什麼是攻擊性網路安全？

僅專注於防禦的企業，面對新威脅時仍然脆弱，因為網路犯罪分子每天都在演進其戰術。根據報告，網路犯罪如今已成為一個 6.4 兆美元的問題，而且未來規模還會更大。當防禦維持不變時，攻擊者很容易找到方法利用弱點。但如果企業不是只是等待並寄望防線能撐住，而是主動出擊呢？如果他們能在壞人之前先找出自己的弱點呢？

攻擊性網路安全就像成為一名駭客，但不是主動攻擊某個組織，而是嘗試滲透自己的組織。在這裡，我們將重點介紹攻擊性網路安全作業的關鍵概念，以及其效益與最佳實務。閱讀完後，您將了解哪些主動式措施有助於提升組織的安全性。

什麼是攻擊性網路安全／「OffSec」？

攻擊性網路安全，也稱為「OffSec」，採取的是深入自身組織並找出數位基礎架構中弱點的方法。這樣做需要模擬網路犯罪分子的戰術、技術與程序。它更傾向於採取積極的安全措施，主動尋找那些可能潛伏、等待惡意行為者利用的未知弱點。

OffSec 並非只是單純防止威脅，而是採取更主動的方法，在安全缺陷遭利用之前就先行找出並修補。其從業人員會使用各種真實世界的戰術，從攻擊者的角度分析系統。因此，組織可以發現那些原本隱藏、且無法透過傳統手段或方法找出的未知弱點。

透過在受控環境中套用攻擊性方法，組織可以驗證現有的安全措施並進一步加以改善。數位資產會持續接受測試與改進，以維持其韌性。

攻擊性安全的必要性

由於現今攻擊更加具針對性（例如勒索軟體）或更加複雜（例如魚叉式網路釣魚與 APT），傳統防禦往往不足以提供防護。根據 Verizon Report 2024，62% 的資料外洩事件涉及勒索軟體。OffSec 可讓組織偵測這些未來威脅，並在高成本事件發生前加以避免。

在 General Data Protection Regulation (GDPR) 與各種產業特定指令作為標準的情況下，企業必須實施主動式安全措施。攻擊性網路安全是協調式方法的一部分，透過模擬攻擊並找出系統中表面上可能不易察覺的弱點，來降低或減輕這些風險。

攻擊性與防禦性網路安全

當您在一家成長中的組織管理安全時，一方面，您必須持續彌補缺口並在威脅出現時做出回應。另一方面，您也總是在想：「我漏掉了什麼？」

防禦策略建立屏障並持續監控，而攻擊性方法則主動尋找系統中的裂縫。為了釐清兩者各自的角色與相互依存關係，以下表格概述了防禦性與攻擊性網路安全的關鍵面向。

如何建立攻擊性安全作業？

攻擊性網路安全作業讓企業能夠像是在真實世界中再次遭受攻擊那樣採取行動。若組織正在營運支付閘道服務，它可以在駭客自行發現之前，及早揭露系統錯誤。這類作業不是等待駭客入侵，而是進行紅隊演練，從攻擊者的角度模擬他們可能如何鎖定客戶資料。

這種方法有兩項好處：第一，它促使企業主動獵捕其環境中存在的各類持續性威脅。第二，這些被動檢查可以偵測到像是加密薄弱之類的安全漏洞，而這些問題可能會在一般防禦檢查中被忽略。以下說明如何著手建立強大的攻擊性網路安全作業：

1. 設定明確目標

希望執行攻擊性網路安全作業的組織，必須先設定明確目標。為了發揮最大效益，無論受測的是專有系統、網路還是應用程式，這些目標都必須與企業本身的目標一致。透過明確界定目標，組織才能了解真正可行的事項。

例如，某個組織可能想要對其 Web 應用程式中高影響、短視的缺陷進行分類，或檢視員工對網路釣魚攻擊的回應。有了明確的目標，例如每月進行滲透測試或每年進行紅隊演練，就能衡量進展與成效。

2. 建立具備技能的攻擊型資安團隊

攻擊型安全的成功在很大程度上取決於保護它的團隊。建立具備道德駭客、網路安全與攻擊技術多元經驗團隊的組織，更能因應安全挑戰。此外，擁有資安認證的專業人員也是備受重視的團隊成員，因為他們的專業能力使其能夠處理任何出現的挑戰。

3. 使用進階工具與技術

為了實踐攻擊型安全，應部署用於弱點識別與利用的進階工具。SentinelOne 的攻擊型安全引擎可模擬真實世界攻擊，以找出弱點並在問題成為風險之前加以處理。該平台的自動化威脅回應可快速中和威脅，以降低潛在損害。此外，Singularity Cloud Native Security 透過提供跨雲端環境的完整可視性並精準找出已驗證的利用路徑，進一步強化安全性。

4. 實施自動化

透過自動化，攻擊型安全任務可更快速且更有效率地執行。弱點掃描、報告與分析等多數例行性工作都可開箱即用地完成。自動化弱點掃描工具會持續運作，以隨時識別潛在問題。自動化也可確保您的系統始終受到監控，讓您能專注於更複雜的任務。

5. 透過真實世界模擬採取攻勢

紅隊演練不只是基本的滲透測試；紅隊具備跨領域能力，並會執行不同層級的複雜攻擊，以利用安全架構的各個面向。這些演練旨在模擬真實世界攻擊，並評估組織的事件回應能力。這是了解組織安全防禦實際強度的絕佳方式。

攻擊型安全策略的優勢

透過使用攻擊型安全策略，企業可在弱點被用於資料外洩之前找出並處理它們。藉由納入攻擊型戰術，企業可以符合合規標準並降低風險。他們也能整合廣泛團隊之間的力量，使對威脅的任何回應都既快速又聚焦。以下是使用攻擊型資安策略的優勢：

• 主動式威脅偵測：攻擊型安全透過模擬攻擊協助發掘弱點。這可在威脅成為真實事件之前及早識別。因此，可及時進行改善以強化組織的關鍵系統。例如，模擬網路釣魚攻擊可能揭露員工容易點擊惡意連結，讓組織得以實施有針對性的訓練計畫。
• 提升系統韌性：透過更深入了解真實世界威脅，組織可強化其基礎架構。當公司遭受攻擊時，他們能了解在實際外洩情境中會發生什麼事。這種韌性與適應能力可讓系統做好準備，以承受未來的攻擊。
• 安全成熟度：定期測試可讓安全從被動回應轉為主動預防。每次評估都讓組織的防禦更接近最先進的威脅預防與回應水準。例如，持續進行滲透測試通常會揭露薄弱的加密通訊協定，讓組織升級為強式演算法。
• 合規保證：具備背景調查的攻擊型安全可協助組織滿足法規要求，藉此確認是否遵循如 Payment Card Industry Data Security Standard (PCI-DSS)、Health Insurance Portability and Accountability Act (HIPAA) 與 General Data Protection Regulation (GDPR) 等標準。
• 具成本效益的風險緩解：及早識別弱點可降低未來外洩事件可能造成的經濟影響。若在模擬攻擊期間發現密碼政策薄弱，就能在代價高昂的真實世界事件發生前加以變更。
• 團隊準備度與協作：攻擊型攻擊可作為組織中任何人的演練。練習這些攻擊將提升認知，並協助團隊為快速、協調一致地回應真實世界威脅做好準備。這有助於既有實務，並鼓勵防禦與攻擊團隊之間的開放合作。

4 種攻擊型網路安全服務

攻擊型資安服務旨在深入了解您組織的系統、網路與人員，以在攻擊者之前偵測弱點。這些服務透過四種主要方式，非常主動地識別風險：

1. 滲透測試

滲透測試 或 pen testing，會模擬針對系統、網路或應用程式的真實世界網路攻擊，以識別潛在弱點。透過複製攻擊者使用的技術與策略，組織可發現可能遭利用的弱點。其運作方式如下：

• 資訊蒐集：資訊蒐集的第一步，是蒐集系統組態相關資料，例如網路資訊、軟體版本與系統結構。這樣做可更清楚了解可能存在的進入點。
• 弱點掃描：自動化工具，例如 Singularity™ Vulnerability Management，會掃描系統中的已知弱點。這會先建立一份可能遭利用的弱點清單。
• 利用：滲透測試人員會嘗試利用任何已識別的弱點，以將測試再往前推進一小步。這能將潛在攻擊者在實務上可能採取的行動，轉化為對真實世界風險的評估。
• 利用後階段：一旦進入系統，測試人員會嘗試進一步提升其權限，以更深入存取敏感系統與資料。
• 報告與修補：測試完成後，會產出一份完整報告，說明發現、風險以及修補弱點的建議。透過處理報告中的發現，企業可規劃具備充分資訊的行動，以因應潛在威脅。

2. 紅隊演練

紅隊演練 是一種更深入且涵蓋範圍更廣的攻擊型服務，由一組道德駭客模擬來自複雜威脅行為者的攻擊。以下說明其如何讓組織受益：

• 真實世界攻擊模擬: 紅隊會使用原先未執行、但看起來與真實攻擊所用手法完全相同的戰術，無論是跨越數位邊界還是透過實體安全漏洞。他們也會透過偽造憑證與繞過名單權限最佳實務標準來嘗試社交工程，以取得對您系統的存取權。
• 整體性安全測試: 紅隊演練是對安全性的整體測試，涵蓋實體安全、網路防禦、事件回應（或災難復原）以及員工層級的安全。它可讓組織了解其整體弱點所在，不僅限於 IT，而是遍及各處。
• 可採取行動的洞察: 紅隊會分析防禦究竟如何失效，以及組織可採取哪些措施來修正這些缺失。這種整合式方法比起各自獨立進行的測試，能產生更深入的洞察，因此極具價值。

3. 弱點評估

弱點評估是指對電腦系統進行系統化檢查，以識別安全風險，而不利用這些風險來攻擊系統。其重要性可從以下幾點看出：

• 自動化掃描: 類似 SentinelOne 的自動化工具會掃描系統，尋找過時軟體、弱密碼或錯誤設定等弱點。這些評估可提供整個網路中現有安全漏洞的高層級概覽。
• 人工驗證: 在人工識別下，分析師必須證明其發現僅為誤判，並驗證自動化掃描所識別的結果對特定有缺陷的套件確實成立。這可確保只有真實風險會被優先處理。
• 風險優先排序: 在識別出弱點後，必須決定應先處理哪些風險。這使組織能先解決較低層級的問題，同時仍可盡快修正其最高優先順序的問題。

4. 社交工程測試

社交工程 測試涉及利用人為弱點而非技術弱點，模擬員工可能被誘騙而提供未經授權存取的情境。此服務著重於強化多數安全基礎架構中最薄弱的一環，也就是人員。

• 網路釣魚模擬: 會向員工發送偽造的網路釣魚電子郵件或 SMS 訊息，以觀察他們的反應。這些測試可衡量員工辨識網路釣魚企圖的能力，並找出需要額外訓練之處。
• 藉口詐騙: 測試人員會編造情境來欺騙員工並套取機密細節，例如假扮成同事或 IT 支援人員。
• 誘餌攻擊: 誘餌攻擊是指透過在員工環境中放置受感染的 USB 隨身碟或具誘惑性的下載內容等惡意項目來欺騙員工。當員工與這些裝置或檔案互動時，就會觸發入侵嘗試，模擬攻擊者如何利用人類的好奇心來取得對敏感系統或資訊的存取權。

實施攻擊性網路安全的最佳實務

組織需要遵循攻擊性安全的最佳實務，因為其目標是在攻擊者之前識別弱點。以下做法可確保這些演練能為 OffSec 發揮實用、聚焦且高效率的目的。

1. 透過風險評估了解您的弱點

未進行徹底的風險評估是一項重大錯誤。風險評估包括評估系統目前的安全程度、其自身資產，以及不同類型受眾將如何接收並嚴肅看待資訊。

為了有效完成風險評估，企業必須先聚焦於風險最高且資料最重要的區域。透過優先處理反映業務風險的弱點，公司便能制定行動計畫。

2. 倫理優先：保持合法並負責任

所有攻擊性安全活動都必須在法律與倫理界限內進行。對任何系統測試事先取得授權，對避免法律責任至關重要。此外，企業應針對遠端攻擊建立嚴格的倫理準則，以免無意間為自己帶來麻煩並違反資料保護規範。這是為了確保所有攻擊性安全技術都能以負責任的方式，並完全依照產業標準進行管理。

3. 持續測試並透過回饋循環持續改進

持續測試可讓組織在新的安全弱點出現時，快速識別並加以處理。這就是為什麼所有組織都必須執行例行性的弱點對應、滲透測試與紅隊演練，以確保能及早發現潛在風險。

回饋循環也同樣關鍵；發現結果將推動攻擊性安全測試的改進。這種持續一致的反覆流程將協助您的公司根據真實世界經驗持續演進並強化防護。

4. 協調攻擊與防禦工作

在攻擊性測試期間獲得的任何有用資訊，都應回饋到防禦端，包括回應通訊協定、防火牆設定，以及強化其他安全措施。隨著時間推移，這種方法可確保投入於攻擊面的資源也能納入防禦策略。這是一種整合式安全態勢，既能阻擋外部威脅，也能為進入的威脅做好準備。

5. 透過 KPI 衡量並改進

一旦建立 KPI，就能實現以績效驅動的安全。例如，修補弱點所需時間、「紅隊」攻擊成功突破的比例，以及發現的關鍵弱點數量。擁有這類每月統計資料，將使組織能在安全方面保持領先，並證明攻擊性安全是一項持續進步的實務。

SentinelOne 的攻擊性網路安全

SentinelOne 透過其 AI 驅動的 Cloud Native Application Protection Platform (CNAPP) 簡化攻擊性網路安全。該平台可讓組織識別可被利用的弱點。SentinelOne 也透過以下方式管理即時回應並維持持續保護：

• AI 驅動的威脅偵測: SentinelOne’s Offensive Security Engine 會模擬真實世界攻擊，以便為弱點排定優先順序。它專注於經驗證的利用路徑，為安全團隊提供可採取行動的洞察。
• 即時威脅回應: 該平台的即時保護與無代理掃描能力可即時偵測並修復威脅。
• 全面可視性: SentinelOne 會跨多雲環境收集資料，豐富您的視野並簡化弱點管理。這讓安全團隊能夠以較少的投入監看並回應威脅。
• 左移安全整合: SentinelOne 可透過Infrastructure as Code (IaC) 掃描與開發工作流程整合，讓開發人員能在應用程式生命週期的早期發現弱點，並大幅降低進入正式環境的風險。
• 透過 AI 持續改進: 由 Singularity Data Lake 驅動，SentinelOne 提供資料驅動的洞察，並自動化事件回應服務。它會從每一次攻擊中持續學習，以精進其偵測與防護機制。

Singularity™ Platform

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

結論

攻擊型網路安全可讓您始終領先攻擊者好幾步，避免遭受任何突如其來的威脅。告別盲點、潛伏威脅，以及潛藏在企業各個角落的惡意活動。您可以使用 SentinelOne 等進階安全解決方案來執行網路釣魚模擬，並測試員工對最新攻擊型網路安全實務的了解。透過轉向更主動的安全態勢，搶先因應新興威脅。您的組織未來將會因此受益。