企業伺服器遭入侵後的緊急補救與分類處理實務

駭客入侵系統總有主導目的：炫技、竊取機密、破壞業務流程。入侵過程中，目的可能因發現機密資料而轉向獲利。不同目的導致攻擊手法、影響範圍、損失程度各異，處理時必須對症下藥，依入侵類型採取差異化策略，才能精準有效。

一、以炫技為目的的入侵恢復

此類駭客常在系統留下證據 (改首頁、植入後門變肉雞、於論壇公開成果)。細分為：控制系統型 與 修改服務內容型。

修改服務內容型：無需停機即可恢復

1. 建立完整系統快照或僅保存被修改部分，留存事後分析與證據
2. 立即從備份還原被修改網頁
3. 用網路監控軟體或 netstat -an 檢查異常連線並斷開；查詢程序、服務、日誌分析駭客其他操作
4. 分析系統日誌或用弱點掃描工具釐清入侵漏洞；打補丁或臨時防範措施封堵；若為社交工程則針對當事人教育訓練
5. 修補漏洞後加強防火牆規則、更新 IDS/IPS 與防毒特徵庫
6. 用最新特徵庫掃描全系統弱點；後續安排專人即時監控一段時間，確信無再次遭攻擊

控制系統型 (植入後門變肉雞)：須深度清查

駭客為長期控制會植入後門並隱藏蹤跡。需查程序、網路連線、連接埠狀態確認是否淪陷。確認後：

1. 分析入侵時間、影響範圍、嚴重度；建立快照保存現狀
2. 斷開所有非法連線，防火牆封鎖對應 IP/連接埠
3. 工作管理員查非法程序/服務並終止；隱藏程序用 IceSword 等工具偵測並終止核心模組
4. 若無法終止，暫停業務進入安全模式操作；安全模式仍無效則備份資料、還原系統至安全時間點、再還原資料 (將造成業務中斷，須極速處理)；檢查並停用非法註冊服務
5. 記錄所有發現的程序/服務名稱，搜尋登錄檔與系統分區刪除相關資料；清除「啟動」選單項目
6. 分析日誌釐清入侵路徑與操作；更正所有竄改；打漏洞補丁或臨時防火牆封鎖；持續追蹤補丁釋出
7. 全面弱點掃描確認無殘留弱點；手動檢查新增帳戶、防火牆規則、IDS/IPS 靈敏度、被停用的服務與安全軟體

二、進一步鞏固恢復成果

1. 修改系統管理員與其他帳戶名稱/密碼
2. 修改資料庫與應用程式管理員/用戶帳密
3. 檢查防火牆規則
4. 更新防毒軟體病毒庫與 IDS/IPS 攻擊特徵庫
5. 重設用戶權限
6. 重設檔案存取控制規則
7. 重設資料庫存取控制規則
8. 修改所有網路操作相關帳戶名稱/密碼

完成上述任務後，對系統完整備份，新舊備份分開保存。