居家辦公成資安破口 學者籲強化資安防護

2020年新冠肺炎病毒蔓延全球,歐美企業在嚴峻的疫情下以居家辦公降低群聚風險,台灣因防疫得宜,多數仍維持正常上班。但今 (2021) 年 5 月本土疫情爆發,國內企業為因應疫情緊急採取居家辦公,資安防護是否到位,儼然成為企業急需關注的議題。根據軟體業者 Check Point 調查,今年 4~5 月,亞太地區網路攻擊月增 53%,其中台灣排名第 5、月增 17%,凸顯居家辦公下,企業加強資安防護的重要性。

 

臺灣科技大學資訊管理系系主任 查士朝教授 。(圖/蔡雨婷攝影)

 

 

居家辦公缺乏防護機制  成駭客攻擊目標

 

臺科大資管系系主任查士朝指出,去年全年國外企業多採居家辦公,已有統計數據顯示居家辦公已成為駭客資安攻擊一大目標。查士朝解釋,居家辦公情境下,民眾常一邊以家中電腦收信,一邊以企業虛擬專用網路(Virtual Private Network,VPN)連接公司內部網路工作,直接帶來釣魚郵件或惡意軟體的潛在威脅。若是家用電腦防護機制不足,無意間即可能透過 VPN 連線,將駭客「帶回」公司。

 

查士朝說,以防護嚴密程度來看,國內資安防護做得最好的當屬財政資訊中心、健保資料庫。這些單位控管民眾重要個資,資安防護嚴密,設置高規格的實體安全隔離機制,系統也不會與外界連網,防護程度相對嚴密。一般企業雖無做到類似封閉的環境,但仍有基本的實體門禁及網路安全機制,然而,居家辦公「這些機制都沒有」。

 

企業電腦多半配備防毒軟體,可以作為防範駭客社交攻擊的第一道防線,但員工家用電腦很可能都沒有裝。加上疫情期間,民眾更常依賴社交媒體交換疫情、疫苗相關訊息,駭客可能丟個釣魚網站就上鉤了。「居家辦公較好的解方是企業提供員工工作用電腦,但這受限於企業經費」,查士朝解釋。

 

其次,居家連網也是資安一大議題,查士朝指出,一般人不一定會常更新居家無線網路設備,但如果無線網路設備久未更新,安全協定可能出現漏洞,成為駭客攻擊一大破口。

 

查士朝解釋,駭客入侵辦公電腦後,會透過 VPN 連線潛入企業內部網路,再透過橫向攻擊尋找管理員權限,竊取公司機密文件。

遠距辦公面臨的 5 個潛在資安威脅。(圖/查士朝教授提供)

 

 

資源花在刀口上  重點保護機密資料

 

雖然 VPN 連線是企業居家辦公常用方式,但查士朝直言,「這是最簡單但也最不安全的做法」,民眾透過 VPN 連回公司,變成公司內的一台電腦可以直接存取公司所有資源,可能引發資料外流危機。較好的作法是限制存取對象,或針對存有重要資訊電腦設置防護機制。

 

查士朝建議,若要有較好的防護可以參考國內金融業常見作法設置「VPI(虛擬桌面)」,員工連線回公司都必須經過線上檢查,合格後才能連線到虛擬桌面,且虛擬桌面同步紀錄員工操作內容,防範資料外流,但這取決於企業對於資安重視、資源投入程度。

 

然而國內 97% 為中小企業,以毛利率 1% 計算,「花 1 萬塊等於要賺 100 萬」,中小企業多難以支應大量財力投入資安防護;對此,查士朝建議,企業可以先盤點重要資料、系統並集中管理,將資源優先用於維護相關系統,確保資料安全性。

 

除了外部駭客,內賊也是一項隱憂。查士朝認為,若有心人士要竊密,各式手法防不勝防,居家辦公環境下,包含螢幕錄影、側錄等都是可能方法,建議重要的機密資料要限制公司內部存取,減少相關風險。

 

 

勿點擊陌生連結  強化個人資安防護

 

查士朝指出,除了攻擊企業之外,駭客針對企業資安防護較為嚴密的產業,如因金管會要求資安防護程度較佳的金融業,會轉而攻擊企業終端使用者(End user)。今年以來台新、國泰等國內大型知名銀行,接連傳出用戶收到詐騙簡訊,在釣魚網站中輸入帳戶資料,導致戶頭遭駭,面臨金錢損失。駭客除了運用釣魚網站竊取個資之外,「撞庫」(即利用詐騙拿到的同一組帳號、密碼在不同企業資料庫間測試)也是駭客竊取民眾資料的常見手法。

 

面對無差別式的社交攻擊,民眾最好的防範方法是不要輕易點擊陌生連結,並維持手機、筆電等裝置系統更新至最新版本。透過企業與使用者雙方加強資安防範,才可能避免多樣化資安威脅造成的損失。


推薦閱讀

產業 IT 化 透過調整結構改善 OT 資安威脅

2021.09.30 特約記者 陸恩

基礎建設成駭客攻擊熱點 資安防護已成關鍵議題

2021.09.30 特約記者 吳佳穎

企業風險與日俱增 資安升級迫在眉睫

2021.09.30 特約記者 吳佳穎