一、資訊蒐集工具：知己知彼
1. Nmap — 網路掃描瑞士刀
安裝： 多數發行版預裝 4.x，建議官網下載最新 5.5+ 源碼編譯（`./configure && make && make install`）。
常用掃描模式：
- `nmap `：預設 TCP Connect 掃描（易被偵測）。
- `nmap -sS `：SYN 半開掃描，隱蔽、需 root。
- `nmap -sU `：UDP 掃描。
- `nmap -O `：OS 指紋辨識。
- `nmap -sS -p 23,80 -oN result.txt 192.168.1.1-50`：指定埠、輸出檔案、掃描網段。
進階參數： `-v` 詳細輸出、`-iR` 隨機掃描、`-p` 指定埠範圍、`-Pn` 跳過 Ping 探測、`-f` 碎片封包繞過防火牆。
GUI 前端： NmapFE (GTK)、Kmap (Qt/KDE)、Zenmap (官方跨平台 GUI，強烈推薦)。
2. Nessus — 遠端漏洞掃描標準
- C/S 架構：Server 執行掃描，Client 配置策略。
- Plug-in 架構：社群/官方每日更新漏洞檢測腳本（超過 150,000+ plugins）。
- Knowledge Base 儲存歷史掃描結果，支援 HTML/文字/LaTeX 報表匯出。
- 免費版（Nessus Essentials）支援 16 IP，企業版需訂閱。
二、入侵偵測：Snort
- 規則驅動：社群規則 (Community Rules) + 訂閱規則 (Talos VRT)，覆蓋已知攻擊特徵、異常流量、惡意軟體 C2 通訊。
- 模式：Sniffer、Packet Logger、NIDS（網路入侵偵測）。
- 部署建議：鏡像埠 (SPAN) / TAP 接入核心交換機，啟用 `unified2` 輸出對接 Barnyard2 + Snorby/Splunk/ELK 視覺化。
三、防禦體系建構流程
- 資產發現： Nmap 全網掃描 → 建立 CMDB。
- 漏洞評估： Nessus 認證掃描 → 風險分級 → 修補/緩解追蹤。
- 流量基線： Snort 學習正常流量 → 白名單化 → 告警調優。
- 持續監控： SIEM 關聯日誌、NetFlow、端點遙測 → 威脅狩獵。
- 事件回應： SOP 包含遏制、鑑識、根因、復原、複盤。
工具只是手段，**流程、人員、情報**才是核心。定期紅藍軍演練，驗證防禦有效性。