AIOps 環境效能監控系統

特色與功能

•  日誌收集範圍   

•  日誌資安系統功能

       分流圖       


       即時告警       



       威脅分析       

      流量/封包統計分析      



      連線內容分析      

---

主要獨特優勢

• 事件調查 - 防火牆特殊埠訪問數異常

• 事件調查 -主機日誌分析示意

• IP 地理空間(Geospatial)分析

資安概述

何謂資訊安全?

資訊安全的定義

Ø資訊對組織而言就是一種資產，和其它重要的營運資產一樣有價值，因此需要持續給予妥善保護。 資訊安全可保護資訊不受各種威脅，確保持續營運、將營運損失降到最低。

–資產分類可分為：

•實體資產：如電腦、設備等
•人員：員工
•書面文件：如合約書、使用手冊等
•服務：如通訊、技術等
•資訊資產：如資料檔案、應用程式、系統軟體等
•公司形象與聲望

Ø機密性(Confidentiality)

確保只有獲得授權的人才能存取資訊，保護資訊不被非法存取或揭露。 確保資料傳遞與儲存的私密性，機密資料必須加密處理。 避免未經授權的使用者有意或無意揭露資料內容。 技術面：採用安全性傳輸協定，例如：SSL(Secure Sockets Layer)、IPSec(Internet Protocol Security)等。

Ø完整性(Integrity)

保護資訊與處理方法的正確性與完整性，確保資訊沒有不當的修改或損毀。 避免非經授權的使用者或處理程序篡改資料。 文件經傳送或儲存過程中，必須證明其內容未遭竄改或偽造。 技術面：採用安全性技術， 例如：雜湊函數MD5、SHA-1等(國外會參考Federal Information Processing Standards (FIPS，聯邦資訊處理標準))。

Ø可用性(Availability)

資料必須即時並可靠的提供給使用者。 系統的高度可用性必須確保重要資訊系統不可中斷服務。 技術面：採用安全技術，例如：HA ( High Availability) 、Clustering、RAID(Redundant Array of Independent Disks)、多備援系統及主動防禦等機制。

Non-repudiation (不可否認性) ‧

防止存心不良的使用者否認其所做過的事，包括送出信件，接收文件，存取資料等。 即交易的收發雙方參與安全管制並無法否認執行過的交易 例如數位簽署就具備不可否認性

Authentication(身分鑑別)

‧辨別資訊使用者的身份 ‧即可以記錄資訊是被誰使用過 ‧例如帳號、身份字號、員工編號。

Authority(存取權限控制)

‧依照身份給予適當的權限 例如：銀行的櫃臺是不被允許進入保險櫃 ，僅有組長 以上的權限才能進入。

安全控制措施的分類&例子

資訊安全基本防護概念

Ø進不來

–非經授權的身分與設備無法建立連線

–所有連線進行威脅偵測與阻擋等

Ø看不見

–公司網路/系統資源需進行區分管理之”安全”限制

Ø讀不懂

–裝置內存與傳輸資訊進行加密

Ø帶不走

–限制裝置輸出資料之控管等

Ø找的到

–存取軌跡資訊

零信任安全架構的三大原則

分層防禦

防禦方法

資料保護
‧傳輸保護 ‧
系統防護 ‧
入侵偵測 ‧
存取控制/入侵防護
‧系統管理

採用各種解決方案對抗各種攻擊與危害

駭客攻擊途徑與手法

要在與駭客的戰爭中取得主動優勢，我們就必須先破除過去對網路安全不正確的觀念與想法：

迷思：防火牆萬能論

現行對於防火牆的保護機制其實與古代的防 禦機制是沒有差別的。 在現在，為了抵禦外來的威脅，企業都會定義資訊 安全邊界。 使用防火牆來保護邊界內的資源，防火 牆內還會使用入侵偵測系統來避免內部的威脅。 有 些重要的單位還會有內外網路之分。 要進出防火牆的網路封包都會經過防火牆的檢驗， 合法的封包才能進出。

防火牆防護體系

直到今日，仍有許多使用者認為，只要安裝了防火牆，便可以高枕無憂，或至少可以阻擋大部份的攻擊行為。 防火牆固然是重要且必備的安全機制，而且隨著技術的進步，防火牆的功能也越來越強大，但是防火牆仍有其天限。 無論是那個廠牌的防火牆，它主要的工作便是控制存取與過濾封包。

一般企業的防火牆設定皆是從外面往內部的方向幾乎是全部Deny，只允許對幾個位於DMZ區中之對外服務伺服器存取特定IP及ports； 反之，另一個方向，從內到外的方向的管控就鬆得多了，畢竟員工上班時間還是需要連上Internet的。 問題就是出在防火牆從內部往外部的管制相對地鬆，而駭客就是利用這一點，想辦法讓員工在不經意的上網行為當中毒， 一旦電腦中毒之後，就會利用防火牆內對外管制鬆散的特性，偷偷下載更多的駭客工具，進而讓駭客能入侵員工的電腦， 接下來駭客就可以遠端遙控，潛藏在你的企業網路之中，偵查你的網路，就像像逛大街一樣平行移動， 最終的目的不外是為了竊取你公司的營業祕密或者是將你的資料加密之後對你勒索。 像這種自網路內部發動的攻擊，防火牆便發揮不了作用。現在的駭客技術日新月益，多半會在一個攻擊行動中同時結合多種攻擊技術， 防火牆並非無用，但絕非萬能。

駭客攻擊步驟及手法

Advanced Persistent Threat 進階持續性攻擊

Ø鎖定攻擊目標：針對目標單位，長期進行有計劃性、組織性的入侵行為，以達到竊取有價值的情資(機密資料、智慧財產等)或毀滅破壞等目的， 時間可能持續幾天，幾週，幾個月，甚至更長的時間。

無檔案惡意程式攻擊(Fileless Malware)

無檔案惡意程式早已不是什麼新聞，但目前卻有 日益增加的趨勢。事實上，根據報導，在針對企業的攻擊得逞案例當中，有 77% 都是使用無檔案惡意程式。這類惡意程式不像傳統惡意程式那樣容易被發現，而且會利用各種技巧來長期躲藏在系統內部，因此隨時可能對企業流程或營運基礎架構造成危害。 以下詳細說明無檔案式威脅的幾種運作方式以及如何加以防範。

弱點掃瞄與滲透測試

弱點掃瞄與滲透測試的差異

市場上銷售的滲透測試服務，廠商多以弱點掃瞄服務來取代並執行。事實上，兩者之執行方式與所需技術能力有相當大之差別。弱點掃瞄服務所能找出之弱點並不夠全面，以下表說明之：

弱點管理-弱點掃瞄評估服務

主機系統弱點掃瞄執行方式

• 使用自動化的弱點掃瞄工具
• 對作業系統、系統服務進行檢查
• 由外部向內部掃瞄

• • 檢視由外部可得到的資訊
  • 檢視防火牆等安全設備的設定是否有疏漏

• 內部直接掃瞄 (建議採用)

• • 與目標主機同網段進行掃瞄
  • 得到最直接的主機弱點資訊
  • 分析判斷掃瞄結果

提出弱點修補建議

主機系統弱掃檢查項目

• 網路服務
• 作業系統未修補的弱點
• 常用應用程式的弱點
• 網路與安全等設備的弱點
• 系統不安全的設定
• 已知常見的後門程式
• 簡易帳號密碼破解

主機系統弱點掃瞄報告範例

網頁應用程式掃瞄執行方式

網頁應用程式弱掃工具的運作機制

網頁應用程式弱掃檢查內容

• 偵測各類Web應用程式的安全弱點

–Web Service 弱點掃瞄

–網頁應用程式弱點 (SQL Injection, XSS…等)

–ASP、ASP.NET、PHP、Perl、Java/J2EE等特定問題掃瞄

–評估Web Server是否有弱點或不安全的設定

–自動搜尋備份檔、記錄檔、機敏檔案或目錄

網頁應用程式弱點掃瞄報告範例

弱點管理-滲透測試服務

服務說明 模擬駭客的思維及行為模式，模擬網路駭客入侵時可能發生的情況。 測試要項 常見攻擊手法及可用弱點驗測 網路、系統、應用程式安全瑕疵滲透 認證跳脫、越權方式檢測 新型態攻擊技術驗測 交易流程運作邏輯漏洞

• 目的

• • 驗證現行系統、應用程式、及網路的安全強度。
  • 了解入侵者可能利用的途徑，以及可能造成的影響，進行改善。

滲透測試執行細部程序

滲透測試簡介與目的效益

• Penetration Test”、 “Pentest”
• 滲透測試是模擬駭客行為的測試

• • 滲透測試是模擬駭客的思維模式，應用駭客的工具與技術，對目標進行滲透。但不具駭客的破壞行為。

• 滲透測試是駭客入侵的實際演練

• • 滲透測試嘗試取得系統弱點的實際驗證及存取權限或未授權的機密資料。
  • 可檢測出自行開發的應用程式漏洞及未知弱點

• 評估遭到入侵之風險

• • 評估可能遭受入侵的途徑
  • 評估重要系統遭到入侵的影響範圍及損失
  • 評估機密資料洩露的影響範圍及損失

• 提高企業網路之安全強度

• • 修補企業網路存在的安全漏洞
  • 修正已知及未被公佈之漏洞
  • 修正系統或安全設備不當的設定
  • 排除未授權存取系統的可能性
  • 排除資訊洩露的可能性

滲透測試檢驗項目

• 依受測目標型態決定檢測項目，包含（但不僅）：

• –系統不當設定、預設設定檢測
• –資訊洩漏、目錄洩漏檢測
• –緩衝區溢位(Buffer Overflow)
• –格式化字串(Format String)
• –堆積溢位(Stack Overflow)問題檢測
• –認證跳脫、越權方式檢測
• –密碼強度、懶人密碼檢測
• –信任關係檢測
• –已知可攻擊的漏洞檢測
• –已知可攻擊的漏洞檢測
• –跨腳本攻擊(XSS)檢測
• –垂直權限跳脫檢測
• –水平權限跳脫檢測

滲透測試服務報告範例

行政院及所屬各機關資訊安全管理規範

以下僅針對資通安全管理法重點截取，相關詳細規定請自行google"資通安全管理法"

資安責任等級分級準則

資安責任等級分級準則(政府機關)

資安責任等級分級準則(學術機構)

資安責任等級分級準則 (國/公營事業、醫療機構及其他)

資安責任等級應辦事項(1/3)

資安責任等級應辦事項(2/3)

資安責任等級應辦事項(3/3)

應辦事項執行時程(1/2)

應辦事項執行時程(2/2)

Cisco 資安解決方案總覽

思科擁有完整解決方案

思科資安產品分類

APT攻擊一直為最令IT部門頭痛的攻擊行為，不僅在於其運作模式具有針對性與隱藏性，更嚴重的是往往都在被入侵多時，甚至是資料遭竊取之後才驚覺已經被駭客滲透。 IT部門在處理APT攻擊時，深感無力之處便是：無從得知何時被攻擊、如何被攻擊、受影響的裝置、該如何應對等，在茫然不知所措的同時， 駭客往往又造成更進一步的傷害，對商譽與資料安全造成難以彌補的後果。 思科系統針對APT攻擊防護，提出完善的AMP(Advanced Malware Protection)解決方案，思科獨步全球的防護能力， 讓您在思科全系列資安設備中，皆能擁有完整的APT攻擊防護。

"對付APT沒有萬靈丹，企業必須建立一套涵蓋網路、邊界、端點和資料安全的縱深防禦策略。"

SecureX-單一管理平臺

思科今年推出整合多種資安解決方案的集中管理平臺，名為SecureX，提供單一操作介面、自動化調度指揮、威脅應變，以及威脅獵捕等功能。 SecureX整合式的雲端原生資安平臺，當中涵蓋了該公司的所有資安產品，統整了多種防護控管功能， 像是資安能見度的集中呈現、辨識未知威脅，以及自動化工作流程，可橫跨網路、端點、雲服務、應用系統， 持續掌握關鍵的資安維運與威脅狀態，提供統一的資安狀態透視觀點，以及後續該如何處理的洞察分析，強化企業整體防護力， 提高威脅反應的速度。

為什麼TALOS 之於Cisco Security 很重要

Talos團隊由業界領先的網路安全專家組成，他們分析評估駭客活動， 入侵企圖，惡意軟體以及漏洞的最新趨勢。包括ClamAV團隊和一些標準的安全工具書的作者中最知名的安全專家， 都是Talos的成員。這個團隊同時得到了Snort、ClamAV、Senderbase.org和Spamcop.net社區的龐大資源支援， 為思科的安全研究和安全產品服務提供了強大的後盾支援。

Talos思科安全威脅資料中心

Firepower NG-Firewall

Firepower Threat Defense(NGIPS) 可實現系统漏洞分析

減少資安事件發生時所需之評估回應時間

Firepower 功能不影響效能

無論IPS啟動否，效能不受影響

Cisco v.s. PA

Firepower Subscription

AMP for Endpoint端點防護

在家工作之安全，首要注意使用設備上的安全控制，應避免設備的入侵。 端點進階惡意程式防護可深入查看網路層級與網路邊緣的威脅活動，並封鎖進階惡意程式。 根據700 多種行為指標，執行檔案的自動化靜態與動態分析。這些分析會發掘隱匿的威脅，並協助資安瞭解、優先處理及封鎖精細的攻擊， 有利於在進入點封鎖惡意程式、查看檔案與可執行檔層級的活動，持續保護設備。

Firepower NGFW/NGIPS 記錄惡意程式傳播過程

因應APT攻擊的風起雲湧，多數廠商僅提供閘道端的偵測功能， 卻忽略了最重要的用戶端偵測與防護能力， 其實用戶端設備經常是四處行動上網，不僅無法受到閘道端設備的保護，反而是最容易成為APT攻擊目標。 思科特別針對用戶端提出「AMP for Endpoint」用戶端攻擊防護方案， 藉由AMP for Endpoint匠心獨具的「檔案軌跡」及「設備軌跡」分析功能，不僅記錄惡意程式的傳輸途徑、更 讓您知悉散佈的途徑， 使得各種攻擊行為無所遁形，一切盡在您的掌握中!!

AMP永遠不會忘記文件的去向或作用。 如果在最初檢查時看起來乾淨的文件成為問題， 則AMP會在惡意行為的第一個跡像出現時，完整記錄威脅的活動， 以進行捕獲，遏制和補救。

ESA (Email Security Appliance)

利用IronPort ESA及IronPort WSA，能讓您不費吹灰之力， 即可攔阻電子郵件或網頁服務中的惡意程式， 並提供詳盡的報表，資訊內容安全控管

Cisco 電子郵件安全防護

Cisco ESA能為你做什麼！

Umbrella – 網路保護傘：

DUO

不是只有VPN, 任何認證型態都可以保護

不是只有VPN, 任何認證型態都可以保護

此外，ETA也能搭配收集NetFlow記錄的Stealthwatch，以及雲端資料分析服務Cisco Cognitive Analytics， 將上述兩種詮釋資料與Cisco的威脅情報之間，進行比對，找出惡意活動。

Anyconnect

遠距連線，安全工作無彊界：使員工能夠用公司筆記型電腦或個人行動設備在任何地方工作。 啟用安全通道後就能讓員工在遠端存取辦公室、分流及分支到總部等系統資源，就如同在辦公室工作一樣。 且提供可視性和安全團隊管理所需權限，以識別哪些使用者和設備正在使用其各項 IT 網路及資源。