資安防護不僅是防火牆與防毒軟體，駭客往往繞過重兵把守的正門，從側門、後門、甚至屋頂入侵。本文揭露七大易被忽視的攻擊向量：密碼管理失誤、情報偵蒐 (作功課)、社交工程、實體滲透、第三方供應鏈、內部威脅、影子 IT，並提供企業級纵深防禦策略。
一、密碼管理的系統性失效
五大高風險行為
- 通用密碼： 系統登入、應用程式、資料庫、VPN 使用相同密碼，一洩全洩。
- 明文便利貼： 密碼貼螢幕邊框、桌面玻璃下、鍵盤抽屜，物理存取即竊取。
- 不安全傳輸： FTP/HTTP/未加密 Email/即時通訊傳送帳密，網路嗅探器輕易攔截。
- 鍵盤記錄/螢幕監控惡意碼： 竊取輸入內容、虛擬鍵盤截圖、剪貼簿監聽。
- 視訊監控側錄： 攝影機捕捉擊鍵軌跡還原密碼 (電影情節實為真實手法)。
防禦對策
- 強制多因子認證 (MFA)：TOTP/硬體金鑰 (YubiKey)/生物辨識。
- 密碼管理器 (Bitwarden/1Password/KeePass) 產生/儲存唯一高熵密碼。
- 全傳輸加密：SSH/SFTP/HTTPS/VPN (WireGuard/OpenVPN)/SMTPS/IMAPS。
- 端點防護 (EDR) 偵測鍵盤記錄/螢幕錄製行為。
- 敏感區域禁止攝影機/手機、鍵盤遮蔽膜、隨機鍵盤佈局虛擬鍵盤。
二、駭客「作功課」：情報偵蒐的冰山一角
駭客花 90% 時間偵蒐，10% 時間攻擊。企業無意洩漏的資訊構建完整攻擊地圖：
八大常見洩漏管道
- 員工通訊錄流出 (外送員/清潔工/面試者輕易取得) → 組織架構/聯絡方式/權責釐清。
- 域名註冊資訊 (WHOIS) 公開真實公司名、地址、技術聯絡人電話/傳真。
- 內部刊物/簡報/年報流出外部 → 專案代號/技術棧/合作廠商/預算範圍。
- 第三方廠商/雲端服務/法律顧問/會計師事務所資料外洩。
- 員工花名冊 (家庭住址/電話/學歷/背景) 遭搜尋引擎索引。
- 實體防護薄弱：尾隨進入、偽裝維修人員、垃圾桶搜尋 (Dumpster Diving)。
- 員工部落格/論壇/社群媒體發洩技術細節、抱怨系統缺陷。
- 離職/不滿員工惡意洩漏內部文件、認證資訊、漏洞細節。
資訊分級與洩漏防護 (DLP) 策略
- 建立資料分級 (機密/內部/公開) 與對應外洩風險評估。
- WHOIS 隱私保護 / 企業郵箱不公開技術聯絡人。
- 內部文件加浮水印/權限控管/列印管制/USB 管制。
- 供應鏈資安審核 (ISO 27001/SOC 2)、簽署 NDA 與資安條款。
- 員工離職程序：即時撤銷權限、遠端抹除公司資料、法律追溯條款。
- 網路行為稽核 (UEBA) 偵測異常大量下載/外傳/列印行為。
三、綜合纵深防禦架構建議
| 防禦層級 | 核心措施 | 對應威脅 |
|---|
| 識別與存取 (IAM) | MFA、零信任網路存取 (ZTNA)、特權存取管理 (PAM)、定期存取權審核 | 密碼竊取、橫向移動、權限提升 |
| 網路分段 | 微分段、DMZ 隔離、關鍵資產專屬 VLAN、東西向流量檢測 (NDR) | 側向滲透、命令控制 (C2) 通訊 |
| 端點防護 (EDR/XDR) | 行為分析、記憶體掃描、防勒索軟體、自動化回應 (SOAR) | 惡意碼、無檔案攻擊、內存駐留 |
| 資料保護 (DLP/加密) | 靜態/傳輸中加密、敏感資料標籤、外洩防護、備份不可變性 (WORM) | 資料外洩、勒索加密、合規違規 |
| 安全運營 (SOC/SIEM) | 日誌集中、威脅情報整合、攻擊鏈關聯分析、紅隊演練、紫隊驗證 | APT、零日漏洞、內部威脅 |
| 實體與人因 | 門禁/訪客管理、資安教育訓練 (釣魚演練)、清晰桌面政策、事故應變流程 | 社交工程、實體滲透、人為疏失 |
結語
資安是系統工程，單點防護必敗。駭客只需找到一個被忽視的縫隙，防禦者必須守住每一個可能的入口。從密碼習慣、資訊洩漏管控、供應鏈審核、內部威脅管理，到纵深防禦架構落地，才能將風險壓縮至可接受範圍。
本文參考自【系統之家】 www.xp85.com
