行業新聞與部落格

英國領先的網路安全機構敦促裝置製造商幫助事件響應團隊，使他們更容易在系統遭到入侵後收集證據。

國家網路安全中心 (NCSC) 網路和基礎設施技術總監 Chris A 在 7 月 29 日的一篇部落格文章中解釋說，防火牆、 VPN 閘道器和其他網路裝置正日益成為攻擊者的目標。 

“當事故發生時，組織需要可靠的方法來了解發生了什麼，並評估裝置是否仍然可信。這就是取證可觀測性如此重要的原因，”他說。

“它使防禦者能夠利用產品內建的支援功能來調查入侵情況，而不是像現在這樣仍然經常依賴逆向工程或專門的漏洞研究。”

根據英國國家網路安全中心 (NCSC) 的定義，取證可觀測性是指提供遙測資料、日誌記錄、配置狀態資訊，以及從記憶體和靜態資料中收集取證資料的能力。它還要求對裝置上執行的軟體保持透明，可以透過版本資訊或軟體物料清單 (SBOM) 來實現。

然而，許多裝置製造商在這方面做得還不夠好，儘管“一些小的設計決策可以顯著減少對事件進行分類和調查所需的時間”，克里斯·A 繼續說道。

“調查受損裝置不應需要發現或利用產品本身的漏洞。相反，製造商應提供支援機制，用於收集調查事件、評估影響和恢復受影響系統信任所需的證據。”

破除三個關於可觀測性的迷思

克里斯·A 解釋說，可觀測性意味著賦予防禦人員在事件發生後妥善履行職責的能力。但他補充說，目前人們對這一主題仍存在一些誤解，這可能會阻礙製造商進行必要的設計改進。

這些都是：

• 可觀測性反而會助長攻擊者：事實上，暴露遙測資料並不會帶來更多攻擊機會。英國國家網路安全中心（NCSC）表示，精心設計的功能，例如結構化日誌記錄、經過身份驗證的收集機制和清晰定義的取證介面，將增強而非削弱安全性。
• 該機構聲稱，客戶會對此持負面態度：清晰的遙測和取證能力實際上可以透過提高可見性來建立信任。
• 太難了：儘管需要“精心設計”，但法證可觀測性是完全可以實現的，尤其是在設計過程早期就優先考慮的情況下，NCSC 表示。

Chris A 鼓勵供應商遵循 NCSC 於 2025 年 2 月釋出的關於在產品中構建取證可觀測性的指導。他還敦促 IT 採購人員敦促供應商提供此類功能。

與此同時，NCSC 正在與全球合作伙伴共同開發網路裝置及類似裝置取證可觀測性的參考架構。

一旦最終確定，這將有助於製造商提供“安全、可靠的取證訪問”，而不會降低其產品的安全性。