中 華 大 學 碩 士 論 文
以 ITIL 管理架構為基礎之企業端點防護管理 Protection Management of Enterprise Endpoint
Based on the ITIL Management Framework
系 所 別：資訊管理學系碩士班
學號姓名：E09910017 黎維強
指導教授：吳美玉 博士
摘要
在現今企業的內部環境，存在著筆記型及桌上型電腦等端點。便利的網路應 用伴隨而來的也就是各種不同形式的資訊威脅，如電腦病毒、間諜程式、作業系 統漏洞、惡意網站、惡意軟體、蠕蟲攻擊等。端點是企業電腦化環境中數量最多 的標的。若遭受資訊威脅影響端點運作，企業營運和營收也將蒙受損失。
本研究針對企業的端點防護(Endpoint Protection, EP)進行研究。 並以資訊技 術基礎架構庫為方法，提出端點防護管理及成效評量作法，讓企業資訊單位在進 行端點防護管理時可引用做為規劃參考。針對可能遭受危害的端點提供修補及防 護機制，以期降低企業端點遭受此種資訊威脅帶來的衝擊與影響。
關鍵字：資訊技術基礎架構庫、資訊威脅、端點防護
Abstract
In the modern enterprise's internal environment, there is the endpoint of the notebook and desktop computers. Convenient network applications accompanied by the threat of various forms of information, such as computer viruses, spyware, operating system vulnerabilities, a malicious Web site, malware, worms’ attack. The endpoint is the largest number of the subject in the corporate computer environment. If information threats affect the endpoint operation, the business operations and revenue will suffer the loss.
This study will focus on the research of the endpoint protection for enterprises. Using ITIL management framework approach provides endpoint protection management and assessment methodology of effectiveness as planning reference for the business unit of information during endpoint protection management. Providing harm repair and protective mechanisms for the potential damage to enterprise endpoint will reduce the impact and influence from such information threat.
.
Keywords: Information Technology Infrastructure Library, Information Threats,
誌謝
本研究論文能順利付梓，首先要感謝指導教授吳美玉老師，從論文題目的訂 定與撰寫到最後完稿的過程，即使是學校的寒暑假期間，吳老師還是不辭辛勞地 督促我，除了指導學術研究的正確寫作方式外，撰寫期間都能耐心的幫忙修改論 文中的錯誤，引導我從相關文獻的蒐集與了解其中之研究價值，給予正確的建議 和鼓勵來找到自己的研究方向。
此外，還要感謝參與論文的口試委員李之中老師及郭明煌老師，在學務繁忙 之際能出席蒞臨指導，過程中指出許多論文遺漏及建議要修改的地方，進而使我 的論文可以更完整的呈現。
最後，要感謝家人的支持讓我能無憂地努力學業，再來是朋友的關心幫助我 增加自信與減輕壓力，最後是學長姐和同學們的加油打氣，特別是余明賢同學在 努力論文的同時給予我提點和激勵，感謝大家的幫忙讓我完成人生中的重要里程 碑，在此與大家分享我畢業的喜悅。
目錄
摘要 ... I Abstract ... II 誌謝 ... III 目錄 ... IV 圖目錄 ... V 表目錄 ... VI
第一章 緒論... 1
1.1 研究動機與背景... 1
1.2 研究目的... 2
1.3 研究範圍與限制... 3
1.4 論文架構... 4
第二章 文獻探討... 6
2.1 資訊技術基礎架構庫與端點防護管理概述... 7
2.2 資訊威脅概述... 18
2.3 端點防護相關技術... 21
2.4 相關研究... 24
2.4.1 李學者提出 IT 服務組合指標建構之研究 ... 24
2.4.2 李學者提出 ISO 27001 之國網中心風險管理 ... 26
2.4.3 Vilarinho 等學者提出以 ITIL 為基礎的風險管理 ... 27
第三章 應用 ITIL 管理架構的端點防護管理方法 ... 28
3.1 端點防護的策略管理... 30
3.2 端點防護的設計管理... 40
3.3 端點防護的轉換管理... 44
3.4 端點防護的營運管理... 48
第四章 應用 ITIL 管理架構的端點防護成效評量 ... 55
第五章 結論與未來研究方向... 60
5.1 結論... 60
5.2 未來研究方向... 61
參考文獻... 62
附錄 A 端點防護供應商需求建議書範本 ... 65
附錄 B 端點防護資產及組態管理表範例 ... 67
附錄 C 端點防護變更及上線部署申請表範例 ... 68
附錄 D 端點防護功能檢查項目範例 ... 69
附錄 E 端點防護週報表範本 ... 70
圖目錄
圖 2-1 ITIL 演化歷程圖 ... 8
圖 2-2 ITIL V3 管理架構 ... 9
圖 2-3 ITIL V3 管理架構方法細項 ... 11
圖 2-5 ITIL 服務策略在 M_o_R 原則模組的關係 ... 27
圖 3-1 端點防護管理的整體實施流程 ... 28
圖 3-2 端點防護的管理核心 ... 29
圖 3-3 端點防護的策略管理流程 ... 30
圖 3-4 端點防護管理設計架構示意圖 ... 33
圖 3-5 網頁信譽評等運作示意圖 ... 34
圖 3-6 檔案信譽評等運作示意圖 ... 34
圖 3-7 電子郵件防護示意圖 ... 35
圖 3-8 軟體式防火牆運作示意圖 ... 35
圖 3-9 應用程式控管運作示意圖 ... 36
圖 3-10 儲存裝置控管運作示意圖 ... 36
圖 3-11 雲端防護示意圖 ... 37
圖 3-12 網路存取控制機制示意圖 ... 38
圖 3-13 延遲派送機制示意圖 ... 39
圖 3-14 端點防護的設計管理流程 ... 40
圖 3-15 端點防護管理服務等級協定流程 ... 43
圖 3-16 端點防護的轉換管理流程 ... 44
圖 3-17 端點防護轉換管理流程 ... 47
圖 3-18 與使用者互動的服務台管理流程 ... 48
圖 3-19 端點防護的 IT 營運管理流程 ... 49
圖 3-20 端點防護的需求實現 ... 49
圖 3-21 服務台的運作流程 ... 52
圖 3-22 資訊部門對資訊威脅的主動式處理流程 ... 53
圖 3-23 端點防護技術管理流程 ... 54
圖 3-24 端點防護應用程式管理流程 ... 54
圖 4-1 端點防護的管理成效評量流程 ... 55
表目錄
表 2-1 傳統 IT 管理與 IT 服務管理的比較 ... 6
表 2-2 系統管理到服務管理說明表 ... 7
表 2-3 常見資訊威脅分類表 ... 20
表 2-4 IT 服務組合指標 ... 25
表 2-5 國網中心風險等級表 ... 26
表 3-1 ITIL 服務策略與端點防護策略管理運作 ... 31
表 3-2 ITIL 服務設計與端點防護設計管理運作 ... 41
表 3-3 ITIL 服務轉換與端點防護轉換管理運作 ... 45
表 3-4 ITIL 服務營運與端點防護營運管理運作 ... 50
表 4-1 ITIL 持續的服務改進與端點防護管理成效評量運作 ... 56
表 4-2 端點防護各項指標 ... 57
第一章 緒論
1.1 研究動機與背景
隨著資訊技術不斷的發展與進步，企業裡各項資訊化設備運用已屬稀鬆平常 之情形，如不可或缺的網路連線、USB 可攜式裝置的大量使用等，都為企業帶 來快速且便利的作業環境。但便利的管道下潛藏無數的危機，這些管道能夠幫助 企業的生産力促進發展；但在資訊安全管理和投資層面等，卻給企業帶來了嚴峻 的問題與挑戰。端點使用者的資訊素養和安全意識水準不一，容易將這些資訊威 脅(Information Threats)傳遞到企業內部，形成資訊安全危安因素，若管理不周全 則可能會給企業帶來相當程度的損失。
根據賽門鐵克全球網路威脅第 17 期的研究報告[17]指出，在 2011 年就偵測 到並攔截了 55 億次惡意攻擊，比前一年增加 81%以上這些威脅的存在遍及全 球。在過去兩年間多種產業的多國組織已因目前的網路攻擊而蒙受巨大損失。根 據調查 2011 年間因惡意威脅造成的資料洩漏損失成本總額已達 301 萬美元。目 標式攻擊也造成許多企業的網路遭到破壞及智慧財產權的損失，受害者從最小型 的企業到最大型的跨國企業，共通點為他們都是特別被鎖定的對象，58%的攻擊 是鎖定工作性質為銷售、人力資源、高階主管助理及媒體公關等族群。此外 2011 年的目標式攻擊中有一半是指向中小企業，這顯示企業更需要對資訊威脅進行防 護措施。
報告中也指出台灣電腦被駭客植入惡意程式，淪為傀儡電腦的比例為 11.4%
，平均每 10 台電腦中有 1 台是傀儡電腦僅次於美國的 12.6%，若與 2010 年相較 之下，台灣傀儡電腦比例從原本的 7.8％，增加了 3.6％，也是全世界排名前十名 傀儡電腦比例最高國家中，新增傀儡電腦比例最多的國家。
在企業電腦化的今日多樣的網路應用伴隨而來的也就是各種不同形式的資 訊威脅如電腦病毒、間諜程式、作業系統漏洞、惡意網站、惡意軟體、蠕蟲攻擊 等。而端點是企業電腦化環境中數量最多的標的，如何做好企業內的端點防護措 施已是相當重要的議題，若管理不當可能會成為企業的一大隱憂，進而影響營運 發展，不可不謹慎。
1.2 研究目的
隨著電腦科技的發展演變至今日，各項應用不斷地被發表，在這段時間裡有 的技術應用陸續消失或被取代，這也代表者人類科技進步的象徵，看似美好的科 技世代，潛藏著不小的資訊威脅。此威脅隨著科技的發展產生不同的變化，姑且 不論變化為何，或者讓部份以端點防護為業的公司大發利市，就目前狀態而言仍 然是弊大於利，多數企業也會因端點安全危機蒙受程度不一的損失。
現在資訊威脅所造成的影響已從造成災難轉往獲取不當益利，面對日益嚴重 且往往容易被大家疏忽的端點防護，本研究中將針對企業的端點防護進行研究，
並以 ITIL 管理架構為基礎，讓資訊部門在進行端點防護規劃時可引用做為規劃 參考，針對可能感染資訊威脅的端點提供修補及防護措施，將是本研究中所要探 討與解決的問題。
現今國內企業電腦化普及率可說是百分之百，在資訊威脅方面的風險控管也 不斷地有相關文獻在討論，其中在端點防護管理更是令許多企業頭疼地方，隨者 企業規模不斷擴張端點數量越來越多，整體性的管理便成了重要的課題，端點防 護絕不是購買部署後即可達到效果，後續的防護管理才是資訊單位需要用心的地 方，本研究以資訊技術基礎架構庫管理架構為基礎提出端點防護管理方法，欲達 成之目的有以下幾項：
1. 研究 ITIL 管理架構。
2. 研究資訊威脅相關資訊。
3. 研究端點防護技術及應用。
4. 提出企業端點防護的管理方法。
5. 提出企業端點防護的成效評量方法。
本研究規劃使用資訊技術基礎架構庫(Information Technology Infrastructure Library, ITIL)，是一套完整資訊部門營運的最佳 IT 服務管理實務。在企業的營運 過程中有許多資訊服務需要被應用，以 ITIL 五大管理領域的角度來看，這些應 用對使用者來說是服務的呈現，但對服務的提供者是管理的層級，利用此管理架 構進行企業的資訊威脅問題處理，建立一套類似衛生署在控管疾病感染及擴散的 管理方法，使 IT 部門能有效掌握並降低此類威脅所帶來的影響，並且能增進管 理效率。
1.3 研究範圍與限制
脆弱性(Vulnerability)的定義是指系統漏洞或弱點[22]，本身並不會造成傷 害，而是可能允許威脅影響資產的原因，若沒有適當處理將促使威脅形成。例如：
未安裝防火牆、權限設定錯誤、缺乏安全意識、不穩定的系統與安全訓練不足等。
資訊威脅一詞的定義很廣，對於任何造成資產損害的潛在可能性，威脅利用 脆弱性造成對資產、組織和系統的傷害和損毀，就叫做資訊威脅(Information Threats) [22]，在本研究中的討論範圍定義為電腦病毒、間諜程式、作業系統漏 洞、惡意網站、惡意程式、蠕蟲攻擊六個種類。
根據市場調查機構 Market Share 數據顯示，微軟(Microsoft)旗下個人電腦(PC) 視窗作業系統 Windows，至 2012 年 3 月，各版本合計市佔率達 85.54%[26]，仍 穩居 PC 作業市場龍頭，故本研究將以此系統為研究的對象及範圍，並依照微軟 公司所定義的 Windows 生命週期[16]予以設定其終止更新及服務時間。
本研究將應用層面區分為兩部分，分別為對資訊部門的端點防護管理及對使 用者端的報修服務，其廣度為可適用於需要端點防護的各行各業，惟對於在 ITIL 所提到的服務績效衡量方式，因為不同行業及企業文化因素差異過大，不列入本 研究的討論範圍內。
1.4 論文架構
本論文共分五個章節，分別是第一章的緒論、第二章的相關方法技術與文獻 探討、第三章的端點防護管理與方法、第四章的端點防護管理的成效評量及第五 章的結論與未來研究方向，以下為各個章節的內容概述。
第一章為本篇論文的緒論，說明為什麼要進行本研究之背景與動機以及欲達 成之研究目的，並概述整個研究的方法說明，最後是對整篇論文的章節規劃之概 述說明。
第二章文獻探討共分為 4 小節別為 2.1 小節介紹資訊技術基礎架構庫與端點 防護管理概述，說明 ITIL 管理架構中的一個核心及四個階段運作說明與端點防 護的管理介紹。2.2 小節介紹常見資訊威脅分類及說明。2.3 小節介紹端點防護目 前在市場上被運用的技術包括雲端防毒(Cloud Antivirus)、網頁信譽評等(Web Reputation Services, WRS)、檔案信譽評等服務(File Reputation Services, FRS)、應 用程式控管(Application Control)、裝置控管(Device Control)等。2.4 小節整理出與 本研究相關之已發表的研究成果，並介紹及說明這些文獻中使用到的方法。
第三章是應用 ITIL 管理架構的端點防護管理方法。在本章節中，共分 4 個 小節分別為 3.1 小節的端點防護管理的服務策略，說明端點管理的核心策略的實 務方法。3.2 小節的端點防護管理的服務設計，確保使用者能夠接收到優質的服 務。3.3 小節的端點防護管理的服務轉換，必須在執行速度、成本考量和安全考 量之間做出適當的平衡。3.4 小節的端點防護管理的服務營運，主要是提供支援 服務、管理基礎設施和營運活動為最終目標。
第四章是應用 ITIL 管理架構的端點防護成效評量。在本章節中，提出實 施了端點管理方法後要如何進行成效的評量，指導內容包括如何有效的進行持續 服務改進，成效評量和檢視成效結果後依照不符合所標準的項目進行改善。
第五章是結論與未來研究方向，本研究是以 ITIL 管理架構為基礎提出端點 防護的管理方式，端點防護功能並不是購買安裝即可發揮作用，使用適當的方法 進行管理更為重要，以本研究從策略、管理方法的制定到最後的成效評量，期望 讓企業經營階級主管看見資訊部門的用心與努力，新的資訊威脅手法仍然不斷地 在更新，資訊部門應該要時時刻刻注意相關資訊安全訊息，以因應資訊威脅帶來 的突發狀況，對於未來的研究方向若能將本研究的端點防護管理方法，應用研發 出互動式管理及報表系統。對企業來說管理成本會大大降低，對於端點防護廠商 而言也會是龐大的商機。
第二章 文獻探討
由於企業對「IT 服務水準」相當重視，在資訊部門的要求將不只是「IT 技 術」，而是繼續延伸到「IT 管理」。換句話說，資訊部門 IT 人員隨著職位的提昇，
若只固守技術層面的應用，而沒有去思考在管理上要如何來精進，在未來的管理 發展恐將造成相當程度的阻礙。
在過去，IT 部門只將資源放在系統的技術管理。如今，由於企業對於資訊 科技的依存度日益升高，在過去的 IT 管理是以技術為導向，而今日 IT 管理已經 演進變成以服務為導向[5]的流程如表 2-1 說明。
表 2-1 傳統 IT 管理與 IT 服務管理的比較[本研究整理]
比較 傳統的 IT 管理 今日的 IT 管理
定位 技術導向 服務流程導向
管理模式 被動和事後管理(由問題或使用者啟動) 主動的計畫型管理
管理方法 在企業內部完成集中式的 分散式和外包
管理觀點 孤立的部門觀點 整合式的企業觀點
管理手法 以一次性問題解決為目標 職責明確可重覆性的
管理流程 非正式的流程 最佳化的作業
成效衡量 對客戶需求盡力就好 品質可衡量貢獻可被認可(SLA, KPI)
思考角度 從 IT 內部考慮 從服務的角度考慮
管理導向 營運導向 服務導向
IT 已成為企業和商業流程上不可或缺的重要環結。然而，隨著企業應用和 設備環境的組合日趨複雜，掌控管理上愈來愈困難，加上景氣的關係使 IT 支出 減少對軟硬體採購造成限制，於是包含軟體資產、網路及硬體設備、甚至是 IT
表 2-2 系統管理到服務管理說明表[本研究整理]
系統管理到服務管理的 IT 成熟度
層級 IT 成熟度 流 程
服務管理 價值 連結 IT 與企業運作創造可被衡量的價值
服務管理 服務 IT 的持續服務改進管理與服務層級管理
服務管理 積極的 IT 可用性管理、事件、問題、事故、變更與組態管理
系統管理 反應的 隨機應變的因應方式，例如與使用者互動的服務台(SD)
系統管理 混亂的 多重客服中心、最低標準的
在本章節中將依序說明資訊技術基礎架構庫與端點防護管理概述、資訊威脅 概述、端點防護相關技術及文獻探討四個小節，透過這四個小節的說明逐步規劃 實現端點防護管理與成效評量的目標。
2.1 資訊技術基礎架構庫與端點防護管理概述
資訊技術基礎架構庫(Information Technology Infrastructure Library, ITIL)起 源於 1980 年代的英國，是當時英國為了提高政府 IT 部門的服務品質，以專案方 式邀請國內外知名 IT 廠商與專家共同開發一套規範化、可進行財務評量的 IT 資 源運用指導方法，便指派政府組織中的電腦和電信局(The Central Computer and Telecommunications Agency, CCTA)負責整理各政府機關所使用的管理和知識，再 融入業界的 IT 管理實務，使其成為一套通用國際的管理標準[3]。現 CCTA 已併 入英國政府商務辦公室(The Office of Government Commerce, OGC)在 2007 推出 新版的 ITIL V3.0[15]，以符合各個環境的實際需求，ITIL 演化歷程如圖 2-1 所示。
ITIL V3 與 V2 的主要差異，在於加入服務生命週期(Service Life Cycle)模型，
讓 ITIL 不再只是提到「做什麼」，而是明確的說明要「怎麼做」，讓企業可以根 據自己的業務，按照需求實施適合的 ITIL 應用。這套公開並用於規範資訊技術 服務管理的架構，不僅適用於所有廠商，更能套用在不同規模、不同技術與業務 需求的組織及企業。許多著名的企業如 IBM、HP 和宏碁公司等都是 ITIL、ITSM
的積極實踐者，顯見此方法受歡迎的程度。有多數的組織與機構都遵循 ITIL 的 流程來提昇資訊技術服務效率，以及改善 IT 服務部門之間的橫向溝通順暢性。
從許多導入 ITIL 的企業組織實例顯示，可提高 25%到 300%不等的 IT 部門運作 效率。相較於歐洲、北美、澳洲等國家，台灣的 ITIL 市場仍處於起步階段，但 台灣企業已逐漸從技術轉換為服務導向，著眼於 IT 服務和系統管理，讓技術和 服務能配合企業實際的需求進行管理。相信對市場需求也會日漸增加。
圖 2-1 ITIL 演化歷程圖[本研究整理]
ITILV3 管理架構是以同心圓的結構圖來描述框架上的五大領域。以服務策 略(Service Strategy)做為核心，即一切 IT 服務和管理的基礎，第二層則由服務設 計(Service Design)、服務移轉(Service Transition)與服務營運(Service Operation)三 個階段圍繞著核心運作，象徵欲達成服務和管理的目標，需從服務策略的擬定聯 想到設計、轉換與營運組合成一個服務的「生命週期」。在最外層部份，則是服 務的持續改進(Continual Service Improvement)，使企業在面臨改變的情況下 IT 服 務亦能快速反應。ITIL 五大領域的管理標準提供解決特定問題的指導方法，同
時給予 IT 組織在公司內部所交付服務的明確方法及具體流程，ITIL V3 所涵蓋的 領域很廣，區分為五大部份如圖 2-2 所示。
圖 2-2 ITIL V3 管理架構[19]
ITIL V3 管理架構的實施分為一個核心及四大階段[18]，核心部份為服務策 略、四大階段依序為服務設計、服務移轉、服務營運及服務持續改進。ITIL 管 理架構的核心及每個階段裡的方法都是個別獨立彼此並無相依性，方法的執行與 否端看企業及該領域是否需要，接下來將對 ITIL V3 內容分別介紹。
(1) 服務策略(Service Strategy)
訂定策略過去一直都是由高階管理者負責的。但在 IT 界情況瞬息萬變，從 企業資訊長到一線管理階層，每個人都有能力制定和執行服務策略。僵硬的「計 畫和部署」模式慢慢被有活力的「參與和協同合作」模式取代。最終的服務管理 成功與否是靠客戶與服務提供者之間的關係好壞來呈現。
(2) 服務設計(Service Design)
服務設計的目標是設計 IT 服務，同時管控 IT 時間、流程和策略，以實現服 務戰略並有助於將這些服務引導至現有的環境，確保優質的服務交付、客戶滿意 度和提供經濟高效率的服務。
(3) 服務移轉(Service Transition)
在整個 ITIL 生命週期中處於核心地位。轉換不是一個常用的術語，相較來 說，用來描述服務轉換在生命週期前中後連接的階段用語，用「設計」和「營運」
二個詞句會更加熟悉。同樣，服務轉換必須在執行速度、成本考量和安全考量之 間做出適當的平衡，同時也為相關服務帶來實際的運作方法。
(4) 服務營運(Service Operation)
在管理組織內日常 IT 服務營運的各個方面，提供最佳實踐的建議和指導方 法。它包括與人員、流程、基礎設施技術和關係有關的問題，以確保優質、符合 經濟且高效率的提供 IT 服務，滿足業務需要。服務營運是提供支援服務、管理 基礎設施和營運活動為最終目標。
(5) 持續的服務改進(Continual Service Improvement)
以這一套原則、實現所引用方法的成效集合，可以整體適用於相關行業和持 續實現服務改進方案。其指導內容包括如何有效的進行持續服務改進，成效評量 和檢視成效結果後依照不符合所標準的項目進行改善。
ITIL V3 管理架構的一個核心及四大階段共計 31 個方法，細項如圖 2-3 所 示，接下來將對 ITIL V3 的 31 個方法進行說明。
圖 2-3 ITIL V3 管理架構方法細項[28]
● 服務策略(核心)分為四個方法，說明如下 1. 策略的建立(Strategy Generation)
定義服務提供者執行所需的觀點、定位及計畫，以符合組織的營運成果。
2. 服務組合(Service Portfolio)
用來管理所有服務的生命週期，包括已提案或者在開發中的服務發展清單、
正在使用或可部署的服務目錄以及下線的服務。
3. 需求管理(Demand Management)
負責了解和預先考量及影響客戶對服務需求的流程，與服務設計中的容量管 理進行搭配，確保 IT 服務提供者有能力承擔服務內容及滿足使用者需求。
4. IT 財務管理(IT Financial Management)
提供 IT 服務所需的成本及帶來的投資效益等管理流程。
● 服務設計(第一個階段)分為七個方法，說明如下 1. 服務目錄(Service Catalogue)
是指資料庫或結構化文件，涵蓋所有正式上線的 IT 服務資訊，包含即將發佈 的服務，是唯一公開給客戶或使用者了解的部份，用來支援 IT 服務的銷售及 交付項目。
2. 服務水準管理(Service Level Management)
負責協商服務水準協定和確保這些協定能達成的流程。服務水準管理負責確 保所有 IT 服務管理流程、維持營運的水準協定、及外部供應商合約適合於約 定的服務水準目標，服務水準管理監視與報告服務水準，定期和客戶舉行審 查，鑑別需要的改善。
3. 容量管理(Capacity Management)
這個流程負責 IT 基礎架構在成本效益和時間考量下能提供能負擔的服務等 級目標，以確保 IT 服務的能量不會過載。與服務策略中需求管理配合實現可 承擔的使用者服務，容量管理考慮所有為提供 IT 服務的資源需求和規劃短中 長期企業需求。
4. 資訊安全管理(Information Security Management)
負責確保組織符合議定的業務需要的資產、資訊、資料和 IT 服務之機密性、
完整性及可用性的流程。通常是組織安全管理的一部份，包括設備管制、人 員門禁管理和通訊保密等處理。
5. 可用性管理(Availability Management)
負責確保 IT 服務能夠以成本效益和即時的方式滿足現有和未來的業務可用 性需要的流程。可用性管理定義、分析、規劃、測量、和改善 IT 服務可用性 的所有層面，並且確認所有 IT 基礎架構、流程、工具、角色等適用於與同意 服務水準目標有關的可用性。
6. 服務持續管理(Service Continuity Management)
服務因災害等原因發生中止時，對顧客的影響降至最低的管理流程。整體上 是分析風險、製作災害等復原計畫，及準備替代方案。
7. 供應商管理(Supplier Management)
供應商管理是指對供應商的瞭解、選擇、開發、使用和控制的相關管理工作 總稱。例如依公司要求訂定需求建議書(Request For Proposal, RFP)來評選符合 規格的軟硬體供應廠商。
● 服務轉換(第二個階段)共分為七個方法，說明如下 1. 轉換計畫(Service Transition Planning)
係指一個 IT 服務狀態變更的移動，或是其他組態項目由現行生命週期狀態到 下一個狀態。
2. 資產及組態管理(Service Asset & Configuration)
指流程中服務提供者的任何能力、資源及維護 IT 服務傳遞所需的組態項目與 相關資訊，包含與組態項目之間的關係，這些組態項目的資訊在這整個生命 週期過程都被進行管理。
3. 上線與部署(Service Release & Deployment)
指受控制的環境，包括上線組態項目，其用來交付 IT 服務給予客戶和負責將 新的或變更的軟硬體、文件和流程等移到線上環境的活動。
4. 確認與測試(Service Validation & Testing)
指在流程中負責新增或變更的 IT 服務之確認與測試，對服務確認及測試確保 已符合 IT 服務的設計規格，並且適合企業營運的需要。
5. 服務的評估(Evaluation)
負責對新的或變更的 IT 服務進行評價，以確保相關風險已進行管理，或作為 是否繼續執行該變更之評判。通常我們對「評估」二字的解釋是將實際的結 果與預期的結果或另外選擇進行比較。
6. 變更管理(Change Management)
這個流程負責控制所有變更的生命週期，讓有益處的變更能在最短的 IT 服務 中斷時間來進行，促使能成為有效率的執行。
7. 知識管理(Knowledge Management)
負責在組織或企業內蒐集、分析、儲存、分享知識與資訊的流程。知識管理 主要目的是想透過降低知識重覆被發現的需要來提升工作效率。
● 服務營運(第三個階段)共分為十個方法，說明如下 1. 服務台(Service Desk)
是服務提供者與使用者之間的連絡窗口，服務台負責管理事件、事故和問題 與服務，與使用者溝通需求或要求相關服務的支援。
2. 事件管理(Event Management)
係指負責貫穿事件生命週期管理事項的流程。事件管理是 IT 維持營運的主要 活動。
3. 事故管理(Incident Management)
負責管理全部事故生命週期的流程。事故管理的工作內容是盡快恢復正常服 務並維持營運狀態，並且將對營運的衝擊降到最低。
4. 問題管理(Problem Management)
負責管理問題生命週期的流程。問題管理是主動預防事故的發生，並將無法 避免的事故影響衝擊降到最低。
5. 服務報告(Access Management)
允許使用者使用 IT 服務、資料或其他資產。存取管理只讓特定被允許的使用 者存取或是修改資產，以協助維護其機密性、完整性和可用性在需要被保護 的資產上。存取管理有的時侯被稱為是身份的識別或是權限的管理。
6. 維運管理(Operations Management)
泛指 IT 服務提供者本身所擁有的功能，負責執行管理 IT 服務與所支援的基 礎架構所需之日常活動，包括 IT 維運控制和設備(施)管理。
7. 需求實現(Request Fulfillment)
負責管理所有需求生命週期的流程。
8. 技術管理(Technical Management)
負責提供技術技能來支援 IT 服務和 IT 基礎架構管理。技術管理被定義為支 援群組的角色以及所需的工具、流程和程序等。
9. 應用程式管理(Application Management)
此功能負責管理應用程式的整個生命週期，由於應用程式的複雜和可變更等 特性，增加管理上的困難度及高成本的支出，良好的應用程式管理能掌握運 作情形和降低成本。
10. IT 營運管理(IT Operations Management)
是指被 IT 營運管理及控制的活動，包括終端機管理、端點防護管理、工作排 程、備份及還原、列印和產出管理等。
● 持續的服務改進(最後一個階段)共分為三個方法，說明如下 1. 服務評量(Service Measurement)
指管理及服務流程執行後的成效衡量。如關鍵性績效指標(Key Performance Indicator, KPI)和 IT 服務提供者與客戶之間的服務水準協定(Service Level Agreement, SLA)。服務評量描述 IT 服務和記載服務水準目標，明確的說明 IT 服務提供者與客戶的責任。一份服務水準協定可包括多個 IT 服務或多個 客戶及使用者。
2. 服務報告(Service Reporting)
指在流程中負責生產和遞送對服務等級成果和趨勢的報告。服務報告的格式 及樣式、內容和傳送頻率需與客戶協定達成相互的認可。
3. 服務改善的步驟(Service Improvement)
用以改善服務的流程、項目或 IT 服務正式計畫的版本。
在整個 ITIL 管理架構中，以服務台(Service Desk)做為與使用者的互動平台，
根據服務等級協定以合理的成本來提供服務，整個過程的焦點不僅是 IT 部門是 否提供適當的服務，更重要的觀點是，所提供的服務品質是否獲得使用者的肯定 與認同。
ITIL 的重點在於確保每個方法都能實現其應有的功能，並與其他方法彼此 協調讓作業能順利進行。至於要以何種方式才能具體實現這些功能，則端看企業 或組織的實際需求來採取不同計劃及運作方式。亦即 ITIL 每一個流程都是相對 獨立並無相依性，以期望能實現某些特定的功能，至於每個方法與業務之間的關 係，則根據 IT 管理的需求來事先規劃妥善。如此企業便可依據其實際的狀況選 擇適合的方法應用在商業環境流程之中，同時也可以繼續保持其他方法及流程的 運作。
ITIL 適用於資訊服務的管理領域，是一套可確保組織及企業在提供資訊服 務時，達到所要求之水準的最佳實務準則與相關流程。在設計上，ITIL 是依據 實務的資訊服務營運規劃和交付的經驗所衍生出來的一套實務基礎架構。並非純 理論上的方法學，因此 ITIL 可適用於各個產業與規模的企業組織；更好的優點 是企業在採用 ITIL 時，不需要支付任何的相關證照費用，這也是大部分企業想 躍躍欲試的主要因素之一。
企業在端點防護的需求上，絕對不是只有技術問題，更重要的是 IT 人員在 管理上的考量，使用者端則是要瞭解如何來使用此項服務，以確保所使用的設備 不會因為資訊威脅感染或攻擊而停擺，引用 ITIL 管理架構是為了解決管理上的 問題，運用良好的管理方法使技術層級的防護功能或工具能發揮應有的防護效 果，確保企業的端點可正常運作無虞。
本研究規劃使用資訊技術基礎架構庫，是一套完整資訊部門營運的最佳 IT 服務管理實務。在企業的營運過程中有許多資訊服務需要被應用，以 ITIL 五大 管理領域的角度來看，這些應用對使用者來說是服務的呈現，但對服務的提供者 會是管理的層級，利用此管理架構進行企業的端點防護與資訊威脅問題處理，建 立一套類似衛生署在控管疾病感染及擴散的管理方法，使 IT 部門能有效掌握並 降低此類威脅所帶來的影響，並且能增進管理效率，本研究以 ITIL V3 為基礎，
並以服務策略(Service Strategy)為核心進行研究，提出端點防護的管理及成效評 量方法。
2.2 資訊威脅概述
企業的營運過程中存在著許多風險，資訊威脅的入侵與攻擊即是相當重要的 風險之一。若不加以管控恐將影響企業的營運，以下將針對各種類資訊威脅[2][13]
進行說明，詳細分類如表 2-3 所示。
● 電腦病毒(Virus)
所謂的電腦病毒，是一種人為設計的運算方式；這種運算方式通常是隱藏在 容易被使用者接觸到的管道來伺機感染，例如瀏覽網頁、收發電子郵件或是檔案 之間的傳輸等，當有這些行為發生時對系統或網路造成不便或破壞。電腦病毒的 感染行為區分為二種；第一種是會自我複製型會產生大量的檔案，並依照設計者 所賦予的行動方式從不同的電腦之間伺機進行傳播。第二種是感染正常的檔案，
使其檔案大小有增減的變化情形產生，經由這些受感染的檔案被執行來達到傳 播，電腦病毒的種類包括惡意程式[21]、木馬程式、後門程式及蠕蟲程式等。
● 間諜軟體(Spyware)
設計者利用此程式，在使用者連上網路，未經授權情形下，將其個人資料傳 送到指定的網站或網路位址，這類型的程式通常利用破解工具(Cracking Tools)、
序號產生器(Key Generator)等程式或檔案來進行傳播。
● 灰色軟體(Grayware)
泛指所有不被認為是電腦病毒或木馬程式，但有可能會對使用者的系統或網 路上的電腦效能造成負面影響、並引發系統或網路安全受損的軟體。通常來說，
灰色軟體都會被設計出使用者不希望見到、或遇到的行為。這些行為包括彈出式 廣告(Pop-up ads)、經由瀏覽器助手(Browser Helper Object, BHO)將使用者資訊記 錄下來等待被運作等。
● 測試型病毒(Test Virus)
測試型病毒並不是真正的病毒。不會對系統或網路造成損壞，主要用途為測 試防護功能是否有正常運作，例如著名的 EICAR 即屬此類程式。
● 惡作劇程式(Joke)
惡作劇程式通常是以執行檔的方式存在。將這些類型程式加到偵測清單的原 因是它們會造成使用者的困擾，而且可能會含有不良的情色訊息或影像。惡作劇 程式如果不是設計者刻意的行動，通常沒有自我擴散傳播的能力。對於此類程式 最好的處理方法是直接進行刪除。
● 其它(Other)
需進一步分析其動作和行為方能判定其運作的分類為何。
脆弱性(Vulnerability)
脆弱性的定義是指系統漏洞或弱點[22]，是系統本身具有或裝置存在的缺 陷，可以用來對系統安全造成影響或危害，這些缺陷可能是系統設計者在撰寫程 式時所產生的錯誤，導致系統使用者容易遭受相關資訊威脅的攻擊，有脆弱性的 系統沒有和感染來源及媒體接觸之前是不會受影響的，例如端點不連接網路和其 它可存取儲存裝置。
表 2-3 常見資訊威脅分類表[本研究整理]
資訊威脅分類 名稱 說明
Virus
A2KM (Access2000 Malicious Software) Access2000 惡意程式 ATVX (ActiveX controls) ActiveX 惡意程式碼
BAT (Malicious Batch File) 批次檔惡意程式碼
BKDR (Backdoor Program) 後門程式
CHM(Compiled HTML help file) Compiled HTML help file
CRYP、Packer、PAK 加殼檔案
DDOS(Distributed Denial of Service) 分散式阻斷服務
ELF(Executable and Link Format) Executable and Link Format
EXPL(Exploit) 系統漏洞利用
HTML(HTML Virus) HTML 病毒
IRC(Internet Relay Chat) 網路交談惡意程式碼
JAVA(Java Applets) Java 惡意程式碼
JS(JavaScript Virus) JavaScript 病毒
PE、NE 或沒有字首 執行檔型病毒
PERL(PerlScript Virus) PERLScript 病毒
POSSIBLE_VIRUS 疑似惡意程式
REG(Registry Modify) 機碼篡改程式
SPYW (SPY Software) 間諜程式
SYMBOS (Symbian OS Virus) 行動裝置病毒
TROJ (Trojan Horse) 特洛伊木馬
TSPY (Trojan/Spyware Malicious Software) 木馬間諜複合程式
VBS (VBScript Virus) VBScript 病毒
Macro Virus 巨集病毒
WORM (Worm) 蠕蟲
沒有字首 (Boot Sector Virus) 開機型病毒 Other Malicious Software) Ex.RootKit 其他惡意程式
N/A 惡意網站
Spyware
ADW(Advertisement Software)/Adware 廣告軟體
APP(Application) 應用程式
BHO(Browser Helper Object) 瀏覽器劫持
CRCK(Crack Tools) 密碼破解程式
DIAL(Dial-Up Virus) 自動連結程式
HKTL、RTKT(Hacking Tools) 駭客工具
RAP(Remote Access Portal) 遠端存取程式
資訊威脅分類 名稱 說明
Spyware
Other Malicious Software)Ex.RootKit 其他惡意程式
N/A 惡意網站
Grayware
ADW (Advertisement Software) / Adware 廣告軟體
APP (Application) 應用程式
BHO(Browser Helper Object) 瀏覽器劫持
CRCK (Crack Tools) 密碼破解程式
DIAL (Dial-Up Virus) 自動連結程式
HKTL、RTKT (Hacking Tools) 駭客工具 RAP (Remote Access Portal) 遠端存取程式 TSPY (Trojan/Spyware Malicious Software) 木馬間諜複合程式
N/A 惡意網站
Test Virus Eicar_test_file(Test Virus) 測試用病毒
Joke JOKE(Joke Program) 惡作劇程式
Other N/A 其他惡意程式
2.3 端點防護相關技術
隨著科技日新月異的快速發展，資訊威脅的多元化也是令資訊部門頭痛的問 題，種種因素讓端點安全的控管與防護能力受到更多考驗與挑戰，也成為端點安 全廠商思考與發展的方向。目前在端點常見的惡意程式偵測功能包括病毒碼掃描 法、加總比對法、人工智慧陷阱、軟體模擬掃描法、先知掃描法、即時的 I/O 掃 描、文件巨集病毒陷阱等技術、預設已內含在惡意程式防護功能中，只要安裝端 點防護即會啟用，惡意程式偵測與防護可說是各家防護軟體廠商強調的應用重點 之一，接下來將對端點防護相關技術進行詳細說明。
● 惡意程式防護功能(Malware Protection Function)
承上所述，此功能使用了大量的技術來處理惡意程式氾濫的問題，許多機構 及學術單位也陸續發表對於各種類的惡意程式偵測掃描方法，包括未知型惡意軟 體偵測的半監督式學習法[25]，機器碼序列為基礎的惡意軟件檢測[23]，新型的 免疫啟發惡意代碼的萃取和檢測方法[30]，以多份日誌分析檢測零天攻擊的後門 木馬程式[20]，基於對 PE 型病毒偵測的免疫方法[31]，機器碼序列為基礎的半監
督未知的惡意軟件檢測[24]，聯結探勘為基礎的智慧型 PE 惡意軟體偵測系統 [29]，此方法已獲得大陸金山公司的採用，目前國內外的商業廠商如趨勢科技、
賽門鐵克、卡巴斯基實驗室等也已在防護領域耕耘已久，發展多層次全方位端點 防護偵測技術對的已知、未知以及變種的病毒、蠕蟲、木馬程式、間諜程式、廣 告軟體、Rootkit，與初始攻擊進行防護，偵測率競賽是各家防護功能廠商爭相努 力的重點，效果如何也端看各廠商的研發實力。
● 雲端防毒(Cloud Antivirus)
此技術是「雲端運算」的一種應用[11]，所謂的「雲端防毒」就是透過網際 網路上的伺服器來幫忙使用者做保護、偵測、掃毒的工作。所有的防護功能都由
「雲端」上的伺服器幫使用者處理完成。「雲端防毒」的主要好處包括有零時差 的保護；在傳統的防護程式中，資訊威脅的變化更新相當快速，病毒碼部署及反 應時間可能會無法即時處理，造成使用者電腦感染機會大增。使用「雲端防毒」
技術可以讓「雲端」上的伺服器集中資源偵測掃描檔案，使用者得到的防護永遠 是最新的，再也不須要頻繁地更新資訊威脅定義檔來保持運作的效率。另一個好 處是減少使用者電腦運算量；由於「雲端防毒」將資訊威脅偵測的計算過程移轉 到「雲端」伺服器上，不必再佔用處理器與記憶體的資源來執行這些工作，使用 者電腦空出來的資源可以做為更有效率的應用。
● 網頁信譽評等(Web Reputation Services, WRS)
此技術是「雲端運算」的一種應用[11]，現今的網際網路上潛藏著許多威脅，
包括含有惡意程式、木馬和間諜程式的網站等，駭客透過自動執行指令碼的方 式，讓使用者瀏覽到網站後伺機植入惡意程式、木馬及間諜程式。目的為破壞、
竊取使用者的資料，「網頁信譽評等」的技術就是為了防止使用者連線到這些含 有惡意程式的網頁，當使用者在嚐試想連線到含有惡意程式的網站時，「網頁信
代理程式即會阻止使用者連線到此網站，以避免端點的資料受到竊取或破壞。
● 檔案信譽評等服務(File Reputation Services, FRS)
此技術是「雲端運算」的一種應用[11]，當「檔案信譽評等服務」代理程式 被安裝到端點後，即會開始掃描整台端點的檔案，並記錄掃描後的檔案特徵例如 雜湊數值等，日後若有新的檔案產生時會即時透過雲端運算系統，進行判斷是否 為原本舊有的檔案。若是則會信任此檔案是安全的、改列在白名單之內，之後只 要還是同一個檔案就不再進行掃描、或向雲端運算系統查詢信譽評等，但若是一 個新的檔案，經由雲端運算系統分析出是內含惡意程式的檔案，防護代理程式就 會清除執行程序中某一些不該存在的部份。這個不安全的檔案特徵及格式也會同 步儲存在雲端運算系統的資料庫中，未來其他端點若查詢到相同的程式或檔案，
防護程式就會馬上禁止檔案的開啟或執行。
● 電子郵件防護(Mail Protection)
在用戶端收發電子郵件時，防護軟體依據設定進行掃描，部份廠商的技術會 根據寄件者的郵件伺服器之網際網路位址的信譽評等資訊，在收信前進行檢測可 有效攔截含有資訊威脅的信件。
● 軟體式防火牆(Software Firewall)
軟體式防火牆是一種虛擬的硬體裝置，運作方式與硬體式的防火牆[8]相 同。在網路發達的現代，透過它隔離外部網際網路與組織內部的資訊威脅風險，
能夠加強內外部網路的安全性。防火牆可作為在不同網路之間的訊息出入口，若 有存取異常即會進行阻擋和發出警示，可作為端點連線到網路環境的防護措施。
● 應用程式控管(Application Control)
提供管理應用程式之安全政策，允許可以執行的各種程式，不允許未知的、
非法的及未授權的應用程式如 P2P、BT 等執行，以保護企業端點的安全。
● 裝置控管(Device Control)
偵測並讀取所有設備的序號，透過和目錄服務(Active Directory, AD)整合的 功能，可以針對使用者、群組權限和時間等進行細部設定，即便是原本不許使用 的裝置設備，透過允許特定人員的裝置，可以在特定時間內使用，而不需要更動 整個組織的權限控管機制。
2.4 相關研究
防治資訊威脅對企業來說是風險管控的重點之一，本研究運用 ITIL 管理架 構作為端點防護的方法，讓端點免於遭受資訊威脅帶來的損害，過程中除了使用 管理層面來實踐作法之外，也同步應用目前常見的端點防護技術，以下為本研究 所收集的國內外風險管控相關應用狀況。
2.4.1 李學者提出 IT 服務組合指標建構之研究
國內李延浚學者[7]以 ITIL 管理架構為服務組合的分類概念，良好的 IT 服務 組合可促使企業正常運作，防止風險發生的可能。其研究方法為結合美國預算管 理辦公室所提出的聯邦企業架構(FEA)為服務組合的分類項目，利用層級分析法 (Analytic Hierarchy Process, AHP)的技術和問卷調查對台灣電子業某上市公司進 行研究，來做為 IT 服務指標建構方法之驗證。初步結果顯示，本次服務組合指 標建構的方法能正確的施作，並經由等級相關檢定，確認能為企業找出服務組合 的分類與優先順序。經過研究的分析將各項服務領域與服務種類層級化後，依據 AHP 層級化原則製成問卷，總共發出 20 份問卷回收 20 問卷，利用 Expert Choice 層級分析法軟體，將問卷之結果個別輸入後進行整合分析，找出 IT 服務組合指
務分析管理、共同性行政管理及支援服務 8 個組合，使用 AHP 的運算分析後得 到現有 IT 服務組合指標之權重及優先順序，優先順序可認知為使用者對此項服 務的重要性認定，IT 服務組合指標優先順序如表 2-4 所示。李學者的研究是使用 個案方式來進行，其應用層面無法擴大到各行各業，其研究的深度是予以肯定，
在研究的廣度方面是比較不足夠的。
表 2-4 IT 服務組合指標[7]
IT 服務組合指標 現有 IT 主要服務對應項目 優先順序
客戶要求協助 產品登錄系統 客戶叫修服務系統
1
客戶偏好 無 無
業務情報 決策管理系統 2
工作流程與追踨 辦公室表單自動化 3
客戶關係管理 電話客服中心系統(CTI、IVR、AP) 4
報表 多維度分析報表作業服務 5
財務管理 總帳系統
會計系統
6
程序管理 服務變更管理作業辦法 7
知識探索 資料倉儲系統 8
系統管理 員工帳號管理系統
VPN 管理系統
9
流程傳遞與排程 訊息整合服務中心(簡詢、電話留言、
傳真)
10
人力資產/團隊 員工考核與認證管理系統 11
文件管理 專案電子文件管理/備份中心 12
表單管理 專案電子文件管理/備份中心 13
資料管理 資料超市管理系統 14
供應鏈管理 供應商管理系統 15
檢視服務 微縮影片服務中心 16
人力資源管理 人員履歷/學經歷管理管理系統 17
安全管理 資訊安全政策推廣網站 18
內容管理 組織章程網站 19
合作 行事曆管理服務 20
文獻檔案管理 合約、專案文件分類服務 21
2.4.2 李學者提出 ISO 27001 之國網中心風險管理
國內李慧蘭學者[4]提出國際資訊安全標準 ISO 27001 之網路架構設計以國 家高速網路與計算中心(以下簡稱國網中心)為例探討風險管理，在 ISO 27001 ISMS 的建立過程中最重要是風險評鑑和風險處理步驟。風險評鑑是整理出所有 資產清單，並列出資產面臨的弱點和威脅接著計算資產總風險值。風險處理是針 對高總風險值的資產作出風險處理計劃書，以降低該資產風險等級至可以接受的 程度。以國網中心為例說明如何作資產的風險評鑑，針對高風險資產擬定風險處 理計劃書，再配合風險降低對策建置一個符合組織需求低風險的資訊系統。研究 中提到相關計算公式如下所示，。
總風險值 = 資產價值 × 破壞事件嚴重程度
資產價值 = 機密性評價 + 完整性評價 + 可用性評價
破壞事件的嚴重程度 = 威脅等級 × 脆弱點等級 × 衝擊等級
根據計算的結果對應到風險等級表，共分 A、B、C、D 四個等級如表 2-5 所示，國網中心專業資訊安全管理委員會的決議，可接受的風險等級為 D，亦即 風險等級為 C 以上者，就必須作風險處理以減輕其風險。
表 2-5 國網中心風險等級表[4]
風險等級 起始值 結束值
A 540 720
B 360 539
C 180 359
D 0 179
李學者的研究提出以 ISO 27001 的風險衡量方法，內容詳細介紹各個風險的 計算方式。但每個行業所定義的風險值均有所不同，其個案研究的深度是予以肯 定，但在研究的廣度方面是比較不足夠的，
2.4.3 Vilarinho 等學者提出以 ITIL 為基礎的風險管理
國外 Vilarinho 等學者[26]提出以 ITIL 管理架構為基礎的風險管理模式，對 於風險管理給予相關的實施方向，研究者提出 ITIL 管理架構的策略在 M_o_R 原 則模組的關係架構如圖 2-5 所示，組織的戰略模組是從 ITIL 管理架構的策略擬 定政策、流程指南及風險改善計劃、組織的操作是從戰略、風險溝通計劃、風險 應對計劃、風險登錄及風險計劃進度等，學者的 M_o_R 模組在風險管理中提供 了管理方向與操作，可提供廣度的風險管理實施作法，但在研究的深度部份，由 於各個企業對於風險的定義不盡相同，需要再進行細部實施方法的客製化方可適 用，在研究的深度方面是比較不足夠的。
圖 2-4 ITIL 服務策略在 M_o_R 原則模組的關係[26]
第三章 應用 ITIL 管理架構的端點防護管理方法
依據 ITIL 管理架構定義出端點防護的實施方法，執行流程從第三章端點防 護的策略管理、設計管理、轉換管理與營運管理，最後再到第四章端點防護的成 效評量管理依照各項指標進行計算產出週報表，針對報表中顯示異常的項目進行 改善，本研究以圖 3-1 來彙整說明第三和第四章所提出的端點防護管理之整體實 施流程。
端點防護的策略管理 (ITIL服務策略)
端點防護的設計管理 (ITIL服務設計)
端點防護的轉換管理 (ITIL服務轉換)
端點防護的 成效評量管理 (ITIL服務持續) 端點防護的營運管理
(ITIL服務營運)
第三章的 實施流程
第四章的 實施流程
本研究應用 ITIL V3 管理架構的一個核心及四個階段共 31 個方法，定義端 點防護管理的 31 個管理運作，在面對各類資訊威脅的來勢凶凶，感染管道和途 徑不僅僅是外部，更要提防的是入侵後從內部環境的擴散，因應對策分析有三項 分別是先確定入侵的「資訊威脅分類」為何，感染管道來自何處的「感染來源」
偵測監控動作，最後是針對不同的資訊威脅設定「防護的方法」如圖 3-2 所示。
圖 3-2 端點防護的管理核心
針對資訊威脅的三個處置動作，分別說明如下：
1. 監控：分析端點防護系統的各項資訊，確認資訊威脅的類別及尋找感染 來源，以便進行威脅解除與防護動作。
2. 封鎖：執行資訊安全政策套用，以封鎖內部系統漏洞缺口。例如系統漏 洞修補程式(Hot-Fix)定期派送、密碼規則(Password Rule)套用等。
3. 分析：定時週報表分析防護成效，拆除資訊威脅未爆彈。例如連續攻擊 或被感染的端點，應列為是異常的案件進行分析處理。
ITIL 管理架構的一個核心及四大階段，每個方法都是個別獨立彼此並無相 依性及實施順序，執行與否端看企業及該應用領域是否需要。本研究中所提及的
「端點防護管理」方法亦是相同，以 ITIL 管理架構對應至端點防護管理的實作 方法[12]，將應用層面區分為兩部分，分別為對資訊部門的端點防護管理及對使
用者端的報修服務，其廣度為可適用於需要端點防護的各行各業，惟對於在 ITIL 所提到的服務與績效衡量方式，因為不同行業及企業文化因素差異過大，不列入 本研究的討論範圍內。對於考量實務上企業在人力、物力及預算的配置，若一次 套用全部方法有其困難度，可依本章節 3.1 端點防護的策略管理到 3.4 營運管理 小節選擇需要實施的方法。
3.1 端點防護的策略管理
服務策略是 ITIL 的核心，所代表的意義是先確認影響需求的因素再偱序漸 進地實施其它方法來達成目標。在端點防護管理的應用亦是如此，顯見策略管理 的重要性[9]，首先資訊部門先確認影響需求的因素後編列預算進行採購端點防 護方案，根據防護需求去調整啟用相關功能的組合，例如啟用網頁信譽評等和電 子郵件防護等，最後再訂定策略方向實施管理運作如圖 3-3 所示。
( )
編列預算採購 端點防護的組合
(財務管理)
訂定防護的 策略管理 (策略建立)
根據需求調整 端點防護組合
圖 3-3 端點防護的策略管理流程
端點防護的策略管理，如表 3-1 所示從需求、財務管理來確認影響端點防護 的因素和編列採購端點防護方案的預算、服務組合及策略建立分別為管理組織內 使用的端點防護生命週期和定義資訊威脅的處置動作。
表 3-1 ITIL 服務策略與端點防護策略管理運作 ITIL 管理架構
端點防護管理實施方法 階段 方法 定義
服 務 策 略
服 務 策 略
① 需求 管理
了 解 和預 先 考 量 及 影 響 客戶 對服務的需求
確認影響端點防護的因素，區分為資訊部門 的 端 點 防 護 運 作 管 理 及 使 用 者 的 報 修 服 務，運作管理包括管理人員的專業素養、使 用的方法和使用者的報修服務的規劃。
② 財務 管理
提供 IT 服務所 需 的 成 本 及 帶 來 的 投 資 效益 管理
1. 預算編列公式：
端點預算 = 每個端點防護功能費用 ＊ 端點總台數 ＊ 購足率
2. 是否符合投資效益可視投入的各項資源 配合服務持續改善階段中的服務評量設 定，定義出各項成效指標，以該成效指 標一定區間的數值，衡量是否有達到可 接受的範圍。
③ 服務 組合
管 理 服 務 生命 週 期包 括 正 在 使 用 和 除 役 的 服務
管理組織內使用的端點防護相關軟(硬)體服 務，根據防護的需求調整其組合。
④ 策略 建立
定義 服 務 提 供 者執 行 所 需 的 觀點、定位及計 畫 以 符 合 組 織 的營運成果
1. 訂定防護功能中對各類資訊威脅的處置 策略。
2. 實施作業系統安全性策略。例如密碼規 則(Password Rule)、登入失敗次數限制等 規則。
3. 實施內部感染來源處置策略，若有端點 正在執行大量且不正常的網路封包傳輸 時，需進行檢查並針對不符合安全政策 規則的端點進行控管。
4. 實 施 端 點 防 護 更新 及漏 洞 修 補 部 署 策 略，例如防護功能中的更新和作業系統 漏洞修補程式(Hot Fix)部署派送。
5. 訂定端點防護功能中的共用(Common)管 理策略，例如排程進行端點全系統掃描。
在端點防護策略管理先評估影響使用需求的因素，再討論要如何設定其它方 法以達成目標。本研究提出二個方向分為資訊部門的端點防護管理與使用者端的 報修服務；資訊部門需要管理工作能夠被掌握，使用者需要報修的服務能夠順利 被使用，這中間的因素包括人力是否足夠、人員是否具備專業的素養及是否採用 適合的端點防護解決方案等資源，在需求管理的動作確認完成後接下來的規劃是 預算管理，正所謂巧婦難為無米之炊，資訊人員的管理仍需搭配專業廠商研發的 端點防護解決方案才能發揮效果，但在企業裡要編列預算無法空穴來風，必須有 所依據的計算合理的數字呈給預算單位審核，本研究提出端點防護預算編列公式 來採購所需的解決方案。在表 3-1 中的財務管理項目提到的計算公式，解釋如下：
端點預算 = 每個端點防護功能費用 ＊ 端點總台數 ＊ 購足率
公式中購足率數值為 1，代表每台端點都必須購買版權，讓每台端點都能安 裝使用與擁有防護能力。例如某企業每個端點防護功能費用為 1000 元，端點總
端點預算 = 1000 ＊ 3000 ＊ 1 = 3,000,000
經由公式計算出用於購買端點防護的預算金額，資訊部門可依照此編列的金 額規劃出適合的防護組合，使用編列的預算進行端點防護與漏洞修補伺服器的建 制，依照需要將防護功能及漏洞修補程式派送部署到端點，設計架構可參考圖 3-4 所示。
圖 3-4 端點防護管理設計架構示意圖
在端點防護的防護組合，管理者經由預算進行採購的端點防護解決方案，可 根據資訊威脅的感染來源進行調整，例如經由網頁瀏覽增加感染率可使用網頁信 譽評等(WRS)來防護，此功能會在端點每次連線網頁時對網域名稱進行檢查，若 判定結果是有異常者會禁止連線到該網頁，運作方式如圖 3-5 所示。
圖 3-5 網頁信譽評等運作示意圖
若是經由檔案存取執行增加感染率，可使用檔案信譽評等服務(FRS)來防 護，在檔案存取前即時查詢檔案的安全性，減輕資訊威脅定義檔案管理負擔降低 效能衝擊。運作方式如圖 3-6 所示。
圖 3-6 檔案信譽評等運作示意圖
若是經由電子郵件傳送增加感染率，可使用電子郵件防護(Mail Protection) 來防護，在電子郵件收發過程中會進行掃描，已確保不會遭受資訊威脅的感染或 攻擊，運作方式如圖 3-7 所示。
圖 3-7 電子郵件防護示意圖
若是經由網路芳鄰增加感染率，可使用軟體式防火牆來防護，透過此機制隔 離風險區域來增強網路的安全性，若有存取異常即會進行阻擋和發出警示，可為 連線到網路環境的端點提供資訊威脅防護，運作方式如圖 3-8 所示。
圖 3-8 軟體式防火牆運作示意圖
若經由點對點檔案分享程式(Peer-to-Peer)增加感染率，可使用應用程式控管 來防護，提供管理應用程式之安全政策，允許可以執行的各種程式，不允許未知 的、非法的及未授權的應用程式如 P2P、BT 等執行運作方式如圖 3-9 所示。
圖 3-9 應用程式控管運作示意圖
若經由可攜式儲存裝置(USB)增加感染率，可使用裝置管控來防護，透過和 目錄服務(Active Directory, AD)整合的功能，可以針對使用者、群組權限和時間 等進行細部設定運作方式如圖 3-10 所示。
圖 3-10 儲存裝置控管運作示意圖
若企業中有筆記型電腦可啟用雲端防護(Cloud Protection)機制，原因在於這 些端點易於擕帶移動，當脫離企業工作環境時容易遭受到資訊威脅的攻擊，透過 雲端防護機制運作如圖 3-11 所示，可以為隨時暴露在風險中的筆記型電腦提供 保護措施。
圖 3-11 雲端防護示意圖
透過上述介紹的防護措施資訊部門管理人員可依需求設定加入到防護組合 內，以便維持端點防護應有的運作效能。
表 3-1 防護策略建立的第一項，通常企業等級的端點防護功能均可進行客製 化的設定。本研究提出五種方法；第一項是資訊威脅的處置策略，設定的基礎來 自於資訊威脅的型態，目前大致上分為自我複製和附加型感染二種，自我複製型 的特徵為自己本身就是資訊威脅，不會去感染正常檔案使其大小增減變化，在成 功執行後依照設計去影響使用者的操作，例如電腦速度變慢、自動傳送資料到未 經使用者授權的網站等，此類資訊威脅包括有木馬程式及間諜程式等。針對此種 威脅的建議處置方式第一個動作是刪除，第二個動作是隔離。附加型感染則是會 去感染正常檔案使其大小增減變化，當被感染的檔案被執行後此威脅便開始依照 設計去影響使用者的操作，例如感染正常檔案使其成為跳板伺機攻擊其它目標，
針對此種威脅的建議處置方式第一個動作是清除，第二個動作是刪除。
表 3-1 端點防護策略建立的第二項，實施系統安全性策略。例如密碼複雜度 規則(Password Rule)設定；包括英文字母大小寫、數字和符號四種、密碼長度限 制及不能重覆使用相同密碼的次數，連續登入失敗次數過多須鎖定該帳號及系統 權限問題(System Permissions)。部份資訊威脅程式可能會具備猜測系統帳號及密 碼的能力，建議密碼設定應符合上述所提的複雜度原則，定期掃描不正確的檔案 分享設定，檔案分享應該要明確設定被分享對象的帳號，並避免設定成每個人皆 可存取(Everyone Full Control)。
表 3-1 端點策略建立的第三項，實施內部感染來源處置策略，當資訊威脅不 小心入侵到企業內部時，稍有不慎便容易大量擴散造成可能無法預期的災害。這 些資訊威脅在感染動作進行時，必須找到感染來源也就是一開始就中毒的端點，
使其成為跳板向其它端點攻擊，通常這些被優先感染或攻擊成為感染來源的端點 都有一些共同性的弱點；例如防護功能沒有安裝及更新、系統上的漏洞沒有被修 補、密碼過於簡單和權限安全性設定不夠嚴謹等所導致，針對這些有弱點的端點 可透過網路存取控制機制(Network Access Control, NAC)，如圖 3-12 所示進行隔 離控管動作，在隔離期間開始進行弱點修補，待修補完成後再予以釋放到正常作 業環境之中。
圖 3-12 網路存取控制機制示意圖
表 3-1 端點策略建立的第四項，實施更新部署策略。作業系統與端點防護功 能設計公司為了因應不斷襲擊而來的資訊威脅，而需要更新防護功能的資訊威脅 定義檔和作業系統漏洞修補程式(Hot Fix)，這些更新的檔案雖然經過設計公司的 測試可正常運作，但端點組態及使用的應用程式種類繁多，難保不會發生部署後 產生異常的情形，造成端點運作失常或是誤判資訊威脅的情形，此時可先將企業 內的端點進行群組分類，依時間差方式分別實施延遲派送(Delay Deployment)機 制，此時會有預先被設定的群組之端點優先被派送到更新程式，在指定的時間內
圖 3-13 所示，此更新部署可搭配資訊威脅的處置策略一齊使用，以避免誤判的 情形發生。
圖 3-13 延遲派送機制示意圖
表 3-1 端點策略建立的第五項，訂定端點防護中的通用(Common)管理策略。
本研究提出二個建議；第一個建議是排程進行端點全系統掃描，藉以找出潛藏在 端點未能被即時防護偵測到的資訊威脅，例如將掃描時間定在中午 12 點到 1 點 的休息時間，避免在辦公時間進行影響使用者作業。第二建議是針對端點防護功 能設置安全密碼，避免防護功能在未經授權情形下遭受卸載或反安裝，使端點失 去防護能力。
依照本小節的規劃依序從端點需求管理、預算管理、服務組合生命週期管理 及策略建立四個管理進行規劃，或者也可挑選所需的方法來使用，配合上企業資 訊人員本身的專業素養可使端點擁有較佳且可靠的防護力。
3.2 端點防護的設計管理
本小節為端點防護中的服務設計，共分七個管理層面分別為確保資訊部門服 務品質與能量的容量管理、基於投入人力及預算考量下規劃滿足防護需求的可用 性管理、與使用者協商服務水準流程確保動作能確實實行的服務水準管理、資訊 部門提供給使用者線上端點防護相關資訊的服務目錄、提供端點防護軟硬體保護 的資訊安全管理、確保端點防護的災難回復措施降低對使用者影響的服務持續管 理、及依照企業需求評選軟硬體廠商的供應商管理，如圖 3-14 所示。
( )
依感染來源的不同 應變防護措施
(可用性管理)
協商端點防護 的服務水準 (服務水準管理)
提供給使用者 端點防護相關資訊
(服務目錄) 確認端點防護相關
軟硬體之安全性 (資訊安全管理) 確認端點防護相關軟
硬體設備能持續運作 (服務持續管理)
統合所有需求內容 選擇合適的供應商
(供應商管理)
圖 3-14 端點防護的設計管理流程
端點防護的服務設計管理定義，對照 ITIL 管理架構對應出實際的做法，共 有七個實務運作規劃，如表 3-2 所示。
.
