<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/3-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">在現代的網路戰場上，不能再單兵作戰，必須要集合大家的力量才能戰勝駭客。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>蔡英文總統日前表示，政府以「資安即國安」為政策方向，積極與各界合作，建立資安國家隊。去（2022）年數位發展部成立，下轄資通安全署。今年 2 月，國家資通安全研究院也正式揭牌。</p>
<p>&nbsp;</p>
<p>政府的資安防護網攸關全民安全，那麼目前究竟是以什麼樣的專責組織來監控資安呢？</p>
<p>&nbsp;</p>
<p>2017 年起，我國已逐步建置國家資安聯防體系，其中設置三種資安組織，分別是資訊安全監控中心（Security Operation Center, SOC）、電腦緊急應變小組（Computer Emergency Response Team, CERT）以及資訊分享與分析中心（Information Sharing and Analysis Center, ISAC），以系統化和制度化的方式建立防禦陣線。</p>
<p>&nbsp;</p>
<p>這三種機構分別有何功能？又如何攜手形成資安防護體系呢？簡單來說，SOC 是組織內部負責監控資安的單位，負責資安事件的預防、偵測、分析與回應。 ISAC 是同一產業或領域裡共同建立的聯防機構，各個 SOC 之間藉由 ISAC 交換情資。CERT 則是專門負責協調處理資安事件的機構，事件後會將資訊回報給 SOC 強化監控，也會回報給 ISAC 以促成聯防。以下我們詳細介紹這三種資安機構的角色。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>資訊安全監控中心嚴密監控與指揮作戰</b></span></h2>
<p>資訊安全監控中心（SOC）是組織內部負責資安的單位，作為指揮中心，監控整個組織的資訊科技（Information Technology, IT）基礎設施，職責包括資安事件的預防、偵測、分析與回應等方面。</p>
<p>&nbsp;</p>
<p>從平時的資安防護，到事件發生後的應變，皆是 SOC 的職掌。首先，需要管理所有應受保護的裝置，以及用於資安防護的工具，並安排軟體升級、更新防火牆等防護措施。SOC 也必須備妥事件應變的計畫，經由定期測試訂出最佳策略。增強預防措施的同時，也要全天候持續、積極地監測異常或可疑活動，管理網路的紀錄檔，並且偵測有威脅的訊號。</p>
<p>&nbsp;</p>
<p>一旦資安事件發生，SOC 需要迅速反應，減少惡意攻擊造成的損害。接著，要確保根除威脅，恢復事件發生前的運作狀態。事件過後，還需完成調查，並採取改善措施，如更新軟體等，避免類似事件再次發生。此外，SOC 也要在事件發生後，確保所有系統和工具符合資料隱私規範。</p>
<p>&nbsp;</p>
<p>中華資安國際洪進福總經理表示，SOC 發現惡意攻擊事件時，應立即發出告警，通報相關人員確認，並採取適當的處置，例如更換受駭帳密、關閉網路漏洞、修補作業系統、強化設備防護規則等。</p>
<p>&nbsp;</p>
<p>那麼，該如何考核 SOC 的績效呢？洪進福總經理表示，各企業的績效考核標準不一，包括資安防護監控的涵蓋率和有效性、資安事件偵測通報的正確性、資安事件回應的速度、風險評估的準確性和及時性等多個方面。</p>
<p>&nbsp;</p>
<p>洪進福總經理說明，上述幾項指標可反映 SOC 的績效表現——如果涵蓋率不足，可能造成資安事件發生時，事件來源沒有納入 SOC 的監控範圍，也無告警；如果有效性不足，SOC 可能在資安事件時沒有偵測出異常，也無告警；如果事件偵測不夠精準或及時，可能導致無法及時發現和處理事件，進而對企業的資訊安全造成嚴重損害。</p>
<p>&nbsp;</p>
<p>SOC 績效考核涉及多個面向，因此洪進福總經理認為，應建立一套完善的考核標準和方法，並不斷評估資安監控的有效性，才能更妥善保障企業的資訊安全。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/3-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">資訊安全監控中心（SOC）就像是指揮所，嚴密監控現況與部署網路戰規劃。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>三種資安組織構成防禦陣線</b></span></h2>
<p>SOC 從預防、偵測、應變、改善等方面，監控組織內部的資訊安全。然而， SOC 還不足以單獨構成有效的資安防護網。若能與其他類型的資安組織攜手合作，防禦體系會更加嚴密。</p>
<p>&nbsp;</p>
<p>洪進福總經理指出，由於駭客的攻擊手法日新月異，各個 SOC 之間亦透過資安資訊分享與分析中心（ISAC）進行情資交換，建立協同防禦的城牆，達到聯防目的。ISAC 是同一種產業或同一領域的組織共同建立的資安機構，作為整個資安防護體系的神經傳導中樞，負責接收、統整及分析情資，並與國內、外其他單位交流情資。</p>
<p>&nbsp;</p>
<p>資安事件發生時，除了 SOC 以外，企業亦透過資安專家組成的電腦緊急應變小組（CERT）協助處理。CERT 是專門負責協調處理資安事件的機構，在事件發生後幫助企業和組織緊急應變、確認入侵管道、評估受影響範圍，以及提供改善建議，防止事件擴大。事件處理後，CERT 會將調查與處理結果回報給 SOC 強化監控，也會回報給 ISAC 分享情資與聯防。</p>
<p>&nbsp;</p>
<p>台灣電腦網路危機處理暨協調中心（TWCERT/CC）是國內負責資安事件通報及協處的 CERT 機構。TWCERT/CC 網資組林志鴻組長指出，資安事件發生時，CERT 的人員會協助緊急處理事件；處理告一段落後，SOC 或 CERT 人員則可將掌握的威脅情資，藉由 ISAC 分享給其他組織的資安單位，達到資安聯防目的。</p>
<p>&nbsp;</p>
<p>在資安情資的蒐集與分析上，SOC、CERT 與 ISAC 扮演相輔相成的作用。國家資通安全研究院孫偉哲副主任以「事前」、「事中」、「事後」三個階段，說明三種資安組織的功能——事件發生前，由 SOC 收集監控事件單以及分析情資；事件當中，CERT 收集資安事件通報內容；事件過後，ISAC 彙整情資與分享聯防。</p>
<p>&nbsp;</p>
<p>2017 年起，在政府逐步打造的國家資安聯防體系當中，SOC、CERT 及 ISAC 三種資安組織共同承擔防禦任務。目前，政府推動的「國家資通安全發展方案」，不但設置國家層級的 SOC、CERT 及 ISAC，也針對關鍵基礎設施八大領域（能源、水資源、通訊傳播、交通、銀行與金融、緊急救援與醫院、中央與地方政府機關、高科技園區），分別建置領域層級的 SOC、CERT 及 ISAC。這些領域層級的資安機構向上銜接國家層級、向下銜接提供者層級，構成完整的聯防體系。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/3-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">資安事件發生時，CERT 會協助處理；事件過後則由 ISAC 彙整情資、協助聯防。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>負責通報應變與鑑識分析的資安工程師</b></span></h2>
<p>資安組織掌管的任務繁多，事前、事中、事後各有不同，因此工程師也有不同的職掌。負責第一線通報應變的資安工程師，以及第二線鑑識分析的資安工程師，究竟要處理哪些項目呢？</p>
<p>&nbsp;</p>
<p>林志鴻組長說明，第一線通報應變的人員應掌握資安事件的各方面資訊，包括事件發生的狀況或樣態、時間、受影響範圍、是否涉及核心系統或敏感資訊等，接著評估是否需要外部支援，並且針對資安事件採取因應措施。</p>
<p>&nbsp;</p>
<p>孫偉哲副主任則表示，第一線人員會看到各類資安設備觸發之工單，綜合分析各項工單以後，確認客戶是否有疑似遭駭的情形；若有，則即時通知客戶進行下一階段處理。</p>
<p>&nbsp;</p>
<p>至於第二線鑑識分析的工程師，林志鴻組長指出，這類人員「根據事件樣態、時間、影響範圍等資訊，盡可能蒐集相關資通設備的日誌、硬碟映像檔、記憶體資訊等，進行鑑識分析，找出可疑的檔案、執行緒、指令、網路連線等，推論可能的入侵時序、軌跡、及事件根因等，以便研擬改善建議。」孫偉哲副主任說明，此類工程師的任務「以事件通報內容與分類為主，了解事件始末與尚未釐清的細節，嘗試協助客戶做第一線緊急應處與損害管制，避免事件擴大。」</p>
<p>&nbsp;</p>
<p>孫偉哲副主任表示，事件嚴重程度若需進一步技術協助，則可啟動事件處理與資安鑑識作業。此時，應注重現場取證後的重點資訊，作為後續事件根因分析研判的依據。</p>
<p>&nbsp;</p>
<p>資安工程師分析戰情資料後，資料呈現方式也是一門學問。孫偉哲副主任表示，戰情室的資料呈現取決於戰情運用者：對於單位內部一線 SOC 監控分析人員，應呈現較細部的資訊；對於上位決策層級，則不需提供有待判讀的細部資料，而是精煉過後、可供直接決策的資料，並且著重於資料廣度，以利研判情勢。</p>
<p>&nbsp;</p>
<p>由上可見，不論是組織建立與考核，或是實務運作中的情資分析與呈現，皆有眾多方面需要工程師與決策者共同評估、考量，以達成最佳防禦效力。</p>
<p>&nbsp;</p>
<p>近年來，資安防護對於政府與企業愈趨重要，政府在「資安即國安」的意識下積極打造「資安國家隊」，企業也不斷提升資安組織的效能。唯有 SOC、CERT 與 ISAC 三種資安組織相互合作，在事前預防、事發應變、事後改善等方向面面俱到，才能打造足夠嚴密的防線，保障全民的資訊安全。</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜中華資安國際 洪進福總經理、國家資通安全研究院孫偉哲副主任、台灣電腦網路危機處理暨協調中心網資組 林志鴻組長；責任編輯｜曹盛威、劉品萱）</p>
