管理惡意程式碼風險的策略
本頁內容
 | 簡介 |
| 定義 |
| 挑戰 |
| 解決方案 |
| 摘要 |
| 附錄 A：常見資訊系統資產 |
| 附錄 B：常見威脅 |
| 附錄 C：弱點 |
| 參考資料 |
簡介
歡迎使用本文件，本文件隸屬於《中型企業安全性指南》集合。Microsoft 希望下列資訊可協助您建立更安全且產能更高的電腦環境。
提要
隨著惡意軟體不斷演化且更為精巧，防止惡意軟體威脅與攻擊的軟硬體技術也隨之演化。
針對惡意程式碼的威脅，中型企業必須耗費極大的成本，用於攻擊防禦與回應技術及作業。網際網路大幅提高中型企業環境中外部威脅的可能性，但是部分最大的威脅仍然來自內部攻擊。
很可能造成重大損害的內部攻擊，來自於最受信任職務的內部人員活動，例如，網路系統管理員。涉及惡意活動的內部人員很可能會有特定的目的，例如，在保持合法存取系統之際，植入木馬病毒或瀏覽未經授權的檔案系統。更常見的情況是，內部人員並無惡意，但在無意中將受感染的系統或裝置連至內部網路，因而植入惡意程式碼，危及系統的完整性與機密性，或是影響系統效能、可用性與 / 或儲存能力。
許多中型企業在分析內部與外部威脅之後，發現需要協助監控網路與偵測攻擊的系統，包括協助即時管理惡意程式碼風險的資源。
概觀
本文件提供在中型企業中協助管理惡意程式碼風險的策略資訊。本文件分成四個主要小節：簡介、定義、挑戰與解決方案。
定義
本節釐清何者為惡意程式碼 (以及何者不是惡意程式碼)，及其特性與風險管理。
挑戰
本節說明中型企業在管理惡意程式碼風險時經常面臨的挑戰，包括：
| • | 常見資訊系統資產 |
| • | 常見威脅 |
| • | 弱點 |
| • | 教育一般使用者與原則 |
| • | 平衡風險管理與商業需求 |
解決方案
本節提供原則、方法與策略的額外資訊，包括：
| • | 實體與邏輯策略 |
| • | 針對防止惡意程式碼與病毒的反應式與預防式方法 |
| • | 協助減少惡意程式碼的策略 |
本節亦討論惡意程式碼評估與管理，作為協助防止惡意程式碼威脅的策略。本節亦提供監控與報告工具的資訊，以協助掃描、偵測與報告惡意軟體活動。
本指南目標讀者
本文件主要針對中型企業的管理與 IT 人員，協助他們瞭解惡意程式碼威脅、如何防禦這類威脅，以及發生惡意程式碼攻擊時如何快速且適當地回應。
定義
惡意程式碼 (Malware) 是 malicious software 的縮寫。惡意程式碼一詞乃是概稱，包括在電腦系統上刻意執行惡意工作的病毒、蠕蟲與木馬程式。就技術而言，惡意程式碼是任一種惡意程式碼。
瞭解惡意程式碼的不同類型
下列小節說明各種不同的惡意程式碼類別。
隱藏手段
| • | 木馬程式。似乎為有用或無害的程式，但其中包含隱藏的程式碼，會入侵或損害所在的系統。木馬程式通常透過電子郵件訊息傳遞給使用者，並在電子郵件中誤導使用者此程式的目的與功能。木馬程式會在執行時，傳遞惡意的承載或工作。 |
感染性惡意程式碼
| • | 蠕蟲。蠕蟲使用會自我散播的惡意程式碼，可將自身透過網路連線在電腦之間散佈。蠕蟲可進行傷害性動作，例如，耗費網路或本機系統資源，因而可能導致阻斷服務攻擊。某些蠕蟲毋須使用者介入即能執行與散佈，某些蠕蟲則是需要使用者直接執行蠕蟲程式碼才能散佈。蠕蟲除複製之外，也可能傳遞承載。 |
| • | 病毒。病毒使用的程式碼，乃是專為自我複製所撰寫。病毒會嘗試附加至宿主程式，以在電腦之間散佈。病毒可能會損害硬體、軟體或資料。當宿主程式執行時，也會一併執行病毒程式碼而感染新宿主，有時並傳遞額外的承載。 |
營利目的之惡意程式碼
| • | 間諜軟體。此類型軟體有時稱為間諜傀儡程式 (Spybot) 或追蹤軟體。間諜軟體使用其他形式的欺騙軟體與程式，在未經使用者同意下，於電腦上執行特定活動。這些活動包括收集個人資訊與變更網際網路瀏覽器的設定。間諜軟體除了令人生厭之外，也會產生各種不同的問題，例如降低電腦整體效能或侵犯您的個人隱私權。 散佈間諜軟體的網站，使用各種詭計讓使用者下載並在電腦上安裝這些間諜軟體。這些詭計包括建立欺騙性質的使用者經驗，或是私下將間諜軟體與使用者想要的軟體 (例如，免費的檔案共享軟體) 一起打包。 |
| • | 廣告軟體。某種類型的廣告顯示軟體，特指某些可執行應用程式，其主要目的是傳遞廣告內容，但卻是在使用者未預期或不想要的情況下進行。許多廣告軟體應用程式也執行追蹤功能，因為也可歸類為追蹤技術。部分消費者若拒絕此類追蹤、不想看到程式導致的廣告，或是不願系統效能受到影響，可能會想要移除廣告軟體。反之，某些使用者可能想要保留特定廣告軟體，以交換所要的產品或服務，或是廣告軟體可提供比使用者所搜尋廣告更有競爭力或互補的廣告。 |
如需相關資訊，請參閱 Wikipedia 的惡意軟體 (英文) 主題，網址為 http://en.wikipedia.org/wiki/Malware，以及 www.microsoft.com/technet/security/guidance/serversecurity/avdind_2.mspx#ELF 中《防毒縱深防禦指南》的何為惡意軟體？ (英文) 主題。
瞭解惡意軟體行為
每種惡意軟體類別所展示的特性，通常十分類似。例如，病毒與蠕蟲可能皆使用網路做為傳輸機制。不過，病毒會尋找要感染的檔案，而蠕蟲則是單純地嘗試自我複製。以下小節扼要說明典型的惡意軟體特性。
目標環境
當惡意軟體嘗試攻擊宿主系統時，可能需要數個特定元件，攻擊才會成功。下列元件為惡意軟體攻擊宿主時所需元件類型的典型範例：
| • | 裝置。某些惡意軟體會特別鎖定某種裝置類型，例如，個人電腦、Apple Macintosh 電腦，或甚至是個人數位助理 (PDA)。手機等行動裝置，也逐漸成為常見的目標裝置。 |
| • | 作業系統。惡意軟體可能需要特定的作業系統才能生效。例如，1990 年代末期的 CIH 或 Chernobyl 病毒，只能攻擊執行 Microsoft(R) Windows(R)95 或 Windows 98 的電腦。較新的作業系統會比較安全。不幸的是，惡意軟體也日漸進步。 |
| • | 應用程式。惡意軟體可能需要特定的應用程式安裝在目標電腦上，才能傳遞承載或進行複製。例如，2002 年的 LFM.926 病毒只有在本機電腦上可執行 Shockwave Flash (.swf) 檔案時，才能進行攻擊。 |
攜帶物件
如果惡意軟體為病毒，將會嘗試針對攜帶物件 (亦稱為宿主) 來感染。不同形式的惡意軟體，會有各種不同數量與類型的目標攜帶物件，以下清單列出最常見目標攜帶物件範例：
| • | 可執行檔案。這些攜帶物件為傳統病毒類型的目標，這類傳統病毒可將自身附加至宿主程式。除了使用 .exe 副檔名的典型可執行檔之外，具下列副檔名的檔案亦可用於此目的：.com、.sys、.dll、.ovl、.ocx 與 .prg。 指令碼。使用指令碼做為攜帶目標檔案的攻擊，會使用 Microsoft Visual Basic(R) Script、JavaScript、AppleScript 或 Perl Script 等指令碼語言。此類型檔案的副檔名包括：.vbs、.js、.wsh 與 .prl。 巨集。這些攜帶物件為支援特定應用程式巨集指令碼語言的檔案，例如，文書處理程式、試算表或資料庫應用程式。例如，病毒可使用 Microsoft Word 與 Lotus Ami Pro 中的巨集語言產生不同的結果，從惡作劇 (對調文件中的單字或變更色彩) 至惡意破壞 (格式化電腦的硬碟)。 |
傳輸機制
攻擊可使用一或多種方法，在電腦系統之間嘗試複製。本節說明惡意軟體使用的數種常見傳輸機制。
| • | 卸除式媒體。電腦病毒與其他惡意軟體的原始也可能是最廣泛的傳輸方式 (至少到最近為止) 即是檔案傳送。此機制起於磁碟片，然後至網路，現在則發現新媒介，例如，通用序列匯流排 (USB) 裝置與 Firewire。感染速率並未如網路惡意程式碼那麼快，但是由於系統之間必須交換資料，因此威脅永遠存在且難以徹底根絕。 |
| • | 網路共用。當電腦可透過網路直接相互連線時，惡意軟體撰寫者便可透過此傳輸機制，以超出卸除式媒體的方式來散佈惡意程式碼。網路共用的安全性若實作不佳，將使得惡意軟體可在此環境中複製到連線此網路的大量電腦。此方法大部分已取代使用卸除式媒體的手動方法。 |
| • | 對等式 (P2P) 網路。若要進行 P2P 檔案傳輸，使用者首先必須安裝使用網路的 P2P 應用程式的用戶端元件。 |
如需詳細資訊，請參閱 www.microsoft.com/technet/security/guidance/serversecurity/avdind_2.mspx#EQAAC 中《防毒縱深防禦指南》的惡意軟體特性 (英文)。
未包含在惡意程式碼定義的威脅
有許多不算是惡意程式碼的威脅，因為它們並非是基於惡意所撰寫的電腦程式。不過，這些威脅對於中型企業而言，仍然會造成安全性與財務上的問題。下列清單說明開發全面性安全性策略時，應考量與瞭解的常見威脅範例。
| • | 玩笑軟體。玩笑軟體的目的只是為了博君一笑，最糟糕者不過是浪費某些人的時間。自從人類開始使用電腦，便存在這些應用程式。由於它們並非基於惡意所撰寫，且明顯可看出只是開玩笑，因此本指南並未將其視為惡意軟體。有許多玩笑應用程式的範例，會產生各種不同的效果，從有趣的螢幕效果到好笑的動畫或遊戲。 |
| • | 騙局。警告實際並不存在之病毒的騙人訊息，即是騙局 (Hoax) 的例子。騙局與其他形式的惡意軟體類似，利用騙術讓電腦使用者執行某種動作。不過，在騙局中並未有可執行的程式碼，通常只是單純地欺騙受害者。常見騙局的例子即是電子郵件訊息或是連鎖郵件，宣稱發現新型病毒，並呼籲轉寄郵件以警告朋友。此類型騙局訊息浪費使用者的時間、佔用電子郵件伺服器資源，並耗用網路頻寬。不過，騙局若指示使用者變更電腦設定 (例如，刪除登錄機碼或系統檔案)，也可能造成傷害。 |
| • | 詐欺。利用電子郵件訊息欺騙收件者，讓他們透露個人資訊以用於不法用途 (例如，銀行帳戶資訊)，便是常見詐欺 (Scam) 的例子。其中一種特別的詐欺類型稱為網路釣魚 (Phishing，英文發音為 fishing)，亦稱為偽冒品牌 (Brand spoofing) 或偽造 (Carding)。 |
| • | 垃圾郵件。垃圾郵件為濫發的電子郵件，目的在於廣告某種服務或產品。垃圾郵件令人生厭，但並非惡意軟體。不過，垃圾郵件遽增會造成網際網路基礎結構的問題。垃圾郵件也導致員工生產力下降，因為員工每天被迫處理這類垃圾郵件。 |
| • | 網際網路 Cookie。網際網路 Cookie 為使用者瀏覽網站時，網站置於使用者電腦的文字檔案。Cookie 包含使用者識別資訊並將其提供給把 Cookie 置於使用者電腦的網站，資訊中亦包含網站所需的使用者瀏覽資訊。 Cookie 為許多網站追蹤訪客資訊的合法工具。不幸的是，部分網站開發人員使用 cookie，在使用者未察覺的情況下收集資訊。有些可能欺騙使用者，或忽略使用者的原則。例如，這類 Cookie 可能在未告知使用者的情況下，追蹤各種不同網站之間的瀏覽習慣。網站開發人員可利用這些資訊，自訂使用者在網站上看到的廣告，這可視為侵犯隱私權。 |
如需惡意軟體與其特性的詳細資訊，請參閱 www.microsoft.com/technet/security/guidance/serversecurity/avdind_0.mspx 中 Microsoft TechNet 的防毒縱深防禦指南 (英文)。
瞭解風險管理與惡意軟體
Microsoft 將風險管理定義為識別風險與決定風險影響層面的程序。
安全性風險管理規劃對於中型企業而言可能是艱難的任務。可能的因素包括缺乏內部專業人員、預算資源或外包的指導方針。
安全性風險管理提供預防式做法，可協助中型企業規劃對抗惡意程式碼威脅的策略。
正式的安全性風險管理程序可讓中型企業在已知且可接受的企業風險層級下，以最具成本效益的方式運作。它讓企業能以一致、明確的方式來組織與設定有限資源的優先順序，藉以管理風險。
Microsoft 為了協助管理風險的工作，發展了《安全性風險管理指南》，提供下列四項程序的指南：
1. | 評估風險。為企業識別風險與設定風險的優先順序。 |
2. | 執行決策支援。根據定義的成本效益分析程序，識別與評估控制解決方案。 |
3. | 實作控制。部署與操作控制解決方案，以協助降低企業風險。 |
4. | 衡量計劃有效性。分析風險管理程序的有效性，並確認控制程序可提供預期的保護。 |
有關此主題的詳細資訊，已超出本文範圍。不過，請務必瞭解概念與程序，以協助規劃、佈署與實作惡意程式碼風險的解決方案策略。下圖顯示風險管理的四項主要程序。
圖 1。4 項主要風險管理程序
觀看完整大小影像
如需風險管理的詳細資訊，請參閱位於 http://go.microsoft.com/fwlink/?linkid=30794 之 Microsoft TechNet 的安全性風險管理指南 (英文)。
挑戰
惡意程式碼可針對特定弱點，以不同載具或方法進行攻擊。建議中型企業進行風險評估，不僅決定其弱點，也可決定該公司所能接受的風險等級。中型企業必須發展策略，以協助降低惡意程式碼風險。
降低中型企業環境中惡意程式碼風險的部分挑戰包括：
| • | 常見資訊系統資產。 |
| • | 常見威脅。 |
| • | 弱點。 |
| • | 使用者教育。 |
| • | 平衡風險管理與商業需求。 |
常見資訊系統資產
資訊系統安全性提供重要的資訊，協助管理中型企業的安全性。常見資訊系統資產是指公司的實體與邏輯層面。它們包括伺服器、工作站、軟體與使用者授權。
員工商務連絡資料、行動電腦、路由器、人力資源資料、策略規劃、內部網站，以及員工密碼，都是常見的資訊系統資產。詳細清單請見本文最後的＜附錄 A：常見資訊系統資產＞。
常見威脅
惡意軟體可用來入侵中型企業的數種方法稱為威脅載具，這也是設計協助降低惡意程式碼風險的有效解決方案時，應特別注意的區域。常見威脅包括天然災害、機械故障、惡意人員、資訊不足的使用者、社會工程、惡意行動程式碼，以及心懷不滿的員工。這範圍廣大的威脅，不僅是對中型企業，甚至對所有規模的企業也都是一項挑戰。
本文最後的＜附錄 B：常見威脅＞提供可能影響中型企業的威脅詳細清單。
弱點
弱點代表威脅可能入侵 IT 系統安全性程序與原則、管理控制、實體配置、內部控管與其他區域的地方，以便在未經授權的情況下存取資訊，或中斷重要的程序。弱點可能是實體或邏輯層面。它們包括天然災害、機械故障、軟體錯誤設定、未修補的軟體，以及人為錯誤。本文最後的〈附錄 C：弱點〉提供可能影響中型企業的弱點詳細清單。
使用者教育
針對實體與邏輯資訊安全性，最大弱點不見得是電腦或軟體缺失，而是電腦使用者。員工可能在無意間犯下錯誤，例如，在他人觀察下輸入密碼、下載與開啟包含病毒的電子郵件附件，或是在夜間忘記將電腦關機。由於人為因素對於電腦安全性有重大影響，因此，教育員工、IT 工作人員與管理階層十分重要。要求所有人員培養良好的安全性習慣，也是同等重要。這些做法長期對於企業而言，可省下許多成本。訓練應提供使用者建議，以避免惡意活動，並應教育潛在威脅與如何避免威脅。以下為使用者應瞭解的安全性做法：
| • | 絕不回覆要求財務或個人資訊的電子郵件。 |
| • | 絕不提供密碼。 |
| • | 不開啟可疑電子郵件檔案附件。 |
| • | 回應任何可疑或無用的電子郵件。 |
| • | 不安裝未經授權的應用程式。 |
| • | 在未使用電腦時，藉由密碼保護的螢幕保護程式或 CTRL-ALT-DELETE 對話方塊來鎖定電腦。 |
| • | 啟用防火牆。 |
| • | 在遠端電腦使用強式密碼。 |
原則
若要強制安全性做法，一定要有書面原則與可接受的程序。為了有效進行，所有 IT 原則皆應包含上層管理的支援，以及提供強制機制、通知使用者的方法，與教育使用者的方法。範例原則可處理下列主題：
| • | 如何偵測電腦上的惡意程式碼。 |
| • | 如何報告可疑的感染。 |
| • | 使用者可協助事件處理人員的動作，例如，系統遭感染之前使用者的最後動作。 |
| • | 減少惡意程式碼可能攻擊之作業系統與應用程式弱點的程序與步驟。 |
| • | 修補程式管理、安全性設定指南的應用，以及檢查清單。 |
平衡風險管理與商業需求
投資風險管理程序，可協助中型企業排定優先順序、規劃減輕威脅，以及處理企業的下一個威脅或弱點。
預算限制可能決定了 IT 安全性的支出，但是若能有效地執行架構良好的風險管理方法，可協助管理階層找出適當的控管方式，以提供任務所需的安全性功能。
中型企業必須小心地在風險管理與企業需求之間維持平衡。下列問題將有助於維持風險管理與企業需求之間的平衡：
| • | 公司是否應自行設定其系統，或交由硬體/軟體供應商來設定？成本應是多少？ |
| • | 是否應使用負載平衡或叢集作為確保應用程式高可用性的機制？實作這些機制的需求為何？ |
| • | 伺服器室是否需要警報系統？ |
| • | 建築物或伺服器室是否應使用電子鑰匙系統？ |
| • | 公司對於電腦系統的預算？ |
| • | 公司對於技術支援與維護的預算？ |
| • | 估計公司去年花費在您電腦系統上的金額 (硬體/軟體維護)？ |
| • | 公司主要場所有幾部電腦？是否有電腦硬體與軟體的財產清單？ |
| • | 較為老舊的系統，是否足以執行您必須執行的軟體？ |
| • | 估計需要多少部新電腦或升級電腦？最佳數量為何？ |
| • | 每個使用者是否必須配備一部印表機？ |
如需風險管理的詳細資訊，請參閱 http://go.microsoft.com/fwlink/?linkid=30794 中的安全性風險管理指南 (英文)。
解決方案
本節說明協助管理惡意程式碼風險的不同策略，包括對於惡意程式碼的反應式與預防式做法、實體與邏輯原則。同時也將討論報告工具與監控等驗證方法。
開發減少惡意程式碼的策略
開發減少惡意程式碼的策略時，定義可實作惡意程式碼偵測與/或預防的必要作業關鍵點十分重要。針對管理惡意程式碼風險，不應只仰賴單一裝置或技術做為唯一防線。比較好的方法應該採用多層防禦，在網路中使用預防式與反應式機制。防毒軟體在此區域扮演關鍵角色，不過，它不應該是判斷惡意程式碼攻擊的唯一方式。有關多層防禦的詳細資訊，請參閱 www.microsoft.com/technet/security/guidance/serversecurity/avdind_3.mspx#E1F 中《防毒縱深防禦指南》的惡意軟體防禦方法一節 (英文)。
以下將深入討論下列作業關鍵點：
| • | 評估惡意軟體風險 |
| • | 實體安全性 |
| • | 邏輯安全性 |
| • | 預防式/反應式原則與步驟 |
| • | 部署與管理 |
評估惡意軟體風險
中型企業評估惡意軟體風險時，必須特別留意最易遭受威脅的攻擊載具。它們受到何種保護，以及受保護的程度為何？以下為應考量的問題：
| • | 公司是否安裝了防火牆？ 防火牆為周邊防禦的重要環節。網路防火牆通常為主要防線，以抵擋組織電腦系統、網路與重要資訊的外部威脅。中型企業應實作軟體或硬體形式的防火牆。 |
| • | 公司是否具有內部或外部弱點掃描分析能力？如何分析掃描資訊？ 建議使用 Microsoft Baseline Security Analyzer (MBSA)，以掃描錯誤設定或弱點。也可將安全性弱點測試程序外包，雇用外部廠商來評估安全性環境與提供需要在何處改善的建議。  附註:MBSA 為易於使用的工具，目的在於讓 IT 專業人員根據 Microsoft 安全性建議，協助中小企業決定其安全性狀態。它也提供特定的補救指南。使用 MBSA 協助偵測電腦系統上常見安全性錯誤設定與遺漏的安全性更新，可加強安全性管理程序。 |
| • | 是否有備份與復原評估計劃？ 確認具有備份計劃，且備份伺服器有效運作。 |
| • | 公司具有多少種防毒軟體？防毒軟體是否安裝在所有系統上？ 仰賴單一防毒平台可能會使公司承受風險，因為每種套件各有其優缺點。 |
| • | 公司是否實作無線網路？如果有無線網路，是否有啟用安全性並正確地設定？ 即使有線網路十分安全，未受保護的無線網路可能會將無法接受的風險等級引進安全的環境。老舊的無線標準 (例如，WEP) 很容易被入侵，因此應該深入研究是否已採用最適當的無線安全性解決方案。 |
| • | 員工是否接受如何預防惡意軟體的訓練？是否教育他們惡意軟體風險的主題？ 惡意軟體散佈的最常見形式涉及某種形式的社會工程，而抵擋社會工程威脅的最有效防禦即是教育。 |
| • | 是否有書面原則，規定如何避免或處理惡意軟體威脅？原則多久審查一次？是否強制執行？員工是否確實遵循此原則？ 確認使用者接受如何避免惡意軟體威脅與惡意軟體防範的訓練。將此資訊記錄為文件相當重要；應具有上述資訊與步驟的書面原則，並加以強制執行。只要發生任何變更，即應重新審查此原則，確保原則的有效性與正確性。 |
實體安全性
實體安全性必須限制對於設備的存取，以防止竄改、偷竊、人為錯誤，以及這些動作所導致的後續停機時間。
雖然實體安全性算是一般安全性問題，而非針對惡意軟體的問題，但是組織基礎結構中所有用戶端、伺服器與網路裝置若無有效的實體防禦規劃，將無法抵擋惡意軟體。
以下清單包含有效實體防禦計劃需考量的關鍵要素：
| • | 建築物安全性。誰可進出建築物？ |
| • | 個人安全性。員工進出權限的限制為何？ |
| • | 網路存取點。誰可使用網路設備？ |
| • | 伺服器電腦。誰具有伺服器的存取權？ |
| • | 工作站電腦。誰具有工作站的存取權？ |
如果這些要素之一遭到入侵，惡意軟體便很可能繞過外部與內部網路防禦界線，而感染網路上的宿主。保護設備與電腦系統的存取，應為安全性策略的基本要素。
如需詳細資訊，請參閱 www.microsoft.com/technet/archive/community/columns/security/5min/5min-203.mspx 中 Microsoft TechNet 的 5 分鐘安全性顧問 - 基礎實體安全性文章 (英文)。
邏輯安全性
中型企業資訊系統的軟體防護包括使用者 ID 與密碼存取、驗證與存取權，這些對於管理惡意軟體風險皆相當重要。這些防護可協助確保只有經過授權的使用者，才能在網路中特定伺服器或工作站上執行動作或存取資訊。系統管理員應該確認，系統的設定應與電腦使用者的工作職責一致。這些防護的設定應考量下列事項：
| • | 限制程式或公用程式僅供職務需要的員工使用。 |
| • | 提高關鍵系統目錄的控管。 |
| • | 提供稽核等級。 |
| • | 使用最低權限原則。 |
| • | 限制使用卸除式媒體，例如，磁碟片。 |
| • | 應將備份伺服器、郵件伺服器與檔案伺服器的系統管理權限授予何人？ |
| • | 誰可存取人力資源資料夾？ |
| • | 跨部門資料夾應設定何種權限？ |
| • | 工作站是否應該讓不同使用者使用？如果要讓不同使用者使用，應指定何種等級的存取權？是否授權使用者在其工作站上安裝軟體應用程式？ |
使用者 ID、登入 ID 或帳戶及使用者名稱是可供多人存取之電腦程式或網路的使用者唯一個人識別碼。驗證為確認實體或客體身份或其宣稱身份的程序。範例包括確認資訊的來源與完整性，例如，確認使用者或電腦的數位簽章或識別身份。為加強安全性，強烈建議每個登入帳戶皆具有密碼秘密驗證資料，用來控管資源或電腦的存取。在使用者可以登入網路後，便應該定義適當的存取權。例如，特定使用者可存取人力資源資料夾，但只有讀取存取權，而無法進行任何變更。
其他邏輯安全性問題包括：
| • | 密碼指引，例如密碼有效時間與複雜性。 |
| • | 資料與軟體備份。 |
| • | 機密性資訊/敏感性資料 - 適當地使用加密。 |
根據適當用途與可接受的風險等級，必須提供適當的驗證與授權功能。伺服器與工作站都需要特別注意。上述所有邏輯安全性要素應製成書面文件、強制執行，並成為全公司的參照依據。
預防式/反應式原則與步驟
兩種基本做法可用來協助管理惡意軟體風險：預防式與反應式。預防式做法包括所有防止宿主型或網路型攻擊入侵系統的措施。反應式做法為中型企業發現部分系統被入侵者或木馬程式或其他惡意軟體入侵時所使用的程序。
反應式做法
如果系統或網路安全性遭破壞，便需要事件回應程序。事件回應為調查問題、分析問題起因、降低影響層面、解決問題，以及記錄每個回應步驟以供日後參考的方法。
正如每家公司會採取某種措施以避免日後的商業損失，在預防性措施未生效或不存在時，也會有因應此類損失的計劃。回應式方法包括災難復原計劃、在遭入侵的系統上重新安裝作業系統與應用程式，以及切換至其他位置中的替代系統。準備並備妥實作一組適當的反應式回應，與建立預防式措施一樣重要。
下列反應式回應階層式圖解顯示處理惡意軟體事件的步驟。關於這些步驟的額外資訊請見下文。
圖 2。反應式回應階層
觀看完整大小影像
| • | 保護生命與人員安全。如果受影響的電腦包含維生系統，將這些電腦關機將是不可能的選項。或許您可以在不干擾其協助病患功能的情況下重新設定路由器與交換器，將網路上的這類系統以邏輯方式隔離。 |
| • | 遏制損害。遏制攻擊所造成的損害，可協助限制額外的損害。快速保護重要資料、軟體與硬體。 |
| • | 評估損害。立即複製伺服器上遭受攻擊的硬碟，並留供日後犯罪調查之用。然後評估損害。 |
| • | 判斷損害的原因。若要確認攻擊的來源，必須瞭解攻擊的目標資源，以及攻擊利用何種弱點來取得存取權或中斷服務。檢查直接受到影響系統上的系統設定、修補程式等級、系統記錄、稽核記錄與稽核路徑，以及路由資料流量至這些系統的網路裝置。 |
| • | 修復損害。儘快修復損壞相當重要，以期恢復正常業務運作與修復攻擊期間遺失的資料。 |
| • | 審查回應與更新原則。完成書面與修復階段之後，應詳細審查回應與更新原則。 |
網路上的系統遭病毒感染時，應採取何種動作？下列清單包括反應式做法的例子：
| • | 確認防火牆正常運作。絕對管制系統與網路上的傳入與傳出流量。 |
| • | 優先處理最可能的可疑對象。清除最常見的惡意軟體威脅，然後檢查未知的威脅。 |
| • | 隔離受感染的系統。中斷它與網路和網際網路的連線。阻止感染在清除過程中散佈至網路上的其他系統。 |
| • | 研究爆發控管與清除技術。 |
| • | 從防毒軟體廠商下載最新病毒定義。 |
| • | 確認將防毒系統設定為掃描所有檔案。 |
| • | 執行完整系統掃描。 |
| • | 還原遺失或損毀的資料。 |
| • | 移除或清除受感染的檔案。 |
| • | 確認電腦系統已無惡意軟體。 |
| • | 將已清除惡意軟體的電腦系統重新連線至網路。 |
附註:請務必確認所有電腦系統正在執行新近的防毒軟體，且執行自動程序以定期更新病毒定義。行動工作人員的可攜式電腦定期更新防毒軟體，更是重要。
維護某個資料庫或記錄，以追蹤套用至組織最重要系統的修補程式：可存取網際網路的系統、防火牆、內部路由器、資料庫，與後端辦公室伺服器。
預防式做法
風險管理的預防式做法相較於反應式做法有許多優點。預防式做法儘可能降低攻擊的可能性，而不是等到攻擊發生後再加以回應。藉由實作控管以減輕惡意軟體可利用的弱點風險，可建立計劃以保護組織的重要資產。
有效的預防式做法可協助中型企業降低日後可能產生的安全性事件數量，但是這類問題不可能完全消失。因此，中型企業應持續加強其事件回應程序，同時發展長期的預防式做法。下列清單包含可協助管理惡意軟體風險的預防式措施範例。
| • | 依廠商建議，為硬體系統與路由器套用最新韌體。 | ||||||||||
| • | 為伺服器應用程式與其他應用程式套用最新安全性修補程式。 | ||||||||||
| • | 訂閱廠商的安全性相關電子郵件清單，並依照建議套用修補程式。 | ||||||||||
| • | 確認所有的 Microsoft 電腦系統執行的是最新的防毒軟體。 | ||||||||||
| • | 確認執行自動程序以定期更新病毒定義。 附註:行動工作人員的可攜式電腦定期更新防毒軟體，更是重要。 | ||||||||||
| • | 維護某個資料庫，以追蹤已套用的修補程式。 | ||||||||||
| • | 檢視安全性記錄。 | ||||||||||
| • | 啟用周邊網路或主機防火牆。 | ||||||||||
| • | 使用 Microsoft Baseline Security Analyzer 之類的弱點掃描程式，協助偵測電腦系統上常見的安全性錯誤設定與遺漏的安全性更新。 | ||||||||||
| • | 使用最低權限使用者帳戶 (LUA)。如果低權限處理程序遭入侵，造成的損害將低於高權限處理程序。因此，執行日常工作時使用非系統管理員帳戶以取代系統管理員帳戶，將可保護使用者避免惡意軟體感染、外部或內部安全性攻擊、意外或蓄意修改系統設定，與意外或蓄意存取機密性程式或文件。 | ||||||||||
| • | 強制執行強式密碼原則。強式密碼可降低攻擊者使用暴力攻擊以提高權限的可能性。強式密碼通常具有下列特性：
|
如需密碼原則的詳細資訊，請參閱 http://technet2.microsoft.com/WindowsServer/en/Library/e903f7a2-4def-4f5f-9480-41de6010fd291033.mspx?mfr=true 中 Microsoft TechNet 的密碼最佳作法 主題 (英文)。
縱深防禦
中型企業環境中管理惡意軟體風險的預防式做法，應包含使用多層式縱深防禦的做法，以協助保護資源免於外部或內部威脅。縱深防禦 (有時亦稱為深度安全性或多層式安全性) 可用來描述多層式安全性因應對策，以建立無單一失敗點的嚴密安全性環境。構成縱深防禦策略的多層安全性，應包含部署從外部路由器一直到資源所在位置及其間各點的保護性措施。部署多層安全性可協助確保如果其中某一層遭入侵，其他層將可提供保護資源所需的安全性。
本節討論縱深防禦安全性模型，這是瞭解概念的最佳起點。此模型指定七層安全性防禦，可確保有一組堅強的防禦來抵擋入侵中型企業安全性的企圖。每組防禦可協助在許多不同層級抵擋攻擊。
每層的詳細定義可根據不同組織安全性優先順序與需求來修改。下圖顯示縱深防禦模型的多層安全性。
圖 3。縱深防禦安全性模型
觀看完整大小影像
| • | 資料。資料層的風險來自於攻擊者可利用潛在弱點，以取得設定資料、組織資料或組織所使用裝置專屬資料的存取權。 |
| • | 應用程式。應用程式層的風險來自於攻擊者可利用潛在弱點，以存取正在執行的應用程式。惡意軟體撰寫者在作業系統之外封裝的任何可執行程式碼，皆可用來攻擊系統。 |
| • | 主機。此層通常為提供處理惡意軟體威脅的 Service Pack 與 Hot Fix 廠商的目標。此層的風險來自於攻擊者利用主機或裝置所提供服務的弱點。 |
| • | 內部網路。企業內部網路的風險，大致與經由此類型網路所傳輸的敏感性資料有關。這些內部網路上用戶端工作站的連線需求，亦有數種相關的風險。 |
| • | 周邊網路。周邊網路層的相關風險來自於攻擊者取得廣域網路 (WAN) 與其連線之網路層的存取權。 |
| • | 實體安全性。實體層的風險來自於攻擊者可取得實體資產的實體存取權。 |
| • | 原則、程序與警覺。在安全性模型層四周為中型企業所需的原則與程序，以符合與支援每層的需求。 |
資料、應用程式與主機層可結合成為兩種防禦策略，以協助保護企業用戶端與伺服器。雖然這些防禦共用數種共同的策略，實作用戶端與伺服器防禦之間的差異，已足以產生獨特的防禦做法。
內部網路與周邊層也可結合成為共同的網路防禦策略，因為這兩層涉及相同的技術。每層的實作細節有所不同，取決於裝置位置與組織基礎結構中的技術。如需縱深防禦的詳細資訊，請參閱 http://go.microsoft.com/fwlink/?LinkId=50964 中《防毒縱深防禦指南》的第 2 章：惡意軟體威脅 (英文)。
部署與管理
管理惡意軟體風險的策略，可能由本文件所討論的所有技術與做法所組成。建議您在所有系統上部署可告、符合要求的防毒軟體。Windows Defender 為 Microsoft 工具軟體，可保護電腦避免間諜軟體與其他潛在無用軟體所造成的彈出式視窗、低效能與安全性威脅，以維持您的生產力。Windows Defender 應搭配防毒軟體一起使用。事實上，完成作業系統安裝之後，應儘快部署 Windows Defender 與防毒軟體。此外，應立即套用最新的防毒軟體修補程式，並加以設定以有效地偵測與防止惡意軟體。由於整體安全性解決方案不可仰賴單一做法，因此，應使用防毒軟體強化防火牆、閘道、入侵偵測與先前數節所討論的其他安全性解決方案技術。
本節將討論驗證、監控與報告，以及可用的技術。
驗證
若已研究並實作先前所述管理惡意軟體風險的做法與技術，如何確認已有效地部署？
若要驗證計劃的解決方案，請使用下列工具來協助驗證網路與系統環境：
| • | 防毒。使用最新簽章檔案定義的防毒軟體掃描所有系統，以檢查病毒 |
| • | Windows Defender。使用 Windows Defender 掃描所有系統，以檢查間諜軟體與其他潛在無用軟體 |
| • | Microsoft Baseline Security Analyzer (MBSA)。使用 MBSA 掃描所有系統，以協助識別常見的安全性錯誤設定。若需詳細資訊，請參閱位於 http://go.microsoft.com/fwlink/?linkid=17809 的 Microsoft Baseline Security Analyzer 網站 (英文)。 |
此外，應測試與確認任何具有適當存取權限的新建立帳戶，以確保這些帳戶依預期運作。
驗證策略與實作的技術後，應依需求套用軟體與硬體修補程式，以維持安全性的有效性。使用者，特別是 IT 人員，應永遠套用最新的更新程式。
監視和報告
持續監控網路中所有裝置，乃是偵測惡意軟體攻擊的重要環節。監控可能是複雜的程序。此程序需要從數種來源收集資訊 (例如，防火牆、路由器、交換器與使用者的記錄)，以編譯「正常」行為基準，用來識別不正常的行為。
中型企業環境中監控與報告惡意軟體的策略，應包括技術與使用者教育。
技術是指適當地部署與實作軟硬體技術，以協助中型企業監控與報告惡意軟體活動，並加以回應。使用者教育是指警覺計劃，其中包含有關惡意軟體事件預防、避免，以及如何適當地報告事件的使用者指南。
技術
警示監控系統可加以自動化，讓系統向中央位置或適當的連絡點報告可疑的惡意軟體感染，以便通知使用者如何回應。自動化警示系統可縮小初始警示與使用者察覺惡意軟體威脅之間的延遲，不過，此做法的問題在於可能產生誤判的警示。若無人篩選警示與檢閱異常活動報告檢查清單，則警示可能會警告不存在的惡意軟體。此狀況可能導致安全假象，因為過度頻繁的警示將使得使用者失去警覺。
建議指派網路系統管理小組成員，負責接收來自所有系統監控軟體或公司所用防毒套裝軟體的自動惡意軟體警示。負責的人員或小組可在自動系統發送警示給使用者之前，篩選掉誤判的警示。
建議應隨時審查並保持最新的惡意軟體解決方案。惡意軟體保護的每個層面，從簡單的自動病毒簽章下載到作業原則的徹底變更都極為重要。雖然之前已提過下列部分工具，但是它們對於安全性管理、監控與報告十分重要：
| • | 網路入侵偵測 (NID)。由於周邊網路為網路中高度暴露的部分，因此，可儘快偵測與報告攻擊的網路管理系統極為重要。 |
| • | Microsoft Baseline Security Analyzer (MBSA)。使用 MBSA 協助偵測電腦系統上常見安全性錯誤設定與遺漏的安全性更新，可加強安全性管理程序。 |
| • | 防毒簽章掃描程式。大部分防毒軟體程式目前使用此技術，它涉及搜尋目標 (主機電腦、磁碟或檔案) 是否有可能代表惡意軟體的模式。 |
| • | SMTP 閘道掃描程式。這些簡易郵件傳送通訊協定 (SMTP) 電子郵件掃描解決方案，通常是指防毒閘道解決方案。它們的優勢是可以與所有 SMTP 電子郵件服務合作，而非針對特定的電子郵件伺服器產品。 |
| • | 記錄檔。列示檔案存取詳細資料的檔案，儲存並保留在伺服器上。記錄檔分析可透露有關網站流量的有用資料。 |
| • | 事件檢視器。報告錯誤與其他事件 (例如，驅動程式失敗、檔案錯誤、登入與登出) 的系統管理工具。 |
| • | Windows Windows Defender。可保護電腦避免間諜軟體與其他無用軟體所造成的彈出式視窗、低效能與安全性威脅的程式。它提供即時保護 (Real-Time Protection) 監控系統，可在偵測到間諜軟體時提供建議，並具有全新的簡化介面，可儘量減少干擾並協助使用者維持生產力。 |
| • | 使用 Internet Explorer 7 中的動態安全性保護 (Dynamic Security Protection)。 |
其他可協助掃描與套用最新更新或修正程式的建議工具包括：
| • | Microsoft Windows Server Update Services (WSUS) 提供全面性的解決方案，以管理中型企業網路內的更新。 |
| • | Microsoft Systems Management Server 2003 SP 1 提供全面性的解決方案，用於 Microsoft 平台的變更與設定管理，讓組織以快速且具成本效益的方式提供相關軟體與更新給使用者。 |
考慮訂閱適用於組織的任何新修補程式。若要自動接收這些通知，請訂閱 http://go.microsoft.com/fwlink/?LinkId=21723 中的 Microsoft 資訊安全佈告欄。
使用者教育
如本文先前小節所述，應教育所有使用者有關惡意軟體與其特性、潛在威脅的嚴重性、預防的技術、惡意軟體散佈的方式，以及惡意軟體所造成的風險。使用者教育也應該包含認識惡意軟體事件處理原則與程序，例如，如何偵測電腦上的惡意軟體、如何報告可疑的感染，以及可協助事件處理人員的使用者動作。中型企業應該為負責惡意軟體事件預防的 IT 工作成員，舉辦管理惡意軟體風險策略的訓練講習。
摘要
惡意軟體為複雜且不斷演化的電腦技術。在 IT 中所遭遇的所有問題，當屬惡意軟體攻擊與相關處理成本最為常見且最耗成本。瞭解惡意軟體如何運作、如何隨著時間演化與其所利用的攻擊載具，可協助中型企業預防此問題，並建立更多有效的反應式程序。惡意軟體使用許多技術來建立、散佈與利用電腦系統，因此很難瞭解如何保護系統以抵擋這類攻擊。不過，瞭解挑戰並備妥管理惡意軟體風險的策略，可讓中型企業以儘可能降低攻擊可能性的方式來管理其系統與網路基礎結構。
附錄 A：常見資訊系統資產
本附錄列出各類型中型企業中常見的資訊系統資產。此並非詳盡清單，也不可能列出組織特殊環境中的所有資產。它僅為參考清單，做為協助中型企業的切入點。
| 表格 A.1。常見資訊系統資產的清單 | |||
| 資產類別 | 資產的最高層次描述 | 下一層定義 (若有需要) | 資產值評分 (5 為最高) |
有形資產 | 實體基礎結構 | 資料中心 | 5 |
有形資產 | 實體基礎結構 | 伺服器 | 3 |
有形資產 | 實體基礎結構 | 桌上型電腦 | 1 |
有形資產 | 實體基礎結構 | 行動電腦 | 3 |
有形資產 | 實體基礎結構 | PDA | 1 |
有形資產 | 實體基礎結構 | 手機 | 1 |
有形資產 | 實體基礎結構 | 伺服器應用程式軟體 | 1 |
有形資產 | 實體基礎結構 | 一般使用者應用程式軟體 | 1 |
有形資產 | 實體基礎結構 | 開發工具 | 3 |
有形資產 | 實體基礎結構 | 路由器 | 3 |
有形資產 | 實體基礎結構 | 網路交換器 | 3 |
有形資產 | 實體基礎結構 | 傳真機 | 1 |
有形資產 | 實體基礎結構 | PBX | 3 |
有形資產 | 實體基礎結構 | 卸除式媒體 (磁帶、磁碟片、CD-ROM、DVD、可攜式硬碟、PC 卡儲存裝置、USB 儲存裝置等等) | 1 |
有形資產 | 實體基礎結構 | 電源供應器 | 3 |
有形資產 | 實體基礎結構 | 不斷電系統 | 3 |
有形資產 | 實體基礎結構 | 滅火系統 | 3 |
有形資產 | 實體基礎結構 | 空調系統 | 3 |
有形資產 | 實體基礎結構 | 空氣濾清系統 | 1 |
有形資產 | 實體基礎結構 | 其他環境控管系統 | 3 |
有形資產 | 內部網路資料 | 原始程式碼 | 5 |
有形資產 | 內部網路資料 | 人力資源資料 | 5 |
有形資產 | 內部網路資料 | 財務資料 | 5 |
有形資產 | 內部網路資料 | 行銷資料 | 5 |
有形資產 | 內部網路資料 | 員工密碼 | 5 |
有形資產 | 內部網路資料 | 員工私密密碼編譯金鑰 | 5 |
有形資產 | 內部網路資料 | 電腦系統密碼編譯金鑰 | 5 |
有形資產 | 內部網路資料 | 智慧卡 | 5 |
有形資產 | 內部網路資料 | 智慧財產 | 5 |
有形資產 | 內部網路資料 | 法規需求資料 (GLBA、HIPAA、CA SB1386、歐盟資料保護方針等) | 5 |
有形資產 | 內部網路資料 | 美國員工社會安全號碼 | 5 |
有形資產 | 內部網路資料 | 員工駕照號碼 | 5 |
有形資產 | 內部網路資料 | 策略計劃 | 3 |
有形資產 | 內部網路資料 | 客戶消費者信用報告 | 5 |
有形資產 | 內部網路資料 | 客戶醫療記錄 | 5 |
有形資產 | 內部網路資料 | 員工生物識別碼 | 5 |
有形資產 | 內部網路資料 | 員工業務連絡資料 | 1 |
有形資產 | 內部網路資料 | 員工個人連絡資料 | 3 |
有形資產 | 內部網路資料 | 訂單資料 | 5 |
有形資產 | 內部網路資料 | 網路基礎結構設計 | 3 |
有形資產 | 內部網路資料 | 內部網站 | 3 |
有形資產 | 內部網路資料 | 員工種族資料 | 3 |
有形資產 | 外部網路資料 | 協力廠商合約資料 | 5 |
有形資產 | 外部網路資料 | 協力廠商財務資料 | 5 |
有形資產 | 外部網路資料 | 協力廠商連絡資料 | 3 |
有形資產 | 外部網路資料 | 協力廠商共同作業應用程式 | 3 |
有形資產 | 外部網路資料 | 協力廠商密碼編譯金鑰 | 5 |
有形資產 | 外部網路資料 | 協力廠商信用報告 | 3 |
有形資產 | 外部網路資料 | 協力廠商訂單資料 | 3 |
有形資產 | 外部網路資料 | 供應商合約資料 | 5 |
有形資產 | 外部網路資料 | 供應商財務資料 | 5 |
有形資產 | 外部網路資料 | 供應商連絡資料 | 3 |
有形資產 | 外部網路資料 | 供應商共同作業應用程式 | 3 |
有形資產 | 外部網路資料 | 供應商密碼編譯金鑰 | 5 |
有形資產 | 外部網路資料 | 供應商信用報告 | 3 |
有形資產 | 外部網路資料 | 供應商訂單資料 | 3 |
有形資產 | 網際網路資料 | 網站銷售應用程式 | 5 |
有形資產 | 網際網路資料 | 網站行銷資料 | 3 |
有形資產 | 網際網路資料 | 客戶信用卡資料 | 5 |
有形資產 | 網際網路資料 | 客戶連絡資料 | 3 |
有形資產 | 網際網路資料 | 公開密碼編譯金鑰 | 1 |
有形資產 | 網際網路資料 | 新聞稿 | 1 |
有形資產 | 網際網路資料 | 白皮書 | 1 |
有形資產 | 網際網路資料 | 產品文件 | 1 |
有形資產 | 網際網路資料 | 訓練教材 | 3 |
無形資產 | 聲譽 |
| 5 |
無形資產 | 善意 |
| 3 |
無形資產 | 員工品行 |
| 3 |
無形資產 | 員工生產力 |
| 3 |
IT 服務 | 傳訊 | 電子郵件/排程 (例如，Microsoft Exchange) | 3 |
IT 服務 | 傳訊 | 即時傳訊 | 1 |
IT 服務 | 傳訊 | Microsoft Outlook® Web Access (OWA) | 1 |
IT 服務 | 核心基礎結構 | Active Directory® 目錄服務 | 3 |
IT 服務 | 核心基礎結構 | 網域名稱系統 (DNS) | 3 |
IT 服務 | 核心基礎結構 | 動態主機設定通訊協定 (DHCP) | 3 |
IT 服務 | 核心基礎結構 | 企業管理工具 | 3 |
IT 服務 | 核心基礎結構 | 檔案共用 | 3 |
IT 服務 | 核心基礎結構 | 儲存 | 3 |
IT 服務 | 核心基礎結構 | 撥號遠端存取 | 3 |
IT 服務 | 核心基礎結構 | 電話語音 | 3 |
IT 服務 | 核心基礎結構 | 虛擬私人網路 (VPN) 存取 | 3 |
IT 服務 | 核心基礎結構 | Microsoft Windows® Internet Naming Service (WINS) | 1 |
IT 服務 | 其他基礎結構 | 共同作業服務 (例如，Microsoft SharePoint®) |
|
附錄 B：常見威脅
本附錄列出可能影響中型企業的威脅。此清單並非詳盡清單，且為靜態清單，因此無法維持最新資訊。它僅為參考清單，做為協助組織的切入點。
| 表格 B.1。常見威脅的清單 | |
| 威脅的高層級描述 | 特定範例 |
災難事件 | 火災 |
災難事件 | 水災 |
災難事件 | 地震 |
災難事件 | 強烈風暴 |
災難事件 | 恐怖攻擊 |
災難事件 | 動亂/暴動 |
災難事件 | 山崩 |
災難事件 | 雪崩 |
災難事件 | 工安意外事件 |
機械故障 | 停電 |
機械故障 | 硬體故障 |
機械故障 | 網路中斷 |
機械故障 | 環境控管故障 |
機械故障 | 工地意外事件 |
非惡意人員 | 資訊不足的員工 |
非惡意人員 | 資訊不足的使用者 |
惡意人員 | 駭客，解密高手 |
惡意人員 | 電腦罪犯 |
惡意人員 | 產業間諜 |
惡意人員 | 政府間諜 |
惡意人員 | 社會工程 |
惡意人員 | 心懷不滿的現職員工 |
惡意人員 | 心懷不滿的離職員工 |
惡意人員 | 恐怖份子 |
惡意人員 | 粗心的員工 |
惡意人員 | 不誠實的員工 (收賄或黑函受害者) |
惡意人員 | 惡意行動程式碼 |
附錄 C：弱點
本附錄列出可能影響中型企業的弱點。此清單並非詳盡清單，且為靜態清單，因此無法維持最新資訊。它僅為參考清單，做為協助組織的切入點。
| 表格 C.1。弱點的清單 | ||
| 高層級弱點類別 | 弱點的簡短描述 | 特定範例 (如果適用) |
實體 | 未上鎖的門 |
|
實體 | 未管制電腦設備存取 |
|
實體 | 滅火系統不足 |
|
實體 | 建築物設計不良 |
|
實體 | 建築物施工不良 |
|
實體 | 建築物使用可燃材質 |
|
實體 | 裝潢使用可燃材質 |
|
實體 | 未上鎖的窗戶 |
|
實體 | 易受實體攻擊的牆 |
|
實體 | 未完全密封房間天花板與地板的內部牆面 |
|
天然 | 設備位於斷層線 |
|
天然 | 設備位於洪水區 |
|
天然 | 設備位於雪崩區域 |
|
硬體 | 遺漏修補程式 |
|
硬體 | 過時的韌體 |
|
硬體 | 錯誤設定的系統 |
|
硬體 | 實體不安全的系統 |
|
硬體 | 經由公開介面允許的管理通訊協定 |
|
軟體 | 過時的防毒軟體 |
|
軟體 | 遺漏修補程式 |
|
軟體 | 設計不良的應用程式 | 跨網站指令碼 |
軟體 | 設計不良的應用程式 | SQL 資料隱碼 |
軟體 | 設計不良的應用程式 | 程式碼弱點，例如，緩衝區溢位 |
軟體 | 刻意置入的弱點 | 管理或系統復原用途的廠商後門 |
軟體 | 刻意置入的弱點 | 間諜軟體，例如，鍵盤記錄程式 |
軟體 | 刻意置入的弱點 | 木馬程式 |
軟體 | 刻意置入的弱點 |
|
軟體 | 設定錯誤 | 手動輸入導致不一致的設定 |
軟體 | 設定錯誤 | 未強化的系統 |
軟體 | 設定錯誤 | 未稽核的系統 |
軟體 | 設定錯誤 | 未監控的系統 |
媒介 | 電磁干擾 |
|
通訊 | 未加密的網路通訊協定 |
|
通訊 | 至多個網路的連線 |
|
通訊 | 允許不必要的通訊協定 |
|
通訊 | 網路區段之間沒有篩選 |
|
人為 | 定義不良的程序 | 事件回應準備不足 |
人為 | 定義不良的程序 | 手動輸入 |
人為 | 定義不良的程序 | 災難復原計劃不足 |
人為 | 定義不良的程序 | 在生產系統上進行測試 |
人為 | 定義不良的程序 | 未報告違反情形 |
人為 | 定義不良的程序 | 變更控管不佳 |
人為 | 被竊的認證資料 |
|
參考資料
| • | 實體安全性 (英文) |
| • | 安全性風險管理做法概論 (英文) |
| • | 防毒軟體評論 (英文) |
| • | 反間諜軟體聯盟 (英文) |
| • | 安全性風險管理指南 (英文) |
| • | 防毒縱深防禦指南 (英文) |