資訊安全風險：影響與最佳實務

資料安全是當代企業與個人資料管理的重要一環。它包含旨在保護數位資產免於未經授權存取、毀損或中斷的實務、技術與政策。萬物數位化程度越高，網路安全就越關鍵。本文將探討資訊安全風險的範疇及其影響，並介紹一些因應策略。

我們也將討論常見的風險管理最佳實務。閱讀完本文後，您將能清楚了解資訊安全風險所帶來的挑戰，以及可用來因應這些挑戰的工具。

什麼是資訊安全？

資訊安全是一系列旨在防止敏感資料遭未經授權存取、竄改、揭露或毀損的流程與工具。其目的在於確保數位與實體格式資訊的機密性、完整性與可用性。這項實務可能包含各種安全控制，例如技術與系統、組織政策，以及在資訊整個生命週期中保護資訊的程序。

資訊安全的核心原則是 CIA triad，即機密性、完整性與可用性。機密性確保只有經授權的人員或系統才能存取資料。資訊完整性可確保資料在儲存與傳輸過程中保持精確且未遭變更。可用性則讓授權使用者能在需要時存取資訊。

資訊安全風險簡介

資訊安全風險是指系統中資訊發生非故意遺失、故障或揭露的可能性。這類風險具有多面向特性，無論是勒索軟體攻擊或企業面臨的資料外洩皆屬其中。組織必須識別並降低這些風險，才能保護其寶貴的資訊資產，以及企業營運的完整性。

資訊安全風險有多種類型，從對敏感資料未充分防護而導致未經授權存取，到關鍵資訊遭到損毀與破壞皆包含在內。

資訊安全風險可能對組織造成廣泛且負面的影響。安全事件會直接導致財務損失，包括事件回應與系統復原的直接成本，以及潛在的法律費用。組織也可能因業務中斷、生產力受影響及聲譽受損而承擔可觀的間接成本。

9 大資訊安全風險

資訊安全風險多樣且持續演變，對各行各業的組織都構成重大挑戰。了解這些風險，對於制定有效的安全策略及保護寶貴資訊資產至關重要。以下讓我們探討當今組織面臨的十種常見資訊安全風險：

#1. 進階持續性威脅

進階持續性威脅在網路世界中，屬於長期性的攻擊，惡意軟體會被用來滲透目標網路，然後在其中持續駐留並活動一段時間。為了實施此類攻擊，惡意行為者會使用有時為客製化且無法透過基於特徵碼的技術識別的惡意軟體。為了成功實施 APT 攻擊，攻擊者會花費許多時間進行偵察並尋找目標，而一旦初始感染發生，就會在目標網路中建立盡可能多的據點，並盡可能廣泛地擴散。

可採用多層式方法來降低成為 APT 攻擊受害者的風險。就端點防護而言，組織可使用採用行為分析與機器學習的 EPDR 代理程式。也可使用使用者與實體行為分析，這有助於偵測帳戶遭入侵，或有人為了協助 APT 攻擊而以惡意內部人員的身分行動。也可搭配威脅情報來源使用 SIEM 系統，以確保網路中的所有活動都被納入考量並加以分析。雖然對此類攻擊不存在絕對防護，但這些措施至少可以將風險降至最低。

#2. 零時差漏洞利用

零時差漏洞利用 是指在供應商偵測到漏洞之前，針對軟體、韌體或硬體發動的攻擊。這些程式碼中的弱點可能包括緩衝區溢位、SQLi、XSS，甚至競態條件。所有這些漏洞都可能被利用來執行任意程式碼、提升對特定應用程式的存取權限，或繞過內建的安全原則。

零時差攻擊非常強大，因為連修補程式都尚未可用。唯一可採取的措施，是在使用受影響軟體的 IPS 與 WAFs 中建立虛擬修補。實作應用程式沙箱與 CFI (Control Flow Integrity) 也有助於作為端點防護方法，利用機器學習辨識異常。

#3. 中間人攻擊

所謂 man-in-the-middle attack，就是攔截雙方之間的訊息，並在收件者不知情的情況下將訊息轉送給原始接收者。常見的中間人攻擊手法包括 ARP spoofing、DNS cache poisoning，以及 SSL stripping。

ARP spoofing 會欺騙本機路由器將資料傳送到錯誤的 MAC 位址，導致所有流量都被重新導向至攻擊者的電腦。DNS cache poisoning 會繞過控制機制，將流量傳送到錯誤的伺服器，並在前往最終目的地前被進一步擴散。伺服器的安全通道 HTTPS 會被降級為 HTTP，所有流量都會在未受保護的狀態下傳送給攻擊者。

#4. 密碼學失效

密碼學失敗可能源於使用弱演算法、較短的金鑰長度，或密碼編譯協定的不當實作。雖然使用已淘汰的演算法，例如 MD5 或 SHA-1，這些演算法容易受到碰撞問題攻擊，且通常是促成因素之一，但密碼編譯失敗也可能因金鑰產生過程中缺乏熵而發生，進而導致可預測的金鑰。其中一個此類問題是由熵來源產生的種子檔案未更新，最終產生相同的金鑰。

隨機數產生不佳也可能成為因素，導致可預測的隨機種子，並危及用於初始隨機種子建立之密碼學作業的安全性。造成密碼學失效的另一個原因，是演算法在抗側通道攻擊方面實作不當。這表示在敏感環境中的密碼學作業容易受到攻擊。

為降低這些風險，必須採用適當的方法管理密碼學，包括使用強式演算法，例如對稱式密碼學使用 AES-256，而非對稱式密碼學使用 RSA-4096 或搭配 P-384 曲線的 ECDSA。

#5. SQL 注入漏洞

SQL injection 漏洞源於未經清理的使用者輸入被嵌入應用程式執行的 SQL 查詢中。其根本原因在於未能將執行內容與資料分離，使攻擊者得以操控 SQL 結構，執行未經授權的操作，例如資料擷取、資料竄改，以及執行管理動作。常見的 SQL injection 類型包括：

• Union-based injection 用於從不同資料表擷取資料。
• Blind SQL injection 是攻擊者利用應用程式提供的回應來推斷資料。
• Out-of-band SQL injection 會透過不使用相同連線的通道將資料外洩。

為防止 SQL injection，必須確保資料庫操作受到適當限制。通常可透過使用參數化查詢或預備陳述式來達成，將邏輯與資料分離。另一項可採取的措施，是使用 ORM 框架提供的額外抽象保護層。

#6. DDoS 攻擊

DDoS attacks 是透過大量壓垮目標系統或網路，使一般使用者無法取得服務的攻擊。這些攻擊包括以流量塞滿網路的流量型攻擊、利用網路通訊協定缺陷的通訊協定型攻擊，以及聚焦特定應用程式的應用層攻擊。

常見的 DDoS 攻擊會利用殭屍網路（例如 IoT 或 PC 裝置組成的網路）來製造大量非法流量。這些中介伺服器的回應方式稱為放大技術，而以小型請求換取大型回應會使情況進一步升級。

DDoS 防護的重點在於將不同的防護技術分層結合，以提升對 DDoS 的韌性。在網路層級進行路由、具備良好的流量過濾系統，並針對任何遭拒絕／惡意的流量模式發出警示。此外，雲端式 DDoS 防護服務能夠在面對大規模攻擊時提供可擴展性。這些措施包括應用程式層級的防禦，例如速率限制或 CAPTCHA，透過某種形式的使用者行為分析來區分用戶端是人類還是機器人。

#7. 存取控制設定錯誤

未能正確實作 access controls，多半是因為該原則未被正確套用（亦即過於嚴格或不夠嚴謹），以及／或使用者權限控制不足所致。一些典型問題包括檔案權限過度開放、雲端儲存貯體設定錯誤，或 API 設定不正確..

降低存取控制風險的最佳方式之一，是實作整體性的 IAM 策略。可使用 Role-Based Access Control (RBAC) 或 Attribute-Based Access control 模型，以及 capability 模型，依據安全需求使使用者權限與對應的工作職能保持一致。

#8. API 安全性漏洞

API security 漏洞可能導致未經授權存取敏感資料或功能。常見的 API 漏洞包括驗證不足、缺少速率限制，以及缺乏輸入驗證或對敏感資料處理不當。其他風險還包括大量指派漏洞、不當的錯誤處理導致資訊揭露等。

API 的防護需要考量其設計方式、實作內容，以及審慎監控。此時，使用 OAuth 2.0 搭配 JWT tokens 等強式驗證機制就很有幫助，讓政策得以確保只有通過驗證的用戶端才能存取 API。

所有 API 參數也應妥善驗證，並在輸入/輸出時進行編碼，以協助防止注入攻擊。也可以實作速率限制和異常偵測，以阻止 API 遭到濫用或偵測潛在攻擊。API 閘道可讓您在單一位置執行父子流量管理、API 呼叫驗證，以及對 API 記錄進行速率限制等功能。

#9. 供應鏈攻擊

供應鏈攻擊 是一種發生於組織或實體中的攻擊類型，攻擊者會透過其供應網路、第三方軟體及硬體服務供應商中的弱點發動攻擊。在許多情況下，這些攻擊可能難以識別和阻止，因為它們利用了正常的信任關係和真實的更新流程。著名的例子是 SolarWinds 攻擊，其利用修補程式引入惡意程式碼。

降低供應鏈風險意味著您需要建立完善的供應商風險管理計畫。這也包括對第三方供應商進行適當的盡職調查，包括在可能的情況下進行程式碼審查和滲透測試。

此外，軟體組成分析（SCA）工具可用於偵測構成應用程式一部分的第三方元件，並持續追蹤它們。為確保裝置完整性，請使用硬體信任根等方法，並建立安全開機流程，以降低威脅行為者鎖定您供應鏈的風險。

降低資訊安全風險的最佳實務

以下是組織應實施的最佳實務清單，可大幅提升其安全態勢並降低潛在風險。

1. 設定身分與存取管理

IAM 系統對於管理使用者對受保護資源的存取權限是必要的。透過（RBAC）強制執行角色型存取控制，這表示僅授予使用者其工作角色所需的權限。

在所有使用者帳戶上啟用 MFA，尤其是特權存取帳戶。執行使用者權限稽核並建立自動化檢查，以找出不必要或過時的存取權限，並自動撤銷這些權限。

2. 定期執行安全稽核

定期對您的裝置和軟體進行弱點掃描。盡可能將工具掃描自動化，然後再進行手動測試，以涵蓋更廣泛的範圍。

定期執行滲透測試，以使用自動化的大規模掃描模擬真實攻擊。這有助於找出自動化工具可能忽略的更複雜弱點，並讓您掌握安全控制措施的強度。

3. 強健的修補程式管理計畫

制定一套方法，用於在所有系統/應用程式中尋找、測試及部署安全修補程式。應根據弱點的嚴重性及其可能對組織造成的影響來進行修補。

運用自動化的 修補程式管理 工具來促進流程並確保及時更新。無法立即修補的系統應使用虛擬修補或其他補償性控制措施來降低風險。

4. 使用網路分段與微分段

如果可能，請將網路劃分為具有不同特性的區段，以便更有效地加以控制。這將限制入侵事件的進一步擴散，也會讓攻擊者更難在網路中橫向移動。

使用微分段在工作負載內以細緻層級強制執行安全政策。藉由提供更精確的流量導引機制，可在雲端和資料中心情境中暴露更少的開放攻擊面。

5. 制定並測試事件回應/業務持續營運計畫

制定全面的事件回應計畫，明確定義誰負責哪些事項，並說明如何回應不同的安全事件。修訂這些計畫，以反映最新威脅和 IT 環境中的變更。

參與桌上演練和模擬，以確保您的事件回應計畫和業務持續營運機制有效運作。這有助於找出流程中的問題，並確認您的團隊已準備好在安全事件發生時加以處理。

結論

隨著整體技術世界不斷變化，資訊安全威脅也在改變。組織必須對其網路安全方法保持警覺並具前瞻性，持續演進其策略以涵蓋新風險。透過實施強大的安全措施、建立安全意識文化，以及運用先進技術來對抗網路威脅。

但沒有任何萬靈丹或單一做法能保證完全安全。這需要分層策略，以技術解決方案為基礎，並透過精心設計的流程加以強化，再藉由持續的員工訓練進一步提升。還需要定期評估並更新安全措施，才能使其持續有效對抗最新威脅。

歸根究柢，資訊安全是一段持續的旅程，而非一個目標。透過掌握新興威脅、遵循最佳實務，以及維持持續改進的文化，組織可以改善其安全態勢。