資安不是資訊工程師的專利，每個上網的你我都需要建立基本防禦觀念。本文用問答式拆解 10 大核心名詞，從病毒木馬差異到防火牆運作、入侵偵測、封包監聽、後門、SYN 攻擊，建立完整資安知識地圖。
Q1：什麼是網路安全？
定義：保護網路系統的硬體、軟體、資料，免受偶發或惡意原因導致的破壞、竄改、洩露，確保系統連續可靠運行、網路服務不中斷。
三大核心目標 (CIA 三角)：
- 機密性：未授權者無法讀取資料 (加密、存取控制)。
- 完整性：資料未被未授權竄改/刪除 (雜湊、數位簽章、權限)。
- 可用性：授權使用者在需要時能正常存取服務 (備份、冗餘、防禦 DoS)。
Q2：什麼是電腦病毒？
定義：寫入程式中的一組指令/代碼，具備 **破壞功能/資料** + **自我複製傳播** 兩大特徵。寄生於宿主檔案 (exe、doc、啟動區)，需使用者執行宿主才能發作。
分類：開機型、檔案型、巨集病毒、多重型、多型/加殼病毒 (變形逃避掃毒)。
Q3：什麼是木馬？
定義：偽裝成合法程式的 **遠端控制惡意軟體**，**不具備自我複製能力**。分為兩端：
- Client (控制端)：攻擊者操作介面，發送指令。
- Server (伺服端/植入端)：執行於受害主機，開啟後門監聽連線執行指令 (檔案管理、鍵盤記錄、螢幕監控、攝影機啟動、DDoS 代理等)。
植入途徑：釣魚郵件附件、駭客軟體捆綁、瀏覽器漏洞自動下載、USB 自動執行、供應鏈攻擊。
Q4：什麼是防火牆？如何確保安全？
定義：部署在信任網路 (內網) 與非信任網路 (公網) 邊界的軟硬體系統，依據安全策略 **允許/拒絕/監控/記錄** 進出流量。
運作層級：
- 封包過濾 (Layer 3/4)：依 IP、埠號、協定、旗標比對規則 (ACL)。
- 狀態檢測：記錄連線狀態 (SYN、ESTABLISHED、FIN)，只允許合法回應封包進入。
- 應用層閘道 / 深度封包檢測 (Layer 7)：解析 HTTP、DNS、SMTP、TLS SNI 等應用協定內容，阻擋 SQL Injection、XSS、惡意檔案下載、C2 通訊。
- 下一代防火牆 (NGFW)：整合 IPS、防毒、沙箱、威脅情報、身分辨識 (User-ID)、SSL 解密檢測。
部署模式：邊界防火牆、內部區段防火牆、主機防火牆 (Windows Defender Firewall、iptables/nftables、pfSense)。
Q5：什麼是後門？為何存在？
定義：繞過正常驗證/授權機制，隱蔽取得系統存取權的機制。
來源：
- 開發階段除錯/維護方便留下 (未上線前移除)。
- 惡意植入 (供應鏈投毒、Rootkit、Webshell)。
- 預設帳號/密碼未修改、通用憑證。
- 漏洞利用後植入持久化機制 (排程任務、啟動項、服務、WMI 事件訂閱、SSH 金鑰)。
防禦：代碼審計、軟體組成分析 (SCA)、檔案完整性監控 (FIM)、最小權限原則、定期滾動憑證。
Q6：什麼是入侵偵測系統 (IDS/IPS)？
| 類型 | 部署位置 | 檢測方式 | 動作 | 代表 |
|---|
| NIDS (網路型) | 核心交換器鏡像埠 / 旁路 | 特徵碼比對、異常行為分析、機器學習 | 告警、記錄、重設連線 (IPS) | Suricata、Snort、Zeek、Cisco FirePOWER |
| HIDS (主機型) | 伺服器/端點 Agent | 系統呼叫監控、檔案完整性、登入審計、Rootkit 掃描 | 告警、隔離、回滾 | OSSEC/Wazuh、CrowdStrike、SentinelOne、Microsoft Defender for Endpoint |
核心價值：補足防火牆「不知內容」盲點，提供安全稽核、攻擊識別、事件響應能力。
Q7：什麼是封包監測 (Packet Sniffing)？
原理：網卡設為 **混雜模式**，接收非寫給本機 MAC 的所有封包。類比：竊聽電話線。
工具：Wireshark、tcpdump、tshark、NetworkMiner、Kismet (無線)。
可見資訊**：未加密協定 (HTTP、FTP、Telnet、SMTP、POP3、DNS) 的完整內容：帳號密碼、Cookie、Session ID、檔案傳輸、郵件內容、DNS 查詢記錄。
防禦：
- 全站 HTTPS (TLS 1.2/1.3)、HSTS、Certificate Transparency。
- DNS over HTTPS (DoH) / DNS over TLS (DoT)。
- VPN/SSH Tunnel 加密全流量。
- 交換器埠隔離、動態 ARP 檢測 (DAI)、IP Source Guard 防 ARP 欺騙/中間人攻擊。
Q8：什麼是 NIDS？
Network Intrusion Detection System，網路入侵偵測系統。參考 Q6 NIDS 欄位。兩種運行模式：
- 目標主機部署 Agent 監控自身流量 (較接近 HIDS)。
- 獨立感測器監控 Hub/鏡像埠/網路 TAP 聚合流量 (標準 NIDS 架構)。
Q9：什麼是封包監測工具的作用？
允許攻擊者攔截、解析網路傳輸資料。若傳輸未加密，帳密、Token、機密文件一覽無遺。合法用途：網路故障排除、效能分析、協定開發除錯、惡意流量鑑識。
Q10：什麼是 SYN 封包？SYN Flood 攻擊原理
TCP 三向交握：
- Client → Server：SYN** (seq=x)
- Server → Client：SYN-ACK** (seq=y, ack=x+1)
- Client → Server：ACK** (seq=x+1, ack=y+1) → 連線建立
SYN Flood**：攻擊者發送大量**偽造來源 IP 的 SYN 封包**，Server 回應 SYN-ACK 並分配半連線資源 (TCB) 等待最終 ACK。因來源 IP 偽造/不可達，永遠收不到 ACK，半連線佇列滿 → 正常用戶無法建立連線 (DoS)。
防禦**：
- SYN Cookie (核心參數 `net.ipv4.tcp_syncookies=1`)：不分配 TCB，用加密 Cookie 驗證 ACK 合法性。
- 縮短 SYN-ACK 重傳次數/逾時 (`tcp_synack_retries`)。
- 增加半連線佇列上限 (`tcp_max_syn_backlog`)。
- 前端 WAF/防 DDoS 設備清洗 (Anycast 分流、行為基線檢測)。
新手立即可執行的 5 項資安衛生習慣
- **全裝置啟用自動更新** (OS、瀏覽器、Office、驅動、韌體)。
- **唯一強密碼 + 密碼管理器 (Bitwarden/1Password/KeePass) + 雙因子認證 (TOTP/硬體金鑰)**。
- **不點不明連結、不開不明附件、不掃不明 QR Code、不連不明 Wi-Fi**。
- **定期備份重要資料 (3-2-1) 並演練還原**。
- **安裝廣告攔截 (uBlock Origin)、指紋防護、HTTPS-Only Mode、DNS-over-HTTPS**。
資安是場持久戰，從建立正確觀念開始，一步步築起你的數位防線。
copyright ©
萬盛學電腦網 all rights reserved