<近期政策重點>

為宣導最新資安防護重點與訊息，協助各機關提升資通安全管理與技術認知，本院資安處規劃於本(110)年11月25日至12月14日分別於北部、中部、南部及東部辦理「110年第2次政府資通安全防護巡迴研討會」計8場次，就政府機關資安威脅與防護重點、資通安全管理法近期推動及宣導事項、網路攻防演練暨資安技術檢測重要發現事項等項重點說明，請各機關踴躍報名參與。

<整體威脅趨勢>

事前聯防監控

本月蒐整政府機關之資安聯防情資共50,545件，統計近一年情資數量分布詳見圖1。經分析上述資安聯防情資，可明確辨識之威脅種類，第1名為入侵攻擊類(45%)，主要係網頁攻擊行為及跨目錄存取攻擊；其次為掃描刺探類(25%)，主要係外部主機執行掃描探測攻擊；以及政策規則類(19%)，主要係單一帳號持續登入失敗。

其中，依聯防情資彙整資訊進一步分析，發現近期駭客利用「郵件帳戶已遭停用」電子郵件主旨，大量寄送含有釣魚網站連結之社交工程電子郵件，企圖騙取政府機關人員郵件帳號密碼。經深入分析，發現駭客於郵件寄件人欄位中透過夾帶政府機關網域名稱，偽冒成郵件管理系統通知，以密碼到期與帳戶已遭停用為由，要求收件人點擊郵件連結以啟動帳戶，並繼續使用原帳號密碼，技服中心已透過聯防監控月報提供相關防護建議予政府機關參考。

圖1 資安聯防監控資安監控情資統計

事中通報應變

本月資安事件通報數量共63件，近一年資安事件通報統計詳見圖2。本月資安事件通報數量較上月下降25.88%，檢視後發現帳號密碼外洩警訊事件大幅減少，由於追蹤竊取帳號密碼攻擊已超過4個月，推測可能因攻擊活動趨緩，故此類通報案件數量下降。

圖2 資安事件通報統計

事後資訊分享

某機關接獲民眾反應其服務網站無法正常登入使用，資訊人員檢視發現網站主機CPU使用率滿載，導致網站無法穩定運作，經資訊服務廠商分析後，發現係因網站主機作業系統更新後，與網站程式碼發生相容性問題，導致影響網站運作，後續由網站開發廠商調整程式碼後即恢復正常運作。

足資借鏡：網站主機作業系統更新、程式碼異動或元件更新時，應於測試環境進行相容性評估與測試，並確認網站可正常提供服務，另若作業系統漏洞未能即時完成更新，則應評估機關服務主機與網路環境，並採取合適之替代方案，以避免駭客利用漏洞入侵成功。

<國內外重點資安新聞>

• 一、美國商務部禁止駭侵工具出口至特定國家

  美國商務部(Department of Commerce, DoC)之產業安全局(Bureau of Industry and Security, BIS)發布新規定，禁止美國企業將駭侵工具出口或轉售予任何可能透過惡意攻擊行動，強化威權統治與侵犯人權之對象。

  該規定將於90天內生效，以國家安全與反恐為由禁止駭侵工具出口與轉售，同時提供資安產品出口授權例外名單，列舉各種資安與駭侵相關工具禁止出口國名單，如欲出口相關產品至中國、俄羅斯、伊朗及北韓等國，須事先取得主管機關授權同意。

  美國商務部表示，美國政府反對濫用技術，藉此侵犯人權或進行其他惡意網路攻擊行為，該規定將有助於防範美國企業淪為助長犯罪行為之幫兇，減少美國產品或服務遭其他政府用於打擊人權。

  (資料來源：美國商務部官方網站、Homeland Security Today)

• 二、美國聯邦通訊委員會撤銷中國電信美國分公司在美經營許可

  為貫徹「5G乾淨網路」(5G Clean Network)政策方針，美國聯邦通訊委員會(Federal Communications Commission, FCC)以國家安全為由，撤銷並終止中國電信美國分公司(China Telecom Americas)經營許可，該業者須於12月25日前停止於美國提供相關電信服務。

  新聞稿提出3點聲明，首先中國電信美國分公司受中國政府影響與控制，極可能於無條件情況下，被迫遵守中國政府提出之要求。

  其次，美國聯邦通訊委員會自2002年起授權中國電信美國分公司可於美國提供電信服務，迄今近20年期間，中國國家安全環境發生巨大變化，中國政府對於中國電信母公司與分公司之控制權提升，意指中國政府可透過中國電信美國分公司造訪美國電信網路，以進行間諜行動，進而影響美國國家安全。

  第三，電信服務屬重要關鍵基礎設施，中國電信美國分公司對於美國聯邦通訊委員會與其他政府部門之陳述缺乏可信度與可靠度，因此降低美國政府對於中國電信美國分公司之信任度。

  (資料來源：美國聯邦通訊委員會官方網站、路透社、BBC)

• 三、台積電透露SEMI將於12月發布半導體資安基準

  台積電企業資訊安全處長，同時也是SEMI臺灣資安委員會主席屠震於10月20日SEMICON Taiwan線上資安趨勢高峰論壇透露，晶圓設備資安標準（Fab & Equipment Security Standards）將於12月正式發布。

  IoT技術高速發展，隨著半導體產業智慧製造應用普及，相關資安保護上升到國安層級。為保護高科技產業與製造業及其上下游供應鏈，全球性之半導體生產設備供應商協會SEMI遂於今年6月底成立臺灣資安委員會，國內大廠如台積電、台灣應材、日月光、鴻海，以及微軟、思科等均有參與，該委員會重點工作將包括資安標準的推動與導入、資安意識提升、有效評估供應鏈安全及構建供應鏈資安評估框架等。屠震表示希望以此資安標準引導供應鏈在資安防護上帶來長期可用性，包括更新修補、病毒防護與網路存取控制，並在早期設計階段即導入資安意識，針對產品開發生命週期進行評估或認證。

  (資料來源：IThome、財經新報)

<近期重要資安會議及活動>

行政院國家資通安全會報第38次委員(擴大)會議：

本院規劃於12月7日召開旨揭會議(地點暫訂為台大醫院國際會議中心201室)，上午10時至12時30分由副院長主持，並邀請府會五院(均含所屬1級機關)及地方政府資安長與會；下午1時30分至4時，將由郭耀煌政務委員主持，邀請同上午機關之資訊主管與會。

<資通安全長及資訊主管異動情形>

本月無資通安全長及資訊主管異動。