<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/2-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">現在的駭客攻擊，時常不再是單點攻擊，而是針對特定目標，系統性地展開多方面攻擊。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h2><strong><span style="font-size: 20px;">如果我是駭客會怎麼做？</span></strong></h2>
<p>隨著資訊與通訊技術愈來愈發達，網路攻擊的手法日新月異，防止攻擊也需要新的思維。如果讀者想像的畫面，是一個阿宅獨自坐在電腦前，寫著代碼、攻破防禦的情節，恐怕已經過時了。現今，許多網路攻擊從個人單打變成團體合作，想對抗這類集團作戰，就需要一套完整的思考框架。</p>
<p>&nbsp;</p>
<p>2011 年，美國的國防工業承包商洛克希德馬丁公司（Lockheed Martin）首度提出「網路擊殺鏈」（Cyber Kill Chain）的概念（後來有註冊商標），用於預先尋找資訊安全的漏洞。</p>
<p>&nbsp;</p>
<p>擊殺鏈也有殺傷鏈、攻擊鏈等翻譯，原本是軍事概念，將敵方攻擊拆解為一步一步，再逐一辨識與阻止。網路擊殺鏈則是借用軍事的概念，將網路攻擊區分為不同階段，讓防守方能夠預防、偵測，以及應付攻擊。這類網路攻擊並非少數駭客的偶發行為，而是高明的駭客長期、有計畫的複合式攻擊，稱為「進階持續性滲透攻擊」（Advanced Persistent Threat, APT），執行時往往同時結合多種手段，如惡意軟體、勒索病毒、特洛伊木馬等不同技術。</p>
<p>&nbsp;</p>
<p>洛克希德馬丁公司首度提出的擊殺鏈模型，將網路攻擊分為七個階段，後續有些模型區分出更多階段，不過大致上都依照這七個階段衍生。</p>
<p>&nbsp;</p>
<h3><span style="font-size: 16px;"><b>第一階段：偵查（Reconnaissance）</b></span></h3>
<p>在偵查階段，攻擊者的目的是尋找可以利用的弱點。攻擊者會盡量蒐集目標的情報，像是實際位置、電子郵件信箱、使用的 ID、使用的軟體、系統與版本，以及社群平台和各種登錄帳號等，所有蒐集到的情報都可能被找到漏洞，用於欺騙或釣魚攻擊。一般來說，攻擊者蒐集到愈多情報，就可以籌劃愈複雜、愈有力的行動，成功機率也愈高。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 16px;"><b>第二階段：武器化（Weaponization）</b></span></h2>
<p>在武器化階段，攻擊者會尋找適合用於攻擊的武器，作為攻擊的載體，例如可以利用已知漏洞的惡意軟體、勒索病毒、蠕蟲等。攻擊者也可能建立後門，如此一來，即使初步的入侵點遭到識破並關閉，依然可以繼續進入系統。</p>
<p>&nbsp;</p>
<h3><span style="font-size: 16px;"><b>第三階段：輸送（Delivery）</b></span></h3>
<p>在輸送階段，攻擊者將發動攻擊，具體步驟則取決於預計採用的攻擊類型。例如發送電子郵件的附件，或是引誘目標點擊惡意連結。這一步可以結合「社交工程技術」（Social Engineering Technique）以強化效果。</p>
<p>&nbsp;</p>
<p>社交工程技術的意思是，透過人與人的互動達成惡意目的，不一定與網路有關。例如欺騙受害者有家人被綁架，要求到銀行轉帳，就是一種知名的社交工程技術。它用各種心理誘導的手段騙取信任，操縱受害人，藉此取得機密訊息等。</p>
<p>&nbsp;</p>
<h3><span style="font-size: 16px;"><b>第四階段：利用（Exploitation）</b></span></h3>
<p>在利用階段，之前成功送進目標的惡意代碼，將在受害者的系統內執行。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/2-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">將惡意代碼藏在正常代碼中稱為「木馬程式」，名字來自古希臘的荷馬史詩「特洛伊木馬」。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<h3><span style="font-size: 16px;"><b>第五階段：安裝（Installation）</b></span></h3>
<p>在安裝階段，之前植入的惡意程式或其他攻擊載體，會被安裝於受害者的系統中。這是網路攻擊的轉折點，因為威脅已經直接入侵系統，而且能夠取得控制權。此時，攻擊者就能掌握主動權，決定何時發動進一步攻擊。</p>
<p>&nbsp;</p>
<h3><span style="font-size: 16px;"><b>第六階段：控制（Command and Control）</b></span></h3>
<p>攻擊者在控制階段可以利用惡意程式，從遠端控制目標網路中的裝置或身份。攻擊者不見得會立刻行動，可能會先在目標網路中蒐集更多情報、擴大權限範圍、建立更多入口，以利未來攻擊。</p>
<p>&nbsp;</p>
<p>英文 command 和 control 也縮寫為「C2」，軍事術語上稱為「指揮與控制」，這裡則用於網路攻擊的情境，是指攻擊者用各種手段奪取控制權，掌握目標的網絡為己所用。</p>
<p>&nbsp;</p>
<h3><span style="font-size: 16px;"><b>第七階段：對目標採取行動（Actions on Objective）</b></span></h3>
<p>在對目標採取行動的第七階段，攻擊者發起攻擊，以達到竊取資料、破壞系統、暴露機密資訊、將資料加密讓受害者無法取得等目標。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>動態攻防永不止息</b></span></h2>
<p>根據擊殺鏈的思路，通常在愈早的階段發現攻擊，順利阻止的機率更高。尤其是假如入侵者已經達到控制階段，想解決問題，就需要耗費更多心力。想要減少損失，必須持續保持警戒，盡可能及早識別初步攻擊。</p>
<p>&nbsp;</p>
<p>不過，攻守是動態的，防守方可以用擊殺鏈的概念，模擬攻擊方的入侵過程；另一方面，攻擊方也能反向操作，藉由初步攻擊、試探防禦的方式，調整後續的入侵路徑。</p>
<p>&nbsp;</p>
<p>繼洛克希德馬丁公司在 2011 年提出擊殺鏈後，至今經過了 12 年。隨著網路運用愈來愈多，攻擊數目與規模持續成長，手法也推陳出新。近年來的攻擊事件中，不同階段之間不再那麼容易區分，尤其是前幾階段，這往往會壓縮應對攻擊的反應時間。</p>
<p>&nbsp;</p>
<p>實際應用上，擊殺鏈有哪些不足之處呢？我們還可以從不同角度看待駭客長期、有計畫的複合式攻擊，以及更廣泛的資訊安全議題。 </p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>拆解攻擊手法，才能有效防守</b></span></h2>
<p>台灣駭客協會翁浩正理事長，同時也是資安企業戴夫寇爾（DEVCORE）執行長，指出其實很早前就有類似網路擊殺鏈的概念，只是沒有這個名詞。隨著資訊發達，網路攻擊的規模增加，也益發深入，攻擊不限於一台主機，而是透過主機進入內部網路，試圖入侵核心資產，才衍生出擊殺鏈。</p>
<p>&nbsp;</p>
<p>台灣駭客協會的常務理事兼人才培育委員會李倫銓召集人解釋，非專家闡述資安事件時，可能搞錯漏洞、無法準確地針對問題，而給予不當的修補方式，就像開刀部位錯誤那般危險。專家們則根據累積多年的經驗，建立一套邏輯框架以描述駭客的攻擊過程，這就是擊殺鏈的概念。隨著資安與攻擊的演進，框架也不斷演化。</p>
<p>&nbsp;</p>
<p>然而，翁浩正理事長表示，現今資安界其實不只談擊殺鏈，而是用描述更加精準的「MITRE ATT&amp;CK」框架解析攻擊事件。除了初步的探勘情報、入侵階段以外，更著重解析駭客在企業內部的橫向移動、權限提升、長期潛伏等問題，更貼近真實的攻擊事件。</p>
<p>&nbsp;</p>
<p>菱鏡股份有限公司（TrapaSecurity）趙正宇執行長認為，不論是 MITRE ATT&amp;CK 或擊殺鏈，都是將攻擊分為不同階段，這有助於理解攻擊者的手法，從而預測與防範。分析攻擊者在每個階段的目標及可能採用的手法，來設計防禦及應對措施。另外，不同單位採用同一套定義，有助於共享資訊與合作，壓縮識別與反應的速度。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/2-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">擊殺鏈與 MITRE ATT&amp;CK 的目標，是更有效率辨識出駭客攻擊並即時應對。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>李倫銓召集人說明，MITRE ATT&amp;CK 框架會以 TTP 解析問題，聚焦攻擊者的技術與操作。TTP 是戰術（tactics）、技術（techniques）、程序（procedures）的縮寫。戰術指攻擊者的整體策略、目標、順序、資源分配；技術指駭客使用的工具、技巧、程式、漏洞利用等手段；程序則是指為了實現目的而編寫的腳本、計劃等程序。</p>
<p>&nbsp;</p>
<p>為什麼要如此區分呢？李倫銓召集人舉例說明，駭客為了達成同樣的戰術目的，可以採取不同的技術，如：騙取帳號密碼，或是鑽漏洞入侵系統。延伸思考，假如戰術結果一樣，駭客當然傾向更容易、更省成本的方式，也就是組織不同的戰術、技術與程序來實現目的。依照 TTP 框架思考，攻擊方可以選擇最有效的攻擊方式，防守方也能妥善配置防禦資源。</p>
<p>&nbsp;</p>
<p>不同駭客的入侵手法各有其巧妙之處，攻擊方式也有潮流之分。想要有效建立防禦，必須隨時更新情報，也稱之「威脅情資」（Threat Intelligence）服務。比起只購買防火牆抵擋，購買情資套用在防火牆或入侵偵測系統上，掌握先機的抵禦效果更好。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>百密總有一疏，補漏勝於防堵的新思維</b></span></h2>
<p>翁浩正理事長進一步解釋，如今討論資安管理常用「網路安全框架」（NIST Cybersecurity Framework, CSF），可分為五大功能：識別（identify）、防禦（protect）、偵測（detect）、回應（respond）、恢復（recover），用來確認各階段的實作情況。而談到資安資源配置，則會搭配「網路防禦矩陣」（Cyber Defense Matrix），將不同資源或資安產品的防禦現況對齊該矩陣，確保目前企業內不同資產的防禦措施，都符合 CSF 的管理原則。</p>
<p>&nbsp;</p>
<p>實務上，完全識別風險相當困難，再怎麼嚴防總是會百密一疏，而且攻守雙方的思維有別、資訊不對稱，雙方焦點時常有所落差，所以如今企業大都將有限的防禦資源，從傳統的識別、防禦階段，轉往更晚的偵測、回應，以及恢復階段，增加系統韌性。</p>
<p>&nbsp;</p>
<p>簡單說，目前資安的重心從「徹底防禦攻擊」，轉移到「及早知道攻擊發生」，又能「快速應變」。</p>
<p>&nbsp;</p>
<p>面對日益頻繁的資安攻擊，政府、企業組織都必須精進應變之道，相關人才培育也很重要。趙正宇執行長認為政府、學校、企業組織都必須強化資安防護能力，廣泛培養資安意識。這些不同的單位可以合作，教育學生、員工、民眾，全面提升資安防禦。</p>
<p>&nbsp;</p>
<p>面臨多變的資安威脅，不同角色間的合作不可或缺。學術單位可以開設課程，支持研究項目；企業能提供實習機會與職位，讓學生與新人學習知識、了解實務需求，以及培養人才、累積工作經驗；學校和資安業者可透過研討會等形式多多交流，向企業介紹資安風險與解決方案；資安人員也能分享工作經驗與挑戰，協助學術界掌握業界需求。</p>
<p>&nbsp;</p>
<p>在《哈利波特 6──混血王子的背叛》中，石內卜教授認為黑魔法「五花八門，種類繁多，變化多端，永無止境」，十分類似現實中的網路攻擊：「與它們搏鬥，就像與一隻多頭怪物搏鬥，剛砍掉一個腦袋，立刻又冒出一個新的腦袋，比原先那個更凶狠、更狡猾。你們所面對的是一種變幻莫測、不可毀滅的東西。」一如魔法世界中，正派巫師抵抗黑魔法；資訊世界的黑魔法防禦術，就是擊殺鏈、MITRE ATT&amp;CK，或是其他類似的、與時俱進的工具。</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；研究顧問團隊｜台灣駭客協會常務理事兼人才培育委員會 李倫銓召集人、台灣駭客協會 翁浩正理事長、菱鏡股份有限公司 趙正宇執行長；責任編輯｜曹盛威、劉品萱）</p>
