略過巡覽連結首頁 > 產業觀察

產業觀察

從運彩弊端看遠端監控系統的重要性

作者/蕭夫一

[發表日期:2011/10/3]

前言

【財經中心/台北報導】富邦金控旗下台北富邦銀行所屬的運彩科技公司,發行運動彩券,卻爆發主官利用職權作弊下注,詐領彩金,雖然運彩科技發布聲明稿致歉,並表示會配合調查,絕不包庇,不過,已重創民眾對運彩的信心,投注站業者估計,銷售業績掉2成,更有彩迷氣憤直批:「這與職棒簽賭有何不同?」
資料來源:今日新聞網2011年9月18日 13:31

剛過完中秋節,秋意慢慢瀰漫,報紙出現令人錯愕的新聞,一向頗具公信力的運動彩券,居然出現弊端─對於同樣從事資訊專業的讀者們,如何看待這次事件?首先,我們不免好奇,是怎樣的設計概念,讓系統出現這個漏洞? 然後,我們會分析,一定是系統少了哪些時間檢核的機制。接著,我們不免同情這個系統用戶,以這種方式上報紙頭版,賠了公司的商譽不說,股票下跌,年終獎金還會沒了。而筆者認為,我們其實應該藉這個案例深入思考,如何防止類似事件發生?

讓我們再藉【蘋果日報】列出的運彩公司六大疏失,深入探討問題所在:

1.系統軟體設計在截止投注之後,為何還能重新開機開賣?系統軟體顯然有問題。
資料來源:蘋果日報

根據林嫌的供詞,是因為某次賽事因雨延賽,讓他發現竟然還可以重新開機,故心起貪念,鑄下大錯。在應用系統上,顯然有許多可以控制的檢核點,但是似乎都沒有考慮到。

2.林XX在偷開系統重新開賣時,運彩公司內部竟沒有發現,顯示監控出問題。
資料來源:蘋果日報

顯然系統沒有設計任何監控機制,只要有權限的人員,都可以獨自執行重要的作業。

3.為何林XX一個人就有主管開賣、停賣跟派彩這麼大的權限。
資料來源:蘋果日報


可能制度沒有設計分權負責,或是分權負責的制度沒有落實。

4.運彩在確認賽果後應立即派彩,不應讓林XX有空檔去偷開系統下注
資料來源:蘋果日報

我們只能這樣猜想:可能系統需要時間整理,才能開始派彩作業吧?

5.林XX的同夥去買彩券時,彩券行為何沒注意到購買時該期彩券已截止投注
資料來源:蘋果日報


6.林XX經作弊所中的頭獎彩券在兌獎時,富邦銀行為何沒有確認彩券上的購買時間有問題
資料來源:蘋果日報

除非這些人工的檢核工作,是購買彩券,與兌換彩券時的標準作業程序(SOP),否則,相信很多操作人員不會注意這些細節,因為大家相信,這是不可能發生的。所以,從應用系統,或管理制度來看,應該還有很大的改善空間,可以防範這類缺失發生。

從運彩弊端看遠端監控系統的重要性

不久前,筆者在某客戶的測試環境中進行檔案安全傳輸的POC,某日,客戶經辦窗口,跑來測試室,神情慌張的質問我們:「是誰把測試環境的檔案都刪光了…。」當然,現場人員矢口否認,然而大家心知肚明,測試環境的權限控管本來就不是那麼嚴謹,誰可以Copy那些檔案,誰可以Delete那些資料,通常不會花太多時間與心思去設定,當然事後追查兇手是誰,就有其難度了。因此當場,"T公司"台灣代理商吉米先生,趁機說:「要是你們有"Guardian"產品,誰是兇手,就不難抓出來了…。」雖然,事後客戶以備份檔案將資料救回來。但是,如何防範的問題仍然存在,這個事件,是否已讓用戶警覺到事情的嚴重性,不得而知。但是,鐵定他們得到了教訓。

T公司是一家位於芬蘭、赫爾辛基專門研發資訊安全產品的公司,在全球協助許多行業的公家、私營企業客戶,選擇合適的方案,以解決客戶組織內跨越各種複雜環境的資訊安全需求。而Guardian是活動監控的設備,可以監控與審核遠端之伺服器,同時處理虛擬桌面和網路設備的存取,亦可記錄使用者存取這些伺服器的活動。

一、它是個快速、高效率的產品。

它可以在幾小時之內,從根本上去改造系統管理面的責任制度:利用Guardian可重新定義伺服器系統管理員的責任等級。它能在我們整個網路上以神不知鬼不覺的方式,強制執行全域規則,完全不需要修改任何應用程式的環境。透過它所提供的網頁介面,我們就能微調設定,以符合目前環境的需求。

二、它可以精確地掌控SSH、RDP、VMware View、VNC、Telnet和TN3270對伺服器與網路設備的連線。

我們可以指定哪些人(Who)、什麼時間(When)、以什麼方式(How)、以及從什麼地點(Fromwhere)可以存取我們的伺服器,並控制通訊協定的進階功能,例如SSH或RDP連線中允許的通訊管道類型。我們可以停用不需要的通訊管道,以減少伺服器上的安全風險。它還能驗證伺服器的主機碼,以防止中間人攻擊(man-in-the-middleattack)。在大多數重要的環境中,還可套用先進的"4-eyesPrinciple",以確保存取的安全性。

在此,筆者特別對所謂的"4-eyesprinciple"做個說明,字面上,它可以翻譯成"4眼原則"。意義上,它可以翻譯成"互相牽制原則"。這個原則,實際上就是用來進行職責劃分,任何重要指令、交易之執行,沒有人可以單獨完成。這個和金融機構的雙人原則(2-man Rule),是相同意義的。例如,極重要的交易,需要CEO與CFO的核准。如在銀行,現金出納工作中,就有雙人管庫,雙人押送的規定,這樣便於相互監督,並防止差錯和意外事故的發生。在系統操作上,也是要雙人去執行,例如:伺服器重要配置(configuration)的變更,資料庫操作、與非預定的關機,才能避免錯誤所造成系統的災難。

三、側錄記錄,可以就像看電影一樣重播。

它所記錄下來的側錄記錄,可以像電影一樣呈現在我們面前,我們可以清楚看到系統管理員做了什麼,就像我們當時正在看著他的螢幕一樣。所有的側錄記錄都會設定索引鍵,因此可以快轉,或是以事件搜尋(例如滑鼠按鍵、按Enter鍵的動作)到系統管理員所看見的文字。

Guardian典型的應用領域

一、安全法規與政策:

薩班斯-奧克斯利法案(SOX)、支付卡行業資料安全標準(PCI-DSS)、健康保險流通與責任法案(HIPAA)、或巴塞爾II協議規定,所有的敏感性資訊,無論是個人資料,信用卡資料,或其他,均需要加以嚴格的保護。這些資訊通常儲存在集中式伺服器上的資料庫,只能透過專門的應用程式(例如:會計系統)去存取。這些應用程式也僅只產生符合法規所需要的記錄和報告,但也是限於對資料庫的合法存取記錄。但是擁有超級用戶權限的資料庫管理人員,有機會直接存取和操作資料庫,甚至可能從伺服器刪除管理人員本身操作的日誌。而Guardian可獨立於這些被管理的伺服器,與管理人員之外,提供一個獨特的方式,來填補應用程式所缺少的日誌和報告。

二、資訊外包服務:

許多企業經常聘請外部公司為他們進行配置,維護和監督企業的伺服器和資訊服務。基本上這意味著,這些企業願意信任這些外部公司的管理人員接觸到該企業所有的資料(例如,私人和企業的電子郵件,客戶資料等),甚至經營該企業的關鍵業務(例如該企業的網路商城)。顯然,在這種情況下,這些企業需要一個獨立的設備,可以可靠地記錄下所有的管理性活動。Guardian針對這一點,在伺服器上,可以提供有關所有問題的詳細資訊,因此很容易找到應該負責的人(就像上面所舉刪除檔案的例子)。另外,使用"4-eyes principle"的方式去即時授權,可提供對遠端伺服器的存取以及管理的活動,做進一步的控制。

三、遠端管理:

承包外包業務的外部公司,也可以享受到Guardian的好處,將它做為績效評估的工具。所記錄的側錄記錄,可以當做這些外部公司,協助企業解決遠端伺服器所有問題的證據,也因為有這些記錄,服務水準協議(SLA)也可以有更好的掌控。

四、Thin-client的基礎建設:

Guardian支援所有最新的Thin-client協定,例如:RDP,VMware View,它可以提供與應用程式無關的方式,來記錄與監控每一個client端的一舉一動。

五、即時監控檔案的傳輸與存取:

Guardian可以將某些傳輸通路中的內容,移轉到外部的"資料外洩防護(DLP)"系統,以便對敏感性的資料,做辨識,跟蹤,和示警,故企業的DLP政策,可以擴大到迄今為止,尚無法控制的SSH和SFTP等加密協定。

六、受控制的SSH協定:

許多企業都允許對外傳輸時,使用安全的SSH連線,但不希望這樣做,而沒有進行管控。Guardian可以控制在一個SSH連線中,允許什麼樣的流量類型在其中傳輸,故可以對SSH的連線,做流量類型的區隔。

七、跳轉主機:

許多企業使用跳轉主機去存取遠端伺服器或執行遠端的服務。Guardian管理者可用來認證與審核這些連接到跳轉主機的存取權限。由於Guardian可以支持強制認證方法(例如:X.509憑證式認證)和認證用戶目錄(例如:微軟的AD和其他LDAP的資料庫),故可大大簡化伺服器上金鑰和密碼的管理。

結語

看過Guardian功能後,我們再回頭看看運彩弊案爆發後,運彩公司透過公關公司所發表的因應措施:
2011.09.1702:46pm【聯合晚報╱記者李亦伸/台北報導】運彩公司聲明中指出,「在事發之後,運彩科技除了…針對標準作業程序,進行雙人核可與雙重驗證的改善措施。所有…程序,均需透過兩人核可方能完成」。


要是,運彩公司有Guardian這項產品的協助,也許故事的結局就不一樣,出現的新聞會像是:
20XX.09.1702:46pm【XX晚報╱記者鄭吉米/台北報導】運彩科技公司…該名員工雖矢口否認,但經調閱該公司一套名為"Guardian"系統的側錄記錄,重播時,側錄記錄就像影片般,將將該名員工,在工作站鍵盤所下過的指令忠實的記錄下來,讓該名員工百口莫辯,俯首認罪,…。

20XX.09.1702:46pm【XX晚報╱記者鄭吉米/台北報導】運彩科技公司…發現內部員工,企圖利用職權之便,於賽事之後,將系統重新開機,然該名員工並未察覺公司內部,已在某大系統整合廠商協助下建置一套名為"Guardian"的系統,該系統可以在某個時間後,限制某些特定的指令的執行,並將輸入這些指令的過程記錄下來,…使該名員工的企圖,無法得逞,…讓運彩科技公司保住了商譽。


所謂[明槍易躲,暗箭難防],其實像運彩公司的這種內賊更難防,相信還有許多公司,在資訊安全方面還有很大改善空間,讓我們共同努力吧。

 

回上層