產業追蹤／資安業練兵 模擬入侵攻防
2020-05-23 23:57經濟日報 張皓甯

2020年全球受到新冠肺炎疫情影響，各國企業暫時改為居家上班，降低人員接觸風險，而傳統以人力為主的第三方攻防演練易受疫情影響而導致延宕，但企業資安風險在疫情蔓延下，需求不減反增。

全球資安市場範疇中，大部分資安業者提供防護面向的產品與服務，而第三方攻防演練屬於資安服務的一環，此種服務之目的在驗證企業的資安防護能力。驗證方法是在確定受測企業為安全狀態下，以駭客思維入侵企業組織的主機或網路系統，找出企業系統的漏洞、資安配置錯誤、或是各種入侵管道受攻擊的可能性，以驗證企業的資安建置是否具備防護能力。

目前第三方攻防演練分為三種攻擊模擬方式，分別為滲透測試、紅隊演練與新興技術如「入侵與攻擊模擬」（BAS）。

BAS為自2017年崛起的新興技術應用，被定義為可自動模擬駭客進行多面向攻擊的一種工具。BAS提供企業組織內資安人員以一致的方式，進行全天候持續性入侵與攻擊模擬，包括內部威脅、橫向移動與資料外洩，從預防、檢測至回應的整個過程都將自動持續進行。BAS能讓企業組織了解可能遭受的攻擊環節，在每次模擬後將產出優先防護等級建議與風險報告。

符合BAS應具備的條件有，採用攻擊者技術、自動化、持續性、過程必須確保安全性與復原能力。

目前的第三方攻防演練主要以滲透測試與紅隊演練為主，但此兩種服務型態有其限制，因而驅動BAS的發展。相較於執行滲透測試與紅隊演練，BAS的市場驅動力可分為三項，1.服務自動化走向：BAS訴求簡單的安裝步驟且多為一鍵式啟動，其自動化特性讓企業即便沒有資安專家的高技術能力，也能藉由BAS執行攻擊模擬。2.全球漏洞數快速增加：各種軟硬體的漏洞數攀升下，BAS提供全天候24/7的持續性攻擊模擬，更適合企業在動態IT環境下能進行連續的安全性驗證。3.雲端化服務趨勢：大部分BAS業者提供訂閱制的軟體即服務（SaaS），可以拓展服務範圍和更靈活的定價模式。

BAS以自動化、持續性以及雲端化的關鍵特性為其發展優勢。BAS工具協助企業更快速地發現網路和系統中的漏洞，並了解攻擊者在網路攻擊生命周期所採用的戰術。

國際BAS主要代表資安業者使用的攻擊模擬方法分為兩種模型，分別是基於代理與多向量攻擊模擬。兩種模型在攻擊範圍上有不同的深度與廣度，但就目前資安專家定義的BAS解決方案，不論使用何種技術模型皆應包含，採用攻擊者技術、自動化、持續性及過程必須確保安全性與復原能力的條件。

受到疫情影響，許多企業在家工作或異地辦公，加上減少洽公接觸避免感染等各種因素下，無接觸式的BAS工具，為企業資安防護驗證帶來新契機，企業可透過BAS工具或平台，就能執行資安防護驗證。未來BAS很可能取代傳統人力滲透測試，而且服務不再受限於人力與地域限制。

此次疫情爆發後，企業加快腳步採納雲端應用服務與遠距工作，增加駭客竊取企業機敏資料與網路釣魚勒索的機會。面對嚴峻威脅，持續性的保持資安防護安全成為企業重中之重。現今國際BAS市場多為新創公司，且進入此領域有門檻，我國有高階駭客人才，具有發展的資質與優勢，未來可將自動化BAS做為布局重點，發展我國的利基產品。

雲端服務興起，透過提供產品化的軟體即服務是為近年來的趨勢，目前資安業者提供的BAS多為基於雲的SaaS服務，企業可依據訂閱方案選擇符合企業需求的範圍，提高第三方攻防演練的即時性與靈活性。（作者是資策會MIC產業分析師）




高技資策會雲端服務