投影片 1

Size: px

Start display at page:

Download "投影片 1"

尨七顺从
5 years ago
Views:

1 因應微軟公司 Windows XP 作業系統終止支援服務之防護措施建議國家資通安全會報技術服務中心 103/3/31

2 大綱前言 XP 終止支援對資安影響防護措施建議結語 1

3 前言微軟 2001 年推出 Windows XP, 雖然歷經 Windows Vista Windows 7 到現在的 Windows 8.1, 至今仍為微軟公司使用期間最長的作業系統自 2008/6/30 起停售 XP 後, 隨著時間的演進, 已進入產品生命週期末端, 將於 2014/4/8 終止支援 (End of Support, 簡稱 EOS), 不再針對 XP 提供下述支援服務 : 安全性系統更新檔非安全性系統更新檔修補程式協議支援 ( 付費服務 ) 按事件處理的付費支援服務產品線上支援及線上技術內容更新服務 2

4 XP EOS 對資安影響 (1/3) 1. XP 作業系統相關應用軟體弱點已無法確保可取得更新的修補程式 XP 作業系統上所安裝之 IE 瀏覽器於 2014/4/8 後也將無法取得新的修補程式微軟應用程式開發與執行環境 (runtime) 的支援平台也會調整 ( 如.NET framework 與 DirectX), 相對應在 XP 上的安全性更新也不再支援 3

5 XP EOS 對資安影響 (2/3) 2. XP 作業系統已發現弱點數量多, 遭攻擊風險高根據 CVE Details 弱點資料庫統計數據顯示,XP 作業系統已被發現弱點數量達 721 個, 明顯高於 Win7 與 Win8 4

XP EOS 對資安影響 (3/3) 3. XP 作業系統惡意程式感染率高 12.0 10.0 8.0 6.0 4.0 2.0 0.0 根據微軟第十五期資訊安全情報報告, 平均每 1000 台 XP 電腦掃描結果含有惡意程式的電腦數量達 9.1 台 (0.

6 XP EOS 對資安影響 (3/3) 3. XP 作業系統惡意程式感染率高根據微軟第十五期資訊安全情報報告, 平均每 1000 台 XP 電腦掃描結果含有惡意程式的電腦數量達 9.1 台 (0.91%), 遠高於 Win7 與 Win8 微軟可信賴運算部門總監 Tim Rains 表示, 微軟停止支援 XP 更新修補程式後, 惡意程式感染率預期大幅攀升至 66% 9.1 3Q12 4Q12 1Q13 2Q13 Win XP SP Win Vista SP2 Win 7 RTM 4.9 Win 7 SP1 1.6 Win 8 RTM 5

7 防護措施建議事件通報政府機關 1. 加速 XP 升級至 Windows 新版作業系統 2. 強化 XP 電腦資安防護 3. 保留 XP 映像檔與使用還原卡 4. 透過網路區隔加強管理使用 XP 電腦技服中心 5. 執行 XP 弱點持續監測計畫資安資訊分享 6

8 1. 加速 XP 升級至 Windows 新版作業系統 XP 升級至 Windows 新版作業系統為根本解決之道 Windows 7 與 Windows 8 已分別於 2009/10/22 與 2012/10/26 上市, 請各機關加速 XP 升級作業若機關發現資安事件入侵原因來自 XP 弱點, 則可能該機關已遭鎖定, 屬 XP 高風險機關, 應先進行 XP 升級作業 7

9 2. 強化 XP 電腦資安防護微軟公司終止支援後, 仍需持續使用 XP 電腦之機關應規劃與部署資安防護強化措施, 建議由以下 3 方面進行 : 帳戶權限設定軟體防護監控防禦 8

10 2.1 帳戶權限設定賦予使用者帳戶符合業務需求之最小權限, 儘量避免使用管理者權限登入系統, 以降低攻擊者取得電腦完整主控權之機會停用本機預設管理者帳號 Administrator 9

11 將帳戶權限設定為受限制的 (1/2) 以具有系統管理員權限的使用者身分登入按一下開始控制台使用者帳戶變更帳戶按一下要變更的使用者帳戶 ( 例如 :ICST) 10

12 將帳戶權限設定為受限制的 (2/2) 按一下變更帳戶類型, 選取受限制的 (L), 按一下變更帳戶類型, 即可將帳戶權限設定為受限制的帳戶類型 11

13 停用本機 Administrator 帳戶 (1/4) 以具有系統管理員權限的使用者身分登入以滑鼠右鍵按下我的電腦, 點選管理 12

14 停用本機 Administrator 帳戶 (2/4) 展開本機使用者和群組節點, 點選使用者資料夾, 並按兩下 Administrator 帳戶 13

15 停用本機 Administrator 帳戶 (3/4) 在右窗格中, 在一般索引標籤上, 選取帳戶已停用核取方塊, 然後按一下確定 14

16 停用本機 Administrator 帳戶 (4/4) 重新開機後即無法使用本機 Administrator 帳戶登入系統 15

17 2.2 軟體防護 (1/2) 若無使用需求, 請停止使用 IE 瀏覽器, 改採其他如 Google Chrome 或 Mozilla Firefox 等仍會提供更新服務之替代瀏覽器, 以提升瀏覽網頁之安全建立允許使用者執行的已授權軟體完整清單, 並利用 XP 內建之軟體限制原則 (Software Restriction Policies) 功能, 確保只有已授權軟體能在電腦上執行 16

18 2.2 軟體防護 (2/2) 針對已安裝之所有應用程式即時進行更新, 避免應用程式漏洞危害系統安全 17

19 軟體限制原則設定步驟 (1/7) 以具有系統管理員權限的使用者身分登入點選開始控制台效能及維護系統管理工具本機安全性原則 18

20 軟體限制原則設定步驟 (2/7) 用滑鼠右鍵按一下軟體限制原則, 然後按一下建立新原則 19

21 軟體限制原則設定步驟 (3/7) 用滑鼠右鍵按一下軟體限制原則安全性等級不允許, 然後按一下設成預設值按一下是 (Y) 20

22 軟體限制原則設定步驟 (4/7) 按兩下軟體限制原則強制, 選取所有軟體檔案, 不包含程式庫與所有使用者, 除了本機系統管理員 21

23 軟體限制原則設定步驟 (5/7) 用滑鼠右鍵按一下軟體限制原則其他原則, 然後按一下新增路徑規則 22

24 軟體限制原則設定步驟 (6/7) 路徑中輸入欲執行軟體的路徑, 安全性等級選取沒有限制, 然後按一下確定 23

25 軟體限制原則設定步驟 (7/7) 以受限制的的使用者身分登入後, 可正常執行已授權的軟體若執行其他未授權軟體, 則會出現 Windows 無法開啟這個程式, 因為它被軟體限制原則所阻止之訊息 24

26 2.3 監控防禦確實安裝防毒軟體, 即時更新病毒碼, 並至少每週執行一次完整掃描與檢視防毒軟體掃描紀錄安裝主機端入侵防禦系統 (H-IPS), 提升 XP 電腦防禦能力在閘道端部署防火牆設備, 並透過嚴謹的白名單管理機制, 有效管理網路連線行為利用安全資訊與事件管理 (SIEM) 進行跨設備關聯式分析與監控, 確實掌握使用 XP 電腦之資安事件與安全防護狀態 25

27 3. 保留 XP 映像檔與使用還原卡當 Windows XP 於 2014 年 4 月 8 日正式終止支援服務後, 機關內重新安裝之 Windows XP 已無法連線至微軟更新伺服器進行更新作業仍有 XP 電腦之機關請建置乾淨的 Windows XP 母機, 持續更新至 2014 年 4 月 8 日, 並保留該母機之映像檔, 供電腦維護之用此外, 可將作業環境與資料分開存放, 並透過還原卡保護系統安全, 使得電腦開機後可回復系統碟至原始乾淨母機狀態 26

28 4. 透過網路區隔加強管理使用 XP 電腦機關內若同時存在不同作業系統版本之電腦, 可利用虛擬區域網路 (VLAN) 進行網路區隔, 將 XP 電腦放入獨立 VLAN, 除便於進行集中管理外, 亦可避免影響其他 VLAN 內之電腦針對風險較高之 XP 電腦 VLAN 可加強網路流量監控, 以有效掌握異常連線行為 Win7 XP Win7 Win7 XP XP 集中管理與加強監控 Win7 Win7 Win7 XP XP XP Win7 Win7 XP XP XP Win7 Win7 Win7 Win7 XP XP XP 27

29 5. 執行 XP 弱點持續監測計畫蒐集共通弱點與揭露 (CVE) 網站美國國家弱點資料庫 (NVD) 微軟公司網站及其他相關安全性網站 XP 弱點資訊針對新發現之 XP 弱點資訊, 由技服中心即時通知各機關注意定期彙整政府機關已通報之 XP 相關資安事件, 掌握整體影響情形 28

30 結語微軟公司已確定 2014/4/8 終止 XP 支援服務, 因此各機關應盡速了解機關內部 XP 的使用情形, 以掌握可能產生的影響, 並針對處理重要業務之電腦, 優先完成升級對於無法更新 XP 之電腦, 也應盡速透過 XP 的安全性設定與帳戶權限管控等措施, 強化主機系統的安全同時規劃與部署資安防護強化措施, 透過網路區隔加強使用 XP 電腦管理, 針對風險較高之使用 XP 電腦 VLAN, 加強網路流量監控技服中心也將持續進行 XP 弱點監測與通報作業, 蒐集 XP 弱點資訊, 並彙整政府機關通報之 XP 相關資安事件, 以掌握 XP 資安事件與影響程度 29

31 報告完畢敬請指教 30

內部使用 Win XP EOS 因應作為國家資通安全會報技術服務中心溫翔安 103/5/29

內部使用 Win XP EOS 因應作為國家資通安全會報技術服務中心溫翔安 103/5/29 Win XP EOS 因應作為國家資通安全會報技術服務中心溫翔安 103/5/29 大綱前言 XP 終止支援對資安影響防護措施建議 Windows XP 終止支援服務專區常見問題說明結語 1 前言微軟 2001 年推出 Windows XP, 雖然歷經 Windows Vista Windows 7 到現在的 Windows 8.1, 至今仍為微軟公司使用期間最長的作業系統自 2008/6/30