Cyber Security 2020 我見‧我思‧我聞
Published by Yi-Lang Tsai under 資訊安全, 隨筆散談 on 4/13/2020 01:30:00 上午
打從 2020 年一開始，就是個不平靜的一年，全球的 Covid-19 疫情帶來重大的衝擊，直接影響了我們的生活，真實的世界如此的紛擾，而網路世界也是波濤洶湧，遠距的在家工作模式，一夕之間成為每個企業必須思考的問題，對於資訊安全這個領域，我想每個人的心中都有不同的想像，在長期從事資訊安全領域相關研究，也一再的驗證了「資訊科技的發展，始終來自於人性的需求」，但資安的威脅卻也同時伴隨而來，目前最熱門的議題，除了疫情的發展之外，從資安的角度來說，就是如何利用目前可行以及容易取得的解決方案，延伸企業的數位邊界，在遠距工作時也同樣能夠獲得資安上的保護。
從年初開始的 RSA Conference之後，許多的國際資安會議紛紛受疫情的影響而延後辦理，不過從今年 RSA Conference 的主題「Human Element」，由人的觀點開始思考資安的元素，這也是因為許多的資訊服務，因為行動裝置或是穿戴裝置的普及，萬物聯網的時勢所趨，必須再次的思考資安對於我們應該扮演的角色，以及需求滿足的元素，而其中的關鍵元素更是缺一不可，這也印證在這次的疫情之中，常用來確保通訊安全的 VPN 技術，只是最基本的要求，如何進一步的確認遠端的連線是被賦予權限的當事人，這個是必須納入思考的議題。
「Power of Data」數據的運用在此次的疫情中顯得格外重要，數據所帶來力量，如何掌握與呈現，對於做決策這件事而言，這是相當重要的關鍵，如果因為資訊的掌握度不夠或是錯誤的資料，在進行決策或是部署一階段的防禦而言，就非常容易發生誤判的情況，目前網站上有許多的疫情統計數據發佈平台，不過個人還是主推由國網中心所開發的 Covid-19 Dashboard，同時匯整了國際上幾個主要平台的數據統計，最重要的是呈現在地化的資訊，可以讓我們在這一波的疫情中，五分鐘更新一次全球的數據異動，隨時讓我們掌握疫情的發展，這是一個相當成功由數據力所帶來的成果。
在資安的領域中，早已沒有國家的邊界，網際網路的發展，已是一個地球村的概念，以全球地圖的方式來呈現，在資安的數據統計上應用得相當多，由 IP 位址就可以定義來源的國家、城市以及所管理的IASP(Internet Access Service Provider)，因此對於資安事件的追蹤上，來源與目的地是重要的兩個關鍵， 其中用的通訊協定以及觀察到的行為就是用來進行惡意行為與否的判斷，在這次的疫情之中，人與人之間的交流，交通工具的運輸，就如同網路世界一樣，對於防疫措施不足或是輕忽所帶來的影響，則必然成為下一個重災區。
國與國之間的往來，主要以飛機、輪船或是陸路運輸的方式，在目前疫情嚴重的時候，以空中的運輸為例，在 Flightradar24 的網站上，仍然可以看到許多的班機往來，不過仔細一看，大多數都是貨機，客機的數量大多以各國自己國內的運輸為主，跨國的航班因為國際間的邊界管制，而變得相當的少。
目前疫情嚴峻的國家，在天空中的飛機一樣的多，如何做好邊界的管控，就成為相當重要的一環，避免因為外來的威脅造成疫情的擴大，在企業所必須建立的數位邊界，也是同樣的道理，只要是連網的設備，就必須考量其所面對的資安風險，一旦邊界被突破後，如何快速的應用與救災，建立企業的數位韌性(Digital Resilience)。
國際的情資平台相當多，以下將從實務運用以及手邊有的資源進行介紹，資安事件的調查與風險對於資安領域的研究而言，這是最花時間的，往往在資安應用上所產生的大數據，要找出關鍵的資安威脅，真的就如同大海撈針一樣，從以前的資安防護到現在的威脅獵殺，都希望能夠找到關鍵的資安問題，像前幾年的一部電影-關鍵報告(Minority Report)，必須在有限的時間內找到關鍵點，避免威脅的發生，從 Anomali ThreatStream 的威脅情資中，就不難發現近期的攻擊威脅，SPAM、BOT等 成為最大的威脅類型，這也對應了近期的資安威脅以社交工程的釣魚郵件為主，駭客利用惡意程式建立殭屍網路(Botnet)。
將最近所發現與 Covid-19 有關的惡意程式進一步分析，目前在情資平台能夠識別出該檔案存在資安風險，這是運作在 Android 平台上的惡意 APP，以取得即時疫情資訊的說法，引誘使用者進行安裝，安裝後將會造成使用者裝置上的隱私資訊遭到竊取。
取得可以使用的入侵指標(IOCs, Indicator of compromises)，可以建立偵測與防禦的機制，整合現有的資源進行異常活動的告警，由此案例可知，目前攻擊者所攻擊的目標，已經從典型的資通訊系統延伸到行動裝置上，在現在數位化與行動化成為顯學的時代，使用者透過這些裝置的連網，配合所安裝的 APP 就能夠快速的接取遠端應用服務平台所提供的資訊，如何建立安全的通訊方式以及保護重要的資料，對於企業而言都是相當重要的，因為目前絕大多數的服務平台都已轉移到雲端的平台中。
目前網路上有許多的情資服務，有些是開放交換的 ，也些是針對自己的客戶，也有的結合本身的資安產品，因此在分析手邊的資訊時，最好能夠透過不同屬性的平台進行驗證，因此將同樣的資訊在其它的國際情資平台上進行查詢，同樣的也揭露了該程式所帶來威脅，經過綜合的分析與資訊的掌握，瞭解不同的情資平台所呈現的訊息，對於資安分析人員而言，也是相當重要的佐證資訊。
許多資安分析人員熟悉的 VirusTotal 也是一個可以做為查詢資料的地點，可以知道這個檔案在不同的偵測引擎所呈現的結果，當然如果越多人說它有問題，那應該有問題的機率就越大了，不過還是得提醒一下，如果是與企業營運相關的文件或是有機敏資料考量的檔案，建議還是不能夠直接上傳檔案，避免因此而衍生資料外洩的風險。
2020年從資安領域的角度來看，是一個世代的轉換，也是一個加速走向數位化與行動化的一年，因應疫情的影響，加速了許多資訊服務平台的開發，遠端的工作模式越來越需要資訊科技的協助，其中當然包括對於資安的考量，結合雲端應用、行動應用、數位化服務以及隱私安全等議題，現在要推動許多的應用服務時，也不再單純的考量功能面的滿足，也需要兼顧資安上的防護能力，對於企業而言如何因應員工在家工作 (WFH, Work From Home) 的需求，長久以來被企業所忽視的「數位邊界」議題，卻成為所有企業必須思考的問題，而且不再是一個開放式的題目，而是一個需要解決方案的時機點。
參考網站：
從年初開始的 RSA Conference之後，許多的國際資安會議紛紛受疫情的影響而延後辦理，不過從今年 RSA Conference 的主題「Human Element」，由人的觀點開始思考資安的元素，這也是因為許多的資訊服務，因為行動裝置或是穿戴裝置的普及，萬物聯網的時勢所趨，必須再次的思考資安對於我們應該扮演的角色，以及需求滿足的元素，而其中的關鍵元素更是缺一不可，這也印證在這次的疫情之中，常用來確保通訊安全的 VPN 技術，只是最基本的要求，如何進一步的確認遠端的連線是被賦予權限的當事人，這個是必須納入思考的議題。
圖. RSA Conference 2020
「Power of Data」數據的運用在此次的疫情中顯得格外重要，數據所帶來力量，如何掌握與呈現，對於做決策這件事而言，這是相當重要的關鍵，如果因為資訊的掌握度不夠或是錯誤的資料，在進行決策或是部署一階段的防禦而言，就非常容易發生誤判的情況，目前網站上有許多的疫情統計數據發佈平台，不過個人還是主推由國網中心所開發的 Covid-19 Dashboard，同時匯整了國際上幾個主要平台的數據統計，最重要的是呈現在地化的資訊，可以讓我們在這一波的疫情中，五分鐘更新一次全球的數據異動，隨時讓我們掌握疫情的發展，這是一個相當成功由數據力所帶來的成果。
圖.NCHC Covid-19 Dashboard
在資安的領域中，早已沒有國家的邊界，網際網路的發展，已是一個地球村的概念，以全球地圖的方式來呈現，在資安的數據統計上應用得相當多，由 IP 位址就可以定義來源的國家、城市以及所管理的IASP(Internet Access Service Provider)，因此對於資安事件的追蹤上，來源與目的地是重要的兩個關鍵， 其中用的通訊協定以及觀察到的行為就是用來進行惡意行為與否的判斷，在這次的疫情之中，人與人之間的交流，交通工具的運輸，就如同網路世界一樣，對於防疫措施不足或是輕忽所帶來的影響，則必然成為下一個重災區。
圖.NCHC Covid-19 Dashboard
國與國之間的往來，主要以飛機、輪船或是陸路運輸的方式，在目前疫情嚴重的時候，以空中的運輸為例，在 Flightradar24 的網站上，仍然可以看到許多的班機往來，不過仔細一看，大多數都是貨機，客機的數量大多以各國自己國內的運輸為主，跨國的航班因為國際間的邊界管制，而變得相當的少。
圖.Flightradar24
目前疫情嚴峻的國家，在天空中的飛機一樣的多，如何做好邊界的管控，就成為相當重要的一環，避免因為外來的威脅造成疫情的擴大，在企業所必須建立的數位邊界，也是同樣的道理，只要是連網的設備，就必須考量其所面對的資安風險，一旦邊界被突破後，如何快速的應用與救災，建立企業的數位韌性(Digital Resilience)。
圖.Flightradar24
真實世界雖發生如此嚴重的疫情，但在網路世界中也沒有想像中的平靜，尤其這段時間當大家足不出戶時，取得資訊的管道主要就得依賴網路科技帶來訊息，這陣子在工作的環境中，最明顯的不同就是實際的出差變少了，但是線上的會議一個也少不了，經常在辦公室中坐著，參加著一個一個的視訊會議，再加上前陣子 Zoom 所衍生的資安議題，在三月份也有相當多的郵件社交工程攻擊，就是假冒邀請參加線上會議的名義，讓收到郵件的人若未仔細判斷就可能感染到惡意程式，因此在數位化的工作環境中，建立對於資安的基本認知，也是確保企業數位邊界防禦的關鍵，畢竟人往往是資安最脆弱一環；至於要問我那一個視訊軟體最安全，這個就如同人生一樣，得「把握當下」，選擇目前公認最安全的軟體，但是其中一個關鍵，如果發現了重大的弱點，修補的速度也是一個重要的指標，表示對於資安風險的處理能力，畢竟並沒有百分百的軟體工程，也不存在百分百的安全軟體。
圖.Co-Life 會議系統
如何知道已經被揭露的資安風險呢？從 CVE 網站來查詢是一個重要的管道，或是利用國內外常用的 ISAC(Information Sharing and Analysis Center) 情資分析與分享機制，也能夠獲得相關的資訊，其中特別針對近期的熱門軟體 Zoom 為例進行查詢，其中就不難發現在今年已有三個相關的資安風險，多數與使用者端的軟體以及資料的隱私保護有關，這些資訊其實大多數的企業都不會主動發覺，從被發現到修補之間的時間差，才是我們所關心如果進行資安風險管控的關鍵。
圖.CVE (Zoom)
惡意程式的活躍程度 ，隨著疫情的發展更加的快速，在三月份所看到的惡意程式活動並不亞於過去，反而新的惡意程式配合的社交工程的攻擊，而大量出現在網路上，透過目前所建置的惡意程式知識庫進行收集與分析，其中誕生最多惡意程式達到一天二萬多隻，這個數字的成長，背後的意義代表著網路世界的另一場風暴正在蓄勢待發，讓我們不得不持續關注與留意後續發展，目前平台上的惡意程式樣本總數也達到了2350萬種以上，如果有需要檔案風險分析服務的人，也可以善用國內的 VirusCheck 平台。
圖.惡意程式知識庫
圖.Anomali ThreatStream
將最近所發現與 Covid-19 有關的惡意程式進一步分析，目前在情資平台能夠識別出該檔案存在資安風險，這是運作在 Android 平台上的惡意 APP，以取得即時疫情資訊的說法，引誘使用者進行安裝，安裝後將會造成使用者裝置上的隱私資訊遭到竊取。
圖.Kaspersky Threat Intelligence Portal
取得可以使用的入侵指標(IOCs, Indicator of compromises)，可以建立偵測與防禦的機制，整合現有的資源進行異常活動的告警，由此案例可知，目前攻擊者所攻擊的目標，已經從典型的資通訊系統延伸到行動裝置上，在現在數位化與行動化成為顯學的時代，使用者透過這些裝置的連網，配合所安裝的 APP 就能夠快速的接取遠端應用服務平台所提供的資訊，如何建立安全的通訊方式以及保護重要的資料，對於企業而言都是相當重要的，因為目前絕大多數的服務平台都已轉移到雲端的平台中。
圖.Alien Vault OTX
圖.IBM X-Force Exchange
許多資安分析人員熟悉的 VirusTotal 也是一個可以做為查詢資料的地點，可以知道這個檔案在不同的偵測引擎所呈現的結果，當然如果越多人說它有問題，那應該有問題的機率就越大了，不過還是得提醒一下，如果是與企業營運相關的文件或是有機敏資料考量的檔案，建議還是不能夠直接上傳檔案，避免因此而衍生資料外洩的風險。
圖.VirusTotal
2020年從資安領域的角度來看，是一個世代的轉換，也是一個加速走向數位化與行動化的一年，因應疫情的影響，加速了許多資訊服務平台的開發，遠端的工作模式越來越需要資訊科技的協助，其中當然包括對於資安的考量，結合雲端應用、行動應用、數位化服務以及隱私安全等議題，現在要推動許多的應用服務時，也不再單純的考量功能面的滿足，也需要兼顧資安上的防護能力，對於企業而言如何因應員工在家工作 (WFH, Work From Home) 的需求，長久以來被企業所忽視的「數位邊界」議題，卻成為所有企業必須思考的問題，而且不再是一個開放式的題目，而是一個需要解決方案的時機點。
參考網站：
- RSA Conference https://www.rsaconference.com/
- Flightradar24 https://www.flightradar24.com/
- NCHC Covid-19 Dashboard https://covid-19.nchc.org.tw/
- NCHC Co-Life https://m.nchc.org.tw/
- CVE https://cve.mitre.org/
- Malware Knowledge Base https://owl.nchc.org.tw/
- Virus Check https://viruscheck.tw/
- Anomali Threat Stream https://www.anomali.com/
- Kaspersky Threat Intelligence Portal https://opentip.kaspersky.com/
- Alien Vault OTX https://otx.alienvault.com/
- IBM X-Force Exchange https://exchange.xforce.ibmcloud.com/
- VirusTotal https://www.virustotal.com/
