資訊安全講習-以駭客思維剖析企業應對方針

５月23日的午後，TiEA特別邀請戴夫寇爾(DEVCORE)的執行長Allen(翁浩正)先生與我們分享如何用駭客的思維來因應資訊安全事件。

駭客(Hacker)不是你想的那樣

    Allen本身是台灣駭客年會的副總召，對於資訊安全系統的研究與開發尤其熱衷，不但熟悉駭客攻擊手法，並且致力於開發與研究攻擊程式與後門程式，目前已經為許多平台業者規劃建置資訊安全系統，並以駭客的思維為業者尋找資安漏洞。

   「駭客」(Hacker)一辭指的是對電腦科學、編程和設計方面具高度理解的人，然而在媒體報導的「簡化」過程，一般人聽到「駭客」，即會聯想到那西利用電腦技術來犯罪的人。事實上在資安產業裡，「駭客」可以分為偵錯和分析電腦保安系統的白帽（White Hat）、未經允許惡意侵入的黑帽（Black Hat）、亦正亦邪的灰帽(Gray Hat)與利用別人創作程式進行破壞的script kiddie。

你聽過軍方駭客嗎?

    根據2014年Verizon最新發布的2014資料外洩調查報告指出，在過往發生的資安事件中，有將近9成網路間諜攻擊來自於國家級機構的發動，其中涉及資料外洩的攻擊案件則佔了22%，並且有超過半數以上的網路間諜攻擊對象是以美國為主，其次是日本和韓國。國際間早已經如同軍隊組織化一般組成「網軍」，對他國從事情報蒐集、對特定目標的攻擊與防護等工作，近年政府部門資料遭駭最嚴重的案例，即是健保局的全民健保遭駭，在中國網軍人海戰術下，十年來國內幾乎所有機關都被駭過。

 

資安漏洞很可能是自己公布的?

    黑帽駭客們侵入電腦系統的行為往往只為了獲取自己的好處，一旦獲取企業網站機敏資料(個資、營業秘密)即可能拿來對企業勒索或放在駭客交易黑市來兜售。當駭客鎖定目標，他們的思維往往是縝密的，產品、網站甚至是廠商釋出的修補程式、錯誤訊息都可能是他們尋找、研究漏洞的方法，以DNS Zone Transfer(AXFR)為例，Allen實際操作查詢某機構的所有DNS主機，若該漏洞沒補起來，就會導致曝光太多內部DNS伺服器訊息，而引誘駭客去攻擊。了解駭客尋找漏洞的方法可以避免將弱點或漏洞暴露在外。

 

互聯網OpenSSL「Heartbleed」漏洞剖析

2014年4月7日爆發OpenSSL嚴重漏洞，這個漏洞讓攻擊者可以從伺服器記憶體中讀取64 KB的資料，並且利用 heartbeat 封包的漏洞，傳送封包攻擊伺服器，擷取可能存在記憶體中的機敏資料(如私密金鑰Private Key、Session ID、Cookie、帳號密碼、個人資料、信用卡資料…等等)，成為駭客64KB的刮刮樂。

 

Heartbleed漏洞影響範圍很廣，除了盡快將OpenSSL升級外，可以透過網路的Heartbleed測試網站，為自家的網站做把關的動作。

 

 

資安風險不會消失，風險共存才是生存之道

只要是聯網電腦，駭客即可透過全球掃描的方式，找出該電腦的屬性與可能的漏電，Allen實際展示一個網站，即可以看到被駭客破解、監控或利用的案例。這些案例都在在說明了，資安的風險是不可能消失的，但是面對資安事件應該如何因應呢？

業者應該在事前進行教育訓練、資安事件演練，發生資安事件時，迅速通報，並在事後找出漏洞加以修補，將傷害降至最低。