Chapter 5資通系統集中化管理(節錄)
高等教育深耕計畫資安強化專章的績效指標主項目「確保資通系統管理量能」有兩個次要項目：資通系統集中化管理，資通系統資安管理作業原則集中至學校資訊(安)單位或其他具備資通安全專業能力之團隊統籌辦理，並因應集中化管理需求增聘適當人力；適度降低資通系統數量，汰換整併校內資通系統網站以降低資通系統數量。要加強閒置網站及因應臨時需求建置網站之管控，下架或限制存取。
5.1 基本安全保障
資通系統集中化管理可有效聚焦資安防護範圍，提升安全防護效能，這章就來談談資訊中心通常可以提供的基本安全保障：
1.虛擬主機：資訊中心若已建置虛擬主機(Virtual Machine, VM)服務，比只是主機代管(Co-location)更佳，因為通常會對虛擬主機做快照備份，一旦系統出狀況就很容易從快照還原讓系統快速重啟。
2.網路防火牆：基於防禦緃深的安全考量，除了獨立於虛擬主機外的網路防火牆，資訊中心也可協助建立本機防火牆。
3.恆溫空調：適當的溫度是主機正常運作的重要因素，資訊中心機房設置恆溫空調，為主機提供了最佳的運作環境，大大提高主機穩定性。
4.穩定的電力：資訊中心通常備有不斷電系統及柴油發電機，不論是例行維護或意外事件中斷電力，都可以即時提供充足的備援電力，確保網站服務不受影響。
資訊中心針對虛擬主機至少每天備份快照一次並保留一定天數，當網站遭受意外損壞時(如：誤刪資料、遭加密勒索等)，可還原出另一臺最近版本狀態的虛擬主機，將系統與資料復原。另外，資訊中心還可以協助在系統環境升版更新前對虛擬主機做快照，若作業遇到暫時無法解決的問題，就能快速回復到異動前的正常運作狀態，或是先複製一臺測試用虛擬主機確認升版更新成功，再進行正式主機的更新作業。
資訊中心通常會以多臺實體主機建立虛擬主機的叢集資源池，如果某臺實體主機故障，所承載的虛擬主機可自動在運作正常的實體主機上重新啟動，避免因為單一實體主機硬體故障而造成網站無法服務。系統重新上線時間依虛擬主機所啟用服務的複雜度而定，多半在幾分鐘至幾十分鐘內可完成。所以，在機制正常運作情形下，建立於虛擬主機上的系統復原時間目標(RTO)可縮短為幾十分鐘。
這項功能特色，就是對全校各單位宣導鼓勵租用虛擬主機服務的一大賣點，畢竟各單位建置網站或系統應該不會有備援機制，一旦系統出狀況就會停擺一陣子，但租用虛擬主機就可以安心多了。
依據《資通安全責任等級分級辦法》[1]應辦事項規定，網路防火牆及防毒軟體是一定要啟用的資通安全防護措施，而資訊中心通常會架設網路防火牆保護虛擬主機，並購買合法授權的防毒軟體提供各單位系統安裝，可達成法遵基本要求。
適當的溫度是維持主機正常運作的重要因素，資訊中心機房一定有做環境溫度控制，甚至採用冷熱通道分離的節能設計，配合多臺冷氣機交替運作，為主機提供了最佳的運作環境，也大大提高了主機的穩定性。另外資訊中心的實體伺服器主機都在不斷電系統的保護下，可防止供電瞬間的電源突波對機器造成損害，通常也另外設置柴油發電機在市電中斷時立即透過ATS 系啟動發電，以提供更長時間的穩定備援電力來源。
5.2 系統本身安全？
雖然資訊中心提供基本安全保障，但別讓各單位誤認為就不再有資安問題，因為安全與否還取決於網站運作的三個層面。
第一是接受網路HTTP(S)請求並回應的網站伺服程式，如：Apache、Nginx、IIS、Node.js 等。
第二是網站設計採用的程式語言、第三方套件或架站套裝軟體，如：HTML、PHP、ASP、jQuery、XML、Javascript、Node.js、Wordpress、Joomla、Drupal 等。
第三是網站後臺的資料庫系統，如：MySql、MariaDB、MS SQL、PostgreSQL 等。
以上三者在網站提供服務時是緊密相關的，可能分別存在不同的安全漏洞。網站伺服程式及資料庫系統可透過主機弱點掃描工具(簡稱主機弱掃)，判讀軟體版本並提出修補建議；自行開發或是採用第三方架站軟體所開發的網站，則要透過網站應用程式弱點掃描工具或是源碼檢測工具來發現漏洞。
網站所在的主機環境，還包含了作業系統、提供網站服務的相關套件以及開放的連線方式。
常見的作業系統可分成Windows 及Linux 兩大類。微軟的Windows Server 則都是要付費購買的作業系統。Linux 又可分為免費的Community版本以及需要付費的商業版本，這要看各個廠商所使用的版本，一般常見的有 Ubuntu、CentOS、Debian、Redhat、SUSE、Rocky 等。主機安裝的作業系統版本須注意是否仍在官方的維護清單，如果官方已經停止更新支援，就不建議繼續使用。
主機上的套件提供了對外開放的連線方式以及網站運作的必要軟體，如提供大眾服務的連接埠HTTP/HTTPS、遠端維護管理的SSH、遠端桌面(RDP)、PHP 程式、資料庫系統等，這些系統環境因子如果存在安全漏洞當然會影響網站運作。
不論是實體機或是虛擬機都需要安裝作業系統，網站也必須透過前面提過的網站伺服器及資料庫等套件才能正常運作。要發現作業系統或是網站的漏洞，就要定期進行主機弱掃。
由於主機弱掃所檢查出的系統漏洞都是已經公開的資訊，駭客或有心人士會優先嘗試透過這些漏洞來攻擊系統，進行入侵、破壞、竊取資料等行為，對於系統運作及資料安全造成嚴重的影響。如果發現系統有關鍵或是高風險漏洞，一定要找系統開發者或委外廠商負責解決，降低風險並預防系統遭駭入的可能性。
高等教育深耕計畫資安強化專章的績效指標主項目「確保資通系統管理量能」有兩個次要項目：資通系統集中化管理，資通系統資安管理作業原則集中至學校資訊(安)單位或其他具備資通安全專業能力之團隊統籌辦理，並因應集中化管理需求增聘適當人力；適度降低資通系統數量，汰換整併校內資通系統網站以降低資通系統數量。要加強閒置網站及因應臨時需求建置網站之管控，下架或限制存取。
5.1 基本安全保障
資通系統集中化管理可有效聚焦資安防護範圍，提升安全防護效能，這章就來談談資訊中心通常可以提供的基本安全保障：
1.虛擬主機：資訊中心若已建置虛擬主機(Virtual Machine, VM)服務，比只是主機代管(Co-location)更佳，因為通常會對虛擬主機做快照備份，一旦系統出狀況就很容易從快照還原讓系統快速重啟。
2.網路防火牆：基於防禦緃深的安全考量，除了獨立於虛擬主機外的網路防火牆，資訊中心也可協助建立本機防火牆。
3.恆溫空調：適當的溫度是主機正常運作的重要因素，資訊中心機房設置恆溫空調，為主機提供了最佳的運作環境，大大提高主機穩定性。
4.穩定的電力：資訊中心通常備有不斷電系統及柴油發電機，不論是例行維護或意外事件中斷電力，都可以即時提供充足的備援電力，確保網站服務不受影響。
資訊中心針對虛擬主機至少每天備份快照一次並保留一定天數，當網站遭受意外損壞時(如：誤刪資料、遭加密勒索等)，可還原出另一臺最近版本狀態的虛擬主機，將系統與資料復原。另外，資訊中心還可以協助在系統環境升版更新前對虛擬主機做快照，若作業遇到暫時無法解決的問題，就能快速回復到異動前的正常運作狀態，或是先複製一臺測試用虛擬主機確認升版更新成功，再進行正式主機的更新作業。
資訊中心通常會以多臺實體主機建立虛擬主機的叢集資源池，如果某臺實體主機故障，所承載的虛擬主機可自動在運作正常的實體主機上重新啟動，避免因為單一實體主機硬體故障而造成網站無法服務。系統重新上線時間依虛擬主機所啟用服務的複雜度而定，多半在幾分鐘至幾十分鐘內可完成。所以，在機制正常運作情形下，建立於虛擬主機上的系統復原時間目標(RTO)可縮短為幾十分鐘。
這項功能特色，就是對全校各單位宣導鼓勵租用虛擬主機服務的一大賣點，畢竟各單位建置網站或系統應該不會有備援機制，一旦系統出狀況就會停擺一陣子，但租用虛擬主機就可以安心多了。
依據《資通安全責任等級分級辦法》[1]應辦事項規定，網路防火牆及防毒軟體是一定要啟用的資通安全防護措施，而資訊中心通常會架設網路防火牆保護虛擬主機，並購買合法授權的防毒軟體提供各單位系統安裝，可達成法遵基本要求。
適當的溫度是維持主機正常運作的重要因素，資訊中心機房一定有做環境溫度控制，甚至採用冷熱通道分離的節能設計，配合多臺冷氣機交替運作，為主機提供了最佳的運作環境，也大大提高了主機的穩定性。另外資訊中心的實體伺服器主機都在不斷電系統的保護下，可防止供電瞬間的電源突波對機器造成損害，通常也另外設置柴油發電機在市電中斷時立即透過ATS 系啟動發電，以提供更長時間的穩定備援電力來源。
5.2 系統本身安全？
雖然資訊中心提供基本安全保障，但別讓各單位誤認為就不再有資安問題，因為安全與否還取決於網站運作的三個層面。
第一是接受網路HTTP(S)請求並回應的網站伺服程式，如：Apache、Nginx、IIS、Node.js 等。
第二是網站設計採用的程式語言、第三方套件或架站套裝軟體，如：HTML、PHP、ASP、jQuery、XML、Javascript、Node.js、Wordpress、Joomla、Drupal 等。
第三是網站後臺的資料庫系統，如：MySql、MariaDB、MS SQL、PostgreSQL 等。
以上三者在網站提供服務時是緊密相關的，可能分別存在不同的安全漏洞。網站伺服程式及資料庫系統可透過主機弱點掃描工具(簡稱主機弱掃)，判讀軟體版本並提出修補建議；自行開發或是採用第三方架站軟體所開發的網站，則要透過網站應用程式弱點掃描工具或是源碼檢測工具來發現漏洞。
網站所在的主機環境，還包含了作業系統、提供網站服務的相關套件以及開放的連線方式。
常見的作業系統可分成Windows 及Linux 兩大類。微軟的Windows Server 則都是要付費購買的作業系統。Linux 又可分為免費的Community版本以及需要付費的商業版本，這要看各個廠商所使用的版本，一般常見的有 Ubuntu、CentOS、Debian、Redhat、SUSE、Rocky 等。主機安裝的作業系統版本須注意是否仍在官方的維護清單，如果官方已經停止更新支援，就不建議繼續使用。
主機上的套件提供了對外開放的連線方式以及網站運作的必要軟體，如提供大眾服務的連接埠HTTP/HTTPS、遠端維護管理的SSH、遠端桌面(RDP)、PHP 程式、資料庫系統等，這些系統環境因子如果存在安全漏洞當然會影響網站運作。
不論是實體機或是虛擬機都需要安裝作業系統，網站也必須透過前面提過的網站伺服器及資料庫等套件才能正常運作。要發現作業系統或是網站的漏洞，就要定期進行主機弱掃。
由於主機弱掃所檢查出的系統漏洞都是已經公開的資訊，駭客或有心人士會優先嘗試透過這些漏洞來攻擊系統，進行入侵、破壞、竊取資料等行為，對於系統運作及資料安全造成嚴重的影響。如果發現系統有關鍵或是高風險漏洞，一定要找系統開發者或委外廠商負責解決，降低風險並預防系統遭駭入的可能性。
