1. FIND
  2. 國際案例
  3. 國際數據機安全標準需求：簡要分析與整理

國際數據機安全標準需求：簡要分析與整理


數據機常見的資安問題，往往對數據機正常運作、資料傳輸安全性、數據機使用者隱私造成不同層次的衝擊；為協助數據機尋找可供安全性檢測之依據，本研究援引各種國際數據機安全標準需求，以及數據機關注的資安問題，加以分析及整理，以期進一步發展為提升數據機安全性需求與方法建議。 

【數據機國際安全標準介紹】

有鑑於數據機面臨的諸多安全性議題，本研究以各項國際數據機安全標準為基礎，探討數據機應達到的功能、架構、連線、運作機制等安全性需求，為數據機把關安全性，保障數據機完整運作、資料傳輸安全和使用者隱私保障。 

  • LACNOG-M3AAWG連網裝置驗測表

本項目為拉丁美洲與加勒比海網路營運小組（Latin American and Caribbean Network Operators Group, LACNOG），訊息、網路及行動裝置反濫用工作小組（Messaging, Malware and Mobile Anti-Abuse Working Group, M3AAWG）兩個網路安全工作小組，針對Modem、路由器等「客戶端設備（Customer Premises Equipment, CPE）」各項安全議題，共同規劃的「最佳現行營運準則（Best Current Operational Practices, BCOP）」。

本項目針對以下六大面向需求，彙整可供驗測的表格，供Modem等CPE進行安全需求的評估，以減少Modem在出廠後發生的各項資安缺陷和疏失。

  1. 通用要求（General Requirements, GR）：Modem必須向使用者告知的裝置基本識別資訊、採用之開源軟體，共5條驗測項目。
  2. 軟體安全要求（Software Security Requirements, SSR）：Modem必須達到的憑證保護機制、資料加密方式、測試時漏洞防堵等需求措施，共4條驗測項目。
  3. 升級與管理要求（Update and Management Requirements, MR）：Modem需在軟韌體升級時，需在安全防護機制、存取權限管控、更新檔驗證等必備需求，共8條驗測項目。
  4. 功能性要求（Functional Requirements, FR）：針對Modem各項聯網參數、RFC技術文件合規性，一系列的基本安全指引，共20條驗測項目。
  5. 初始設定要求（Initial Configuration Requirements, IR）：針對Modem出廠上架前的預設安全參數做出的必要規範，例如SSID、DNS等預設值，共9條驗測項目。
  6. 廠商要求（Vendor Requirements, VR）：針對Modem製造商在客戶支援、疑難排解、產品保固、漏洞公告與修補等必要規範，共4條驗測項目。

另外，LACNOG、M3AAWG兩組織也依據上述六大類共45項目，規畫一份可供CPE安全性評估的驗測表，以協助電信業者、數據機等聯網設備製造商，評估現行CPE安全技術成熟度，並依據驗測表不同程度的優先級別，解決最關鍵的問題。

 LACNOG-M3AAWG驗測表（節錄）

資料來源： (LACNOG-M3AAWG, 2019)

圖1 LACNOG-M3AAWG驗測表（節錄）

 

  • US-CERT網路安全機構建議

本項目為美國國土安全部旗下US-CERT資安緊急應變團隊，於2008年1月所發布，針對數據機常見的後門入侵議題，進行安全性評估和漏洞補救等一系列建議。而本項目除探討駭客常見對Modem的攻擊流程外，US-CERT也做出針對數據安全架構需求的「數據機評估」，以及使用者如何做好數據機安全防護的「數據機防護方法」，指引使用者以正確方式，減少駭客對數據機本身和使用者隱私等衝擊。

  1. 數據機評估：
  • 了解聯絡窗口：使用者應了解Modem採用相關服務之聯絡窗口，如ISP、PBX、工程師、管理員等
  • 數據機相關文件索取方法：包含Modem技術文件、Modem安全規範、企業內部管理規範。
  • 可使用的任何工具：應評估各項Modem的攻擊路徑，並做好War Dialing隨機攻擊防護（類似War driving）、安全掃描、流量監控等防護工作。
  • 數據機辨識方法：將所有的數據機進行有效管理，做好安全性管控措施。
  • 數據機連線分析：藉由監控及診斷工具來防範惡意存取和異常流量連線。
  1. 數據機防護方法：
  • PBX（專用交換機）：PBX為公司常用的內線分機管理和轉接工具，可用來協助辨認惡意連線。
  • 電話防火牆：藉由在內外網之間建立防火牆來阻絕大部分的惡意連線。
  • 電話驗證：類似於VPN的原理，使用者需要取得登入憑證才能撥接及存取。
  • Logging（紀錄日誌）：藉由判讀Modem的連線紀錄，來分析是否有惡意連線。
  • 線路中斷：藉由斷網、斷電等措施來減少駭客更進一步對Modem與串接系統的入侵及影響。
  • 回撥：撥接數據機可用回撥方式進行身分驗證，但在ADSL Modem則使用登入密碼、認證碼等雙向認證措施。
  • 撥打者篩選：建立白名單以阻絕未經授權的外來存取。
  • 租用線路與撥號數據機：Modem需做好全程連線的加密措施，來預防中間人攻擊（MITM）。
  • 控制系統裝置安全：主要探討其他聯網裝置與Modem之間進行連線過程中的各項安全需求，例如帳號密碼設定。
  • 跳脫序列（Escape sequence）漏洞：主要針對早期撥接數據機（如Hayes），可利用跳脫序列的指令漏洞，強制斷線。

電話防火牆應用案例  

資料來源： (US-CERT, 2008)

圖2 電話防火牆應用範例

 

本項目起初探討傳統撥接上網數據機的安全防護方法，但隨著寬頻上網和行動網路的出現，針對傳統撥接上網數據機的安全防護方法依然有一定的實用性，並被國土安全部採納為防範駭客入侵的建議，以協助政府部門和民間組織採用可靠的寬頻／行動數據機防護方法。

 

【數據機國際安全標準綜整分析】

藉由分析以上兩項國際Modem安全性標準，本研究針對Modem的裝置規格、裝置防護、連線防護、管控政策、威脅分析、產品支援等指標，做出如後分類彙整。 

表1 兩項國際Modem安全標準之比較

表1 兩項國際Modem安全標準之比較

資料來源：本研究整理 

經由分類彙整不同類型Modem安全標準中可供驗測之項目，所注重的特點，有望協助Modem使用者更加了解問題所在，並著手加強產品防護、建立良好防護準則，減少產品缺陷或使用者缺失，而為駭客大開方便之門。 

【小結】

資安專家針對數據機的規格面、威脅面、管控政策、產品支援、裝置／連線防護等安全性議題，彙整為可供評估及驗測用的表格與項目清單，確保數據機產品達到基本安全需求；同時藉由實施驗測，點出數據機各項安全性缺失，並依據各項標準的通過需求予以改善。

本研究彙整的項目以資安專家角度，對Modem進行安全性稽核，未來隨著自動化驗測技術之發展，以期藉由進一步實施自動化Modem安全性驗測，節省安全性稽核的漫長流程與時間，使Modem安全性把關更為準確、更有效率。

參考來源：

  1. LACNOG-M3AAWG. (2019, May 1). Joint Best Current Operational Practices on Minimum Security Requirements. Retrieved April 24, 2020, from Messaging, Malware and Mobile Anti-Abuse Working Group (M3AAWG): https://www.m3aawg.org/sites/default/files/lac-bcop-1-m3aawg-v1.pdf
  2. US-CERT. (2008, January). Recommended Practice for Securing Control System Modems. Retrieved April 24, 2020, from US-CERT: https://www.us-cert.gov/sites/default/files/recommended_practices/RP_SecuringModems_S508C.pdf  
延伸閱讀
資訊安全