什麼是網路安全中的威脅評估？

在當今任何組織中，網路安全都是首要任務。隨著網路世界不斷變化，理解並降低威脅是保護敏感資料及維持業務持續營運的重要一步。在這方面的主要工具之一就是威脅評估——一種主動式方法，用於在可能威脅影響企業之前找出並評估它們。

在本文中，我們將回顧威脅評估的定義與重要性，並說明它與風險評估等相關概念之間的差異。此外，我們也將說明執行威脅評估時需要經歷的步驟。同時，我們將討論執行威脅評估時的常見問題，並定義有助於克服這些問題的最佳實務。

網路安全中的威脅是什麼？

網路安全威脅 是可能利用弱點來破壞安全性，並對組織資訊系統造成損害的潛在危險。這些威脅可能來自多種途徑：惡意駭客、內部人員、自然災害，甚至人為錯誤。常見的網路安全威脅包括 malware、網路釣魚攻擊、ransomware，以及分散式阻斷服務（DDoS）攻擊。了解威脅的本質，是防護的起點。

安全中的評估是什麼？

安全評估主要是識別組織資訊系統中現有的弱點與可能的威脅。這種識別有助於評估目前安全措施的有效性，並衡量可能會被實施的潛在威脅。

安全評估是極具價值的工具，可指出組織防禦中的薄弱環節，同時規劃如何改善安全態勢的路線圖。透過弱點掃描、滲透測試與安全稽核，可藉由適當措施來提升這些安全態勢。

什麼是威脅評估？

威脅評估 可定義為一種結構化流程，用於識別、評估及排序可能針對組織網路安全狀況的潛在威脅。它會審慎考量那些可能對資訊系統與資料構成風險的因素，無論其來源是內部還是外部。

一般安全評估與威脅評估的差異在於，一般安全評估著重於識別系統內部的弱點，而威脅評估則聚焦於可能利用現有弱點的潛在威脅。如此一來，組織便能更充分地為此類攻擊做好準備。

威脅評估的必要性

威脅評估是網路安全領域中非常關鍵的主題。組織必須透過持續現代化其安全系統，確保能識別潛在威脅與可能的攻擊目標。威脅評估的重要性可由以下效益說明：

1. 主動式防禦： 在網路安全中，主動式防禦更著重於確保能比任何潛在威脅領先一步，而不是在遭受攻擊後才被動回應。例如，威脅評估可協助組織在惡意行為者利用弱點之前先行識別這些弱點。
2. 資源配置： 在網路安全中，資源通常都非常有限：時間、預算與專業能力都在其列。威脅評估可引導組織進行資源配置，藉由找出一旦被觸發便可能造成巨大影響的最關鍵威脅，來優先推動安全工作。如此一來，資源不會平均分散到每個問題上，而是集中於最可能成為目標且一旦遭利用便會造成重大損害的領域。
3. 降低風險： 透過了解潛在威脅的性質與發生可能性，組織可以採取有針對性的行動來降低相關風險。例如，如果威脅評估顯示發生 ransomware 攻擊的可能性很高，組織便可依據此資訊備份資料、強化 endpoint security，並訓練員工提升對網路釣魚的認知。
4. 法規遵循： 多數產業都受到嚴格法規要求，必須定期執行威脅評估。這是組織網路安全法規遵循的一部分。此類法規可確保安全性達到最高程度，以保護個人資料、財務資料、智慧財產等敏感資料。

威脅評估與風險評估

威脅評估與風險評估 都與網路安全密切相關，但兩者各自有不同的目的：

• 威脅評估： 這是一種網路安全方法，用於識別、評定及排序潛在威脅。然而，威脅評估的主要關注點在於了解可能對組織造成損害的特定危險，無論這些威脅來自外部來源（如網路犯罪分子）或內部來源（如惡意內部人員）。
• 風險評估：風險評估擴展了威脅估算在一般層面的範圍，且並非專門適用於組織中的資安管理。一般而言，它不僅考量威脅評估中強調的威脅，還會考量組織的弱點，以及若上述威脅成真時，這些風險可能造成的影響。換言之，風險評估衡量的是威脅發生的機率，以及該威脅實現後可能造成的影響。

威脅評估如何運作？

這是一個識別、評估，並最終排序潛在且相關威脅的流程。威脅評估流程所遵循的步驟如下：

1. 識別潛在威脅： 威脅評估流程中的第一項工作，是界定可能鎖定組織資訊系統的威脅。這更著重於從不同來源蒐集資訊，以掌握任何可能出現的情況。在這方面，識別威脅之所以格外重要，是因為必須掌握與最新威脅相關的資訊。威脅可能是新的 malware 變種、不斷演變的攻擊向量，或當下實際正在被利用的漏洞利用方式。
2. 評估威脅： 一旦識別出潛在威脅，下一步就是評估它們，以了解其重要性以及對組織的潛在影響。此評估涉及根據數個關鍵因素來衡量每項威脅。
3. 排序威脅優先順序： 在評估可能威脅之後，接著會根據其發生可能性或影響程度，將威脅加以排序。優先排序有助於引導組織將資源與注意力集中在那些可能帶來立即壓力的威脅上。換言之，最高風險會優先處理。通常，最有可能發生且影響嚴重的威脅會被列在最前面。

威脅評估的步驟（流程）

威脅評估是一個流程，可分解為以下步驟：

• 蒐集資訊

流程的第一階段是取得足夠的資料，作為分析的基礎。從多種來源取得的資訊，尤其是提供即時更新威脅與戰術的威脅情報饋送，有助於分析組織內先前事件或類似產業中的歷史資料，以尋找模式與反覆出現的威脅。

• 識別潛在威脅

蒐集資料後，下一步是識別一些可能鎖定組織資訊系統的威脅。這些威脅既來自外部，也來自內部。外部包括 hackers，包括但不限於網路犯罪分子、駭客行動主義者，或甚至可能是尋求透過取得組織資訊來獲取財務利益，以及出於政治動機的國家級行為者。

• 分析與評估威脅

一旦篩選出潛在威脅，企業接著會詳細檢視並評估每項威脅。這會根據每項威脅發生的機率來進行——也就是說，特定威脅鎖定組織的可能性有多高？——以及其影響程度。例如，某項威脅可能具有高發生機率，並因該威脅加密關鍵資料及中斷營運而造成強烈的負面影響。

• 威脅優先排序

一旦威脅已完成分析與評估，就需要依據發生可能性與潛在影響進行優先排序。這非常有助於讓組織將其資源與工作重點放在看似更關鍵的威脅上。高優先級威脅是指那些被視為高可能性，且對組織具有非常重大影響或關鍵性影響的威脅，例如大規模散布的網路釣魚活動或目標式勒索軟體。較低優先級的威脅可能是在重要性上相當，但更有可能發生，或具有重大影響力，而在某些情況下，它們的影響力可能不足。這些較低優先級的威脅可以較少納入考量，投入較少資源，或延後處理。

• 制定緩解策略

一旦威脅完成優先排序，接下來的步驟就是提出緩解威脅的方法。這可能包括部署新的防禦措施，例如導入進階防火牆、IDS 或加密技術，以因應特定威脅。某些責任則可能是改善既有防禦，例如軟體升級、漏洞修補或網路分段。

• 實施與監控

一旦制定好緩解策略，組織接下來就需要實際加以落實。這可能涉及部署所需技術或更新政策，並確保所有相關人員都已接受訓練並了解這些新措施。為了維持這些工作，組織需要持續監控其環境，以偵測任何潛在威脅的跡象。

• 檢視與更新

評估流程中的第四個也是最後一個步驟，是檢視既有流程並升級整體流程，以因應威脅變化並強化其執行。此步驟會檢視已識別的威脅，以確認目前所採用控制措施的相關性與有效性。隨著新威脅出現，以及組織環境發生變化——新技術、新流程、新業務營運——威脅評估也會反映這些變化。

威脅評估的效益

威脅評估可帶來數項重要效益：

• 改善安全態勢 – 持續執行威脅評估，可透過在漏洞遭利用之前識別並排除潛在威脅、採取適當的主動措施，大幅提升組織的安全水準。威脅評估流程使安全部門能清楚掌握現有威脅。在此基礎上，安全團隊可主動部署相關安全措施，以強化組織的防禦能力。 

• 具成本效益的資源配置 – 威脅評估的主要效益之一，是能以最具成本效益的方式投入已分配的資源。透過分析威脅並依其潛在影響與發生機率進行分級，組織可以確保即使安全資源有限——無論是財務、人力或技術資源——這些資源仍能集中於風險最高的領域。

• 強化合規性 – 雖然網路安全是現代世界中的最佳實務，但在大多數法規框架與產業標準中，威脅評估也已在某種程度上成為要求。此類法規措施對威脅評估的持續要求包括 GDPR、HIPAA 和 PCI DSS 等。這種監控可確保敏感資料的安全性維持在最高程度。 

• 更佳的事件回應 – 妥善執行的威脅評估可強化組織的安全事件回應。深入了解威脅，是針對組織所面臨風險制定強健事件回應計畫的第一步。

威脅評估中的常見挑戰及其克服方式

威脅評估可能極具挑戰性，尤其是對資源或專業能力有限的組織而言。常見挑戰包括：

• 缺乏資源 – 大多數中小型組織在適當投入財務與人力資源以執行這項全面性的威脅評估時，都會遇到嚴重困難。這類組織不是缺乏資安團隊，就是僅有規模極小的資安團隊，或者根本無法負擔支出或投資某種進階威脅評估工具。企業可透過使用第三方提供的服務，或採用能以可負擔成本提供寶貴洞察的威脅情報平台，來克服這項問題。

• 快速演變的威脅情勢 – 網路安全威脅情勢是動態且持續演變的，新的威脅與漏洞會不斷出現。它們在極短時間內發展，因此組織往往難以及時更新其威脅評估。對所有組織而言，妥善更新威脅評估並納入最新威脅資訊始終非常重要。

• 資料過載 – 資料量已變得極為龐大，導致組織可能難以識別並分級相關威脅。面對眾多威脅情報來源，很難避免被無關雜訊淹沒並專注於重點。為了克服資料量問題，組織必須根據信任程度，以及其對自身產業與威脅情勢的相關性，優先選擇威脅情報來源。

• 缺乏專業能力 – 大多數組織，尤其是沒有專責網路安全團隊的組織，往往缺乏執行全面威脅評估所需的內部專業能力。這會在評估流程中留下多個明顯缺口，使某些最關鍵的威脅可能被忽略，或至少未被充分理解。 

• 內部阻力 – 內部阻力可能成為成功執行威脅評估的一大障礙。部分員工或部門可能將此流程視為不必要的負擔，或不願揭露會暴露其系統或流程弱點的資訊。唯有確保威脅評估作為邁向組織安全與卓越的重要步驟之意義被清楚理解，才能克服這項挑戰。 

威脅評估最佳實務

透過以下最佳實務，讓您的威脅評估工作更有效：

1. 定期更新威脅評估

您需要執行並更新威脅評估，因為網路安全情勢會隨著網路威脅持續演變，以及新攻擊向量或惡意軟體的發現而動態變化。進行此作業時，請務必反映最新資訊與趨勢。這涉及持續留意可能影響組織的新漏洞、新興威脅或威脅情勢變化的做法。

2. 納入跨職能團隊

高效的威脅評估有賴於組織內跨職能團隊的參與。納入來自 IT、法務、人資及高階管理部門的利害關係人，有助於針對可能威脅提出周全的觀點。IT 人員將提供其對技術漏洞與系統弱點的看法，而法務與合規團隊則會處理可能涉及的法規要求或法律後果。

3. 善用威脅情報

最佳實務是使用最新的威脅情報摘要與平台，讓組織隨時掌握目前的網路安全威脅與趨勢。此類威脅情報可提供有關新發現漏洞、攻擊方法，以及組織所面臨活躍威脅的即時資料。這些資訊可能來自產業報告、政府機構、網路安全公司或同業組織等資源。

4. 優先處理高影響威脅

有效的威脅評估需要專注於對組織構成最高威脅等級的威脅。依據潛在影響與發生機率排列威脅優先順序，可確保您將資源與注意力投入最關鍵的威脅。高影響威脅是指可能造成重大損害的威脅，例如嚴重財務損失、大規模營運中斷或重大聲譽損害。

5. 建立持續改善流程

在威脅評估中具備細緻度，對於維持有效的資安防禦至關重要。威脅態勢是動態的；新的威脅會出現，而既有威脅也會變異。管理威脅評估的一種方式，是透過持續改善流程，使其可被視為持續性的治理與管理工作，而非一次性的活動。這包括保持開放態度，根據新資料、回饋，以及組織環境的變化，檢視並調整威脅評估方法。

威脅評估範本

現有範本可讓執行威脅評估的工作更加便利。它們提供系統化的威脅識別與評估方式。目前使用中的部分範本如下：

• 威脅識別範本： 用於記錄潛在威脅的表單，包括其來源、發生可能性與影響等詳細資訊。
• 威脅評估矩陣： 根據可能性與影響程度評估並排序威脅優先順序的有效工具。
• 緩解規劃範本： 用於闡明可實施的策略，以緩解已識別的威脅並提升安全性。
• 威脅評估報告範本： 這是一份完整報告，內容涵蓋評估結果，例如評估所識別出的威脅、檢查結果，以及為消除威脅而需提出的行動。

真實世界的威脅評估範例

了解威脅評估在真實世界應用中是如何進行研究的，會更容易理解。以下是一些範例：

1. 金融服務

最大的金融機構之一，JPMorgan Chase 評估了針對其網路銀行平台發動的網路威脅。 在這些威脅中，針對客戶的網路釣魚攻擊被視為高風險活動。作為回應，JPMorgan Chase 實施了控制措施，透過 MFA 與客戶意識宣導活動降低網路釣魚攻擊發生的可能性，進而減少任何網路釣魚事件的整體成效。

2. 醫療保健

Mayo Clinic 是美國最負盛名的醫療保健機構之一，該機構執行了威脅評估，並發現數項可能對其 EHR 系統構成危害的風險。勒索軟體攻擊實際上是該組織面臨的主要威脅之一。Mayo Clinic 進一步多元化其資料備份流程，改善了端點防護，方法是部署更先進的解決方案並制定事件回應計畫，以保護敏感的病患資料。

3. 政府

美國國土安全部進行了威脅評估，以評估對外網站的弱點。確實，所識別出的關鍵威脅包括可能由Distributed Denial of Service (DDoS) attack所造成的威脅。為了防範此類 DDoS 攻擊，DHS 採用了 DDoS 防護服務，並加強了事件回應能力，以維持數位基礎設施完整性並確保線上服務的持續運作。

4. 零售

Target Corporation，美國最大的零售公司之一，決定執行威脅評估，以處理已揭露的與銷售點系統相關的網路安全威脅。根據所執行的評估，其中最大的威脅之一是針對支付卡資料的惡意軟體攻擊。隨後，他們開發了支付處理的端對端加密、升級其 POS 系統，並採用了具備即時威脅偵測與回應功能的持續監控解決方案。

結論

威脅評估是全面確保網路安全的關鍵組成之一。組織可透過識別與評估潛在威脅向量而受益，並據此採取預防措施以保護資訊系統及相關資料。執行威脅評估有時可能稍具挑戰性，但透過最佳實務、技術以及現有資源，企業將能有效處理並降低威脅。

與跨職能團隊反覆演練威脅評估流程，將提升適應能力，並在動態變化的威脅情勢中強化組織的安全態勢。