前CIA技术长来台揭露，美国史上最大骇客攻击事件大解密

近年来，APT（进阶式持续威胁）攻击事件频传，不只有多家大型企业遭骇客入侵窃取机密资料，就连政府部门也频频出包，如今年5～6月间美国国税局和人事 管理局先后爆出严重的资料外泄，不只让10万民众税单遭窃，连政府部门的百万笔人事资料也都因为骇客攻击而外泄。而过去曾为美国中央情报局（CIA）效 力，拥有超过30年资安防御经验的前CIA技术长Bob Flores近日来台时，也以这起美国人事管理局资料外泄为例，分享防御APT攻击的最新看法。

在今年6月，美国人事管理局坦承因遭网络攻击而导致近400万笔公务员资料外泄，然而短短不到1个月，更接连证实有2,100 万笔的民众个人资料也同样遭窃，不只造成的损失危害难以估计，更成为美国政府史上最大的骇客攻击事件，还导致该局局长黯然下台。

根据事后调查推估，骇客可能早在2年前便已入侵系统，Bob Flores表示，骇客是透过窃取承包人员的笔电，并使用登入认证渗透到美国人事管理局的系统，来执行恶意攻击。他认为，造成这起政府资料遭窃事件的原因， 不只包括人为疏失，更重要的是美国政府在资安应变上，迟迟跟不上网络攻击手法的演进才是关键。

以美国人事管理局遭骇这个事件来说，Bob Flores表示，该机构本身只采用如防火墙等传统防御方式，无法比对未知的攻击特征，也不具足够防堵恶意攻击的能力，此外，敏感性的人事资料也未采用加密措施，甚至，在进行远端存取时也缺乏有效的监控机制。

Bob Flores表示，要提供周全的防护，政府得在资安预算投入更多资源。若以目前企业平均花在资安投资只占IT预算的5%来看，至少得增加至10%才足够。 他也说：“资安就像是冷气一样，使用的不多，但要用时没有它会非常难受”，而一旦遭遇网络攻击入侵，造成企业有形或无形损失并不是金钱能估算的。

随 著APT威胁持续进化，Bob Flores建议，政府和企业在资安防御策略上必须有新思维，而第一步就是要建立一个专属的资安事件应变小组（Incident Response Team），来进行包括资安风险管理、网络工程分析和网络防御等工作。此外，还需配置专门人力负责长期网络活动的鉴识（Forensics）工作，当系统 检测出有异常网络行为时，小组人员可以很迅速展开调查，将这些网络行为辨识为正常或是恶意行为，才能将潜在恶意攻击早一步防堵，而不用等到事后被告知才发现，就为时已晚。

除了加强APT攻击的应变能力外，Bob Flores也认为，政府和企业应持续加强内部的资安教育训练，不只建立资安文化，更要做到让每一个阶层的主管、员工都具备高度的资安素养，并将资安能力列入评价员工绩效的一部分，借此减少人为疏忽而让政府或企业门户漏洞敞开的情况发生。

此外，Bob Flores建议，不同的企业和政府之间更应建立起一个资安情报的共享平台，可即时传递分享最新网络攻击资讯，并能借由彼此的合作，发挥出资安联防的效果，以应付来自全球四面八方的新型态APT攻击。