48 ■ 財金資訊季刊 / No.84 / 2015.10
資訊分享〡 BANK 3.0-縱觀金融機構電腦系統資訊安全評估享
BANK 3.0-縱觀金融機構電腦系統資訊安全評估
林承忠 / 財金資訊公司資訊安全組高級工程師
一、 前言
民國 102年 12月,美國第二大連鎖零售
商 Target Corporation傳出系統遭入侵,駭客
透過竄改其供應商POS (Point-of-sale) 系統,
竊取包括:姓名、地址、電話、電子郵件及信
用卡卡號等資料,後續因個資外洩所導致之盜
刷事件,更引發多起訴訟。
南韓的國民身分證系統也同樣遭受駭客
攻擊,深陷國民身分證字號與個資外流的危
機。南韓政府考慮重建身分證系統,預估花費
7,000億韓圜,相當於新臺幣 200億元,且需
耗時 10年。更新身分證系統與重編身分證字
號,勢必連帶影響銀行、保險等機構,其配合
修改系統、重建資料的損失將難以估計。
綜觀近年來駭客入侵或資料外洩等情事層
出不窮,而個人敏感性資料更受有心人覬覦,
金融機構在提供金融服務的同時,保管了重要
的客戶資料,因而往往成為駭客攻擊的首要目
標。有鑑於此,中華民國銀行商業同業公會全
國聯合會研擬「金融機構辦理電腦系統資訊安
全評估辦法」(以下簡稱「評估辦法」),提報
103年5月29日第11屆第2次理事會議通過,
並報經金融監督管理委員會於 103年 7月 10
日,以金管銀國字第10300173840號函復「洽
悉」,期金融機構得透過各項資訊安全 (或簡
稱資安 ) 評估作業,及早發現資安威脅與弱
點,據以實施及強化技術面與管理面之相關控
管措施,改善並提升網路與資訊系統之安全防
護能力。
二、 資安評估之規劃
(一 ) 確認檢測範圍
依據「評估辦法」規定,金融機構進行資
安評估前,應就其整體電腦系統,包含自建與
委外維運,建構一套評估計畫,並界定評估範
圍,依資訊資產之重要性及對營運作業之影響
程度進行分類,定期或分階段辦理資訊安全評
估作業,以確保持續營運及保障客戶權益。
電腦系統依其重要性及提供客戶資訊或服
務之方式區分為三類,資訊安全評估作業之週
期也因而不同,詳如表 1所示:
www.fisc.com.tw ■ 49
BANK 3.0-縱觀金融機構電腦系統資訊安全評估享〡資訊分享
以財金公司 103年資安評估作業為例,
先行完成「電腦系統資訊安全評估計畫」,並
依規定提報董事會核議通過後,正式公告生效
並據以執行,其評估範圍及週期依資訊環境特
性分為營運及非營運兩大類 (詳表 2):
表 2 電腦系統資訊安全評估作業週期及範圍表
類別 電腦系統性質 評估週期
(一 ) 營運類 直接涉及金融資訊系統營運作業之系統 每年一次
(二 ) 非營運類 其他非金融資訊系統營運相關之系統 每三年一次
表 1 資訊安全評估作業之週期及範圍
電腦系統類別 定義 評估週期
第一類
直接提供客戶自動化服務或對營運有重大影
響之系統 (如電子銀行、分行櫃台、ATM自動化服務等系統 )
每年至少辦理一次資訊安全評估
作業
第二類經人工介入,直接或間接提供客戶服務之系
統 (如作業中心、客戶服務等系統 )每三年至少辦理一次資訊安全評
估作業
第三類未接觸客戶資訊或服務且對營運無影響之系
統 (如人資、財會、總務等系統 )每五年至少辦理一次資訊安全評
估作業
(二 ) 確認執行方式
「評估辦法」所規定應執行之檢測項目,
雖可全數委由評估單位執行,但現今資安防護
觀念已日趨成熟,且大多數安控機制亦已建置
完成,對於已備有運作機制之檢測項目,平時
可在確認其系統設定或機制規範完備下,逕行
檢視其產出之報告即可,惟檢測時須注意報告
之完整性、妥適性及合規性。
(三 ) 評估單位資格
1. 評估作業可委由外部專業機構進行或由金融
機構內部單位自行辦理。如為外部專業機
構,應與提供、維護資安評估標的之機構無
利害關係;若為金融機構內部單位,則應獨
立於電腦系統開發與維護等相關部門。
2. 評估人員應具備下列各款資格條件:
(1) 具備資訊安全管理知識,持有國際資訊安
全經理人 (Certified Information Security
Manager,CISM) 證書者,或參加國際
資安管理系統主導稽核員 (Information
Security Management System Lead
Auditor,ISO 27001 LA) 考試合格並持有
證書者。
(2) 具備資訊安全技術能力,取得如:國際
資訊安全系統專家 (Certified Information
Systems Security Professional,CISSP)
證書等。
(3) 具備模擬駭客攻擊能力,持有如:滲透專
家 (Council Ethical Hacking,CEH) 、事
件處理專家 (Certified Incident Handler,
50 ■ 財金資訊季刊 / No.84 / 2015.10
資訊分享〡 BANK 3.0-縱觀金融機構電腦系統資訊安全評估享
CIH) 等證書。
(4) 熟悉金融領域之載具應用、系統開發或稽
核經驗。
三、 資安評估之執行
資安評估依「評估辦法」規定計有:(一 )
資訊架構檢視;(二 ) 網路活動檢視;(三 ) 網
路設備、伺服器及終端機等設備檢測;(四 )
網站安全檢測;(五 ) 安全設定檢視;(六 ) 合
規檢視及 (七 ) 社交工程演練等作業項目。各
項主要檢測項目與執行方式分述如后:
(一 ) 資訊架構檢視
1. 檢視設備架構、安全管理規則之妥適性
針對網路架構之配置、資訊設備安全管理
規則等,檢視其妥適性,評估是否存有可能之
風險,如有,則採取必要之因應措施。評估資
訊安全管理中各項流程的安全控制,衡量目前
安控機制設計的有效性,針對資訊安全管理之
妥適性、網路拓樸 (Topology) 配置之合理性、
防火牆對外連結點之安全管控現況、網路設備
與主機之控管方式等等,依網路架構、主機佈
署、防火牆規則及權限控管機制,與相關人員
進行訪談。
2. 檢視單點故障之最大衝擊與風險承擔能
力,評估衝擊是否在風險承受度內,若
否,研議與執行改善之方案。
3. 檢視對於持續營運所採取相關措施之妥適性
檢視相關措施之架構與維運機制是否存在
單點失效之風險,以及針對業務持續運作之妥
適性進行風險分析,並提出資訊架構安全評估
之結果與建議。
(二 ) 網路活動檢視
1. 檢視設備之存取紀錄及帳號權限
檢視網路設備、資安設備及伺服器之存取紀
錄、帳號權限之授予與監控機制是否符合作業規
範;以最小權限原則清查該等設備之帳號權限及
存取紀錄,識別異常紀錄與確認警示機制。
2. 檢視資安設備之監控紀錄
確認資安設備 (如:防火牆、入侵偵測系
統、防毒軟體、資料外洩防護等 ) 相關設定之
正確性,檢視資安事件監控相關紀錄、通報警
示訊息之處理流程,識別異常紀錄與確認警示
機制,確保監控機制之有效性。
3. 檢視網路封包之連線
佈署網路流量封包側錄工具 ( 如:
Riverbed、NIKSUN) 擷取內部網路流量,檢
視網路封包是否存在異常之連線,或有異常
網域名稱解析伺服器 (Domain Name System
Server,DNS Server) 查詢之情形;蒐集網際
網路閘道端防火牆與代理伺服器之連線紀錄,
分析並比對內部主機是否有連接至中繼站 (可
參照政府資安資訊分享與分析中心 G-ISAC清
單 ) 之連線或符合網路惡意行為之特徵。
(三) 網路設備、伺服器及終端機等設備檢測
1. 弱點掃描與修補作業
定期或適時辦理網路設備、伺服器及終端
機的弱點掃描,並針對所發現之弱點進行改
善、修補作業。
評估弱點掃描作業之範圍、作業模式及弱
www.fisc.com.tw ■ 51
BANK 3.0-縱觀金融機構電腦系統資訊安全評估享〡資訊分享
點改善計畫與修補情形,針對掃描結果提出評估
建議,重點在於找出架構中可能存在的弱點與漏
洞,予以改善及修補,降低整體之資安風險。
2. 惡意程式檢測
使用惡意程式檢測工具 (如:XecProbe、
Fireeye HX) 針對終端機及伺服器是否存在惡
意程式進行檢測,包括:具惡意行為之可疑程
式、不明連線之可疑後門程式、植入一個或多
個重要系統程式之可疑函式庫、非必要之不明
系統服務、具隱匿性之不明程式及駭客工具
等。檢測工作包含:辨別惡意程式、檢視惡意
程式與系統紀錄之關聯性、分析惡意程式之網
路連線行為與特徵,可先在測試及 OA環境執
行,待確認不影響業務運作,再佈署至營運環
境進行檢測。如發現異常,須提出改善計畫,
並於改善後執行複查。
3. 密碼及其保護機制檢測
檢測系統帳號之登入密碼,其複雜度是否
符合相關規範原則;檢視外部連接,如:檔案
傳輸 (File Transfer Protocol,FTP)、資料庫
連線等,密碼之儲存保護機制與存取控制,以
及檢視前揭各項相關規則之設定。
(四 ) 網站安全檢測
1. 針對網站進行滲透測試
參 考 OSSTMM (Open-Source Security
Testing Methodology Manual)、OWASP
(Open Web Application Security Project)
Testing Guide、OWASP Web Application
Penetration Checklist規範,滲透測試分為
資料蒐集、資訊分析、目標滲透等三個步
驟;執行方式則模擬駭客攻擊行為,利用
安 全 檢 測 工 具 ( 如:Nessus、Nmap、Ixia
BreakingPoint),針對開放外部連結之網站進
行滲透測試,俾利儘早發現網站暴露於外之弱
點,並進行修復。
2. 針對網站及客戶端軟體進行掃描
針對網站及客戶端軟體進行弱點掃描、程
式原始碼掃描或黑箱測試;使用檢測工具 (如:
WebInspect、Checkmarx) 評估網站作業系
統、網站服務及應用程式,識別、追蹤及修復
軟體原始碼在技術上與邏輯方面的安全漏洞,
確實掌握及改善隱藏的弱點風險與設計缺陷。
3. 檢視網站目錄及網頁之存取權限
檢視對外提供服務之網站目錄及網頁,是否
確實執行權限回收及納管作業,不符者修正之。
4. 檢視授權連線運作情形
檢視系統是否有授權連線遭挾持、大量未
驗證連線耗用資源、資料庫死結 (deadlock)、
CPU 異常耗用、不安全例外處理及不安全資
料庫查詢命令 (包括無限制條件及無限制筆
數 ) 等情況。
檢視網站目錄權限設定規則與存取紀錄,
確認啟用資料庫死結偵測設定,以及檢視相關
網頁置換防護與資料庫資源監控機制是否健全。
(五 ) 安全設定檢視
1. 伺服器安全性原則設定
檢 視 伺 服 器 ( 如: 網 域 服 務 Active
Directory) 有關「密碼設定原則」與「帳
號鎖定原則」之設定,可參考政府組態基
準 (Government Configuration Baseline,
GCB),透過工具分析及人工作業,檢視相關
52 ■ 財金資訊季刊 / No.84 / 2015.10
資訊分享〡 BANK 3.0-縱觀金融機構電腦系統資訊安全評估享
網域安全性原則設定是否符合規範。
2. 防火牆連線設定
使用防火牆連線規則管理工具 (如:
FireMon、tuffin) 檢視防火牆連線規則,確認
未開啟具安全性風險或非必要之通訊埠;以及
檢視防火牆運作情形,包括連線設定是否有安
全性弱點等。
3. 存取限制與帳號管理
檢視系統之存取限制 (如:存取控制清單
Access Control List) 及特權帳號管理是否妥適;
以人工方式,檢視帳號權限清單是否與工作項
目表相符,並測試其相關存取權限。
4. 軟體更新
利用資產管理系統與弱點掃描報告,搭
配 Microsoft Baseline Security Analyzer蒐集
windows、office、SQL server更新資訊,據以
檢視作業系統、防毒軟體、辦公軟體及應用軟
體等之更新設定及更新狀態,確認符合現況。
5. 金鑰之儲存保護機制與存取控制
檢視金鑰之儲存保護機制與存取控制是否
符合政府憑證總管理中心 (Government Root
Certification Authority,GRCA) 及支付卡產業
資料安全標準 (Payment Card Industry Data
Security Standard,PCI DSS) 之規範。
(六 ) 合規檢視
1. 金融機構資訊系統安全基準
檢視整體電腦系統是否符合「金融機構資
訊系統安全基準」有關提升系統可靠性「技 1~
技 25」及安全性侵害之對策「技 26~技 51」
之規範。
(1) 系統營運部分,檢視系統操作之自動化狀
態與檢核功能,以及系統監控及故障偵測
與排除、系統復原機制是否合於相關技術
基準要求。
(2) 軟體開發部分,檢視軟體系統之開發與維
護品質,確認系統開發生命週期各階段的
可靠性、品質及對於資料保護、存取控管
等要求。
(3) 硬體維護部分,檢視硬體設備定期保養狀
況、確認重要設備是否設置備援機制;並
檢視對於資料保護與防止非法使用之管控
機制,以確認符合相關技術基準要求。
(4) 資訊設施部分,檢視資料傳輸過程之安全
性、是否限制外部網路存取且針對外部入
侵是否擬定因應機制;並檢視對於非法程
式之預防、偵測與復原機制等。
2. 金融機構辦理電子銀行業務安全控管作業
基準
檢視電子銀行相關系統是否符合「金融機
構辦理電子銀行業務安全控管作業基準」之規
範;從交易面、驗證系統登入安全設計、管理
面、環境與端末設備面及支付工具面,確認相
關系統符合安全設計要求。
(七 ) 社交工程演練
針對相關作業人員,於內部安全監控範圍
內,寄發演練郵件,測試、宣導及強化資通安
全教育。主要評估項目為:
1. 郵件內容與附件檔案
2. 郵件派送時間及方式
3. 郵件開啟率及點閱率
www.fisc.com.tw ■ 53
BANK 3.0-縱觀金融機構電腦系統資訊安全評估享〡資訊分享
4. 後續改善機制
演練目標主要在於讓同仁瞭解使用電子郵
件之風險,並經由教育訓練提高同仁防範社交
工程攻擊之危機意識,持續演練以降低社交工
程攻擊所造成之風險,進而達到保護客戶資料
及重要營運資訊與服務之目的。
四、 結語
網路環境的普及與開放式網路系統的便
捷,致以網路為基礎的金融應用越來越多,然
惡意攻擊手法日新月異,對於網路服務提供者
與使用者而言,隨時防範與應戰勢在必行,金
融機構在資訊安全防護上也面臨前所未有的挑
戰。爰此,「評估辦法」之制訂與資安評估作
業,益顯其重要性與務實性,透過各項檢測項
目之執行,分析系統與安全規範要求之差距,
揭露系統在既有網路安全架構下所潛藏之風
險,嗣據以改善,使風險最小化,維護系統安
全地持續運營,保障使用者權益。
藉由資安評估作業之進行,亦可檢核各單
位的資訊安全管理制度,也惟有全體金融機構
持續努力,才能共同建構更完善的資訊安全防
護環境,提升服務品質與交易安全,提高使用
者的信賴與忠誠,再創互利共贏之金融契機。
※參考文獻 /資料來源:1. 金融機構辦理電腦系統資訊安全評估辦法。2. 勤業眾信-金融業資安健檢服務說明。