iT邦幫忙

第 11 屆 iT 邦幫忙鐵人賽

DAY 4
2
Security

資安戰爭 三十六計系列 第 4

資安戰爭 三十六計之第4計:以逸待勞

/images/emoticon/emoticon06.gif《原文注釋》:「困敵之勢,不以戰;損剛益柔。」

/images/emoticon/emoticon15.gif《原文解析》:

圍困敵人的方法,不用主動求戰,只要逐漸損耗敵人的力量,使敵人由強變弱。

/images/emoticon/emoticon33.gif《出處》:

源自《孫子•軍爭篇》:「故三軍可奪氣,將軍可奪心。是故朝氣銳,晝氣惰,暮氣歸。故善用兵者,避其銳氣,擊其惰歸,此治氣者也。以治待亂,以靜待嘩,此治心者也。以近待遠,以佚(同逸)待勞,以飽待飢,此治力者也。」

出處翻譯:

對于敵方三軍,可以挫傷其銳氣,可使喪失其士氣,對于敵方的將帥,可以動搖他的決心,可使其喪失鬥志。所以,敵人早朝初至,其氣必盛;陳兵至中午,則人力困倦而氣亦怠惰;待至日暮,人心思歸,其氣益衰。所以善于用兵的人,敵之氣銳則避之,趁其士氣衰竭時才發起猛攻。這就是正確運用士氣的原則。用治理嚴整的我軍來對付軍政混亂的敵軍,用我鎮定平穩的軍心來對付軍心躁動的敵人。這是掌握並運用軍心的方法。以我就近進入戰場而待長途奔襲之敵;以我從容穩定對倉促疲勞之敵;以我飽食之師對飢餓之敵。這是懂得並利用治己之力以困敵人之力。不要去迎擊旗幟整齊、部隊統一的軍隊,不要去攻擊陣容整肅、士氣飽滿的軍隊,這是懂得戰場上的隨機應變。

/images/emoticon/emoticon76.gif《資安戰運用實例》:

2016年Dyn網路攻擊事件,該事件是由三位畢業於美國某大學的日本動漫迷所開發出Mirai病毒,利用該病毒攻擊美國網域系統供應商Dyn公司,造成美東整個網路癱瘓。Mirai病毒可以使執行Linux的計算系統成為被遠端操控的「殭屍」,以達到通過殭屍網路進行大規模網路攻擊(DDos)的目的。這是目前為止最大網路攻擊,當日攻擊幾乎癱瘓整個美國東岸的網路。

根據Dyn公司發布的情況,第一波分散式阻斷服務攻擊於早上7點開始,後在9:20解決。然而沒過多久,在上午11:52便出現了第二次攻擊,大量網友隨即報告他們難以連上網路。下午4點之後又出現了第三次攻擊。Dyn於當天下午6:11發表聲明稱已解決全部問題。

然而,事實上解決該問題的是全世界安全社群的共同努力,才讓美國FBI抓到這三個駭客,期間各大資安社群莫不動用大量人力、物力,不停的抽絲剝繭,不停通報,該事件才得以落幕,實際上並非以逸待勞,而是以此事件告訴大家,唯有有效的連繫及通報,才得以有效打贏這場戰爭。

/images/emoticon/emoticon13.gif《企業實務上,筆者觀點》

109年1月開始,行政院所屬的各大行政機關都需完成「資通安全維護計畫」,(請參考該下載位置:https://nicst.ey.gov.tw/Page/7DDA83CEE9EAB67E ),主要目的就是將各個行政機關當前的狀況,做出風險評估、管理、教育訓練、考核辦法以及績效管理的情況,提出這個計畫之後,就是要進行稽核,確認該計畫的實施成效是否依照自己編撰的計畫進行,如有缺失就要提出改善報告,並且做到情資分享,如此才能有效的進入通報機制,隨時能做好應變。

筆者所以會提到這個資通安全維護計畫的原因,主要該計畫內規定要設立資通安全長及資通安全推動小組,這個部分如果在各大機關內推行成功,企業勢必也要跟著強制(機率很大)設立資安長,尤其是上市櫃公司,勢必也要跟著設立,並有很大的機會被要求在年度股東會年報上揭漏給投資大眾。

然而比較令企業覺得麻煩的地方,到底資安長所屬的位階需要定義在組織架構的哪個位置?我們根據下列組織圖(以中鋼為例)來看,筆者在此提出兩個問題:

https://ithelp.ithome.com.tw/upload/images/20190920/20107482B22WUyORPG.jpg

1.	資安長是否為獨立機構,或者由資訊長來兼任?如果規定由資訊以外的部門兼任,那麼是否能有相關資安的能力及知識?例如目前由行政院副院長兼任行政院資安長,就有新聞對其資格提出質疑,這也是必須要透過法令,才能明確定出資安長的出任條件,該項疑義才能解決。

2.	有些公司的資訊處會放在特定部門之下,例如該組織圖中,資訊處(假設資安由資訊處兼任)就放在財務部底下,我們假設現在資安出了問題,那麼財務長是否應該要負起責任?如果不幸的需要進入司法程序,相關資安權責上,就難以釐清跟說明了。

筆者認為,由國家帶頭推動資訊安全通報的過程,還有很多問題需要克服,但其立意是良善的。事實上,只要如果通報機制夠完整,某些突發狀況時,還是可以藉由整個資安社群共同努力來找出應對方法,就如同Mirai病毒事件一樣,即使很多企業不見得能一時提出反擊的手段,然而充分有效應用外援,就是打贏戰爭的關鍵。

最後做個結論,當攻擊的一方一戰成功,很容易被勝利給沖昏頭,即使有短暫的縮手,馬上又會展開攻勢。如果防守方就得透過通報機制,利用專家的援助,予以反擊,相對的就能縮短及減低災害了。巧妙的利用社群,能減低所負出的勞力成本,發生災難時,也更能從容面對危機。


上一篇
資安戰爭 三十六計之第3計:借刀殺人
下一篇
資安戰爭 三十六計之第5計:趁火打劫
系列文
資安戰爭 三十六計36

尚未有邦友留言

立即登入留言