資通安全情資分享與我國資安聯防體系(上)

以『資通安全情資分享辦法』(以下簡稱辦法)中的情資定義以及入侵威脅主標（Indicator of Compromise，IOC）兩種方式來進行資安情資的類型說明。

跳到主要內容區塊 ::: TaiwanCyberSecurityIntroduction 網站導覽 聯絡我們 執行關鍵字全站搜尋 最新消息 最新消息 技術專欄 資安事件專區 活動花絮 產業資料庫 產業概況 產業地圖 廠商類別 數據資料庫 資安新聞 資安快篩站 資安快篩站 標準驗證 資安認驗證機制推動 認可實驗室名錄 資安合格產品名錄 SEMI半導體資安標準 做資安 資安整合服務平台 能量登錄/自主產品 沙崙資安服務基地 ACWSOUTH介紹 工控資安演訓 教育訓練 找資安 產業資安指南 資安檢測診斷服務 資通安全法懶人包 物聯網資安 主題式示範案例 新創與國際交流 新創&國際交流 資安競賽 關於我們 緣起依據 計畫目標 推動策略 ::: 最新消息 最新消息 技術專欄 活動花絮 首頁 技術專欄 資通安全情資分享與我國資安聯防體系(上) 資通安全情資分享與我國資安聯防體系(上) 2019-11-13 前言 面對當前瞬息萬變的網路威脅，如何能夠隨時掌握網路攻擊和最新的威脅態樣已經成為各單位在資安防護策略擬定上必須要去解決的首要問題。

因此，如何利用我國已經建置完成的資安情報分享機制來傳遞與交換最新資安資訊情報，以利各單位動態調整資安防護機制，來達到最佳的防禦效果，將是提昇整體資安防護能量的重要關鍵之一。

『資通安全管理法』於108年元月正式施行後，政府對於公務機關及特定非公務機關在資安防護的要求有了標準化的法令依據，也在資通安全管理法子法中明訂『資通安全情資分享辦法』，規定資安情資分享的各種要求。

以下文章將就資安情資類型、情資等級識別方式和分享機制進行說明。

作者：國家高速網路實驗研究院/李柏毅 ====== 壹、情資導向電腦網路防護 情資導向電腦網路防護（Intelligence-drivenComputerNetworkDefense，CND）是一種基於資安情資交換與分析的電腦資訊防禦策略。

這種防護策略是從研究資訊系統的攻擊流程開始，先辨識攻擊發動的關鍵步驟或是攻擊者所使用的特殊入侵滲透技巧，再結合資安情報資料以及威脅特徵（Indicator）之蒐集與分類，持續不斷性地偵測異常行為以及比對攻擊者入侵軌跡，進而改善單位組織的電腦網路防護策略，提高單位整體的資安強度，以因應包含進階持續性威脅攻擊（AdvancedPersistentThreat，APT）在內的各式資安風險。

進階持續性威脅攻擊是一種可結合多種系統漏洞利用、社交工程（SocialEngineering）手法、惡意程式及匿蹤技巧等複雜的網路攻擊方式之統稱。

是一種長期且系統性的攻擊模式，通常會鎖定特定單位或高價值目標，發動有計畫性網路攻擊滲透作業，直到成功入侵為止。

攻擊因為結合複雜的攻擊戰術以及最新的系統漏洞，導致一般使用特徵比對（Signaturematching）機制做為網路威脅偵測之資安設備，往往無法跟上攻擊手法之更新速度，因此常常無法在第一時間就發現進階持續性威脅攻擊的存在。

因此為了縮短資安防護上的空窗期，降低進階持續性威脅攻擊的成功率以及威脅性，使用情資導向電腦網路防護策略結合外部資安情資，以掌握最新網路威脅以及進階持續性威脅攻擊態樣，才能有效因應進階持續性威脅攻擊以及其他新型態的網路攻擊手法。

貳、資安情資類型 以『資通安全情資分享辦法』(以下簡稱辦法)中的情資定義以及入侵威脅主標（IndicatorofCompromise，IOC）兩種方式來進行資安情資的類型說明。

一、資安情資類型 根據辦法第二條，資通安全情資可包含以下7種不同的類型，分述如下： 1. 資通系統之惡意偵查或情蒐活動 攻擊者發動網路攻擊前會進行資訊蒐集以及目標調查，因此此部份情資包含網路掃描以及服務探測等資訊，通常交換的資訊包含掃描IP來源，探測網段或是探測服務類別。

2. 資通系統之安全漏洞 攻擊者可透過系統漏洞進行不同層級的系統服務影響，若攻擊者掌握重大的系統漏洞，就有可能可以從遠端在受害主機上執行任意代碼（RemoteCodeExecution，RCE），直接入侵系統。

此部份情資內容包含作業系統、應用程式等資通訊系統之漏洞敘述，受影響之系統列表與解決措施。

3. 使資通系統安全控制措施無效或利用安全漏洞之方法 攻擊者掌握特定關鍵技術後可透過精心設計的方式繞過（Bypass）系統預設的安全機制來進行系統存取，對系統安全造成重大威脅。

此部份情資內容應包含受影響之系統列表、攻擊手法說明以及建議措施。

4. 與惡意程式相關之資訊 與惡意程式相關之資安情資包含了： (1) 可用來識別惡意程式的雜湊函數值（HashValue）:因為雜湊函數值所具有的單向不可逆特性，通常惡意程式研究人員都會使用雜湊函數來作為惡意程式的單一識別碼，常見的雜湊函數值為MD5，近年來為了避免發生雜湊函數值的碰撞問題（Collision），也有越來越多的研究人員會使用SHA-125，SHA-256甚至SHA-512來做為情資交換的內容。

(2) 惡意程式中繼站（CommandandControl） (3) 惡意程式中繼站是攻擊者用來對受害主機進行控制管理以及資訊收集的中繼伺服器，通常分享的情資內容為IP位置。

(4) 惡意網域名稱（MaliciousDomains） (5) 惡意網域名稱為惡意程式感染主機後對外查詢或是連線的網域名稱，此類型分享情資以網域名稱（Domainname）方式分享。

(6) 惡意程式下載點（MalwareDownloadSites） (7) 惡意程式下載點為攻擊者用來散播惡意程式的檔案伺服器，透過分享惡意程式下載點的IP位置，可以即早辨識威脅來源並阻止單位內主機存取。

5. 資通安全事件造成之實際損害或可能產生的負面影響 此部份情資揭露資通安全事件相關資訊，讓使用者可以了解事件影響範圍，情資內容包含殭屍網路中繼站黑名單阻擋資訊，惡意網域黑名單觸發統計等資訊。

6. 用以偵測、預防或因應前款情形，或降低其損害的相關措施 此部份情資提供攻擊相關資訊給使用者進行預警以及預防，情資內容包含惡意程式分析報告、網路攻擊手法頗析或是網路威脅攻擊統計等情資。

7. 其他與資通安全事件相關之技術性資訊 其他不屬於上述類別但可促進資訊安全之資訊，包含網路威脅趨勢預測報告或是其他資安監控報告。

二、威脅指標 若以所交換的資安情資內容進行分解，則可使用威脅指標作為基本元件，將分享的資安情資資訊再劃分為基本指標、預算指標以及行為指標來區別情資內容: 1. 基本指標 基本指標是指在當描述一個網路攻擊或是系統入侵行為時，所能夠被拆解出來的最小基本識別資訊，例如描述網路行為時所用的網路位址（InternetAddress)、通訊協定（Protocols）或是目的連接埠（DestinationPorts），或是描述系統登入行為時所使用的系統帳號名稱。

2. 運算指標 運算指標是指必須經由資訊系統處理的間接識別資訊，例如可以使用雜湊函數值來作為特定惡意程式的唯一識別碼，或是使用正規標示法（RegularExpression）來表示惡意程式中的特定字串。

3. 行為指標 指標結合了基本指標以及運算指標，使用多種不同的指標用來描述一個完整的網路入侵行為，也可以用來解釋攻擊者發動APT攻擊時使用的戰術技巧以及程序（Tactics，Techniques，andProcedures，TTPs）。

表1-情資類型與威脅指標關係表 參、資安情資識別與交換方式 資安情資在進行分享之前，必須依情資內容之機敏程度以及風險影響層級，來進行資安等級之辨識與分類，才能夠將資安情資分享給正確的使用者。

在辦法第四條也有提到依法不得公開分享之情資內容以及注意事項。

因此，正確判斷資安情資等級以及使用限制是在資安情資分享與交換前必須做的重要工作。

此外，辦法第九條也有提到資安情資分享方式，接下來也會提到資安情資分享方式以及目前的標準交換系統架構。

一、資安情資識別-TLP交通燈號協定 交通燈號協定（TrafficLightProtocol，TLP）是由事件應變與安全小組論壇（ForumofIncidentResponseandSecurityTeams，FIRST）所提出之資安情資識別工具。

TLP交通燈號協定之設計構想來自交通號誌之紅綠黃燈號，將資安情資依據等級，從普通情資到重要機密情資依序使用TLP-白（TLP-White），TLP-綠（TLP-Green），TLP-黃（TLP-Yellow）以及TLP-紅（TLP-Red）四種不同顏色進行標記。

除了識別資安情資等級外，TLP交通號誌協定亦註明當情資交換行為時，如何限定授權存取的個人或團體，以及可授權使用何種形式進行交換，例如電子郵件和文件形式。

表2-TLP交通燈號協定分級存取限制表 二、情資分享與交換方式 辦法第九條提到，各機關進行情資分享，應分別依主管機關或中央目的事業主管機關指定之方式為之；若各機關因故無法依前項規定進行情資分享者，分別經主觀機關或中央目的事業主管機關同意後，得以（1）書面（2）傳真（3）電子郵件（4）資訊系統（5）其他適當方式為之。

以下就資安情資交換的國際標準以及我國現有之資安情資分享機制進行介紹： 1. 情資交換之國際標準 ManagedIncidentLightweightExchange（MILE）工作小組定義了多種資安情資以及資安事件的交換格式，包含IncidentObjectDescriptionandExchangeFormat（IODEF），IODEFforStructuredCyberSecurityInformation（IODEF-SCI）以及Real-timeInter-networkDefense（RID）。

Mandiant則在2011年提出了另外一個情資交換框架稱為OpenIndicatorsofCompromise（OpenIOC）Framework，而現在國際間最普遍被採用的資安情資分享框架，包含我國國家資安資訊分享與分析中心（N-ISAC）也採用的系統架構是由Mitre所提出，將資安情資的部分由網路觀察資料表示式（CyberObservableeXpression,CybOX），結構化威脅資訊表示式（StructuredThreatInformationeXpression，STIX）兩部分進行欄位定義以及情報描述，再經由自動化指標資訊信任交換機制（TrustedAutomatedeXchangeofIndicatorInformation,TAXII）進行系統自動化交換。

2. 我國網路威脅情資分享架構 行政院國家資通安全會報於107年提出『領域ISAC實務建置指引』，供國內各關鍵資訊基礎設施領域主管機關參考，其中就有提到我國現行的情資規範以及交換格式，應配合使用結構化威脅資訊表示語法STIX格式，搭配自動化指標資訊信任交換機制TAXII，並以網路可觀察表示式CybOX進行威脅內容的敘述。

圖1-我國ISAC情資分享架構 依據此交換機制，我國各領域之相關資安工作團隊就可以使用自動化方式進行資安情資交換，類別可涵蓋威脅指標、安全漏洞、惡意程式資訊、資安威脅活動、資安威脅防護措施以及資安威脅趨勢報告等。

如此一來，可以提高情資交換的效率，並大幅增加外部情資取得的可能性以及威脅指標更新速度，有助於掌握最新攻擊資訊以及取得威脅態樣以進行電腦網路防護架構之補強之作業。

===待續=== 資通安全情資分享與我國資安聯防體系(下) 回上頁 回首頁 ::: 最新消息 最新消息 技術專欄 資安事件專區 活動花絮 資安快篩站 資安快篩站 標準驗證 資安認驗證機制推動 認可實驗室名錄 資安合格產品名錄 SEMI半導體資安標準 做資安 資安整合服務平台 能量登錄/自主產品 沙崙資安服務基地 ACWSOUTH介紹 工控資安演訓 教育訓練 找資安 產業資安指南 資安檢測診斷服務 資通安全法懶人包 物聯網資安 主題式示範案例 新創與國際交流 新創&國際交流 資安競賽 關於我們 緣起依據 計畫目標 推動策略 跨域資安強化產業推動計畫 02-25159665 聯絡我們ContactUs 新興物聯網資安示範推動計畫 02-25159665 聯絡我們ContactUs 智慧沙崙物聯網資安實驗計畫 03-5917984 聯絡我們ContactUs 主辦單位 經濟部工業局 參觀人數 0000421994 回到頁面頂端 執行關鍵字全站搜尋