入侵動機決定攻擊手法與處置策略
攻擊者動機不一：炫技、竊密、破壞、勒索。動機可轉化（如入侵後發現高價值數據）。不同類型入侵，處置流程、停機容忍度、取證深度截然不同。
類型一：炫技/實驗漏洞——修改網頁內容或植入後門
子類型 A：修改服務內容（網頁掛馬、首頁竄改）
特徵：可見痕跡明顯，通常未深度滲透系統核心。
處置（可不停機）：
- 建立完整系統快照或僅備份被竄改檔案（取證）
- 從乾淨備份還原網頁檔案
netstat -an 檢查異常連線 → 立即斷開- 檢視進程、服務、系統/應用日誌，排查殘留操作
- 弱點掃描/日誌分析定位入侵向量 → 修補漏洞或臨時防護（WAF 規則、防火牆封鎖）
- 更新防火牆/IDS/IPS/防毒特徵庫
- 全面弱點掃描驗證修補有效性
- 事後 1-2 週指派專人實時監控
子類型 B：植入後門控制肉雞
特徵：隱藏進程、Rootkit、竄改時間戳、清理日誌、註冊啟動項/服務。
處置（通常需停機）：
- 確認入侵時間、影響範圍、嚴重度 → 建立快照保存證據
- 網路/埠監控工具斷開所有非法連線，防火牆封鎖相關 IP/埠
- 任務管理器結束可疑進程；隱藏進程用
IceSword 等工具發現並終止
- 若無法終止 → 進安全模式操作；仍失效 → 備份業務數據 → 系統還原至已知乾淨時間點 → 還原業務數據
- 檢查服務管理單元（services.msc）禁用非法服務
- 記錄所有惡意進程/服務名稱 → 搜尋註冊表、磁碟分區、啟動資料夾 → 徹底刪除相關檔案
- 日誌分析入侵路徑與操作 → 修補漏洞或部署臨時防護
- 全面弱點掃描 + 手動檢查：新增帳號、防火牆規則竄改、IDS 靈敏度降低、安全服務被禁用
類型二：竊取機密數據
特徵：隱蔽性極高，長期潛伏（APT），大量數據外傳。
處置重點：
- 立即隔離網路（物理斷網或 VLAN 隔離），防止持續外傳
- 聘請專業取證團隊，保留證據鏈（磁碟鏡像、記憶體映像、網路流量包）
- 全盤排查數據分類分級，評估洩露範圍與法規影響（GDPR、個資法等）
- 啟動危機公關與通報流程
- 根因分析通常需數週，同步進行系統重建（而非修補）
類型三：破壞/勒索（Ransomware、Wiper）
特徵：加密/刪除檔案、MBR 損毀、勒索贖金。
處置重點：
- 立即斷網阻止橫向擴散
- 識別病毒家族（ID Ransomware、No More Ransom），查詢是否有解密工具
- 離線備份為王：確認備份完整性、離線狀態、最近備份時間點
- 重灌系統 → 還原備份 → 修補入侵漏洞 → 上線驗證
- 無備份時：評估支付贖金風險（不保證解密、鼓勵犯罪、法律風險）
事後強化統一動作（適用所有類型）
- 修改所有系統/資料庫/應用/網路設備帳號密碼
- 審核防火牆規則、最小權限原則
- 更新防毒/IDS/IPS 特徵庫
- 重設檔案/目錄/資料庫 ACL
- 完整系統備份並離線存放，與舊備份隔離
關鍵提醒：Rootkit 對抗
高階攻擊者會竄改檔案 MAC 時間（timestomp）、替換系統二進制（ps、ls、netstat）。檢測必須使用 RootkitRevealer、rkhunter、chkrootkit 或從已知乾淨環境（Live CD）掛載磁碟離線掃描。
