臺灣博碩士論文加值系統

近年來，隨著資訊科技的發展，資安攻擊事件發生頻率逐年提高，企業紛紛引進資安及網路設備來降低遭受攻擊的風險。然而眾多的資安及網路設備產生的日誌十分大量，光以人力將無法迅速辨識出異常的事件，因此帶動了SIEM系統的發展。組織在初導入SIEM系統時僅有原生的關聯規則，原生的關聯規則並不一定適用於每個組織，且網路上的攻擊事件眾多，僅依靠原生的關聯規則並不足夠。目前網路上的攻擊事件多以主動式攻擊影響較大，因此本研究將以主動式攻擊為主，分析駭客攻擊手法，模擬駭客攻擊思維以ArcSight ESM撰寫關聯分析規則，期能透過所撰寫之關聯規則迅速偵測到駭客攻擊之情事，以利組織能及早發現攻擊來源並採取相關應變措施。

With the development of information technology, security attacks have increased in the past few decades; thus, companies have introduced security devices to lower the risk of attacks. However, numerous security attacks generate numerous logs and it becomes difficult for human to detect unusual logs efficiently. This flaw brings about the development of SIEM. When organization import SIEM system only have the native correlation rules, it’s not necessarily apply to each organization, and a lots of attacks on the web, only rely on native correlation rules is not enough. Currently the active attacks are more impact for organization, therefore this study will focus on active attack, analyze hacker-attack techniques, and simulate hacker attack through the ArcSight ESM correlation analysis in hopes of helping the company to find the attack more efficiency and reduce the risk of being attacked.

目錄
誌謝 I
摘要 III
ABSTRACT IV
目錄 V
圖目錄 VIII
一、緒論 1
1.1研究背景與動機 2
1.2研究目的 3
1.3研究限制 5
1.4研究架構 6
二、文獻探討 8
2.1、SIEM系統 8
2.1.1 ArcSight 10
2.2、資安設備類型 11
2.2.1 防火牆(Firewall) 11
2.2.2入侵偵測系統(IDS) 12
2.2.3 防毒軟體(Anti-Virus Software) 12
2.2.4 Windows 事件(Windows Events) 12
2.3、資安攻擊事件 13
三、研究方法 16
3.1、系統設計與架構 16
3.2、系統環境 18
四、規則撰寫 20
4.1情境模擬 20
4.2規則建構程序-日誌收集 21
4.3規則建構程序-主動式攻擊事件關聯規則之撰擬 23
4.3.1偵查 23
4.3.2感染 28
4.3.3持續 38
4.3.4通訊 41
4.3.5操作 45
五、研究結果與討論 48
5.1原生規則 48
5.2新撰規則 49
5.3規則有效性驗證 49
5.3.1攻擊手法說明 50
5.3.2偵測之結果比較 50
六、結論 53
參考文獻 54

中文文獻：
1.林大馗，「高適用性之開放原始碼SIEM平台」，國立東華大學資訊工程學系碩士在職專班碩士論文，民國一百零一年七月。
2.陳惠貞，最新計算機概論(第六版)，第六版，碁峰資訊股份有限公司，台北，民國一百零三年十月，第10-3到10-5頁及第10-29頁。
3.徐悟梵，「DDoS 攻擊及防火牆之研究：以 VoIP 與視訊會議為例」，中國文化大學資訊安全產業研發碩士班碩士論文，民國九十九年七月。
4.國家資通安全會報技術服務中心，「102年度雲端資安防護整合服務委外服務案SOC參考指引 (V2.0)」，民國一百零二年七月。
5.黃永全，「防火牆管理介面之精簡友善化研究」，立德大學資訊工程研究所碩士論文，民國九十八年七月。
6.黃瓊瑩，「企業安全營運管理之績效評估」，國立臺灣大學管理學院碩士在職專班資訊管理組碩士論文，民國一百年一月。
7.蔡宗勳，「Snort入侵偵測系統之輔助資訊系統」，國立高雄第一科技大學電子工程系電子與資通訊產業研發碩士專班碩士論文，民國一百零二年一月。
8.潘天佑，資訊安全概論與實務(第三版)，第三版，碁峰資訊股份有限公司，台北，民國一百零三年五月，第1-2到1-5頁、第9-2到9-7頁、第10-2到10-4頁。
9.蔡佩彣，「程式碼數位簽章於偵測惡意程式之研究－以特洛伊木馬為例」，華梵大學資訊管理學系碩士論文，民國一百年三月。
10.魯明德，「淺談駭客攻擊」，法務部調查局清流月刊，5月號，民國一百零三年。
英文文獻：
11.Afsaneh, M., Saed, R., Hossein, G., “Log Management Comprehensive Architecture in Security Operation Center (SOC),” ICT Security Faculty, Iran Telecommunication Research Center (ITRC), Tehran, Iran, 2011, pp. 284-289.
12.Henrik, K., “An Analysis of Security Information and Event Management Systems,” Department of Computer Science and Engineering, Chalmers University of Technology University of Gothenburg, 2009.
13.Kelly, M.K., Oliver, R., “Magic Quadrant for Security Information and Event Management,” Gartner Magic Quadrant, 2010-2015.
14.Michael I.S., “Anti-Virus Software,” Information Systems Security, Volume 3, 1994, pp. 24-29.
15.Roland, G., Tobias, H., Alexander, P., Sebastian, S. “Analyzing Malware Log Data to Support Security Information and Event Management: Some Research Results,” First International Conference on Advances in Databases, Knowledge and Data Applications, 2009, pp. 108-113.
網路資料：
16.Bruce Brown, “ARCSIGHT N00B (PART 1) ”，取 自 ：http://elamb.org/arcsight-n00b/，存取日期：民國一百零五年三月七日。
17.Helpnetsecurity, “Intrusion detection”，取自：https://www.helpnetsecurity.com/2003/06/11/intrusion-detection/，存取日期：民國一百零五年三月七日。
18.iThome, 「地表上最強悍的資安監控系統 資安威脅防禦 ~ ArcSight SIEM」，取 自 ：http://www.ithome.com.tw/node/78235，存取日期：民國一百零四年十二月十日。
19.iThome, 「iThome 2016年CIO大調查｜臺灣資安數據大解密，取自：http://www.ithome.com.tw/article/103978，存取日期：民國一百零五年四月一日。
20.iThome, 「2015年安全事件大剖析 (系列一)」， 取自：http://www.informationsecurity.com.tw/article/article_detail.aspx?tv=&aid=8040&pages=1，存取日期：民國一百零五年四月一日。
21.Joel Snyder，「利用安全資訊管理工具整治資安洪流」，取自：http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=234，存取日期：民國一百零五年五月二十七日。
22.Microsoft, “Windows Events, ” 取 自 ：https://msdn.microsoft.com/en-us/library/windows/desktop/aa964766%28v=vs.85%29.aspx，存取日期：民國一百零五年三月十八日。
23.SANS, “Intrusion Detection FAQ”，取 自 ：http://www.sans.org/newlook/resources/IDFAQ/what_is_ID.htm，存取日期：民國一百零五年三月十日。
24.王榮信，「邁向成功SOC 之路」，取自：www.informationsecurity.com.tw/article/article_detail.aspx?tv=&aid=5944&pages=1，存取日期：民國一百零四年十二月八日。
25.李宗翰，「報表軟體與SIEM讓Log管理變聰明」，取 自 ：http://www.ithome.com.tw/node/77205，存取日期：民國一百零四年十二月八日。
26.洪羿漣，「SOC監控範圍功能 隨市場需求擴大」，取自：http://www.netadmin.com.tw/article_content.aspx?sn=1209270013，存取日期：民國一百零四年十二月八日。
27.陳思翰，「IPS最大競爭對手：防火牆、UTM」，取自：http://www.ithome.com.tw/node/79293，存取日期：民國一百零五年三月八日。
28.資安人-編輯部，「釐清需求是善用SIEM的第一步」，取自：http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=7371，存取日期：民國一百零四年十二月八日。
29.賴榮樞，「企業資安防護的重要觀念」，取自：https://technet.microsoft.com/zh-tw/library/dd125447.aspx，存取日期：民國一百零五年四月十七日。