果核串聯執法機關、資安廠商與風險顧問引導企業降低遇駭危機

2023/07/18

不少人納悶,近年不論政府、企業或個人,投入資安的力道明顯增強,豈料臺灣資安問題仍越演越烈,好奇其中究竟蘊藏哪些驚濤「駭」浪的秘辛?為幫助大家解惑,進而在兵凶戰危態勢中找出自保之道,果核數位在日前舉辦 2023 年第二場 Hack Talk 論壇,邀請來自法務部調查局,及知名資安公司、會計師事務所的多位專家聯袂開講。

調查局助陣,公私合力阻斷攻擊

調查局臺北市調處組長蘇文杰表示,從 2018 至2022年,他曾發掘與承辦許多重大案件,涵蓋金融業、關鍵基礎設施(CI)、教育部門、公務機關等不同受害單位,其中涉及多元的電腦犯罪、資安事件型態。綜觀近年重大事件,大致圍繞 APT、DDoS、社交工程郵件、竊取個資⋯等攻擊手段;不僅事件數量攀升,牽涉範圍也不斷擴大,受害民眾多達上千甚至上萬人。

如何強化防禦?蘇組長認為需借重「鐵三角」,意即企業、委外廠商、執法機關齊力聯防,調查局也是其中重要一環,願意盡力協助私部門妥善處理資安事件及電腦犯罪案件。故近年調查局不斷走出去,如今年(2023)4 月與新光金簽署 MOU,希望透過彼此情資分享,從源頭阻斷資安攻擊,並推動資安演練、暢通雙方通報應變管道,在事件發生時提供專業援助,以達早期預警、緊急應變與持續維運綜效。

展望今後,歸納有幾個威脅趨勢值得關注,包括自疫情期間延燒不止的社交工程事件,以及串聯網通設備漏洞的 APT 攻擊、鎖定 GitHub 開源專案的供應鏈攻擊、IoT 設備的資安弱點威脅、逐漸轉向目標式的雙重加密勒索攻擊,乃至個資或營業秘密外洩。為此調查局可提供犯罪偵查、數位鑑識、經驗交流、事件研析等助力,與企業並肩戰勝惡意威脅。

另外調查局在 2020 年將原本假訊息防制中心升級為資安工作站,身為此工作站調查官的張君齊,也分享近期事件案例。首先在裴洛西事件中台鐵LED 看板遭駭客置換內容,其思考點包括 IoT 設備是否設定存取密碼、定期更新韌體?有無架設防火牆並建立白名單機制、與網際網路是否斷開?另一例為供應鏈攻擊,苦主是臺灣中部某單位,有上千筆資料慘遭加密。此案件懸疑之處在於紀錄檔案遭人從本機登入刪除,顯然非駭客所為。深入追查下發現是維運商擔心被客戶究責,假借釐清事件名義而刪除紀錄。此案思考點很多,包括防毒主機遭關閉,為何沒跳出告警?維運商從遠端登入,有無接受二階段驗證?外包契約內有無規範事件責任歸屬?維運商後來的舉動是否違反妨害電腦使用罪?

嚴防 Web3 新興威脅,釐清資安現實與理想差距

趨勢科技全球消費市場開發暨行銷協理劉彥伯,以「Web3 才剛來,阿伯已經出事了」為題發表演說。他指出觀察近年國內重大金融詐騙案件,明顯可見 Web3 威脅已到來。

他從存取層問題說起。首先 Web3 不使用傳統帳密做身分驗證,用戶須自行保管私鑰及處理身分驗證場景;由於不可能記住密鑰,故需借助助記詞,這些助記詞恐成為駭客覬覦標的。其次曾有駭客仿造 MetaMask 原廠,發郵件和連結給客戶,導引客戶造訪假網站。再來詐騙者知道 Web3 用戶為數位資產所有者,易於鎖定目標,於是透過社群媒體發送虛假訊息給潛在受害人,設局掠奪錢包所有權。另外常看到假空投,駭客利用區塊鏈瀏覽器誤導用戶、並提供虛假訊息,讓用戶相信代幣與合約的合法性。

在其他層次也有諸多問題,如在應用層的 DeFi 空投詐欺,或在基礎架構層用來 Web2 釣魚的 Web3 IPFS,皆應提高警覺。劉彥伯建議,用戶可透過區塊鏈瀏覽器來分析網站並追查帳本。

不可諱言詐騙與犯罪可能扼殺 Web3 未來,所幸金管會已祭出五大資安檢測及演練措施,加上虛擬貨幣的主管機關底定,金管會將依「洗錢防制法」為基底,訂定「管理虛擬資產平台及交易業務事業(VASP)指導原則」,驅使業者自律、配合資訊揭露透明,有助於讓大家增強對 Web3 的信心。

最後由勤業眾信聯合會計師事務所風險諮詢資深經理 Chloe 擔任壓軸講師,她援引 Deloitte 網路安全調查報告指出,因人才短缺、內部威脅、網路攻擊趨勢、攻擊鏈風險,導致現今資安的現實與理想差距巨大。以人才為例,每 5 個受訪企業就有 1個表示,需等待逾半年才能為空缺職位找到合格候選人。

Chloe 建議,若你有志從事資安工作,須先了解你的定位,看是屬於管理型 CISO、技術型 CISO、資安管理人員或資安技術人員等類型,再比對資安人才職能地圖,研習所需通識課程、基礎課程、進階課程,並取得資通安全專業證照。此外須體認到網路環境正面臨劇烈變遷,導致以往具庇護效果的威攝和規避手段,逐漸失去作用,癥結在於現今企業需頻頻與第三方溝通,無法

閉門造車顧好資安;因此企業應重視 Security by Design,在開發前就納入資安考量。如果你是管理者,需有能力向高層溝通、爭取支持資安投資,並確保資安與業務之間維持可信賴夥伴關係。

值得一提,根據 Deloitte 調查,為多數企業最擔心的資安事件帶來的衝擊影響為「營運中斷」,故平時需針對網攻事件回應及營運韌性預做準備,建議組織中應建立應變團隊小組及確保應變體系運作,並透過定期實施應變演練(如:紅隊演練、滲透測試、社交工程演練、攻防演練、事件應變演練等),若已有定期執行演練者,另外,也建議演練可聯合第三方共同執行(包含供應商及客戶),以提升整體事件應變有效性。


相關連結: https://www.ithome.com.tw/pr/157455


其他訊息