網路安全中的 4 種攻擊面

從遭竊的憑證到未受保護的雲端端點，IT 環境中的每一項資源都可能成為攻擊者的入侵點。在 2023 會計年度，美國政府成為 6,198 起網路釣魚攻擊以及超過 1.2 萬起合法使用者濫用案例的目標。從這些例子中，我們可以得出結論：即使是被認為非常可信且可靠的機構，也無法免於遭受滲透。此外，仍有許多組織對攻擊面的類型缺乏或僅具有限的認識。因此，他們仍未察覺攻擊面的存在，無法保護重要資源，也無法將網路威脅降至最低。

為了協助組織更深入理解，本文將說明攻擊面的定義以及為何應加以縮減。在下一節中，我們將介紹數位、實體、人員與社交工程四個領域，並提供對可能發生之典型問題的洞察。我們也將提供真實世界的攻擊面範例，包括大型資料外洩事件與新興威脅。

什麼是攻擊面？

在網路安全中，attack surface也可描述為攻擊者可藉以嘗試入侵系統，或未經授權存取或竊取其中資料的各種向量。這不僅可能涉及伺服器與程式碼儲存庫，也包括員工端點、雲端容器，甚至影子 IT。根據 2023 年進行的一項調查，超過半數受訪者表示資料安全是其在網路安全中的首要關注，因此有必要識別每一個可能的弱點。

在一個連線頻繁且快速的世界中，忽略任何部分路徑都可能導致重大威脅，範圍從憑證遭入侵到微服務架構中的橫向移動。因此，識別您的整體攻擊面（涵蓋從硬體層到使用者層的一切）是安全防護的必要起點。這就是為什麼唯有列出這些可能的滲透點，安全團隊才能封堵或隔離它們，以降低潛在威脅。

攻擊面的類型

雖然組織可能會將安全弱點歸納在同一個總稱之下，但攻擊向量的類型差異極大。四個類別中的每一類——數位、實體、人員與社交工程——都有其獨特的滲透向量，並需要特定的防護措施。

經過拆解後，團隊會更容易理解應實作哪些防禦措施。在此，我們將識別各個領域及其要素、傳播方式，以及避免風險的策略。

1. 數位攻擊面

在 API、容器化工作負載以及擴展至多雲環境的時代，數位元件是攻擊面的重要組成部分。未維護的 Web 服務、有弱點的框架，或殘留的開發端點，都可能形成應用程式的直接存取點。透過持續識別並建立網路邊界的詳細表示，以及持續掃描威脅，安全團隊便能跟上日益複雜的數位環境。

組成元件

這些是數位元件中多樣化的軟體與網路入口點。您擁有的連線服務與雲端功能越多，數位攻擊面就越大。列出每一項資產（網域、子網域、API 或微服務）有助於避免被攻擊者鎖定的盲點。

1. Web Apps: Web 應用程式涉及使用者互動，且可能包含驗證機制甚至資料庫。因此，像是 SQL injection 或跨網站指令碼等弱點，可能讓惡意使用者修改資料或將其傳送給未授權人員。這些滲透點可透過定期掃描以及將安全 SDLC 納入組織流程來降低。
2. APIs: 微服務使用 API 彼此通訊，也與外部應用程式通訊。若端點未經驗證，或所使用的權杖已過舊，攻擊者便可輕易橫向移動。為防止其遭到入侵，可採用以權杖為基礎的安全機制、速率限制與版本控制。
3. Cloud Services & IoT: 雲端平台上防護不足的儲存貯體，或未更新韌體的不安全 IoT 裝置，會引入新的 attack vectors。網路犯罪分子會利用開放連接埠或未加密的資料傳輸。透過例行組態檢查、強制執行傳輸層安全性，以及韌體更新，可將這些風險降至最低。

常見攻擊向量

有些攻擊者會透過尋找有弱點的 Web 框架、開放測試用子網域或不安全的 API 來鎖定網站。程式碼注入仍是常見的攻擊方法，因為它可讓犯罪分子修改資料庫查詢或伺服器命令。以 IoT 為例，裝置劫持甚至資料攔截都可能由弱加密所造成。另一方面，若授權設定限制不足，雲端組態錯誤便會導致資料外洩。

緩解策略

程式碼掃描、使用安全程式碼準則，以及修補弱點，有助於管理常見的軟體缺陷。零信任架構會隔離微服務並驗證每一項請求，因此可限制橫向移動。安全性是雲端運算的重要面向，而要達成此目標，強化 IAM 角色與加密傳輸中的資料至關重要。不過，定期環境掃描也有助於避免遺漏暫時性的 IoT 或開發環境。

2. 實體攻擊面

雖然數位層面的議題較容易吸引媒體關注，但實體硬體與現場裝置仍是重要的共用入口點。遺失或遭竊的設備可能危及資料或網路登入資訊，甚至能繞過最先進的防火牆。了解您的實體環境對於防範通常所稱的「後門」存取至關重要，因為這類存取並不遵守電腦安全邊界。

組成元件

這些涉及實體資產，也就是 PC、伺服器或手機，以及容納它們的設施。實體安全措施可確保對資料中心、企業辦公室及含有敏感資訊的硬體進行受限存取。如此一來，透過列出每一項裝置或地點，可將現場裝置遭竄改的可能性降至最低。

1. Endpoints: 密碼或 Cookie 可能儲存在筆記型電腦、桌上型電腦或其他行動裝置中。當端點未採用磁碟加密或使用弱密碼時，失竊可能直接導致資料外洩。強制執行加密與裝置鎖定仍是有助於防止實體滲透的基本策略。
2. Servers: 內部部署機架或託管伺服器包含重要資訊與關鍵服務。缺少攝影機記錄或存在開放存取，可能讓入侵者安裝鍵盤側錄程式，甚至移除磁碟機。實體安全措施包括適當的鎖具、識別證門禁，以及全天候監控，以防止任何竄改。
3. Lost/Stolen Devices: 遺失的硬體是重要的滲透途徑，無論是含有公司電子郵件的個人手機，還是存有備份的 USB 隨身碟。攻擊者可讀取本機檔案或竊取用於登入的權杖。透過使用遠端抹除功能以及為每部裝置設定強式密碼，便可將整體攻擊面的這一部分降至最低。

常見攻擊向量

企業硬體是任何組織的重要面向，而犯罪分子會使用暴力或闖入手段竊取企業硬體。他們也可能在垃圾桶中搜尋遭丟棄的磁碟機或文件。在某些情況下，員工會故意拔除纜線或安裝惡意硬體，導致機架故障。將筆記型電腦留在車內或在咖啡館中未上鎖，也會增加實體威脅領域的風險。

緩解策略

密碼保護、全磁碟加密、BIOS/UEFI 密碼以及裝置鎖定，也會使從遭竊裝置中擷取資訊變得困難。另一種將周邊設備使用降到最低的方法，是停用非必要的連接埠或 USB 功能。適當的實體安全措施，例如掃描身分證件或使用生物辨識鎖來允許存取資料中心，可將蓄意破壞降到最低。其他措施包括定期盤點，以及妥善追蹤資產，以檢查放錯位置或遭竊的物品，並及時停用。

3. 人員攻擊面

由於技術通常是公司防禦的焦點，多數最嚴重的資料損失其實源於人為錯誤。無論是誤信網路釣魚連結的天真員工，還是惡意洩露公司資訊的員工，人員仍然是攻擊面的一部分。為確保沒有人因犯錯而為攻擊者打開缺口，了解這種情況如何發生在員工、承包商或合作夥伴身上至關重要。

組成元件

就人員風險而言，可由使用者行為、資訊不足與誘因來定義。缺乏良好的密碼管理、訓練不足，或內部人員攻擊，都可能危及即使是最強健的安全系統。組織必須評估每位使用者支援或破壞防禦的能力。

1. Insider Threats: 員工可能透過洩露憑證或植入後門，蓄意破壞公司。即使是出於善意的員工，也始終可能建立影子 IT 系統或以不安全的方式儲存資訊。降低權限並稽核日誌，也能在早期防止或識別內部濫用。
2. Phishing: 網路犯罪分子會傳送看似來自官方實體的電子郵件或訊息，誘騙目標提供登入憑證或下載惡意軟體。透過頻繁的員工訓練，可將這類成功機率降至最低。結合垃圾郵件篩選器與持續的連結掃描，您可大幅降低遭滲透的可能性。
3. Weak Passwords: 簡短或容易猜測的密碼仍然是常見的入侵切入點。這表示如果員工在不同系統中使用相同的通關密語，駭入其中一個系統就會讓駭客取得其他所有系統的存取權。這就是為什麼應鼓勵使用密碼管理器、密碼應設定為複雜，且應強制執行重設，以將暴力破解威脅降到最低。

常見攻擊向量

犯罪分子發送魚叉式網路釣魚根據員工的職務說明鎖定員工的電子郵件。他們也可能嘗試使用先前攻擊中竊取的憑證，如果員工重複使用這些憑證。外部威脅是指源自組織外部的威脅，而內部威脅則利用直接存取權限或未受監控的權限，在不受任何干擾的情況下複製資料。在缺乏適當的使用者行為分析或多重要素驗證的情況下，環境仍然暴露於此類以人為中心的攻擊向量。

緩解策略

安全意識測試，例如頻繁的假冒網路釣魚攻擊，有助於衡量員工意識並識別訓練需求。使用多重要素驗證可大幅降低密碼外洩的影響。此類方法包括監控大量資料傳輸或登入時間，這些都是使用者可疑活動的指標。實施「最小權限」原則意味著員工只能存取必要層級的權限。

4. 社交工程攻擊面

與人性的弱點密切相關，社交工程層旨在操縱人們，例如透過藉口詐騙或誘餌手法。此領域說明了心理策略與技巧如何能夠繞過嚴格的技術性防護措施。透過操縱，例如利用信任或時間敏感議題，犯罪分子迫使員工提供未經授權的存取權或資訊。

組成要素

社交工程的組成要素包括與操縱相關的心理控制元素，這些操縱會鎖定情感或認知上的弱點。詐騙者會非常謹慎地蒐集有關員工或流程的背景資料，以讓他們的說詞顯得可信。因此，即使是最先進的網路掃描，在應對人類容易受騙這一因素時也不是非常有效。

1. 操縱：詐騙者會花時間塑造可信形象或營造緊急感——例如假裝是公司的人資部門要求變更密碼時。他們依賴能促使員工在不質疑陳述真實性的情況下採取行動的提示。防止身分盜用的一種方式，是鼓勵員工保持懷疑態度，讓他們能輕易識別這類伎倆。
2. 藉口詐騙：在藉口詐騙中，犯罪分子會編造各種掩護故事，例如自稱是需要資料庫憑證的合作夥伴開發人員。他們可能會從你的 LinkedIn 個人檔案或其他公開可得資訊取得你的個人資料，以顯得真實可信。這些企圖可透過強而有力的驗證流程有效對抗，例如能夠撥打已知的內部電話號碼進行確認。
3. 誘餌手法：誘餌手法的一個例子，是將標示為「Bonus_Reports」且已感染的 USB 隨身碟放在辦公室走廊。它利用會讓員工將其插入裝置的好奇心來發揮作用。禁止插入未知裝置的正式規範，可以大幅限制此類手法的成功機會。

常見攻擊向量

網路釣魚包含惡意程式碼連結的電子郵件，以更具說服力的方式進行，或假冒 IT 支援專家的詐騙電話，仍然相當常見。網路犯罪分子也會建立訊息並傳送給員工，要求他們重新輸入其帳戶資訊。之後，犯罪分子會進一步完全控制受害者的網路。欺騙手法，包括假扮成送貨人員，使入侵者得以繞過安全措施並取得建築物的完全存取權。

緩解策略

持續的員工訓練與政策複習可讓工作人員持續警覺潛在問題，例如外部來電。向員工說明，透過正式管道確認所有緊急請求至關重要。對於實體存取，請使用身分查驗或嚴格的訪客登記制度。持續重複的演練、熟悉的升級通報程序，以及以安全為導向的思維，能夠減輕社交工程入侵。

真實世界攻擊面範例

即使是擁有強大框架的組織，也無法免於暴露端點或遭竊憑證等攻擊。以下五個範例展示了忽視某一面向如何導致大規模資料外洩：

每個範例都強調，熟悉的威脅始終在演變，無論組織規模大小都必須加以監控。

1. 薩爾瓦多的 Chivo Wallet (2024)：薩爾瓦多的國家加密貨幣錢包，Chivo，於前一年的 4 月遭到駭客入侵，攻擊者竊取了 144 GB 的個人資料並分享了原始碼。這很好地說明了未受保護的數位端點或開放的程式碼儲存庫如何成為進入組織的入口。不嚴謹的安全措施，例如未實施嚴格的存取控制或未定期進行滲透測試，使政府暴露於更多風險之中，而非降低風險。未來的預防措施將包括嚴格實施 DevSecOps、以權杖為基礎的環境隔離，以及多重程式碼審查。
2. PlayDapp (2024)：去年，一家區塊鏈遊戲公司，PlayDapp，成為一起攻擊的受害者，該攻擊入侵了其環境，並使駭客得以建立 17.9 億枚、價值 2.9 億美元的 PLA 代幣。對加密金鑰管理不善導致攻擊者得以入侵。目前仍不清楚，多重簽章架構或以硬體為基礎的金鑰儲存原本如何能防止代幣被反覆偽造。作為攻擊向量的範例，這指出單一遭入侵的加密元素即可導致整個平台失效。
3. Government Accountability Office (GAO) (2024)：前一年，與GAO相關的 6,600 人受到一起針對承包商環境中 Atlassian Confluence 的資料外洩事件影響。這種入侵角度顯示，第三方軟體缺陷如何增加機構無法直接控制的整體攻擊面範圍。同樣重要的是儘快修補，並確保第三方已獲得適當評估。為防止橫向移動，即使是聯邦機構也必須詳細記錄合作夥伴軟體設定。
4. FortiManager 的遠端程式碼執行弱點 (2024)：FortiManager 的遠端程式碼執行弱點 (CVE-2024-47575) 以及 Palo Alto Networks 防火牆中的其他數個弱點，影響了全球各地的組織。攻擊者在修補程式可用或廣為人知之前就利用了這些弱點，證明短暫性威脅可能侵蝕整個周界安全解決方案。快速修補，或採用更精密的偵測機制來連結不同類型的數位端點，始終至關重要。即時警示與敏捷 DevSecOps 的協同作用，可將入侵窗口降至最低。
5. Snowflake (2024)： Snowflake，作為領先的雲端資料處理服務之一，遭遇了一起涉及約 165 家大型客戶（例如 AT&T 和 Ticketmaster）的資料外洩事件。該威脅行為者組織使用遭竊的員工憑證發動攻擊，隨後將這些資料放到網路犯罪論壇上出售。這顯示出，有效運用多重要素驗證原本可以在一開始就防止橫向升級的發生。作為攻擊面的其中一個例子，這也顯示即使是已獲得廣泛採用的雲端解決方案，也可能因基本的身分識別失敗而存在弱點。

如何降低並保護您的攻擊面？

現在已清楚的是，四種常見攻擊面類型中的每一種，都為入侵發生提供了不同機會。然而，這種風險管理方法可以大幅降低整體風險曝險，或降低攻擊者可利用的攻擊面。

在下一節中，我們概述五種整合掃描、政策與持續監督的方法，以實現有效防護：

1. 管理地圖上的每項資產並持續監控：首先列出每個與您的環境有接觸的子網域、雲端執行個體或裝置，即使只是些微接觸也要列入。每日或每週追蹤工具可識別每天或每週出現的新暫時性端點。將資產情報與 SIEM 或EDR 解決方案整合，例如SentinelOne Singularity，可揭示新的擴展或新發現的弱點。保持資產清冊為最新狀態，可消除來自隱藏來源或過時系統的攻擊角度。
2. 採用零信任微分段： 不要讓攻擊者取得整個子網路的完全控制權，而是以一種方式隔離微服務或使用者：即使它們遭到入侵，也無法自由橫向移動。內部流量也需要重新驗證身分、權杖檢查或某種限制，以防止使用者進行橫向移動。若容器、函數或伺服器是部署於地端環境，請對其實施強健的角色型存取控制。這種整合可確保某個角落發生入侵事件時，不會危及您的整體架構。
3. 嚴格存取控制與憑證管理： 對所有具有管理存取權限的帳戶實施多重要素驗證，並使用生命週期較短的工作階段 Cookie。不要允許使用者重複使用密碼，並記錄嘗試以偵測任何安全威脅。對於第三方整合，程式應擁有自己的一組憑證或 API 金鑰以監控使用情況。以強式驗證保護每個環節，可大幅降低那些已取得或猜中憑證者的潛在入侵點。
4. 安全稽核與修補週期： 至少建議您每季或每月執行一次靜態程式碼分析與動態滲透測試。整合 修補程式管理 工具，並搭配內部政策，要求在任何修補程式適用時立即套用。這種協同作用可立即處理已知弱點。延遲套用修補程式是讓犯罪分子滲透系統的最大威脅來源之一。
5. 推動安全文化與持續訓練： 線上訓練，包括網路釣魚、社交工程和裝置使用，會持續提醒員工入侵可能如何發生。若員工覺得自己收到可疑電子郵件，或試圖繞過裝置政策，應推動「先通報」的文化。這種做法可確保每位使用者都是額外的一層防護，而不是脆弱點。從長遠來看，這將形成警覺性高的員工團隊，將操縱性駭客策略成功的可能性降至最低。

結論

確保數位端點、實體硬體以及使用者造成的錯誤中的多重攻擊向量被消除，從未像現在這樣關鍵。政府錢包遭竊和零時差攻擊等真實案例顯示，任何薄弱環節都可能導致大規模資料外洩或勒索軟體事件。為了防止此類攻擊，組織必須採取分層方法，識別所有端點、快速修補已知漏洞，並教育員工防範社交工程。

當這些最佳實務與高層級安全措施結合時，便能建立具備良好安全水準的組織架構。持續掃描、微分段與使用者警覺性會協同運作，透過各類型攻擊面的每個角度降低滲透機會。