資安健檢因應配套
•
0 j'aime•1,750 vues
資安健檢利用完善資安工具加速找出潛在威脅，但後續重點是正確運用工具、搭配實務可行的配套措施，以組織降低弱點風險
Recommandé
Recommandé
Contenu connexe
Tendances
Tendances (20)
Similaire à 資安健檢因應配套
Similaire à 資安健檢因應配套 (20)
Plus de Galaxy Software Services
Plus de Galaxy Software Services (20)
資安健檢因應配套
- 2. 2 13:30 ~ 13:35 開場 叡揚資訊 13:35 ~ 14:15 金融、保險業如何運用檢測強化資安 •常見安全漏洞案例分享 •安全檢測規劃案例分享 中華電信 | 資安檢測組組長 施汎勳 14:15 ~ 14:55 資安健檢因應配套 - 10 年 Pro 級經驗大公開 •網路安全測試及源碼檢測 •帳密管理強度檢視 叡揚資訊 | 資深專業顧問 陳惠群博 士 14:55 ~ 15:10 Break 15:10 ~ 16:10 Mobile 威脅 - Apps Reverse Engineering •從 Website 到 Mobile APP •Apps 攻擊思維風險、Apps 自我保護 Arxan | 亞太區副總經理 Rich Lord 叡揚資訊 | 資安顧問 趙若雲 16:10 ~ 16:45 Mobile 資料安全再強化 •行動化身分認證 token、資料安全最後防線 SafeNet | 亞太區資訊安全高級經理 伍尚池
- 4. 資訊安全評估方法 4 NIST SP 800-115 檢視(review) 檢視文件 檢視安全設定、安全規則 檢視紀錄檔、監聽網路 檢視源碼 檢視檔案一致性 識別(identify) 有線及無線網路探索 弱點掃描 驗證(validate) 密碼破解、滲透測試 社交工程 NIST SP 800-53A 檢查(examine) 檢視(review) 調查(inspect) 觀察(observe) 研究(study) 分析(analyze) 訪談(interview) 測試(test) 評估對象 規 格 機 制 活 動 個 人 政策、程序、規範、 基準、安全需求、 功能需求、安全設 計、安全架構
- 5. 控制措施 5 NIST SP 800-53 Security and Privacy Controls for Federal Information Systems and Organizations NIST SP 800-53A Federal Information Systems and Organizations: Building Effective Assessment Plans 技術面
- 9. NIST Cybersecurity Framework 9 • 重視系統、資產、資料、能力(資源)的風控 Identify • 建立適當的防護控制，確保關鍵服務正常 Protect • 建立適當的資安事件偵察措施 Detect • 建立適當的資安事件回應措施 Respond • 建立並維持持續營運計劃與復原計劃 Recover 評估對象 規 格 機 制 活 動 個 人
- 13. 網路活動檢視-異常紀錄與警示機制 13 紀錄集中收集機制(log management) 網路設備、防火牆、IDS/IPS、防毒軟體、DLP、其他資安 設備(權限管控、金鑰管理、加解密、…)、主機、重要系統之 存取紀錄，識別異常紀錄集中收集 何謂異常紀錄? 紀錄內容完整度? 自動警示及通報機制? 事件追蹤管理機制? NIST SP 800-92 Log Aggregation Guidelines Events
- 14. 網路活動檢視-網路惡意行為 14 判讀異常連線、異常流量、可疑IP、惡意網路行為 何謂異常連線、異常流量、可疑IP、惡意網路行為? 如何在大量封包中，找出線索? Network Forensics
- 15. 網路安全監控架構 A T T A C K C O N T I N U U M BEFORE DURING AFTER See it, Control it Intelligent & Context Aware Retrospective Security Network | Endpoint | Mobile | Virtual Point-in-Time Continuous 15 參考來源: SourceFire 偵察 掃描 傳送 植入 控制 破壞 沒有完美的防禦機制 駭客攻擊階段
- 17. 惡意程式偵測(設備檢測) 3 產出惡意程式鑑識報告 2 送至雲端深入分析1 辦示傳輸中的可疑檔案 17 參考來源: Damballa
- 18. 惡意連線偵測(網路活動檢視) 18 Dynamic Generation Algorithm (DGA) Victim DNS Recursive DNS Authoritative Firewall Egress C&C Criminal Server Proxy Filtering TCP/IP Session Configuration File C&C Location Behaviors Seen & Benefits •Malicious DNS queries •Domain fast-fluxing detection •New domain queries •Unique victim enumeration •Detection prior to egress •DNS query termination Behaviors Seen & Benefits •C&C connection behaviors/success •URI identification (incl. HTTPS) •Malicious file identification (Malware) •Unique victim enumeration •Bytes-in & bytes-out monitoring •Full packet capture •Session termination Behaviors Seen & Benefits •C&C connection behaviors/success •URI identification (incl. HTTPS) •Malicious file identification (Malware) •Unique victim enumeration •Full packet capture •Detection prior to egress •Session termination 參考來源: Damballa
- 23. 代理特權帳號登入系統 23 Database Network Appliance Virtual Server Windows/ UNIX/Linux Application Multiple Device Types CA ControlMinder Secure Password Storage 管理人員 共用帳號 自動登入系統 手動登入系統 Session Recording行為監控 密碼取出
- 24. 密碼原則及變更密碼時效設定 24 密碼原則設定： 密碼長度、複雜度… 密碼時效設定： 自動變更密碼的時間(每天、每周…) 重設密碼的時點(check-out 、 check-in)
- 30. 案例:看似微不足道的錯誤，造成Apple SSL Bug 30 只不過多一行 ，就造成 Apple 的 SSL 嚴重漏洞 而且很容易被忽略
- 32. 網站安全檢測-滲透測試 32 OWASP Top 10 SANS Top 25 利用漏洞，進行入侵測試 設法取得未經授權之存取權 測試內部資訊是否有遭受不當 揭露、竄改或竊取之可能 交戰守則
- 37. 源碼審查結果摘要 37 1. 檢查掃描行數及掃描文件是否 符合預期 2. 確認預置掃描方式 3. 注意掃描時間是否符合經驗值
- 39. 與需求管理系統整合的源碼審查機制 39 程式入庫申請 程式差異比對 原始碼檢測 程式入庫覆核、簽核 上版結果通知 程式差異比對 程式入庫覆核、 簽核 程式建構上版佈署 整合AD帳號 功能權限設定 整合原始碼檢測 整合需求管理系統整合版控系統 開發單位 控管單位 版控系統 統計分析 版控系統 自動源 碼檢測 程式入 庫管制 整合需 求管理自動源 碼檢測
- 41. 軟體安全成熟度模型-源碼審查 41 OpenSAMM www.opensamm.org Level 1:基本審查 高風險源碼檢測 已知安全需求檢核表 Level 2:自動審查 統計分析及趨勢 軟體生命週期 自動源碼檢測工具 Level 3:全面審查 應用系統上版管理 客製化規則 BSIMM-V www.bsimm.com Level 1:集中控管審查報告 建立常見源碼錯誤清單 人工審查高風險的應用系統 導入源碼檢查工具提升效率 建立制度，強制審查所有專案 集中控管審查結果 Level 2:程式撰寫標準 實施程式撰寫規範 培養種子人員，協助開發人員有 效運用工具 建立客製化規則，減少誤報 Level 3:檢測平台&客製化 整合各種工具及結果 撰寫規則，將程式庫內指定問題 完全排除 撰寫規則，自動偵測惡意程式碼 BSIMM-V
- 42. 源碼撰寫規範 42 Microsoft .NET Coding Guideline Oracle Java Coding Guideline Apple Coding Guideline Android Security Tips CERT Secure Coding Guidelines
- 43. 安全程式撰寫教育訓練 43 Cigital E-Learning (Commercial) SAFECode (Free) GSS Instructor-led Training
- 45. 軟體安全改善計畫 45 • jQuery版本須高於1.6.4版 • 應立即升級至Struts 2或採用Spring 3.x 列出不安全的API與開發框架 • 進一步檢查密碼變更模組之程式邏輯 • 進一步檢查身份驗證模組之程式邏輯 標示與資訊安全相關的程式片斷 • 依據OWASP Top 10 Risk項目進行檢核 • 程式內是否有密碼或金鑰字串 列出要監控的不安全程式寫法 目標：一年內完成 換句話說，這一年內 可以先略過此類問題 工具內建規則並未包 含此類檢查 檢測規則設定 (不同專案設定不同)