事件徵兆

防火牆效能監控顯示連線數從日常 2,000~5,000 飆升至 36,000 左右持續變動。即時監控發現某連接埠出現大量異常封包：

• 目的 IP 固定為 202.101.180.36
• 來源 IP 持續變換，具明顯規律性
• 來源 IP 非單位內部位址段

研判為自動化程式偽造來源 IP 發動攻擊，急需鎖定真實發送主機。

追蹤策略：為何選三層交換機？

單位採用 IP-MAC-連接埠三重綁定，防火牆層級無法見到封包原始 MAC 位址。三層交換機（Cisco 6509）位於核心層，保有完整的 MAC 位址表與 ARP 紀錄，可關聯偽造 IP 封包的真實來源 MAC，進而定位實體連接埠與使用者。

Cisco 6509 關鍵設定步驟

1. 啟用 IP 來源防護（IP Source Guard）與動態 ARP 檢查（DAI）
2. 設定 DHCP Snooping 建立可信資料庫
3. 於可疑連接埠啟用封包捕獲（SPAN/RSPAN）鏡像至分析器
4. 分析封包標頭中的 MAC 位址，對照 MAC-連接埠對應表
5. 鎖定實體連接埠後，配合門禁/帳號系統確認使用者身分

後續處置

• 隔離受感染/違規主機
• 進行病毒掃描與木馬清除
• 審查使用者權限與網路存取策略
• 加強端點防護與網路存取控制（NAC）部署

此案例展示「防火牆看流量異常 → 核心交換機溯源 MAC → 實體連接埠定位 → 身分確認」的完整偽造 IP 攻擊追蹤鏈。