資安功夫紮實 遊戲橘子守護玩家夠周到

【專訪：遊戲橘子企業資訊安全處經理 黃韋強】
創下單月營收超過一億日圓(約3800萬新台幣)，風靡日本的線上遊戲《星辰》，就是由台灣遊戲軟體大廠遊戲橘子自製開發，歷經15年，如同《星辰》的守護者手札所說：「為了過去的歷史......未來的榮耀，我在此寫下一切，見證我即將展開的冒險。」這顆橘子已經站穩台灣、日本，準備打入國際市場，成為全球NO.1品牌。

拚全球品牌　自行研發創佳績

翻開過去歷史，單機遊戲「便利商店」讓遊戲橘子一砲而紅，2000年更引進韓國線上遊戲「天堂」，幾乎成為電玩界的「全民運動」。在不斷淬煉下，遊戲橘子開始拓展事業版圖，分別在日本、中國、美國、歐洲等地成立子公司，自行開發的「椰子罐頭」、「星辰」、「封魔獵人」頻傳捷報，也宣示遊戲橘子投入研發的決心。

一分鐘看問題

專案挑戰：

• 原先有做黑箱的滲透測試，但發現覆蓋率不足
• 遊戲產品重心，由代理逐漸轉向到自製產品
  • 自製產品上線前的自我檢核
    • 內部尚無建置資安程式碼檢測機制
    • 駭客利用程式弱點盜取、修改遊戲道具資料
    • Web 版遊戲，有安全漏洞(injection, XSS)的風險
    • C++ 遊戲主程式，常因  Buffer Overflow  當機
• 因自製遊戲，外包比重越來越多，安全性品質管控不易
• 希望導入Code Review 的自動化工具

導入產品：

• 導入單位:  企業資訊安全部
  • 白箱：Fortify SCA
  • 黑箱：HP WebInspect
• 主要用途: 協助確保內部開發的軟體沒有安全漏洞
• 軟體開發: 目前大部分委外開發，少部分自行開發，但自行開發比例逐漸提高
• 程式語言:   .Net、Java、MS VC++、Linux C++

導入效益：

• 自動化地程式碼安全弱點審核(Code Review) 節省大量時間
• 有效降低了C++ 主程式因Buffer Overflow 當機的頻率
• 提供程式碼安全的驗證數據與報表，為內部開發團隊或委外廠商驗收的品質把關
• 直接指出問題程式碼列並提供問題解釋說明及修改建議
• 提供程式碼安全知識與修復技能的學習平台
• 程式碼安全漏洞的趨勢分析圖，讓資安人員管理更簡單

「一個遊戲產品從構思催化、研發、封測、上線及維護，背後有許多外人看不到的辛苦艱辛。」遊戲橘子企業資訊安全處經理黃韋強說，從最初構思遊戲方向、劇情角色、美術設計等等需求發想與設計階段便已相當不易，接著正式進入遊戲開發，歷經不斷的測試修改，最後才能拍板定案跟玩家見面。

做遊戲第一守則：不出錯

而安全維護更是重兵壓鎮，「做社群遊戲最重要的是不要出錯。」黃韋強苦笑地說。玩家總是敏銳的，一點點疏失漏洞，網絡馬上會啟動通報功能，一傳十、十傳百，客訴信件隨即如雪片般飛來！

如同攻防戰一般，資訊安全處就像是遊戲橘子的錦衣護衛，無時無刻都在確保線上遊戲世界的「太平天下」，稍有風吹草動，敏感神經馬上就被牽動，6小時內需向CIO(資訊長)通報即時狀況，24小時之內需找出原因，接下來就要如同大搜查線般的劇情，進行360度地毯式的搜索，直到問題解決為止。

最佳守門員　資安部門全面盯

「虛擬世界裡，有太多意想不到的驚嘆號！當這行的守門員，心臟要很強很大顆。」黃韋強說，許多線上遊戲玩家也是軟體高手，會寫程式來「測試」遊戲，例如透過內／外掛程式，藉著遊戲漏洞進行洗寶物盜道具或讓自己戰鬥力無限上綱，「這些事情在全世界線上遊戲世界幾乎天天上演，當遊戲原始碼當中存在漏洞，這些駭客就無孔不入。」

導入Fortify　珍惜人力揮別人工檢測

在國內遊戲界，遊戲橘子的資安品質是數一數二的。「導入Fortify SCA程式碼安全檢測工具及Fortify 360 Server 應用系統安全檢測數位儀表管理中心的動機，主要是考量研發自有產品比重越來越高與對遊戲品質的要求。」黃韋強強調，程式開發人員不單要開發好的遊戲，同時還要考量開發「安全的」遊戲，這不但挑戰工程師在程式邏輯思維與程式開發習慣的差異，同時亦面臨專案時程壓力、人力吃緊等現實因素，修改問題可大可小又麻煩，的確需要一套自動化程式碼安全檢測機制作為輔助工具，以滿足資訊安全與品質管控的需求。

圖說：Fortify系統架構完整，兼顧內部及外包管理，讓資安更縝密。

高準確度人性化使用　Fortify SCA受好評

一套成熟的原始碼檢測工具能強化應用系統的安全與品質，同時大幅提昇檢測制度的效率。「測試一跑下去，Fortify SCA不但準確度高，且提供多國語言版，操作介面更人性化。」黃韋強表示。選商評估過程中，其他原碼測檢測工具會有誤判、漏報的問題，相較之下Fortify透過嚴重等級分類、問題流程追蹤與Call Graph循序圖等功能，真正的將問題的入口處、受汙染程式碼一直到問題引爆點完整呈現，「問題可能是因為A使用了B而導致C的問題出現，受測的其他檢測工具可能只將C報出，但Fortify卻可一併將A跟B詳實呈現，省去工程師以及資安人員找尋問題的時間。」他補充。

圖說：遊戲橘子透過Fortify管理外包遊戲更得心應手，並減輕同仁工作負擔。

「在外包管理上，Fortify發揮地相當好！」黃韋強特別強調。遊戲橘子有許多工作透過委外開發，在發包單位與委外廠商尚未具備充足資安意識的狀況下，程式碼的安全性對於資訊安全處而言的確不易掌控。建置Fortify SCA原始碼檢測機制後，可直接對外包程式碼進行「全身體檢」，除了檢核是否有漏洞外，亦可確認廠商所交付的程式碼或元件是否齊全。

Fortify 360  檢測外包品質一目瞭然

產出報告後甚至還可透過Fortify 360server 數位儀表管理中心將歷次檢測結果保存後，藉由數位儀表板呈現應用程式的安全弱點趨勢、審查涵蓋度與弱點數據，達到應用程式安全與品質稽核以及資安KPI管理，讓管理者更明確簡易的掌握整體組織的資安現況。同時360server亦提供軟體開發、安全稽核人員線上協同程式碼審查，並針對程式碼檢測結果進行關連交互分析與記錄審查意見。「這省下很多麻煩，我們發現問題時，就可以直接把需要修改的程式、問題說明及修復建議完全提供給對方，再透過Fortify 360 Server更可以達到評估委外廠商的品質。」黃韋強說。

圖說：清晰圖表化呈現，即時掌控專案的資訊安全現況

遊戲橘子對於整體軟體安全與品質的提升不遺餘力，除了導入靜態原始碼檢測工具Fortify SCA以外，亦已採用動態黑箱檢測工具WebInspect，未來將有機會進一步評估檢測機制的整合技術。Fortify 分析技術與時俱進，在全新的Security Scope模組當中，可將Fortify SCA直指問題根源程式碼的優勢與WebInspect 動態檢測結果做主動關聯，此技術將大幅優化檢測結果的修復優先序，同時整合動態與靜態結果，將帶給使用者更精確便利的測試機制。

日本經營之神松下幸之助曾說過：「對產品品質來說，不是100分就是分」，對於力拚國際市場的遊戲橘子來說，厚植自行研發產品實力，提供玩家一級資安防護，達到100分的遊戲品質，是成為全球數位娛樂王國的第一步。