資訊安全概念 - 資通安全研發中心- 國立成功大學

資訊安全概念 

主講人 : 賴溪松教授 

國立成功大學計算機與網路中心主任 

國立成功大學電機系及電腦與通訊研究所教授 

TEL:(06)2757575 ext 61001/61020 

E-mail:laihcs@eembox.ncku.edu.tw 

http://crypto.ee.ncku.edu.tw/ 

FAX:(06)274-3533 

1

大綱 

• 成大資通安全研發中心簡介 

• 資訊安全簡介 

• 資訊安全服務 

• 資訊安全等級 

• 結論 

2 

Cryptology & Network Security Lab.

簡介 

• 本中心成立民國九十三年五月 , 主要致力於 

研究 PKI、資通安全、技術系統的開發及實 

務應用 , 以及網路安全測試平台之建置與使 

用推廣 , 藉以提升我國的資訊安全領域的研 

究能量。 

3 


宗旨與業務 

• 從事資通訊安全之研究。 

• 推廣資通訊安全之應用與發展。 

• 公、民營機構相關資通訊安全之委託研究。 

• 國內外資通訊安全研究之交流與合作。 

• 資通訊安全之人才培訓、培育及技術推廣。 

• 其他與資通訊安全相關之工作。 

4 


成大資通安全研發中心 - 

組織架構圖 

成大資通安全研發中心 

網 

路 

安 

全 

組 

系 

統 

安 

全 

組 

Cryptology & Network Security Lab. 

5 

訓 

練 

推 

廣 

組 

行 

政 

組

現有研究人力 

姓名現職研究專長 

賴溪松成功大學電機系教授兼計網中心主任 PKI、密碼學、資訊安全、改錯碼、通訊系統 

鄭博仁 

高苑技術學院資訊管理系教授 

無線電通訊安全、智慧卡和資訊安全應用、密碼分析、 

資通安全產品認證與驗證 

李忠憲成功大學電機系副教授高速網路、通訊網路、資訊工程、通訊工程、網路安全 

古東明雲林科技大學資訊管理系副教授兼電算中心主任資訊安全、資料結溝與演算法、資料庫 

鄭進興樹德科技大學資訊管理系副教授兼電算中心主任網路安全、電子交易安全 

郭文光成功大學電機系助理教授無線通訊、寬頻網路、網路安全 

郭文中虎尾科技大學資工系助理教授無線網路、資訊安全、網路安全、電子商務 

鄭伯炤中正大學通訊工程系助理教授網路安全、網路處理器 

曾龍興國管理學院資科系助理教授資料探勘、資訊安全、量子密碼 

戴瑋伶專任助理行政、會計 

郭建邦專任助理系統安全 

林雅琪專任助理系統安全 

葉昱翔專任助理網路安全 

李崇誠專任助理 6 網路安全 


目標 

• 研發網路安全機制及安全認、驗證技術。( 含無線 

機制 ) 

• 資訊安全基礎建設最佳實作及標準之研發與建 

置。 

• 密碼模組及可信賴之通資訊系統安全需求測試、 

驗證及認證。 

• 舉辦通資訊安全教育訓練及參與國際通資訊安全 

技術交流及合作活動。 

7 


技術研發 (1/2) 

• 研發網路安全機制及安全認、驗證技 

術。( 含無線機制 ) 

• 資訊安全基礎建設最佳實作及標準之研 

發與建置。 

• 密碼模組及可信賴之通資訊系統安全需 

求測試、驗證及認證。 

• 舉辦通資訊安全教育訓練及參與國際通 

資訊安全技術交流及合作活動。 

8 


技術研發 (2/2) 

• 研究微軟系統之安全性 , 以建立我國優質網路環境。 

• 建立滲透測試中心 , 協助檢驗政府單位、企業公司等 

在資訊的安全強度。 

• 網路安全顧問中心 , 提供網絡安全顧問服務 , 制訂網 

絡安全解決方案。 

• 網路安全教育訓練中心 , 規劃一系列多樣性之網路安 

全教育訓練課程 , 以培育我國更多資安人才。 

• 尋求國際合作 , 目前已和澳洲 QUT 和法國巴黎 

Eurecom 大學及歐盟 , 以及未來與美國 Mini-Internet 

Testbed 計畫相關學府等相互交流。 

9 


網路安全技術 -PKI 技術研發 (1/2) 

應用程式伺服器一 

AP Server 1 

工作站 

IC Card 

自然人憑證 

I 

C 

A 

R 

U 

S 

Internet 

WWW 

I 

C 

A 

R 

U 

S 

Middle 

Wares 

資料 

認證伺服器 

伺服器群 

AP Server 2 

應用程式伺服器二 

Authentication Server 架構圖 

10 


網路安全技術 -PKI 技術研發 (2/2) 

本研究室在公開金鑰基礎建設 (Public Key Infrastructure, 

PKI) 方面已進行許多相關且深入的研究 , 現開發出一套可 

利用內政部自然人憑證 IC 卡登入 Windows 的程式 . 將來 

凡是現行使用帳號 / 密碼才能登入使用的系統 , 都可以考慮 

使用本套程式來取代 , 如此做的好處是安全性大為提高 , 因 

為沒有使用者的內政部自然人憑證 IC 卡 , 將無法登入 

windows 使用系統 ; 能夠確實防止他人任意使用個人電腦 . 

左圖為登入流程說明圖 , 底下僅就利用自然人憑證 IC 卡登入 

Windows XP 的流程說明 : 

1. 將自然人憑證 IC 卡插入讀卡機中 

2. 輸入自然人憑證 IC 卡存取 PIN 碼 , 驗證 IC 卡中的憑證資 

訊與系統儲存的是否相同 . 

3. 驗證憑證資訊無誤則將加密儲存在系統中的使用者名稱 

及密碼解開 

4. 利用解開後的使用者名稱及密碼進行登入 

5. 完成登入程序進入 Windows 

6. 開始使用 Windows 

11 


台灣網路安全測試平台 

• 電信國家型科技計畫辦公室 (NTPO) 特委 

以本中心建置與維運『台灣網路安全測 

試平台』, 為國內網路安全領域提供一 

個專屬的實驗環境 , 以供國內相關學者 

專家能進行更多前瞻性資安技術研究、 

測試與開發。 

• 現有設備已經超過 500 萬 ,NTPO 並將持 

續三年補助本中心 

12 


網路安全測試平台建置目的 

安全性分析 

以已知的方法或 

發展未知技術進 

行各種系統、軟 

體、駭客攻擊手 

法等的安全性分 

析 , 提供相關漏 

洞資訊及防範的 

方法。 

學術界研究發展 

可快速提供實驗 

環境需求及結合 

理論創建、模擬 

分析、實驗的漸 

進式研究流程 , 

增強資安研究的 

深度。 

教育訓練 

提供網路安全事 

件的真實重現 , 

提供針對網管 

人員或相關人員 

反覆訓練 , 學習 

與增強網安事件 

發生時的應變能 

力過程經驗。 

13 


網路安全測試平台定位 

Secure Environment 

Information Provider 

(CERT) 

Best Practice 

( 區域聯防 ) 

Security 

Analysis 

Research 

and 

Development 

Training 

Taiwan Network Security Testbed 

14 


網路安全測試平台之需求 

有效成本 

管理面 

功能面 

測試設備 

限制性 

多變性 

健全性 

存取管制 

政策面 

安全政策 

安全性 

可控制性 

精確性 

技術面 

15 


測試平台研究主題 

數位鑑識 

滲透測試 

IPv6 網路 

安全 

數據保全 

台灣網路安 

全測試平台 

無線網路 

安全 

資訊戰 

智慧型與分 

散式 IDS 

16 

Overlay 

網路安全 


Ad Hoc 

網路安全

第一年成果 - 台灣網路安全測試平台建置與維運 (1/2) 

• 增買 20 台電腦 , 總共達到 80 台電腦。 

• 增購 3 台企業級電腦伺服器 , 並建置一個小型企業網路環境。 

• 建置 IPv6 網路環境。 

• 增購無線網路設備並建置其環境。 

• 增購硬體式火防牆與入侵偵測系統設備 , 並建置至 Testbed 網路環境中。 

• 整合遠端登入雛型系統至 Testbed 網路 17 環境中。 


0.72 

0.71 

0.7 

0.69 

第一年成果 - 台灣網路安全測試平台建置與維運 (2/2) 

維運部份 -Testbed 使用率 

2004 年 Testbed 使用率統計圖 

0.71 

0.7 

0.69 

2005 年 1-5 月 Testbed 使用率統計圖 

0.68 

0.67 

使用率 

0.68 

0.67 

使用率 

0.66 

0.66 

0.65 

0.65 

0.64 

1 月 2 月 3 月 4 月 5 月 6 月 7 月 8 月 9 月 10 月 11 月 12 月 

• 服務及使用對象 

• 目前已提供成功大學、虎尾科技大學、南台科技大學、台南女子技術學院、 

南榮技術學院之通訊教改計畫 , 進行與網路安全相關課程實習。 

• 支援 4 件國科會計畫使用 Testbed 進行相關研究 : 

1. 基於行動代理人之分散式阻絕服務攻擊之研究分析與防護 

2.A Framework of Defending Application Level DDoS Attacks 

3. 混合式無線網路即時入侵偵測與安全稽核之研究 

4. 侵偵測系統之 SOC 硬體實現 

• 協助一家廠商於 Testbed 中進行開發 

18 

中資安產品之測試。 


0.64 

1 月 2 月 3 月 4 月 5 月

第一年成果 - 學術研究 (1/2) 

• 理論研究 

• Computer Forensic 

• Overlay 網路安全研究 

• DDoS 攻擊與防禦研究 

• overlay network 技術防禦 DDoS 攻擊之研究 

• 以預防為基礎之網路聯防策略之研究 

• 以旁波段網路 (out-of-band network) 強化網路安全 

• Wireless Security and Ad Hoc Security 

• IPv6 Security 

• 實務研究 

• DNSSEC 開發 

• Buffer Overflow 技術及防護研究 

• 6IDS 開發 

19 


第一年成果 - 學術研究 (2/2) 

• 已發表 14 篇文章或論文於國內外知名期刊、研討會與雜誌上。 

名稱作者特色 

Comparative Survey of Local Honeypot Sensors to Assist Network 

Forensics 

Packet Tracing & Reassembly Utilizing Session Analysis and Hash 

Function 

VoIP/Instant Message Monitoring System based on SIP & ENUM 

DNSSEC 網路安全防護暨驗證系統 

使用 DNSSEC 機制之 DNS 伺服器簡易安全防護暨驗證系統 

Enabling Legacy Networks to Successfully Provide Defense-In- 

Depth for SIP Applications 

Protection of Dynamic Routing Information Fields in AODV 

Design and Implementation of an IPv6-enabled Intrusion Detection 

System (6IDS) 

Detecting 4to6 DDoS Attacks on IPv6Network by Misuse Detection 

Technology 

IHPM: A Fast Pathfinder and Intrusion Source Identifier for DDoS 

Attacks 

A Hierarchical Cooperative Defending System against DDoS 

Attacks 

以 Overlay Network 防禦 DDoS 攻擊 

以預防為基礎之網路聯防策略之研究 

P. T. Chen, F. Pouget, M.Dacier, and C. S. Laih 

Tung-Ming Koo, Yi-Hsien Chiu,Chih-Chang 

Shen 

Tung-Ming Koo, Chia-Hui Lin, Chih-Chang Shen 

鄭進興、陳威安 

陳威安 

Bo-Chao Cheng and Chia Shaun Hsu 

J. M. Hour, W. C. Kuo and C. S. Laih 

Benjamin Tseng, Chi-Yuan Chen, Chi Sung Laih 

Ching Feng Wang, Chi-Yuan Chen, 

Benjamin Tseng, Chi Sung Laih 

Bo-Chao Cheng, Ching-Fu Huang, Er-Kai Tsao 

周立德、林伯昇 

陳俊傑 

周立德 

1. 鑑識研究 

2. 國際跨校合作 

探討鑑識機制 

探討 VoIP 安全機制 

探討 DNS 安全機制 

1. 探討 DNS 安全機制 

2. 碩士論文 

SIP 研究 

1. 探討路由協定 

2. 跨校合作 

1. 國內第一個 IPv6 IDS 實作 


1. 研究 IPv6 IDS 偵測技術 


DDoS 攻擊研究 

DDoS 攻擊研究 

1.DDoS 防禦研究 

2. 碩士論文 

DDoS 防禦研究 

利用旁波段網路達到入侵容錯 

20 

陳奕明、孫文駿 


DDoS 防禦研究

第一年成果 - 系統開發 

Middleware 

Dynamic Equipment 

IPv6 

實驗 

模組 

User 

ID PW 

Primary 

Sign-On 

Authentication 

Exchange 

Authentication 

Server 

Trust 

Resource 

Server 

ID PW 

ID PW 

ID PW 

Token 

Validation 

Account and 

Credential 

Management 

Access 

Control 

A. 基本實驗選擇 

1. DDoS 攻擊 

2. IP Spoofing 攻擊 

3. Email Attack 

4. 密碼破解 

B. 進階實驗選擇 

1. Overlay Network 

2. Buffer Overflow 偵測 

3. Ad Hoc 網路安全 

4. 無線網路安全 

5. IPv6 網路安全 

Middleware 


Buffer 

Overflow 

實驗模組 

ogical?providers of 

authentication/SSO/Trust 

Testbed 

Middleware 


系統掃瞄 

實驗模組 

遠端登入實驗系統 

• 目前已開發出 Single Sign-On System、實驗申請排程系統、後 

端實驗平台之雛型系統 , 並已初步整合至 Testbed 網路環境中。 

• 預計於明年初 NTP 成果展中進行展示。 

21 


第一年成果 - 國際交流 

• 與法國 Eurecom Honeypot 國際合作。 

• 參加 ICT-Asia 2004 會議 , 推廣我國 

TWANST 建置與研究成果。 

• 積極參與美國 Mini Internet Testbed 計 

畫 , 並將於七月初拜訪 Emulab( 位於 Utah) 

與 DETER( 位於 USC)。 

• 台灣 Euro-Taiwan 計畫會議中 TWANST 

獲得歐盟人士熱烈的回響。 

22 


第一年成果 - 教育訓練 

• 學界資安教育訓練課程 ( 總共 370 人次 ) 

• 93/11/22~24 日於興國管理學院 , 舉辦為期三天的滲透測試 (Penetration 

Test) 教育訓練 , 課程涵蓋了教學與實習。( 總共 70 人次 ) 

• 94/5/6 於成功大學 , 舉辦為期一天的「網路安全」教育訓練課程 ( 總共 80 人次 ) 

• 將於 94/6/30~7/2 於世新大學 , 舉辦為期三天的「安全確保與鑑識技術」教育 

訓練課程。( 預計 70 人次 ) 

• 將於 94/7/1 於成功大學 , 舉辦為期一天的區域聯防總中心內部教育訓練。( 預計 

50 人次 ) 

• 將於 94/7/4~7/6 於成功大學 , 舉辦為期三天的「2005 資訊安全研習營」教育訓 

練課程 , 課程內容涵蓋了教學與實習。( 預計 100 人次 ) 

‧ 協助規劃今年大學聯招首次線上填選志願系統 , 安全機制測試與資安人員網路安 

全課程訓練。 

‧ 教育訓練教材 

23 


跨國合作 Honeynet 技術 

1. 分析台灣網路的駭客來源、 

習性、及行為等 

NIDS 

2. 了解全球網路的駭客來 

源、習性、及行為等 

Syslog 

Server 

Sendmail Mail 

Server 

WINDOWS 

2000 

Honeynet 

FTP 

Server 

3. - 記錄並分析駭客行為 

- 收集入侵證據 , 分析 

過去防範未來 

Apache Web 

Server 

Linux 

設計有缺陷系統及網路環境 

24 


25 


Honeypot 資料分析 

大部分攻擊台灣 Honeypot 平台的國家都來自於同一個 Domain— 台灣 

(68%), 但這種現象在其他 Honeypot 平台上 ( 如 Eurecom) 則未發現 

26 


Domain 進一步分析 — 

大部分攻擊來自學術網路 (ncku.edu.tw) 與 HiNet 

Domain Name Number of Sources Rate (%) 

.edu.tw 7738 31.77562 

.hinet.net 4009 16.46271 

.ne.jp 887 3.642411 

.net.tw 819 3.363173 

.dsl-verizon.net 552 2.266754 

.interbusiness.it 546 2.242116 

.t-dialin.net 331 1.359231 

Domain Name 

Number of 

Sources 

Rate (%) 

.ncku.edu.tw 5977 24.5462 

.dynamic.hinet.net 3375 13.86037 

.hinet-ip.hinet.net 634 2.603696 

.ocn.ne.jp 525 2.156057 

.seed.net.tw 451 1.852156 

.dip.t-dialin.net 331 1.359343 

.tnrc.edu.tw 322 1.322382 

.or.jp 289 1.186761 

.ntou.edu.tw 283 1.162218 

.proxad.net 284 1.166229 

.plala.or.jp 278 1.141684 

.shawcable.net 236 0.96912 

.pooles.rima-tde.net 227 0.932238 

ohters 8661 35.56587 27 


others 11947 49.06366

Ports sequences 的統計 

— 可發現最新攻擊趨勢 

March 2005 April 2005 May 2005 

Total events 1734 Total events 2697 Total events 3787 

135 (22.71%) 

1025 (16.01%) 

80 (7.93%) 

139 (5.39%) 

135, 1025 (5.24%) 

135, 1025, 139 

(4.88%) 

4899 (3.64%) 

22 (2.69%) 

5554, 1023, 9898 

(1.60%) 

Others (29.91%) 

135 (50.17%) 

80 (7.97%) 

1025 (4.15%) 

22 (3.34%) 

4899 (3.34%) 

139 (2.15%) 

5554, 1023, 9898 

(1.63%) 

8080 (1.19%) 

Others (26.06%) 

28 


135 (62.34%) 

1025 (7.84%) 

80 (5.04%) 

139 (4.33%) 

22 (1.87%) 

135, 1025, 139 

(1.32%) 

3306 (1.08%) 

4899 (1.08%) 

Others (15.10%)

目前進行之工作 — 國際交流 

• 與美國 Mini Internet Testbed 計 

畫進行國際合作。 

• 與法國進行國際合作 ICT Asia- 

Security of the digital 

infrastructure 計畫 , 參加國家有 

台灣、法國、新加坡、馬來西亞 

共四國十一個單位。 

• 與中華民國資訊安全學會合辦 

ACM Symposium on 

Information, Computer and 

Communications Security 研討 

會。 

• 舉辦國際性研討會 ─「第一屆 

SADFE 2005 國際數位鑑識研討 

會」( 論文集已簽約由 IEEE 出 

版 )。 

• 協助法務部辦理 2005 年國際鑑識 

29 

科學研討會 (International 


目前進行之教育訓練 (1/2) 

• 協助教育部規劃 TANet 大專院校 ISMS 計畫及推廣與課程教育訓 

練。 

• 協助教育部通訊科技教育改進計畫進行網路安全課程之訓練。 

30 


目前進行之教育訓練 (2/2) 

• 協助國家資通安全會報技服中心 , 區域聯防計畫進行計畫成員之 

培訓。 

• 協助國家相關考試之資安系統人員培訓 ( 例如 : 大學聯招 )。 

• 7 月份舉辦資安課程 ( 免費 , 每年約 40 名 , 建議由老師推薦新研究 

生來接受短期訓練 ) 

• TCP/IP 介紹、基礎密碼學 

• 網路安全管理工具應用 

• 電腦病毒與蠕蟲、防駭工具應用分析等 

• 8 月份開課資安課程 ( 中、高階課程 , 並收費 ) 

• 安全性程式設計 

• 路由器高階安全攻防課程 

• CISSP 安全認證課程等 

• 資安訓練教材製作編撰 

31 


資訊安全簡介 

32

網路安全事件層出不窮 

1. 2000 年遭受 DDoS 攻擊造成 yahoo、eBay、CNN、Amazon 等商業網站癱瘓達數小 

時之久。 

2. 2001 年 CodeRed 與 Nimda 蠕蟲造成全球 830 萬台電腦感染、 

3. 2003 年 SQL Slammer Worm 攻擊企業網站資料庫 , 造成美洲及亞洲地區的網路嚴重 

癱瘓。 

4. 2003 年 8 月 Blast 病毒利用 Windows 系統漏洞進行散佈 , 亦造成全球重大損失。 

5. 2004 年 1 月底 Mydoom 病毒更以最高一秒鐘感染 1200 封電子郵件 , 造成全球網路的 

重大損失。 

6. 2004 年 5 月 Sasser 病毒再次針對 Windows 作業系統漏洞進行傳染攻擊。 

7. 2004 年 5 月我國刑事局偵九隊破獲木馬程式惡意攻擊竊密案 , 已有上百企業受害。 

33 


2003 年我國政府單位遭受攻擊位 

居全球前五名 

2003 年 1 月份 

計有 19 次攻擊 

2003 年總共計 

有 92 次攻擊 

34 資料來源 ..mi2g 


微軟 OS 為駭客主要攻擊對象 

35 


資料來源 :mi2g

資訊安全攻擊方式 (1/2) 

• 被動式攻擊 

• 敏感資訊的窺視 

• 通訊量分析 

• 通信位址 

• 敏感資訊長度 

• 敏感資訊頻次 

• 檔頭資料 

• 被動攻擊方式祇能被預防 , 但很難被偵測 

36 


資訊安全攻擊方式 (2/2) 

• 主動式攻擊 

• 敏感資訊被更改、消除、延遲、複製等 

• 系統中斷或破壞 ( 如傳送大量垃圾資料 , 使系 

統當機 ) 

• 冒名傳送假資料 

• 否認已傳送或已接收資料 ( 合法使用者之攻 

擊方式 

• 主動攻擊方式可以被偵測 , 但很難被預防 

37 


資訊安全服務 

• 資料完整性 (Integrity): 確保所收到的資訊不被 

篡改、重送、遺失 

• 資料來源認証 (authentication): 確保所收到的資 

料確實為某人所傳送 

• 存証 (non-repudiation): 使發送端不可否認送出 

某一資料 , 接收端不可否認曾接收某資料 

• 資料隱密性 (Confidentiality): 防止敏感資料被竊 

取 , 非法取得或洩露 

• 存取控制 (Access Control): 防止非法存取資料 

38 


計算機安全 ( 端點系統安全 ) 

• 三大防護措施 

(1) 人身份認証 

• 辨識使用者身份 , 阻擋不法人員進入系統。 

• 提供合法人員的真實身份 , 以供存取控制及稽核追 

蹤之用。 

• 第一道也是最重要的一道防線。 

(2) 存取控制 

• 提供安全政策以規範合法使用者在一定範圍內從事 

資訊之存取 , 以避免非法存取資料。 

(3) 稽核追蹤 

• 記錄與追蹤所有與安全相關之事件並且保護這些追 

39 

蹤記錄 , 以利事後查核或即時提供不尋常的訊息。 


資訊系統安全等級 

• 可依賴計算機系統評估準則 (TCSEC) 將資訊系 

統安全程度分成下列等級。 

完全等級 

D 

C1-C2 

B1-B3 

A 

使用環境說明 

提供最少防護的資訊使用安全環境 

提供普通防護的資訊使用安全環境 

提供正規防護的資訊使用安全環境 

( 如具隱密性 , 電子交易 , 商業秘密 ) 

提供特別防護的資訊使用安全環境 

( 如政府外交 , 國防 , 都巿計畫等 ) 

40 


C2 標準必須滿足 

1. 安全政策 : 系統必須謹遵定義明確安全政策。 

2. 確認 : 所有從事存取的主體 (Subject) 及其權限 

(access right) 必須唯一的定義。 

3. 標識 : 所有物件 (object) 均須標識安全等級。 

4. 可說明性 : 必須具有稽核追蹤能力。 

5. 保證 : 系統必須施行安全措施 , 且能有效地評估 

並證明安全措施可被執行。 

6. 持續的保護 : 其執行基本需求的安全機制 , 必 

須持續地加以保護 , 以防止被破壞或非法篡 

改。 

41 


身份認証 

• 1. 使用者擁有什麼 ? 

• 生理特徵 : 指紋、聲紋、視網膜等。 

• 非生理特徵 : 識別證、磁卡、IC 卡、票券等等。 

• 2. 使用者知道什麼 ( 秘密 )? 

• 如 : 通行碼 

• 必須為亂數 

• 不可與他人分享 

• 不能夠在任意時間內改變 

• 使用者使用完後必須 logout 

• 3. 結合上述二者 

42 


通行碼認証 

1. 安全通道 : 通行碼以明碼傳送。 

2. 非安全通道 : 利用密碼技術做挑戰與回 

應。 

• 例如 : 挑戰 

0 2 7 3 6 3 9 2 

3 1 5 4 5 6 7 1 

9 4 0 7 1 1 5 3 

6 8 2 8 9 0 3 0 

• 回應 

• 規則 : 在每一行裡 , 若通行碼之數字出現 , 則必 

須填上 , 否則可自行選一數字填上。 

43 


存取控制 

• 任意式存取控制 

檔 

案 

使用者 

U1 

U2 

U3 

U4 

F1 F2 F3 F4 F5 

4 

0 

1 

0 

2 

4 

3 

3 

0 

2 

4 

2 

1 

3 

0 

4 

0 

1 

0 

2 

0: 不可執行 

1 : 可執行 

2: 可讀取 

3: 可寫入 

4: 擁有者 

44 


命令式存取控制 

• 安全等級 : 

• 將主體 ( 如使用者 ) 及物件 ( 如檔案 ) 分類成普 

通 (Unclassified)、密 (Confidential)、機密 

(Secret) 及極機密 (Topsecret) 

• 即 T > S > C > U ( 符號 ‘>’ 為高於 ) 

45 


規則 

1. 不可向上讀取 (No read up): 等級低的主 

體不能讀取高等級之物件。 

如 : 

T 

S 

S C 

U 

主體讀取物件 

2. 不可向下寫入 (No write down): 等級高的 

主體不能寫入一低等級之物件。 

如 : 

T 

S 

S C 

U 

46 

主體寫入物件 


木馬程式 (Trojan Horse) 

47 


安全技術與電腦稽核 

• 電腦稽核 : 

• 事先稽核 : 

• 實際資料稽核 , 確保內部資料的正確性。 

• 事後稽核 : 

• 目標 : 

• 歷史資料的稽核 , 發覺或追查可疑的事件及人員。 

• 確保所有運作均按既定安全政策執行。 

• 確保所有存取資料皆獲得授權。 

• 確保所有資料均經適當處理及其正確性。 

48 


電腦稽核 (1/2) 

• 目標 :( 以會計為例 ) 

• 所有交易運作皆按既定政策執行 

• 所有交易皆經授權 

• 所有交易皆經適當處理 , 以確保財務報表的正確性 

• 發展及使用審計軌跡 

• 確保稽核証據不被遺漏、更改及破壞 

• 利用稽核工具直接進入系統中查核 

• 稽核控制 

• 註 : 資訊系統管理與資訊系統稽核是完全獨立的個體 

49 


電腦稽核 (2/2) 

• 假設 : 

• 稽核程式軟體必須與系統程式獨立且無法被 

入侵 ( 最好在系統開發時即加入 )。 

• 稽核人員必須可被信任且被有效授權與認證 

• 上述假設均需賴網路安全技術方可達成 

50 


結論 

安全性 

資訊 

安全 

功能性 

便利性 

51

資訊安全概念 - 資通安全研發中心- 國立成功大學

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?