核心觀點
一旦系統被攻陷，攻擊者已建立持久化、竊取憑證、植入多重後門、篡改日誌。單純修補漏洞、移除已知後門、殺毒、重裝系統、恢復備份均無法保證系統乾淨。唯一可靠策略：摧毀重建 (Nuke & Pave)。
九大錯誤認知與真相
- 打補丁 ≠ 清理入侵：補丁僅修復漏洞，攻擊者已建立的後門、帳號、排程任務、WMI 訂閱、註冊表 Run 鍵、服務、啟動項、DLL 劫持、COM 劫持、計劃任務、瀏覽器擴充、SSH 金鑰、Token 竊取等持久化手段不受影響。
- 移除已知後門 ≠ 淨化系統：未發現的後門 (Rootkit、Bootkit、固件級、硬體植入) 可能更多。系統完整性已不可信。
- 漏洞清除工具 ≠ 系統可信：工具僅清理特定惡意代碼 (如衝擊波蠕蟲)，無法保證無其他利用同一漏洞植入的載荷，也無法修復已被竊取的憑證。
- 病毒掃描 ≠ 系統安全：受損核心可隱藏檔案/進程/註冊表/網路連線 (Rootkit 技術)，掃描器依賴的 API 可能被 Hook 回傳虛假資訊。
- 覆蓋安裝作業系統 ≠ 乾淨：攻擊者可能感染 BIOS/UEFI 固件、MBR/VBR、硬碟固件、周邊設備固件 (Thunderstrike、BadUSB)、虛擬化層 (Hypervisor Rootkit)。覆蓋安裝不觸及這些層級。
- 信任受損系統數據 ≠ 安全：配置檔、憑證、金鑰、資料庫、應用程式資料可能已被竄改植入邏輯後門 (如 WebShell、定時任務、序列化物件)。遷移數據即遷移風險。
- 信任事件日誌 ≠ 真相：攻擊者可刪除/修改/停止日誌服務、注入偽造事件、修改時間戳。日誌可能全為攻擊者精心構造的假象。
- 最新備份 ≠ 乾淨：若入侵發生時間早於備份，備份已包含後門。無法確定初次入侵時間 (日誌不可信)，即無法確定哪個備份乾淨。
- 銀行/股票交易風險：若系統曾被植入「網銀大盜」類間諜軟體，憑證、Cookie、表單資料、鍵盤記錄已外洩，單純重裝無法挽回損失，需全面變更金融憑證、啟用硬體令牌、通知金融機構凍結異常交易。
正確應急響應流程 (NIST SP 800-61)
- 準備：建立 CSIRT、預案、取證工具包、乾淨映像庫、離線備份、法律/公關流程。
- 偵測與分析：多源關聯 (EDR、網路流量、日誌、威脅情報)、確認範圍、影響評估、證據保全 (記憶體鏡像、磁碟鏡像、日誌封存、鏈式保管)。
- 遏制、根除、恢復：
- 短期遏制：網路隔離、帳號停用、封鎖 C2 IP。
- 根除：銷毀受損主機 (Nuke)、重新佈署乾淨映像 (Pave)、從已知乾淨源碼/構建產物部署、輪換所有憑證 (含機器證書、服務帳號、API Key)。
- 恢復：驗證業務功能、監控異常、漸進式上線。
- 事後活動：根因分析 (RCA)、改進預案、更新威脅情報、分享經驗 (內部/ISAC)、法律報備。
關鍵技術支撐
- 不可變基礎設施：Infrastructure as Code (Terraform/Ansible) + 容器映像簽名 (Cosign/Sigstore) + GitOps (ArgoCD/Flux) 確保部署可重現、可審計、可快速重建。
- 零信任架構：持續驗證、微隔離、最小權限、假設失陷設計。
- 硬體信任錨：TPM 2.0、DICE、安全啟動、測量啟動、遠端認證 (Remote Attestation) 驗證平台完整性。
結語
「重建而非修補」是現代應急響應的鐵律。組織應投資於自動化佈署、不可變基礎設施、全生命週期憑證管理、威脅狩獵能力，使「摧毀重建」成為常態化、低成本、高可信的標準動作。