資訊安全講座輕鬆對抗網路安全威脅 · ¾常見的網路安全威脅...

資訊安全講座輕鬆對抗網路安全威脅

上奇科技股份有限公司

技術主任

藍允澤 / Danny Lan

資訊安全講習 2Symantec Corporation

網路安全威脅的發展趨勢

常見的網路安全威脅

系統弱點與病毒入侵管道

駭客入侵手法解析

淺談社交工程術

如何加強端點防護降低網路安全風險

我中毒了嗎?

CONTENT

網路安全威脅的發展趨勢


網路安全嗎?


端點風險無所不在


即使是合法網站也會有風險


好友也可能成為散播病毒的幫兇


台灣是全球惡意活動密度第二高的地區

• 根據賽門鐵克最新的「全球網路安全威脅研究報告」，美國是 2006 下半年惡意活動最多的國家，佔全球惡意活動總數的 31%；中國位居第二位，佔全球惡意活動總數的 10% 。

• 若將網路人口數量加入考量時，以色列是惡意活動密度最高的國家，佔全球惡意活動總數的 9%；而台灣是惡意活動密度第二高的地區，佔全球惡意活動總數的 8%。


個人用戶是主要被攻擊的對象

• 以亞太暨日本地區來看，中國是最常被阻斷式攻擊鎖定的目標，在2006 下半年就佔所有亞太暨日本地區 DoS 攻擊的 63%。台灣則排名第三位，佔 8%。

• 全球遭受阻斷式服務攻擊（Denial of Service Attacks）最多的產業是政府部門，佔了總數的 37% 。

• 家庭用戶仍然是主要被攻擊的對象，佔所有目標式攻擊的 93%。

主要被攻擊的對象

亞太暨日本地區遭受 DoS 攻擊國家排名


惡意程式碼的感染途徑

• 透過電子郵件(SMTP)的感染仍居所有感染途徑的首位，提報比例達78%，但相較 2006 上半年的 98% 是下降的。下降的原因是攻擊者使用更多元的感染方式，同時依賴郵件大量散佈的威脅數量減少。

• 若比較潛在/企圖感染的數量， SMTP 和 P2P 約佔所有感染途徑的半數。提報數量與潛在/企圖感染數量的差異，來自於依靠大量散佈電子郵件之威脅的感染能力降低。

• 在 2006 下半年，35% 的新即時通訊威脅可能影響 MSN Messenger。


垃圾郵件殭屍電腦是散佈垃圾及病毒郵件的來源之一

• 垃圾郵件殭屍電腦 (Spam Zombie) 是感染 Bot 傀儡程式、病蟲或木馬程式的結果，並成為大量散佈之垃圾郵件的來源。

• 中國在亞太暨日本區擁有最高數量的垃圾郵件殭屍電腦，且在全球排名僅次於美國。台灣則於亞太暨日本地區排名第三。

• 2006 下半年所有監控的電子郵件流量之中，有 59% 的郵件均為垃圾郵件，在亞太暨日本區，有 69% 為垃圾郵件。

• 本期提報期間所有垃圾郵件之中，0.68% 的垃圾郵件夾帶惡意程式碼，也就是每 147 則垃圾郵件訊息中，就有一則是惡意訊息。


台北是亞太區釣魚網站最多的城市

• 46% 已知的釣魚網站位在美國，美國之所以成為釣魚網站最多的國家，是因為網頁寄存/虛擬主機供應商 (Web-hosting provider) 多位於美國，尤其是免費虛擬主機服務。台北是亞太暨日本地區擁有最多釣魚網站的城市。

• 所有被網路釣魚利用來詐騙的品牌，有 84% 是屬於金融服務產業；而在所有釣魚網站之中，金融服務產業佔了 64%。


資料外洩導致機密資訊被有心人士利用

• 資料外洩 (Data Breach)可能導致機密外洩及身分竊取。• 資料外洩問題以政府部門最為嚴重，佔總數的 25%，其次為教育產

業的 20%，和健康保健事業的 14%。資料外洩的最大原因為電腦與USB等設備遭竊或遺失，佔了54%，其次是不安全的政策佔 28%，而駭客入侵僅佔了 13%。


零時差 (Zero-day) 攻擊仍是目前主要威脅來源

• 「零時差 (Zero-day) 弱點」之定義：有充分公開證據指出該弱點在公佈前已經被廣泛利用。

• 九月賽門鐵克記錄了 4 個零時差弱點，這些弱點大多會影響 Office 應用程式、IE 瀏覽器、和 ActiveX 控制元件。

• 所有的弱點中，有 79% 是屬於容易被利用的弱點，而這些容易被利用的弱點之中，又有高達 94% 的弱點可以被遠端利用。

• 66% 的弱點是屬於網頁應用程式弱點。另外在容易被利用的弱點之中，有 77% 會影響網頁應用程式。

• 企業廠商的弱點空窗期 (W.O.E) 為 47 天：平均來說，駭客利用弱點來發動攻擊僅需要 5 天，但廠商撰寫修補程式卻需要 52 天。

• 所有利用弱點撰寫而成的攻擊程式中，有 25% 的攻擊程式在該弱點公佈後一天之內就被公開，有 31% 的攻擊程式在 1 ~ 6 天之間被公開。



• 系統入侵(System Hacking)– 系統或程式弱點– 密碼猜測

• 惡意程式碼(Malicious Code)– 病毒、蠕蟲– 特洛伊木馬– 後門、Rootkit– Spyware、Adware

• 監聽(Sniffing)– Sniffer– Keylogger

• 服務阻斷(Denial of Service)• 網路釣魚(Phishing)• 社交工程(Social Engineering)


系統入侵

• 系統或程式弱點– Windows OS、Internet Explorer、Office…– WWW、FTP、SMTP…

• 密碼猜測– 常用密碼字典檔– 暴力破解法


可怕的電腦病毒

• 電腦病毒原來只是一個遊戲?– 磁蕊大戰 (Core War)

• 誰在寫電腦病毒?– 駭客– 無聊人士– 誤打誤撞

• 電腦病毒會不會讓人生病?


什麼是電腦病毒?

• 電腦病毒是一小段電腦程式碼• 電腦病毒的特徵

– 會不斷「自我繁殖」及「感染」– 會有「潛伏期」– 會直接或間接的影響電腦系統運作，損壞軟硬體或資訊

• 電腦病毒的存在方式– 隱藏在開機磁區中– 寄存在可執行的檔案之中– 隱藏在正常的檔案之中– 偽裝成系統檔案

• rundl132.exe


電腦病毒的種類

• 開機型病毒– 最佳代言：CIH

• 檔案型病毒– 最佳代言：Friday The 13th、MacGyvver

• 巨集病毒– 最佳代言：Taiwan No1、Melissa

• 特洛依木馬– 最佳代言：Back Orifice、SubSeven、NetBus

• 惡作劇程式• VBS病毒• JavaScript & ActiveX 病毒• 蠕蟲(混合式威脅)

– 最佳代言：Spybot、Sasser(殺手病毒)、Blaster(疾風病毒)、Looked


隱藏的安全風險


安全風險的種類

• 間諜軟體• 廣告軟體• 撥接程式• 駭客工具• 惡作劇程式• 遠端存取• 追蹤軟體• 其他


網路釣魚 (Phishing)

• 釣魚攻擊的操作手法和數量已超越一般電腦病毒和木馬程式，成為網路安全的最大威脅。

• 利用偽造電子郵件或網站作為誘餌，且利用知名公司所建立的信賴感，提高詐騙的成功機率，讓受害者洩漏個人資料

• 主要在於騙取受害著的身分證字號、銀行帳號、密碼、信用卡號碼等機密資料

• 常見的網路釣魚方式– 詐騙網址– 電子郵件表單– 彈出式的視窗– 偽造 IE 網址列– 偽造知名網站


網路釣魚 - ‘Citibank Alert Service’ 2004-11-10


社交工程術 (Social Engineering)

• 利用人性弱點或人際互動上的技巧，以影響力與說服力來欺騙他人進而獲取資料的行為

• 方法是進行巧妙的騙術，或令對方相信其假冒的身分• 社交工程駭客得以利用他人，不管有無動用到科技、電腦或程式，

都可以獲取帳號、密碼、信用卡號碼、身分證號碼、姓名、地址或其他可確認身分或機密資料

• 『跟你裝熟，以達到特定的目的』

系統弱點與常見入侵管道


系統的安全瑕疵


不可不知的系統弱點

• Microsoft IIS Unicode 弱點– 可讓病毒或攻擊者遠端存取系統目錄或執行任何指令– %c1%1c– %c1%9c– http://ip.address/scripts/..%c1%1c../winnt/system32/cmd.exe?/c+dir+c:\

• NetBIOS Null Session 弱點– 可讓病毒或攻擊者透過 NetBIOS 猜測出使用者帳號密碼, 並進一步存取

遠端主機

– IPC$、Admin$ 、C$– net use \\ip.address\IPC$ “” /u:””

• Windows 密碼結構– 可讓病毒或攻擊者輕易猜測出使用者的帳號密碼


Windows 的密碼結構

• 先將密碼全部轉換成大寫字元– 如原密碼若為 “123456qwerty” , 則會轉換成 “123456QWERTY”

• 不足 14 個字元的密碼後面以空白補齊– 將密碼補齊到 14 個字元 “123456QWERTY_”

• 加密前將密碼分成各 7 個字元, 再各自將字串加密– 將密碼分成各 7 個字元 “123456Q” 及 “WERTY_”– 將兩個字串分別加密

• “123456Q” = “6BF11EO4AFAB197F”• “WERTY_” = “F1E9FFDCC75575B15”

• 將兩個加密後的字串合併– “123456qwerty” 加密後為

“6BF11EO4AFAB197FF1E9FFDCC75575B15”


0 50 100 150 200 250

Zotob—8/05

Sasser—04/04

Witty—03/04

Blaster/Welchia—07/03

WebDAV vuln—03/03

Slapper—07/02

SQL Slammer—07/02

Spida—04/02

Digispid—03/02

Code Red—06/01

Ramen/Adore—06/00

系統弱點與零時差攻擊

直到第一次攻擊的天數

弱點公佈

5 個變種, 359,000 部主機被感染

75 個變種, 500,000+ 部主機被感染

17 個變種, 1,000,000+ 部主機被感染


電子郵件閘道是威脅的主要管道

• 接收的電子郵件可能含有惡意內容• 寄出的電子郵件可能含有機密資料


常見的病毒入侵管道及感染途徑

• 磁片 & 光碟片• USB 隨身碟• 紅外線資料傳輸• 無線網路• PDA• 手提電腦

• 組織內部的撥接網路 / ADSL• 通過閘道的加密連線 SSL/VPN• 使用者私自安裝的服務

WWW/FTP/P2P• 未知的病毒或威脅• 來自內部的攻擊

閘道雖有安全防護可攔截來自外部大部分的攻擊威脅，但仍有各種威脅入口…


IPS

FW

Network Firewall

Appliance with packet filtering

Sasser

Blaster

Welchia

Brute Force/Phished User Data

Zero Day Attack

VP

COMPROMISED

INFECTED

INFECTED

傳統安全防護的缺失

Internal misuse/abuse

駭客入侵手法解析


什麼是入侵(Intrusion)?

• 入侵的定義– 可能對運算或網路資源造成以下安全目標的危害的意圖或行為

• 私密性(Confidentiality)• 完整性(Integrity)• 可用性(Availability)

• 每個人對入侵的定義不同– 如果有人嘗試 Telnet 到你的系統?

• 嘗試以 root 或 Administrator 登入時– 如果有人嘗試以 PING 清查(Sweep)你的系統– 如果有人使用掃描軟體檢查你的系統– 如果有人使用 Unicode 方式測試你的 Web Server


入侵流程

• 勘查目標(Reconnaissance)– 利用網路資源尋找入侵目標– 取得目標主機相關資訊

• 掃描主機(Scanning)– 利用常用指令或工具掃描目標主機弱點– 取得目標主機現行狀況– 取得目標主機作業系統、網路服務、帳號密碼等資訊

• 取得權限(Gaining Access)– 利用系統弱點取得目標主機存取權限– 利用工具、系統弱點或社交工程術取得目標主機的管理權限

• 維持權限(Maintaining Access)– 設法維持存取目標主機的權限以便再次存取– 新增另一擁有管理權限的帳號– 植入木馬或後門程式

• 清除行蹤(Covering Tracks)– 掩蓋所有相關紀錄檔或可能的入侵痕跡


腳印拓取 (Footprinting)

• 攻擊前的準備工作，儘可能蒐集攻擊目標的相關資料– 公司名稱、系統管理人員、聯絡人電話或 E-Mail 信箱、地址等基本資訊– 網路範圍– 隱私或安全政策

• 網站、報紙、搜尋引擎、信件、廢紙• 常用工具

– Whois Database– Google– Nslookup– Tracert


Whois Database (http://whois.twnic.net.tw)


Google (http://www.google.com.tw)


入侵手法展示

• 手法一：利用網路資源收集目標主機資訊– Google, Whois, SuperScan, 弱點掃描工具…

• 手法二：利用已知的系統弱點找出有用的重要資訊– 利用弱點命令目標主機下載密碼擷取程式– 執行密碼擷取程式– 將密碼檔傳回

• 手法三：破解取得的密碼檔並且登入目標主機• 手法四：將後門程式偽裝成系統程式並埋入目標主機

– 將後門程式偽裝成系統檔– 將後門程式上傳至目標主機

淺談社交工程術


安全措施中最弱的一環

• 常見的網路安全措施– 閘道防火牆– 入侵偵測系統– 防毒軟體– 端點防護– 時效密碼器– 生物辨識系統– …

• 『人性因素』是安全措施中最弱的一環


社交工程手法解析


常見的社交工程手法

• 假冒同事• 假冒廠商、合作夥伴、或是執法單位的員工• 假冒具有權威的人• 假冒新進員工，需要幫忙• 請求總機幫忙接傳真，然後再要求轉傳• 請求將檔案傳至公司內部的地方• 謊稱是公司外地員工，要求設立可以在當地存取的電子郵件• 使用內行人術語和行話來取得信任• 假冒廠商打電話來提供系統修補程式或更新程式• 告訴對方如果發生問題可以找他，然後製造問題，讓對方打電話來求援• …


常見的社交工程目標

• 不了解資訊重要性的人– 總機人員、工讀生、行政助理、警衛…

• 有特權的人– 服務中心或技術支援、系統管理員、電腦操作員、電話系統管理員

• 系統製造商或廠商– 電腦軟硬體製造商、語音信箱系統廠商、網路或系統維護廠商

• 特定部門– 會計、人力資源


容易受社交工程攻擊的原因

• 員工人數眾多• 辦公地點眾多• 員工在語音信箱中告知去處• 透露電話分機資訊• 缺乏安全訓練• 缺乏資料分級體系• 缺乏事件通報或反應計劃


真實案例解析 (2006-02-11)

總機：「XXX科技您好」駭客：「妳好，請問 Trista 在嗎？」總機：「她現在不在座位上，需要我幫您留言嗎？」

駭客：「沒關係，我只是要寄個東西給 Trista，可是我不太確定妳們公司的地址，妳能夠告訴我妳們公司的地址嗎？」

總機：「沒問題，我們的地址是台北市長安東路一段xx號xx樓之3。」駭客：「謝謝，請問我只要寫 Trista 收，她就會收到了嗎？」總機：「沒錯，不然你也可以寫給許xx小姐收。」駭客：「請問她的分機號碼是？」

總機：「她的分機號碼是XXXX」駭客：「這樣我知道了，謝謝妳！」

總機：「不客氣」

如何加強端點防護降低網路安全風險


為什麼會中毒?

• 沒有建立良好的使用習慣– 未確認就開啟來路不明的檔案– 下載或使用未合法授權的程式– 瀏覽高風險的網站– 沒有設定密碼或使用容易猜測的密碼

• 系統沒有時常更新– Windows Update– 病毒定義檔

• 沒有使用個人防火牆• 沒有安裝防毒軟體


輕鬆對抗電腦病毒及惡意軟體

• 良好的使用習慣• 隨時保持系統軟體在最新狀態

– Windows Update• 使用個人防火牆

– Windows XP SP2– Symantec Client Security

• 使用最新的防毒軟體– 定期更新病毒定義檔– 定期掃描


良好的使用習慣

• 不開啟來路不明的電子郵件• 不瀏覽風險較高的網站• 再三確認網址，避免使用超連結• 絕不下載或開啟來路不明的檔案

– 圖片– 影片– 壓縮檔– Word、Excel

• 不使用來路不明的軟體– 有趣的小遊戲– 免費軟體– 共享軟體– 盜版軟體


您能立即識別這些內容嗎?

• 超連結的真面目– http://www.symantec.com.tw– http://www.symantec.com.tw

• 駭客喜歡玩的文字遊戲– www.citibank.com.tw 與 www.citybank.com.tw– www.paypal.com 、 www.paypaI.com 與 www.paypa1.com


如何加強系統安全

• 使用個人防火牆• 使用 IP 分享器或建立 DMZ 區域• 隨時保持系統軟體在最新狀態• 使用複雜度及強度高的密碼

– 許多病毒預設會利用 Administrator 帳號進行密碼猜測– 字典檔已內建上萬組的密碼組合，其中包含一般人經常設定的密碼組合

• 0000• 123456• password• ...

– 取得 Administrator 密碼後，就可以取得 Administrator 權限，然後為所欲為….

• 停用沒有用到的服務• 定時備份重要資料


您的密碼安全嗎?


使用安全性高的密碼

• 必須包含英文字母、數字與特殊字元，英文字母須含大小寫– 特殊字元為：!@#$%^&*...等符號– 英文字母不可為有意義的單字，例如名字或是單位名稱

• 密碼長度建議在 8 位數以上• 需注意經常性的替換密碼 (約莫90天換一次)• 如何設定一個複雜度及強度高，又容易記住的密碼

– 善用中文輸入法的優勢


Windows XP 防火牆


設定 Windows Update


停用服務


預設的系統共享


垃圾郵件(Spam Mail)的定義

• 將一份內容相同的電子郵件，未經收信人許可，大量寄給很多人。• 郵件內容多數是與收信人不相干的商業廣告。• 由於短時間內寄發大量郵件，常常造成系統負擔過重，導致收信人

需花費金錢時間去收這些垃圾郵件。

• 為什麼垃圾郵件迅速暴增?– 發送垃圾郵件是非常容易的

• 購買一億個電子郵件帳號名單不須要 $100• 每個spammers業者，每天可發送兩億封郵件• 大部份的組織及企業還是沒有採取任何的防禦措施

– 發送垃圾郵件者藉此賺錢• 垃圾郵件業者在2002年賺取了2.5億美金(Business 2.0)

– 結果: 垃圾郵件氾濫成災• 垃圾郵件佔網際網路電子郵件的 8% - 2001• 65% - June-2004 — 3年成長了8倍


垃圾郵件如何知道我的 E-Mail Address

• 私下的蒐集– 透過技術手段大量從互聯網上隨機截獲

• Blog、Homepage、BBS…

• 公開的(或公器私用)蒐集– 透過網上註冊認證、發展會員等方式收集電子信箱地址

• 論壇、交友網站、購物網站…• 非法的蒐集


如何減少收到垃圾郵件?

• 為信箱起個難以被垃圾郵件發送者破解的名字– 切忌以姓名拼音作為用戶名– 在申請郵箱時，最好組合使用英文字母和數字，而且宜長不宜短

• 保護好自己的郵件地址– 避免參加來路不明的有獎調查等活動，以免被垃圾郵件發送者利用– 如果確需登記信箱名稱，可將信箱名中的間隔符號@以＃替代，信箱蒐

集軟體對此無法識別

• 千萬不要回覆垃圾郵件– 回覆垃圾郵件等於在提示垃圾郵件發送者你的信箱名稱有效– 遇到 “如不想繼續接收郵件，請點此處回復” 時，要加倍小心，因為這可

能是垃圾郵件發送者試探信箱真假的一個陷阱。


預防垃圾郵件最佳實務準則

• 建議上網時做到四個 “不要”– 不要回應來路不明的電子郵件– 不要把郵件地址在網際網路上隨意登記– 不要把郵件地址告訴不信任的人– 不要訂閱一些不健康的電子雜誌

• 當您公開發表某些資訊時，請隱藏您的電子郵件地址• 根據不同的目的使用多個電子郵件地址• 小心已經被勾選的選項• 不要轉寄一連串的電子郵件訊息

我中毒了嗎?


我中毒了嗎?

• 無法開機• 不正常的網路通訊• 記憶體內增加了來路不明的常駐程式• 系統執行速度比平常緩慢• 不尋常的錯誤訊息出現• 系統記憶體容量忽然大量減少• 磁碟可利用空間突然減少• 可執行檔的檔案大小改變了• 檔案名稱、副檔名、日期、屬性被更改過• 應用程式無法正常開啟• 防毒軟體無法正常運作


我的電腦是否有安全風險?

• 不斷跳出廣告視窗• 設定遭到更改，無法恢復原本的設定

– 網頁綁架

• 網頁瀏覽器出現不曾安裝過的額外元件– HotBar– Weather, Gator

• 電腦的反應遲緩


不小心中毒了怎麼辦?

• 立即拔除網路線避免感染其他電腦• 使用乾淨的開機環境開機

– 使用開機磁片或光碟– 進入安全模式(SAVE MODE)– 將硬碟安裝到其他乾淨的主機

• 關閉系統還原功能• 使用防毒軟體掃毒

– 線上掃毒• http://security.symantec.com

• 請專業人員協助處理


如何遏止入侵行為

• 暫時關閉系統• 切斷網路連結• 關閉服務、存取權限、帳號• 監視系統與網路活動• 確定備份系統不受影響• 聯絡相關單位

– 部門網路危機處理小組– 主管單位– 網路服務提供者(ISP)– 入侵來源單位– 入侵受害單位– 電腦網路危機處理中心(TWCERT/CC)

• 注意事項– 避免與入侵者聯繫– 切勿進行反攻


關閉 Windows XP 的系統還原功能


善用免費網路資源 - Symantec Security Check

http://security.symantec.com/default.asp?productid=symhome&langid=tw&venid=sym


後送病毒樣本 https://submit.symantec.com/retail

• 病毒的變種速度與種類不斷增加• 永遠都會有新的威脅• 防毒軟體必須仰賴病毒定義檔才能

發揮作用

• 病毒定義檔必須仰賴收集病毒樣本才能製作出正確的疫苗

• 以 SARS 為例– 新型態的病毒– 隔離已感染的病患並取得檢體– 取得病毒樣本並研究分析– 找出正確的治療方式及藥物– 量產病毒疫苗


總結

「世界上沒有永遠安全的系統。」 --- Kevin D. Mitnick「安全不是一種產品，而是一種過程。」 --- Burce Schneier

即使部署了最高科技的安全產品，還是無法達到真正的安全；

破解人性防火牆，只需要一通電話的費用就有可能成功。

『使用者的行為才是最後的安全關鍵』

Thank you!

資訊安全講座 輕鬆對抗網路安全威脅 · ¾常見的網路安全威脅...

Documents

資訊安全講座輕鬆對抗網路安全威脅 · ¾常見的網路安全威脅...