攻擊面評估 – 101 指南

隨著任何組織透過託管遠端工作解決方案、雲端服務或互連系統而使其數位足跡持續演進與擴張，潛在攻擊的入口點也會增加。潛在存取點數量的增加會形成攻擊面，也就是未經授權的使用者可進入某個環境以取得資料存取權或從環境中擷取資料的所有可能點位總和。

對於希望保護其數位資產的組織而言，攻擊面評估 (ASA) 是一項必要實務。安全團隊可透過牢牢掌握攻擊面並完整掌握其每一個面向的可視性（包括其 弱點管理 面向），協助縮短發現攻擊的平均時間。這使組織能透過策略性的安全優先順序與資源配置，從被動回應轉向預防。

在這篇部落格中，我們將討論攻擊面評估、其重要性，以及其優勢與挑戰。我們也將探討可協助組織在日益複雜的威脅情勢下防禦其 IT 資產的流程。

什麼是攻擊面評估？

攻擊面評估是一種有系統的方法，用於探索、識別及分析組織 IT 基礎架構中所有點位（公開可見的點位），包括硬體、軟體與數位解決方案，這些位置都是潛在威脅行為者可能基於惡意目的取得組織存取權的地方。這包括列舉特定系統的所有存取點，例如網路連接埠、應用程式介面、使用者入口網站、API，以及實體存取點。最終結果是呈現組織可能容易遭受攻擊位置的整體視圖。

攻擊面評估是對環境中技術與非技術組成部分的評估。這包括硬體裝置、軟體應用程式、網路服務、通訊協定與使用者帳戶。非技術部分則涉及人員面向、組織流程與實體安全。兩者共同提供組織安全態勢的完整圖像，並識別需要修補的目標區域。

為何要進行攻擊面評估？

組織無法保護其未察覺的事物。安全事件可能發生在遭棄置的系統、未知資產上，或透過安全團隊從未想到要納入保護計畫範圍之外的存取點發生。

一旦組織知道攻擊者如何入侵，就能識別弱點所在，無論是過時軟體、缺少修補程式、無效的驗證機制，或防護不足的介面。這讓安全團隊有機會在攻擊者利用這些弱點之前先行修補。

多數組織在回應安全警示與事件時，都處於永無止境的循環中。團隊疲於奔命，而組織則持續暴露於風險之中。攻擊面評估可改變這種模式，因為團隊能在弱點遭利用之前先發現並解決它們。

ASA 的常見評估方法

安全團隊使用不同的方法來有效評估與管理其攻擊面。組織選擇的方法通常取決於其安全需求、可用資源，以及數位環境的複雜度。

自動化探索技術

自動化探索技術是大多數攻擊面評估計畫的骨幹。這些工具會掃描網路、系統與應用程式，以最少的人工作業偵測資產與弱點。連接埠掃描器可繪製開放的網路服務，子網域列舉工具可找出閒置的 Web 資產，而組態分析器則會尋找不安全的組態。

人工驗證流程

自動化提供廣度，而人工驗證流程則為攻擊面評估帶來深度。這包括對關鍵系統進行人工審查、測試存取控制，以及評估安全架構，以識別自動化工具可能遺漏的問題，例如業務流程中的邏輯缺陷、驗證繞過技術，以及由安全專業人員進行的存取權限審查。

持續性評估與時間點評估

在設計安全計畫時，組織必須在持續監控與時間點評估之間做出選擇。快照式安全評估，也就是所謂的時間點評估，通常按季或按年進行。這類評估往往分析徹底，但可能會錯過在評估週期間出現的新弱點。相較之下，持續監控會持續檢查新資產、組態變更或弱點。

以風險為基礎的優先排序框架

以風險為基礎的優先排序框架可讓安全團隊優先處理最關鍵的項目。這些框架會考量潛在入侵影響、可被利用的可能性，以及受影響資產的業務價值。以風險為基礎的方法可讓安全團隊優先處理最嚴重的弱點，而不只是處理數量最多或最近才揭露的弱點。

攻擊性安全視角的應用

這種以攻擊性安全方法進行攻擊面評估的方式，提供了更深入理解實際攻擊路徑的機會。此方法是由安全團隊像攻擊者一樣思考，並以攻擊者會採取的方式測試系統。這包括攻擊路徑對應、對應導致重大入侵的一連串弱點，以及對手模擬，也就是團隊模擬特定威脅群體所使用的技術。

如何執行攻擊面評估？

有效率的攻擊面評估必須具備系統性，結合技術工具與策略性邏輯能力。以下流程說明了組織為評估其安全態勢並了解其弱點所需遵循的基本步驟。

初始範圍界定與目標設定

所有良好的攻擊面評估都應具備明確目標與範圍。在此階段，安全團隊會指定要檢查哪些系統、要尋找何種類型的安全缺陷，以及何謂成功的評估。此規劃階段將界定評估是聚焦於特定關鍵資產、新部署系統，還是整個組織。

資產列舉與探索階段

此階段的重點在於識別並登錄構成企業數位存在的每一個系統、應用程式與服務。探索流程從被動與主動方法開始。這些被動方法可能包括閱讀所有現有文件、分析網路圖、檢查 DNS 記錄，以及搜尋公開資料庫以找出推定屬於組織的資產。

外部攻擊向量對應

在識別資產後，安全團隊會將注意力轉向了解網路犯罪分子可能如何從外部取得對這些系統的存取權。此步驟會分析攻擊者可用來取得初始存取的多種途徑。外部攻擊向量映射是建立從內部系統到外部世界所有連接點的詳細映射之過程。這涵蓋所有暴露於網際網路的服務、VPN 端點、電子郵件閘道，以及第三方連線。

識別面向網際網路的服務與應用程式

任何與網際網路有直接或間接（例如透過 VPN 通道建立）連線的系統，基於其性質都是首要目標，因此在評估期間需要特別注意。在此步驟中，所有可透過公用網際網路直接存取的服務都應徹底檢查。團隊會掃描所有已公布的 IP 範圍與網域，以找出開放連接埠與執行中的服務。

評估驗證與存取控制系統

若用於阻擋未經授權使用者的存取控制失效，即使是防護良好的系統也可能讓任何使用者進入。此部分旨在判定使用者如何驗證其身分，以及哪些使用者可存取哪些資源。驗證評估包括檢查密碼原則、雙因素驗證、工作階段處理與認證資料儲存。

記錄發現並建立風險設定檔

最後一步是透過記錄弱點並評估其對業務的影響，將技術發現轉化為可執行的安全情報。修補規劃與整體安全改善將以此文件為基礎。團隊會撰寫每項弱點的技術說明、概述其潛在影響，並說明其被利用的容易程度。

攻擊面評估的優勢

除了識別弱點之外，攻擊面評估還能為組織帶來大量價值。系統化的安全分析框架可帶來多項優勢，進而提升企業安全態勢的韌性與營運效率。

提升可視性

定期進行攻擊面評估可提升複雜環境中的可視性。隨著組織持續演進，要準確掌握並維持對其所擁有 IT 資產的理解變得越來越困難。 影子 IT、舊有系統與未經授權的應用程式會形成盲點，使安全風險可能無法被偵測。如此一來，安全團隊便能看見並保護其整體環境。

降低事件回應成本

透過攻擊面評估及早偵測弱點，可大幅降低事件回應成本。駭客未被發現的時間越長，安全事件的成本就越高。藉由透過弱點評估主動識別弱點，便能在攻擊者之前先發現弱點，從而在需要進行入侵回應、客戶通知、系統復原與法規罰款之前先完成修補。

策略性資源配置

這些評估也能協助組織將安全支出集中於最需要之處，從而更具策略性地配置資源。如今，安全團隊面臨壓力，必須保護比以往更多的系統，且還要在有限資源下完成。攻擊面評估所提供的資訊對決策者至關重要，因為它能精確指出哪些系統風險最高，以及哪些弱點一旦遭利用將造成最大的潛在損害。

業務擴展便利性

部署前的安全分析可提升業務擴展的安全性。當組織創新推出新產品、拓展新市場或導入新技術時，也會同時帶來新的攻擊向量。在這些擴展之前進行攻擊面評估，可用主動式方法處理安全威脅，因為這些威脅若能在流程早期修正，通常會更容易且更具成本效益。

攻擊面評估中的挑戰

攻擊面評估的交付成果對安全團隊無疑具有價值，但在實作與維護攻擊面評估計畫時，也伴隨著許多特別重大的挑戰。當組織認識到這些挑戰時，便能為評估建立更完善的考量，並重新設定目標。

動態且持續演變的 IT 環境

對安全團隊而言，要跟上持續不斷的變化相當困難，尤其是在擁有活躍開發團隊與頻繁發佈的組織中更是如此。現代基礎架構的流動特性，與為觀察它而設計的工具／流程之間存在落差。新的部署會帶來額外的潛在攻擊向量，而已淘汰的系統往往會留下仍可存取的閒置資源。

雲端與容器化基礎架構的複雜性

為一般內部部署基礎架構打造的評估工具，往往對雲端風險缺乏足夠可視性，例如設定錯誤的儲存貯體、過度的 IAM 權限，或不安全的無伺服器函數。容器化應用程式則因其多層環境協調系統與登錄庫安全層面而增加另一層複雜性。

維持準確的資產清冊

資產探索工具經常忽略某些系統，或無法提供其完整資訊。在安全團隊不知情的情況下部署的 Shadow IT 資源，會成為安全涵蓋範圍中的盲點。舊有系統很少被妥善記錄，這表示其功能與相互關係並不總是明確可見。

資源限制與優先順序設定

工具、專業能力與時間方面的問題，會帶來資源上的挑戰。大多數團隊並不具備評估雲端環境、IoT 裝置或專業化應用程式所需的進階專業知識。評估工具價格高昂，可能超出為此分配的預算。業務單位經常施加時間壓力，導致評估時間縮短，進而可能錯失關鍵弱點。

誤判管理

要從結果中獲得洞察，安全團隊必須手動審查並驗證發現內容，而這會依評估規模不同，耗費數小時到數天不等。頻繁的錯誤警示很容易讓分析師對其麻木，因而錯過隱藏其中的真實威脅。在缺乏結果分流與驗證流程的情況下，團隊將被資訊洪流所淹沒。

攻擊面評估的最佳實務

許多組織應了解成功執行攻擊面評估的最佳實務，以避免常見陷阱並獲得最大的安全價值。

建立全面的資產清冊

完整且準確的資產清冊，是有效攻擊面管理的基礎。組織若要保護資產，首先必須知道自己擁有哪些資產。領先的組織會維護涵蓋所有硬體、軟體、雲端資源與數位服務的資產清冊。

實施持續監控

在整體基礎架構中部署感測器，以擷取安全遙測資料，其中包括弱點資料、組態變更以及可疑活動。使用協調工具自動檢查目前狀態是否符合預期基準，並對偏差發出警示，同時持續進行不受固定排程限制的弱點掃描。

以威脅情報為發現內容建立脈絡

安全團隊應訂閱威脅情報來源，以取得正在被積極利用的弱點、新興技術，以及特定產業威脅主題的詳細資訊。將組織的攻擊面發現與這些情報進行關聯，以了解哪些弱點最有可能在近期遭到利用。監控可能鎖定該產業或與自身組織輪廓相似公司的威脅行為者活動，以了解報告中可能的攻擊路徑。

以風險為基礎的修復優先順序

建立以評分系統為基礎的問題排序，將弱點嚴重性、資產關鍵性、可利用性與資料敏感度納入考量。優先處理那些容易被利用，且會讓攻擊者取得敏感系統或資料存取權的弱點。根據面臨風險的業務價值制定不同的修復時程，例如確保關鍵問題能在數天內修復，而較低風險的項目則納入一般維護／修補週期中處理。

利害關係人溝通與報告

撰寫高階主管報告，將技術發現提煉為業務風險用語，涵蓋潛在的營運、財務與聲譽影響。建立 IT 專用技術報告，內容包含應採取的修復步驟，以及用於確認修復的檢查點資訊。

攻擊面暴露的真實案例

2017 年的 Equifax 資料外洩事件，是攻擊面暴露造成嚴重後果的最大案例之一。事件中，攻擊者利用網頁應用程式框架 Apache Struts 中一項未修補的弱點入侵 Equifax 系統。儘管該弱點早已公開且已有修補程式可用，Equifax 卻未在其整體環境中套用修補程式。正是這項疏失，讓攻擊者得以存取約 1.47 億人的敏感消費者信用資料。

2019 年，Capital One 資料外洩事件發生，起因是一名前 AWS 前員工利用 Capital One AWS 環境中設定錯誤的 WAF。這項錯誤設定讓攻擊者得以在中繼資料服務上執行命令，並擷取憑證以存取 S3 bucket 資料。此次入侵影響約 1 億名美國人與約 600 萬名加拿大人。這是一個很好的例子，說明雲端環境安全有多麼容易因複雜性而被低估，以及雲端組態管理有多麼重要。

結論

在現代且不斷演變的威脅情勢中，組織需要採用各種策略來保護其數位資產，因此需要進行攻擊面評估。透過對可能的進入點進行有系統的識別、分析與修補，安全團隊可以大幅降低遭受網路攻擊的風險。定期評估可在攻擊者發現並利用任何問題之前先行修正。這項主動措施不僅能提升安全性，還有助於合規流程與資源配置，並為安全策略洞察做出貢獻。