惡意程式偵測平台-SandSphere

SandSphere為一進階程式之潛在威脅、後門程式分析工具，利用專利之動、靜態分析技術，找出程式碼、執行檔、函式庫、第三方元件是否誤用到各式惡意程式、後門程式。

客戶可利用SandSphere，檢測委外廠商交付的程式或第三方元件中是否含有惡意程式、後門程式。

目前，諸多海、內外大型金控、政府單位、企業使用SandSphere，於系統正式上線前，進行安全檢測，並已成功防止多次重大資安事件!

SandSphere相關特色如下:

1.針對程式碼內藏之所有連線、後門、惡意程式進行偵測(檢測系統或程式有無惡意程式及後門程式)

2.滿足安控需求，確實管控第三方元件、外包開發系統之安全性

3.掃描報告明確列出存有風險之檔案路徑及告警原因

4.分析全球4.9億個網站名聲，定期更新C&C主機清單(偵測惡意網站連結並定期更新惡意網站清單)

5. 支援各檔案類型，在程式碼中尋找已知、未知威脅

6. 客戶可以選擇自建硬體(appliance)或雲端服務，自動化定期分析程式碼之安全性

SandSphere跟第三方元件管理工具、防毒軟體、源碼掃描有什麼不同?

掃描範例一：.sys檔被偵測出為Windows惡意程式。它會伺機竊取敏感資訊並上傳至C&C主機。

(此例為SandSphere利用網域名聲排序，於程式中找到惡意網域，故目前無防毒軟體可偵測此類惡意程式)

掃描範例二：.exe檔被偵測為惡意程式。它會偵測防毒是否運作、將程式碼注入其他程式，且被加殼保護

(因此隱藏病毒被加殼保護，且它會偵測系統中是否裝有防毒軟體來變化其行為，故目前並無其他防駭程式或沙箱可偵測)

紅隊演練

紅隊演練(Red Teaming)是模仿駭客的行為，嘗試達成目標的資訊安全服務。此服務可確認系統是否有重大漏洞可讓駭客入侵，也可以從防禦的角度來驗證防護機制。
常見的目標為驗證「是否可竊取敏感資訊」、「是否可由外網進入內部網段」、「是否能控制主機」等等。

光盾進行相關測試時，會使用並將測試流程及結果，對映至ATT&CK Matrix的項目中(客戶亦可依需求，客製化內容):

為防止影響系統的正常運作，在做可造成破壞性之行為前，光盾會事先與客戶溝通，而客戶可選擇是否進行下列測試：

上傳或植入惡意程式
社交工程破解單一用戶之系統
利用跳板進行更進一步之深度測試，破解其他內網系統
可能造成阻斷服務之測試

光盾團隊具有國際化優勢，具豐富國際資安經驗，並持續協助全球客戶(含台、美、日、歐之政府機關、金融機構、各類大型企業)進行此項測試。光盾於紅隊演練中，持續發掘各式零時差漏洞並協助客戶修正。為保障客戶權益，光盾嚴謹內控，絕不公布相關漏洞。

社交工程郵件測試(Social Engineering)

光盾以自行研發之系統，為客戶執行社交工程郵件測試(Social Engineering)，

其系透過電子郵件的方式，提供受測單位了解社交工程的存在、提高警覺性、審視系統安全缺口，並藉由內部教育訓練來補強。

本工具可以依照需求，以客製化來源來傳送郵件，並支援各式附檔類型。

除了利用駭客工具直接破解系統外，社交工程廣為駭客使用，並藉此入侵內部系統，因此是重大組織、企業必須嚴防的攻擊方式。

依客戶需要，郵件內容可涵蓋各種類型、模板，例如: 保健、八卦、休閒、時事等等，而光盾的程式將記錄用戶執行「開啟郵件」、

「點閱郵件」、「開啟附件」等行為，並於檢測完畢提供統計報表(含整體點閱率、各別帳號點閱率、精確點閱時間等等)。

滲透測試

滲透測試是對系統、網路或應用程式進行模擬攻擊的服務，以識別可能被惡意駭客利用的安全漏洞。滲透測試的主要目標是完整評估系統的安全性以及其抵禦攻擊的能力。在滲透測試期間，熟練的網絡安全專業人員(亦被稱為滲透測試人員或道德駭客)，將嘗試利用目標系統中的漏洞並加以驗證，就像真正的攻擊者可能會做的一樣。

光盾的滲透測試主要是利用自行開發之AI滲透測試工具-RayInvader，以弱掃工具－RayScanner輔助，使用駭客的手法，嘗試入侵客戶的系統並找出可能的弱點;在找出弱點後，我們會提出詳細報告並協助客戶改善。檢測標的可包含所有電腦系統，例如各式主機、應用程式、手機軟體、資安設備、IoT、所有類型之作業系統、API等等。和其他資安公司最大的不同，就在於本公司為客戶進行諸多零時差漏洞(未被發布的弱點)測試，因此檢測結果將包含已知和未知的漏洞，這對於注重資訊安全的大型組織而言至關重要!光盾俱備極豐富之國際經驗，已為台、美、日、歐無數的政府單位、銀行、大型企業、製造業執行滲透測試，除可以最大程度檢測出問題，更可保障客戶系統和資料的安全性，不至於因為檢測而遭受破壞。

本公司的服務包含了完整的內部及外部滲透測試。外部滲透測試即由公司外部，利用所有可行的駭客手法試著入侵到公司內部，取得機密文件、上傳檔案、改變設定等等。當然，這也包含了伺服器以及網頁的入侵。在試完各種入侵方式、出具完整報告後，我們即可以專業之顧問服務，協助客戶修補、複測漏洞。內部滲透測試即由公司內部，嘗試一些非法行為，例如取得機密文件以及越權; 這種內部測試可以防止不肖員工，或者駭客經由入侵員工的電腦而從內部攻擊公司。尤其是企業的內部網路往往存有最機密的商業資訊，其安全性檢測格外重要。

光盾執行的滲透測試除了可檢測出各式嚴重漏洞，諸如嚴重之零時差漏洞(zero-day vulnerabilities)、資料隱碼(SQL Injection)、跨站腳本(XSS)、阻斷服務(DoS)等等，亦會進一步深入探索問題可影響的深度及廣度，而光盾的滲透測試流程依循以下的國際規範: OSSTMM、OWASP Top Ten，以及NIST- SP800-115。下為光盾進行滲透測試時使用的流程簡圖(可依需求客製化檢測情境、項目)：

光盾的滲測試由擁有CISSP、CEH、CISM、CPENT、LPT等等國際證照之資安專家，使用RayInvader並輔以手動的方式嘗試進入目標系統或取得敏感資訊，藉此深入問題核心和察覺由弱點掃描無法偵測的問題。例如，由網際網路滲透進入內部網路並截取敏感資訊即不屬於弱點掃描的範疇。

滲透測試至少包含下列優點:

確認一些攻擊行為是否真的可行，並可藉由實際測試判斷影響性、執行風險評估
檢測攻擊者是否可以結合中等或輕微的弱點，造成重大資安事件
探索並嘗試未知的漏洞，以及發現自動化工具無法偵測的弱點
檢視現行資安防護軟硬體對於網路攻擊的實際效能
分析系統防護或架構不足處，並針對弱點加以補強

RayScanner和RayInvader採用和美國政府同步的資料庫，利用最新、最即時的資訊確認您的網站和應用程式有無被入侵的可能、是否符合最嚴格的國際規範。由於堅強的團隊陣容和技術層次，我們執行的滲透測試亦會幫您找到其他軟體不會偵測出的漏洞，例如複雜的商業邏輯漏洞(Business Logic Flaws)和諸多零時差攻擊(Zero-Day Attacks)!

由擁有CISSP、CEH、CISM等等國際證照之資安專家執行滲透測試之後，光盾除了協助您改善漏洞，也幫您作更完善的規劃與建議，使您的系統在深度防禦的概念下得到最可靠的保障。檢測結果報告會將弱點依風險排序，並附上極完整之檢測過程、造成後果，以及解決方案。

由於這部分的報告可能涉及十分敏感的資訊，我們會與客戶簽訂保密協定，以及協定詳細測試內容。若您需要更深入的訊息，光盾樂意提供滲透測試的範例報告給您參考。

滲透測試和弱點掃描有以下的關係:

滲透測試的內容包含弱點掃描
滲透測試可能結合弱點掃描找出的中等或輕微漏洞，成功進入系統或取得個資，因而找出潛藏的重大漏洞
許多類別的漏洞是弱點掃描無法找出的，例如商業邏輯漏洞(Business Logic Flaws)、多種類型的阻斷服務(DoS)、其他諸多類型之重大問題
由於滲透測試會實際嘗試入侵系統，故報告將會有相關截圖和步驟，例如下面的截圖即只會在滲透測試的報告中看到(實際入侵到網站管理者的控管頁面):

光盾提供外網、內網滲透測試，亦有豐富為各式重大系統(例如:銀行ATM、SWIFT、公文交換系統等)測試之經驗。我們可為客戶在不同情境下，完整測試系統的安全性。

API盤點-UTDS

隨著雲端、行動、微服務等技術的發展，API 已然成為應用程式開發中不可或缺的工具。然而，API卻也變成網路犯罪攻擊的重點。根據OWASP的API Top 10報告，常見之未經驗證的資料傳輸、過度授權、缺乏適當的監控與日誌等等，都是API常見的安全隱患。這些漏洞一旦遭到攻擊，不僅可能導致敏感資料外洩，更會影響企業的營運與聲譽。光盾資訊的API盤點系統為客戶發現不少這樣的問題: 公司將程式外包或購買產品，但於交付時，這些外包程式或購買的產品含有「影子API」，造成公司的系統被駭客利用影子API，感染惡意程式。這樣的供應鏈議題，已造成了諸多資安事件。為有效偵測到這樣的狀況，客戶可利用UTDS的硬體或VM架構，嚴謹監控內、外網中的API流量。有鑑於層出不窮的資安事件，金管會亦將API盤點視為重點項目。除了進行完整盤點，光盾資訊的產品結合人工智慧的零時差攻擊偵測、沙箱分析，因此在盤點出API的同時，亦可偵測針對API的攻擊、存在的漏洞等，為API防護作嚴謹的把關。下為光盾產品針對API風險的盤點畫面：強化API安全建議:

零時差漏洞(Zero-Day Vulnerability)

零時差漏洞是指在軟體、硬體或韌體中，存在尚未被發現或已知但未修補的安全漏洞。這些漏洞通會被攻擊者在公開之前利用，因為沒有補丁或修補措施來防禦這些攻擊。零時差漏洞被稱為「零日」(zero-day)，是因為當漏洞在被攻擊者利用時，開發者和安全專家沒有時間（零天）進行修補或防禦措施。具體定義包括以下幾點：這些漏洞的危險性在於攻擊者可以在開發者有機會修補漏洞之前，迅速利用這些弱點進行攻擊。因此，零時差弱點常被視為極高風險的安全威脅。

惡意程式防護有效性測試

愈來愈多公司、組織遭受各類型病毒威脅。相關案例不勝枚舉。光盾藉由大量布署之Honeypots，不斷收集最新駭客情資，含攻擊手法、相關行為、感染途徑，再利用模擬方法，撰寫虛擬惡意程式。用這個方法，光盾以安全、可管控的方式，為客戶確認: 1. 防護系統是否能偵測各類意程式攻擊(例如:硬碟加密、竊取敏感資訊、鍵盤側錄、任意指令執行等) 2. 內部敏感資訊是否會因為各式不同的手法(例如:HTTP-GET、HTTP-POST、SSH、FTP等)，而被駭客或內部人員傳送出去 3. 惡意程式是否可能在內網擴散藉由此檢測，客戶可以利用安全、可控的方式驗證: -敏感資訊的保護是否足夠 -防護設備是否運行正確 -資安政策是否落實，並使用最小權限原則 -測試敏感資訊是否可由內網傳出 -攻擊者是否能利用受測機當跳板，攻擊內網其他系統

內網滲透測試(Internal Penetration Testing)

愈來愈多企業的敏感資訊被駭並放到暗網上販賣、商業機密被競爭對手取得。許多人都有一買完網路商店就接到詐騙電話的不良經驗。這些都很可能是駭客所為。根據CVE統計報告，已發佈的漏洞數目，呈現愈來愈多的趨勢: 然而，內部系統的安全性往往是企業較易疏忽的一環。駭客可能使用以下方法取得內網權限:社交工程、無線網路、VPN(Virtual Private Network)感染、病毒傳播、外部滲透內網再由內網滲透等等。更有甚者，內部不肖員工可能利用系統的漏洞，竊取公司、其他同仁或上級的敏感資訊。過去曾爆發國內警察機關因為員警使用P2P軟體，導致報案記錄和筆錄檔案透過續傳分享而外洩(https://www.ithome.com.tw/news/43060);日本發生過P2P軟體Winny，大量洩漏重要軍事情報以及個人稅籍、病歷、交易資料等重大資安事件(https://www.ithome.com.tw/news/35963);美國政府發生個資外洩事件，被竊資料包括聯邦政府雇員、軍人、情報人員、政府包商，影響超過2200萬人(https://www.cw.com.tw/article/5124929)。相關案例多不勝數。基於其所造成的影響度和普及性，內網的檢測是必要且勢在必行的，而做滲透測試時應考量已取得內網權限的狀況。其中一項目的，是確認攻擊者是否能在內網取得敏感資訊，並將相關資訊利用各種方式傳出去(例如: HTTP、FTP、SSH, etc.)。光盾已為無數各國金融、大型企業、製造業進行此類檢測，並發現絕大多數企業並沒有有效防止此類問題。滲透測試採取駭客的角度，檢驗網路服務系統的安全防護措施是否有效、各項安全政策是否貫徹落實，另一方面可以讓潛在的安全風險以真實事件的方式突顯出來，而有助於提高相關人員的資安水平。在測試結束後，可立即進行安全防護修補作業，徹底解決安全防護的問題，以有效防止真實資安事件發生。資安防護是刻不容緩的，隨著國內外個資觀念的強化與落實，一旦發生資安事件，所造成的損失遠遠超過防護成本，更甚者無形的商譽損失將難以彌補。回到光盾滲透測試介紹。

弱點掃描(Vulnerability Scanning)

弱點掃描弱點掃描（Vulnerability Scanning）是一種自動化的安全測試方法，旨在識別系統、主機、網絡或應用程式中的安全漏洞。這種測試技術使用自動化工具來定期檢查目標系統，以尋找可能被攻擊者利用的弱點或漏洞。光盾使用自行開發的工具-RayScanner，結合常用工具(如:商業版Nessus及商業版Burpsuite)為您做遠端或內部弱點掃描服務，並藉此協助您改善系統安全的問題。在問題改善後，您的網路應用程式、資料庫，以及路由器將可在資安專家的協助下符合以下國際資訊安全規範: 1. CERT 2. PCI 3. NSA 4. NIST SCAP FDCC 5. HIPAA 6. CIS 7. GLBA 8. DISA STIGs 常見弱點掃描檢測出的漏洞包含資料隱碼(SQL Injection)、跨站腳本(XSS)、不安全資安設置、系統版本過於老舊、預設帳密等等可造成嚴重個資外洩的問題。 RayScanner包含數萬個不同的檢測子程式，並即時與美國政府單位使用的資料庫、光盾自行研發的資料庫同步，為客戶提供最完整的檢測報告。依客戶的不同需求，光盾亦可提供其他商業版知名軟體弱點掃描結果，供客戶參考。由擁有CISSP、CEH、CISM、CPENT、LPT等等國際證照之資安專家執行弱點掃描之後，光盾除了協助您改善漏洞，也幫您作更完善的規劃與建議，使您的系統在深度防禦的概念下得到最可靠的保障。光盾已為無數的政府單位、銀行、大型企業執行弱點掃描，除可以最大程度檢測出問題，更可保障客戶系統和資料的安全性，不至於因為檢測而遭受破壞。

光盾資訊檢測實驗室-公正性承諾聲明書

本實驗室以遵守國家法律、法規為基準，嚴格執行品質系統中各項規章及品質文件之內容，在ISO/IEC 17025:2017已認證之範圍內進行檢測作業。本實驗室全體人員承諾，對所有檢測作業及結果之數據公正性、保密性負責，不與任何其他利益相關，確保檢測結果不受商業、財務或其他第三方壓力危害其公正性及真實性，以維護客戶之權益。本實驗室將持續進行公正性風險之鑑別，包含實驗室活動、實驗室關係及各人員之關係，將風險進行消除或減至最低。本實驗室要求全體人員公正獨立，不參與任何損害檢測獨立性及誠信度之活動，不做假數據、不受上級或其他任何第三方之利益脅迫及關說，秉持實事求是之精神，並對所有檢測結果之數據負責。本實驗室人員嚴格遵守保密協定，不透露客戶相關技術、資料、數據及其他任何商業機密。實驗室全體員工嚴格遵守品質手冊及程序文件，堅持公平、公正及公開，嚴禁利用自身職權謀取利益。