您的瀏覽器不支援JavaScript功能,若部份網頁功能無法正常使用時,請開啟瀏覽器JavaScript狀態
友善列印 :
請利用鍵盤按住Ctrl + P開啟列印功能
字級設定 :
IE6請利用鍵盤按住ALT鍵 + V → X → (G)最大(L)較大(M)中(S)較小(A)小,來選擇適合您的文字大小,
而IE7或Firefox瀏覽器則可利用鍵盤 Ctrl + (+)放大 (-)縮小來改變字型大小。
跳到主要內容區塊

資安月報

:::
資通安全網路月報(110年11月)

日期:110-12-15
資料來源:資通安全處

本院於12月7日召開國家資通安全會報第38次委員會議(擴大會議),會中宣達重要事項如下,請各機關配合辦理:

一、優先採購國內資安自主產品,提升機關資安防護能量之際,亦能促進國內資安產業商機。
二、落實原則禁止遠端連線、導入資安弱點通報及端點偵測機制、敏感資訊加密儲存及傳輸、確實設定防火牆、不使用弱密碼或預設密碼、系統上線或更版前辦理安全驗測、資安事件依限通報等配合事項。
三、落實辦理資安防護及事件通報應變,並就有功人員予以獎勵;另,針對未落實管理規範而發生資安事件,或資安事件延遲通報等情形,應依法懲處。
四、依資通安全管理法規定要求,優先補足資安人力。
五、檢視與所屬機關有無系統重複建置情形,應由單一機關提供系統予所屬機關(單位)共用。
六、確認國家資通安全發展方案(110年至113年)中,110年各項具體措施之達成情形,及規劃111年相關應處作為,並請注意資安法子法修法重點。
七、於111年6月底前確認所管關鍵基礎設施提供者及公營事業設置資安長,並將資安專責人力調整為資安專職人力。
八、定期填報大陸廠牌資通訊產品清冊、落實視訊會議及即時通訊軟體使用安全等項,以降低資安風險。
九、於辦理相關資訊服務採購時,應於各階段加強各項資安作為,並定期對委外廠商辦理稽核;另請參考最新版資訊服務採購契約範本,於110年12月底前將資安相關要求納入契約規範。

<整體威脅趨勢>

事前聯防監控

    本月蒐整政府機關之資安聯防情資共56,273件,統計近一年情資數量分布詳見圖1。經分析上述資安聯防情資,可明確辨識之威脅種類,第1名為入侵攻擊類(52%),主要係跨目錄存取攻擊及國外IP攻擊行為;其次為掃描刺探類(22%),主要係外部主機執行掃描探測攻擊;以及政策規則類(13%),主要係嘗試安裝服務偵測及單一帳號持續登入失敗。

    其中,依聯防情資彙整資訊進一步分析,發現近期駭客以詢價為主旨,寄送含有惡意程式下載連結之郵件攻擊台灣政府機關,郵件內含透過通話軟體平台作為惡意檔案下載站之連結,企圖欺騙收件人下載遠端存取木馬程式。該攻擊手法有別以往利用電子郵件附檔方式,而是透過合法之通話軟體平台企圖躲避掃描偵測,並誘騙使用者將偽裝成一般文件檔案之惡意程式下載至電腦中執行,技服中心已透過聯防監控月報提供相關防護建議予各機關參考。

圖1 資安聯防監控資安監控情資統計

事中通報應變

    本月資安事件通報數量共91件,近一年資安事件通報統計詳見圖2。本月資安事件通報數量較去年同期大幅增加97.82%,主要因近期偵測發現駭客利用網路儲存設備之漏洞入侵並植入挖礦程式,占本月通報26.37%。

圖2 資安事件通報統計

事後資訊分享

    某機關接獲技服中心警訊,其內部設備有軟體連線至特定網域,調查後發現安裝軟體之設備為提供臨時人員處理基本文書作業使用之電腦,故無法溯源得知軟體安裝來源與目的,據以確認該軟體安全性及安裝必要性;該電腦為獨立網路線路,未影響機關內部網路運作,已將該軟體移除並確認無其他異常檔案。

足資借鏡:駭客利用熱門軟體夾帶惡意程式,且經常伴隨異常網路連線,機關不應於公務設備安裝非公務使用軟體,如因應業務需求,亦應於官方網站下載業務需求之軟體工具。

<國內外重點資安新聞>

一、英國政府提出產品安全與電信基礎設施法案

    英國政府提出產品安全與電信基礎設施(Product Security and Telecommunications Infrastructure, PSTI)法案進行討論,目的為提升智能設備安全性。該法案分為2部分,第1部分針對智能設備提出資安防護措施,旨在保護消費者避免遭受資安攻擊事件;第2部分則屬於電信基礎設施指南,以加速設備之安裝、使用及升級。

    法案第1部分提出3項要求,首先不可使用「password」或「admin」等簡單密碼做為新產品預設密碼,需為每件產品提供1組獨特預設密碼供用戶使用;其次為要求廠商若產品存在漏洞,需於最短時間內提供產品安全性更新,若無相關機制,需於銷售產品時告知客戶;最後則要求廠商制定產品漏洞揭露政策,以利資安研究人員及時通知廠商相關漏洞資訊。法案適用範圍涵蓋大多數電子產品,包括智慧型手機、智能家電及監控攝影鏡頭等,惟個人電腦不適用此項規範。法案第2部分旨在促進Gigabit網路與5G網路基礎設施之普及,允許營運商之間共享基礎設施,並簡化協議到期後之更新流程。

    此法案正式通過後,將適用於智能設備製造商、經銷商及所有將科技產品進口至英國之進口商,未來若違反此法案,將有可能面臨最高1,000萬英鎊或公司全球收益4%之罰款。

(資料來源:英國政府官方網站ComputerWeekly)

二、美國新規範要求銀行須在36小時內通報資通安全事件

    美國聯邦存款保險公司(Federal Deposit Insurance Corporation, FDIC)、通貨監理局(Office of the Comptroller of the Currency, OCC)及聯邦準備理事會(Board of Governors of the Federal Reserve System)公布「資通安全事件通報最終規範」(Computer-Security Incident Notification Final Rule),要求自明年4月起,銀行須於獲知發生資通安全事件36小時內通報主管機關。此外,若發生可能導致重大服務中斷4小時以上之資通安全事件,須及早通知每位受影響之客戶。

    資通安全事件成因包括勒索軟體等惡意程式、阻斷服務攻擊等網路攻擊行動,或人為操作失誤所造成之事件,進而影響銀行網路與系統,最終危及正常營運。透過及早通報主管機關資通安全事件與服務中斷影響客戶4小時以上之事件,有助於主管機關評估威脅、協調支援及提供整個銀行產業相關資訊與指引。

    該規範制定前,美國對於銀行發生重大資通安全事件通報時限並無具體要求,透過規範之要求,可協助主管機關全面掌握整體金融體系面臨之威脅。此規範將於2022年4月1日生效,銀行完全符合法遵期限則可延至5月1日。

(資料來源:路透社美國聯邦存款保險公司官方網站)

三、金融監督管理委員會轄下證券期貨相關機構共同成立「證券暨期貨市場電腦緊急應變支援小組」

    金融監督管理委員會為厚植證券期貨相關業者日常資安事件應變處理能力,於110年11月30日共同成立「證券暨期貨市場電腦緊急應變支援小組」(Securities  and  Futures  Computer Emergency Response Team,簡稱SF-CERT),將全天候協助證券期貨業者應變資安事件。SF-CERT將提供業者資安事件處理指引、辦理業者資安事件應變教育訓練及各類資安演練,強化證券期貨業者資安意識與事件應變處理能量,以維持金融服務營運不中斷,保障市場交易安全。

    為維護證券暨期貨市場資訊安全,臺灣證券交易所、臺灣期貨交易所、財團法人中華民國證券櫃檯買賣中心、臺灣集中保管結算所、中華民國證券商業同業公會、中華民國期貨業商業同業公會、中華民國證券投資信託暨顧問商業同業公會等證券期貨相關機構,將合作共同維運證券期貨市場資安事件應變處理體系,以降低資安事件對市場產生之衝擊及影響。

(資料來源:台灣證券交易所中央通訊社經濟日報)

<資通安全長及資訊主管異動情形>

本月無資通安全長及資訊主管異動。

:::
通訊地址:100009臺北市中正區忠孝東路1段1號  | 總機電話:(02)3356-6500  通過A無障礙網頁檢測 更新日期:107-09-20
回到置頂 回到置頂_圖片