水能載舟,亦能覆舟
即時通訊的安全管理

2009-05-05
即時通訊軟體對愛用網路的現代人而言,已是除了手機之外最常用來和親朋好友溝通的工具,隨著即時通訊的功能愈來愈強,資安問題就更加不能忽略,在用與不用之間該如何取捨?
雖然在一開始,ICQ主要作為個人聊天用途,但因為簡單易用的介面,以及可顯示目前的使用狀態(如離開、忙碌、離線),也深獲知識工作者的好評,紛紛利用它作為商業溝通和客戶服務的工具。不過,隨著MSN、Yahoo Messenger和QQ的興起,ICQ在華人的世界裡已逐漸被遺忘,這些新一代即時通訊軟體的出現,雖然有著更為華麗的介面和表情符號、聲音影像的傳輸功能,但也帶來更多令人意想不到的問題。  

即時通訊事件回顧  

2001年,從第一隻即時通訊病毒WORM_MENGER.A開始,即時通訊也成為病毒作者和駭客們另一個練功的好地方,它充分利用了人們的好奇心,以及對於即時通訊名單上都是好友們的信賴,透過傳送網址連結與分享的檔案,就讓整個的惡意感染行為如滾雪球般地不斷擴大。  

到了2005年,還是有資安專家不斷呼籲提供即時通訊軟體的廠商,必須要跟上駭客的腳步,迅速地修補安全漏洞,以避免災害持續擴大。此外,在2007年則是有某位台灣女大學生,在網路上購買拍賣物品,並利用MSN Messenger和位於中國上海的賣家連繫,後來該賣家以網路拍賣所使用的台灣帳戶被停用,要求女大學生協助以其名義申請新帳戶,女大學生竟將提款卡以快遞送到大陸,接著就被利用成為販賣盜版光碟的人頭帳戶。即時通訊的方便性,竟也成為詐騙集團用來作為跨國跨區域的新興犯罪工具。  

思考可能的潛在風險  

即時通訊讓訊息的傳遞更加方便快速,因此對商業運作的好處包括:可跨越地理區域的限制,減少長途電話的使用;可多人即時進行會議,以節省公司的差旅費;可直接分享傳送檔案,還可用清晰的語音和影像視訊對談等等。  

對員工的好處,則是能夠同時與多人對談並即時回應,可即時在線上解答顧客問題,不再需要等待電子郵件的回覆,可以大幅提高工作效率。  

不過,對資訊管理人員來說,即時通訊軟體會不會產生資安問題,該如何去管理可能的風險?是否應該如同管理其他服務,像是電子郵件、網站安全等等一樣來加以重視?才是另一個令人頭痛的問題。  

目前,即時通訊會產生的資安問題,大致有以下幾種:  

惡意程式感染-歹徒製作專門針對即時通訊的惡意程式,一旦使用者中毒之後,即會隨機且大量散布惡意檔案(如病毒、木馬),造成大規模的感染,並干擾網路的運作。  

散布垃圾訊息-即時通訊的使用者在中毒之後,多半會在不知情的情況下,被利用來散布惡意連結,導致親朋好友們一併受害。  

竊取不當資訊-供公眾使用的即時通訊是開放的,容易遭到竊聽,另外所衍生出的網路釣魚手法,會利用各種名義來騙取使用者帳號和密碼,假冒身分而造成更多社會問題。  

成為洩密管道-除了包括對話中談及的個人隱私和商業資訊,有可能遭到截取之外,另外傳送檔案的功能,也可能被惡意的員工,用來傳送違反企業安全政策的內部機密檔案。

從角色和範圍進行管理  

如果即時通訊的威脅,已經足以影響企業日常的營運活動時,那麼為了確保不會造成業務的中斷,強制禁止即時通訊軟體的使用,可算是一項釜底抽薪的做法,但這也很可能引起原本使用者的反彈,這個時候該禁止或不禁止,就演變成為管理階層的兩難。  

從資安的角度而言,到底該全面禁止或全面開放,是有一些討論空間的,尤其是與其完全禁止,改為採取替代辦法來有限度地開放,也是管理決策上面的一個選項,在決策之前,建議管理人員可以思考的方向有:  

1.定義使用者的角色-在企業組織中,到底誰需要使用即時通訊軟體?要用來做什麼?這將是決定是否開放或禁止的首要考量,一旦角色清楚了,就可以思考該如何來管理。舉例來說,某線上購物公司,不允許一般人員在公司使用即時軟體,而是僅開放給客服人員利用它來進行客戶服務,所以針對客服人員,都會進行適當的教育訓練,以了解使用時的相關規範。  

2.定義合理使用的範圍-定義在哪些地方可使用?使用的方式為何?清楚地定義企業對於即時通訊控管的方式與目的,可讓使用者明白為何要禁止或限制即時通訊的使用。實務上即有企業認為在內部開放使用即時通訊風險太高,所以採取技術方式全面封鎖,僅開放外部的出差人員可以使用。  

3.使用責任與隱私保護-在使用責任方面,企業宜明訂適當的獎懲方式,以公告向員工告知違反規定時的懲處辦法。如果企業已針對即時通訊內容進行監看與記錄,也應公開向員工說明企業監看的方式,例如是否進行關鍵字過濾或內容的側錄,以尊重員工的個人隱私權。  

4.平台與技術的採用-企業要直接選用已供公眾使用的即時通訊軟體,還是另外建置商業用的即時通訊方案,應在事先評估目前的運用與管理需求為何,並檢視其與現有環境的相容性,以判斷導入後是否會產生可能的安全弱點。  

技術控管與教育並重  

在選擇相關技術方案時,資訊管理人員首先應考量的是,到底要控管哪些即時通訊軟體?是否可以自訂控管的方式?如果允許即時通訊軟體進行檔案傳輸,是否可以提供惡意程式如病毒、木馬的掃瞄機制?  

另外,在針對傳輸內容方面,也可考慮增加關鍵字的比對和垃圾訊息的過濾,尤其是當企業選用的是供公眾使用的即時通訊平台,員工登入的是位於外部的伺服器,相關資訊也會經由外部來傳送,是否可能會遭到外部竊聽,是必須考量的風險之一。  

一個兼顧安全的即時通訊方案,至少要提供適當的紀錄,例如使用者登入、登出的時間,傳送訊息的對象、傳送檔案的名稱等,以便未來相關事件的查核。  

在進行訊息內容過濾時,也要提供簡單易懂的控管介面,以方便設定允許傳輸檔案的類型和內容過濾條件(關鍵字包括內部使用、帳號密碼、信用卡號碼、身分證字號)等。當然,還要盡量不影響既有的網路架構,以免因為部署了即時通訊管理方案之後,反而產生其他問題。  

至於在員工的安全意識方面,除了透過文件化說明使用規範之外,也可利用技術方式,在員工每次登入即時通訊軟體時,警示員工須注意的安全使用規定,以預防資安事件的發生。  

其他可向員工宣導的安全觀念還有:「不要輕易點選來路不明的連結」、「不要在即時通訊談論敏感資訊」、「不要使用自動登入功能」、「不使用時請務必要登出」、「不要使用第三方的網頁版即時通訊軟體」、「不要接收不明格式的檔案」、「不要使用來路不明的外掛程式」等。

(Photo:yngrich)

總結  

在企業內部要落實即時通訊的有效管理是一個很大的課題,有許多層面的兼顧,都必須要因人、因時、因地來制宜,很難有一套一體適用的辦法。不過,透過重點的把握,可以協助管理人員快速建立可行的管理方式。  

即時通訊的安全管理重點,在管理面包括了制定安全管理政策、文件化方式的使用辦法、兼顧隱私權的監控機制,以及違反時的懲處原則;至於在技術面則包括選擇適當的平台與監控技術,以識別合法的使用者、防堵惡意程式的入侵、防止未經授權的檔案傳輸等,最後若再配合適當的稽核機制,定期的審查記錄與持續改善,要維持管理的有效運作相信指日可待。


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!