搜索
第九章資安重要名詞和春技術學院資工系李鴻鵬師2大綱1.資安重要名詞--FromAtoZ3Accesscontrol(存取控制)在資訊安全領域中，存取控制包含了認證、授權以及稽核，是一種對於資料或資訊系統使用的安全控制措施。電腦系統管理者可利用密碼或其他身分驗證的方式，對使用者進行認證、授權或拒絕存取與控管。換言之，存取控制在指派與控制使用者之權限(例如使用者的身份、使用系統之時間等條件)。存取控管可提供資源系統使用安全功能，降低駭客入侵或資料不當外洩的風險。4Adware(廣告軟體)廣告軟體是一個附帶廣告的電腦程式，以廣告作為盈利來源，這類軟體通常經由與特定免費軟體搭配分別安裝。許多使用者未經詳查，便會不慎地經由同意免費軟體的最終用戶授權協定(EULA)，而安裝了以廣告為目的的廣告軟體。也可以由其他人安裝在別人的電腦，有時甚至並未經其許可。有的會自動執行，雖然大部分對電腦無害，但通常這類程式經常在系統中造成惱人效果使系統效能低落，並多少會影響使用者使用電腦。廣告軟體也經常與間諜軟體串連起來安裝，並且會在執行過程來竊取使用者的資料。5Anti-phishing(反網釣)打擊網釣有許多不同的技術，包括設立專門的技術和立法以防範網釣，也可使用一些反網釣工具偵測網釣，例如SpoofGuard或EarthLink等軟體。6Anti-phishingworkinggroup(APWG反網路釣魚工作小組)APWG為來自全世界各地超過1600家公司組成的國際組織，網址:。目的是打擊利用網路釣魚進行詐欺與竊取個資等行為。該組織提供網路釣魚相關訊息、安全產品與法律方面的協助。7Anti-Spyware(反間諜軟體)反間諜軟體是用於檢測並清除間諜軟體的軟體。著名反間諜軟體有WindowsDefender、Spybot-S&D、Ad-Aware、SpywareDoctor等等。許多防毒軟體也都有反間諜軟體的功能。8Anti-SpywareCoalition(ASC反間諜軟體聯盟)ASC由美國產學研共同組成，網址：。目的在定義間諜軟體與整合各種反間諜軟體技術。9Anti-Virus(防毒軟體)透過即時監控的方式，掃描電腦裡執行的程式，並與病毒資料庫比對，若發現病毒時可將病毒的部分清除，或將可疑程式放入隔離區以免擴大感染。基本上目前的防毒軟體都具備即時清除病毒、木馬及惡意程式的功能，可於第一時間阻止電腦被感染或破壞。10Backdoor(後門)後門是指房間的背後的可以自由出入的門，相對於明顯的前門。也可以指繞過軟體的安全性控制而從比較隱秘的通道獲取對程序或系統訪問權的駭客方法。在軟體開發時，設置後門可以方便修改和測試程序中的缺陷。但如果後門被其他人知道(可以是洩密或者被探測到後門)，或是在發布軟體之前沒有去除後門，那麼它就對計算機系統安全造成了威脅。目前Windows上常見的後門程式有Netbus、Netspy、Netbuster、BirdSpy等等。11Botnet(喪屍網路)喪屍網路也稱僵屍網路，是指駭客利用自己編寫的分散式阻斷服務攻擊程序，將數萬個淪陷的機器(即駭客常說的殭屍電腦或肉雞)，組織成一個個控制節點，進行網路攻擊，包括竊取私密資料、網路釣魚、散布垃圾郵件、發動阻斷式服務等網路犯罪行為。最早的喪屍網路出現在1993年，在多人線上即時交談系統(IRC)中出現。2007年紐西蘭警方破獲一個由19歲的駭客組成的跨國網路犯罪集團，曾入侵了全球至少130萬台電腦，盜取了2500萬美元，是目前已知的最大規模的喪屍網路，他藉著電子郵件、即時通訊軟體或電腦系統漏洞，侵入電腦，藏身於任何一個程式裡，藉此盜取電腦用戶的信用卡及銀行帳號等私人資料。12BrowserHijacker(瀏覽器劫持軟體)瀏覽器劫持軟體是屬於流氓軟體的一種，會主動攻擊使用者瀏覽器，入侵後未經用戶許可，竄改用戶瀏覽器或其他相關設定，迫使用戶訪問特定網站或導致用戶無法正常上網的行為。13CEH(CertifiedEthicalHacker駭客倫理認證)CEH屬於駭客領域之專業認證，只需要通過以下認證科目：倫理入侵及防範措施考試，即可取得EC-Council發給之證照。此CEH之認證具有二個專業特性：1.CEH證照證明安全專家有能力在網路和電腦系統上，藉由駭客所使用的工具和應用相同的知識去尋找和偵測出企業之安全漏洞及弱點，受測者必須相當熟悉駭客使用工具。因此有人稱CEH為白帽駭客認證，希望與違反道理倫理規範的黑客做區別。2.駭客有自己的道德準則，所有的資訊都應當是免費的；打破電腦集權；電腦使生活更美好等；駭客並不總是利用電腦來犯罪，其破解電腦代碼只是為了發現更方便使用某種程式的捷徑。14CertificateAuthority(憑證中心或認證中心)憑證中心是發行憑證的機關或團體，憑證中心通常由具有公信力的第三者單位擔任，負責核發並管理電子身分憑證等事務，在我國是由內政部憑證管理中心負責，網址是。憑證中心的基本服務包括：核發自然人憑證、各種公務憑證、維護、展期及將簽發之憑證資料及憑證廢止清冊(CertificateRevocationList,CRL)公佈於目錄伺服器，以供外界查詢及下載。15CertificateICcard(憑證IC卡)憑證IC卡的主要的功能為提供網路身分驗證、並防止資料在傳輸與交換的過程中被偽造或竄改。所以，常有人把憑證IC卡和網路身份證劃上等號。而因為憑證用戶的身份和角色有所不同，通常也都必須申請所對應的憑證類別，來作為網路身份認證使用。目前較為國人所熟知的憑證IC卡有內政部的自然人憑證IC卡和經濟部的工商憑證IC卡。16CISSP(國際資訊安全管理師)CISSP(CertifiedInformationSystemsSecurityProfessional)為全球資訊界公認之權威性專業證照，目前全球已有超過15,000名擁有此項證照，是由中立的國際資訊系統安全認證協會(InternationalInformationSystemsSecurityCertificationConsortium,ISC2)所頒發的資訊安全系統管理證照。CISSP認證內容涵蓋管理規劃資訊系統安全的專業知識，如網路通訊安全、存取控制管理規劃、電腦犯罪等。對所有有志於從資訊安全工作之業者、顧問、網管人員、資訊或稽核人員…等，通過CISSP考試代表個人在資訊安全領域之專業肯定。17CMEProject(CommonMalwareEnumeration,CME計劃)CME計劃是由美國電腦緊急應變小組(US-CERT)所主導，會同安全社群內一些重要組織協同合作的一項工作。透過採用中立、共用識別方法，CME計劃尋求：降低大眾對於惡意軟體資安事端中的威脅認知混淆、加強防毒軟體廠商之間的通訊，改善防毒軟體廠商與其它資訊安全社群之間的通訊與資訊共用，以及統一新惡意軟體的名稱，指定唯一且通用的病毒代碼。例如全球企業防毒、反間諜軟體及反垃圾郵件軟體領導廠商Sophos也是CME計劃的編輯委員會一員。18CNS27001(國家標準之資訊安全管理系統要求事項)CNS27001是個CNS的總號，英文名稱是Informationtechnology-Securitytechniques-Informationsecuritymanagementsystems-Requirements，中文是資訊技術-安全技術-資訊安全管理系統-要求事項。CNS27001資訊安全管理系統驗證規範，明訂建立、執行、文件化資訊安全管理系統的要求以及依個別組織安全需求所執行的安全控制的要求，本標準主要提供資訊安全控制措施與作業方法。19CNS17799(國家標準之資訊安全管理系統作業規範)CNS17799是個CNS的總號，英文名稱是Informationtechnology-Securitytechniques-Codeofpracticeforinformationsecuritymanagement，中文是資訊技術-安全技術-資訊安全管理之作業規範。CNS17799為資訊安全管理實行細則，本標準為資訊安全管理系統的建立與實施，提供一套完整的安全管控方法，為目前很值得參考之資安管理實務典範。20ComputerForensics(電腦鑑識)電腦鑑識是利用科技與嚴謹的檢查程序，自電腦系統或其它類似的儲存媒體中，查找罪行相關物證或間接物證。電腦鑑識包含了保留、記錄、讀取、鑑別儲存在電腦裡的資料文件。21ComputerSecurityHacker(電腦安全駭客)電腦安全駭客是指擁有電腦與網路知識的駭客，這樣駭客懂得網路運作原理與其資安風險，比如在一個有IPS的網路環境，他知道如何避開IPS的偵測與阻擋進行攻擊。22Copyrightinfringement(盜版)盜版指在未經版權所有人同意的情況下，對其作品、出版物進行複製、再分發的行為。在很多國家和地區，這種行為被定義為侵犯知識產權的違法行為，甚至犯罪行為，會受到所在國的處罰。盜版出版物通常包括盜版書籍、盜版軟體和盜版影音圖像作品。23Cracker(黑客、黑帽駭客(blackhathacker)、怪客、垮客和劊客)黑帽駭客一般有以下意義：一個惡意(一般是非法地)試圖破解或破壞某個程式、系統及網路安全的人。「cracker」不同於「hacker」。「cracker」沒有「hacker」精神，也沒有道德標準。「hacker」們建設，而「cracker」們破壞。24DOS(阻斷服務攻擊)攻擊者藉由不當方式佔用某一特定的攻擊目標電腦系統資源(例如：網路)，達到干擾正常系統運作的進行。不同於一般網路入侵，DoS不一定需要取得系統使用的權力，即可達到目的。最常見的DoS方式即是透過所謂的訊息洪泛(Messageflood)，向攻擊對象送出大量且無意義的網路訊息，而導致服務無法如常運作，也是一種殭屍網路(即Botnet)的攻擊方式。25DDoS(DistributedDenialofService分散式阻斷服務攻擊)分散式阻斷服務攻擊亦稱為洪水攻擊(SYNflood)，它是利用網路上已被攻陷的電腦作為「喪屍」，向某一特定的攻擊目標電腦發動密集式的無意義的網路訊息要求，不管被攻擊目標電腦是否回應，都會因網路頻寬被佔用，藉以把攻擊目標電腦的網路資源及系統資源耗盡，使之無法向真正正常請求的使用者提供服務。駭客透過將一個個「喪屍」或者稱為「肉雞」組成殭屍網路(即Botnet)，就可以發動大規模DDoS或SYNflood洪水網路攻擊，或者將「喪屍」們組到一起，進行帶有利益的刷網站流量、Email垃圾郵件群發，癱瘓預定標的受雇攻擊競爭對手等商業活動。26DMZ(Demilitarizedzone,非軍事區域)非軍事區域在電腦用語則是指公司內部安全網路和外部非安全網路之間所設置的一個緩衝次網路系統，具有屏障的功能，是一個能同時受防火牆系統與入侵偵測系統保護的區域，其主要功能是保護內部網路不受外部使用者攻擊以及病毒感染，並且提供網際網路服務的網路區段。例如我們可以設定防火牆(例如設定有提供NAT或是DMZ功能的分享器)，允許外部直接傳入到DMZ內的伺服器，但僅限制於某些特定的協定，如DNS、、FTP、MAIL等，同時也允許內部網路使用這些服務。但外部網路是完全禁止進入內部網路的，而內部網路則可以通過Proxy存取外部資源。27Drive-bydownload(路過式下載)路過式下載是對網際網路上的一種行為的描述，一般表現為：1.任何不希望用戶知曉的下載行為2.在用戶不知道的情況下下載間諜軟體、電腦病毒或者任何惡意軟體。路過式下載可能發生在用戶訪問一個網站、閱讀一封電子郵件、或者點擊一個欺騙性彈出式視窗的時候。例如，用戶誤以為這個彈出式視窗是自己的計算機提示錯誤的視窗