資訊安全講習-以駭客思維剖析企業應對方針

５月23日的午後，TiEA特別邀請戴夫寇爾(DEVCORE)的執行長Allen(翁浩正)先生與我們分享如何用駭客的思維來因應資訊安全事件。

駭客(Hacker)不是你想的那樣

    Allen本身是台灣駭客年會的副總召，對於資訊安全系統的研究與開發尤其熱衷，不但熟悉駭客攻擊手法，並且致力於開發與研究攻擊程式與後門程式，目前已經為許多平台業者規劃建置資訊安全系統，並以駭客的思維為業者尋找資安漏洞。

   「駭客」(Hacker)一辭指的是對電腦科學、編程和設計方面具高度理解的人，然而在媒體報導的「簡化」過程，一般人聽到「駭客」，即會聯想到那西利用電腦技術來犯罪的人。事實上在資安產業裡，「駭客」可以分為偵錯和分析電腦保安系統的白帽（White Hat）、未經允許惡意侵入的黑帽（Black Hat）、亦正亦邪的灰帽(Gray Hat)與利用別人創作程式進行破壞的script kiddie。

你聽過軍方駭客嗎?

    根據2014年Verizon最新發布的2014資料外洩調查報告指出，在過往發生的資安事件中，有將近9成網路間諜攻擊來自於國家級機構的發動，其中涉及資料外洩的攻擊案件則佔了22%，並且有超過半數以上的網路間諜攻擊對象是以美國為主，其次是日本和韓國。國際間早已經如同軍隊組織化一般組成「網軍」，對他國從事情報蒐集、對特定目標的攻擊與防護等工作，近年政府部門資料遭駭最嚴重的案例，即是健保局的全民健保遭駭，在中國網軍人海戰術下，十年來國內幾乎所有機關都被駭過。

 

資安漏洞很可能是自己公布的?

    黑帽駭客們侵入電腦系統的行為往往只為了獲取自己的好處，一旦獲取企業網站機敏資料(個資、營業秘密)即可能拿來對企業勒索或放在駭客交易黑市來兜售。當駭客鎖定目標，他們的思維往往是縝密的，產品、網站甚至是廠商釋出的修補程式、錯誤訊息都可能是他們尋找、研究漏洞的方法，以DNS Zone Transfer(AXFR)為例，Allen實際操作查詢某機構的所有DNS主機，若該漏洞沒補起來，就會導致曝光太多內部DNS伺服器訊息，而引誘駭客去攻擊。了解駭客尋找漏洞的方法可以避免將弱點或漏洞暴露在外。

 

互聯網OpenSSL「Heartbleed」漏洞剖析

2014年4月7日爆發OpenSSL嚴重漏洞，這個漏洞讓攻擊者可以從伺服器記憶體中讀取64 KB的資料，並且利用 heartbeat 封包的漏洞，傳送封包攻擊伺服器，擷取可能存在記憶體中的機敏資料(如私密金鑰Private Key、Session ID、Cookie、帳號密碼、個人資料、信用卡資料…等等)，成為駭客64KB的刮刮樂。

 

Heartbleed漏洞影響範圍很廣，除了盡快將OpenSSL升級外，可以透過網路的Heartbleed測試網站，為自家的網站做把關的動作。

 

 

資安風險不會消失，風險共存才是生存之道

只要是聯網電腦，駭客即可透過全球掃描的方式，找出該電腦的屬性與可能的漏電，Allen實際展示一個網站，即可以看到被駭客破解、監控或利用的案例。這些案例都在在說明了，資安的風險是不可能消失的，但是面對資安事件應該如何因應呢？

業者應該在事前進行教育訓練、資安事件演練，發生資安事件時，迅速通報，並在事後找出漏洞加以修補，將傷害降至最低。

「網路服務及電子商務專利」講習

103年4月22日 (星期二) 下午TiEA與經濟部智慧財產局共同舉辦「網路服務及電子商務專利」講習，針對大陸阿里巴巴集團來台布局專利，分別以服務公司、控股公司名義，各提出16項與251項專利申請，尚未完成實體審查進行說明。

講習中智慧局王美花局長勉勵業者應強化高價值專利的完整布局外，另方面也要積極發展具前瞻性的技術專利。

 

電子商務業界夥伴們尤其關心，面對阿里巴巴電子商務專利鋪天蓋地，台灣廠商該如何正確的應對？

 



講習中並就阿里巴巴來台申請之專利項目，涵括交易平台的資訊搜索、資訊推薦、用戶識別、表單驗證方法、以及電子商務搜尋引擎的技術是否確能取得專利進行說明，使業者對電子商務相關電腦軟體發明專利之審查基準有概略性的認識。



專利戰方興未艾，針對電子商務專利的重要議題，在這個難得的午後，產業夥伴們與主管機關有難得的交流與對話。

 

 

 

講習後記：

 

去年10月份一則新聞披露阿里巴巴集團近年已在台灣提出267項專利申請案，相較於台灣電商企業多以著作權或營業秘密作為知識產權的保護手段，突然得知這個訊息霎時讓台灣電商產業瀰漫一股如臨大敵的氛圍。

與其擔心害怕，不如有系統的收集情報，才能正確的判斷情勢與進行決策。其實進一步追蹤發現這兩百多件專利申請案目前仍在申請狀態，並未取得智慧局的授權。

 

有關阿里巴巴在台申請的專利項目可透過經濟部智慧財產權局的專利檢索資料庫中查詢：

 

 



 

 



 

TiEA2014年度大會與產業高峰對談

網路暨電子商務產業發展協會2014年3月7日召開會員大會，理事長詹宏志先生期許未來台灣的網路產業可以扮演火車頭的角色，期待10年內能創造10萬個工作機會，推動百家網路公司集資掛牌及全球百大網路公司來台設點。

 

 

為建立與政府對話的平台，詹宏志2012年登高一呼，號召台灣業者組成網路電商協會，昨發表3大願景與5大行動綱領。

 

 

而「軟硬整合下的台灣機會」產業高峰對談主持人、TIEA副理事長 (Google台灣董事總經理) 簡立峰也在對談中表示：「網路產業應該扮演台灣的火車頭產業角色，帶動台灣產業升級和轉型，其中軟硬整合將是成功的關鍵。在台灣，我們擁有深厚穩固的IT硬體產業優勢，若能把握當下機會，和一樣來自台灣的網路新創應用緊密結合，將更能提升台灣企業的國際競爭力。此外，台灣也位處優越的區域地理位置，不僅鄰近中國，更可就近前進東南亞，只要能策略性推動網路發展，將可讓台灣企業掌握另一個10億人口商機的廣大市場。」

 

 

在產業高峰對談中，和碩聯合科技董事長童子賢、群聯電子董事長潘健成、appWorks創辦人林之晨與尚凡資訊董事長張家銘也應邀出席產業高峰對談，共同探討台灣業界該如何加速網路創新及其綜效，在傳統科技業的利基下掌握軟硬整合趨勢下的全新發展契機。另外，藉由「網路軟實力出走台灣」網路新創專題分享，也讓阿碼科技的黃耀文、WhosCall的郭建甫等網路新創公司創辦人分享，如何以網路軟實力走出台灣、躍上國際舞台的成功案例，並為台灣網路及行動商務市場注入創新思維和新局面。

 

 

 

TiEA秘書長在工作報告中說明，2012年10月，TIEA台灣網路暨電子商務產業發展協會召開第一屆會員大會，目前已募集超過130個團體會員，其為全台灣唯一且匯集最多網路及電子商務業者的公協會組織。TIEA台灣網路暨電子商務產業發展協會致力於推動網路與電子商務經濟發展並擴大市場規模，期許成為政府與產業的雙向溝通平台，並為網路及電子商務產業爭取合理友善的經營環境。此外，TIEA鼓勵培育創新人才及網路創業能力，並善用網路資源協助台灣產業全面升級。 

 

 

 

你與TiEA在春天的第一個約會-TiEA春浪派對

台灣網路暨電子商務產業發展協會舉辦2013年的第一場活動「TIEA春浪派對」，300位網路業者共聚一堂，宣示要推動網路業成為台灣的關鍵產業。