遠端存取安全最佳實務：完整指南

什麼是遠端存取安全？

2021 年 5 月，Colonial Pipeline 勒索軟體攻擊可追溯至一個缺乏多重要素驗證的單一遭入侵 VPN 帳戶。這一個缺口使管線營運停擺數日，並導致據報支付了 440 萬美元的贖金。美國司法部後來查扣了約 63.7 枚 Bitcoin，當時價值約 230 萬美元，與該筆贖金有關。

遠端存取安全是您圍繞外部使用者、裝置與內部企業資源之間每一條連線所建立的分層防護框架。它涵蓋規範員工、承包商與第三方如何從您的網路邊界之外連線至企業系統的政策、技術與控制措施。這包括分散式員工每天使用的每一條 VPN 通道、SSH 工作階段、RDP 連線，以及雲端應用程式登入。

根據 2025 Verizon DBIR，遭竊憑證涉及 22% 的所有已確認外洩事件。SANS Institute 發現，在經歷安全事件的組織中，50% 的事件源自外部連線或遠端存取路徑。綜合來看，這些數據證實遠端存取路徑仍是企業外洩事件最常遭鎖定的入口點之一。

NIST SP 800-46 將遠端存取安全定義為涵蓋「企業遠距工作、遠端存取，以及自攜裝置 (BYOD)」環境。NIST 要求這些技術的所有元件，包括 BYOD 用戶端裝置，都應根據透過威脅模型識別出的預期威脅加以保護。

若要將該要求落實為可操作措施，您需要了解遠端存取在更廣泛的網路安全模型中的定位。

為何遠端存取安全很重要

遠端存取安全位於身分識別管理、網路安全與端點防護的交會處。 NIST Cybersecurity Framework 將其定位於「Protect (PR)」功能下的「Identity Management, Authentication, and Access Control (PR.AA)」，作為基礎控制領域。每個 VPN 端點、跳板伺服器與遠端桌面閘道都代表一個攻擊者積極鎖定的入口點。

若要快速複習本指南中反覆提及的基礎術語，請參閱 SentinelOne 的 Cybersecurity 101 資源庫。在建立這個基準後，了解鎖定遠端存取路徑的特定攻擊模式，有助於您判斷應優先強化哪些部分。

常見的遠端存取安全風險

攻擊者將遠端存取基礎架構視為主要入口點，而非次要入口點。了解特定威脅模式有助於您在最重要之處優先進行強化。

• VPN 與邊界設備利用： VPN 閘道與 防火牆 位於網路邊緣，使其成為國家級組織與勒索軟體操作者的高價值目標。CISA 的 2023 Top Routinely Exploited Vulnerabilities該公告顯示，當年最常遭利用的 CVE 中，大多數最初都是以零時差漏洞的形式遭到利用，其中 Citrix、Fortinet 和 Ivanti 的產品尤為突出。到了 2024 年，這種模式仍在持續：CISA 在威脅行為者串連多個 Ivanti Connect Secure 漏洞以繞過驗證、植入 web shell 並竊取憑證後，發布了一份聯合公告。攻擊者隨後使用設備本身原生的工具進行橫向移動，包括 RDP、SSH 和 nmap。
• 憑證竊取與暴力破解攻擊： 遭竊憑證仍是攻擊者取得遠端存取權限最常見的方式。如前言所述，近四分之一的所有已確認外洩事件都涉及遭竊憑證，而針對 RDP、VPN 入口網站與 SSH 端點的暴力破解與憑證填充攻擊持續不斷。超過 85% 的組織 在任一月份中至少有 25% 的時間讓 RDP 可透過網際網路存取，這使攻擊者擁有可持續鎖定的密碼噴灑攻擊目標。
• 工作階段劫持與驗證後濫用： 僅有驗證本身並不能消除風險。取得有效工作階段權杖或 Cookie 的攻擊者可以完全繞過 MFA。Citrix NetScaler 的 CVE-2023-4966 ("CitrixBleed") 允許工作階段權杖外洩，使攻擊者無需提供憑證即可取得已驗證存取權。一旦進入內部，透過 RDP、SMB 與管理工具進行橫向移動就是標準手法。Sophos 事件回應資料顯示，攻擊者在 69% 的調查事件中 劫持 RDP 以進行橫向移動，使其成為該階段遭濫用最多的通訊協定。
• 第三方與供應商存取濫用： 擁有遠端存取憑證的承包商、受管服務供應商與供應鏈廠商構成一個獨特的威脅類別。第三方連線占 2024 年所有通報外洩事件的 35.5%，較前一年增加 6.5%。風險之所以加劇，是因為供應商帳戶通常具有廣泛權限、缺乏工作階段監控，且在專案結束後仍長期保持啟用。2023 年 Caesars Entertainment 外洩事件即說明了這種模式：攻擊者對外包 IT 支援供應商發動社交工程以取得初始存取權，造成約 1,500 萬美元的成本。
• 遠端存取工具供應鏈攻擊： 攻擊者也會鎖定工具本身。2024 年對 ScreenConnect 漏洞的利用（CVE-2024-1708 與 CVE-2024-1709）顯示遠端管理平台多快就會成為攻擊向量。包括 Black Basta 與 Bl00dy 在內的勒索軟體組織在數日內便開始利用這些缺陷，使用工具內建功能在已連線端點間散布惡意軟體。當您的遠端存取平台遭到入侵時，其管理的每一部裝置都會變得可被觸及。

這些威脅模式各自對應到一組特定的強化步驟。以下最佳實務將依通訊協定逐一加以說明。

遠端存取安全最佳實務

大多數遠端存取程式失敗的原因在於作業銜接處，而非技術層。VPN 記錄通常只會擷取連線與中斷連線事件，而缺乏資源層級的情境，因而形成盲點。將 VPN 加上 MFA 視為終點，是最常見的錯誤之一：若沒有分段、裝置合規性與工作階段監控，登入後的橫向移動仍然完全暢通無阻。以下做法是以通訊協定為重點的遠端存取最佳實務，您可以套用，而無需在單一衝刺期間重寫整個架構。

VPN 強化

遵循 NSA/CISA 的 VPN 強化指引：

• 依 CNSA Suite 要求強制使用採用 AES-GCM-256 加密的 IKEv2/IPsec
• 淘汰舊版密碼套件與已棄用的 Diffie-Hellman 群組
• 透過集中式 AAA 層對每一次遠端存取嘗試強制執行 MFA
• 以明確警示監控連線事件與帳戶變更

在這裡，修補速度比您技術堆疊中的任何其他地方都更重要。根據 CISA 公告，遠端存取漏洞在揭露後 9 到 13 天內就可能遭到利用，這意味著每月一次的修補週期會為面向網際網路的 VPN 閘道留下很大的空窗期。應將周邊設備視為緊急修補候選項目，並以個位數天數為目標。

若要更廣泛了解為何 VPN 安全性仍是高度優先的關注事項，SentinelOne 的VPN 安全性說明提供了從威脅到控制措施的對應。當您的 VPN 閘道完成強化後，請將注意力轉向最常用於伺服器與基礎架構存取的通訊協定。

SSH 強化

套用可降低金鑰蔓延與憑證重放風險的 SSH 安全控制：

• 僅強制使用 SSH Protocol Version 2 與現代加密套件 (AES-256-GCM, ChaCha20-Poly1305)
• 要求使用金鑰式驗證，並完全停用密碼登入
• 集中管理金鑰生命週期控制：透過憑證授權單位或秘密管理器進行簽發、輪替與撤銷
• 記錄工作階段中繼資料，並調查異常的命令模式
• 設定最大驗證嘗試次數與連線逾時，以減緩brute-force嘗試

對大多數團隊而言，集中化 SSH 金鑰管理是影響力最高的單一步驟，因為長期運行伺服器上的孤兒金鑰是稽核人員一再標示的常見盲點。

RDP 強化

CISA 的 RDP 移除指引明確指出要在周邊封鎖連接埠 3389。接著，再分層套用其他控制措施：

• 要求在 RDP 連到內部系統之前，先經過 VPN 或代理式存取
• 對閘道強制執行 NLA 與強式 TLS 設定
• 在代理或閘道存取步驟套用 MFA
• 設定閒置工作階段逾時，並在資料敏感度有要求時限制剪貼簿或磁碟機重新導向

允許未受管理的裝置在沒有姿態檢查的情況下連線，等同於接受來自您無法檢查、修補或控制之機器的憑證竊取風險。如果您的環境支援BYOD，請將這些工作階段導向會在授予存取權之前驗證裝置健康狀態的代理路徑。不過，即使已部署強健的各通訊協定控制，登入後的網路層級存取仍會造成橫向移動風險，而零信任架構正是在此補上缺口。

零信任實作

為了降低登入後的橫向移動，請使用 CISA 的 Zero Trust Maturity Model分階段實施零信任變更：

• 以應用程式層級存取取代網路層級 VPN 存取，並從高價值資產開始
• 根據身分、裝置狀態與行為進行每個工作階段的決策
• 套用微分段以控制遠端工作階段的爆炸半徑
• 將零信任視為可與您現有技術堆疊整合的漸進式升級

SentinelOne 的 零信任安全指南說明如何將零信任遠端存取原則轉化為可強制執行的存取政策。當內部存取路徑完成分段後，剩餘的曝險通常來自外部各方；與您自己的員工相比，他們在連線到您的環境時往往受到較少監督。

第三方與供應商存取控制

承包商、MSP 與供應鏈廠商需要與員工不同的控制措施。他們的帳戶通常擁有超出專案需求的更廣泛權限、缺乏工作階段監控，且在工作結束很久後仍保持啟用。請透過以下重點步驟強化此類別：

• 強制執行即時存取，並在維護時段或專案結束時自動到期
• 將供應商工作階段的範圍限制在其所需的特定應用程式或系統，而非整個網路區段
• 記錄並稽核供應商工作階段，尤其是特權操作
• 依照明確定義的週期檢視並停用非作用中的供應商帳戶，而不僅是在年度稽核期間

供應商存取控制往往是團隊最後才實作、卻是攻擊者最先利用的項目，因此以與內部通訊協定相同的嚴謹程度對待此類別，能很快帶來成效。

強制執行抗網路釣魚 MFA

MFA已是基本要求，但 SMS 與推播式方法並非如此。攻擊者會透過即時網路釣魚代理與推播疲勞攻擊繞過這兩者；在後者中，重複的核准要求會消磨使用者意志，直到他們點選核准。NSA 與 CISA 的指引非常明確：使用網路釣魚-抵抗方法，這些方法基於 PKI 和 FIDO2 標準，用於企業遠端存取，而非基於便利性的替代方案。

• 對特權帳戶和遠端管理工作階段要求使用硬體安全金鑰 (FIDO2) 或憑證式驗證
• 在可使用抗網路釣魚選項的遠端存取路徑上，停用 SMS 和語音式 MFA
• 透過集中式 AAA 層而非個別應用程式設定來強制執行 MFA，以彌補組態缺口
• 監控 MFA 核准模式，並對異常行為發出警示，包括來自新裝置註冊的快速核准

抗網路釣魚 MFA 在驗證層可消除大多數基於認證資料的遠端存取攻擊。一旦 MFA 強化完成，裝置狀態就會成為攻擊者接下來利用的缺口。

授予存取權前先驗證裝置狀態

已通過驗證但使用未受管理、未修補裝置的使用者，並不代表是安全連線。端點狀態驗證會在工作階段開啟前檢查連線裝置的安全狀態，封鎖未達到您最低安全基準的機器存取。

• 授予存取權前，確認修補程式狀態、OS 版本及端點防護是否啟用
• 封鎖未受管理的裝置，或將其導向修復流程，而非授予完整網路存取權
• 要求所有獲准遠端存取的裝置皆啟用磁碟加密
• 在工作階段開始時重新評估裝置狀態，並在長時間連線上標示組態漂移

未受管理的裝置是盲點，因為您無法依照與企業資產相同的標準對其進行檢查、修補或控制。當裝置狀態已在入口處完成驗證後，剩餘需要補上的缺口，就是持續掌握工作階段期間發生的情況。

持續監控工作階段

登入時的一次性驗證無法防範之後發生的事情。竊取有效認證資料或劫持工作階段的攻擊者，其行為會與合法使用者不同。持續工作階段監控可在橫向移動觸及關鍵資產之前識別這些偏差。

• 建立正常模式基準：來源位置、典型存取時間、已存取資源，以及伺服器端工作階段的命令量
• 對不可能的旅行、非上班時間的管理員存取，以及突發的資源存取高峰進行標示，以便立即調查
• 結合 VPN、端點與身分遙測資料，以便將遠端工作階段與每一個下游動作建立關聯
• 針對高信賴度異常設定自動化回應，例如封鎖轉向認證資料傾印工具的工作階段

如需更多關於圍繞遠端工作階段建立偵測涵蓋範圍的背景資訊，請參閱 SentinelOne 的 威脅狩獵指南。

對遠端管理員帳戶套用特權存取管理

與特權帳戶綁定的遠端工作階段，是您環境中最具價值的目標。遭入侵且可不受限制存取網路的管理員工作階段，可能在幾分鐘內就從初始存取移動到網域控制站。 特權存取管理 (PAM) 透過控制管理認證資料可如何、何時以及從何處使用，來限制這段時間窗口。

• 每次使用後自動輪替特權認證資料，以防止跨工作階段重複使用
• 記錄所有特權遠端工作階段，並保留日誌以供鑑識調查
• 要求管理工作階段使用專用特權存取工作站 (PAW)，並與一般用途端點隔離
• 使用即時佈建將管理員存取權限限制於特定系統與時間窗口

缺乏這些控制措施的特權帳戶，是從初始遠端存取快速走向完整網域入侵的最快路徑。套用 PAM 可補上原本可能因單一遭竊管理員認證資料而被打開、進而導致整體環境遭全面接管的缺口。

SentinelOne 如何強化遠端存取安全

要在分散式員工環境中保護遠端存取，需要孤立工具無法提供的可視性、速度與關聯能力。 Singularity™ Platform 將端點、身分與雲端遙測資料整合到單一主控台中，因此您可以調查可疑的 VPN 登入及其後續端點活動，而無需在多個系統間切換。

對於淹沒在雜訊中的團隊而言，可量化的效率至關重要。在 MITRE ATT&CK Evaluations 中，SentinelOne 產生的 雜訊比所有供應商的中位數少 88%，這可直接降低分流工作負載，讓分析師把時間花在真正的遠端存取入侵上。Storyline 遙測資料會自動重建程序與連線鏈，當攻擊者利用遠端工作階段進行轉向時，可讓您更快完成根因分析。

當遭入侵的認證資料在凌晨 2 點觸發橫向移動時，您需要的是自主回應，而不是跨五個儀表板進行手動關聯。 

SentinelOne 行為式 AI 會標示可疑的登入後活動，例如 RDP 工作階段後的異常程序執行，或 VPN 存取後的認證資料傾印。 Singularity™ Identity 將這項防護延伸至您的身分基礎架構，透過即時防禦找出針對 Active Directory 和 Entra ID 的進行中攻擊。Singularity™ Identity 也會持續掃描弱密碼、暴露及遭入侵的認證資料，並提供自動化回應來修復這些認證資料。它也會在內部部署 (Active Directory) 與雲端環境 (例如 Entra ID、Okta、Ping、SecureAuth 和 Duo) 中執行此作業。

在調查速度方面， Purple AI 可將自然語言轉換為涵蓋您環境的範圍化狩獵查詢。早期採用者回報，Purple AI 可讓 威脅狩獵與調查速度提升高達 80%。當您需要回答如下問題時，這種速度至關重要：「顯示過去 48 小時內所有來自未受管理裝置的 RDP 工作階段。」

申請 SentinelOne 示範，了解 Singularity Platform 如何強化您環境中的遠端存取可視性與回應能力。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

重點摘要

遠端存取是身分識別、端點狀態與網路控制匯聚之處，而攻擊者會鎖定每一個接縫，利用 VPN 設備零時差漏洞、對外暴露 RDP 的憑證填充攻擊、驗證後的工作階段劫持，以及針對遠端管理工具的供應鏈攻擊。您可透過遵循遠端存取最佳實務來降低該風險：強化 VPN、SSH 與 RDP 控制；強制執行具抗網路釣魚能力的 MFA；驗證裝置狀態；並以分段存取套用最小權限。 

如果您的計畫仍依賴「VPN 加 MFA」，請假設攻擊者可在登入後進行橫向移動；若想了解憑證竊取如何演變為整個網域層級影響的實用路徑圖，SentinelOne 的 勒索軟體指南涵蓋了您在遠端存取驅動的入侵期間會看到的相鄰戰術。