內網滲透測試(Internal Penetration Testing)

愈來愈多企業的敏感資訊被駭並放到暗網上販賣、商業機密被競爭對手取得。許多人都有一買完網路商店就接到詐騙電話的不良經驗。這些都很可能是駭客所為。根據CVE統計報告,已發佈的漏洞數目,呈現愈來愈多的趨勢: 然而,內部系統的安全性往往是企業較易疏忽的一環。駭客可能使用以下方法取得內網權限:社交工程、無線網路、VPN(Virtual Private Network)感染、病毒傳播、外部滲透內網再由內網滲透等等。更有甚者,內部不肖員工可能利用系統的漏洞,竊取公司、其他同仁或上級的敏感資訊。過去曾爆發國內警察機關因為員警使用P2P軟體,導致報案記錄和筆錄檔案透過續傳分享而外洩(https://www.ithome.com.tw/news/43060);日本發生過P2P軟體Winny,大量洩漏重要軍事情報以及個人稅籍、病歷、交易資料等重大資安事件(https://www.ithome.com.tw/news/35963);美國政府發生個資外洩事件,被竊資料包括聯邦政府雇員、軍人、情報人員、政府包商,影響超過2200萬人(https://www.cw.com.tw/article/5124929)。相關案例多不勝數。 基於其所造成的影響度和普及性,內網的檢測是必要且勢在必行的,而做滲透測試時應考量已取得內網權限的狀況。其中一項目的,是確認攻擊者是否能在內網取得敏感資訊,並將相關資訊利用各種方式傳出去(例如: HTTP、FTP、SSH, etc.)。 光盾已為無數各國金融、大型企業、製造業進行此類檢測,並發現絕大多數企業並沒有有效防止此類問題。滲透測試採取駭客的角度,檢驗網路服務系統的安全防護措施是否有效、各項安全政策是否貫徹落實,另一方面可以讓潛在的安全風險以真實事件的方式突顯出來,而有助於提高相關人員的資安水平。在測試結束後,可立即進行安全防護修補作業,徹底解決安全防護的問題,以有效防止真實資安事件發生。資安防護是刻不容緩的,隨著國內外個資觀念的強化與落實,一旦發生資安事件,所造成的損失遠遠超過防護成本,更甚者無形的商譽損失將難以彌補。 回到光盾滲透測試介紹。

弱點掃描(Vulnerability Scanning)

弱點掃描 弱點掃描(Vulnerability Scanning)是一種自動化的安全測試方法,旨在識別系統、主機、網絡或應用程式中的安全漏洞。這種測試技術使用自動化工具來定期檢查目標系統,以尋找可能被攻擊者利用的弱點或漏洞。 光盾使用自行開發的工具-RayScanner,結合常用工具(如:商業版Nessus及商業版Burpsuite)為您做遠端或內部弱點掃描服務,並藉此協助您改善系統安全的問題。在問題改善後,您的網路應用程式、資料庫,以及路由器將可在資安專家的協助下符合以下國際資訊安全規範: 1. CERT 2. PCI 3. NSA 4. NIST SCAP FDCC 5. HIPAA 6. CIS 7. GLBA 8. DISA STIGs 常見弱點掃描檢測出的漏洞包含資料隱碼(SQL Injection)、跨站腳本(XSS)、不安全資安設置、系統版本過於老舊、預設帳密等等可造成嚴重個資外洩的問題。 RayScanner包含數萬個不同的檢測子程式,並即時與美國政府單位使用的資料庫、光盾自行研發的資料庫同步,為客戶提供最完整的檢測報告。依客戶的不同需求,光盾亦可提供其他商業版知名軟體弱點掃描結果,供客戶參考。 由擁有CISSP、CEH、CISM、CPENT、LPT等等國際證照之資安專家執行弱點掃描之後,光盾除了協助您改善漏洞,也幫您作更完善的規劃與建議,使您的系統在深度防禦的概念下得到最可靠的保障。光盾已為無數的政府單位、銀行、大型企業執行弱點掃描,除可以最大程度檢測出問題,更可保障客戶系統和資料的安全性,不至於因為檢測而遭受破壞。

整體規劃(Holistic Solution)

光盾資訊科技提供整合式的資訊安全服務,內容包含資安風險評估、弱點改善、管理稽核。 我們的CIA服務幫您作整體資安規畫、佈署(包含所有需要的軟體和硬體)、檢測,到定期分析報告,使您再也不用擔心資訊安全的問題。 CIA服務意指光盾將使您的敏感資訊擁有機密(confidential)、完整(integral),以及隨時可以取得(available))的特性。我們的服務遵守國際標準,包含 ISO 2700系列、 National Institute of Standards and Technology (NIST)、Computer Emergency Response Team (CERT) 、ITIL、COBIT、OWASP等等。光盾使用的測試資料庫和相關技術亦隨著技術發展而不斷更新並保持在世界領先地位。 因個資法是許多企業擔心的課題,光盾與專業的律師事務所合作,為客戶的權利帶來最大的保障。我們與所有客戶皆簽署保密協定,並作長久永續的經營,使您能在最安心的情況下獲得最完善的服務。 由上圖可見,這個整體性的解決方案由實體(physical)、技術(technical)、管理(administrative)三方面著手,並由資安專家為客戶確實解決問題,而這也是光盾的特點-我們擁有完整為客戶解決問題的能力和技術。 除了完善的資安解決方案,光盾協助客戶遵循法規、取得各式資安認證。本公司已協助諸多政府單位、大型企業、金融組織、醫療體系、教育機構導入此完整解決方案。

社交工程郵件測試(Social Engineering)

光盾以自行研發之系統,為客戶執行社交工程郵件測試(Social Engineering), 其系透過電子郵件的方式,提供受測單位了解社交工程的存在、提高警覺性、審視系統安全缺口,並藉由內部教育訓練來補強。 本工具可以依照需求,以客製化來源來傳送郵件,並支援各式附檔類型。 除了利用駭客工具直接破解系統外,社交工程廣為駭客使用,並藉此入侵內部系統,因此是重大組織、企業必須嚴防的攻擊方式。 依客戶需要,郵件內容可涵蓋各種類型、模板,例如: 保健、八卦、休閒、時事等等,而光盾的程式將記錄用戶執行「開啟郵件」、 「點閱郵件」、「開啟附件」等行為,並於檢測完畢提供統計報表(含整體點閱率、各別帳號點閱率、精確點閱時間等等)。

手機APP資安檢測(Mobile Application Security Testing)

光盾擁有完整的手機APP資訊安全檢測技術,由專業資安技術人員進行自動化工具,加上專家手動檢測,清查並驗證APP軟體內所有可疑的安全漏洞。 我們有非常豐富的手機安全檢測經驗和理論基礎,亦提供相關研究予美國國土安全部(Homeland Security)。光盾針對手機APP軟體內的各項漏洞產出相關解決報告,給予完整及客製化的建議、協助客戶解決問題,將有效防止攻擊者運用漏洞進行攻擊、竊取使用者機敏資料。 光盾提供非常深入的測試。本檢測依循OWASP、NIST規範,並確保客戶的發行的程式不至於因為漏洞造成個資外洩。 圖一: 提供檢測及建議流程 為何需要手機APP資安檢測? 隨著智慧型手機的蓬勃發展,手機APP如雨後春筍般冒出。然而,絕大部分的手機APP有嚴重的資安漏洞,因為絕大多數的企業、銀行、政府單位並未執行資安檢測,且相關程式並非由受過專業資安訓練的程式設計師所撰寫。 光盾經由測試經驗發現,絕大多數手機APP有極嚴重的資安漏洞,輕則使手機易於中毒,重者則可造成用戶及組織的機敏資料外洩、組織自身的主機被攻擊。 手機APP檢測的成效? 光盾由專業資安人員運用自動化工具與人工檢測為客戶進行手機APP資安檢測,利用全面且深入的檢視,確保客戶所發布的手機應用程式合乎相關安全檢測規範、符合法律要求,更不會因其系統內潛藏的任何有害漏洞,而造成使用者的個資外洩。我們建議客戶於手機上架發布前預先進行手機APP檢測,避免手機APP上架後因未經過檢測,導致用戶的損失、傷及自身企業商譽、違反法律規定。 檢測平台為何? 光盾可完整檢測Android 、iOS系統的手機應用程式,協助客戶找出並防範潛在的漏洞威脅。 有那些檢測項目? 完整的手機APP資安檢測包含源碼檢測加上滲透測試。 針對手機APP進行的滲透測試包含資料探勘、連線測試、錯誤處理、認證測試、資訊洩漏、商業邏輯、阻斷服務、權限跳脫等等。光盾可依客戶需求,增減測試項目,並為客戶確保是否合於法律規定。針對所有平台之程式(例如Android、iOS、Windows等等),光盾會將程式反編譯,並利用組合語言分析工具,為客戶詳細找出潛在漏洞。 圖二: 手機APP資安檢測項目  圖三: APP源碼檢測示意圖  客戶及案例和經驗有那些? 光盾擁有無數為政府企業、研究機構、銀行、大型企業執行手機APP資安檢測經驗,並提供國內外政府及資安組織專業之改善建議、進行尖端研究、發表研究文章。若有任何問題,歡迎您隨時與我們聯絡: support@rayaegis.com。

APT(Advanced Persistent Threat)檢測

甚麼是APT? 它的全名是進階持續性滲透攻擊(Advanced Persistent Threat, APT),為近年來常見且造成組織巨大損失的網路攻擊手法。它是一種精心策畫且長期潛伏的多方位網路攻擊,攻擊者多為經驗豐富的龐大組織駭客集團。APT攻擊時間長且緩慢 ,利用各種複雜的工具與詐騙手法(例如社交工程),攻擊目標大多為特定組織單位與大型企業,趁其稍有疏忽便竊取其鎖定的資料。 為什麼需要APT檢測? APT是一種長期性的潛伏攻擊,而此攻擊緩慢且無法輕易查覺,如同病毒潛藏於生活中,組織隨時隨地都有可能接觸並遭受攻擊。 APT檢測即長期執行深層的資安滲透測試,結合所有攻擊手法,為組織檢測是否有可以被攻擊者利用的漏洞。根據光盾的檢測經驗,即使是非常注重資訊安全的政府和金融單位,都仍多少有被攻擊者利用的漏洞(這些單位都有安裝諸多防謢軟硬體,甚至是專門用來防護APT的硬體)。APT檢測即可讓受測單位了解相關問題、測試防護系統的安全性、教育訓練的成效,讓組織能及時修正。更重要的是,藉由此項檢測,您將可知道現在設備(例如WAF、IDS/IPS、Antivirus、Sandbox等等)是否能有效防止進階攻擊,並在檢測後補強不足之處。 APT檢測內容為何? APT為一長期的攻擊行動,以往傳統的安全偵測不足以對付此類攻擊。光盾利用專業的資安技術及多年的經驗,協助客戶進行4-6個月客製化APT檢測(包含滲透測試、社交工程、零時差漏洞檢測、客製化破解等等),針對客戶的系統做完整資安環境現況分析,使用先進的手法模擬演練駭客入侵。除了找出問題所在,光盾的資深資訊安全工程師將協助客戶進行完整修補及防護。下表為此檢測的概要說明: 下表光盾團隊模擬攻擊者行為,為客戶進行APT檢測服務之流程(可在不影響客戶系統正常運作之下進行並驗證、依客戶需求刪減項目): APT檢測的成效? 本服務至少可以協助客戶的系統檢測下列項目: 機敏資訊是否可被非法竊取 網頁內容是否可被置換 系統是否可被癱瘓 系統是否存有攻擊者可利用的弱點 資安教育訓練是否落實 防護設備是否有效運作 客戶是否符合資安法規(例如金融業的PCI-DSS) 是否有其他各類型資訊安全問題 了解已布罝設備(例如WAF、IDS/IPS、Antivirus、Sandbox等等)是否能有效防止進階攻擊,並在檢測後補強不足之處

軟體漏洞診斷及修補

無論是基於不小心還是蓄意,軟體漏洞是極常見到的問題。有的外包廠商或惡意員工故意 製造這些漏洞,使得公司不得不與其續約或購買更新的產品; 更有甚者,有員工安裝惡意程 式來報復將之解聘的公司。然而,最常見的是由於撰寫程式的疏忽而產生的漏洞。軟體漏洞 可能造成許多問題,例如資料外洩、電腦中毒,以及其他許多的嚴重後果。我們提供服務對軟 體作詳細的資訊安全評估,依您的需求做黑箱、灰箱、白箱測試,並在發現問題後協助改善,確 保您在使用程式時不用擔心其安全性。

即時漏洞偵測

光盾提供即時漏洞偵測服務,防止客戶在重大檢測之間的空窗期被駭客入侵。一般公司一年實行二次重大檢測(包含弱點掃描和滲透測試),但每天都有新的漏洞被發布,造成公司的資訊安全受到嚴重威脅。 為解決這問題,光盾為客戶提供即時漏洞偵測服務,只要一有新的漏洞被發布,我們就偵測客戶是否有相關弱點,達到即時改善的效果。 我們建議將此服務和弱點掃描、滲透測試並行使用,為公司的資訊安全達到最佳偵測及預防效果!

滲透測試(Penetration Testing)

滲透測試

滲透測試是對系統、網路或應用程式進行模擬攻擊的服務,以識別可能被惡意駭客利用的安全漏洞。滲透測試的主要目標是完整評估系統的安全性以及其抵禦攻擊的能力。在滲透測試期間,熟練的網絡安全專業人員(亦被稱為滲透測試人員或道德駭客),將嘗試利用目標系統中的漏洞並加以驗證,就像真正的攻擊者可能會做的一樣。

光盾的滲透測試主要是利用自行開發之AI滲透測試工具-RayInvader,以弱掃工具-RayScanner輔助,使用駭客的手法,嘗試入侵客戶的系統並找出可能的弱點;在找出弱點後,我們會提出詳細報告並協助客戶改善。檢測標的可包含所有電腦系統,例如各式主機、應用程式、手機軟體、資安設備、IoT、所有類型之作業系統、API等等。和其他資安公司最大的不同,就在於本公司為客戶進行諸多零時差弱點(未被發布的弱點)測試,因此檢測結果將包含已知和未知的漏洞,這對於注重資訊安全的大型組織而言至關重要!光盾俱備極豐富之國際經驗,已為台、美、日、歐無數的政府單位、銀行、大型企業、製造業執行滲透測試,除可以最大程度檢測出問題,更可保障客戶系統和資料的安全性,不至於因為檢測而遭受破壞

本公司的服務包含了完整的內部及外部滲透測試。外部滲透測試即由公司外部,利用所有可行的駭客手法試著入侵到公司內部,取得機密文件、上傳檔案、改變設定等等。當然,這也包含了伺服器以及網頁的入侵。在試完各種入侵方式、出具完整報告後,我們即可以專業之顧問服務,協助客戶修補、複測漏洞。內部滲透測試即由公司內部,嘗試一些非法行為,例如取得機密文件以及越權; 這種內部測試可以防止不肖員工,或者駭客經由入侵員工的電腦而從內部攻擊公司。尤其是企業的內部網路往往存有最機密的商業資訊,其安全性檢測格外重要。

光盾執行的滲透測試除了可檢測出各式嚴重漏洞,諸如嚴重之零時差漏洞(zero-day vulnerabilities)、資料隱碼(SQL Injection)、跨站腳本(XSS)、阻斷服務(DoS)等等,亦會進一步深入探索問題可影響的深度及廣度,而光盾的滲透測試流程依循以下的國際規範: OSSTMM、OWASP Top Ten,以及NIST- SP800-115。下為光盾進行滲透測試時使用的流程簡圖(可依需求客製化檢測情境、項目):

滲透測試流程

光盾的滲測試由擁有CISSP、CEH、CISM、CPENT、LPT等等國際證照之資安專家,使用RayInvader並輔以手動的方式嘗試進入目標系統或取得敏感資訊,藉此深入問題核心和察覺由弱點掃描無法偵測的問題。例如,由網際網路滲透進入內部網路並截取敏感資訊即不屬於弱點掃描的範疇。

滲透測試至少包含下列優點:

  • 確認一些攻擊行為是否真的可行,並可藉由實際測試判斷影響性、執行風險評估
  • 檢測攻擊者是否可以結合中等或輕微的弱點,造成重大資安事件
  • 探索並嘗試未知的漏洞,以及發現自動化工具無法偵測的弱點
  • 檢視現行資安防護軟硬體對於網路攻擊的實際效能
  • 分析系統防護或架構不足處,並針對弱點加以補強

RayScannerRayInvader採用和美國政府同步的資料庫,利用最新、最即時的資訊確認您的網站和應用程式有無被入侵的可能、是否符合最嚴格的國際規範。由於堅強的團隊陣容和技術層次,我們執行的滲透測試亦會幫您找到其他軟體不會偵測出的漏洞,例如複雜的商業邏輯漏洞(Business Logic Flaws)和諸多零時差攻擊(Zero-Day Attacks)!

由擁有CISSP、CEH、CISM等等國際證照之資安專家執行滲透測試之後,光盾除了協助您改善漏洞,也幫您作更完善的規劃與建議,使您的系統在深度防禦的概念下得到最可靠的保障。檢測結果報告會將弱點依風險排序,並附上極完整之檢測過程、造成後果,以及解決方案。

由於這部分的報告可能涉及十分敏感的資訊,我們會與客戶簽訂保密協定,以及協定詳細測試內容。若您需要更深入的訊息,光盾樂意提供滲透測試的範例報告給您參考。

滲透測試和弱點掃描有以下的關係:

  • 滲透測試的內容包含弱點掃描
  • 滲透測試可能結合弱點掃描找出的中等或輕微漏洞,成功進入系統或取得個資,因而找出潛藏的重大漏洞
  • 許多類別的漏洞是弱點掃描無法找出的,例如商業邏輯漏洞(Business Logic Flaws)、多種類型的阻斷服務(DoS)、其他諸多類型之重大問題
  • 由於滲透測試會實際嘗試入侵系統,故報告將會有相關截圖和步驟,例如下面的截圖即只會在滲透測試的報告中看到(實際入侵到網站管理者的控管頁面):

光盾提供外網、內網滲透測試,亦有豐富為各式重大系統(例如:銀行ATM、SWIFT、公文交換系統等)測試之經驗。我們可為客戶在不同情境下,完整測試系統的安全性。