從閘道到端點執行技術保護
advertisement
個人資料相關資訊安全管控措施 從閘道到端點執行技術保護 V 0.9 Your Security , Our Mission 企業資安 ,桓基把關 1 簡報大綱 • • • • • 2 前言：資料洩漏的統計資料 資訊保存技術層面 封鎖資料的傳遞路徑-Web Application 封鎖資料的傳遞路徑-Email 封鎖資料的傳遞路徑-遠端畫面操控 前言：資料洩漏的統計資料 3 DataLoss DB 4 2005 ~ 2006 是資料外洩事件爆發點 410.2% 景氣跟資料外洩 也有正向關係 357.8% 資料來源 5 資料洩漏-以洩漏方式區分 個人電腦遭竊 郵件傳遞 實體文件隨意丟棄 網頁系統 (資料未妥善防護) 詐欺、社交工程 筆記型電腦遭竊 駭客入侵 (竊取內部資料) 6 洩漏方式名詞定義 7 No 1 Short Name Disposal Computer Description Discovery of computers not disposed of properly 2 Disposal Document Discovery of documents not disposed of properly 3 4 5 Disposal Tape Disposal Drive Disposal Mobile Discovery of backup tapes not disposed of properly Discovery of disk drives not disposed of properly Discovery of data on a mobile phone or device such as tablets, etc 6 Email Email communication exposed to unintended third party 7 Fax Fax communication exposed to unintended third party 8 9 Fraud Se Hack Fraud or scam (usually insider-related), social engineering Computer-based intrusion, data not generally publically exposed 10 11 12 13 14 Lost Computer Lost Document Lost Drive Lost Laptop Lost Media Lost computer (unspecified type in media reports) Discovery of documents not disposed of properly through loss (not theft) Lost data drive, unspecified if IDE, SCSI, thumb drive, etc) Lost laptop (generally specified as a laptop in media reports) Media (i.e. disks) reported to have been lost by a third party 15 Lost Mobile Lost mobile phone or device such as tablets, etc (unspecified in media reports) 16 Lost Tape Lost backup tapes 洩漏方式名詞定義 No Short Name 17 Missing Document Description Missing document, unknown or disputed whether lost or stolen 18 19 Missing laptop, unknown or disputed whether lost or stolen Missing media, unknown or disputed whether lost or stolen Missing Laptop Missing Media 20 Snail Mail 21 Stolen Computer Personal information in "snail mail" exposed to unintended third party 22 Stolen Document Documents either reported or known to have been stolen by a third party 23 Stolen Drive Stolen data drive, unspecified if IDE, SCSI, thumb drive, etc) 24 Stolen Laptop 25 Stolen Media 26 27 Stolen Mobile Stolen Tape 28 Unknown 29 Virus 30 Web 8 Stolen desktop (or unspecified computer type in media reports) Stolen Laptop (generally specified as a laptop in media reports) Media (disks or other) generally reported or known to have been stolen by a third party Stolen mobile phone or device such as tablets, etc Stolen backup tapes Unknown or unreported breach type Exposure to personal information via virus or trojan (i.e. keystroke logger, possibly classified as hack) Computer/web-based intrusion, data typically available to the general public via search engines, public pages, etc. 資料洩漏-以資料屬性區分 雜項 出生日期 醫療資料 身分證號 住家地址 姓名 個人基本核心資料 (姓名、身分證字號) 占了近 5 成 9 資料洩漏-以組織類型區分 政府機關 醫療單位 教育單位 商業組織 10 資料洩漏-以來源區分 內部人員-無心之過 外部人員(管道)取得 11 內部人員-惡意行為 雖然資料洩漏事件人以外 部人員取得為主 (53%)， 但來自內部人員的疏忽與 惡意行為已不可忽視 (36%)。 前言總結 • 資料外洩方式 1. 2. 3. 4. 5. 6. 駭客入侵 (24%) 電腦遭竊 (18%) 詐欺與社交工程 (12%) 網站系統 (10%) 文件隨意丟棄 (7%) 郵件路徑 (7%) • 個人基本資料 (姓名與身分證號)仍為主要外洩 外洩類型 • 透過外部人員與內部人員洩漏的比重相當 12 資訊保存技術層面 13 資料防護 – 技術面 記錄保存 • 身分識別 • 教育訓練 使用者 裝置 • 安全軟體開發 • 系統安全檢測 • 系統安全監控與防護 • 系統活動監控與攔截 • 裝置安全防護 系統 個資 14 • 資料存取記錄保存 • 系統存取記錄保存 • 防護裝置記錄保存 • 資安事件關聯 • 資料盤點 • 資料加解密 • 資料變造 • 資料授權 • 資料存取軌跡 個資盤點：找出個資所在地 • 利用資料流概念來清查組識內含有個人資料的紙本或電子 檔案，了解內部個資範圍。 １.紙本檔案 15 2. 電子檔案 存放在個人電 腦、檔案伺服 器、磁帶與光 碟中 3. 應用系統 大多是以資料 庫方式儲存 個資盤點工具－電子檔案 • 中華民國個資保護協會-單機版個資檢測工具 – http://www.cdpa.org.tw/privacyagent.html 16 個資盤點工具－電子檔案 17 資料外洩-兩大防護方式 針對資料 內容保護 資料外 洩防護 封鎖資料 傳遞路徑 18 電子檔案(內容)的防護原理 • 資料加解密 – 將原始資料加密，未授權者看到是亂碼，例 • A123456789 （原始） => zCD#45%FccKc$u （加密） • 資料變造 (遮罩) – 將原始資料經過修改，未授權者看到是無意義資料，例 • A123456789（原始） => B125321123 （變造） • A123456789（原始） => A1*3*5*7*9 （遮罩） • 資料授權 – 只有授權者才可開啟此檔案 19 電子檔案防護-密碼與加密 • 大多數電子檔案應用軟體均有支援密碼保護，也可用壓縮 軟體 (如 7-zip) 來啟用加密防護 MS Word 20 壓縮軟體 7-Zip 電子檔案防護-磁碟加密 • 直接對磁碟加密，降低實體儲存裝置遺失的外洩風險 • 常見工具(軟體)有 USB 加密碟、MS BitLocker 與 TrueCrypt (Free) 等 – http://www.truecrypt.org/ • 重要: 一定要先做好備份 21 密碼強度是很重要 • Google “rar password cracker”, “office password cracker ”，可以找出 一堆解密軟體 ，個人電腦可在幾小時至幾日內解出常用密碼。 • 目前個人電腦都配有 3D 顯示卡，更可透過 GPU 來加速解密速度。 ElcomSoft Co.Ltd. 1. 下載 2. 價格 22 電子檔案防護技術: DRM • DRM 最早是用在數位音樂與數位電影的保護，只有合法授權者才可以 讀取數位媒體檔案。 • 目前也常被用來保護以電子檔案形式存在的機敏資料，如研發設計稿 、財務資料、個人資料等電子檔案。 23 電子檔案防護: 授權管控 • 透過檔案系統的 內建 ACL 清單 24 檔案授權管控系統 (商用軟體) • 25 點選目錄(檔案)，可列出 相關人員的存取權限 檔案授權管控系統 (商用軟體) • 26 點選部門(人員)，可列出 檔案的存取權限 檔案授權管控系統(商用軟體) • 27 檔案的存取動作 (開啟、修改、刪除)均會被詳細記錄 資料外洩常見方案 : DLP • Data Loss Prevention，常見有三種類型: • 檔案控管 (File Protection): – 透過控管檔案本身避免資料外洩，如將機密文件加密。 • 周邊控管 (I/O Protection): – 控管周邊硬體，限制或紀錄輸出入與儲存裝置等的使用 狀況，防範機敏文件透過 USB 等周邊硬體外洩。 • 網路控管 (Network Protection): – 控管網路，透過限制、側錄或寄路藉由網路傳佈的Email 、MSN 、 Skype 等作業，防範機密資料透過網路外洩。 28 裝置安全: 端點防護軟體 安全符規控管 網路存取控管 應用程式控管 2. 安全政策遵循 (強制所有人都採用相同的管控政策) 裝置管控 主機型入侵偵測 主機型防火牆 29 1. 端點防護 (防止惡意攻擊、惡意軟體入侵) 裝置安全:端點軟體產品規格 完整端點防護軟體大多是由防毒軟體廠商的市場 30 網頁應用系統已成為資外洩最佳管道 封鎖資料的傳遞路徑-WEB APPLICATION 31 Web 應用系統安全問題 • 全球 Web 服務安全需求，將進入高速成長期 – Web 服務全面普及：Web 應用服務已成為網際網路普及最大的應用服務 ，可預期的是舊有主從式應用系統轉移成Web 化應用，已成為銳不可擋 的趨勢，而伴隨著帶來更多潛在安全漏洞及駭客攻擊的威脅，已造成重 大的資安隱憂。 – 七成網路攻擊鎖定 Web 網站： Gartner 報告指出，已發生網路攻擊事件中，有 70% 以上都是針對 Web 協定與相關系統及服務。 Google 分析報告也說明全球至少 2/3的網站是 脆弱且易受攻擊， Web 安全蔚為企業關注的資安焦點。 – 傳統防火牆已無法有效阻擋：傳統的網路層級防火牆及入侵偵測/防禦 系統 (IDS/IDP) 已被證明是無法阻擋深層的 Web 應用攻擊，顯然的企業 需要更高層級的應用程式防火牆 (Web Application Firewall) 。 32 為何網站弱點是不容被忽視呢? 21% Full Control and Access to Information 32% Hijack Session/ Identity Theft 7% Modify Information • 3 out of 4 business websites are vulnerable to attack (Gartner) • >1000 application ‘Healthchecks’ – 98% vulnerable: all had firewalls and encryption solutions in place… 33 Undetected QA testing tools not designed to detect security defects in applications 27% Privacy Breach 2% Delete Web Site Pervasive 75% of hacks occur at the Application level (Gartner) • 11% e-Shoplifting Frequent Manual patching - reactive, never ending, time consuming and expensive • Dangerous When exploited, security defects destroy company value and customer trust 程式設計師要負最大責任 • OWASP 十大缺失有一半以上都是程式設計師 的錯! 程式設計師要負起最大的責任! 34 常見 Web 應用系統架構 出問題的在這裡 個資、重要資料存在這裡 • 程式設計師的疏忽，造成 Web 應用伺服器的漏洞，讓儲 存在資料庫中的機敏資料(個資)，輕易被未授權取得。 35 常見網站安全解決方案 • 網站弱點掃描暨弱點評估服務 – Vulnerability Assessment & Consulting Service • 滲透測試暨弱點評估服務 – Manual Penetration Test & Consulting Service • 自動化工具/人工原碼檢測暨諮詢服務 – Automated and Manual Code Review & Consulting Service • 網站防火牆 – Web Application Firewall 36 網站弱點掃描與弱點評估 • 市場常見服務 – 使用自動化弱點掃描工具，對作業系統、系統服務、與 Web 應用程式進行檢查。 – 分析判斷掃描結果與提出弱點修補建議，協助客戶進行補強 工作。 • 網站自動化弱點掃描工具 – 模擬 Web 客戶端，使用標準 HTTP 協定找出網站應用系統可 能具備的弱點。 – 此種方式稱為黑箱測試法 – 跟原碼檢測工具相比，網站自動化掃描工具並不直接掃描原 始碼，而是利用攻擊方法來驗證受測網站是否具備弱點。 37 網站弱點掃描與弱點評估 38 自動化工具原碼檢測 • 大量重複性的檢測可以使用機器代勞 39 人工原碼檢測 • 以人工方式，逐行檢測 Web 應用系統的程式 碼。找出程式語法漏洞，更能夠針對程式邏 輯 (Business Logic) 找出缺失。 • 與自動靜態原碼檢測工具相比，人工原碼檢 測方式能夠判斷出邏輯上的缺失。 40 滲透測試-常用工具 商業網檢測工具 • • • • 41 Acunetix IBM AppScan HP WebInspect N-Stalker OSS 滲透工具 其他工具 • • • • • • WireShark • Paros & Spike Proxy • Metasploit • Firefox • Firefox 套件: Firebug, YSLOW, TestGen4Web Nikto Wikto WebStretch Webscarab w3af – Web Exploit Framework 步驟一： 分析網站結構 42 步驟二：找出資料提交點 43 步驟三：逐步分析表頭 44 步驟四：分析網頁結構 45 步驟五：分析隱藏欄位 駭客的直覺反應： 按右鍵檢視原始檔 看是否有隱藏欄位 （hidden form） 46 步驟六：分析隱藏欄位 很多隱藏欄位，許多都是為 了防止暴力攻擊法 47 步驟七：分析 JavaScript queryLoginStts() -> Ajax(popup/ajax_isUsrLogin.html) 驗證是否已經登入過…..(為淺在問題…) 48 步驟八：自訂攻擊字串 49 步驟九：提交與分析結果 50 Assessment Levels (Defined by Business) Business Criticality (Impact of Loss) Security Assessment Techniques – Relative Depth ? Expected Security Assurance (Assessment Depth – Expected Level of Security) (Defined by Corporate Security) 51 使用 WAF 的必要性 1. 大多的 Web 應用系統均具有某種程度的弱點，差別只是 貴單位的網站是否有被駭客所掃到 (是否含有重要資料)， 弱點是否有被濫用。 2. 程式設計人員理應要想辦法開發更安全、更可靠的軟體系 統。 3. 但大多 Web 程式設計師均缺乏資安觀念，“如何寫出安全 程式碼”的觀念並不是人人都具備。 4. 系統管理者仍需要在 Web 應用系統弱點尚未修復前，想 辦法防止此弱點被駭客入侵 5. 因此網站防火牆可視為在應用系統弱點修復前，短期的第 一線防禦工具。 52 WAF : 第一線防禦工具 針對網路瀏覽行為與網頁回應紀錄，檢測防火牆未能深入檢查的 HTTP、HTTPS、SOAP、XML-RPC 資料封包 作為補強傳統防火牆不足之深層防禦機制，達到有效防範機密被盜取 53 電子郵件是資訊傳輸的第一道大門，做好郵 件稽核是防範資料外洩的關鍵 封鎖資料的傳遞路徑-EMAIL 54 郵件系統七大安全要求 行動載具安全防護 郵件歸檔及調閱 收件者個資遮隱 外寄郵件免責宣告 個資郵件自動盤點 郵件稽核 Anti-Spam Anti-Virus 55 七道安全防護 做好個資把關 第一防護：Anti-Spam & Anti-Virus • 應能有效阻擋病毒信、社交工程信件等 可依據每位員工的不同工作屬性，讓使用 者自行設定個人垃圾郵件判定門檻 56 第二防護：郵件稽核 • 可依組織單位階層分層分權執行事前/事後稽核 誰 誰 什麼內容 負責稽核 要被稽核 要被稽核 稽核人員 寄件者 收件者 職務代理人 57 來源IP位址 處理動作 信件內容關鍵 放行 字 退回 附件檔案內容 關鍵字 附件檔案類型 隔離 轉寄 密件副本 延遲寄送 標誌 第三防護：個資郵件自動盤點 • 應內建個資稽核規 則範本，自動偵測 郵件是否內含個資 內容 – 個資範本：地址、生 日、電話號碼、手機 號碼、身分證號、信 用卡號、銀行帳號等 – 偵測範圍：郵件標頭、 郵件內文及附件內容 – 處理動作：隔離、退 回等 58 第四防護：外寄郵件免責宣告 • 組織個資郵件護身符： – 透過組織簽名檔的方式， 針對每一封外寄郵件，自 動加入免責宣告簽名檔， 作為組織善盡個資保護的 舉證之一，協助組織及負 責人降低法律上的責任 59 第五防護：收件者個資遮隱 • 大量發送或多次轉寄郵 件可能外洩個資 ‒ 曝露收件者的郵件信箱 ‒ 郵件內容洩漏個人資料 大量收件者自動轉為密件副本 • 保護收件者個資的正確 操作方式 ‒ 使用自動化密件副本功能， 保護收件人郵件信箱資料 ‒ 刪除轉寄郵件內文之個資文 字 60 第六防護：郵件歸檔及調閱 • 應完整保存郵件原始檔案符合個資法舉證資料之不可修改性 61 第七防護：行動載具安全防護 • 行動個資安全防護 (PIM Security) – 資料保密：個資遮罩 (Auto-Mask) 、 SSL 傳輸加密 – 防盜機制：裝置識別碼驗證、裝 置遺失保護(Remote Wipe) – 資料還原：更換新手機時，同步 還原郵件 PIM 資訊 PIM Security 62 實體網路隔離的另一可行方案 封鎖資料的傳遞路徑-遠端畫面操控 63 遠端畫面控制 • 實體隔離網路環境 – 常用在軍方、財稅與銀行內部，成為一封閉系統。 • 遠端桌面控制： – 模擬實體隔離網路，僅保留畫面操作 – 常用在系統管理、重要資料存取與外包廠商維修 • 強制操作行為 – 無法拷貝檔案與本地列印 – 無法傳播任何病毒、惡意軟體等 – 使用者無法窺視其他基礎設施 • 監視與稽核 – 集中追蹤與記錄 – 連續錄影 64 操作 站 中繼 站一 中繼 站二 中繼 站三 重要 系統 65
