最近一年，全球資安環境相當不安寧，LulzSec、Anonymous、AntiSec等駭客團體對各大企業、組織，甚至政府部門採取攻擊行動，除了攻擊次數增加，攻擊手法也更針對性。對企業不僅造成金錢和業務的損失，對企業形象的負面影響更是難以計算。究竟這些針對性攻擊是如何產生，企業又如何防護資訊安全？
最近一年，全球資安環境相當不安寧，LulzSec、Anonymous、AntiSec等駭客團體對各大企業、組織，甚至政府部門採取攻擊行動，除了攻擊次數增加，攻擊手法也更針對性。以惡名昭彰的Stuxnet蠕蟲為例，其鎖定大型組織，竊取程式碼簽章，削弱該身分驗證機制之安全強度，再透過已感染的USB等可卸除式裝置進入電腦發動攻擊。雖然無從得知Stuxnet駭客究竟如何拿到企業的程式碼簽章，但企業密碼存放的安全性確實受到極大質疑。其實，企業如要避免這類網路攻擊，則應特別注重資安保護的第一道防線──降低密碼遭竊的機率。企業可透過一些關鍵的內部安全管理原則，則可做好最前線的守護。
對於可以存取高度機密資料的系統，企業理應更注重其安全防護，盡量阻隔外界對它們進行資料存取。企業可透過最低權限政策、多因素認證的系統與網路存取、關閉不必要的連接埠、安裝更新版的安全軟體並執行最新的防毒軟體掃描器等。做好事前資訊安全防護規劃，即使面對網路惡意攻擊時，亦可將傷害降至最低。
此外，程式開發人員應將程式開發系統與日常作業系統分開使用，並連接至不同的網路，避免因日常作業的疏失，如不經意讀取垃圾郵件、瀏覽釣魚網站或下載惡意程式等，導致開發系統受到惡意攻擊或密碼遭竊的機率提升。
使用正式發行簽章前，需事先測試程式碼，但無須因此讓真正的私鑰和簽章機制曝光，讓竊賊有機可乘。最好的作法是針對內部測試憑證授權的測試認證，建置一個相似的程式碼簽章架構。如此一來，此密碼只會受信於該系統，若測試密碼不小心遭竊時，此密碼在其他系統上也無用武之地。此套機制可降低使用者簽署不該簽的文件之風險。
將密碼存放在一般電腦很容易遭竊，因此企業在存取密碼時應採用高安全性且防止私自竄改的硬體加密，以有效降低惡意入侵的機率。其中最廣泛應用的硬體加密方式包括智慧卡、具有智慧卡功能的USB Token和硬體安全模組。這些裝置適用於最關鍵的應用程式，例如賽門鐵克備受好評的VeriSign身分識別與驗證服務方案，可在硬體加密模組中存放並保護用作簽署數位認證的私鑰安全。有些加密硬體模組甚至無法匯出私鑰，竊賊若想竊取機密鑰匙需偷取實體的硬體加密模組，即便如此，若沒有更一步的憑證，也無法使用這些私鑰，大幅增加私鑰的安全性。
雖然任何與網路連結的系統，無論採用何等銅牆鐵壁般的嚴密防護，都無法保證可完全避免惡意攻擊，但企業若重視智慧財產及聲譽，還是要多方努力降低網路威脅的機會。
（本文作者現任賽門鐵克台灣區總經理）