技術 - 網絡安全事件簿(1)網路駭客—你的了解有多少？

[飛鳥]

臺灣駭客所使用的手法及工具日新月異，攻擊的目標已從早期的伺服器，轉向個人電腦，想強化資訊安全，不光是把駭客擋在家門外就好，需達到三個目標：機密性、完整性及可用性。

這幾個月以來，如果打開電視或者瀏覽各大新聞網，「谷歌」這個Google正式中文名稱佔據了大量的版面。建議你試著從Google所提供的新聞搜尋功能，鍵入駭客二字，我現在查詢出現的結果，會看到「得意！17歲駭客：入侵大陸貼我國旗」在第一個搜尋欄位中出現。

回想十七歲當年，可能有很多人像我一樣，準備大學聯考佔據了大部分的時間，只有偶爾連上撥接BBS站，或使用各大學提供的免費撥接來存取一些網路資源。現在的網路發展與當年已不可同日而語，十七歲的年輕學生可以透過網際網路，輕鬆獲得許多與駭客相關的知識與工具，藉此進行一些危害資訊安全的行為，而且在媒體上佔據了版面，對於現在頻繁使用網際網路的日常生活來說，這項新聞提醒了我們必須對資訊安全有所警覺。


從紅線可以看到攻擊行為日趨複雜，藍線走勢則意味入侵所需的技術知識程度已逐年降低。資料來源：CERT/CC

駭客的威脅
事實上，在媒體的推波助瀾下，駭客這一詞早已被污名化，變成許多攻擊事件的主使者。在這樣地大肆炒作下，駭客入侵的嚴重性，一般人卻沒有太大的感覺，反而以一種羨慕技術高超的角度來看待駭客社群。

這並不是一個正確的看法，舉例來說，從 CIH 事件被報導之後，加上媒體持續的追蹤，誤導了一些年輕人的想法，他們以為要有某些豐功偉業，才能踏進資訊安全的領域，實際上並不盡然。一般而言，駭客可分為三大類：

指令小子（Script Kiddle）
Script Kiddle許多中文翻譯為指令小子，顧名思義他們會利用網路上現成的自動攻擊程式，以這些程式掃瞄出系統的許多弱點，讓這些人可以在未獲得授權的狀況下，取得系統權限。

這些人通常不具備相關知識，對這些系統弱點及掃瞄與運作方式都不熟悉，所以入侵經常無法成功，但是萬一得手，卻又不曉得已經造成重大危害，實在非常糟糕。

在臺灣，許多喜歡塗鴉網站（Defaced）的駭客便屬於此一族群，數量非常龐大。

白帽駭客（White Hats）
這些是懂得安全弱點的駭客，同時也知道如何找出並且利用弱點的人，script kiddle 所利用的工具，大多出於這些駭客之手。

這些人具備道德的良知，在企業或資安公司裡，默默協助資訊安全的強化，幫助甚大，異於那些亂搞卻不知其然的小朋友。

黑帽駭客（Black Hats）
與白帽駭客相同，差別在於他們不具備道德良知，只關注於利益或炫耀其技術。最可怕的莫於利用自身具備的能力，勒索他人。

由美國 CERT/CC 所做的一項研究中可以看出，要具備入侵及破壞能力的知識，困難度正在逐漸下降。

臺灣駭客與事件回顧
歷經幾年的發展，臺灣的駭客也出現了一些知名的個人或團體，甚至在國外發表過相關安全訊息。目前大多透過兩種方式維持聯繫，一是透過 IRC聊天室，一為透過所謂聯盟網站相互溝通。

在大多數人的認知裡，主修電腦相關科系的駭客比例應該是最高，實際上不盡然，臺灣具備此種能力的許多高手，並非主修相關科系，在國外甚至有芭蕾舞者在網路安全公司擔任重要研究角色，這點遠超出大家想像。在臺灣，駭客造成了一些影響，讓我們簡單回顧及說明歷年來由本土駭客所引發的事件。

1999年：黃姓軍醫案
這是國內破獲首宗典型的駭客入侵案。在這個時期，許多提供服務的主機並未針對系統漏洞進行檢查，並安裝修補程式，同時在連線時未使用加密的通訊協定，讓駭客可以輕易地在網路上以 Sniffer 攔截到不少 ISP 使用者帳號密碼，藉此登入主機，執行針對使用者電腦本機端的攻擊程式，取得管理權限。

2001年：刑事局破獲入侵證券商網路下單系統駭客
前面提到 script kiddle 利用自動攻擊的程式以獲得權限，而這是一個進階版的例子，駭客利用了這些工具，掃瞄網路下單主機、找出漏洞後，進而搜尋系統中包含客戶帳號密碼的檔案，並透過下單系統，利用這些資料登入後，接著進行買賣。

2003年：木馬駭客落網 警方要求現場寫解毒程式
繼BirdSPY木馬程式後，臺灣駭客在後門程式上的設計與實作已有大幅進展，並受到大陸駭客廣泛使用，多安裝在被入侵的臺灣使用者電腦主機之中。主要特色並非像傳統後門程式以直接連線執行，而是透過中繼的方式進行。被安裝後門程式的主機或個人電腦會主動對外連線，在當時一般防毒程式無法偵測到這項威脅，許多使用者因此受到波及。

2004年：16歲駭客「網路釣魚」竊密
臺灣駭客開始利用 phishing 方式，詐騙受害者帳號密碼。特別的是本案例中的駭客，竟然成功騙取了某駭客組織領袖的密碼，之後再成功取得網站管理者密碼，令正牌站長為之氣結，卻又不敢聲張。

2005年：駭客入侵大考中心 過去三年逾百萬筆資料外流
這是目前國內最神勇的駭客，媒體將他塑造成駭客天才，除了竊取資料外，還可以肉眼檢視資料，破解密碼，宛如電影「美麗境界（A Beautiful Mind）」中的 John Nash。

事實上，這只不過是肇因於簡單的 SQL Injection ，此漏洞在網路上公布了已經有六年以上，而非全新的系統漏洞，這是程式設計人員的疏失所造成的駭客事件。

在網路時代，資訊安全愈顯重要
由以上這些事件來看，臺灣駭客所使用的手法及工具日新月異，攻擊的主要目標已經從早期的伺服器，轉向一般的個人電腦。除了攻擊本身所造成的影響外，受到入侵的原因甚廣。除了未及時針對漏洞補強，系統的錯誤設定、建置安全設備未設定良好安全政策、未定期檢視及修正安全政策等，這些皆屬經常發生的疏忽。

想強化資訊安全，需達到三個目標：機密性、完整性及可用性，不光只要把駭客擋在家門外就好。簡單的說，就是不讓未經授權的人讀取被保護的資料，確保被儲存的資料不受到不當的方式改變，並要求資料只能被擁有權限的人讀取。要符合這三大目標，對個人、學校單位或企業來說，並非一件可以簡單完成的工作，但是我們可以透過一些簡易的步驟及原則，逐步加強。在未來的專欄文章裡，將會依照不同的目標，透過實際的例子，進一步與各位讀者說明。