訊息專區

台灣最大的資安盛事「CYBERSEC 2023 臺灣資安大會」於5月9日至5月11日盛大展開，中華電信攜手旗下中華資安國際連續第五年參展，展現資安即國安的決心，協助企業與政府提升台灣的資安能力，抵抗網路駭客的攻擊。中華電信董事長郭水義強調，中華電信以客戶為中心，除強化廣結盟策略合作外，並積極提升資安服務量能，提供完整資安解決方案(total solution)。未來將強化研究院「產研合作」，持續推升「網路資安服務」、「身分識別創新應用」、「資安專業服務」外，已投入資源在培養資安人才、資安技術並結合集團能量，強化資安防禦縱深，期望台灣的資安實力能夠透過中華電信海外廣大的網絡，開展至國際舞台。中華電信展現資安防護能量，協助企業共同抵禦新世代資安威脅為期3天的展期中，中華電信攤位同時針對網路攻擊行為及防護進行每小時整點資安講堂的介紹，內容包括「HiNet IPS入侵防護」，為特別針對中華電信固定制企業客戶由機房遠端提供網路的第一道防線，阻擋駭客滲透行為、防範網路型病毒，有效預防暴力密碼及漏洞攻擊；另還有「HiNet WAF網站應用防火牆服務」，係以專業資安顧問團隊調校及諮詢，透過電信等級的網站防護設備阻擋OWASP Top 10攻擊，以及預防推陳出新的零日(zero day)應用程式攻擊，讓企業在漏洞修補前有效保護網站。中華電信在本次臺灣資安大會展覽中，也參與了大會的「零信任論壇」與「供應鏈資安論壇」，分別分享零信任網路導入實際案例以及從紅隊和事件調查實例看供應鏈安全與面臨的資安威脅和因應策略。「2023臺灣資安大會」中華電信集團傳授實戰經驗此外在大會CyberLab課程中，中華資安國際針對紅隊攻擊常見的攻擊手法，搭配精心設計的演練環境，讓學員進行實際操作了解ATTCK矩陣定義。為了帶領現場聽眾一窺資安實務，演練課程將以近年來重大的CVE弱點為引，透過高度擬真的資安事件情境與工具帶領學員深入藍隊實務中常用的工具(包含日誌分析、網路流量調查等) 使用，完成事件根因分析與軌跡重建，進而產出簡易調查報告。

中華電信持續投入資安技術領域發展，積極研發相關解決方案，攜手子公司中華資安國際於本(5/9)日在台北市南港展覽館二館登場的「2023 臺灣資安大會」首次展出車聯網資安、ZTA零信任網路資安解決方案及SOC資安監控服務、SecuTex先進資安威脅防禦系統、CypherCom端對端加密通訊系統等優質資安產品，協助企業提升整體資安防禦與應變能力，強化資通安全。中華電信以最高資安規格，成為國內外企業、政府最佳資安夥伴中華電信董事長郭水義表示，資安是國家六大核心戰略產業之一，因此中華電信一直致力於協助企業強化資安防禦能量，將以客戶為中心研發5G、半導體等防護技術、開發AIoT及醫療等領域解決方案。並因應工控資安、IoT車聯網資安服務、產業供應鏈安全服務及公雲資安等產業發展趨勢，持續針對政府、金融、醫療、科技製造、流通等業別發展各項資安創新應用產品服務與客製化解決方案。隨著資料與服務雲端化及遠端辦公等新興存取方式興起，傳統基於信任邊界之網路模型已逐漸受到衝擊。根據中華資安國際2022年事件調查統計數據，利用「公開漏洞」和「洩漏的帳密」是兩大主要入侵手法，而公開漏洞類型中，有10％是基於身分驗證的漏洞。若邊界的網路安全防護一旦被攻擊者突破，即可自由進入內網。通過資安院「政府零信任網路身分鑑別功能符合性檢測」認證，協助企業抵禦資安攻擊此外，為能協助企業及機構提升資安防護能力，中華電信及中華資安國際子公司推出ZTA零信任網路資安解決方案。該方案通過資安院「政府零信任網路身分鑑別功能符合性檢測」的認證，對每台設備和每個使用者進行身份驗證和授權，有效阻擋網路攻擊者的橫向移動，讓使用者在遠端辦公或雲端化的環境下，仍能安全存取內部資源，為企業與機關消弭數位轉型下之資安疑慮。中華資安國際專業SOC監控服務能力獲高度肯定，打造優質資安防護網中華電信子公司中華資安國際的SOC資安監控服務是國內唯一連年獲得行政院資安服務廠商評鑑A級之資安團隊；SOC服務整合納管雲端、網路、端點的託管偵測應變服務(Managed Detection and Response，MDR)，善用新科技提高可視性與精準度，並提供藍隊驗證服務(Breach and Attack Simulation，BAS)確保客戶資安防護，以鑑識調查與逆向工程能力掌握最新跨國病毒與惡意程式威脅情資，打造更優質的資安專業服務。中華資安國際擁有優秀研發能力與場域實戰經驗，於本次大會展示兩大自主研發產品展示SecuTex先進資安威脅防禦系統、CypherCom端對端加密通訊系統，以打造企業優質資安環境。

中華資安國際數位鑑識暨資安檢測中心發現國內知名企業協同作業入口網之弱點( CVE-2023-25909 )，指出國內知名國內知名企業協同作業入口網具有不安全的API，可被攻擊者在未登入的狀態下任意上傳檔案。【風險等級】嚴重威脅【影響範圍】v2、v3【細節描述】CVE-2023-25909：國內知名企業協同作業入口網之上傳功能未對上傳檔案進行檢查限制，導致不須登入的遠端攻擊者可以上傳任意檔案，進而執行任意程式碼或中斷系統服務。開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用此數位簽章系統，建議儘快聯繫廠商進行修補更新。中華資安國際建議採取以下防範措施：1.使用者：隨時保持產品更新於最新狀態。-更新入口網版面配置模組套件2.0到2.0-10-更新入口網版面配置模組套件3.0到3.0-102.政府機關、企業：盡速聯絡軟體開發商修補，並通知使用者更新軟體。3.軟體開發商：建議導入安全程式開發流程(SSDLC)、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。【參考資訊】https://www.twcert.org.tw/tw/cp-132-6973-45872-1.html

邀請您蒞臨2023臺灣資安大會，搶先了解中華資安國際新世代SOC+MDR監控、供應鏈資安、ZTNA、VANS、CypherCom、SecuTex閘道與端點等最新資安解決方案。時間：2023年5月9-11日地點：南港展覽二館 (台北市經貿二路2號)攤位：4F C122 臺灣資安館 T11/T12議程：【Blue Team論壇】網域之刃-領域展開5/10(三) 14:45-15:15，七樓701H會議室，講者：王思翰【零信任論壇】由淺入深零信任網路導入，從基礎心法至實際導入案例分享5/10(三) 15:45-16:15，七樓701B會議室，講師：邱品仁【雲端安全論壇】雲端的戰場藍隊還要多久到達5/11(四) 9:30-10:00，七樓701B會議室，講師：陳彥銘【供應鏈資安論壇】誰是豬隊友？從紅隊和事件調查實例看供應鏈及邊界安全5/11(四) 10:15~10:45，七樓701G會議室，講師：林峰正【資安威脅研究室】APT 組織的調查日記5/11(四) 11:00-11:30，四樓4A會議室，講師：馬洪雯【CyberLab】 900英呎，看藍隊如何善用工具在資安事件中安全降落5/9(二) 12:30-14:30 15:00-17:00，4D 會議室，講師：邱品仁【CyberLab】實戰ATTCK矩陣...點我顯示更多5/11(四) 9:30-11:30 12:30-14:30，4D 會議室，講師：黃聖筌中華資安國際敬邀您蒞臨指教。

中華資安國際林志和顧問14日於CIO智慧醫療論壇分享醫療業現況、SOC監控服務、MDR應變服務、以及相關案例。Key takeaways： 1.資安委外服務達到團隊合作降低內部同仁負擔2. SOCxMDR監控範圍均以核心系統及業務為優先，再逐步擴大。3.流量與端點的各種資安防護設備可加強SOC監控的涵蓋範圍及可視性。4. SOCxMDR相輔相成，雙重宇宙互相學習，監控應變雙效合一。照片來源：旗訊科技

很榮幸於19日受邀出席TWNIC台灣網路資訊中心和台灣電腦網路危機處理暨協調中心 - TWCERT/CC所主辦的企業資安實務研討會，與南部廠商交流及分享智慧製造安全實務。

國內資安專業服務公司領導品牌中華資安國際與零信任資安新創公司Pomerium攜手合作，提供先進之零信任網路資安解決方案(Zero Trust Network Access ,ZTNA)，隨著遠距工作成為新常態，此次合作之解決方案為企業提供高強度的安全性及可用性，消弭企業遠端接取企業內網資源之資安疑慮。為何企業需要注重ZTNA？傳統的資安防禦已不足以抵禦持續變化的威脅型態，事實證明，基於邊界保護的遠端連線方法已過時，無法應對網路釣魚、勒索病毒及APT攻擊(Advanced Persistent Threats)。相對的，ZTNA提供企業安全連線，且不會影響可及性及易用性。在臺灣最近的網路事件中，安全的存取控制的重要性變得顯而易見。回顧國內知名租車公司個資外洩事件，皆有驗證及存取控制不足的狀況，導致數十萬筆顧客個資外洩。此外，利用竊取的憑證和身分驗證漏洞也是常見的入侵手段。根據中華資安國際2021年之事件調查統計數據，「利用公開漏洞」在駭客的初始入侵方法中排名第一，其次是「帳密外洩」。此外，10％的公開漏洞利用是基於身分驗證的漏洞。這凸顯了ZTNA的必要性，該技術提供更安全的存取控制，以保護重要資產和資源。ZTNA是什麼？ZTNA是一種安全模型，其核心是驗證試圖存取網路的每個使用者和每個設備，並根據該身分提供嚴密的存取控制。與基於網路位置的信任假設不同，ZTNA通過持續驗證和動態策略實施信任。透過實施中華資安國際和Pomerium的解決方案，每個企業資源都將根據組織的中央存取策略擁有有條件的、每次請求的存取權限。(想了解美國的NIST如何定義零信任架構，請讀此文)此合作夥伴關係代表中華資安國際可將Pomerium作為ZTNA解決方案的一環，該解決方案可從任何地點安全、無縫地存取企業資源。此解決方案有許多關鍵優勢，包含：身份和情境感知存取：在憑證被盜用和存取權杖(token)被竊的情況下，存取控制應超越身份本身。此解決方案驗證每個使用者和設備的身份，然後利用外部情資做出更好的決策，限制惡意內部人員與帳戶入侵所造成的損害。提高可及性和易用性：此解決方案可從任何地點安全存取企業資源，而無需VPN或傳統的周邊安全模型。在邊界部署此解決方案，使終端用戶不會遇到連接或延遲問題，使組織擁有運作靈活性和敏捷性。簡化管理：通過簡化存取控制、策略和使用者身份的管理，我們使組織能夠維護安全且易於存取的環境。IT團隊可以避免將網路分段，而是選擇與此解決方案進行相互驗證，確保內部服務運行更順暢，同時限制橫向移動。稽核日誌：誰存取了什麼、何時、在哪裡以及他們做了什麼？此解決方案提供細粒度的基於請求的稽核日誌，確保組織可以了解網路內發生的所有事情。(想了解美國的NIST如何定義零信任架構的優勢，請讀此文)中華資安國際和Pomerium認為安全不應以易用性或可及性為代價。此次合作的ZTNA解決方案提供了兩全其美的最佳方案，確保企業在不影響生產力或易用性的情況下保持安全。Pomerium技術部落格請點此。

教育部先進資通安全實務人才培育計畫(Information Security Incubation Program, ISIP) 總期程期中成果展暨企業資安實習與媒合交流於3月18日(六)舉行，除以動態與靜展方式展示計畫之執行成果，同時設立企業資安徵才攤位，以及提供企業職涯發展、資安職缺、資安實習方式、工作環境與福利等說明，促進產學交流與就業媒合機會。感謝主辦及協助單位提供產學媒合交流及資安人才媒合平台，活絡資安就業環境。莘莘學子，人才輩出，期待對資安充滿熱忱的你加入我們，一起挑戰自我、為提升資通安全盡一份心力！

中華資安國際協辦中華民國資訊軟體協會「駭客難防？勒索無招？資安攻略大補帖」研討會，分別於3月7日、9日、16日於台北、高雄、台中場舉行，協助政府確實落實資安法規要求，提升資安防護效益！中華資安國際股份有限公司在最新公告的111年行政院資安服務廠商評鑑中，一舉拿下「SOC服務」、「資安健診」、「滲透測試」、「弱點檢測」及「社交工程演練」五項資安服務全數「A級」之最高評價，也是國內唯一連年獲得這項殊榮的資安服務廠商。中華資安國際於研討會中分享新世代資安監控、如何透過VANS弱點通報知己知彼、百戰不殆、以及因應企業資安曝險。

中華資安國際日前再度獲得111年行政院資安服務廠商評鑑中，獲得「SOC監控」、「資安健診」、「滲透測試」、「弱點掃描」及「社交工程演練」五項資安服務全數「A級」之最高評價，是唯一榮獲此殊榮之資安公司，也是唯一連續四年勇奪全數Ａ級最高評價之資安服務廠商。本次資安服務廠商評鑑對於中華資安國際之專業技術、服務品質、資安證照均給予極高評價，客戶滿意度調查更對中華資安國際在事前檢測、事中監控應變、事後鑑識調查等資安專業服務給予高度肯定，多面向評核才有這次的五Ａ最高評價。評鑑結果認為中華資安國際的SOC服務是國內唯一整合MDR雲、網、端監控之資安監控應變服務商，多維度關聯分析大幅提高資安風險的可視性與準確度；再透過紅隊演練，來確認監控的有效性；除了具有SOAR自動化分析應變腳本，團隊也展現了優異的惡意程式逆向分析能力與資安鑑識調查能力，更自主研發複合式檔案沙箱(Sandbox)與誘捕(Honeypot)系統，有效獵捕駭客攻擊手法。為有效獵捕資安威脅，中華資安國際自主研發網路閘道SecuTex NP與端點SecuTex ED的資安產品，用來協助客戶進行資安健診與事件調查；其中SecuTex NP就像網路行車紀錄器，全時側錄網路封包、偵測入侵活動、鑑識分析，結合沙箱與專家分析驗證，是網管與資安利器；SecuTex ED則是端點電腦檢測工具，用來檢查GCB政府組態基準、檢視軟體更新、偵測惡意活動等，透過中控台可以一目了然的掌握資安風險，是企業資安風險管理利器。本次中華資安國際再獲資安廠商評鑑五Ａ最高評價，也是呼應今年度榮獲首屆Best Choice Award資安服務獎，並獲得國際知名顧問公司Frost Sullivan 之2022 Taiwan Cybersecurity Services Company of the Year Award等獎項，特別是近日，中華資安國際之零信任 (zero trust network access) 資安解決方案更通過行政院國家資通安全研究院認證，不只擁有資安專業服務技術，也擁有資安產品與解決方案，要在零信任的浪潮中，成為最值得信任的資安專業公司。