訊息專區

中華資安國際Red Team團隊發現，國內某入口網資訊系統具有多項漏洞(CVE-2021-22850、CVE-2021-22851、CVE-2021-22852)，包括SQL Injection、權限跨越，影響範圍包含國內部分政府機關以及企業機構。【風險等級】高度威脅【影響範圍】CVE-2021-22851: v3 2.02.0-54、v3 3.03.0-54CVE-2021-22852: v3 3.0 3.0-124 ~ 3.0-146、v3 2.0 2.0-124 ~ 2.0-146【細節描述】CVE-2021-22850：行動入口網存有不安全的頁面，使攻擊者在未經授權下，存取或執行未經授權的功能。此漏洞可歸類於OWASP TOP 10 2017之A6 - Security Misconfiguration類型中。CVE-2021-22851、CVE-2021-22852：行動入口網產品存有SQL Injection漏洞，攻擊者可於特定URL的參數注入SQL指令，取得資料庫結構或資料，此漏洞可歸類於OWASP TOP 10 2017之A1 - Injection類型中。開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用此校務資訊系統，建議儘快聯繫廠商進行修補更新。中華資安國際建議採取以下防範措施：使用者：聯繫廠商盡速安裝修補更新檔。系統開發商：在程式開發過程中應針對輸入參數做檢查。系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。【參考資訊】 NIST(CVE-2021-22850) NIST(CVE-2021-22851) NIST(CVE-2021-22852)

財團法人電信技術中心(TTC) 執行國家發展委員會【亞洲．矽谷計畫-強化物聯網資安防護】，成功輔導台達電子工業股份有限公司「BIC Smart Lighting藍牙智慧燈具」取得國內首張國際UL IoT安全評等（Certificate Number: A627300），更是全球首個獲得UL IoT安全評等驗證的智慧燈具，成為在地接軌國際具競爭性之企業，幫助企業在地接軌國際，開拓海外市場，達成「臺灣品牌、資安確保（MIT means Security Assurance）」之佈局。此外，新創團隊農譯科技股份有限公司「AgriTalk 農譯科技全方位智慧農業AIoT系統」取得國內首座物聯網系統層級資安防護S-IoT標章，可以提供客戶安全有效的農業AI管理系統。物聯網的普及化，帶動國內創新應用之發展，有效降低物聯網系統端(感知設備)、網(網路傳輸)及雲(應用服務)等整體系統層面所帶來的資安風險，確保隱私與機密資料不外洩，提升物聯網系統資安防禦力，將是未來發展5G物聯網的關鍵成功因素。「亞洲．矽谷計畫-強化物聯網資安防護」全期成果發表會暨授證典禮展出計畫成果，有助於未來5G物聯網資安的發展。現場計有執行單位財團法人電信技術中心林輝堂執行長、委辦單位國家發展委員會代表暨亞洲．矽谷計畫執行中心闕河鳴人資長、桃園市政府經濟發展局郭裕信局長、UL 副總裁暨台灣總經理陳宗弘、中華資安國際股份有限公司洪總經理進福、亞洲矽谷計畫執行中心李博榮行政長等長官出席參加，獲證單位台達張世杰經理及農譯科技林一平共同創辦人亦參與本次盛會及交流活動，與現場嘉賓共同分享榮耀。接軌國際，台達藍牙平板燈PA1率先成為亞洲第一個UL IoT安全評等驗證智慧燈具UL IoT安全評等 (IoT Security Rating) 是國際上用來評估物聯網產品資安表現的重要指標。其主要針對消費性的物聯網產品，依據全球產業對基本資安性能的共識與，符合全球產業框架及最佳實務，針對包括安全軟體更新、資料加密、安全通訊、隱私需求、系統管理、邏輯安全、文件流程需求等七大類別，進行嚴謹的資安能力評估，並設有五個安全等級，範圍從最基本的產品資安，到全面的資安能力要求，協助製造商和開發商來展現產品完成的資安盡職調查 (security due diligence)。透過UL IoT安全評等除能提高產品在資安表現的透明度，亦幫助了消費者在選購時能有辨別依循。此次獲得驗證的台達藍牙平板燈PA1所搭配之燈具軟體能有效實現金鑰運用安全，不僅獲得台灣首張驗證，更是全球首個獲得UL IoT安全評等驗證的燈具，在物聯網應用快速發展的時代，以行動及國際驗證成果展現對資訊安全的重視及投入。台達藍牙平板燈系列產品皆符合Bluetooth SIG Mesh Profile規範（藍牙技術聯盟網狀網路通訊協定規範），內建的台達「智互聯」DeltaZhi燈控系統具有去中心化自主控制技術，可透過手機藍牙連線開關、調整色溫及亮度、進行場景設定及群組規劃。不受迴路限制亦不需複雜設定，即可對單燈進行群組或個別控制，除了節省佈線成本，更能增加應用彈性，是許多設計師的夢想。在藍牙的基礎上，燈具之間可自組成節點綿密的IoT網路，成為智慧建築內資料採集、室內定位、資產管理等相關加值服務的核心骨幹。S-IoT標章，把關智慧農場資訊安全，保障農業管理者的權益農譯科技以新一代農業設計師的角度，結合交大資訊工程及生物科技專業背景，提供嶄新全方位之5G AIoT無毒智慧農業方案，包含農業遠端精準監控、智慧施肥系統、病蟲害預測防治方案。透過導入農業A.I.智慧科技管理系統，確保農產品生產可溯源，建立完善且符合GACP規範的生產模式。利用科技農業技術，數位化老農經驗達到經驗傳承、簡化新一代青農進入農業科技的門檻、創造新一代務農環境。透過本次TTC提供之全面性IoT資安認證，包含：使用者前端的介面、後端的伺服器、農場實地之感測設備及控制器，證實該農業系統具有高安全性，保障農業管理者的權益。智慧城市應用資訊安全，物聯網系統層級資安防護評估機制不可或缺物聯網應用與雲端服務的普及，任何一道能夠聯網的系統元件裝置或漏洞，都是駭客有機可乘的目標，駭客透過日新月異的工具及手法攻擊，入侵盜用使用者身份、隱私行為，竊取企業機密，進行勒索、詐騙，以及販售牟利等不法行為。為了讓智慧城市應用具備一定的資安防護能力，「物聯網系統層級資安防護評估指引第一部：通用要求」，延伸完成「智慧家庭」、「智慧交通」、「智慧醫療」、「智慧農業」、「智慧物流」及「智慧商業」共6種不同物聯網應用情境場域系統最佳實務應用（Best Practice），希望藉由物聯網系統層級資安評估標章（System-level IoT Security Evaluation，S-IoT標章）的推廣，與國內資安檢測實驗室共同擔任檢測機構，辦理物聯網系統層級資安評估服務，協助國內企業取得物聯網系統層級資安評估標章。物聯網場域資訊安全保鑣IoT PoT, IoT-SOC, IoT-ISAC!!「物聯網場域資安防護方案（Cybersecurity-Prevention Solution of IoT Applications, CPS of IoT）」，以事前防護、事中應變及事後復原為核心設計原則，串聯蒐集（Collect）、分析（Analyze）、通報（Report）及分享（Share）四大手法，於物聯網場域部署誘捕裝置或服務（IoT PoT），讓攻擊者入侵誘捕系統，分析攻擊者入侵或惡意攻擊的來源、手段、管道及模式，並由IoT-SOC自動產生事件通報單，再以API系統介接的方式，將資料傳送分享至IoT-ISAC平臺，達成防護駭客攻擊之聯防目標，給予物聯網場域更全面性的資安防護，創造更安全、優質的物聯網服務與開發環境。IoT-ISAC平臺與中華資安國際股份有限公司合作提供自動化遠端物聯網裝置IP位置掃描、非侵入式弱點檢測與系統套件漏洞等檢測服務，目前有60餘家企業會員，共同維護台灣物聯網資訊安全。WARGAME讓你抓住駭客的心，揣摩紅隊思維為達成提升物聯網資安人才培育與知識擴散的目標，本計畫連結物聯網場域與資安攻防平臺，以WARGAME整合各種物聯網情境的駭客攻擊手法，將可能在物聯網系統上發生的資安風險，設計成WARGAME關卡，透過淺顯易懂的教學模型，認識可能發生於物聯網系統的資安風險，提供資安人才培育及資安認知推廣使用，促進學生與民眾具備基本資安防護知識，共同迎向安全的5G物聯網新時代。關於中華資安國際 (https://www.chtsecurity.com/)中華資安國際為中華電信集團子公司，專注於資安專業服務與相關軟硬體研發，團隊取得ISO 20000及ISO 27001雙證書，連年榮獲行政院資安服務廠商評鑑「A級」之特優評價，專業實力深獲肯定。中華資安國際擁有多年的資訊安全攻防實戰經驗，提供事前檢測、事中監控、事後鑑識應變與回復的服務，一站式滿足政府及企業的資安需求，已提供服務予兩百多家政府機關及大型企業以及兩萬多家中小企業。

中華資安國際Red Team團隊發現，日本知名電子郵件系統具有多項漏洞(CVE-2020-5540、CVE-2020-5541)，指出日本知名電子郵件系統具有跨網站腳本攻擊 (Cross-Site Scripting)與未經驗證的轉址與導向 (Open Redirect)等漏洞，簡述如下：CVE-2020-5540：攻擊者可在不經過任何身分認證情況下，進行跨網站腳本攻擊，郵件系統多個版本都存在此漏洞，此漏洞可歸類於OWASP TOP 10 2017之A7 - Cross-Site Scripting (XSS)類型中。CVE-2020-5541：攻擊者可在不經過任何身分認證情況下，進行未經驗證的轉址與導向，郵件系統多個版本都存在此漏洞，此漏洞可歸類於CWE-601: URL Redirection to Untrusted Site (Open Redirect)類型中。日本開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用電子郵件系統者，建議儘快聯繫廠商進行修補更新。中華資安國際建議採取以下防範措施：1.使用者：聯繫廠商盡速安裝修補更新檔。2.郵件系統開發商：在程式開發過程中應針對輸入參數做檢查。3.郵件系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。本次通報獲得日本漏洞紀錄平台JVN公開感謝，詳見JVN網站謝辭內容，同時也被日本多家資安電子媒體轉載如下：1.https://scan.netsecurity.ne.jp/article/2020/08/13/44435.html2.https://www.security-next.com/1175133. https://www.excite.co.jp/news/article/Scannetsecurity_44435/

中華電信旗下的中華資安國際宣布其「數位鑑識暨資安檢測中心」正式通過ISO 17025認證，由財團法人全國認證基金會(TAF)驗證，順利取得「數位鑑識」實驗室認可資格，顯示中心進行資安事件處理與鑑識服務均依循國際標準執行，可以提供政府或企業資安事件應變、調查、證據保全、鑑識分析等高品質、高技術的數位鑑識服務。ISO 17025是全球認同的實驗室品質管理系統，從人員培訓、儀器設備、試驗技術、作業流程等構面，確保鑑識實驗室試驗結果的有效性。中華資安國際總經理洪進福表示：「我們的數位鑑識暨資安檢測中心通過認證的最重大的意義是我們的數位鑑識服務接軌國際標準，另一個重大意義是我們能提供客戶可信任、有證據力的數位鑑識服務，確保數位證據在採證、保存、分析與呈現等階段都具備證據能力。」中華資安國際的數位鑑識暨資安檢測中心負責資安事件應變、數位鑑識與物聯網資安檢測工作，團隊具備多年經驗，是唯一連續五年於行政院資安服務廠商評鑑「SOC監控服務」皆獲得A級/特優等級的資安廠商。平均每年處理數百件的資安事件，具備大型資安事件處理能力，主要協助客戶處理目標式勒索攻擊、APT攻擊與資料外洩等事件，團隊的資安專業除了事件應變與數位鑑識外，還包含逆向工程與漏洞分析，且自主研發自動惡意程式定位與分析工具，可支援AD或資產管理軟體大規模派送檢測，並有自動化沙箱動靜態分析，結合中華資安國際情資平台，關聯分析國內外資安威脅情資，近期已完成許多重要場域資安事件應變與鑑識，協助管理者取回控制權；同時，團隊也在物聯網資安與工控資安等專業領域，協助業主在智慧城市、關鍵基礎設施、智慧工廠等，建立資安健診、風險評估與防護機制。日前中華資安國際之紅隊演練(Red Teaming)服務通過ISO 20000驗證，並獲BSI「資訊服務品質深耕獎」，再加上本次數位鑑識暨資安檢測中心通過ISO 17025認證，資安實力再提升，再再顯示中華資安國際達到國際IT服務管理的最佳實務標準，更以嚴謹的實務作業程序提供高品質的資安服務，從事前檢測與監控部署、事中監控應變、事後應變與鑑識，提供客戶完整一站式資安服務，協助企業提升資安防禦能力。中華資安國際為中華電信子公司，團隊服務通過ISO 27001與ISO 20000雙驗證，並獲得BSI資安品質精銳奬、「2018資安滲透測試攻防國際邀請賽」冠軍、「2018 HITCON Defense企業資安攻防大賽」冠軍及情資分享特別獎、「2019資安漏洞挖掘邀請賽」季軍與「2019 RedAlert72資安攻防競賽」亞軍等獎項，近一年更挖掘超過29個以上的重大CVE弱點，更將營業領域從傳統的IT網路資安擴展至OT、物聯網、自駕車與智慧製造等新興資安領域。關於中華資安國際(https://www.chtsecurity.com/)中華資安國際為中華電信集團子公司，專注於資安專業服務與相關軟硬體研發，團隊取得ISO 20000及ISO 27001雙證書，連年榮獲行政院資安服務廠商評鑑「A級」之特優評價，專業實力深獲肯定。中華資安國際擁有多年的資訊安全攻防實戰經驗，提供事前檢測、事中監控、事後鑑識應變與回復的服務，一站式滿足政府及企業的資安需求，已提供服務予兩百多家政府機關及大型企業以及兩萬多家中小企業。

中華資安國際Red Team團隊發現，國內市占率相當高的知名電子郵件系統具有權限跨越導致指令注入漏洞(CVE-2020-10511)以及SQL注入漏洞(CVE-2020-10512)，影響範圍包含政府、金融與科技公司等至少約20個機構，簡述如下：CVE-2020-10511：攻擊者可在不經過任何身分認證情況下，直接利用管理者權限進行指令注入攻擊，進而取得目標主機控制權。此漏洞可歸類於OWASP TOP 10 2017之A2-Broken Authentication類型中。CVE-2020-10512：攻擊者可讀出完整資料庫表單，取得其他User帳密進行登入，影響系統機密性，登入後可修改user密碼，影響系統完整性。此漏洞可歸類於OWASP TOP 10 2017之A1 - Injection類型中。開發廠商接獲通報後已配合儘速釋出相關更新，若機關或企業有使用電子郵件系統者，建議儘快聯繫廠商進行修補更新。中華資安國際建議採取以下防範措施：1.使用者：聯繫廠商盡速安裝修補更新檔。2.郵件系統開發商：在程式開發過程中應針對輸入參數做檢查。3.郵件系統開發商：建議導入安全程式開發流程（SSDLC）、事前進行安全程式碼開發教育訓練，並定期執行源碼檢測及滲透測試等安全檢測，才能有效地確保產品及用戶安全。

中華資安國際於11月26日英國標準協會所舉辦的2020 BSI 國際資安標準管裡年會中，獲頒「資訊服務品質深耕獎」，由中華資安國際洪進福總經理代表領獎，表揚本公司甫成立即導入ISO 20000，今年更將紅隊演練服務納入驗證範圍，證明中華資安國際達到國際IT服務管理的最佳實務標準，更以嚴謹的實務作業程序提供高品質的紅隊演練服務。中華資安國際是國內唯一通過ISO 20000驗證之紅隊演練(Red Teaming)服務商，代表除了領先市場的資安專業，團隊更著重於團隊的紀律與品質，整合人員(People)、流程(Process)、資訊系統(Technology)，制定作業程序詳細記錄處理過程，致力於提供客戶高品質之資訊安全服務。紅隊演練是找資安專家擔任紅隊攻擊方，以駭客的觀點，針對特定的企業或組織執行全面性的情報偵蒐、尋找曝險缺口、入侵、取得關鍵資產、獲得掌控權等一系列的入侵演練，目的是為了協助企業或組織找到資安缺口、驗證企業的偵測與應變能力，藉以持續強化改善自身的資安防護能力。紅隊演練可以補足傳統滲透測試容易忽略之邊界防禦、以及人為疏失之佈署錯誤，通常會利用公開資訊、社交網路、供應鏈、暗網等蒐集情資、結合資訊安全專家之專業知識、攻防技術及駭客工具資料庫，對於雙方所約定之攻擊標的與組織，進行全面性的入侵演練。中華資安國際的資安檢測團隊，已連續六年榮獲行政院資安評鑑A級之最佳評價，成員皆擁有多年檢測經驗及OSCP、CEH、ECSA、GWAPT、GPEN、CISSP、CREST等多項國際證照，以及主機、網站、行動App、應用程式、物聯網設備等各領域0 day漏洞挖掘能力，實力備受業界肯定，並已協助多家大型企業進行紅隊攻防演練。中華資安國際為中華電信子公司，團隊服務通過ISO 27001與ISO 20000雙驗證，並獲得BSI資安品質精銳奬、「2018 資安滲透測試攻防國際邀請賽」冠軍、「 2018 HITCON Defense企業資安攻防大賽」冠軍及情資分享特別獎、「2019 資安漏洞挖掘邀請賽」季軍、「2019 RedAlert72資安攻防競賽」亞軍、中華徵信所TOP 5000服務業經營績效排名第208名與「其他資訊服務業」企業排名第一名等獎項，近一年更挖掘超過29個以上的重大CVE弱點，更將營業領域從傳統的IT網路資安擴展至OT、物聯網與智慧製造等新興資安領域。

中華電信子公司中華資安國際近日通過 ISO 20000範圍擴大及轉版稽核，並取得BSI英國標準協會正式頒發的證書，其中最大亮點就是將資安「紅隊演練」服務 (Red Teaming Service) 納入本次驗證範圍，目前也是國內唯一通過ISO 20000驗證之紅隊演練服務商，證明中華資安國際達到國際 IT 服務管理的最佳實務標準，也提供客戶值得信任、高品質的資訊安全服務。 紅隊演練(Red Teaming)是找資安專家擔任紅隊攻擊方，以駭客的觀點，針對特定的企業或組織執行全面性的情報偵蒐、尋找曝險缺口、入侵、取得關鍵資產、獲得掌控權等一系列的入侵演練，目的是為了協助企業或組織找到資安缺口、驗證企業的偵測與應變能力，藉以持續強化改善自身的資安防護能力。紅隊演練可以補足傳統滲透測試容易忽略之邊界防禦、以及人為疏失之佈署錯誤，通常會利用公開資訊、社交網路、供應鏈、暗網等蒐集情資、結合資訊安全專家之專業知識、攻防技術及駭客工具資料庫，對於雙方所約定之攻擊標的與組織，進行全面性的入侵演練。中華資安國際洪進福總經理表示：「紅隊演練是企業或組織檢視自身資安防護做得好不好，最有效的方法和手段。但是，過去很多企業或資安負責人都會擔心執行紅隊演練的過程或找到資安缺口，如果管理不當，會為企業帶來風險。因此，紅隊演練通過ISO 20000驗證，代表中華資安國際不只品牌形象值得信任，更從實務上嚴謹的制定作業程序、詳實記錄過程、完善透明的客戶溝通、諮詢客戶滿意度，以專業、紀律來提供客戶高品質的紅隊演練服務。」，中華資安國際的紅隊演練團隊已經連續六年榮獲行政院資安評鑑A級之最佳評價，成員皆擁有多年檢測經驗及OSCP、CEH、ECSA、GWAPT、GPEN、CISSP、CREST等多項國際證照，近一年內挖掘超過20項以上的CVE零日漏洞，實力備受肯定。此外，中華資安國際最近更在2020年中華徵信所的調查中，不論營收規模或是獲利規模，都是國內最領先的資安服務商，歸類於資訊服務業（代號6299），在公司成立後的第二年即晉身全國台灣大型企業排名TOP 5000服務業經營績效排名第208名，更是「其他資訊服務業」企業排名第一名，在新冠肺炎疫情中逆勢成長，見證中華資安國際之經營實力。中華資安國際為中華電信子公司，團隊服務通過ISO 27001與ISO 20000雙驗證，並獲得BSI資安品質精銳奬、「2018資安滲透測試攻防國際邀請賽」冠軍、「2018 HITCON Defense企業資安攻防大賽」冠軍及情資分享特別獎、「2019資安漏洞挖掘邀請賽」季軍、「2019 RedAlert72資安攻防競賽」亞軍等獎項，近一年更挖掘超過29個以上的重大CVE弱點，更將營業領域從傳統的IT網路資安擴展至OT、物聯網與智慧製造等新興資安領域。關於中華資安國際(https://www.chtsecurity.com/)中華資安國際為中華電信集團子公司，專注於資安專業服務與相關軟硬體研發，團隊取得ISO 20000及ISO 27001雙證書，連年榮獲行政院資安服務廠商評鑑「A級」之特優評價，專業實力深獲肯定。中華資安國際擁有多年的資訊安全攻防實戰經驗，提供事前檢測、事中監控、事後鑑識應變與回復的服務，一站式滿足政府及企業的資安需求，已提供服務予兩百多家政府機關及大型企業以及兩萬多家中小企業。

國內資訊安全領導廠商中華資安國際今（9/25）日宣布榮獲中華徵信所2020年「其他資訊服務業」企業排名第一名。中華徵信所長期記錄台灣企業之發展軌跡及成果，並根據企業經營績效進行排名，而中華資安國際作為台灣資安產業之執牛耳者，不論營收規模或是獲利規模，都是國內最領先的資安服務商，歸類於資訊服務業（代號6299），在公司成立後的第二年即晉身全國台灣大型企業排名Top 5000服務業經營績效排名第208名，更是「其他資訊服務業」企業排名第一名，在新冠肺炎疫情中逆勢成長，見證中華資安國際之經營實力。(圖1、中華資安國際榮登中華徵信所2020 Top 5000大型企業排名其他資訊服務業第一名)目前外在環境雖有新冠肺炎疫情衝擊全球，中華資安國際不僅以領先的資安技術、嚴謹的服務態度持續協助政府、金融、醫療、高科技與資服等企業專業的資安服務，近期更擴展至OT（Operational Technology）關鍵基礎設施以及智慧製造等場域，協助油水電等關鍵基礎設施、運輸業、高科技智慧工廠業者進行OT資安健診與防護監控，共同致力於提升國內整體資安防護能力，因此，故能在本次中華徵信所之調查排行中脫穎而出。 中華資安國際為中華電信子公司，自2018年開始營運，目前已是國內最大的專業資安服務公司，團隊服務通過ISO 27001與ISO 20000雙驗證，並獲得BSI資安品質精銳奬、「2018 資安滲透測試攻防國際邀請賽」冠軍、「 2018 HITCON Defense企業資安攻防大賽」冠軍及情資分享特別獎、「2019 資安漏洞挖掘邀請賽」季軍、「2019 Red Alert 72資安攻防競賽」亞軍等獎項，近一年更挖掘超過29個以上的重大CVE弱點，更將營業領域從傳統的IT網路資安擴展至OT、物聯網與智慧製造等新興資安領域。(圖2、中華資安國際主管帶領團隊致力於提升國內整體資安防護能力。由左至右分別為：中華資安國際副總游峯鵬、總經理洪進福、副總王文正)

國內資安領導廠商中華資安國際今（10 日）宣布與資安新創公司奧義智慧科技合作推出「AI 巡檢包」服務，採用美國 MITRE ATTCK 公開評測最強偵測能力的奧義智慧 CyCraft AI 資安引擎，提供政府或企業自動化資安威脅分析、排查、抑制與快速通報，並提供淺顯易懂的資安檢查報告，由強強聯手的「資安國家隊」協助政府或企業抵禦惡意程式侵駭。臺灣中小型企業及政府機關多數未能配置足夠之資安人員，無法早期偵測未知惡意程式威脅，以致遭受惡意程式攻擊的事件頻傳。本次中華資安國際與奧義智慧科技推出的「AI 巡檢包」，利用 AI 防駭模組自動化盤點清查單位端點設備，偵測是否遭受未知惡意程式、駭侵行為威脅，排查可疑帳號、可疑行為及高危險工具，並產生出易懂且完整的健診報告。健診報告以視覺化詳細呈現遭駭端點、案情脈絡與惡意連線軌跡等分析成果，提供客戶訂定有效根除計畫、擺脫駭客威脅與防阻勒索軟體危害。透過此方案，可比一般曠日廢時的調查更加快速、即時發現潛伏的資安威脅，徹底防堵與壓制惡意程式造成的影響。中華資安國際總經理洪進福表示「由於中華資安國際和奧義智慧是臺灣的在地團隊，我們希望能提供政府與企業由臺灣自主研發、品質更勝國外的資安解決方案，打造值得信賴的『資安國家隊』，共同守護臺灣政府與企業的資安無虞！」；奧義智慧共同創辦人吳明蔚博士則表示，「中華資安國際在資安技術、專業服務與資安事件處理的經驗十分豐富，很開心這次能與中華資安合作，除了本次的AI 巡檢包外，未來兩家公司也會持續深化彼此的策略合作。」更多關於「AI 巡檢包」關於中華資安國際 (https://www.chtsecurity.com/)中華資安國際為中華電信集團子公司，專注於資安專業服務與相關軟硬體研發，團隊取得ISO 20000及ISO 27001雙證書，連年榮獲行政院資安服務廠商評鑑「A級」之特優評價，專業實力深獲肯定。中華資安國際擁有多年的資訊安全攻防實戰經驗，提供事前檢測、事中監控、事後鑑識應變與回復的服務，一站式滿足政府及企業的資安需求，已提供服務予兩百多家政府機關及大型企業以及兩萬多家中小企業。 關於奧義智慧 (https://cycarrier.com/)世界領先 AI 資安公司，以創新 AI 技術自動化資安防護，內建 EDR、CTI、NGAV、NDR 並整合建構新一代 AI 資安戰情中心，獲得逾五十個政府機關、警政、國防單位，以及三成金融機構、數十家關鍵領域龍頭企業的信賴，市占率國內第一。從端點到網路、從調查到阻擋、從自建到託管，CyCraft AIR 涵蓋企業安全所需的一切面向，遵循 F/A/S/T 量化指標，提供客戶主動防禦，達到「威脅，視可而止」。

自2019年資通安全管理法（簡稱資安法）上路後，明文要求政府單位與關鍵基礎設施業者必須設立資安長，使得近兩年來資安專業人力需求大幅增長。從日前震驚全台的能源領域內部身分驗證伺服器遭滲透成功，使得攻擊者得以藉由合法的政策派送勒索軟體到多台終端可發現，設立專責部門立即回應處置，才是降低損失的關鍵要務。就本土資安環境來看，中華資安國際總經理洪進福指出，法規向來是主要的驅動力，其次則是外部威脅不斷加劇，除了2018年台積電晶圓廠遭WannaCry感染引發社會關注，日前關乎基礎民生所需的中油也遭受勒索軟體感染，就連經營管理為標竿型企業的台塑集團同樣無法倖免，大眾開始意識到，惡意軟體威脅確實必須面對，特別是智慧化應用場域，高度仰賴新興資訊科技，讓企業不得不正視外部威脅潛在的風險。此外，新科技也會為資安帶來一定程度的風險，今年（2020）各家電信公司陸續開台的5G，預期將掀起物聯網等新型態應用場域蓬勃發展，初期勢必無法完善資安控管措施，畢竟新科技本就是為了全新目的所設計，難以事先兼顧所有安全性措施，除非實際部署運行後才會被攻擊者挖掘發現缺口，趁機滲透入侵控制主機。即便不是新型態應用場域，既有的資訊系統也隨時可能被攻擊者找到新漏洞。因此洪進福強調，資安／IT管理者必須意識到防禦措施得持續不斷地被強化，而非僅停留在當下的防護等級。局端防護企業上網資安勒索軟體之所以能夠滲透成功，不外乎透過釣魚郵件或對外服務被掃描出漏洞進而成功滲透到內網，駭客先行潛伏取得高權限的帳密後，以合法行為大規模擴散。對於九成以上的中小企業、新創公司而言，IT人員往往嚴重不足，平日維持網路、資訊系統正常運行，解決終端用戶工作環境的各種疑難雜症，就已經相當忙碌，根本無暇因應以不法利益為目的的外部威脅。中華資安國際協理陳怡如認為，這正是資安託管服務供應商（MSSP）可發揮之處。「中小企業很難如同政府、大型企業般設立資安團隊，更多狀況是根本沒有設立專屬IT人力，以成本結構來看確實合理，但面對勒索軟體不減反增的狀況，便須藉由MSSP協助因應。例如本就租用中華電信的電路，可直接在局端偵測進行防禦，把資安防護交給專業資安服務廠商，來因應攻擊威脅。」陳怡如說。即便中小企業願意投資部署資安技術，往往也欠缺專才維運發揮功效，針對這類型的缺口，中華電信旗下的中華資安已提供企業上網資安服務，包含部署新世代防火牆、先進網路防禦系統等設備，協助增強防護，並由中華資安來負責維運工作。中華資安的監控中心（SOC）設有專業團隊724監控，在偵測到異常行為時便會予以攔阻與發出告警通知，讓中小企業無需額外資本支出，以月費方式建立防護力。涵蓋前、中、後的資安專業服務除了結合電路的企業上網資安服務，中華資安更具優勢之處在於專業服務項目，包含事前檢測、事中監控、事後調查與應變措施。洪進福表示，「行政院資安處每年進行的資安服務廠商評鑑，類別涵蓋SOC監控、資安健診、滲透測試、弱點掃描、社交工程郵件測試，中華資安可說是國內資安服務廠商中唯一連續多年全數5項皆被評為A級的廠商。」政府制定的資安共同供應契約，過去都採最低價格標而不論能力好壞，例如執行滲透測試服務，每個網站的費用為固定，讓各單位可直接挑選下單採購。但是去年（2019）開始做了重大改變，評鑑資安服務廠商的等級，以A、B、C、D等級區分，接下來，規範政府A級機關只能選擇評鑑為A級的服務廠商，準則是服務廠商的級別不可低於單位資安責任等級。此外，中華資安亦有提供顧問服務，例如輔導ISO 27001資訊安全管理系統（ISMS）認證、PKI建置。陳怡如說明，自從中華資安成立後，提供服務的同時也持續強化自有產品開發，且已經陸續開始發布，例如SecuTex全時封包側錄與網路偵測設備，以及情資分享平台、弱點管理平台、社交工程郵件平台、通訊加解密技術等，皆為中華資安自主研發。推MDR及早應變緩解風險全時封包側錄用意就如同網路環境的行車記錄器，洪進福說明，部署位置是在企業IT或關鍵基礎設施環境的閘道端，目前已經具備一定程度的智慧化，意味著無須人力時時監控而是系統自主偵測異常活動。萬一發生資安事故時，亦可成為數位鑑識的工具還原現場狀況，以便鑑識人員查看滲透軌跡，快速地釐清滲透入侵的根本原因與損害範圍。「SecuTex在當前市場上的分類屬於網路流量分析（Network Traffic Analysis，NTA），目的不必然是偵測滲透入侵，過去IT人員常用的Sniffer是側錄後拆解封包，本身是設計給工程師用的工具，SecuTex則是輔助非專業資安人員分析的工具，部署之後會主動判讀正常或異常。」洪進福說。中華資安國際總經理洪進福（右）與中華資安國際協理陳怡如（左）指出，資安技術工具發展已屆成熟，如今企業更需要專業服務的協助。中華資安提供的MDR服務，攜手合作夥伴共同提供，可依據企業應用場景彈性選用最合適的技術輔助。最近爆發的重大資安事件，皆非為典型惡意程式滲透手法，例如可能是用戶帳號的弱密碼所導致，讓攻擊者得以採用正常行為進行滲透，根本無法被資安防禦措施偵測發現。另一方面，企業對外提供服務的網站應用程式被發現漏洞，攻擊者利用來當成跳板進入內網，可成功迴避防禦措施，SOC團隊監看時亦無從察覺。對此洪進福認為，惡意程式建立灘頭堡時或許難以被偵測，但是在攻擊活動到達橫向移動階段時，理應要有機制可發現，問題是，傳統SOC蒐集資料的範圍並未包含端點活動，在涵蓋範圍不夠廣泛之下，可視性始終有盲點。對此市場上興起MDR（Managed Detection and Response）服務型態，「中華資安日前亦開始提供MDR服務項目，攜手端點與閘道端技術供應商例如FireEye、Carbon Black、趨勢科技等，在端點上部署代理程式，蒐集資料拋送到大數據平台，彙整既有閘道端持續地解析封包累積的資料，如此一來，才有完整的可視性能力，再藉由機器學習演算分析輔助，來補強企業欠缺的威脅偵測與應變能力。」(新聞來源：http://www.netadmin.com.tw/netadmin/zh-tw/trend/75C842DC69354CEC9BE4F5922DAD21B8 )