你有「駭客思維」嗎？上億次資安攻擊等同「資訊戰」？

發生什麼事？

美國眾議院議長裴洛西 2022 年八月訪台，駭客透過跨境阻斷服務攻擊外交部、總統府網站，並侵入電子看看版，出現五星旗、恐嚇文字，再度引發資安討論。

• 以色列資安公司 Check Point Software 發布的《2022 年網路安全報告》顯示，2021 年企業每週遭受網路攻擊的數量，相較 2020 年增長 50%，攻擊目標包含關鍵基礎設施、雲端服務等。
  • 中油、台塑在 2020 年被駭客攻進伺服器，中油之車隊卡、中油 PAY 等支付工具無法使用，民眾無法加油影響營運。（奧義智慧科技）
  • 南韓早於 2013 年出現「黑暗首爾事件」，電視台的電腦當機，實體銀行、ATM、網銀系統也故障，金融服務、電視媒體皆停擺。（iThome）

駭客要的是什麼？

• 由國家資助的攻擊，目的是引起社會恐慌。
  • 裴洛西訪台的網路攻擊，不管是電子看板、癱瘓網站，駭客的展示性、宣示意味強烈，不是成熟的攻擊方式。（詳見文末 菱鏡執行長趙正宇訪談）
  • 中油事件非金錢勒索，駭客選在中午發動攻勢，加油人潮多且為午休時間，資安人員難以立即回應，當加油的民眾無法取得服務，就會造成動盪與社會輿論。（奧義智慧科技）
  • 除外，駭客早在 2016 年就取得中油的主機控制權，長期潛伏系統偷資料，推測可能當時正值 520 總統就職前夕，而發動攻擊。
• 看上個資經濟價值，潛伏偷資料。
  • 帳號、密碼的資料庫對駭客的價值高，用戶可能原封不動或稍加變化這組密碼後，使用於其他裝置上。若用戶在目標單位任職，用「人」的破口入侵最快。（詳見文末 菱鏡執行長趙正宇訪談）

企業與民眾如何應對？

資訊安全在數位時代越顯重要，不僅是政府、企業，甚至到個人，都有可能成為駭客切入的破口。菱鏡執行長趙正宇與戴夫寇爾執行長暨共同創辦人翁浩正分別針對企業端、民眾端提出應對策施。

• 資安意識的培養：識別出「重要」與「不重要」的攻擊。「每秒幾千次、幾萬次攻擊」這些數字意義不大，單純用電腦跑程式而已，侵入電子看板更有可能是學技術的學生在亂打，加上廣告媒體系統使用中國軟體，有後門或木馬程式才成為攻擊對象，民眾不需要恐慌。
  • 駭客駭進中油主機的伺服器，這就屬於「有針對性、技術含量高」的攻擊，比較危險且企業需特別防範。
• 企業端：有紅隊（駭客）思維的資安訓練。
  • 企業目前最缺「看得懂」資安訊息的人，現今網路攻擊非常多，有些是程式隨機亂打，有些是真的要注意的，不要系統跳出警示訊息，資安人員卻未有警覺。
  • 資安公司如戴夫寇爾（DEVCORE）、菱鏡（TrapaSecurity），提供企業資安教育訓練，用紅隊實際演練方式，讓企業評估藍隊（企業資安人員）防禦能力，知道如何偵測攻擊，予以攻防應對，
• 民眾端：正確使用行動裝置，盡量減少破口。
  • 高階的攻擊擋不了，駭客也不會浪費高級的漏洞去打民眾，大家能做的是謹慎操作行動裝置，來路不明的連結、App 不要點選或下載，密碼也依照重要性分三級使用。全民應有「駭客思維」，時常盤點帳號密碼，切割工作設備與家電系統，避免單一系統被攻擊後連動到其他裝置。

未來該如何？

• 資安知識的識讀能力很重要，民眾要能分辨哪些是重要、不重要的資訊，避免造成不必要的恐慌，正中駭客下懷。（詳見文末 菱鏡執行長趙正宇訪談）
• 金管會明訂上市櫃公司在 2022-2023 年底，需設立資安長、資安專責單位，勢必強化企業的資安教育，可見資安人力需求將會成長。

當資訊戰成為必然，我們需有什麼資安防衛意識？請看《旭時報》與資安專家的深度對談。