Search
Close this search box.

【專訪】DEVCORE 執行長翁浩正:資安已走入「VUCA 時代」,企業必須隨著外在環境,變得更強大!

編按:近年,供應鏈資安風險不斷增加,且社交工程攻擊越演越烈。加上 2022 年底,像 ChatGPT 這樣的 AI 工具走入了大眾眼簾,但也成為一把雙刃劍,已有駭客利用 ChatGPT 來自動撰寫網路釣魚郵件。2023 年,企業應當如何制定相關策略?

戴夫寇爾(DEVCORE)執行長翁浩正 Allen Own 在接受《TechOrange》 Podcast 節目〈全新一週〉專訪時指出,除了將資安意識融入到企業體制內,還必須隨著外界的變化,不斷學習資安新知,讓自己變得更強大。

翁浩正在節目中談論:

1. 2023 年資安重點趨勢

2. 企業如何因應「供應鏈資安風險」與「社交工程攻擊」

3. 台灣資安優勢

以下為節目專訪逐字稿。

《全新一週》主持人戴季全(以下簡稱「戴」)

戴:哈囉!各位聽眾朋友大家好,我是戴季全,歡迎回到全新一週。

我們今天邀請到的特別來賓是大家熟悉的好朋友,也是我們資安圈的一把手,我們今天邀請到的是 DEVCORE 的 Allen,就是戴夫寇爾執行長翁浩正,Allen 你好!

戴夫寇爾(DEVCORE)執行長翁浩正 Allen Own(以下簡稱「翁」)

翁:大家好,季全好,各位聽眾朋友大家好,我是 DEVCORE 的執行長 Allen。

戴:首先我要先恭喜 Allen 跟 DEVCORE,就是 DEVCORE 現在其實滿十周歲了對不對?

翁:是,沒錯。

戴:好,這是第一個要恭喜 DEVCORE 跟 Allen,第二個是 DEVCORE 不久之前就拿下了全球白帽駭客的第二座冠軍,這個比賽叫做 Pwn2Own。

翁:是,Pwn2Own 競賽。

戴:那 Allen 是不是可以跟大家介紹一下 Pwn2Own 競賽,我知道是一個很有趣的比賽,是不是可以跟聽眾朋友介紹一下,這個比賽的形式,以及為什麼這比賽這麼受全球白帽駭客推崇?

翁:其實 Pwn2Own 競賽算是資安研究人員的一個最高殿堂,原因是因為,它是由 ZDI 這間公司所舉辦,那它現在已經變趨勢(科技)的一部分了。

那這比賽的有趣點是,它每年會公開一系列的目標,例如說是手機、物聯網的設備裝置,甚至說可能有些更大型的,像是電動車等等,都會是目標之內。

它裡面會定義說,如果──因為它是個比賽──如果說有團隊拿下成績還不錯,像是我如果有挖到漏洞然後控制它的話,那我可以把這個設備拿走。

那它也會有一個總積分,它會定義說誰是 Master of Pwn,就是說誰才是駭客大師的這種名譽,所以說資安研究人員都在想說,我是不是可以去在這個時間之內,挖掘到越多漏洞,去展現我們團隊的能量。

戴:所以 Pwn2Own 那個「Own」的源起是不是說,我只要駭進去那台,那台就是我的?

翁:對,我只要能夠拿下它了、我真的能夠控制它,那我就可以把它帶走(帶回家)。

戴:所以它如果是一台,可能比賽中都出現過,這比賽中有出現過特斯拉汽車。

翁:有,有出現過車子。

戴:所以只要能夠攻下那台車,那台車就可以帶回家;(攻下)手機,手機就可以帶回家;(攻下)筆電,筆電就可以帶回家。

翁:沒錯。

戴夫寇爾(DEVCORE)執行長翁浩正 Allen Own 與《全新一週》主持人戴季全

資安已走入「VUCA 時代」,必須隨著外在環境,變得更強大!

戴:好,再次恭喜 DEVCORE 拿下台灣史上第二座冠軍。

現在 2023 年其實才剛開始沒多久,但其實我們看新聞還有大家日常生活,都非常強烈地不管是詐騙,還是工廠被勒索,或不管是晶片商還是代工製造廠被惡意勒索、惡意攻擊,這個新聞不管是檯面上、檯面下都聽到這樣的事件。

我想要先幫全新一週的聽眾朋友請教 Allen,如果你要為 2023 年選一個資安重點的關鍵字,你覺得台灣的企業主以及資安長們,應該要知道,或者是根據這個關鍵字來規劃和執行什麼樣的一個重點?這個關鍵字會是什麼?

翁:我覺得我要給出一個很不一樣的答案了,我覺得我們不需要更多關鍵字,因為其實每年大家都知道資安很重要,資安的議題一直出現,那每年一直在談新的東西,所以我覺得所有的企業、所有的民眾,對於資安已經沒有人覺得它不重要,但是大家反而是疲於奔命:今天有一個新的東西出來,我是不是要學習它?學習它會怎麼做、學習它要怎麼樣去做防禦。甚至說當我做完 A 之後,B 又跑出來了、C 在後面等著我,所以我永遠不知道究竟要做到什麼境界才夠。所以我覺得我們不需要更多關鍵字,我們要的是了解現在的情況是什麼。

我覺得有一個軍事的用詞還不錯,分享給各位,我覺得現在這個時代,我只能用混亂來形容,因為攻擊超級多,而且這攻擊的層級不光是民眾會被駭,整個到國家、網軍,都有攻擊行為,所以說軍事用詞有一個字叫「VUCA」,我覺得很能夠體現資安情況

通常它是在講管理學,例如說現在這時代它是有易變性、不確定性、複雜性、模糊性,今天攻擊的手法不斷變化,包含說攻擊者的技術不斷演進,再加上我們使用的技術,用來建構系統的技術或框架也不斷地在改變,所以一直在變。

再來是不確定性,我不知道到底敵人在哪邊,他什麼時候會攻擊、用什麼樣的手法、攻擊哪一些目標,這是完全不知道的。再加上攻擊的手法相當複雜,它可能是要串連 A、B、C 三種漏洞才可以達到攻擊的行為,那所以對防禦來說是更加複雜、困難的,這整個是敵暗我明,再加上資訊的不對稱,所以說整個對於防禦者來說是很模糊的。

那怎麼樣去因應 VUCA 這個世代呢?我覺得重點在於說,我們要開放心態,譬如說我今天知道外界不斷變化,那這個變化大家可能會覺得很心慌、很不安,但我們應該要開放它,我們只要知道說我們持續地學習,其實就可以去因應這樣的攻擊行為,就好像我們在疫情的時代,我們今天知道可能在兩、三年前,害怕說我們在外面就會染疫、生病等等,但我們現在知道說,其實它就是一個過程。

今天外面有各種疾病,我知道我只要把我身體的健康、體質改好,那其實我就可以因應外界的變化,進而達到我的強化,所以我覺得心態面是比任何關鍵字來得更重要,那當然現在很多人在談資安心態要做內化,例如說我們今天要把資安融入到企業文化裡面,甚至有人說叫資安的 DNA,但我也呼籲說其實我們在講內化的同時呢,外化也很重要。

我們今天在學習的時候,我們今天在把一些資安的概念融入到我們的體制裡面,但同時外界也不斷在變化,所以我們要把資安作為在不斷學習當中,我們也要融入外面的變化,來讓我們變得更強大,所以這是我覺得現代大家在做資安應該要注意的事情。

戴:好,我稍微做個小結,也就是說其實這幾年下來,你提出來的建議,從 2023 年開始,其實已經不是什麼資安要去重點防禦的範疇了。

其實反而 V、U、C、A 這四個字縮寫的軍事用語,反而是說我們面對資訊安全的威脅,我們要有正確的態度,這個態度包含開放的態度,要知道說這個威脅有各種不確定性、各種不對稱,然後手法層出不窮,所以心態上面我們就不是頭痛醫頭、腳痛醫腳,而是要先有個開放的態度,知道說資訊安全的威脅可能從四面八方而來,可能會一直不停地推陳出新,所以我們要持續學習,除了內化之外,還要向外了解現況是什麼,有什麼新的可能性或新的事件正在發生,這才是個正確的態度跟心態。

翁:沒錯,完全就是這樣子。

「人」是資安最大的缺口!將每個員工的權限最小化,成為核心觀念

戴:好,我把討論的軸線拉到兩個,聚焦到兩個比較實務面:就是根據 KPMG 2022 年的「台灣企業資安曝險調查報告」,它指出其實社群網路攻擊是最容易被忽略的,包含企業的員工,他們在社群媒體上的大量使用,曝露出來的社交工具攻擊風險,已經變成最重要的問題。

員工、工作者可能不經意地就在社群上,留下電子商務郵件,或者是變成駭客攻擊的啟動點,那當然這後面,前後左右非常多,包含電商、旅遊等等,眾多產業中其實以金融業情況最嚴重,因為詐騙說穿了其實就是要騙錢。

就變成說金融相關產業,它最常透過社群媒體去發布這些新的訊息,那用戶因為對社群媒體的依賴,很容易輕忽社群媒體這個環節。你怎麼看現在社群媒體網路攻擊,以及社交工程攻擊的樣態?

翁:我喜歡在談一個現象的時候,從它源頭開始談起。為什麼說社群媒體/網路攻擊跟社交工程的攻擊會這麼多?原因是因為人是最大的資安缺口,其實在做任何駭客攻擊的時候,當然有些團隊會選擇去進攻網站,但是在國外更多的是,它是不是可以利用人的缺陷來去詐騙、欺騙他?

舉例來說,與其我去花數個月去研發一個世界頂級的漏洞去攻擊某一個系統,不如我花幾個小時,寫一個文情並茂、可信度很高的詐騙信,去把員工的帳號詐騙走?

所以說人是最大的缺口,也因為這樣子,任何社群平台,或只要跟人有多互動的媒介都會被利用來攻擊。

我們也發現到說,假設我們來談攻擊的形式,像是 Cellopoint 全球反垃圾郵件中心它有一個統計說,全球前三大的社交工程形式當中,最常見的是帳號密碼的更新郵件,舉例來說,它會發一個詐騙信給用戶說,你的帳號、密碼要更新,那用戶可能就會沒注意到,他可能就點了,點了之後就會導向一個惡意網站,輸入原本的帳號、密碼而被騙走;這也是我們很常都會收到的。

再來像我們在 Facebook 上面會看到有假的貼文,或者說有人會假冒成朋友去傳訊息,這其實也很多。

比較新一點的像是,最近身邊很多朋友都會收到 Telegram,裡面會有朋友發訊息來說,叫我們截圖,說你的帳號變兩個了,你可以截圖給我看嗎?截圖時他就想辦法登我的帳號,那就會有個六位數驗證碼,只要把圖片給他,他就會拿到我的驗證碼去登入,用這樣的方式去騙取我的帳號;像這樣的形式最近非常多。非常多朋友因為這樣而被騙、而受害,這就反映到我們剛剛提到的社群網站、通訊軟體,這種跟人有關的其實是很常被攻擊的。

那怎麼樣去因應像這樣的威脅?其實我們都常聽到說資安的意識、資安的概念很重要,我們要認知到說這種社群網站、通訊軟體是有危險的,把防備心拉高、用這樣的認知去抵禦:我們會不會被詐騙?

當然企業方面它管得要更多,所以我們通常都會宣導說企業內部要有一些流程,當我們收到哪樣類型的郵件時,會注意它的寄件者,或利用郵件平台內建功能去判斷它是否為詐騙信件、垃圾信件,因而我們就有一些對應的檢查措施,這是我覺得企業都應該要做的。

核心概念是縮小攻擊面,所謂攻擊面是攻擊者,像駭客組織或網軍,他們可以介入去做攻擊的面積,面積越小,它攻擊的成功率就越低、花的成本就越高,所以只要把每個員工的權限最小化,使每個員工只能存取必要文件的話,就算他真的被騙了,他損失的文件也不會那麼多。我覺得這是一個很重要的概念。

戴:之前我們在全新一週有訪問到另外一位來賓,他其實也說資安範疇慢慢地限縮在兩個領域:一個是技術領域、一個是騙術領域,所以剛剛你講的很高度共鳴,你講的資安最大缺口其實不一定是手機、不一定是筆電,其實就是人。你知道光 Telegram 要我截圖給他看的,我在這兩個月大概就收到 4 個。

翁:真的很多。

戴:這個是屬於人的部分,那 KPMG 另外一項報告也指出,其實在這樣一個大的趨勢浪潮上,除了像你講的社交工程以人為核心,就是說技術一直推陳出新,但傳統上我們所謂的金光黨,就是說透過人性或人的弱點去進行騙術,好像本質上都沒有太大的變化。 

所以的確你剛剛也提出一個很務實的做法或原則,就是縮小被攻擊的面,也包含了企業給員工的權限應該要越小越好,不是說要小到他不能工作,而是給予他工作上面合宜、必要的權限就好。

 

降低「供應鏈資安風險」這樣做:層層防禦、盤查再盤查

戴:那另外一個更大的範疇是,現在全球的製造業或供應鏈,都在快速的數位轉型,或甚至智慧轉型;根據 KPMG 的另外一項報告指出,企業在 2023 年應該更加關注供應鏈攻擊,也就是關注供應鏈的安全、上下游的安全。那我想請問 Allen,從你的經驗角度來看,供應鏈目前主要的安全挑戰可能包含哪一些?

翁:供應鏈目前我們常看到的是惡意程式、惡意軟體,透過供應鏈去感染,我們假設以攻擊方的觀點來看好了:今天要進攻一個企業,當那個企業價值很高,它資安能力一定是比較強的,那我們勢必用人的角度去做攻擊,那如果還不行的話,就去尋找它的上下游,供應鏈廠商只要有一個存在重大資安風險的話,其實就可以感染回我們主要想攻擊的企業。也有一些數據顯示,近兩年最嚴重的勒索軟體當中,有七成是透過供應鏈的弱點去達到攻擊、勒索的效果,所以這也代表說供應鏈的安全挑戰非常高。

我們也發現說攻擊時會通過技術手段,舉例來說我們有很多企業為求開發快速,可能會導入所謂的 DevOps,透過一些大量部署的功能來去加速開發,這類型的機制如果被濫用的話,也變成說我們可以讓惡意程式被大量部署,就讓攻擊變得更便利、更快速

除了植入惡意程式之外,攻擊重點還有竊取系統裡面的帳號、密碼,或者說竊取原始碼,原始碼在日後可以做分析,分析原始碼當中有哪些地方有弱點,藉以研發出更嚴密的攻擊程式去達成攻擊效果。

那剛剛講了這麼多技術面,我覺得在管理面更困難的是,企業方它無法去確認整個供應鏈上下游廠商是否安全,所以我們看到很多企業會做廠商管理措施,舉例來說,我的上下游廠商可能要通過某些資安標準,或者配合我們去做稽核,或者通過一些資安的驗證跟檢測,才可以成為我們的供應鏈廠商,我覺得這都是企業之後越來越大的供應鏈議題。

戴:如果今天我們的聽眾朋友是在供應鏈其中的一環,比較積極的作法其實是搭配剛剛講的開放心態,一直去學習跟了解現在有哪些新的攻擊與潛在威脅,而更積極的作法其實是說,讓自己能夠及早地去因應跟準備可能會有的資安攻擊,那這個做法就包含資安流程上的驗證,或者是一些攻防的訓練,就是在自己的供應鏈上下游,能夠在自己的客戶要求之前就先做好相應的準備。

翁:我可以給一些簡單的方針:我們的核心概念是,攻擊可能會出現在任何地方,所以企業應該要去想說,如果攻擊會發生的話,我們有哪些事情可以先做。

像最近有一個很熱門的關鍵字叫 Zero Trust,今天如果一切都以威脅最大化為出發的話,那我們應該要用最嚴謹的方式來看待信任,所以說資安防禦時要做多層次架構。

舉例來說,假設今天要從公司外面進攻到公司最裡面的核心主機時,它要經過一層又一層的保護,就是我們傳統所談的縱深防禦。縱深當中現在有很多新措施,例如我們剛剛談到人相關的議題的話,要防止帳號被竊取,我們要使用的像是多因子認證,今天輸入完帳號密碼之後,還需要一個手機驗證碼,才可以成功登入我們的帳號。或者說像現在更新的是無密碼機制,透過一些生物的辨識來去直接登入我的帳號,這樣就不會有密碼遭竊取的問題。

流程面之外還有一些更實務面,我們剛剛提到供應鏈上面很多企業被大量攻擊,那也有很多軟硬體存在漏洞,而企業方不知道。所以軟體的盤點是很必要的,像是說我們企業裡面有用哪些硬體、什麼樣的廠牌;有用哪些軟體,是什麼軟體、什麼版本、什麼時候更新的,官方有沒有出新的更新?我們安排什麼時候去進行?這個都需要盤點,這個很難靠單一軟硬體去達成,都要靠人的機制來去做。

那以企業的方向來看,如何去管理供應商?我們剛才大概有提到一點,我覺得要先了解我們的供應商是誰,像我們在做投資的時候也會看說這個公司是否值得被投資,它的背景、老闆是誰、股東的組成等等。一樣,我們在看供應商時,它過去所開發的軟硬體是否是安全的?過去怎麼樣應對資安事件?還有就是以供應來說,我們也可以讓它權限最小化,使供應商只能存取必要的網路、主機,也給它最小的權限,而且企業方有權對供應商做稽核,就可以讓供應商跟企業本身採取一樣等級的資安,這樣才能有效保護整個企業

戴:所以借用你剛剛的概念,像投資會去做 due diligence 查核,今天如果我們要讓自己的資安供應鏈更安全,除了讓自己有這樣的意識之外,我們對我們的供應商也可以有個資安 DD 的概念,去看他們在資安上面理解到什麼程度,回過頭來內部就是硬體、軟體、人員,大概分這三個層面來做盤點跟檢查。

翁:沒錯。

「紅隊演練」就像健康檢查,找出企業弱點,再強化資安免疫系統

戴:好,當然最近因為 ChatGPT 讓 AI 再度成為大家的目光焦點。

翁:超級熱門。

戴:現在甚至已經有駭客利用 ChatGPT 來自動撰寫釣魚郵件,我覺得駭客真的很厲害,當然有很多報告說現在詐騙已經開始 as a service 了,也就是現在連寫詐騙釣魚郵件都懶得寫、叫 AI 去寫,反正對他來說都是 trial and error 嘛,因為對他來說他還是有成本,他要降低這個成本。

但是我很好奇,隨著 AI 新技術的應用爆發,那當然厲害的駭客攻擊一定是跟著這些新技術,越多越新的東西、用戶就越不熟悉;用戶越不熟悉的東西,可以操作的空間就越大。

那其實你們 DEVCORE 也經常呼籲企業要用攻擊者的視角來制定、安排風險,或者受衝擊的優先次序,不過如我們要讓員工具備這種駭客思維,坦白說不是一件容易的事情。

從你們和企業、政府合作的經驗裡面,你會建議企業如何去深化這種,能夠從攻擊方或駭客思維的資安策略?

延伸閱讀:【企業如何打贏AI 資安大戰】ChatGPT 成駭客最愛!NVIDIA 安全長給解方

翁:背後的原因是攻擊方跟防禦方思維差異非常大,不僅是存在資訊的不對稱,也有思維的差異。所以我們這些年不斷談的都是駭客思維。什麼是駭客思維?我們可以換位思考一下,如果說今天各位聽眾你們是駭客、駭客組織、網軍,你們要攻擊成功會做哪些事情?反過來看,那就是我們企業防禦該做的事情,所以這個核心概念是用攻擊方、用駭客方來去思考我們整個防禦該怎麼做。

實際上來看,企業可以盤點一下,今天我們有哪些主機、核心系統或交易的主機、存在個資的主機,它應該是駭客最喜歡、最想要攻擊的,那哪些主機、哪些機制、哪些帳號可以連線到這些系統?反過來看就會是,這些系統要怎麼樣去被保護。

更進一步的是,有沒有機會我們扮演駭客/攻擊者/網軍,實際地攻擊一次,那這就是我們不斷在說的叫「紅隊演練」,不斷地去演練、直接去做攻擊,我們就會知道說我們整個防禦的環節、機制、流程、人員是否都有照我們的規劃去做好防禦。這樣的一個演練會是最真實,也可以讓企業最明白知道,我們整個優先順序該怎麼樣去做排列,也會有效化解資訊不對稱。

還有一個議題蠻重要的是,企業其實資安措施很多,我們可能要買防毒軟體、軟硬體、防火牆等等都有可能,但我們無法知道這些機制它是否是有效的;所以防禦措施的有效性也可以透過攻擊的行為、攻擊的演練來去驗證,進而調整資安預算,有些效果比較差的,可以挪到效果比較好的資安措施上面,對於企業資安長來說是非常有效的

火熱的生成式 AI 為我們帶來新資安威脅!你的個人裝置將變成駭客的遊樂場

你真的不怕自己手機上的瀏覽行為被公開嗎? 《TO》特別企劃「別讓你的生活成為駭客的遊樂場」內容,陪你捍衛自己的隱私 >> 搶先閱讀

台灣資安社群量能驚人!台灣資安知識如何形成正循環?

戴:你剛剛在講的時候,我想到一部周星馳很有名的電影,他在裡面講說貪官奸、清官要更奸,意思就是駭客思維或攻擊者的視角,也就是說你不要做壞事,但你要知道攻擊你的人他是怎麼想的、他想要從哪邊去攻入;我覺得大家也可以做個參考。那另外我要從一個比較大的範圍來跟你請教、討論。

台灣不管是因為政治地緣關係,還是因為台灣本身就是個科技島,是一個很大的……不管是晶片、很多製造商、高科技廠商等等,台灣要去強健我們整個國家的資安體質。當然我們政府也有說資安即國安,也要推出資安的國家隊,就是資安應該要在地產業化。其實資安最核心的就是人跟社群,就是說不管是人才的培育,或人才社群可以透過長期的互動跟累積的經驗分享,來去讓資安的整體能力往上提升。那你看其他國家的做法,你覺得有哪些國家,比如新加坡或韓國,他們有沒有哪些做法是值得台灣人學習的?

翁:剛剛提到社群,我覺得台灣有一個很棒的特色其實就是社群。過去台灣有舉辦蠻多資安研討會,像台灣駭客年會 HITCON,這些研討會我們在過去疫情還沒有起來的時候,每年都會有很多國外參展者來參加,他們很訝異這些活動主辦方幾乎都是上百人的志工來去主辦的,而且資安的社群或社團都非常活絡,也因為這樣,台灣資安人才就會從社群裡面開始萌芽,我覺得這是台灣一個蠻好的優勢:我們有更高的社群感。

當然我們也有很多需要學習的,像我們知道新加坡在資安上投入非常多,2021 年底時以 OT 為重點修訂、調整國家級資安戰略,因為他們知道關鍵基礎設施一定是網軍等級的駭客,主要攻擊的目標。

戴:他們真的是軍隊。

翁:對,既然說這些會是駭客目標的話,那是不是應該以國家的等級,全國由上而下直接去把整個 OT 相關做好,這就有點像是台灣,我們會喊資安就是國安,如果整個國家很重視資安的話,那其實資安才有機會做得好。

那像美國也是資安大國,白宮有強調說資安不是由單一個機構或部門來負責的;它應該是需要民間跟企業一起合作,才有機會做好,像我們剛剛提到供應鏈的安全,其實整個國家有很多東西並不是政府全權來去做的,一定也會去委託給廠商,因此廠商它整個供應鏈也會影響到國安,所以在 2022 年時他們發表國家網路安全聲明,有說關鍵基礎設施都是由民間企業經營的,所以說企業要加快腳步來去提升資安防禦。

像近期我們在講很多資安案例的時候,我們也看到說美國有油管事件,這就可以證明說,其實網軍在做攻擊的時候,有機會影響到整個國家安全,所以說更應該要以整個國家的高度來去呼籲說,政府、民間企業、人民應該要怎麼樣去做安全。

我覺得美國白宮有提一點非常好:他直接提議、建議廠商在做產品設計的時候就要考慮到資安,那這是我們不斷提的叫作 security by design;如果說在初期就有規劃資安的話,在後面就不會說我們要去用補強的方式,用補強的方式一定比較辛苦、效果比較差。所以這些都是我們需要不斷學習的,我覺得台灣有在路上。

像剛剛我們提到的像台灣的社群、資安人才產生非常多,但需求更多,那在需求不斷增加的情況之下,我覺得整個資安市場有大幅成長,台灣企業資安意識有提升,同時我們也因為整個供應鏈安全,像之前就有個半導體的資安標準,這就因應到說,我們希望能制定一些整個產業可以應用的資安標準,來去保護整個產業的安全。也是因為這些需求的出發,我們需要從攻擊者的角度來去看說,攻擊者會做怎樣的攻擊、我們要怎麼建立應對措施,才可以保護整個產業,這就是我們看到台灣未來的走向。

我們公司不斷地在做紅隊演練、攻擊演練,那我們認為紅隊跟藍隊的合作也是未來重點,我們不會說只是做攻擊,然後打完就跑,而是說我們的攻擊是幫助企業去訓練藍隊、訓練他們的防禦團隊,讓他們了解攻擊方的思維跟手法,才可以讓藍隊變得更強,未來 10 年我們看到台灣這種紅藍合作一定會是更多的。

戴:Ok,也就是說從你剛剛舉的新加坡、美國政府例子,他們在整個國家層級的案例,我覺得第一個 takeaway 是:資安不是單一部會的事情。你剛剛在講的時候,我想一想覺得,也對,因為當我們越來越多電動車、智慧車的時候,其實資安就跟交通安全越來越畫上等號。

如果說從 OT、從基礎建設、從營運的科技去入侵和攻擊,智慧醫療或只要能冠上智慧的產業或垂直事業,都會有資安威脅。當用戶覺得越方便,或者數位價值越高的時候,它潛在資安風險就會越高。

另外一個 takeaway 是說,它不管是服務或產品設計,甚至公共事業、基礎建設的布建,都要在設計的時候就先考慮到資安防護意識跟做法。像我前陣子就有聽說一個案例,攝影機被駭客入侵後,就找資安團隊來看可以怎麼改,後來發現不能改,因為它的帳密是寫死在晶片裡面的,所以在設計的時候並沒有像你剛剛講的,其實從人的角度來講,常常去更換帳密,就是維護個人資安很好的,雖看似簡單卻成本很低的作法。

所以大家不要懶惰,你要有這個思維,你要去想駭客他會從人的角度來去詐取你的帳密,是最簡單的漏洞,從人去拿到漏洞是最容易的去找出這個漏洞,其實就是看出或找出你的帳密。跟你今天這整集談下來,我覺得邏輯上的連貫性非常強,也非常清楚。

翁:我覺得有一點更核心的概念,大家可以聽聽看。我們一直深信,這其實不單單是資安,我們只要相信一件事情會發生,那這就是最好的防禦。我們今天相信風險會發生、駭客攻擊會越來越多,自然這個意識會在我所有做的事情上面,我們在設定密碼的時候,我就想到說密碼太簡單,可能會被攻擊;或者說我用了以前用過的密碼,可能已經外洩過,我是不是應該要用新的密碼?

有人會說這有點像是被害妄想症,但我覺得並不會只是這樣子,因為我只要知道它會發生,我就自然會有個應對方法,意識提高後,自然整個措施、整個企業,甚至整個國家都會變得更安全。

戴:Allen 你剛剛講這個概念,它其實是跟安全有關的所有事情都應該可以套用,不管是要用 ZTA 零信任架構來去描述,或者說用比較白話文的方式去講,我們假設會出事,那我們應該要做什麼?這個也跟我們的國防思維在概念上非常一致,就是說我們不是要追求戰爭,但我們要假設如果發生戰爭的時候,我們準備好了沒?看似有點矛盾,但邏輯是非常通透的,因為你有準備反而就越來越不會發生戰爭、你有準備反而能夠有效降低資安風險,而不是等到資安事件發生後,你再來頭痛醫頭、腳痛醫腳,那個代價會非常高。

翁:沒錯,就是這個樣子。

戴:那最後我想再跟你請教,你投入台灣資安領域其實非常早,而且台灣整個資安社群你也都貢獻非常多。我知道你們公司是不是在今年會舉辦 DEVCORE Conference,大概在三月時會舉辦?

翁:對,沒錯。

戴:可不可以跟我們聽眾朋友介紹一下,這個活動內容是什麼,什麼樣的人應該要來參加這場活動?

翁:我們最早是在 2019 年時舉辦第一次的 DEVCORE Conference,最初想法是……我們非常期待把我們在資安攻擊方的發現,分享給大家。因為我們一直認為說,越了解攻擊者,我們防禦就會做得越好。

我們看到台灣當然有很多資安研討會,有很多很頂尖的、最新的資安研究,但有沒有是最貼近真實的、真的會發生的攻擊手法、真的會發生的技術,我們想要在這個研討會把它講出來。

2019 年我們辦的那時候是第一次試辦,其實大概有 1000 多位報名,我覺得是非常踴躍。

我們在 2022 年是滿 10 周年,我們就在今年 3 月 10 號跟 11 號,我們舉辦兩場,一個是企業場、一個是駭客場。

3 月 10 號的企業場是完全免費的,大家只要填表單,我們審核後就可以讓大家來參加;我們談給企業聽的是,當企業要做防禦時,有哪些資安策略或該注意的事情,這個是給企業的資安管理層,或者是說資安防護人員來聽的一場。

那駭客場的話,基本上我們談的是技術,我們不會談太多策略面或企業方的事情,專注談說我們在這些年來,在紅隊攻擊技術上面有哪些新的發現。

舉例來說,企業有哪些最常見,可能包含內部網路的威脅,或者是說我們如何去入侵物聯網設備,例如智慧門鎖;如果今天門鎖被駭了,門會自動開,那這對於每個人來說都是重大議題。又或者說我們在才剛結束的 Pwn2Own 競賽,我們的研究團隊是怎麼樣做研究的,有哪些規劃跟發現、整個參賽的心路歷程,是怎樣獲得冠軍的?所以我們的駭客場,適合對資安技術有興趣的一些專家,讓他們來參加、來聽。所以我們分成這兩場,就是希望能分別滿足管理層跟技術團隊。

戴:所以第二天真的是給駭客?

翁:是,那當然我們也深信說知識跟技術是有價的,所以企業場免費、駭客場是會收費的,那也希望說這可以促成台灣知識價值的正循環,也期待未來我們都可以持續舉辦這樣的會議。

戴:好,我相信從社會上,或者政府、企業、個人,其實這些資安事件真的就像我們今天整集聊下來的,就是層出不窮、手法推陳出新,那相關的 DEVCORE Conference 細節資訊,我們會放在節目資訊欄裡面,也讓感興趣的聽眾朋友,可以直接在我們的資訊欄裡面看到細節。

⧫ 最讓駭客頭痛的資安防禦機制是什麼?推薦你參加「DEVCORE Conference 2023 – 3/10 企業場」:https://reurl.cc/OVqGW9

你喜歡這個內容嗎?收聽並關注〈全新一週〉,專屬決策者的 Podcast!從正在發生的變化中,找到未來線索,創造全新世界。

別錯過近期收聽率最高的節目:【專訪】把握監視器「去中化」浪潮!簡立峰:中美矛盾下的「資安需求」,將成台灣好產業

(責任編輯:游絨絨)