台美舉行大規模網路攻防演練之分析
2019.11.22
瀏覽數
146
壹、新聞重點
2019年11月4至8日台美首度合作舉辦大規模網路攻防演練(Cyber Offensive and Defensive Exercise, CODE),假國家實驗研究院國家高速網路與計算中心所建置之模擬環境舉辦,逾10國派遣代表參加。我國由臺灣銀行籌組資安防護人員扮演防守的藍軍,其餘各國扮演攻擊的紅軍,仿效美國國際網路安全演練「網路風暴」(Cyber Storm)模式,模擬北韓或其他行為者的網路威脅。全程由美方實施2日教育訓練課程,紅藍軍3日攻防演練,提升彼此資訊安全專業技術與應變能力,以因應日趨複雜的網路攻擊方式。[1]
貳、安全意涵
一、CODE有助鞏固台美戰略合作關係
美國自2006年開始舉辦網路攻防演練以來,2019年首次與我國共同演習,對台美關係上具指標性的意義,尤其在現今社會與網路的開放性、網路便利性,與科技的進步等情況下,現實與數位的社會運作已經密不可分。廣泛的網路安全範疇包含網路攻擊、社交攻擊、基礎設施弱點攻擊、竊取秘密與智慧財產權等具價值項目及假新聞訊息散播等藉由網路進行的惡意行為,例如印度核電廠遭北韓網路攻擊;駭客集團滲透電信業者伺服器,以攔截目標對象流量封包並刺探情報;駭客冒充歐盟公民、網路釣魚及假新聞影響民主國家選舉等案例,顯示網路防護攸關安全甚鉅。未來全世界邁進5G網路環境與人工智慧運用漸趨普及後,要保持國家安全不能僅靠軍事與經濟能力,還需要提升網路資訊戰與科技戰方能掌握先機,我國與美國於2020年先後舉辦總統大選,對於中共利用假新聞引導輿論干預大選的威脅性,應共同及早預防因應。
二、擔任防守藍軍為國際肯定我國網路資訊安全防護能力
我國平均每月遭受境外網路攻擊約3,000萬次,在全世界屬於被攻擊頻率較高的國家,且防禦率高達99.99%以上,可蒐集的相關資訊非常豐富,能進一步歸納分析,建立網路安全技術優勢。故本次由我國擔任防守藍軍,接受各國網路攻擊。尤其我國近年制定全面國家資安戰略,設立專案辦公室,打造全國資安思維作法,建立全國性的資訊分享體系;並在2018年通過「資安管理法」,啟用「國家通訊暨網際安全中心」,2018年由國安會提出「資安戰略報告」,刻正研擬2021年至2025年「資安即國安2.0戰略」,確立資訊安全長期發展方向,作為國際經驗分享與建立合作機制的關鍵基礎。[2]
參、趨勢研判
一、美國將加強與我國網路資訊安全合作
美國希望與印太地區國家建立數位連線和網路安全合作關係(Digital Connectivity and Cybersecurity Partnership),藉由美方資訊與網路科技(Information and Communication Technology, ICT)的優勢,在建立連結、促進創新、提升國際市場、加強網路安全的4個基礎下,協助建立ICT基礎設施,以促進印太地區的自由與開放。
美國將幫助我國加入美國國家網路安全及通訊整合中心(National Cybersecurity and Communications Integration Center, NCCIC)設立的自動指標分享系統(Automated Indicator Sharing, AIS),未來能以更快的速度分享網路威脅指標。威脅指標包含惡意的網路IP位址或釣魚郵件發信人位址等威脅資訊,雖然AIS無法主動清除威脅,但是通過迅速的分享機制,各公私部門與組織能利用防火牆設定阻擋威脅,以維護網路環境安全。
美國期待與我國共同設立國際網路安全卓越中心(InterNational Cyber Security Center of Excellence, INCS-COE),在推動印太地區的網路資訊安全、5G網路環境建設,與太平洋島國資訊安全能力等方面合作。我國在2019年5月底由台美日共同舉辦的「網路安全與新興科技國際研習營」已進行可行性研討,INCS-COE完整框架包含人才、技術及平台等3個關鍵要素,人才包含製造商、學術單位及合作夥伴;技術包含範圍廣泛,甚至包含人工智慧的開發、物聯網的安全、大數據分析等現正進行的重要研究,與歐洲網路安全卓越中心能力網絡(European Competence Network of Cybersecurity Centres of Excellence)具有相同的目的,均透過多國合作,強化優先項目,以提升網路資訊安全;平台包含情資分享、事件警告及網路資訊安全人才培訓等,以掌握網路威脅行為,確保網路資訊安全。[3]
二、網路資訊安全逐漸形成國際聯防的合作意識
依據2019年5月由32國共擬宣布的布拉格提案(The Prague Proposals),[4] 網路基礎建設應採用國際資訊安全標準評估風險,並對政策、安全、技術及經濟等四個面向提出關鍵要點與建議,對未來全球5G網路環境與物聯網管理產生長遠的影響。提案內容指出國家內部應遵循隱私保護原則完善政策與法律制定,國際間應相互合作,規範管理與行為模式,締結網路安全相關協議,並在技術上共同訂定高安全性的架構標準,分享安全防護相關訊息,俾利有效監督網路安全與數位經濟。網路世界需要國內外政府與非政府組織共同努力合作,防堵惡意行為者,故本次舉辦多國網路攻防演練,相互交流觀念與技術,對於防護網路資訊安全與自由能有所助益。
三、國際網路資訊安全領域需要更多專業人才
鑒於網路科技日新月異與逐漸嚴重的資安威脅,部分中小企業對於網路資訊安全的認知不足,暴露在風險中而不自知,網路資訊安全對於基礎設施防護、創新智慧財產權及各項國際合作案等需求越來越受重視。政府預估全球2021年網路資訊安全產值達新台幣4.38兆,爾後每年以8%左右的速度成長;另政府設立產值目標從2019年新台幣437億成長至2025年突破新台幣780億。
依據國際資訊系統安全認證協會(International Information System Security Certification Consortium)2019年調查,目前全世界短缺280萬網路資訊安全工作者,且目前各國培訓速度無法跟上實際需求,而我國也正囿於資訊安全工作者不足的問題。為因應未來網路資訊安全產業需求與挑戰,政府推動資訊安全產業工作者於2020年達9,500人以上,並計畫於2025年突破11,000人,以達到預設目標產值與確保我國網路資訊安全。[5]
[1]〈台美首度聯手舉辦大規模網路攻防演練,臺銀行組藍隊聯隊對抗紅隊攻擊〉,iThome,2019年11月4日,https://www.ithome.com.tw/news/134003。
[2]〈台美首次網路攻防演練 平均1個月遭網攻3000萬次 台灣防禦攔截率高達99.99%〉,《風傳媒》,2019年11月4日,https://www.storm.mg/article/1903695;〈台灣隊得駭客大賽亞軍 蔡英文:加速研擬資安即國安2.0戰略〉,《自由時報》,2019年11月11日,https://news.ltn.com.tw/news/politics/breakingnews/2973963。
[3]“Automated Indicator Sharing (AIS),” U.S. Department of Homeland Security, https://www.us-cert.gov/ais; “Digital Connectivity and Cybersecurity Partnership,” U.S. Trade and Development Agency, March 12, 2019, https://tinyurl.com/rgy9pg;〈臺美首度舉辦網路攻防演練 資安合作里程碑〉,《青年日報》,2019年11月4日,https://www.ydn.com.tw/News/358990。
[4]“Prague 5G Security Conference announced series of recommendations: The Prague Proposals,” Government of the Czech Republic, March 5, 2019, https://tinyurl.com/tgweeev.
[5]“Strategies for Building and Growing Strong Cybersecurity Teams,” Cybersecurity Workforce Study, 2019, https://www.isc2.org/Research/Workforce-Study;〈資安產業發展行動計畫〉,中華民國行政院,2018年10月,https://nicst.ey.gov.tw/File/D91D4144C09405D0?A=C。