近年來大家印象比較深刻的資安事件應該是中油兩度遭到勒索病毒攻擊導致營運受到影響，除了中油之外其他尚有多家上市櫃公司都有被勒索病毒攻擊的資安事件，這些是有被媒體報導出來的，實際上被攻擊的企業數量上會比媒體報導的還要多很多倍，防範勒索病毒第一個想到的或許是防毒軟體，但是在勒索病毒變種速度越來越快的情況之下，如何保護企業內部文件不被勒索是一門重要的課題，對此X-FORT的FAC(Folder Access Control)資料夾防護可以提供一個『文件保護策略』協助防止被勒索。

限定可存取資料夾的 AP

FAC(Folder Access Control)資料夾防護採用的是將電腦特定名稱資料夾設定為保護資料夾，由系統管理員制定哪些應用程式可存取此資料夾，除了這些被制定可允許『存取』FAC資料夾內的應用程式之外，其他程式是無權對此FAC資料夾進行『讀、寫』的，例如：如果沒有設定檔案總管(Explorer.exe)可存取FAC資料夾，使用者直接雙擊該資料夾是無法進入FAC資料夾的，因此當電腦被勒索病毒攻擊，勒索病毒是無法對此資料夾裡面的檔案加密的。

搭配備份更有效

X-FORT的解決方案是<FAC+備份>

誠如前面所述勒索病毒一直在變種當中，FAC(Folder Access Control)資料夾防護搭配定期『自動備份』會是有效防範勒索病毒的方法，把使用者電腦裡面指定的檔案定期備份到FAC資料夾裡，第一次備份會是完整備份，第二次後就會進行差異備份，有異動的檔案才會備份。

例如：每日兩次差異備份，中午12點一次，下午4點一次，萬一兩個備份中間時間發生勒索病毒攻擊，資訊人員可協助把FAC料夾裡面的檔案利用X-FORT的外接式儲存裝置控管功能搭配X-Wizard寫到外接碟，或者把硬碟串到第二台電腦把檔案救出。

如何判斷備份時不會備份到被病毒加密的檔案

X-FORT的備份方式採用指定副檔名的方式進行備份，如果設定*.docx、*.xlsx、*.PDF，只會備份上述的三種副檔名檔案，不會備份到被加密的檔案。

X-FORT FAC(Folder Access Control)資料夾防護雖然無法完全阻擋勒索病毒攻擊，但是透過備份機制與資料夾的保護，卻可以大大降低勒索病毒造成的損失。

網路犯罪以前往往是無差別式機會主義，惡意程式隨機散布，有設備未修補或有人上當就成為受害者。侵入內部後向外滲漏資料，內部使用者可能成為不知情的共犯。

為了討論關於事件和資料外洩，先定義事件與洩漏的差別

Incident v.s. breach

Incident : 危及資訊資產的完整性、機密性或可用性的安全事件。

Breach : 造成確認的未經授權的披露資料（而不僅僅是潛在洩露）的事件。

這二年的手法轉變成有目標性的勒索(Targeted ransomware)，有情感上(民族主義或政治)或財務上的針對性。以往勒索軟體單單只加密本機檔案，受害者可能選擇不付贖金，一切重新來過。偷走資料的目的是為了威脅逼迫受害者支付贖金。

Targeted ransomware 還有一項特色，為了滲透潛伏大多利用APT (Advanced Persistent Threat )手法，有組織有規劃的長期秘密工作，信仰和財務可能是最大的動機；單純搞破壞炫技已不多見。

Targeted還有另一種針對，傾向於遵循一個基本模式：針對組織環境進行規劃。他們研究受害者，瞭解漏洞在哪裡，例如缺少更新或更新失敗，以及員工容易受到網路釣魚活動的影響。駭客了解目標的弱點，然後展開一項活動，讓內部人員不小心誤載惡意軟體。

儘管資料外洩可能是無心之過，但未經授權的竊取並出售個人身份資訊 （PII）或公司專利、營業數據以獲取利益或破壞，則可能會造成組織嚴重損失。

 

探討資料外洩統計結果，是內部威脅多，還是外部攻擊多?

這個問題在很多專家的統計結果呈現各說各話的局面，這可能跟現在主要的滲透取得資訊動機手法有關。認為外部威脅多的，可能是因為邊際防火牆，及入侵偵測系統上發現並且阻擋到的可疑事件。傳統的安全防護方案著重在外部，對內部的偵測本來就少，或者沒有偵測內部活動的方法；代表內部即使有資料洩漏，也不會被發現，看起來外部威脅比較多的假象。

另外一個原因是，內部威脅(包含已滲透進來的)專業越來越熟練，新的手法還沒被資安系統偵測識別出，就不會知道有內部威脅。想要竊取組織資料的人可能是敵對的外國政府、組織、職業罪犯或憤怒的人士；但他們很可能進入組織成為自己的員工，儘管現在技術進步，仍很難發現可能竊取或洩露資料的員工。

 

企業的規模、產業別與外洩事件的相關度 

甚麼產業是最可能被覬覦的對象? 鎖定對象針對性的攻擊，具備如此大費周章複雜程序，想必目標的選擇一定精挑細選，高價值目標的高價資產是首選。這代表著，受害的組織可能具備部分或全部特質；如高科技產業、金融產業、或年收上億、或規模夠大，指標性組織(如國防部)等。

台灣的中小企業佔總體97%左右，理論上大部分都不容易成為被針對的目標，雖然有可能遭無辜波及。那為何總覺得這些外洩案例這麼聳動? 因為新聞裡的這些受害企業實在太具備指標性了，甚至有些企業體上述的特徵全部符合。但我們並不排除，以前那種亂槍打鳥式的勒索仍然會存在，只是因為沒利用APT滲透，比較容易被發現。

排除這個最大的外部攻擊，內部人員的威脅對中小企業而言才是防不勝防的。由於主動識別和預防無意或有目的的內部威脅可能非常困難，許多公司實際上意識到了內部人員的風險，但與網路解決方案的領域不同，公司和機構也在為解決方案而苦苦掙扎。

 

不論外部內部，要防的是資料失竊

由以上的討論發現，外洩防護已經沒辦法分得出內外了，也不可能靠單一的技術來解決。應該回歸到保護的標的物本身: Data的使用、移轉、儲存上面的保護。

資料失竊類型分類與對策：

• 遺失裝置-裝置遺失後，實施註銷管理，資料自動清除等機制。內部儲存資料在未被認證的狀態下，保護其不能被其他平台存取。
• 傳輸活動- 限制不必要的網路傳輸活動，如電子郵件、FTP、IM、雲端存取等，如果必要，留下可供追查究責的證據。
• 可卸除式裝置-防止不必要的存取，或採取有效的寫出管制與加密保護。
• 資產與更新管理-掌握資產狀態，與定期更新修補，防止被利用成為工具。
• 使用者活動-使用者使用檔案的活動，作業系統的事件，程序的活動等，保留與資料存取相關的記錄。
• 第三方存取-儘管採取一切可能的措施來確保內部資料的安全，惡意分子仍可以使用第三方供應商系統進入組織。甚至軟體供應商來源的修補軟體，都可能被植入惡意程式。