Category: 資訊安全檢測服務

滲透測試 紅隊演練 弱點掃描 資安服務 社交工程演練

內網滲透測試(Internal Penetration Testing)

愈來愈多企業的敏感資訊被駭並放到暗網上販賣、商業機密被競爭對手取得。許多人都有一買完網路商店就接到詐騙電話的不良經驗。這些都很可能是駭客所為。根據CVE統計報告，已發佈的漏洞數目，呈現愈來愈多的趨勢: 然而，內部系統的安全性往往是企業較易疏忽的一環。駭客可能使用以下方法取得內網權限:社交工程、無線網路、VPN(Virtual Private Network)感染、病毒傳播、外部滲透內網再由內網滲透等等。更有甚者，內部不肖員工可能利用系統的漏洞，竊取公司、其他同仁或上級的敏感資訊。過去曾爆發國內警察機關因為員警使用P2P軟體，導致報案記錄和筆錄檔案透過續傳分享而外洩(https://www.ithome.com.tw/news/43060);日本發生過P2P軟體Winny，大量洩漏重要軍事情報以及個人稅籍、病歷、交易資料等重大資安事件(https://www.ithome.com.tw/news/35963);美國政府發生個資外洩事件，被竊資料包括聯邦政府雇員、軍人、情報人員、政府包商，影響超過2200萬人(https://www.cw.com.tw/article/5124929)。相關案例多不勝數。 基於其所造成的影響度和普及性，內網的檢測是必要且勢在必行的，而做滲透測試時應考量已取得內網權限的狀況。其中一項目的，是確認攻擊者是否能在內網取得敏感資訊，並將相關資訊利用各種方式傳出去(例如: HTTP、FTP、SSH, etc.)。 光盾已為無數各國金融、大型企業、製造業進行此類檢測，並發現絕大多數企業並沒有有效防止此類問題。滲透測試採取駭客的角度，檢驗網路服務系統的安全防護措施是否有效、各項安全政策是否貫徹落實，另一方面可以讓潛在的安全風險以真實事件的方式突顯出來，而有助於提高相關人員的資安水平。在測試結束後，可立即進行安全防護修補作業，徹底解決安全防護的問題，以有效防止真實資安事件發生。資安防護是刻不容緩的，隨著國內外個資觀念的強化與落實，一旦發生資安事件，所造成的損失遠遠超過防護成本，更甚者無形的商譽損失將難以彌補。 回到光盾滲透測試介紹。

弱點掃描(Vulnerability Scanning)

弱點掃描 弱點掃描（Vulnerability Scanning）是一種自動化的安全測試方法，旨在識別系統、主機、網絡或應用程式中的安全漏洞。這種測試技術使用自動化工具來定期檢查目標系統，以尋找可能被攻擊者利用的弱點或漏洞。 光盾使用自行開發的工具-RayScanner，結合常用工具(如:商業版Nessus及商業版Burpsuite)為您做遠端或內部弱點掃描服務，並藉此協助您改善系統安全的問題。在問題改善後，您的網路應用程式、資料庫，以及路由器將可在資安專家的協助下符合以下國際資訊安全規範: 1. CERT 2. PCI 3. NSA 4. NIST SCAP FDCC 5. HIPAA 6. CIS 7. GLBA 8. DISA STIGs 常見弱點掃描檢測出的漏洞包含資料隱碼(SQL Injection)、跨站腳本(XSS)、不安全資安設置、系統版本過於老舊、預設帳密等等可造成嚴重個資外洩的問題。 RayScanner包含數萬個不同的檢測子程式，並即時與美國政府單位使用的資料庫、光盾自行研發的資料庫同步，為客戶提供最完整的檢測報告。依客戶的不同需求，光盾亦可提供其他商業版知名軟體弱點掃描結果，供客戶參考。 由擁有CISSP、CEH、CISM、CPENT、LPT等等國際證照之資安專家執行弱點掃描之後，光盾除了協助您改善漏洞，也幫您作更完善的規劃與建議，使您的系統在深度防禦的概念下得到最可靠的保障。光盾已為無數的政府單位、銀行、大型企業執行弱點掃描，除可以最大程度檢測出問題，更可保障客戶系統和資料的安全性，不至於因為檢測而遭受破壞。

資安健診

服務簡介 資安健診服務是透過整合各項資訊安全項目的檢視服務作業，提供資安改善建議，藉以實施技術面控制措施，以提升網路、資訊系統及個人電腦安全防護能力。 服務範圍包括網路架構檢視、網路惡意活動檢視、使用者端電腦檢視、伺服器主機檢視及安全設定檢視等資安專業服務。 檢測項目說明 一、網路活動檢視 封包監聽與分析: 針對有線網路適當位置架設側錄設備，觀察是否有異常連線或DNS 查詢，並比對是否連線已知 惡意 IP、中繼站(Command and Control，C&C)或有符合惡意網路行為的特徵封包側錄至少以24小時為原則，以觀察是否有異常連線。 網路設備/資安設備紀錄檔分析: 檢視防火牆、入侵偵測防護系統等網路設備紀錄檔，分析過濾異常連線紀錄 網路設備紀錄檔分析以 1 個月的紀錄為原則。 二、網路設備、伺服器及端末設備等設備檢測 伺服器及終端機惡意程式檢測 使用者端電腦 使用者電腦惡意程式或檔案檢視。 使用者電腦是否存在惡意程式或檔案檢視。 檢視項目包含活動中與潛藏惡意程式、駭客工具程式。 系統服務運作權限檢測。 開機自動執行程序檢測。 工作排程內容執行程序檢測。 DNS連線紀錄與埠口連線檢測。 主機帳號與權限內容檢視。 環境變數內容檢視。 伺服器主機 伺服器惡意程式或檔案檢視。 針對伺服器主機進行是否存在惡意程式或檔案檢視。 檢視項目包含活動中與潛藏惡意程式、駭客工具程式。 系統服務運作權限檢測。 開機自動執行程序檢測。 工作排程內容執行程序檢測。 DNS連線紀錄與埠口連線檢測。 主機帳號與權限內容檢視。 環境變數內容檢視。 ATM主機 ATM主機惡意程式或檔案檢視。 ATM主機是否存在惡意程式或檔案檢視。 檢視項目包含活動中與潛藏惡意程式、駭客工具程式。 系統服務運作權限檢測。 開機自動執行程序檢測。 工作排程內容執行程序檢測。 DNS連線紀錄與埠口連線檢測。 主機帳號與權限內容檢視。 環境變數內容檢視。 三、安全設定檢視 …

紅隊演練(Red Teaming)

紅隊演練 紅隊演練(Red Teaming)是模仿駭客的行為，嘗試達成目標的資訊安全服務。此服務可確認系統是否有重大漏洞可讓駭客入侵，也可以從防禦的角度來驗證防護機制。常見的目標為驗證「是否可竊取敏感資訊」、「是否可由外網進入內部網段」、「是否能控制主機」等等。 光盾進行相關測試時，會使用並將測試流程及結果，對映至ATT&CK Matrix的項目中(客戶亦可依需求，客製化內容): 為防止影響系統的正常運作，在做可造成破壞性之行為前，光盾會事先與客戶溝通，而客戶可選擇是否進行下列測試： 光盾團隊具有國際化優勢，具豐富國際資安經驗，並持續協助全球客戶(含台、美、日、歐之政府機關、金融機構、各類大型企業)進行此項測試。光盾於紅隊演練中，持續發掘各式零時差漏洞並協助客戶修正。為保障客戶權益，光盾嚴謹內控，絕不公布相關漏洞。

分散式壓力測試(Distributed Stress Testing)

分散式壓力測試、DDoS攻防演練 一般的壓力測試(Stress Testing)採用單點式(單一來源IP)，用來測試網站、應用程式對於較大網路流量時的穩定性、可取得性、錯誤處理、錯誤回復能力。此方法可讓我們了解一個網站或應用程式對於人數承載量、高流量的處理能力，以及其是否易於出現錯誤。 不同於一般的壓力測試，分散式壓力測試採用多點式(來自國內外之多個來源IP)，除了可達到單點式的測試結果，可為客戶測試真實情況下，用戶數目上升時會產生的問題，以及是否可承受一定量的DDoS攻擊。 本測試參考F-ISAC規格，可分為三種類型(依客戶需求事先決定封包內容、連線數量、佔用頻寬等數據): 1. 大量連線數目檢測 利用多個國內、外之主機，大量佔用連線數量，藉此觀察目標系統是否會因為此類攻擊而暫停服務正常用戶。 2. 大流量測試 利用大量國、內外之主機，依客戶之需求大量傳送封包至目標主機。若客戶有使用流量清洗機制，可藉此驗證相關防護機制是否真實有效、開啟時機等。依客戶需求，光盾可提供5 Gbps以內的流量測試。 3. 混合型測試 結合大量連線數目、大流量，觀察客戶之系統是否能承受相關攻擊、是否可承受一定數量之用戶、清洗機制是否啟用等。 為什麼需要進行分散式壓力測試?

社交工程郵件測試(Social Engineering)

光盾以自行研發之系統，為客戶執行社交工程郵件測試(Social Engineering)， 其系透過電子郵件的方式，提供受測單位了解社交工程的存在、提高警覺性、審視系統安全缺口，並藉由內部教育訓練來補強。 本工具可以依照需求，以客製化來源來傳送郵件，並支援各式附檔類型。 除了利用駭客工具直接破解系統外，社交工程廣為駭客使用，並藉此入侵內部系統，因此是重大組織、企業必須嚴防的攻擊方式。 依客戶需要，郵件內容可涵蓋各種類型、模板，例如: 保健、八卦、休閒、時事等等，而光盾的程式將記錄用戶執行「開啟郵件」、 「點閱郵件」、「開啟附件」等行為，並於檢測完畢提供統計報表(含整體點閱率、各別帳號點閱率、精確點閱時間等等)。

手機APP資安檢測(Mobile Application Security Testing)

光盾擁有完整的手機APP資訊安全檢測技術，由專業資安技術人員進行自動化工具，加上專家手動檢測，清查並驗證APP軟體內所有可疑的安全漏洞。 我們有非常豐富的手機安全檢測經驗和理論基礎，亦提供相關研究予美國國土安全部(Homeland Security)。光盾針對手機APP軟體內的各項漏洞產出相關解決報告，給予完整及客製化的建議、協助客戶解決問題，將有效防止攻擊者運用漏洞進行攻擊、竊取使用者機敏資料。 光盾提供非常深入的測試。本檢測依循OWASP、NIST規範，並確保客戶的發行的程式不至於因為漏洞造成個資外洩。 圖一: 提供檢測及建議流程 為何需要手機APP資安檢測? 隨著智慧型手機的蓬勃發展，手機APP如雨後春筍般冒出。然而，絕大部分的手機APP有嚴重的資安漏洞，因為絕大多數的企業、銀行、政府單位並未執行資安檢測，且相關程式並非由受過專業資安訓練的程式設計師所撰寫。 光盾經由測試經驗發現，絕大多數手機APP有極嚴重的資安漏洞，輕則使手機易於中毒，重者則可造成用戶及組織的機敏資料外洩、組織自身的主機被攻擊。 手機APP檢測的成效？ 光盾由專業資安人員運用自動化工具與人工檢測為客戶進行手機APP資安檢測，利用全面且深入的檢視，確保客戶所發布的手機應用程式合乎相關安全檢測規範、符合法律要求，更不會因其系統內潛藏的任何有害漏洞，而造成使用者的個資外洩。我們建議客戶於手機上架發布前預先進行手機APP檢測，避免手機APP上架後因未經過檢測，導致用戶的損失、傷及自身企業商譽、違反法律規定。 檢測平台為何? 光盾可完整檢測Android 、iOS系統的手機應用程式，協助客戶找出並防範潛在的漏洞威脅。 有那些檢測項目? 完整的手機APP資安檢測包含源碼檢測加上滲透測試。 針對手機APP進行的滲透測試包含資料探勘、連線測試、錯誤處理、認證測試、資訊洩漏、商業邏輯、阻斷服務、權限跳脫等等。光盾可依客戶需求，增減測試項目，並為客戶確保是否合於法律規定。針對所有平台之程式(例如Android、iOS、Windows等等)，光盾會將程式反編譯，並利用組合語言分析工具，為客戶詳細找出潛在漏洞。 圖二: 手機APP資安檢測項目  圖三: APP源碼檢測示意圖  客戶及案例和經驗有那些? 光盾擁有無數為政府企業、研究機構、銀行、大型企業執行手機APP資安檢測經驗，並提供國內外政府及資安組織專業之改善建議、進行尖端研究、發表研究文章。若有任何問題，歡迎您隨時與我們聯絡: support@rayaegis.com。

APT(Advanced Persistent Threat)檢測

甚麼是APT? 它的全名是進階持續性滲透攻擊(Advanced Persistent Threat, APT)，為近年來常見且造成組織巨大損失的網路攻擊手法。它是一種精心策畫且長期潛伏的多方位網路攻擊，攻擊者多為經驗豐富的龐大組織駭客集團。APT攻擊時間長且緩慢 ，利用各種複雜的工具與詐騙手法(例如社交工程)，攻擊目標大多為特定組織單位與大型企業，趁其稍有疏忽便竊取其鎖定的資料。 為什麼需要APT檢測? APT是一種長期性的潛伏攻擊，而此攻擊緩慢且無法輕易查覺，如同病毒潛藏於生活中，組織隨時隨地都有可能接觸並遭受攻擊。 APT檢測即長期執行深層的資安滲透測試，結合所有攻擊手法，為組織檢測是否有可以被攻擊者利用的漏洞。根據光盾的檢測經驗，即使是非常注重資訊安全的政府和金融單位，都仍多少有被攻擊者利用的漏洞(這些單位都有安裝諸多防謢軟硬體，甚至是專門用來防護APT的硬體)。APT檢測即可讓受測單位了解相關問題、測試防護系統的安全性、教育訓練的成效，讓組織能及時修正。更重要的是，藉由此項檢測，您將可知道現在設備(例如WAF、IDS/IPS、Antivirus、Sandbox等等)是否能有效防止進階攻擊，並在檢測後補強不足之處。 APT檢測內容為何? APT為一長期的攻擊行動，以往傳統的安全偵測不足以對付此類攻擊。光盾利用專業的資安技術及多年的經驗，協助客戶進行4-6個月客製化APT檢測(包含滲透測試、社交工程、零時差漏洞檢測、客製化破解等等)，針對客戶的系統做完整資安環境現況分析，使用先進的手法模擬演練駭客入侵。除了找出問題所在，光盾的資深資訊安全工程師將協助客戶進行完整修補及防護。下表為此檢測的概要說明: 下表光盾團隊模擬攻擊者行為，為客戶進行APT檢測服務之流程(可在不影響客戶系統正常運作之下進行並驗證、依客戶需求刪減項目): APT檢測的成效？ 本服務至少可以協助客戶的系統檢測下列項目: 機敏資訊是否可被非法竊取 網頁內容是否可被置換 系統是否可被癱瘓 系統是否存有攻擊者可利用的弱點 資安教育訓練是否落實 防護設備是否有效運作 客戶是否符合資安法規(例如金融業的PCI-DSS) 是否有其他各類型資訊安全問題 了解已布罝設備(例如WAF、IDS/IPS、Antivirus、Sandbox等等)是否能有效防止進階攻擊，並在檢測後補強不足之處