TWM555500U

TWM555500U - 資安聯防系統

Info

Publication number: TWM555500U
Application number: TW106213150U
Authority: TW
Inventors: Chien-Lung Hsu; Su-Jen Shih; Wei-Yang Peng
Original assignee: Trade Van Information Services Co; Hsu Chien Lung
Priority date: 2017-09-05
Filing date: 2017-09-05
Publication date: 2018-02-11

Abstract

一種資安聯防系統，用於連接至少一客戶伺服端，前述客戶伺服端安裝一資安訊息收集物件，該資安聯防系統包含：至少一聯防伺服端、一保險伺服端及一資安管控伺服端。前述聯防伺服端包含一預警與監控伺服端或/及一通報與應變伺服端。該資安管控伺服端用以選擇性地與前述聯防伺服端及該保險伺服端交換該資安訊息收集物件取得之一資安訊息，以對前述客戶伺服端提供下列至少任二服務：一資安預警與監控服務、一資安通報與應變服務、一資安損害保險服務。

Description

資安聯防系統

本創作係涉及資安系統，尤指資安聯防系統。

隨著網際網路技術的迅速發展，越來越多資訊是需要透過網路進行傳遞，也因此網路安全的問題更顯重要。特別是，提供電子交易、行動支付等服務之銀行或商家的電子商務系統，或是大型企業、公家機關等必須進行機密文件傳遞者，這些機構若被駭客攻擊或有心人士滲透，便可能造成鉅額損失。

對此，目前大型機構(如企業、公家機關、銀行等)，大多會自行建置網路安全監控中心(Security Operation Center，SOC)進行防護。但自行建置網路安全監控中心除了成本高昂之外，也力有未逮，難以提供較佳的防護效果。例如可能因為人力配置不足，而難以長時間進行監控，發生較大規模的攻擊時，也難以充分應對。再者，資安資源也較為封閉、更新較慢，而難以應對快速改變的網路攻擊型態。

針對上述問題，有業者研發如中華民國發明專利公開第201122895號之「安全監控即時通訊系統與其聯防系統以及聯防方法」、中華民國發明專利公開第201141155號之「結盟型態之分散式網路入侵防禦系統及其方法」，主要是可將多個系統成員整合進行聯防，以改善獨立建置網路安全監控中心無法相互協助、交流、共享資源的問題。但這些前案仍僅提供一般資安服務，並無法彌補已遭受攻擊的受害單位。

雖目前有業者研發關於電子交易的保險機制，如美國發明專利公開第US 20030046115 A1號之「Insurance method, insurance system, transaction monitoring method, transaction monitoring system, and program」、日本發明專利特開第2000-207453號之「電子商取引システム」。但這些前案僅提供事後彌補的理賠保險，對資安防護效果的提升並無太大實質幫助。

爰此，本創作人為提供更佳的資安防護機制，而提出一種資安聯防系統，用於連接至少一客戶伺服端，前述客戶伺服端安裝一資安訊息收集物件，該資安聯防系統包含：至少一聯防伺服端、一保險伺服端及一資安管控伺服端。前述聯防伺服端包含一預警與監控伺服端或/及一通報與應變伺服端。該資安管控伺服端訊號連接前述聯防伺服端及該保險伺服端，並訊號聯接該資安訊息收集物件，該資安管控伺服端用以選擇性地與前述聯防伺服端及該保險伺服端交換該資安訊息收集物件取得之一資安訊息，以對前述客戶伺服端提供下列至少任二服務：一資安預警與監控服務、一資安通報與應變服務、一資安損害保險服務。

進一步，前述預警與監控伺服端包含一資訊分享與分析中心(ISAC)、一資安監控中心(SOC)、一資安工具提供單位、一電信服務中心、一資安風險評估單位、一資安檢測團隊之任一或組合。

進一步，前述通報與應變伺服端包含一政府資安資訊分享與分析中心(G-ISAC)、一金融資安中心(F-ISAC)、一資安調查鑑識單位、一資安應變團隊之任一或組合。

進一步，更包含一風險評估模組，訊號連接該資安管控伺服端，該風險評估模組用以依據該資安訊息運算一資安風險特徵模型，並依據該資安風險特徵模型計算一資安風險值。

進一步，該資安訊息包含一資安日誌(log)，該資安風險特徵模型包含一管理階層風險值、一基層資安風險值、一資訊管理安全值、一外部威脅值之任一或組合。

進一步，更包含一存證模組，訊號連接該資安管控伺服端，該存證模組用以將每一個資安訊息轉換為一區塊資料，該區塊資料分別儲存於一私有區塊鏈及一公有區塊鏈，該私有區塊鏈用以供一數位鑑識系統介接而讀取該區塊資料，該公有區塊鏈用以將前述區塊資料提供前述客戶伺服端及前述聯防伺服端讀取。

根據上述技術特徵可達成以下功效：

1.資安管控伺服端可整合聯防伺服端，而得以提供客戶伺服端較為完善的保護。以改善獨立建置網路安全監控中心無法相互協助、交流、共享資源的問題。

2.可提供用於事前預防之資安預警與監控服務、用於應對事件之資安通報與應變服務、用於彌補事件損失之資安損害保險服務之任二以上服務，以提供較完整的資安防護效果。

3.資安管控伺服端較佳的是可整合包含保險理賠伺服端之聯防伺服端，而得以提供客戶伺服端聯防及事後彌補的保險機制，讓合作的客戶(例如大型機構、公務機關、銀行等)可獲得較佳的保障。

4.提供防護的同時也可提供資安訊息予保險理賠伺服端，以便於在事後易於釐清損害賠償的責任歸屬，降低理賠認定的爭議。

5.預警與監控伺服端例如可為資訊分享與分析中心(ISAC)、一資安監控中心(SOC)、一資安工具提供單位、一電信服務中心、一資安風險評估單位、一資安檢測團隊等，通報與應變伺服端例如可為政府資安資訊分享與分析中心(G-ISAC)、一金融資安中心(F-ISAC)、一資安調查鑑識單位、一資安應變團隊等，藉由擴大納入聯防的成員，並充分利用不同單位的特性，將可進一步提高聯防的效益。

6.可由風險評估模組依據資安風險特徵模型判斷客戶伺服端之資安風險值，以便於認定合理的保費。

7.資安風險特徵模型可依據客戶伺服端之資安訊息來建立，並可依據資安訊息的來源不同(例如來自管理階層、基層、資訊管理、外部威脅等)進行綜合評比，以便於更精確地認定資安風險值，進而可估算更為合理保費。

8.運用區塊鏈技術進行資安訊息的備份，降低資安資訊事後遺失、被竄改等問題的可能性，提高備份之資安訊息的可信度，避免造成事後理賠的爭議。

9.傳統由於保險人與被保險人之間資安風險資訊不對稱，造成保險人對被保險人資安防護能力與風險程度信心薄弱，以致保險費率偏高。但藉由該資安管控伺服端做為第三方，提供被保險人諸如資安監控防護規則、資安訊息與聯防等服務，將可協助提升保險人對於被保險人之資安防護信心，降低資安保險費率，及加速理賠作業流程。

綜合上述技術特徵，本創作資安聯防系統的主要功效將可於下述實施例清楚呈現。

請先參閱第一圖及第二圖，係揭示本創作實施例資安聯防系統(100)，用於連接至少一客戶伺服端(200)(如企業、銀行、公務機關等單位之伺服器，於此由於性質同屬用戶故採用相同元件符號)，前述客戶伺服端(200)安裝一資安訊息收集物件(201)(例如日誌收集器)，該資安聯防系統(100)包含：複數聯防伺服端(1)、一保險伺服端(10)及一資安管控伺服端(2)。於本實施例中前述聯防伺服端(1)包含一預警與監控伺服端(11)及一通報與應變伺服端(12)，但並不以此為限。例如可以僅有該預警與監控伺服端(11)、該通報與應變伺服端(12)，而不具有該保險伺服端(10)；或者僅有該通報與應變伺服端(12)及該保險伺服端(10)；亦或是該預警與監控伺服端(11)及該保險伺服端(10)。該資安管控伺服端(2)訊號連接該資安訊息收集物件(201)及前述聯防伺服端(1)。該資安管控伺服端(2)用以選擇性地與前述聯防伺服端(1)交換該資安訊息收集物件(201)取得之一資安訊息，以對前述客戶伺服端(200)提供一聯防服務及一保險服務，其中該聯防服務包含一資安預警與監控服務及一資安通報與應變服務，該保險服務可包含承保評估或/及理賠服務。但要特別說明的是，並不以提供該保險服務為必要，亦可僅提供資安預警與監控服務、資安通報與應變服務。

復請參閱第一圖及第二圖，詳細而言，該預警與監控伺服端(11)例如可為資訊分享與分析中心(ISAC)、一資安監控中心(SOC)、一資安工具提供單位、一電信服務中心、一資安風險評估單位、一資安檢測團隊等，該通報與應變伺服端(12)例如可為政府資安資訊分享與分析中心(G-ISAC)、一金融資安中心(F-ISAC)、一資安調查鑑識單位、一資安應變團隊等。藉由擴大納入聯防的成員，將可充分利用不同單位的特性，而提高聯防的效益。舉例來說，可運用電信服務中心進行較佳的流量管控，運用政府資安資訊分享與分析中心獲得重要資安資訊，運用資安工具提供單位可協助克服資安工具技術問題等。該保險伺服端(10)例如為保險機構、保險事業發展中心(保發中心)等可承保或/及核保之伺服器。

復如第二圖所示，較佳的是，更包含一風險評估模組(3)，訊號連接該資安管控伺服端(2)。該風險評估模組(3)用以依據該資安訊息運算一資安風險特徵模型(31)，並依據該資安風險特徵模型(31)計算一資安風險值。詳細而言，該資安訊息包含一資安日誌(log)，該資安風險特徵模型(31)包含一管理階層風險值、一基層資安風險值、一資訊管理安全值、一外部威脅值之任一或組合。而得以依據資安訊息的來源不同(例如來自管理階層、基層、資訊管理、外部威脅等)進行綜合評比，以便於更精確地認定資安風險值，進而可估算較為合理保費。

復如第二圖所示，較佳的是，更包含一存證模組(4)，訊號連接該資安管控伺服端(2)，該存證模組(4)用以將每一個資安訊息轉換為一區塊資料，該區塊資料分別儲存於一私有區塊鏈及一公有區塊鏈，該私有區塊鏈用以供一數位鑑識系統介接而讀取該區塊資料，該公有區塊鏈用以將前述區塊資料提供前述客戶伺服端(200)及前述聯防伺服端(1)讀取。

續請參閱第三圖，詳細而言，前述客戶伺服端(200)安裝有前述資安訊息收集物件(201)及建立一關鍵基礎設施資訊資產管理資訊(202)，該資安訊息收集物件(201)用於收集各項設備或事件之日誌(log)並傳至該資安管控伺服端(2)，該關鍵基礎設施資訊資產管理資訊(202)係依據客戶相關資訊軟、硬體設備進行分類、風險評估及建議風險因應之優先等級，以節省客戶相關人力工時，並提升因應作業之時效性。再將該關鍵基礎設施資訊資產管理資訊(202)屬於非機敏資產資訊傳送至該資安管控伺服端(2)儲存作為一關鍵基礎設施資訊資產資訊(20)，以針對每位客戶建立專屬之資訊資產。該資安管控伺服端(2)包含一資安監控模組(21)、一預警及通報模組(22)、一資安訊息存證模組(23)、一情資交換模組(24)及前述風險評估模組(3)。該資安監控模組(21)可經由資安威脅資訊規則引擎，分析及過濾前述資安訊息，並在有威脅時發出事件資訊，以藉由該預警及通報模組(22)進行通報及通報相關的客戶端伺服器(200)。該資安訊息存證模組(23)用於同步儲存前述資安訊息，以藉此封存數位證據，當資安事故發生時，且產生損害時，可向前述保險伺服端(10)請求賠償，此時保險伺服端(10)可至該資安訊息存證模組(23)調閱存證資料，以便於鑑識資安事故發生之狀況，作為理賠之參考資料，加速理賠流程。該情資交換模組(24)可與多個國內外之資安資訊分享與分析中心(ISAC)界接，以提供自身之資安情資，或接收國內及國際組織之資安情資。

請先參閱第四圖搭配第二圖所示，係揭示本創作實施例資安聯防方法，實施上可建構為一程式並儲存於電腦程式產品或電腦可讀取紀錄媒體。當電腦載入該程式並執行後，可完成前述之資安聯防方法，前述資安聯防方法包含一環境建置步驟(S01)、一聯防建置步驟(S02)及一提供服務步驟(S03)。該環境建置步驟(S01)：建置前述資安管控伺服端(2)。

參閱第四圖搭配第二圖所示，該聯防建置步驟(S02)：於前述客戶伺服端(200)安裝前述資安訊息收集物件(201)，且該資安訊息收集物件(201)透過網路連接該資安管控伺服端(2)，並使該資安管控伺服端(2)訊號連接前述聯防伺服端(1)及前述保險伺服端(10)，前述聯防伺服端(1)包含前述預警與監控伺服端(11)及前述通報與應變伺服端(12)。但並不以此為限。例如可以僅有該預警與監控伺服端(11)、該通報與應變伺服端(12)，而不具有該保險伺服端(10)；或者僅有該通報與應變伺服端(12)及該保險伺服端(10)；亦或是該預警與監控伺服端(11)及該保險伺服端(10)。

參閱第四圖搭配第二圖所示，該提供服務步驟(S03)：使該資安管控伺服端(2)選擇性地與前述聯防伺服端(1)及該保險伺服端(10)交換該資安訊息收集物件(201)取得之一資安訊息，以對前述客戶伺服端(200)提供下列至少任二服務：一資安預警與監控服務、一資安通報與應變服務、一資安損害保險服務。於本實施例中可三者兼具，但並不以此為限，例如可以僅有該資安預警與監控服務及該資安通報與應變服務，或者僅有該資安通報與應變服務及該資安損害保險服務，亦或是該資安預警與監控服務及該資安損害保險服務。

續請參閱第五圖搭配第二圖，較佳的是，更包含一資安風險評估步驟(S04)：以一風險評估模組(3)依據該資安訊息運算一資安風險特徵模型(31)，並依據該資安風險特徵模型(31)計算一資安風險值。詳細而言，該資安訊息包含一資安日誌(log)，該資安風險特徵模型(31)包含一管理階層風險值、一基層資安風險值、一資訊管理安全值、一外部威脅值之任一或組合。而得以依據資安訊息的來源不同(例如來自管理階層、基層、資訊管理、外部威脅等)進行綜合評比，以便於更精確地認定資安風險值，進而可估算較為合理保費。詳細而言，該資安風險評估步驟(S04)包含一建立資安風險特徵模型子步驟(S041)、一評估資安風險值子步驟(S042)及一計算資安風險值子步驟(S043)。

續請參閱第五圖搭配第二圖，該建立資安風險特徵模型子步驟(S041)中，是依據大數據資料分析技術，將一資訊資產分類及一資安日誌分析後建立前述資安風險特徵模型。具體來說，在資安聯防體系下，先依行業別屬性建立行業群組資安資料集，包括一資訊資產及基於資安監控需要產出之一資安日誌(Log)。該資訊資產依屬性分類，如伺服器硬體、伺服器作業系統、系統軟體、資料庫軟體、應用系統軟體、終端設備等。該資安日誌：一般資安日誌解析出的內容可區分為行為者(Who)、何時(When)、動作(Do)、作用(Use)(解析實例另請配合參閱第六圖所示)。接著，形塑前述資安風險特徵模型(31)，依該資訊資產之分類及解析之該資安日誌，前述資安風險特徵模型(31)之風險特徵如下：特徵一：歸納可能引發資安風險之員工行為(用於統計前述基層資安風險值)，如辦公區AD Log 資安政策違反的日誌量(如:密碼錯誤量)、全公司防毒軟體觸發的警報數(以每人每月平均計)、同一品牌Proxy Log員工Hit黑名單或可疑網站的數量(以不同公司每位員工平均每月計)等。特徵二：系統管理者行為(用於統計前述基層資安風險值)，系統管理者如有引發資安風險之行為，其風險及影響性更大，如管理員電腦的IP每月或每年平均中毒警訊數、管理員電腦的IP Proxy 黑名單阻擋量等。特徵三：資訊安全管理面(用於統計前述資訊管理安全值)，歸納行業群組各企業個體在系統安全管理面之資訊，如系統服務區AD Log 資安政策違反的量(如:密碼錯誤量)、資料庫區防火牆內部存取Deny量、管理網段Firewall Deny數量、系統服務區網段的病毒觸發數(每年每台伺服器作業系統平均觸發病毒數)、資料外洩(DLP)違反政策的數量、辦公區同仁防毒軟體觸發的警報數(以每人每月平均計)。特徵四：外部威脅(用於統計前述外部威脅值)，由資安日誌可歸納出之外部威脅、如IPS的Block數量垃圾郵件或病毒郵件數量、Web Access Log量等。

續請參閱第五圖搭配第二圖，該評估資安風險值子步驟(S042)及該計算資安風險值子步驟(S043)中，是依據行業別建立之前述資安風險特徵模型(31)，再輸入個別企業之資安資料集，而產生企業之資安風險特徵之風險值。接著再將前述資安風險特徵模型(31)之不同特徵值(如前述特徵一至特徵四)賦予不同權重，例如可預設前述特徵一至特徵四皆各占總分25%，或者依照實際需求予以調整，最後由該風險評估模組(3)計算出資安風險值。由該風險評估模組(3)計算之資安風險值，再依資安風險值分佈，提供該保險伺服端(10)核定資安保險費率之依據，每年並可依企業資安風險值，作為資安保險保費加減費參考，如資安風險值提高一等級，保費可減費，反之，應予加費，可激勵企業強化資安防護，並改善整體資安防護，免除資安威脅。

續請參閱第七圖搭配第二圖，較佳的是，更包括一存證步驟(S05)：以一存證模組(4)將每一個資安訊息轉換為一區塊資料，該區塊資料分別儲存於一私有區塊鏈及一公有區塊鏈，該私有區塊鏈用以供一數位鑑識系統介接而讀取該區塊資料，該公有區塊鏈用以將前述區塊資料提供前述客戶伺服端(200)及前述聯防伺服端(1)讀取。

續請參閱第七圖搭配第二圖，詳細而言，該存證步驟(S05)包含一產生區塊資料子步驟(S051)、一建立私有區塊鏈子步驟(S052)及一公有區塊鏈子步驟(S053)。該產生區塊資料子步驟(S051)是先將該客戶伺服端(200)之資安日誌資料以串流資料傳送至該資安管控伺服端(2)，由該資安管控伺服端(2)之存證模組(4)轉換一區塊資料。該資安日誌是以串流資料記錄，無需仰賴格式化之訊息設計，即可記錄存證內容。該建立私有區塊鏈子步驟(S052)是運用於1對1或1對多的訊息傳遞，提供多參與者的運算環境，可用於聯防體系統下的多企業體、多系統、多點之共同參與，建構為彈性參與的環境。運用區塊鏈結特性，使數位證據無法被破壞，簡化證據保存程序，日後可透過數學運算方式驗證所提存資料之不可否認性，而強化了證據力。該私有區塊鏈可提供一般數位鑑識系統介接，存取日誌存證資料，以作為資安事件調查鑑識使用。資安日誌產生之區塊資料存證於私有區塊鏈的同時，亦置入數位鑑識系統。確保在1對多的應用時，所有處理者都能得到相同順序資料。數位鑑識人員可透過數位鑑識系統或直接連線至資安日誌存證私有區塊鏈調閱資料，由系統進行數學特徵值運算，確保查核資料之證據力。該公有區塊鏈子步驟(S053)是每日將區塊資料透過簡化後，計算得出的區塊特徵值，儲存於公開區塊鏈。將資安日誌特徵值是公開在參與者間保存，以共同持有方式，確認日後之可稽核與可驗證性。外部公開之任何區塊鏈系統，運用區塊鏈之特性，強化數位資料之證據力，提高數位鑑識的效率。

綜合上述實施例之說明，當可充分瞭解本創作之操作、使用及本創作產生之功效，惟以上所述實施例僅係為本創作之較佳實施例，當不能以此限定本創作實施之範圍，即依本創作申請專利範圍及創作說明內容所作簡單的等效變化與修飾，皆屬本創作涵蓋之範圍內。

(100)‧‧‧資安聯防系統
(200)‧‧‧客戶伺服端
(201)‧‧‧資安訊息收集物件
(1)‧‧‧聯防伺服端
(11)‧‧‧預警與監控伺服端
(12)‧‧‧通報與應變伺服端
(13)‧‧‧保險理賠伺服端
(2)‧‧‧資安管控伺服端
(3)‧‧‧風險評估模組
(31)‧‧‧資安風險特徵模型
(4)‧‧‧存證模組
(S01)‧‧‧環境建置步驟
(S02)‧‧‧聯防建置步驟
(S03)‧‧‧提供服務步驟
(S04)‧‧‧資安風險評估步驟
(S041)‧‧‧建立資安風險特徵模型子步驟
(S042)‧‧‧評估資安風險值子步驟
(S043)‧‧‧計算資安風險值子步驟
(S05)‧‧‧存證步驟
(S051)‧‧‧產生區塊資料子步驟
(S052)‧‧‧建立私有區塊鏈子步驟
(S053)‧‧‧公有區塊鏈子步驟

[第一圖]係本創作實施例之主要系統架構示意圖。 [第二圖]係本創作實施例之系統方塊示意圖。 [第三圖]係本創作實施例之詳細系統方塊示意圖。 [第四圖]係本創作實施例之主要步驟流程示意圖。 [第五圖]係本創作實施例風險評估之步驟流程示意圖。 [第六圖]係本創作實施例風險評估中資安日誌之解析狀態示意圖。 [第七圖]係本創作實施例存證之步驟流程示意圖。

(200)‧‧‧客戶伺服端

(201)‧‧‧資安訊息收集物件

(11)‧‧‧預警與監控伺服端

(12)‧‧‧通報與應變伺服端

(10)‧‧‧保險伺服端

(2)‧‧‧資安管控伺服端

Claims

一種資安聯防系統，用於連接至少一客戶伺服端，前述客戶伺服端安裝一資安訊息收集物件，該資安聯防系統包含：至少一聯防伺服端及一保險伺服端，前述聯防伺服端包含一預警與監控伺服端或/及一通報與應變伺服端；及一資安管控伺服端，訊號連接前述聯防伺服端及該保險伺服端，並訊號聯接該資安訊息收集物件，該資安管控伺服端用以選擇性地與前述聯防伺服端及該保險伺服端交換該資安訊息收集物件取得之一資安訊息，以對前述客戶伺服端提供下列至少任二服務：一資安預警與監控服務、一資安通報與應變服務、一資安損害保險服務。
如申請專利範圍第1項所述之資安聯防系統，其中，前述預警與監控伺服端包含一資訊分享與分析中心(ISAC)、一資安監控中心(SOC)、一資安工具提供單位、一電信服務中心、一資安風險評估單位、一資安檢測團隊之任一或組合。
如申請專利範圍第2項所述之資安聯防系統，其中，前述通報與應變伺服端包含一政府資安資訊分享與分析中心(G-ISAC)、一金融資安中心(F-ISAC)、一資安調查鑑識單位、一資安應變團隊之任一或組合。
如申請專利範圍第1項所述之資安聯防系統，更包含一風險評估模組，訊號連接該資安管控伺服端，該風險評估模組用以依據該資安訊息運算一資安風險特徵模型，並依據該資安風險特徵模型計算一資安風險值。
如申請專利範圍第4項所述之資安聯防系統，其中，該資安訊息包含一資安日誌(log)，該資安風險特徵模型包含一管理階層風險值、一基層資安風險值、一資訊管理安全值、一外部威脅值之任一或組合。
如申請專利範圍第1項所述之資安聯防系統，更包含一存證模組，訊號連接該資安管控伺服端，該存證模組用以將每一個資安訊息轉換為一區塊資料，該區塊資料分別儲存於一私有區塊鏈及一公有區塊鏈，該私有區塊鏈用以供一數位鑑識系統介接而讀取該區塊資料，該公有區塊鏈用以將前述區塊資料提供前述客戶伺服端及前述聯防伺服端讀取。