前言：安全是場沒有終點的馬拉松
近期研讀多篇入侵分析文章，深感網路安全非一次配置終身無憂。沖擊波、震盪波病毒利用未修補漏洞；Serv-U 提權、SQL 注入、零日漏洞層出不窮。漏洞公開前可能已被少數人掌握，系統永遠處於「未知風險」中，因此日常性防護顯得尤為關鍵。
一、基礎防護：乾淨安裝、最小服務、全補丁、強認證
- OS 選擇： 推薦 Windows Server 2003 (當時) / 現代選 Win Server 2022 / Linux LTS，效能與安全機制 (ASLR, DEP, CFG, HVCI, VBS) 大幅增強。
- 最小安裝： 僅安裝業務必要角色/功能。每多一項服務，就多一個攻擊面 (CVE-2021-34527 PrintNightmare 即因列印服務)。
- 補丁零落差： 微軟補丁日 (Patch Tuesday) 當週完成測試部署，關鍵漏洞 (如 Log4Shell, ProxyShell) 24 小時內緩解。
- 殺毒/EDR： 部署新一代端點防護 (Defender for Endpoint, CrowdStrike, SentinelOne)，啟用雲端保護、行為偵測、自動化回應。
- 帳號與權限： 原則：最小權限、最少帳號、最強密碼。管理員帳號 < 3 個，服務帳號用 gMSA/Managed Identity，MFA 全面啟用 (特別是 VPN、雲端主控台)。
- MSSQL 強化： 嚴格依最小權限分配資料庫角色；禁用
xp_cmdshell (最大後門)；啟用透明資料加密 (TDE)、動態資料遮罩。
二、防火牆策略：硬體 + 軟體雙層，預設拒絕
- 硬體防火牆 (FortiGate, Palo Alto, Check Point) 做邊界：IPS、應用控制、SSL 檢測、沙箱、威脅情報封鎖。
- 軟體防火牆 (Windows Defender Firewall w/ AS / ZoneAlarm / TinyWall) 做主機：安全等級設最高，僅開放業務埠口 (80/443/1433/3389 等)，其他全阻擋。
- 輸出連線同樣管制：僅允許 Windows Update、防毒更新、授權管理工具 (SCCM/Intune Agent) 連網；其餘預設阻擋並告警。
- 反向連線木馬 (Reverse Shell) 因此無法建立 C2 通道，大幅增加攻擊者成本。
三、漏洞管理：知己知彼，持續修補
- 建立資產清單 (CMDB) + 授權軟體清單 (SBOM)，知道自己跑什麼版本。
- 訂閱：Microsoft Security Bulletins, CVE/NVD, 國內外 Threat Intel (AlienVault OTX, MITRE ATT&CK, 台駭資安預警)。
- 每日掃描：Nessus/OpenVAS 掃描內網；X-Scan, Nmap NSE, SQLMap, PHP Injection Scanner 針對性檢測 Web 應用。
- 紅隊演練：每季委託專業滲透測試團隊實戰攻擊，驗證防禦有效性。
- 專業機構滲透測試：核心系統 (核心銀行、ERP、醫療資訊) 每年委託第三方公正機構 (如 TÜV, SGS, 台駭認證廠商) 執行滲透測試與程式碼審計。
四、遠端管理：便利與風險的平衡術
- 憑證式驗證： RDP/WinRM/SSH 強制憑證/金鑰登入，禁用密碼認證。
- IP 白名單： 僅允許堡壘機/管理工作站 IP 存取管理埠口 (3389/22/5985/5986)。
- 修改預設埠口： RDP 3389 → 高位埠 (如 33890)，降低自動化掃描噪音。
- 堡壘機/跳板機： 所有運維操作經由堡壘機 (PAM) 代理，全程錄影、指令審計、雙人授權高風險操作。
- 替代方案： Windows Admin Center (HTTPS)、PowerShell Remoting (JEA)、SSH + MFA、Ansible/Terraform GitOps (無需長期開放管理埠)。
五、弱點鏈條：一台失陷，全網淪陷
- 駭客常利用邊緣弱主機 (未修補測試機、舊版印表機韌體、IoT 設備) 做跳板，橫向移動攻擊核心區。
- 微隔離 (Micro-segmentation)： 雲原生 (Calico, Cilium, NSX) 或主機防火牆 (Windows Filtering Platform) 實現工作負載級東西向流量管控。
- 零信任網路存取 (ZTNA)： 每次存取皆驗證身分、裝置健康、上下文風險，無隱性信任區域。
- 日誌關聯分析：SIEM 關聯防火牆、AD、EDR、網流日誌，偵測橫向移動特徵 (Pass-the-Hash, Kerberoasting, SMB 異常連線)。
六、心法總結：攻即是防，防即是攻
作者認同「攻就是防，防就是攻」：不為攻擊而攻擊，而是透過掌握攻擊者戰術技術 (TTPs) 來建構更有效的防禦。
- 不知「克隆管理員帳號」手法，可能已被植入隱藏後門卻渾然不知。
- 熟悉 MITRE ATT&CK 技術矩陣 (T1003 凭证转储, T1055 进程注入, T1021.004 Pass the Hash)，對應部署偵測規則 (Sigma) 與緩解措施。
- 目標：將系統打造至「無漏洞可鑽」，駭客面對高成本、高風險、低回報選擇放棄。
結語
網路安全細節決定成敗：一個未修補的 CVE、一個過度授權的服務帳號、一條未封鎖的管理埠口、一次未審計的異常登入 — 任何疏忽都可能導致功虧一簣。建議建立「每日威脅情報閱讀、每週掃描修補、每月紅藍對抗、每季架構審視」的節奏，讓安全真正融入 DevSecOps 基因，成為業務持續交付的隱形護盾。