能達到絕對安全 (百分之百 ) 。
• 我們必須藉由稽核紀錄 (Audit Log) 來追蹤非法使用者，一旦發生入侵攻擊事件，可以盡快找到發生事件之原因，以做為回復系統 (Recovery) 及未來能偵測此類入侵手法，以防止再一次入侵系統。
20
• 資訊安全的領域相當廣泛，所有可確保資訊系統正常運作及確保機密資料之保密及完整性的機制都涵蓋在內。
• 資訊安全的領域相當廣泛，所有可確保資訊系統正常運作及確保機密資料之保密及完整性的機制都涵蓋在內。
0.5 0.5 資訊安全之範疇資訊安全之範疇
21
資訊管理系統架構資訊管理系統架構
22
組織中完整的安全系統元件組織中完整的安全系統元件• 使用者
– 系統的使用人員可能是組織中的員工或顧客。• 操作介面
– 對於不同等級的使用者，必須要提供不同的頁面。• 後端程式
– 負責處理回應使用者所要求的服務，若使用者要取得資料庫中的資料，也必須透過此系統元件存取，後端程式可說是系統中之靈魂。
• 資料庫– 系統主要資料來源的部分，即為最大儲存單位資料庫，負責保存重要資料與一般資料，依據不同需求，而有不同的資料格式與儲存方式。
• 使用者– 系統的使用人員可能是組織中的員工或顧客。
• 操作介面– 對於不同等級的使用者，必須要提供不同的頁面。
• 後端程式– 負責處理回應使用者所要求的服務，若使用者要取得資料庫中的資料，也必須透過此系統元件存取，後端程式可說是系統中之靈魂。
• 資料庫– 系統主要資料來源的部分，即為最大儲存單位資料庫，負責保存重要資料與一般資料，依據不同需求，而有不同的資料格式與儲存方式。
23
0.6 0.6 安全的資訊系統架構安全的資訊系統架構• 外圍層牽涉到有關電腦系統周邊外圍
之環境因素。• 外部層是使用者與系統間介面層次，
所牽涉到是個別使用者所能操作到的系統。
• 中心層則是內部層與外部層溝通橋樑。• 內部層牽涉到資料實際儲存及管理的
方式。• 分析層牽涉到系統之管理及安全威脅
之分析。• 法律層牽涉到有關資訊安全相關的法律條文。
以資訊安全角度來區分
24
電腦作業系統安全架構電腦作業系統安全架構 (( 以技術觀點以技術觀點 ))
25
0.70.7 資訊安全流程 資訊安全流程
26
組織整體的資訊安全管理系統：組織整體的資訊安全管理系統： ISO27001ISO27001 架構架構(1/6)(1/6)
• ISO27001ISO27001 的主要控管架構的主要控管架構– 目前國際間最知名、最普遍被採用的資訊安全規目前國際間最知名、最普遍被採用的資訊安全規範就是所謂的 範就是所謂的 ISO27001ISO27001 （原來稱為（原來稱為 BS779BS77999 ）標準，）標準， 20052005年被年被 ISOISO接受改名為接受改名為 ISO2700ISO270011 。。
• 資安的政策與組織構面資安的政策與組織構面– 資訊安全政策資訊安全政策
• 主要的目的在於明確並廣泛陳述組織資安的願景與方主要的目的在於明確並廣泛陳述組織資安的願景與方向。資訊安全政策可以形成企業由上而下的安全共識；向。資訊安全政策可以形成企業由上而下的安全共識；此外這項政策是一個企業此外這項政策是一個企業 ISMSISMS 的最高指揮方針，並的最高指揮方針，並以此方針來規範以下其他所有的控管作業。以此方針來規範以下其他所有的控管作業。
27
組織整體的資訊安全管理系統：組織整體的資訊安全管理系統： ISO27001ISO27001 架架構構 (2/6)(2/6)
– 安全組織安全組織 (Security Organization)(Security Organization)• 資訊安全的推動，必須要有適當的組織架構來支援。分為下列兩種組織：資訊安全的推動，必須要有適當的組織架構來支援。分為下列兩種組織：
– 內部安全組織：此部分的主要控管作業包括管理單位對資安的承諾、資安內部安全組織：此部分的主要控管作業包括管理單位對資安的承諾、資安工作的協調、責任的配置、授權的程序、保密的協議、獨立的資安審查等。工作的協調、責任的配置、授權的程序、保密的協議、獨立的資安審查等。
– 外部安全組織：主要工作是當資安工作委外給資訊安全管理提供者外部安全組織：主要工作是當資安工作委外給資訊安全管理提供者 (MSSP)(MSSP) ，，如何識別與管理中間的風險，雙方安全如何分工與管理等都是這個層面所如何識別與管理中間的風險，雙方安全如何分工與管理等都是這個層面所需要考慮的。需要考慮的。
– 資產管理資產管理 (Asset Management)(Asset Management)• 資產責任資產責任• 資產風險分類：將資訊資產分類，目的在於顯現出組織重視資訊資產的資產風險分類：將資訊資產分類，目的在於顯現出組織重視資訊資產的
保護，並且依優先權不同的資訊資產給予適當安全措施。保護，並且依優先權不同的資訊資產給予適當安全措施。
28
組織整體的資訊安全管理系統：組織整體的資訊安全管理系統： ISO27001ISO27001 架構架構(3/6)(3/6)
• 資安的作業控管面資安的作業控管面– 人員安全的明定人員安全的明定 (Personnel Security)(Personnel Security)
• 人員聘僱之前人員聘僱之前• 聘僱期間聘僱期間• 聘僱終止或變更：此時要有清楚的程序來移除其 聘僱終止或變更：此時要有清楚的程序來移除其 ISIS的存取權限，終止其職責與歸還資產等，不讓其有機的存取權限，終止其職責與歸還資產等，不讓其有機會與權限破壞組織資安的機會。會與權限破壞組織資安的機會。
– 實體與環境安全實體與環境安全• 實體環境實體環境• 設備的安全管理設備的安全管理
29
組織整體的資訊安全管理系統：組織整體的資訊安全管理系統： ISO27001ISO27001 架構架構(4/6)(4/6)
– 通信與操作管理通信與操作管理• 網路安全與惡意的防範。網路安全控制包含三種安全網路安全與惡意的防範。網路安全控制包含三種安全控制措施：防火牆、網路安全入侵偵測系統及防毒軟控制措施：防火牆、網路安全入侵偵測系統及防毒軟體，所謂的入侵偵測系統，是指確認可疑的存取與使體，所謂的入侵偵測系統，是指確認可疑的存取與使用特徵，或發現有未授權存取的跡象時，用警報信號用特徵，或發現有未授權存取的跡象時，用警報信號來通知安全人員有關入侵的發生。來通知安全人員有關入侵的發生。
• 作業程序管理 作業程序管理 • 電子商務管理電子商務管理• 監控監控
30
組織整體的資訊安全管理系統：組織整體的資訊安全管理系統： ISO27001ISO27001 架構架構(5/6)(5/6)
– 系統的獲取開發與維護系統的獲取開發與維護• 主要是在系統的開發與維護中，就要考慮主要是在系統的開發與維護中，就要考慮 ISIS 的安全，並將的安全，並將安全機制內建在安全機制內建在 ISIS 中；主要控管作業包括：中；主要控管作業包括：
– 開發與維護過程的安全控管：防止開發人員方便的侵害系統並確認開發與維護過程的安全控管：防止開發人員方便的侵害系統並確認系統程式無「後門」等不法侵入機會。系統程式無「後門」等不法侵入機會。
– 應用系統的正確處理：系統的輸入、處理、輸出等資料，都要嚴謹應用系統的正確處理：系統的輸入、處理、輸出等資料，都要嚴謹的再確認與稽核程序。的再確認與稽核程序。
– 系統檔案的安全控管。系統檔案的安全控管。
– 資訊與系統的存取控制資訊與系統的存取控制 (Access Control)(Access Control)
– 使用者的存取控制使用者的存取控制– 資料的有效控制資料的有效控制– 網路的有效控制網路的有效控制
31
組織整體的資訊安全管理系統：組織整體的資訊安全管理系統： ISO27001ISO27001 架構架構(6/6)(6/6)
• 反應與回復面反應與回復面– 企業永續運作管理企業永續運作管理
• 即當組織遇到影響或中斷企業核心運作的天然與人為的災即當組織遇到影響或中斷企業核心運作的天然與人為的災害時，須建立正確步驟、流程，以及必要的備份資源，以害時，須建立正確步驟、流程，以及必要的備份資源，以確保企業能在第一時間回復營運，將損失減到最低。確保企業能在第一時間回復營運，將損失減到最低。
– 資訊安全事件管理資訊安全事件管理• 當組織碰到天然或人為的安全事件發生時，為了降低損害、當組織碰到天然或人為的安全事件發生時，為了降低損害、減低衝擊所執行一序列的流程。減低衝擊所執行一序列的流程。
– 遵行遵行 (Compliance)(Compliance) 與稽核與稽核• 即上述各控管作業，在不違反法律的情況下，員工都能確即上述各控管作業，在不違反法律的情況下，員工都能確實的遵行，而不只是喊喊口號，因此組織內部或外部認證實的遵行，而不只是喊喊口號，因此組織內部或外部認證單位要不定時的進行稽核查證的工作。組織也要制定獎懲單位要不定時的進行稽核查證的工作。組織也要制定獎懲制度。制度。