資訊安全管理中的偵測與預防機制

甚麼是預防與偵測？

預防是指為阻截網絡攻擊而採取的各項前瞻措施；而偵測的目的則在於在攻擊發生初期即時予以辨識。

預防涵蓋了所有旨在從源頭遏止安全事件發生的組織性與技術性預防措施——例如存取控制、系統硬化（System Hardening）或網頁過濾。

然而，由於世界上沒有絕對完善的防禦，偵測機制正變得日益重要：它涉及對系統及日常活動進行持續監控，以盡早發現異常狀況、可疑模式或實質攻擊。唯有將兩者相輔相成，企業才能在日常有效防範安全事件，並在緊急狀況發生時迅速偵測、遏止並作出有效應對。

資訊安全平衡點：從預防機制到早期攻擊偵測

在 21 世紀的商業世界中，資訊與數據的巨大價值迫使企業及機構必須高度關注資訊安全管理與數據保護，並持續投資以系統化保障其數碼資產。原因何在？在動態演變的威脅形勢下，黑客的攻擊手段正變得日益複雜且多元化；若資訊安全防護不足，每年將在全球造成數以十億美元計的經濟損失，並對受害企業的品牌形象與商譽造成不可逆轉的嚴重損害。

當前網絡威脅形勢瞬息萬變。因此，企業必須緊貼最新科技，運用現代化、全面且靈活的當代安全措施清單，持續維護並推動資訊安全管理體系的演進。ISO/IEC 27001:2022 正是以此為目標，相較於舊版新增了 11 項全新控制措施。下面我們將深入探討其中三項在防範與偵測攻擊方面極具實效的控制措施。

網絡安全專家一致認為，面對人類行為天然存在的不確定性，世界上已不存在所謂「100% 完全防禦」的網絡安全。正因如此，及早偵測潛在或實質攻擊變得尤為關鍵——唯有如此，才能限制黑客在企業內網中的橫向移動（Lateral Movement），並將受威脅系統的数量控制在最低水平。

然而，目前許多企業在此領域仍有巨大的改善空間：IBM 發布的《2025 年數據外洩成本報告》顯示，企業目前平均需要 241 天 才能偵測並遏止一場網絡攻擊。雖然這比 2022 年的 277 天有所改善，但仍揭示了網絡攻擊在企業內部潛伏時間之久。

ISO 27001 如何強化偵測與預防能力？

ISO 27001 為實施附錄 A 所列出的安全措施提供了結構化且具操作性的指引。最新修訂版特別納入了通用性措施，以實現戰略性的攻擊預防與更快速的攻擊偵測。

ISO 27001 附錄 A 目前共包含 93 項控制措施。作為標準修訂的一部分，這些措施被重組為四大主題領域：

• 組織性措施（Organizational measures）
• 人員相關措施（Personnel-related measures）
• 實體措施（Physical measures）
• 技術性措施（Technological measures）

其中有三項安全控制措施直接關乎網絡攻擊的預防與及時偵測。以下我們將詳細檢視這些控制措施及其在偵測與預防方面的關鍵意義：

• 5.7「威脅情報」（Threat Intelligence）（組織性）
• 8.16「活動監控」（Activity Monitoring）（技術性）
• 8.23「網頁過濾」（Web Filtering）（技術性）

DIN EN ISO/IEC 27001:2024-01《資訊安全、網絡安全与私隱保護 – 資訊安全管理體系 – 要求》（德國 DIN 標準可向 DIN Media 購買）。

甚麼是威脅情報？

控制措施 5.7「威脅情報」能協助企業系統化收集並分析關於當前及潛在威脅的資訊，從而及早辨識風險並制定針對性的防護措施。

組織性措施 5.7 聚焦於系統化收集及分析相關威脅資訊。其目的在於提高企業對自身所處威脅環境的警覺性，以便隨後採取的適當措施來降低風險。威脅數據應從三個維度進行結構化分析：戰略（Strategic）、戰術（Tactical）與營運（Operational）。

戰略威脅分析能協助企業掌握演變中的威脅形勢，例如攻擊方法及背後的攻擊主體（如國家級黑客、網絡犯罪集團、僱傭黑客、駭客激進分子等）。

國家級及國際政府機構、非營利組織以及相關專業論壇，均針對跨行業及關鍵基礎設施提供研究深入的威脅情報。常見來源包括：

• BSI – 德國國家資訊安全辦公室
• ENISA – 歐盟網絡安全局
• NIST – 美國國家標準技術研究所

戰術威脅數據及其分析能協助評估黑客使用的攻擊手段、工具與技術。而營運層面的威脅分析則針對具體攻擊提供詳細的技術指標（Technical Indicators）——例如分析勒索軟體及其變種在網絡攻擊中的爆發趨勢。

威脅分析可在以下層面提供有力支援：

• 流程層面：將威脅數據無縫融入風險管理流程；
• 技術層面：用於預防與偵測，例如更新防火牆規則、入侵偵測系統（IDS）及防惡意軟體解決方案；
• 測試層面：為資訊安全相關的特定測試程序與技術提供數據輸入。

組織性控制措施 5.7 在威脅形勢判定與分析中所產生的數據質量，將直接影響下文所述的兩項技術性措施：活動監控（8.16）與網頁過濾（8.23）。

甚麼是活動監控？

控制措施 8.16「活動監控」是指對系統、網絡及應用程式的行為進行持續分析，以偵測偏離正常狀態的異常現象（Anomalies），從而在早期階段識別潛在安全事件並做出應對。

作為技術性活動監控的偵測與糾正措施，8.16 聚焦於將「異常偵測」作為緩解威脅的核心方法。網絡、系統及應用程式通常按照可預期的模式運行（例如在數據吞吐量、協定、訊息傳輸等方面）。任何偏離或改變此預期模式的行為，均會被判定為異常。

要捕捉這些異常行為，企業必須根據業務與資訊安全要求監控相關活動，並將異常現象與既有的威脅數據（控制措施 5.7）進行交叉比對。監控系統需涵蓋以下關鍵層面：

• 進出網絡、系統及應用程式的流量；
• 對系統、伺服器、網絡設備、監控系統及關鍵應用程式的存取紀錄；
• 管理級別或業務關鍵層面的系統及網絡組態配置檔案；
• 安全工具的日誌紀錄——包括防病毒軟體、入侵偵測系統（IDS）、入侵防禦系統（IPS）、網頁過濾器、防火牆及數據外洩防護（DLP）系統；
• 與系統及網絡活動相關的事件日誌；
• 驗證系統內可執行代碼的完整性與授權狀態；
• 資源使用率，例如處理器負載、硬碟容量、記憶體使用量及網絡頻寬。

落實高效活動監控的基本前提，是建立配置清晰透明的 IT/OT 基礎設施以及穩定運行的 IT/OT 網絡。任何偏離基準狀態的異動，都會被視為對系統功能的潛在威脅及異常。鑑於現代基礎設施的複雜性，即便市場上有成熟的廠商解決方案，實施此項措施對許多企業而言仍是一項巨大挑戰。

監管機構在 ISO 27001 推出措施 8.16 的同時，亦深刻認識到異常偵測系統的重要性。因此，在相關法律法規的框架下，關鍵基礎設施營運商已被強制要求導入具備時間閾值設定的入侵偵測系統。

甚麼是網頁過濾？

控制措施 8.23「網頁過濾」是指對網頁存取進行預防性監控與限制，以防止員工存取有害或未授權的線上資源，從而保護系統免受惡意軟體及其他威脅侵襲。

互聯網既是機遇亦是隱患。存取存疑網站一直是惡意內容與惡意軟體入侵企業的主要渠道。安全措施 8.23 旨在主動保護企業系統免受惡意軟體入侵，並阻斷對未授權網頁資源的存取。

為此，企業應建立關於安全且合宜地使用線上資源的規則，包括對不良或不當網站及網頁應用程式實施強制存取限制。企業應在網關層面阻斷對以下幾類網站的存取：

• 具備數據上載功能的網站——除非出於合法的業務需求；
• 已知或懷疑具備惡意企圖的網站；
• 命令與控制伺服器（C2 Servers）；
• 根據威脅情報（參見控制措施 5.7）識別出的惡意網站；
• 包含非法內容的網站。

需要強調的是，網頁過濾措施唯有在員工接受充分培訓、對線上資源的安全與合宜使用具備高度意識的前提下，才能發揮極致功效。

ISO 27001 語境下的預防與偵測機制——總結分析

本文所述的偵測與預防措施，能全面提升資訊安全與網絡安全管理的防護能力。它們在防禦組織化網絡犯罪方面發揮著關鍵作用，亦因此被正式納入最新版的 ISO 27001 及 ISO 27002 中。

透過持續更新與分析可用的威脅情報、在企業 IT 基礎設施內部執行全面的活動監控，以及針對可疑網站築起安全屏障，企業能夠持續強化防禦屏障，防範危險惡意軟體的入侵。此外，這亦能讓企業具備在威脅初期即時啟動適當應變措施的能力。

企業與機構目前必須全面落實這 3 項預防與偵測控制措施，並將其一致性地整合至資訊安全管理體系中，以滿足未來認證審核的要求。四十多年來，DQS 在公正審核與認證領域累積了深厚的專業經驗，我們隨時樂意為您的 ISO 27001 資訊安全管理體系提供全方位支援。

信任與專業

我們的所有文章與手冊均由 DQS 內部的標準專家或資深審核員親自撰寫。若您對本文內容或我們的認證服務有任何疑問，歡迎隨時發送電郵至：[email protected]。

備註：為提升中文文本之閱讀流暢度，本文於職稱與名詞表述上已進行適當之本地化優化處理。