- Advertisement -
首頁 標籤 資訊安全

資訊安全

- Advertisment -

導入犯罪學理論 TTC惡意軟體偵測系統獲矚目

財團法人電信技術中心(TTC)於2020年開發完成可抗混淆技術的Android惡意程式風險評分系統Quark-Engine,獲得美國知名駭客研討會DEFCON 28 Blue Team Village肯定,同時入選HITB Lockdown 002 、EuroPython 2020等國際研討會,在國際間表現亮眼。TTC研發團隊歷經一年的深度技術研究,初登場成果即亮眼國際,研發團隊受邀在這三場研討會發表成果,向國際與會者展現台灣的資安研發能量。 以Quark系統針對Android惡意軟體進行偵測(資料來源:TTC) DEFCON作為享譽全球最大的駭客研討會之一,來自世界各地的資安專家、研究員及駭客等每年都會出席這場盛會。TTC作為政府資通訊政策及技術智庫,提供資通訊產品檢測驗證、顧問諮詢及相關平台營運管理服務,為因應數位時代的安全防護,資通訊安全的相關研發也是TTC近幾年重要目標。TTC執行長范俊逸說,數位程度越高,資通訊安全更應該被重視。後匯流時代資訊及設備串流的複雜度增加,風險也相對提高,政府、企業及民眾都需要提高資安的意識。 Quark的開發靈感來自於台灣刑法犯罪行為的階段理論,依照犯罪的各階段判定犯罪的可能程度,例如謀殺罪定義了犯罪的5個階段「確定」、「預謀」、「準備」、「開始」和「實踐」。Quark不僅定義了惡意活動及其階段,還開發了權重和閾值來計算惡意程式的威脅級別,以此判定惡意程式的風險程度為高風險、中度風險,或低風險,並提供各個惡意行為的相關證據。 隨著新技術不斷演進,惡意軟體也越來越狡猾,使利用逆向工程來識別、追蹤惡意軟體的工作遇到更多困難。其中,程式碼混淆是惡意程式開發者最常用的技術之一。在本系統中,TTC團隊研發了一個Dalvik Bytecode載入器,該載入器完美搭配Android惡意行為的階段理論,且能夠忽略程式碼混淆技術。另外值得一提的是,Quark採取開源模式,在GitHub上開放原始碼,使更多使用者能夠貢獻及提出評論,希望能開發出更貼近市場需求的程式。 目前TTC仍在評估是否要針對Quark進行技術轉移,但TTC將會持續精進資安領域的研究,以鏈結政府及產業的中立第三方角色,繼續提供資通訊產業更專業、更前瞻的服務,為政府、企業及民眾創造更安全的資通訊環境。  
0

物聯網時代資安第一 5G AIoT防護網大張旗鼓

數據驅動一切的未來即將到來,無所不在的資料就像生命要素的空氣一般。如何保護這些珍貴的數據資產不致外流、濫用甚至被惡意竄改,新鮮的空氣使人舒服、心曠神怡,增進身體健康;受到汙染的空氣令人不舒服、不安,嚴重更會危害身體健康,資安危害就像空氣受汙染,嚴重可能形成「國安問題」。 5G AIoT聯網全面擴展 資安威脅如影隨形 進入Internet of Everything的時代,聯網裝置數量急速成長,資策會智慧系統研究所所長馮明惠(圖1)提到,目前每個人身上可能有2~3個聯網裝置,幾年後可能成長到10~20個,所以從IT延伸過來的資安問題在OT領域也日益嚴重與突顯。2019年是全球5G元年,帶動許多新應用發展,尤其是垂直產業的行動網路應用,而要深入了解垂直產業的領域知識與需求,須透過跨領域的合作,其中資訊安全就是所有人都需要共同面對與因應的課題。 圖1   資策會智慧系統研究所所長馮明惠提到,5G垂直產業應用發展需要跨領域合作。 2020~2030年5G與IoT時代來臨,人們日常生活接觸到的許多裝置都將陸續導入聯網功能,台灣資通產業標準協會秘書長周勝鄰(圖2)以車輛為例,過去僅止於電腦的資安危害若是延伸到汽車,造成的危害嚴重性不言可喻,因此,資訊安全已從需要變成必要,資通產業標準協會發展已經投入如IP Camera、智慧路燈等的資安標準制定,希望可以為5G、物聯網的資訊安全發展盡一份心力。 圖2   台灣資通產業標準協會秘書長周勝鄰指出,物聯網時代,資訊安全已從需要變成必要。 5G資訊安全防護  建立安全框架不可免 5G是未來10年最重要的產業發展趨勢,也將帶動網路應用質與量的全面成長,台灣思科系統大中華區數據中心事業部首席技術顧問錢小山(圖3)表示,質的部分就是網路流量的成長,量的部分就是聯網裝置數量的爆發。根據統計,2022年行動用戶將成長到57億,聯網裝置總數達123億個,平均聯網速度達28.5Mbps,79%的流量來自行動影音,每個消費者每月平均流量達13.3GB。另外,M2M模組將占全球設備和連接總數的51%,達146億個,並占全球IP總流量的6%,約25.3EB,但阻斷服務攻擊(DDoS)攻擊規模與流量也將持續增加。 圖3   台灣思科系統首席技術顧問錢小山表示,5G將帶動網路應用質與量的全面成長。 面對5G時代的的聯網進展,整體網路規模將較過去倍數擴大,可能產生更多安全漏洞,因此5G標準在制定時也針對資訊安全訂出相關規範,電信技術中心副執行長林炫佑(圖4)指出,在標準層面,3GPP已經制定多項安全架構,包括:統一可擴展認證協議(Extensible Authentication Protocol, EAP)框架、改善漫遊狀況下的安全風險、強化用戶隱私、提供用戶訊息完整性保護、網路互聯安全性等。另外網路維運層面的安全與垂直應用安全也是重點,其中又以垂直應用安全的複雜與困難度最高。 圖4   電信技術中心副執行長林炫佑認為,資安事件不可避免,應該針對資安危害建立應變機制。 有鑒於網路資安很難做到百分之百,駭客永遠都在找尋新的漏洞,因此資安防護是一個永續的工作,林炫佑認為,既然資安事件不可避免,除了積極的防範之外,也應該針對資安危害建立應變機制,例如在識別接取安全管理與合規行為稽核管理階段應設立異常判斷準則;而在網路運作安全管理階段則建立偵測與隔離機制;在端點威脅偵測階段,應快速應變威脅。 面對5G垂直應用的資安威脅,林炫佑建議,透過下列四個步驟建立安全框架,威脅建模(Threat Modeling)、漏洞檢測(Vulnerability Testing)、滲透測試(Penetration Testing)、影響分析(Impact Analysis)。錢小山也表示,Manufacturer Usage Description(MUD)可以協助物聯網安全保護,確保區域內的網路訊務留在本地,協助網路營運商各自讓網路更健全,以形成良性循環讓網路運作順利。 硬體資安防護 確保系統穩定性 在5G時代被寄予厚望的專業垂直領域應用,就產業本身而言,當然希望透過聯網技術來提升產業效率,但是網路安全的挑戰又讓產業充滿疑慮,發生於2018年的台積電駭客事件震驚全球科技業,SEMI資安標準工作小組共同主席卓傳育(圖5)說,半導體製造業在此一事件的影響下,對於資安挑戰更高度關注,畢竟半導體設備一直以來以產能為優先,生產機台由於成本動輒數十億甚至上百億元,生命週期長達10~30年,通常作業系統老舊,安全防護薄弱;要透過停機進行全面性的安全更新有難度,況且進行更新也需要進行測試與驗證,可能徒增設備的不穩定性。 圖5   SEMI資安標準工作小組共同主席卓傳育說,半導體業希望透過制定產業標準,降低資訊安全危害。 對於半導體製造資訊安全的威脅與挑戰,半導體產業協會SEMI與國內業者積極合作,希望可以制定產業化標準,降低資訊安全危害,卓傳育進一步說明,半導體設備的作業系統EOS不僅是版本的選擇,周邊控制界面對最新作業系統的資源,可能才是標準落地最主要的限制;而端點及網路防護機制將顯著增加設備成本,採用解決方案等級與量化防護機制有效性將是標準可否驗證的主要挑戰。早期防護機制的建立,可以有效降低危害發生機率,透過多層次的防護,可以最小化潛在受攻擊面。 面對無形、無所不在的網路攻擊,硬體晶片供應商英飛凌(Infineon)與意法半導體(ST)專長都是透過硬體強化安全性。硬體面對網路攻擊,在某些層面的防護上更加有效,英飛凌科技數位安全解決方案事業處經理江國揚說明,隨著許多物聯網裝置被放置在暴露的網路環境中,保持裝置本身安全更為重要,即便在可信賴執行環境(Trusted Execution Environment, TEE),物聯網的攻擊還是層出不窮,晶片硬體防護相對可靠並可提供晶片主動防護、記憶體內部加密、資料獨立加密執行、隨機數學運算、內部狀態一致性檢查、電壓篡改/隔離電源軌、內部時脈產生、安全測試方法、沒有除錯探針點與測試墊等安全功能。 因應IoT安全需求,在進行各項資料傳輸與交換的過程中,採用認證金鑰確保過程的安全是常見的作法,意法半導體技術行銷經理閻欣怡(圖6)說,在身分認證時常採用非對稱式加密(Asymmetric Cryptography),而應用在資料傳輸時,則採用對稱式加密(Symmetric...
0

2020高科技產業榮枯 唯「5G」是問

資策會產業情報研究所(MIC)展望2020年高科技產業整體發展,並預測總體環境趨勢與產業佈局轉變,同時聚焦新興技術與創新應用發展。觀測整體,全球經濟緩步回升然而幅度有限,市場朝向破碎化發展,彈性的供應體系逐漸成形,短鏈與分散化供應鏈時代提前來臨。針對新興技術與創新應用,iABCDEF重點技術疊代加速彼此發展。其中,5G在網路通訊與資訊電子領域發揮強大的影響力,扮演科技產業帶動火車頭的角色。 5G在網路通訊與資訊電子領域發揮強大的影響力,扮演科技產業帶動火車頭的角色。 針對新興技術,資策會MIC表示,2020年重點技術的高度疊代發展與互相推升發展速度是觀測重點,所謂iABCDEF包含物聯網(IoT)、人工智慧(AI)、大數據(Big Data)、區塊鏈(Block Chain)、雲端(Cloud)、資訊安全(Cyber Security)、邊緣運算(Edge)與5G等,也推動跨國、分散式的智慧製造體系進展。 資策會MIC副所長洪春暉認為,雲端運算架構的轉變值得關注,從過去集中運算模式,加入邊緣運算、霧運算的多層次分工,形成分散式運算架構,打破目前網路頻寬對資料傳輸的限制與資料中心運算力瓶頸,加速IoT與AI相關應用實現。隨著多數國家2020年5G商轉,其高速、大頻寬與多連結特性將使5G應用從手機延伸至各個垂直領域,蒐集傳遞更大量數據,再加速IoT、AI、大數據等技術的發展速度。 而在網路通訊領域,資策會MIC提出10大發展預測並就個別趨勢深入分析,主要包含5G SA布建,5G新收費模式、智慧型手機迎接換機潮、6GHz頻段關注高、固網與移動融合助攻5G、PON新市場機會、交換器升級、Wifi新規、營運商服務轉型、RCS、網通產業併購潮。主要項目不僅以無線通訊為主,其中由5G或5G帶動的高達8項,2020年5G商業化邁入高峰,資策會MIC資深產業分析師兼研究總監李建勳指出,針對5G的預測越來越樂觀,產業發展圍繞5G為核心。 2020年5G組網將從NSA逐漸升級至5G SA 為實現智慧製造、智慧醫療、智慧交通等下一代創新應用,獨立式(Standalone, SA)5G NR架構將扮演重要角色。從2020年開始,中國大陸三大營運商、南韓主要電信業者SK Telecom、KT與美國Verizon、AT&T、T-Mobile將展開5G SA網路布建。5G手機將開啟4G手機換機潮,驅動智慧型手機市場重回成長,李建勳說,2020年5G手機出貨將達2.6億支,部分較樂觀的機構更喊出上看3億支、2021年達5.4億支,隨著5G零組件規格升級,將帶動半導體、射頻元件、散熱、電路板、被動元件、天線、記憶體產業成長。 另外,目前5G建設面臨諸多難點,而重拾固網與移動融合的網路架構,能協助營運商運用固網資源來打造多元網路傳輸方案、支援網路切片應用,且能減少建設資本支出,共享所有網路資源。資策會MIC指出,隨著IP流量暴增、5G陸續商轉,大頻寬應用需求驅動寬頻網路升級,為光通訊骨幹網路PON提供新市場機會。更助攻網路設備市場規模成長,其中微型資料中心與超大規模資料中心建置將直接促進交換器出貨,主流規格100G滲透率持續提升,而400G交換器產品也已開始向資料中心業者出貨,目前更前瞻的800G以上技術也在研擬中。 xG-PON擴散普及,次世代標準制定中 在資訊電子產業部分,資策會MIC產業顧問楊中傑表示,2020年總體環境須關注中國大陸十四五布局與半導體大基金二期加速投資,逐漸對臺灣半導體次產業形成威脅,另外以及貿易戰帶來臺廠關鍵地位提升的契機。針對產業鏈上中下游動態,有五大趨勢值得關注,包含:5G應用帶動半導體市場與技術需求、串流服務與邊際運算推動微型化雲服務資料中心、彈性化邊緣運算架構、工業數據即服務,與AI技術導入醫療輔助系統。 資策會MIC觀測產業鏈上中下游動態,提出五個關鍵趨勢。第一,產業鏈上游部分,5G應用帶動半導體市場與技術需求,包含:化合物半導體則需求增加、5G天線模組帶動AiP封裝技術(Antenna in Package)發展。因應5G高頻與基地台高功率需求,傳統矽因材料已無法滿足,可預期化合物半導體(Compound Semiconductors)或稱III-V族半導體市場將成長。除此,異質整合提供多晶片整合方案,其中AiP封裝技術成為5G射頻模組主流,整合RF IC與陣列天線等多個電子元件。
0

專訪電信技術中心副執行長林炫佑 系統級檢測方法打造安全物聯網

財團法人電信技術中心副執行長林炫佑指出,國發會正在推動亞洲矽谷計畫,倡導物聯網應用,而強化物聯網的資訊安全,則是其中不可或缺的一環。但物聯網應用種類繁多,涉及的設備型態也十分多樣化,這使得守護物聯網資安的工作變得千頭萬緒,產業鏈的各方都必須承擔一定的責任。系統層級的資安檢測標準,則可協助設備製造商、使用者在實現安全物聯網的過程中,逐步理出頭緒,進而落實對應的防禦機制。 具體來說,要實現系統層級的物聯網安全,資安團隊必須先從威脅模型的建立著手,找出可能危害系統安全的資安威脅型態;第二步則是針對這些資安威脅型態進行系統漏洞偵測,找出防禦脆弱的環節;第三步則是針對這些環節進行滲透測試,確認是否能成功滲透。最後則是對此漏洞可能造成多大的損害進行衝擊評估。這套標準作業流程可用來評估物聯網系統的安全程度,且根據電信技術中心的經驗,目前市面上有很多物聯網設備都是有漏洞的,而且很難修補。 林炫佑分析,這些漏洞之所以難以修補,主要原因有以下幾個:一、系統過於老舊,早已有大量漏洞被發現,但原廠已停止對這些系統提供修補或維護;二、系統在設計時沒有把資安納入考量,當發現漏洞時,修補的代價太高。因此,當企業或組織在採購、招標時,就應該把資安規格寫入招標採購書內,這樣供應商才會在產品開發時,把資安納入設計考量。 財團法人電信技術中心副執行長林炫佑表示,系統層級的資安檢測標準可協助掌握物聯網系統的安全風險。  
0

打造安全物聯網 系統層級檢測方法提對策

對有意導入物聯網應用的企業或組織而言,資安是不容妥協的重點。但若要守護物聯網的資安,光是靠防火牆或防毒軟體這類工具,是不夠的。資安是一個系統層級的問題,因此必須要有系統層級的對策。財團法人電信技術中心(Telecom Technology Center)正與國際大廠及各領域的成員合作,共同制定資安檢測標準,並發展對應的工具跟方法論。而為了鼓勵各界利用,此標準為開放標準,任何組織或企業都可以利用這套檢測標準,來為自家的物聯網應用進行全面性的健康檢查。 財團法人電信技術中心副執行長林炫佑表示,系統層級的資安檢測標準可協助物聯網設備製造、系統整合,甚至是應用服務提供者,掌握物聯網系統的安全風險,進而落實對應的防禦措施。 財團法人電信技術中心副執行長林炫佑指出,國發會正在推動亞洲矽谷計畫,倡導物聯網應用,而強化物聯網的資訊安全,則是其中不可或缺的一環。但物聯網應用種類繁多,涉及的設備型態也十分多樣化,這使得守護物聯網資安的工作變得千頭萬緒,產業鏈的各方都必須承擔一定的責任。系統層級的資安檢測標準,則可協助設備製造商、使用者在實現安全物聯網的過程中,逐步理出頭緒,進而落實對應的防禦機制。 具體來說,要實現系統層級的物聯網安全,資安團隊必須先從威脅模型的建立著手,找出可能危害系統安全的資安威脅型態;第二步則是針對這些資安威脅型態進行系統漏洞偵測,找出防禦脆弱的環節;第三步則是針對這些環節進行滲透測試,確認是否能成功滲透。最後則是對此漏洞可能造成多大的損害進行衝擊評估。 這套標準作業流程可用來評估物聯網系統的安全程度,且根據電信技術中心的經驗,目前市面上有很多物聯網設備都是有漏洞的,而且很難修補。 林炫佑分析,這些漏洞之所以難以修補,主要原因有以下幾個:一、系統過於老舊,早已有大量漏洞被發現,但原廠已停止對這些系統提供修補或維護;二、系統在設計時沒有把資安納入考量,當發現漏洞時,修補的代價太高。因此,當企業或組織在採購、招標時,就應該把資安規格寫入招標採購書內,這樣供應商才會在產品開發時,把資安納入設計考量。 簡言之,要實現物聯網安全,使用者、系統整合商、設備供應商,乃至更上游的晶片業者,每個成員都有自己的守備區,只有當整個生態系統中的各方都扮演好自己在資安上該扮演的角色,物聯網系統的安全才能得到保障。 目前電信技術中心所提出的檢測標準跟分析工具,已經獲得超過30家設備商、系統整合商和地方政府採用,而為了進一步吸引更多廠商採納此標準,電信技術中心採取開放策略,將相關文件、資料放在網路上供有興趣的使用者參考。電信技術中心也會根據使用者的回饋意見,持續進行標準更新,讓此一標準跟相關工具不斷與時俱進。
0

OT人效率擺第一 資安危機應對心態要調整

不管是那一種機台設備,即便是單價動輒數千萬、甚至上億元新台幣的半導體製程設備,裡面用的軟體往往都還是非常老舊。這是因為機台設備所搭載的軟體,都是以穩定、高效率執行為最高原則,但面對日新月異的駭客攻擊手法,以及層出不窮的惡意軟體威脅,這種穩定、效率至上的OT思維,正面臨嚴重考驗。 對各種工業機台的使用者跟設備製造商而言,如果機台搭載的軟體經常更新,軟體工程團隊未必有足夠時間將其調整到最佳狀態。另一方面,機台作業系統(OS)的更新,更是個浩大工程,不僅OS本身的穩定性需要重新驗證,在OS上執行的各種舊軟體,還有可能出現相容性問題,需要一個個仔細檢視。 這使得目前製造業所使用的機台設備,不管是採用Linux或微軟(Microsoft)的Windows OS,往往都是很多年前的舊版本。以半導體設備為例,據台積電提供的統計數據顯示,目前在各大晶圓廠裡所使用的設備,大多仍使用Windows XP,即便是新採購進來的機台,搭載的也還是Windows XP。眾所周知,微軟早在很多年前就已經停止更新Windows XP,即便是接續Windows XP的Windows 7,也將在2020年1月停止支援。換不掉的Windows XP,使得半導體設備暴露在極高的資安風險中。 事實上,半導體產業只是整個工業設備的縮影,其他設備所使用的軟體也都有類似問題。如CNC工具機、機器手臂的控制器,到石化、鋼鐵業的連續製程系統,裡面所使用的軟體普遍都很老舊。 面對這個問題,微軟現場網路安全技術長Diana Kelley表示,設備產業跟製造業者都必須在心態上徹底調整。對於IT領域的資訊安全人員來說,永遠假設系統已經被攻破,是很基本的心態。換言之,IT領域的資安人,最優先思考的,其實是應變劇本跟損害管控,然後才開始倒推回去,找出系統可能存在的弱點,並予以補強。 針對OT設備的資安風險問題,微軟現場網路安全技術長Diana Kelley認為,建立快速回應能力往往是最被忽視的環節。 但OT領域的資訊人員普遍還沒有這種觀念,因為OT有自己的獨立網路跟層層防火牆保護,所以OT的資訊人員危機意識其實還不太夠。Kelley在拜訪客戶的過程中,就曾發現有客戶的OT伺服器裡面被安裝了電玩遊戲軟體。這顯示OT的資訊人員,對於資安的風險意識還是非常薄弱的。 就微軟的角度來看,在解決老舊軟體、作業系統的安全問題之前,OT領域的資訊人員應該要先加強危機意識,之後再來探討該如何用新技術來修補問題。有很多新的資安技術可以應用在OT設備上,例如導入白名單機制,嚴格限制機台上可以安裝的應用軟體種類,並且對應用軟體的執行狀況進行嚴密監管,確保應用軟體無法執行它不該進行的操作。 此外,如果狀況許可,導入雲端其實也有助於提高OT設備的安全性。這個說法看似跟資安常識背道而馳,但事實上雲端業者對資安技術的掌握度跟風險意識,往往比很多製造業者來得高,反應速度也更快。以微軟的Azure雲端服務來說,當某個用戶的應用系統感染到病毒或惡意軟體,只要一被偵測到,馬上就會被隔離,因此災情很難進一步擴大到其他使用者身上。 總結來說,不管是IT還是OT,面對資安風險的因應之道,都是保護、偵測與反應這三個環節。但反應的重要性常常被輕忽,因為一般提到資安,都是在談保護跟偵測,然而,在資安事件發生時,能否迅速反應,將決定其受害的輕重程度。
0

工業資安保衛戰 IT/OT各司其職

資訊安全不再只是IT部門的責任,企業應由上而下落實資安防護,發展智慧資安。若能有成熟的資安事件應變能力、資安人才團隊,並結合AI邁向智慧資安,企業將能夠更穩健地推動數位轉型,保護數位資產。 IBM全球安全營運中心副合夥人黃勵孟表示,資安是企業裡每一個人的責任,除了IT部門之外,OT部門也不能置身事外。針對工業資安防護,有三項要點,首先應注意的是資安事件管理平台(Security Information Event Management, SIEM)與威脅獵捕(Threat Hunting)能夠相輔相成;另外,OT和IT的資安防護可以在資安監控中心(SOC)裡融合;並應定期增進SOC的能力。 黃勵孟進一步說明,台灣有非常多智慧財(IP)的廠商,因此資安防護也就更顯重要。資安威脅有80%是已知的,然而未知的20%卻能夠造成80%的傷害。威脅獵捕是歷史數據的分析,廠商可以透過這樣的技術,看出哪些行為是異常的,藉此增進SOC的能力。威脅獵捕讓SOC具備主動出擊的能力,在獵捕後可以進行分析,之後再分享給企業的其他團隊進行反應與處理。但要注意的是,威脅獵捕並不能取代SIEM功能,SIEM是即時的反應回饋,而威脅獵捕則是收集大數據的歷史數據進行分析與追蹤(如圖)。 (圖片來源:IBM) 黃勵孟指出,資安威脅是瞬息萬變的,必須與時俱進。不能依賴單一產品處理資安危機,應有健全的系統,才能防堵惡意威脅。除了IT部門,OT部門也要納入資安防護體系之中。IT和OT部門最大的差異在於其文化,IT通常十分動態,習慣不斷變化的工作環境,OT則相對安定,OT部門的設備年齡可能動輒十年,就算有使用補丁也不會想要大幅度的變動。然而既有的系統未更新、未加密、使用許多第三方廠商的產品等都是資安漏洞可能的藏身之處。 針對OT部門的資安保護黃勵孟說明,Ot和IT的資安管理是不同的,OT部門可能正在使用舊的設備與協定,須要關注的是設備的輸出,有輸出的地方就會有漏洞,因此就須要進行檢測。OT部門應注重資產的發現(Asset Discovery)、協定的識別/違反(Protocol Identification/Violation)和參數的分析/偏差(Parameter Profiling/Deviation)。資訊安全管理是一條漫長的路,因此必須擬定一個長期的計畫,釐清手上擁有的資源並善加利用。
0

解決智慧製造資安隱憂 統一標準防守更全面

隨著5G等科技發展,資訊自動攻防技術戰略重要性提升,資訊戰先行將是未來戰爭新形態,因此,資訊安全攻防將是公私立機構在資訊安全管理的優先部署重點。而5G、AI大數據更是使智慧製造得以逐步實現,隨著資訊應用日益多元,資安問題也隨之潛入工業製造的各個角落,因此半導體資訊安全標準的重要性已經不可輕忽。 SEMI國際半導體產業協會組長張啟煌表示,半導體產業協會正致力於設立台灣第一個半導體設備資訊安全標準。由於半導體設備生命週期很長,所以會存在許多過時的資訊系統,資安問題因而產生。另外,在高科技產業中,大數據與智慧製造的資訊應用越來越多元,然而在整合的過程中,也增加了資訊安全的風險。加上不同廠商產出的半導體設備,遵循的標準與資安考量都有所不足,因應此問題,制定統一的資安標準刻不容緩。 張啟煌指出,一個工廠裡面可能同時存有幾十個作業系統,非常多廠商還在使用終止支援(End of Support, EOS)的作業系統。儘管半導體設備價格少則幾千萬,貴則可以上至幾億,可是大家卻是注重於IT技術的研發,而時常忽略了資安問題,這其實是很嚴重的。太多先進的應用正促進智慧製造的發生,同時也帶來了更高的資訊安全風險。 張啟煌呼籲,要談智慧製造、製造效能之前,應該先討論資安。廠商究竟該如何因應資安風險,首先必須遵守相關標準使用合時宜的作業系統,否則機台種類過多,有些不能補丁,有些就算可以補丁也十分麻煩,將會難以管理。另外,廠商也應該注意工廠內網的問題,因為只要有電腦就有中毒的風險,因此資訊安全的標準也應該涵蓋到內網的保護。最後,預防勝於治療,供應鍊安全是首要之務,要求生產機台的廠商在設備出廠時,就內建安全設定功能,將會比事後增加防護功能更有效率。 智慧製造也帶來了資安風險,盡快確立半導體資安標準十分重要。  
0

半導體資安受重視 台廠催生半導體資安標準

半導體產業內有許多標準都是在國際半導體產業協會(SEMI)的平台下形成,針對晶圓廠與晶圓設備的資訊安全標準也會循此途徑。SEMI會務拓展及會員服務總監李敏華(圖1)表示,SEMI作為連結產業的平台,對產業內需要群策群力才能解決的共同問題,一直抱持著積極推動的心態。 圖1 SEMI會務拓展及會員服務總監李敏華表示,台灣廠商將在半導體設備/整廠資安的國際標準制定上,扮演領導者角色。 台廠主導半導體設備安全標準 針對資訊安全議題,目前SEMI已經成立晶圓廠及設備資訊安全任務小組(Fab& Equipment Information Security Task Force),並由台積電、日月光等台灣半導體製造相關大廠帶頭,希望制定出全球通用的晶圓廠/半導體設備資訊安全標準。也因為半導體設備業者的重量級客戶都在台灣,因此這個由台系大廠主導的資訊安全標準,廣泛受到日本及北美SEMI會員的密切關注,因為設備業者都希望能在第一時間知道客戶對資安的要求,才能快速配合。 SEMI Taiwan接下來也會邀請相關主導廠商舉辦講座,跟半導體業內的其他業者分享其資安實務做法跟經驗,讓整個半導體產業鏈的成員都知道領導大廠的想法跟做法,進而提升半導體產業的資安水準。 資安問題無從迴避 不管是前段晶圓製造或後段封裝測試業者,為了提升自家的競爭力,都在朝智慧製造的方向發展。不管是在產線上安裝大量感測節點,蒐集各種機台參數,或是實現製程參數的中央控管,都必須倚靠工業物聯網(IIoT)這項基礎建設。 另一方面,不管是前段廠或後段廠,都在人工智慧(AI)、機器學習(ML)上布署重兵,希望藉由機器系統自動分析源源不絕的資料流,並從中找到關鍵資訊來改善自家企業的日常運作。一般來說,半導體生產線上的機台狀態可以分成Queue Time、Hold Time與Run Time三種狀態對半導體製造業者而言,Queue Time跟Hold Time當然要越短越好,這樣產線稼動率才能提升。也因如此,智慧排程、預兆診斷或預防性維護等基於人工智慧或機器學習的應用功能,吸引眾多半導體廠投入研發。 正因為IIoT跟機器學習的導入,是未來半導體產業必然要走的路,因此隨之而來的資安問題,是半導體業者無從迴避的挑戰,不能一邊享受這些新技術所帶來的效益,卻忽視其所帶來的隱患而不予以解決。不過,就如同其他垂直產業在推動智慧製造時,最大的問題不在新產線、新機台,而是既有產線的升級與更新,半導體產業要解決資安問題,最大的痛苦點也在既有機台上。即便是發展步調極快的半導體產業,產線上也仍存在少部分已經使用十多年的舊機台,要針對這類舊機台進行安全更新,是最棘手的挑戰。比較上位的工業電腦,都存在微軟(Microsoft)已終止Windows XP更新支援所帶來的問題,要對更下位、直接控制機台內部運作的可編程邏輯控制器(PLC)進行安全更新,問題只會更複雜。PLC本來就是相對封閉的控制系統,懂得撰寫PLC程式的工程師是相對少數,而且PLC的程式非常重視穩定度,因此只要一撰寫完成,上線使用確認能穩定運作之後,使用者通常是能不更新就不更新。 興利/除弊兩路並行 半導體產業經驗足為借鏡 智慧製造是每個製造業都必須面對的轉型課題,半導體產業身為目前全世界最接近工業4.0的產業,其發展路徑有許多地方可以讓其他領域的製造業參考。舉例來說,機台聯網對半導體設備來說,早已不是問題,某些進度比較快的大廠,不僅生產參數/配方都已經藉由機台聯網實現中央控管,甚至連機台上下料都已經毋須作業員協助,直接用無人搬運車加上機器手臂代勞,進而使得關燈工廠得以實現。 但半導體產業的智慧製造走得雖快,遇到的問題自然也是前所未有的。資訊安全是工業物聯網概念還在發酵階段,就已經有許多人提出警告的議題,但提出警告跟如何解決問題,畢竟是不同層面的事情。半導體身為最早遇到工業物聯網資安問題的產業,決定用群策群力的方式,將使用者、軟體業者、系統整合者和設備供應商團結起來,以制定產業標準的方式來解決問題。可以預料的是,這種做法未來應該會擴散到其他產業。
0

從晶片、系統到雲端全面備戰 物聯網資安危機/商機並呈

低功耗廣域聯網技術(LPWA)與AIoT風潮,驅動物聯網應用商機加速起飛,但也敲響聯網裝置與應用服務的安全警鐘,如何轉危為安成了所有生態圈業者的必修課題。 有鑑於此,新電子科技雜誌、新通訊元件雜誌及網管人雜誌首度攜手合作,於2018年12月中旬共同舉辦專門探討物聯網安全技術與防禦對策的科技盛會--「眺望2019 物聯網安全高峰論壇」,並邀請到長期投入物聯網技術研發的資策會智慧系統研究所,以及致力推動台灣產業標準走向國際化的台灣資通產業標準協會(TAICS)共同協辦;此外,趨勢科技、Micro Focus、恩智浦(NXP)半導體、優力國際安全認證(UL)、Aruba、Citrix、銓安智慧科技(IKV),以及合勤科技等業界專家,也與會分享最新資安技術與防護對策,吸引近三百位產業人士到場參加。 物聯網安全更受重視 有挑戰也有機會 資策會智慧系統研究所所長馮明惠(圖1)在致詞時表示,隨著資通訊科技的普及,萬物聯網的時代已然來臨,人們所使用的聯網裝置已愈來愈多,包括電腦、手機,甚至眼鏡、衣服、鞋子等穿戴物品未來都會聯網,而這些又將形成新的資通訊基礎建設,進而帶動新的服務、市場與商機。市場研究單位預估,到2021年全球的聯網裝置將達到數十億,甚至數兆規模,相當可觀。而當聯網裝置愈來愈多,安全議題就必須更加重視;另一方面,透過新的資通訊基礎建設,也可以帶動新的安全或安控的服務。 圖1 資策會智慧系統研究所所長馮明惠表示,萬物聯網時代到來,使得各種聯網裝置的安全性愈來愈受到重視。 馮明惠進一步指出,資策會智慧系統研究所在經濟部技術處的支持下,近兩年積極投入窄頻物聯網(NB-IoT)技術的研究與發展,這是一種介於4G與5G之間的電信等級物聯網技術,具有低功耗、長距離、覆蓋廣、可靠度高等優勢特性,而該單位在發展這項技術的同時,也很重視在此技術之上的安全問題,希望能協助產業界將物聯網的基礎建設架構起來,引領、帶動萬物聯網的商機與市場。 事實上,隨著各種消費性與商用物聯網產品服務不斷推出,駭客攻擊事件也愈來愈猖獗,對於相關業者而言,維護物聯網安全已成為迫切的要務。台灣資通產業標準協會技術管理委員會召集人陳逸萍(圖2)指出,各種資安意外的新聞陸續出現,各大企業在資安防護上的預算也將逐漸提高,預計到2021年,全球企業在資訊安全防護上的投資將比2017年增長28%。 圖2 TAICS技術管理委員會召集人陳逸萍指出,隨著各種資安意外的新聞陸續出現,各大企業在資安防護上的預算也將逐漸提高。 陳逸萍也提到,物聯網架構分為感知層、平台層與網路層,涉及範圍相當廣泛,因此資訊安全也將會是涉及晶片、系統與應用,到雲端,每一個環節都必須考量到,資安防護必須整個生態系的廠商共同維護,因而衍生出的商機也將相當龐大。 掌握資安漏洞/攻擊手法 避免因小失大 物聯網話題正熱,如今任何設備都標榜可以連上網路。Aruba(HPE子公司)資深技術經理王傑鋒表示,當今無論是智慧家庭、智慧辦公室的應用中,都在驅動著我們的環境導入越來越多的聯網攝影機、感測器,而所有聯網的設備也都將成為資安的威脅所在,任何聯網設備都可能成為駭客入侵的目標。 Citrix技術顧問張晉瑞指出,多年前就有資安專家提出,每個連網裝置平均約有25個漏洞,最大問題是傳輸未加密保存、不安全的操作介面、身份認證機制不夠嚴謹,才被駭客組織利用成為跳板,進而感染更高商業價值利益的系統。 此外,2018年5月,歐盟的GDPR法規上路亦是推升物聯網資安熱度的重要大事。以台灣業者來看,只要有處理到或保存歐盟居民的個資便須要符合GDPR的規定;否則公司將受到全球營業額2%~4%不等的罰款。 在此趨勢之下,恩智浦(NXP)半導體市場行銷經理蘇士維認為,物聯網應用產品的數據資料必須達到完整性、真實性、可用性以及保密性等四項要求,才能確保資訊安全。 趨勢科技先進應用市場開發部資深經理鄭朱弘毅則透露,趨勢科技目前已投入自駕車、智慧家庭與工業4.0等三大物聯網應用領域。其中,工業物聯網應用領域跨界資訊科技(IT)與營運科技(OT),所以其中的資安部署更顯重要;在該應用領域中,分層式的資安部署依然是目前的主流趨勢。 資策會智慧系統研究所正工程師林奕廷指出,不同的物聯網場域會使用到不同的安全技術,以NB-IoT為例,在該技術的資料傳輸程序中,各有不同的風險,因此必須符合不同的安全機制,必須根據該技術的資料傳輸步驟一一拆解並符合標準,才能確保物聯網終端產品資料傳輸的安全。 至於駭客攻擊的方式有許多種,詮安智慧科技(IKV)總經理鄭嘉信分析,在眾多攻擊方式之中,最有效的大量攻擊方式就是實體攻擊。也就是透過設備的訊號、實體的晶片取得資訊。在硬體設備之中,處理器、非揮發性記憶體都是容易受到攻擊的元件。也正因如此,透過純軟體的方式其實並不能夠保護所有的資訊安全,也必須同時透過硬體的形式來加強保護。 合勤科技(Zyxel)台灣暨香港區營運總部資深經理薄榮鋼則提到,由企業內部的IT與OT架構來看,皆存在著不少網路資安弱點。在IT層面,可能有邊界弱點攻擊;在OT層面,則包含了偽造登入身分、遠端登入攻擊與實體登入攻擊。要如何貫穿IT與OT,並把相關的資安概念落實到應用方案中是最大的考驗。他強調,欲對抗現代已知或未知型惡意程式,甚至是針對性的攻擊活動,打造零信任網路已是全球發展趨勢。 從研發到上市 安全性檢測/認證不容輕忽 Micro Focus企業資訊安全資深技術顧問李柏厚指出,很多人認為維護物聯網安全就如同在建置網路設備一般,必須不斷加裝各種安全設備;結果在採購多樣設備之後發現資安問題還是發生了。因此,重點應該在於必須回頭去看各項產品的安全性檢測是否完善。如果有一個資訊安全標準驗證可以遵循,便不需要在設備採購上耗費多餘的心力。 優力國際安全認證(UL)身分識別管理安全部業務發展經理薛正分享,物聯網設備安全與終端消費者的安全有很大的關係,其中最受到關注的設備為智慧音箱、IP Cam以及智慧手表。物聯網設備所涉及到的層面也相當廣泛,更會由於駭客攻擊的手法每天都在進步,因此設備的弱點將一直不斷被發掘出來,也許這個月通過了相關的安全規範,下個月便已不再適用。這是物聯網安規與傳統安規認證之間最大的差異。 總結來說,物聯網已成了各行各業當前重要的發展主軸,其引發的資安危機已使各界高度關注,唯有深入掌握各種駭客手法與防禦技術,才能克服相關挑戰,創造最大獲利契機。
0
- Advertisement -
- Advertisement -

最新文章

- Advertisement -

熱門文章

- Advertisement -

編輯推薦

- Advertisement -