Microsoft PowerPoint - 02_ .ppt

Size: px

Start display at page:

Download "Microsoft PowerPoint - 02_ .ppt"

饮祁
5 years ago
Views:

1 社交工程及防護林佳明講師 SCJP MCP 1

2 課程大綱第一章導論 - 全世界都在下的一場雨第二章電子郵件社交工程第三章電子郵件社交工程之防護第四章結論 2

3 第一章導論 - 全世界都在下的一場雨 1-1 Titan Rain- 有組織性的駭客團體 1-2 Titan Rain 是如何進行攻擊的 3

4 1-1 Titan Rain- 有組織性的駭客團體 4

5 何謂 Titan Rain 早在 2003 年美國發現有一有組織性的團體會大規模攻擊並入侵美國的各政府部門, 目的都是在竊取敏感或機密的情報因此, 美國的調查人員就給了這個有組織性的團體所造成的秘密竊取情報資訊安全事件取了一個行動代號 : Titan Rain 從美國所釋放的訊息, 可以發現網路上真的存在有組織性的駭客團體在刺探以及收集國安資訊 5

6 雨中的英國英國的 NISCC(National Infrastructure Security Co-ordination Centre, 國家基礎設施安全協調中心 ) 在 2005 年表示, 英國也遭受了東亞國家的網路情蒐攻擊報告指出有一系列含有惡意程式的電子郵件以英國政府部門以及企業為目標進行攻擊, 入侵者會竊取任何有價值的資訊 6

7 2004 年 4 月雨中的台灣電腦駭客假冒某政府體系的技術服務中心, 散發電子郵件通知各單位掃瞄清除後門程式, 卻趁機利用微軟公司 Office 套裝軟體安全弱點, 企圖入侵各單位電腦系統 7

8 2005 年 9 月報導雨中的台灣某國家級安全單位電腦系統傳出遭到不明人士發送電子郵件方式入侵, 意圖竊取政府內部資訊, 經防火牆攔截後, 發現不法來源是以自由軍購為名, 鎖定政府高層的秘書為寄發對象, 一旦開信就會被植入後門程式, 電腦中的所有檔案將被一覽無遺 8

9 2006 年 3 月報導雨中的台灣某政府單位最近被冒名, 以電子郵件密集發送新聞稿給記者, 引起政府高度重視, 除了全面澄清之外, 資訊單位已積極進行追查據官員表示, 駭客動機可疑, 不排除是要伺機發佈假消息, 擾亂社會秩序 ; 也可能是要在官員及特定記者的電腦內植入木馬程式進行監控 9

10 1-2 Titan Rain 是如何進行攻擊的 10

11 被入侵原因從各國報導來看, 這一波的 Titan Rain 已經從 2003 年的外部主機弱點掃描方式變成了搭配社交工程, 針對內部使用者疏失的攻擊了被入侵的原因是許多使用者收到要求開啟附件的電子郵件, 一旦開啟了這些附件檔案, 就有很高的機率會自動安裝木馬程式從最近台灣的報導也不難發現, 駭客已經開始冒充各式各樣的人士來寄發含有惡意程式的電子郵件了 11

12 Titan Rain 防護觀念全世界都面對 Titan Rain 的攻擊, 人人皆無可避企業不能再用以前的資安思維預防駭客入侵來面對駭客的挑戰, 應該用及早發現的思維來規劃整個資訊安全的架構將以前的系統防護網路防護作為更改為使用者防護, 針對使用者的使用習慣安全做教育訓練全世界都在遭受 Titan Rain 大雨的入侵, 你發現了沒有呢? 12

13 第二章電子郵件社交工程 2-1 邪惡的電子郵件 2-2 電子郵件的社交工程類型 13

14 2-1 邪惡的電子郵件 14

15 Why 電子郵件? 舊式網路架構與攻擊 I 舊式的企業網路將伺服器以及使用者直接連接上網際網路駭客可以直接使用作業系統或者伺服器服務的弱點來入侵電腦主機進而取得機密資料 15

16 Why 電子郵件? 舊式網路架構與攻擊 II 舊式的企業允許伺服器可以往內部網路連線駭客可以透過入侵伺服器系統當成跳板, 來入侵內部網路使用者的電腦主機進而取得機密資料 16

17 Why 電子郵件? 現在的網路網路架構為了避免駭客入侵使用者的主機現在的企業都會使用防火牆禁止伺服器主動連線到使用者的電腦或者使用獨立的線路給使用者使用因此駭客無法直接的攻擊使用者的電腦 17

18 現在的攻擊行為 Why 電子郵件? 駭客透過使用者的網路使用行為 - 收取電子郵件來進行攻擊駭客使用的方法是發送電子郵件給握有機密資料的使用者, 請收件人員確認附件裡所提到的問題, 或在攻擊對象的網站上刊登文章, 要求管理人員閱讀這些文章, 進而讓使用者開啟這些附件或超連結, 以便啟動木馬程式 18

19 2-2 電子郵件的社交工程類型 19

20 電子郵件的社交工程類型電子郵件社交工程的攻擊類型假冒寄件者使用讓人感興趣的主旨與內文含有惡意程式的附件利用零時差攻擊 20

21 假冒寄件者駭客會假冒使用者信任的人, 讓使用者相信電子郵件的內容, 進而去開啟這些附件或超連結, 並暗中啟動木馬程式 21

22 假冒寄件者方式顯示名稱假冒電子郵件帳號假冒完全假冒電子簽章假冒 22

23 假冒寄件者方式 - 顯示名稱假冒王小英真正的帳號應該是 wang@gov.tw 電子郵件地址根本是錯的 23

24 假冒寄件者方式 - 電子郵件帳號假冒用數字的零來假冒成英文的 O wang@gov.tw vs wang@g0v.tw wang@g0v.tw 24

25 假冒寄件者方式 - 完全假冒使用電子郵件協定的弱點, 完全假冒寄件者的名稱以及電子郵件位址 ; 甚至透過入侵寄件者的電腦來寄發電子郵件 1. 入侵要假冒者的電腦駭客 3. 寄發含有惡意程式的電子郵件寄件者的電腦 2. 透過被入侵的電腦寄發電子郵件 1. 使用假造的電子郵件封包標頭來假冒寄件者收件者 25

26 假冒寄件者方式 - 電子簽章假冒駭客申請一個假的電子簽章, 加在電子郵件裏, 以便欺騙使用者相信該電子郵件的正確性紅色小圓圈的數位簽章標誌只是表示該電子郵件被簽章過, 但並不保證簽章的正確性 26

27 使用讓人感興趣的主旨與內文駭客會使用讓人感興趣的資料消息, 來欺騙使用者去開啟這些附件或超連結, 造成木馬程式開始動作 27

28 使用讓人感興趣的主旨與內文 - 範例駭客會使用收信者有興趣的生活政治工作情色等相關議題的主旨, 來吸引收信者開啟郵件, 例如 : 週休二日的最好去處 319 槍案調查報告 - 內幕版公文號林稚齡爆乳寫真 - 搶先曝光版 28

29 含有惡意程式附件駭客在電子郵件附帶一個含有惡意程式的檔案, 這個檔案不一定是執行檔, 可能是各種類型的應用程式, 甚至是壓縮檔駭客會夾帶任何在應用程式上有弱點的文件檔案類型, 並想辦法誘騙使用者開啟附件, 藉以啟動安裝木馬程式例如 : 含有惡意程式的影片檔 (wmv) 含有惡意程式的 Office 文件 (doc) 含有惡意程式的圖檔 (jpg) 含有惡意程式的壓縮檔 (zip) 29

30 利用零時差攻擊駭客利用尚未被發現的弱點來攻擊使用者, 弱點的對象可能是各種類型的應用程式, 甚至是收信軟體網頁瀏覽器軟體只要使用者開啟了這些含有弱點的程式, 就會啟動木馬程式 30

31 何謂零時差攻擊只要是軟體即有可能存在弱點以微軟為例,2005 年即有 55 筆弱點, 若未能及時修補弱點, 即可能讓駭客入侵成功軟體弱點在沒有任何修補方式之前, 出現相對應的攻擊行為時, 此類攻擊稱為零時差攻擊 (Zeroday Attack) 安全時期危險時期安全時期弱點被發現攻擊程式碼出現修補程式公告 31

32 資安攻擊發生時點無解決的方式, 也不知威脅存在 ( 不可預期的風險 ) 無徹底解決的方式, 但可預做準備 ( 可預期的風險 ) 空窗期 (A) 空窗期 (B) 修補期安全期軟體弱點被發現軟體弱點資訊公佈軟體弱點修補方式釋出進行更新修復軟體弱點弱點資訊公佈, 全球駭客隨時可能發展出攻擊程式 32

33 電子郵件社交工程應用案例 Phishing( 網路釣魚 ) SPAM Mail( 垃圾郵件 ) 33

34 電子郵件社交工程應用案例 - Phishing( 網路釣魚 ) Phishing 網路釣魚一詞最早出現於 1996 年, 起因於駭客始祖們利用電話線犯案, 因而結合 Fishing 與 Phone 創造 Phishing 一詞 Phishing 與英文 fishing 發音相同, 只是將英文字母 F 改為 PH, 兩者意義也差不多 Fishing 是釣魚,Phishing 便有一個很好的中文直譯典故 : 姜太公釣魚, 願者上鉤 34

35 電子郵件社交工程應用案例 Phishing( 續 ) 目前最常見的手法, 是駭客架設幾乎與官方公司一模一樣的網站, 再透過電子郵件告知使用者資料過期無效需要更新, 或者是基於安全理由進行身分驗證等的理由, 騙取個人連線上假冒的網站, 進而取得帳號與密碼 35

36 電子郵件社交工程應用案例 - SPAM Mail SPAM Mail( 垃圾郵件 ) 將一份內容相同的電子郵件, 未經收信人許可, 大量寄給很多人郵件內容多數是與收信人不相干的商業廣告由於短時間內寄發大量郵件, 常常造成系統負擔過重, 導致收信人需花費金錢時間去收這些垃圾郵件 36

37 電子郵件社交工程應用案例 - 垃圾郵件定義只要符合下列 4 點中的任一項, 即定義為垃圾郵件 : 1. 信件主題與內容無關, 且一次傳送給多個收件者的信件 2. 收件者並沒有明確要求接受該信件 3. 短時間內重複或大量傳送至伺服器的同一信件 4. 未經收件者許可即自動寄送而來, 且無法透過常態性管道執行退訂動作的信件 37

38 95 年社交工程演習統計結果一測試對象 :6,630 政府機關,13,575 位資安聯絡人會開啟惡意信件之聯絡人 : 3,239 人, 佔總人數 13,575 人的 23.9%( 去年 25.2%) 會點選惡意信件中連結之聯絡人 : 1,742 人, 佔總人數 13,575 人的 12.8%( 去年 14.4%) 開啟惡意信件次數 : 共 7,767 次, 佔發信數 81,450 封的 9.5%( 去年 8.5%) 點選惡意信件中連結次數 : 共 2,750 次, 佔發信數 81,450 封的 3.4% ( 去年 3.5%) 1449 個單位 (21.9%)( 去年 24.1%) 有聯絡人點選連結, 其中 284 個單位 (4.3%)( 去年 4.6%) 有兩個以上聯絡人點選連結 38

39 95 年社交工程演習統計結果二六種社交工程信件類型有效性分析 : 7.0% 惡意網頁攻擊 ( 八卦主旨 ) 6.0% 惡意網頁攻擊 ( 政治主旨 ) 5.0% 惡意網頁攻擊 ( 情色主旨 ) 4.0% 惡意 word 檔攻擊 ( 八卦主旨 ) 3.0% 惡意 word 檔攻擊 ( 政治主旨 ) 2.0% 惡意圖檔攻擊 ( 情色主旨 ) 1.0% 今年去年 6.5% 5.5% 5.5% 4.9% 4.5% 3.6% 3.5% 2.8% 1.9% 1.0% 0.4% 0.6% 0.0% 成功率 : 點選此類型次數總數 / 此類型所寄發的信件總數 39

40 第三章電子郵件社交工程之防護 3-1 分辨電子郵件的真偽 3-2 保護機密資料 3-3 基本的防護工作 40

41 3-1 分辨電子郵件的真偽 41

42 分辨電子郵件的真偽分析顯示名稱與電子郵件帳號分析郵件主旨與附件分析電子簽章追蹤寄信來源 42

43 分析顯示名稱與電子郵件帳號滑鼠點兩下, 查詢寄件者詳細資料仔細比對顯示的名稱與實際的電子郵件地址是否一致 43

44 分析顯示名稱與電子郵件帳號 ( 續 ) 滑鼠點兩下, 查詢寄件者詳細資料仔細比對寄件者的電子郵件地址是否正確 44

45 分析郵件主旨與附件開啟郵件之前先檢視郵件的原始內容判斷郵件內容, 如果含有 HTML 語法, 則立即刪除郵件可能的語法有 <html> <a href> <br> <div> 等用 <> 所包圍的語法 45

46 分析郵件主旨與附件不開啟任何寄件者沒有事先知會的附件不開啟非公務相關的附件以及郵件不開啟沒有電子簽章的郵件 46

47 分析電子簽章分析電子簽章的真偽點選紅色小圓圈的數位簽章標誌 47

48 分析電子簽章分析電子簽章的真偽檢查數位簽署者欄位的電子郵件是否是正確的寄件者電子郵件地址點選檢視憑證 48

49 分析電子簽章分析電子簽章的真偽 - 檢視寄件者的憑證確認憑證的發行者是合法的 CA 公司, 而不是駭客自己架構的認證伺服器確認憑證認證的主題是正確的寄件者 49

50 追蹤寄信來源根據 RFC 的標準, 一封郵件的訊息由郵件標頭 (Mail Header), 和郵件主體 (Mail Body) 組成紅框部分 : 郵件標頭綠框部分 : 郵件主體 50

51 分析電子郵件郵件標頭郵件標頭包含郵件遞送過程的各種資訊, 例如 : 郵件在網路上經過的所有主機時間標題發信者收件者等資訊, 所以從郵件標頭可以追蹤到發信點, 也可以判斷是否為正確寄件者所寄出的郵件 51

52 郵件標頭 -Received 郵件每經過一台 MTA 主機, 就會多一行 Received: 的欄位, 紀錄該 MTA 的主機名稱 IP 所使用 mail server 的版本該主機收到郵件的日期與時間等訊息越上層的 Received 欄位, 代表越後來的主機所附加的所以要追蹤一封信的路徑, 要從上而下去追蹤發信者的來源位址如果發現該信件是來自中國大陸或其他國家, 就是可疑的郵件 52

53 53

54 郵件標頭 -X-Mailer 所有 X- 開頭的 Mail Header 均為自行定義而非標準的 Header 很多 MUA 軟體慣用 X-Mail 來標示該發信者所使用的軟體名稱以及版本 54

55 追蹤寄信來源由於寄發電子郵件並不需要用帳號密碼來認證, 因此很容易被有心人士偽造發信者濫用, 但被偽造的郵件標頭只有一部分, 大部分重要的資訊還是會暴露出真正發信者的來源位址尤其是廣告信發送者, 經常假造許多發信者來發送大量廣告信, 但是由 Received 的標頭, 即可查出用戶上線的 IP 及使用的帳號,ISP 業者可以停權來規範用戶 55

56 3-2 保護機密資料 56

57 不論使用者使用哪一種防衛機制, 駭客總是能找到一條路徑來入侵, 為了保護我們的資料, 應該進行 : 實體隔離資料加密保護機密資料 57

58 實體隔離定義實體隔離將組織敏感重要的資料存放在無法對外連線到網際網路的特殊機器或區段上例如 : 各國軍方均會各自發展不連接網際網路的軍事網路系統簡單來說就是 : 斷絕網際網路連線 58

59 正確的實體隔離觀念正確的實體隔離觀念確保內部的隔離網路完全沒有網際網路存取能力是很重要的不論是使用哪一種的隔離方式, 都必須定期的做稽核的動作定期的對使用者教育訓練良好的存取控制 59

60 良好的存取控制至實體隔離網段才可將加密資料解密以清空之移動式儲存媒體至實體隔離網段實體隔離網段 Internet 資料在傳輸前應先加密一般上網網段 60

61 資料加密的保護資料加密資料在儲存傳送處理的過程中都應該進行加密, 讓駭客就算取得資料也看不懂加密的方式若是使用密碼的方式, 則應該注意密碼的強度 ( 長度複雜度 ) 加密的方式若是使用硬體鎖定 ( 例如需要插入特定的 Smart Card), 則應該注意硬體的保存以及不處理資料時應該將硬體移除 61

62 3-3 基本的防護工作 62

63 一般使用者的防護工作執行各種作業系統應用軟體更新及設定 Windows Update Office Update Internet Explorer 安全性設定收信軟體安全性設定啟用個人防火牆降低使用者使用權限防止垃圾郵件危機意識與正確的資安觀念 63

64 Windows 與 Office Update Windows 與 Office Update 定期安裝 (Windows 與 Office Update 網站 ) 安裝到最新 (Auto update) 資料備份與安裝測試 64

65 Internet Explorer 的安全設定 Internet Explorer 的安全設定請使用最新的 Internet Explorer 版本 Internet Explorer 6.0 SP1 使用 Windows Update 功能安裝最新的 Internet Explorer 累積的安全性更新設定 Internet Explorer 的安全性各區域的安全性至少要設定在預設層級以上 65

66 收信軟體安全性設定以微軟的 outlook express 收信軟體為例, 建議進行以下安全性的設定 : 取消郵件預覽取消在預覽窗格檢視郵件時自動下載郵件勾選以純文字閱讀所有郵件 66

67 收信軟體安全性設定 ( 續 ) 設定安全性區域為受限制的網站區域勾選在其他應用程式試圖以我的名義傳送電子郵件時警告我勾選在附件有可能有病毒時不允許儲存或開啟 67

68 收信軟體安全性設定 ( 續 ) 取消顯示預覽窗格 68

69 啟用個人防火牆安裝或啟用個人防火牆功能來預防後門程式的運行防火牆設定建議適當阻擋對外的 Port 阻擋未知的程式由內對外的直接連線要求指定使用可信任的 DNS 伺服器 69

70 2. 適當阻擋對外的 Port 3. 阻擋未知的程式由內對外的直接連線要求 1. 安裝或啟用個人防火牆功能來預防後門程式的運行 4. 指定使用可信任的 DNS 伺服器 70

71 降低使用者權限為了預防使用者在開啟文件瀏覽網頁時遭受惡意程式的攻擊而入侵, 最佳的解決方案應該是要求使用者進行使用最低權限 (Least- Privilege) 將使用者的帳號設定為 Users 的權限, 而不給予 Administrators Power Users 群組權限來讓使用者登入惡意程式想要將自己常駐在電腦中時, 會因為權限不足而無法常駐, 在下一次的重開機中惡意程式就會消失 71

72 使用者帳號 72

73 防止垃圾郵件以下是防止收到垃圾郵件的常見方式 : 建立一個專供網路使用的電子郵件地址檢閱所有使用者合約避免公開張貼個人的電子郵件地址符號不回應任何垃圾郵件封鎖已知垃圾郵件發送者的郵件設定篩選器來過濾垃圾郵件 73

74 防止垃圾郵件 - 封鎖垃圾郵件使用郵件軟體的垃圾郵件過濾器如果使用 MS Outlook 點選執行中的垃圾郵件 74

75 防止垃圾郵件 - 封鎖垃圾郵件將已知假冒的寄件者電子郵件帳號加入封鎖的寄件者清單中, 並選擇郵件的過濾方式 ( 是要放置在垃圾郵件資料夾還是直接刪除 ) 缺點 : 現在的入侵者都會申請大量正常的免費電子郵件帳號來躲避篩選器的過濾 75

76 防止垃圾郵件 - 設定篩選器還可以利用郵件規則來過濾可判別為垃圾郵件的主旨以 outlook express 為例點選郵件中的從郵件建立規則 76

77 防止垃圾郵件 - 設定篩選器 1. 勾選郵件本文包含特定文字以及主旨包含特定的文字 2. 勾選刪除或者移至指定的資料夾 3. 點選包含特定文字 4. 輸入廣告垃圾信常出現的字句 : 大補帖 DVD 新片 5. 點選指定的, 並選擇存放垃圾郵件的資料夾 6. 輸入完畢, 再點選新增即可缺點 : 如果駭客假冒公務上的電子郵件, 而使用者將公務上常出現的文字設定為過濾字串, 可能會將正常的公務郵件也一併移除 77

78 78

79 危機意識與正確的資安觀念危機意識與正確的資安觀念預防詐騙手法的攻擊提高警覺, 加強危機意識不隨意開啟或下載郵件或軟體定期做系統更新與資料備份的工作 79

80 第四章結論 80

81 結論使用者在收取電子郵件時應有的習慣檢查寄件者的真偽確認信件內容的真實度不輕易開啟郵件中的超連結以及附件開啟超連結或檔案前, 確認對應軟體 ( 如 IE Office 壓縮軟體 ) 都保持在最新的修補狀態使用者在平時應有的行為啟用防火牆對重要資料進行加密備份 ( 先加密再備份 ) 保持在最低的使用權限提高警覺, 加強危機意識 81

82 結論在面臨組織型駭客不斷攻擊的情況下, 我們要時時提高警覺並加強危機意識, 確實做好實體隔離政策, 做好存取控管來保護機密資料, 並搭配定期的實體隔離稽核和教育使用者提醒使用者 : 組織型駭客的威脅是時時刻刻在發生的這樣才能有效的防止組織型駭客的入侵 82

83 課程結束 83

Outlook 2007 設定說明 Offic 企業郵件 / 虛擬主機郵件 / Office 365

Outlook 2007 設定說明 Offic 企業郵件 / 虛擬主機郵件 / Office 365 Outlook 2007 設定說明 OfficeMail 企業郵件 / 虛擬主機郵件 / Office 365 版權及商標聲明 Cloudmax 匯智提供用戶商務用郵件服務, 本文件由 Cloudmax 匯智製作, 用於教導用戶進行郵件服務相關設定, 內容中所使用的郵件工具非為 Cloudamx 匯智設計及擁有, 若對程式資訊有疑問, 請洽程式提供商本文件所引用之各商標及商品名稱分屬其合法註冊公司所有,