【文章內容簡介】 1 小於一個月 4 小於三個月 13 大於三個月 26 不切實際 * 門外漢 0 熟練者 2 專家 5 公開 0 內部資訊 1 敏感資訊 4 關鍵資訊 10 不需要 /存取不受限制 0 容易 1 適度 4 困難 12 無 ** 標準的 0 特殊的 3 特製的 7 資料來源： ISO/IEC JTC 1/SC 27 WG 3 (2023) ISO/IEC WD 18045： 2023(E) 。 花費時間 專業(yè)技術層次 需具有之評估標的相關知識 機會之窗 所需之相關設備 26 共同準則對可信賴資訊使用環(huán)境之衝擊 以微軟可信賴資訊使用環(huán)境生命週期為例 概念需求 設計完成 測試計畫完成 程式碼完成 發(fā)貨 再發(fā)貨安全問題訪視威脅分析 決定安全準則 外部審核安全分析與預評安全稽核與符合共同準則之文件準備學習與精進研讀共同準則保護剖繪、安全功能與安全保證需求安全工作策進小組審核設計與共同準則是否和諧共處資料更換與最小特權測試已登錄舊有缺失審核並使用工具檢查安全程式碼指導評估完成與需要時修補缺陷27 Microsoft Window 2023之似亂數(shù)產生器架構 金鑰種子容器( K e y c o n t a i n e r s e e d )C r y p t G e n R a n d o m ( )F I P S 1 8 6使用S H A 1 之似亂數(shù)產生器( P s e u d o r a n d o m n u m b e r g e n e r a t o r u s i n g S H A 1 )N e w G e n R a n d o m ( )RC4 M D 4S H A 1 x 4系統(tǒng)熵( S y s t e m e n t r o p y )RC4登錄種子( R i g i s t r y s e e d )亂數(shù)資料( Ran do m d at a)使用者( U s e r )核心( K e r n e l )每6 4 K 重新計算金鑰( R e k e y e v e r y 6 4 k )重新計算金鑰( O n r e k e y )HK LM / Sof t war e/ M i cr os of tCyr pt og r ap hy / RNG / See d熵源池( E n t r o p y s o u r c e )資料來源：H o w a r d , M . a n d D . L e B L A N C E ( 2 0 0 3 ) W r i t i n g S e c u r e C o d e , 2 n d e d . M i c r o s o f t P r e s s , P a g e 2 6 3 。28 微軟公司通過資訊安全評估共同準則產品列表 (20231231) 產品 證書類型 (Certification Type) 標的 獲證日期 Windows XP Professional, Windows Server 2023 (Standard, Enterprise and Data Center Edition) 1. Operating System 2. Sensitive Data Protection 3. Network Management Directive Server 4. Firewall 5. VPN 6. Desktop Management PKI 7. Embedded System Operating System 8. Web Server EAL4+: 1. 20231106 Windows Server 2023 Certification Server Certification Management EAL4+: 1. 2. 3. 4. 20231115 29 微軟公司通過資訊安全評估共同準則產品列表 (20231231) (續(xù) ) 產品 證書類型 (Certification Type) 標的 獲證日期 Inter Security and Acceleration Server 2023 Standard Edition Firewall EAL4+: 1. 2. 20230920 Exchange Server 2023 Enterprise Edition EAL4+: 1. 20231109 說明： 1. EAL： Evaluation Assurance Level。 2. PKI： Public Key Infrastructure。 30 美國 CA過程計畫之安全控制選擇 與實作的攻擊者資源分類示意 低 中 高 攻擊者 個體戶 有組織的團體 涉及國家之組織與團體 （例：網軍） 預算 ≦ . $1,000,000 ≦ . $10,000,000 ＞ . $10,000,000 技能 自學 有計畫之訓練 有計畫與控制之訓練 說明 :CA : Certification and Accreditation 31 資訊系統(tǒng)安全風險關連圖示意 攻擊手 使用 工具 / 技術 / 方法 威脅等級 ： 條件 威脅成真之條件 ： 對策 1 、 。 阻絕型控制措施 2 、 。 偵測型控制措施 經由 資訊系統(tǒng)暴 露之脆弱性 造成 資訊資產之機密性 / 完 整性 / 可用性之損失 防護等級： 基礎、中與高強健級 ： 對策 1 防範型控制措施 。 2 、 反應型控制措施 。 ： 衝擊 威脅成真之後果 、 32 CNS 154083 (ISO/IEC 154083)脆弱性評鑑類別之脆弱性分析 (AVA_VLA)屬別 ：發(fā)展者脆弱性分析 (EAL2與EAL3)。 ：獨立的脆弱性分析 (EAL4)。 ：中 (適 )度抵抗 (EAL5)。 ：高度抵抗 (EAL6與 EAL7)。 33 基礎強健級保護剖繪 1. 保證組件： EAL2。 缺點報告程序 ()。 指引之檢驗 ()。 2. 允許資訊系統(tǒng)之局部： 僅限軟體： 系統(tǒng)之一部份 (例：僅限資料庫 )。 34 中強健級保護剖繪 1. 保證組件 (已有 )： EAL4。 實作評估標的安全功能 ()。 測試：低階設計 ()。 缺點報告程序 ()。 脆弱性評鑑：中度抵抗的 ()。 35 2. 保證組件 (擴增 )： 功能規(guī)範 (ADV_FSP_(EXP).1)。 安全施行 (Security – enforcing)之高階設計 (ADV_HLD_(EXP).1)。 安全施行之低階設計 (ADV_LLD_(EXP).1)。 架構設計正當化 (ADV_ARC_(EXP).1)。 組成單位分解 (ADV_INT_(EXP).1)。 系統(tǒng)性密碼組成單位隱密通道分析 (AVA_CCA_(EXP).1)。 中強健級保護剖繪 (續(xù) ) 36 高強健級保護剖繪 EAL6為標的。 ，完成期尚待決定。 37 深度防禦定義 這個安全的方法是為了建立適度安全的系統(tǒng)，藉由多層保護的方式來滿足安全形勢上的需要；這種策略的觀念係植基於攻擊必須要突破安置於整個系統(tǒng)的多重保護措施才能得以成功。 The security approach whereby layers of protection are needed to establish an adequate security posture for a system。 strategy is based on concept that attacks must perate multiple protections that have been placed throughout the system to be successful. 38 說明： 1. 公開金鑰基礎建設 (Public Key Infrastructure，簡稱 PKI)/金鑰管理基礎建設 (Key Management Infrastructure，簡稱 KMI)。 2. 偵測與回應。 保護網路與 基礎建設 保護區(qū)域使用資訊環(huán)境之邊界 保護資訊 使用環(huán)境 支撐性基礎建設 1 2 操作 技術 人員 多層級的保護層次與方法 深度防禦策略 人員依恃技術進行操作 資訊保證 (Information Assurance) 組織功能與公司治理 (Corporate Governance) 深度防禦示意說明 39 微軟公司 2023提出之深度防禦 資訊安全解決方案 分類 解決方案 行動用戶 Encrypted File System (EPS), PPTP, IPSEC, L2TP 電子商務 Public Key Infrastructure (PKI), Integrated Certification Authority(CA), SSL/TLS 微型企業(yè) PPTP, IPSEC, L2TP, NTLMv2, Kerberos, PKI, SSL/TLS, S/MIME 網路系統(tǒng) Kerberos, NTLMv2, Smart Cards, Biometrics, Group policy, Delegated Administration 應用系統(tǒng) Kerberos, NTLMv2, Smart Cards, Impersonation, Auditing, SSPI, CryptoAPI, Code Signing and policyinistration 公共網路 PKI,Kerberos, Integrated CA, IPSEC, L2TP, SSL/TSL, S/MIME 管理 Active Directory Integration, Delegated Administration, Auditing Improvements, Security Templates 40 結論 「 資訊安全保證 」 之達成 ， 已成為數(shù)位空間安全基礎建設的礎石 。 2.「 資訊安全管理系統(tǒng) 」 之標的在於： 「 從確保資訊資源的合法存取 ， 到在所有可能遭受資訊攻擊之階段 ， 提供完整 、 未中斷的資訊系統(tǒng)運行 」 。 ， 建構數(shù)位社會資訊安全之情境 ： 「 運籌於虛擬實境之外 ， 決勝在網頁方寸之內 」 ； 因 「 人員依侍技術操作 」 ，故應根基於技術控制 、 作業(yè)控制 、 意外控制與管理控制等 4個構面實作 。 41 敬請指教 Thank You 42 附錄 1:資訊安全管理控制框架與 ISO/IEC 27001:2023(E)規(guī)範性控制措施，可符合相對應微軟資訊安全管理之產品與文件資源對照 對應微軟資訊安全管理 之產品 /文件資源 ISO/IEC 17799:2023(E) 控制措施節(jié)碼 管理控制之 1風險評鑑 (1).Microsoft Baseline Security Analyzer (MBSA). (2).MS Baseline Evaluation (MSBE) (3).Microsoft Risk Assessment (MSRA) (4).SMS (5).AD (Active Directory) (6).Event Viewer (7).Security Policy(Local/Domain) (8).Micr