祝賀詞產業分析回顧與展望大事紀產業動態特別活動活動花絮

被企業忽視的資安內功

精誠資訊股份有限公司 俗語說「攘外必先安內」，某大型跨國銀行為了強固資訊系統之安全性，將大量主機系統納入持續不中斷的自動防護與修正管理，由內至外徹底杜絕防護漏洞，他們是如何辦到的？

為因應層出不窮的資安漏洞，某大型跨國銀行成功導入「檔案異動完整性管理」，運用尖端管理系統強固其內部資訊架構。有鑑於此，精誠資訊將該核心技術能力引入台灣，提供資訊安全配置評估與檔案異動監控稽查解決方案，為強化客戶資安防護能力，同時符合金管會要求的檔案與系統異動存查制度，並落實企業安全政策實施。

『背景與需求』

眾多銀行單位DMZ區與內網中，有許多提供對外業務服務的重要伺服器，多年來持續擴充並強化其防護系統，但是面對層出不窮的資安攻擊，與主管機關日益嚴格的安全查核，銀行極需將現有安全審核機制提升，符合國外的資訊安全標準，保留完整檔案與系統異動之數位軌跡。

此專案計畫建立「作業系統層級資訊安全標準評估與矯正」、「作業系統與應用系統變更數位證據」之保全與稽查兩項重要機制，同時透過黑白名單的即時監控，可以第一時間發送通知至相關負責人，提升對重要檔案與目錄變動事件的反應時間。同時，符合金管會規定，所有檔案與目錄異動紀錄均需與資訊變更單互相勾稽，以列出異常變更統計表，防止未經授權變更使系統異常或服務中斷，造成企業損失。別再一味迷信如何防禦網路攻擊，從提升主機建康基本做起。

『精誠解決方案』

針對客戶的三大需求：作業系統層級資訊安全標準評估與矯正、重要伺服器作業系統檔案設定檔／參數檔／程式系統之異動的數位證據保全、資訊變更單勾稽，精誠團隊提供Tripwire Enterprise解決方案與專業顧問服務以滿足客戶需求。

『關鍵要素』

■使用Tripwire Enterprise進行資安組態與配置管理

●檔案完整性管理 : 主機之作業系統檔案，進行監控與保存檔案異動歷程完整性資訊。

●高達250國際法規與產業標準: 提供各式作業系統，可依相關國際法規規範標準 （ISO 27001、COBIT、PCI DSS、USGCB…標準或公司自行規定標準）掃描，確認系統強固健康度與合規度。

●主機之作業系統檔案、作業系統設定，變更稽核偵測：一有異動即時通知。

●主機檔案竄改偵測通報：24小時全天候偵測，如遇非法時段或人員即時通報。

●外部廠商登入重要營運主機或安裝系統Patch時，修改了那些檔案及設定，是否有更動不該改的檔案，可保存檔案異動歷程完整性資訊並即時通報相關人員。

●設定排程自動掃描檢查所有機器的設定檔案、安全參數是否符合法規規範標準，並產出合規率與矯正報告等報表。

●誰去改了上述這些檔案、參數檔、重要安全參數如機碼，變更前後有無提出申請？變更完畢後是否通過審核？相關資訊將留下軌跡，可產出報表供稽核與外部查證單位審查。

●發生系統問題時，能第一時間調出歷史軌跡，了解是否由人為設定的問題導致等。

■精誠團隊服務

●建立支援以下作業系統版本的資訊安全配置參數評估與變更稽查機制，包含：Windows／AIX／HP-UX／Solaris／Red Hat／SUSE／SunOS。

●提供國際資訊安全標準ISO 27001／PCI DSS於各作業系統的最佳實做模版，並建立評估審核機制與修正程序。

●即時監控重要伺服器之檔案、設定檔、參數檔及程式等之異動，留下誰做的（Who）、何時做（When）、在哪做（Where）、做了什麼（What）之前後比較的數位證據。

●建立與資訊變更單勾稽之機制，查出未經授權之變更，並以Email方式發送通知給相關負責人員，以執行應變措施。

『導入效益』

●持續保證高風險伺服器的作業系統與應用系統安全設定符合ISO 27001／PCI DSS／USGCB／COBIT／企業資安政策等標準。

●提高主機強度與健康度，符合國際安全標準與法規合規建議。

●具備完整資訊系統異動之數位證據保全機制，確保資安事件發生時有跡可循。

●具備應對未經合法授權所執行異動之安全管理機制，讓主機隨時維持健康狀態。

●符合主管機關對於高風險營運主機之變更管理要求，讓資訊單位、內稽、外稽不再手忙腳亂。

『後續觀察』

根據Mandiant 2014年威脅報告，被偵測到的資安違法行為的平均時間為229天，然而同年美國的黑帽資安年會(Black Hat Security Conference)中51%的受訪者則表示要在關鍵的資訊系統找到漏洞只需要24至48小時。可見多數的組織所期待的資訊安全仍建立在很不穩健的基礎上，大多數組織都忽略了運行安全的基礎設施所需要的基本的安全控制。如果要等到發現重大損失才進行修補卻為時已晚了。企業應當更積極透過組態與配置強固和漏洞管理，實施持續主動監測，才能於發現違反控管規定的“即刻當下”，快速檢測在營運系統上的可疑變化和活動。這種方法降低了誤判，並大幅度提高了通報的準確性，使企業能夠檢測和漏洞迅速做出反應。