<近期政策重點>

本院前於109年12月18日函請各公務機關於110年底前完成汰換所使用或採購大陸廠牌資通訊產品(含硬體、軟體及服務)作業，並於110年1月間配合盤點全機關、委外廠商及其分包廠商所使用或採購上述資通訊產品事宜，截止至3月1日，各機關填報情形重點摘陳如下：

• 一、大陸廠牌資通訊產品盤點情形

  目前已有99%公務機關完成上述填報作業，其中有2,596個機關使用大陸廠牌資通訊產品(含其委外廠商所使用之產品)數量約有19,256個，另，因部分學校單位之資訊人員係由教師兼任，除平日教學外，尚有校務事務待處理，爰約有1%未完成填報作業(詳如表1)。

  

• 二、大陸廠牌資通訊產品使用現況

  針對機關所盤點之大陸廠牌資通訊產品中，軟體、硬體、服務及其他之比例最高廠牌(類型)依序分別如下(詳如表2)：

  • （一）軟體：電子書籍、古代書籍及近代期刊等資料庫。
  • （二）硬體：深圳大疆創新科技有限公司(DJI)、普聯技術有限公司(TP-Link)及杭州海康威視數位技術股份有限公司(Hikvision)。
  • （三）服務：駐外館處使用之電信服務、兩岸法律政策研究，以及活動宣傳等服務。

                             

  註：表2為本次盤點大陸廠牌資通訊產品統計情形，後續將由本院資安處綜整評估各機關填報內容之妥適性後，另案通知各機關本院評估結果。

• 三、公務機關使用大陸廠牌資通訊產品之分析說明

  公務機關使用大陸廠牌資通訊產品之用途，在軟體部分，主要多為研究單位及學校進行歷史研究及各領域之教學所用；硬體部分多用於教學、土地勘查、小型簡易辦公環境之連網需求及公務實體環境之保全；服務部分多因為駐外館處地理環境及特殊情勢、兩岸法律政策研究，以及活動宣傳等需求。前揭機關採購或使用中國大陸廠牌資通訊產品，多因設備功能滿足需求、價格低廉且機關經費有限。

<整體威脅趨勢>

事前聯防監控

本月蒐整政府機關之資安聯防情資共70,544件，統計近一年情資數量分布詳見圖1。經分析上述資安聯防情資，可明確辨識之威脅種類，第1名為入侵攻擊類(37%)，主要針對網頁應用程式之攻擊行為；其次為掃描刺探類(26%)，主要針對已知漏洞、遠端服務及密碼猜測之探測行為；以及惡意程式類(19%)之後門間諜程式連線行為。

圖1 資安聯防監控資安監控情資統計

事中通報應變

本月資安事件通報數量共83件，近一年資安事件通報統計詳見圖2。本月微軟Exchange Server遭揭露多個安全性漏洞，故已透過漏洞回報機制促請機關即時修補，並掌握整體中央部會及地方政府自身及其所屬、所轄及所管公務機關執行情形。

圖2 資安事件通報統計

事後資訊分享

本月發現某機關網站遭植入網頁型木馬程式事件，機關調查受駭系統為資料查詢系統，該系統因版本老舊曾於109年採購新版本系統，並採新舊版本系統併行上線以避免服務異常，然而舊版本系統未於測試完成後下線，導致遭駭客入侵植入網頁型木馬程式。

足資借鏡：政府機關資通系統改版時，應擬定系統上線計畫書(可參考「政府網站服務管理規範」之「上線計畫書章節架構建議」)，亦應將舊系統下線時程納入計畫書。此外，新舊系統併行期間，舊系統亦應做好資安防護，依機關規定時程進行系統更新與弱點掃描等相關防護措施。

<國內外重點資安新聞>

• 一、中國駭客組織為竊取5G機密，鎖定全球電信業者

  近期資安業者揭露由中國駭客組織(RedDelta)主導之間諜行動，其名為Operation Diànxùn (電訊行動)，該行動主要針對各地電信業者員工發起攻擊，初步推測駭客動機為竊取全球5G機密資料。

  資料顯示，駭客攻擊目標為美國、歐洲及東南亞之電信服務供應商，其中特別鎖定德國及越南之電信業者，其首先建立偽冒之華為徵才網站頁面，吸引電信產業員工點選，當受駭者造訪該網站，會被要求安裝Flash應用程式，同時駭客亦偽冒Flash官網，其Flash安裝檔實為惡意程式下載器(Downloader)，繼而下載以.Net撰寫之惡意後門程式，進一步危害系統。

  (資料來源：McAfee、ZDNet及Threatpost)

• 二、美國軍方研究機構發表「虛擬環境資料保護」專案

  傳統加密技術以加密儲存與加密傳輸方式保護資料安全，惟進行資料運算或分析，須先將資料解密方可使用，提高解密資料遭外洩或被濫用之風險。而「全同態加密(FHE)」可於加密狀態進行運算，協助使用者於資料保護與使用間取得平衡，惟其需大量運算資源與時間，目前難以應用。

  為加速FHE運算能力，隸屬美國軍方之國防先進研究計畫機構(DARPA)發起「虛擬環境資料保護」專案，規劃研發FHE硬體加速器，以降低使用FHE軟體運算所耗費之時間，使FHE得以實際應用於國防或商業領域。

  (資料來源：ZDNet及Intel Newsroom)

• 三、駭客鎖定美國報稅季，發起網路釣魚攻擊

  美國報稅季即將到來，駭客鎖定納稅人發起攻擊行動，以稅務相關名義寄送釣魚郵件，藉此將遠端木馬程式植入納稅人電腦，進而竊取機敏資料。

  駭客使用木馬程鎖定美國納稅人並非單一攻擊事件，此次事件之所以引起關注，係因駭客採用各式迴避偵測手法，例如刻意於釣魚郵件中夾帶高達7MB之惡意文件檔案，導致防毒軟體可能會因檔案過大而略過掃描防護。

  (資料來源：Cybereason、ZDNet及Security Boulevard)

<近期重要資安會議及活動>

本院資安處規劃於110年5月5日召開「110年度中央及地方政府資通安全長暨行政院國家資通安全會報第37次委員會議(擴大會議)」(上午)及「110年度中央及地方政府資訊主管會議」(下午)，並將邀集各中央機關及地方政府之資安長及資訊主管與會，會中將說明近期資安重點政策及相關配合辦理事項，並安排與資安產業界之交流活動。

<資通安全長及資訊主管異動情形>

文化部資訊處原為王揮雄處長，自110年3月8日起由莊舜清副處長代理。