國立大學淪為駭客打手 計中無法管

警政署資訊室10月份提供國際協助，解決從臺灣某國立大學研究計畫電腦中，針對重要國家軍事基地持續發出的網路攻擊封包。警政署資訊室主任李相臣表示，在尋線查證後發現，該臺計畫電腦因為缺乏管理，成為駭客跳板主機；但許多國立大學計算機與網路資源中心主任指出，這些系所或研究電腦都不在計中管轄範圍內，除了加強宣導，僅能從網路上各種監控察覺異狀、進而阻擋。

10月中旬，臺灣某國立大學的研究計畫用電腦，因為管理不慎，導致該臺電腦成為羅馬尼亞駭客綁架的跳板主機，持續對國外軍事基地發動攻擊。李相臣在接到請求協助解決的國際電話後，為了避免釀成國際紛爭，警政署資訊室花了1周時間，找出來龍去脈，不僅協助解決電腦成為駭客跳板主機的問題，也將此次整個駭客攻擊路徑找出來，交給受到攻擊國家的相關負責人員。

李相臣指出，相較於中國或是俄羅斯等國家，許多國家或國際組織都將臺灣視為友好國家，並不封鎖網路位址（IP）。但是，網路攻擊事件無國界，此次來自臺灣某國立大學中的某一臺計畫電腦因為疏於管理，讓羅馬尼亞的駭客組織有可趁之機，挾持為跳板主機，並透過該臺跳板主機，持續對某些重要國家的軍事基地發動網路攻擊。李相臣表示。如果這次網路攻擊事件沒能即時解決，後果不堪設想。「甚至會讓這些遭到臺灣跳板主機攻擊的國家，大舉封鎖來自臺灣的IP，」他說，「這個案件將從單一的網路攻擊事件，演變成國際案件。」

國立大學擁有許多電腦與網路資源，但以各大學的計算機與網路中心所能管轄的範圍與權限，僅限於行政電腦和電腦教室，對於系所或專案研究所使用的電腦，在學術研究自由的大旗下，幾乎是無力管控。李相臣表示。「這種因為電腦疏於管理，導致網路攻擊的事件若發生在美國，相關的學校都會受到處分。」所以美國大學對於學校內的電腦管理，相當謹慎。

身為南部重要網路節點的國立中山大學，該校計算機與網路中心主任官大智表示，中山大學發生對外發動網路攻擊事件機率並不高，但他承認：「在研究與教學自主的前提下，許多系所或是研究計畫所使用的電腦，計算機中心僅能負起宣導正確使用電腦方法的責任，」他說，若要進一步的管控，計中則無能為力。

也因為對系所或計畫電腦管控能力較差，最常見的方式就是透過網路流量監控。國立交通大學計算機與網路中心主任林盈達指出，不論是系所或是計畫使用的電腦，的確會因為缺乏專人管理造成管理空窗期，讓用戶端（Client）電腦中毒，成為傀儡電腦（Bot）或者變成跳板主機。林盈達表示，以往各種資安防護較為偏重伺服器端，但隨著用戶端電腦防護缺失比例增多，「網路的監控也從伺服器端的監控，慢慢增加對用戶端的流量監控。」他說。

國立臺灣大學對於系所和計畫的電腦，同樣缺乏全權掌控的能力，只能從網路流量，監控校園內所有電腦是否有異常。臺灣大學計算機中心網路組程式設計師李美雯表示，臺大使用Netflow軟體統計流量與Session數是否異常，近期也進一步分析網路封包狀態，是否為單向、一直往外連線的可疑封包，透過與使用者的確認，遏止閒置電腦被駭客綁架，「一旦確認異常或通報異常，第一時間立即封鎖IP。」她說。

由於臺大的網路流量在每天的中午和半夜離峰時間，與白天尖峰時間有極大落差。李美雯表示，臺大目前是使用特徵碼辨識的IPS（入侵偵測防禦系統）阻擋惡意封包從外而內或從內而外的攻擊；也從流量分析，希望找出匿名封包的行為模式，期能做到預先從流量監控發覺異常。

李美雯承認，「除非從高層下令，為了確保資訊安全，每一臺電腦都必須安裝代理程式（agent）做集中管理，」不論是為了落實端點防護或者是做到網路存取控管（NAC），否則，她說：「目前臺大只能透過IP Mac Binding和ARP Spoofing方式，鎖定臺大可管控的電腦IP不被盜用，」目前並沒有其他更好的監控方式。文⊙黃彥棻