網路安全中的尾隨攻擊：挑戰與預防

什麼是尾隨攻擊？

一名抱著兩箱印表機用紙的陌生人走到您員工在刷卡讀卡機入口的後方。您的員工替他扶住門。在這三秒鐘的禮貌舉動中，您建立的每一條防火牆規則、網路分段政策與周界防禦都被繞過了。攻擊者已經進入，而只有分層的實體與端點控制才能阻止接下來的攻擊鏈。

尾隨攻擊是一種實體社交工程技術，未經授權的人員藉由緊跟在已授權個體後方穿過受保護的存取點，進入受限制區域。攻擊者利用的是人類行為，而非技術弱點，從而完全繞過實體存取控制。

一種密切相關的技術是 piggybacking，兩者有一個關鍵差異：已授權人員明知而允許未授權個體進入。尾隨攻擊中，受害者並不知情。至於 piggybacking，則是透過社會壓力或欺騙說服對方主動參與，例如扶門或分享存取權限。

這項區別對您的防禦策略很重要。全高式旋轉閘門可以阻止尾隨攻擊，但無法防止兩個人一起進入同一個隔間。質疑文化政策可處理 piggybacking，但對於在擁擠大廳中悄悄尾隨的人則毫無作用。

為何尾隨攻擊對網路安全很重要 

尾隨攻擊會繞過您已部署的每一項數位控制。一旦通過讀卡機，攻擊者就能實體接近內部網路連接埠、無人看管的工作站、機房與配線間。當有人已站在資產旁邊時，您的周界防火牆、網路分段與存取政策都失去意義。

MITRE ATT&CK直接承認這項風險。戰術 TA0043（Reconnaissance）包含對受害者實體位置資料的蒐集，作為鎖定目標的一部分。從這裡開始，kill chain可對應到 T1200（Hardware Additions）與 T1091（Replication Through Removable Media）等技術，將一次實體進入轉變為完整的網路入侵。

一旦進入內部，攻擊者的操作權限就如同惡意內部人員。您的端點安全層是最後一個有效的控制邊界。這種實體與網路風險的匯流，正是尾隨攻擊需要以與任何基於網路的攻擊路徑相同嚴謹程度來防禦的原因。

尾隨攻擊的核心組成要素

每一起尾隨或 piggybacking 事件都依賴同一組可被利用的要素。了解這些要素有助於您發現自身防禦中的缺口。

• 具有人流的存取控制點。 受保護的門、刷卡讀卡機入口、旋轉閘門大廳與裝卸區都會創造機會。人流越高，攻擊者就越容易混入其中。
• 作為無意協助者的已授權人員。 攻擊者需要某個具有合法存取權的人來開門、刷卡通過讀卡機，或只是走在前面。在 piggybacking 情境中，協助者會被社交操縱而主動參與。
• 心理槓桿。 CISA 指引記錄了幾種常見手法：助人規範、對感知權威的服從、避免對抗，以及急迫感。攻擊者會疊加使用這些槓桿。一個穿著技術人員制服、攜帶沉重設備並聲稱期限緊迫的人，會同時利用三種心理觸發因素。
• 藉口或掩護說詞。 常見藉口包括：尚未啟用識別證的新員工、送貨司機、維護技術人員，或陪同人員遲到的訪客。剪貼板、工具袋與借來的掛繩等道具會強化這種欺騙。
• 實體或程序控制中的缺口。 這可能是無法強制單人通行的平開門、可被社交工程操縱的警衛站，或是僅存在於紙面上卻缺乏執行的政策。

這些組成要素會作為一個系統彼此互動。無論是透過實體屏障、訓練或程序執行，只要移除其中任何單一要素，就能破壞攻擊鏈。

尾隨攻擊如何運作

攻擊者將這些組成要素結合成遵循可預測模式的特定方法。以下是滲透測試人員與真實世界攻擊者反覆使用的技術。

• 「雙手拿滿東西」的方法。攻擊者抵達時手上拿著箱子、餐盤或設備。社會規範會促使您的員工替對方扶門。
• 冒充身分。 攻擊者打扮成技術人員、快遞員或清潔人員，並自信地接近入口。
• 「新進員工」的藉口。 攻擊者聲稱自己的識別證尚未啟用，並請求員工協助通過門禁。這種變體利用了助人心態，以及新進流程延遲的合理性。
• 利用吸菸區與休息室。攻擊者會待在非正式聚集點附近，因為員工在這些地方重新進入建築時，通常不會經過正式驗證。
• 對警衛進行社交工程。 有些攻擊者完全繞過門口，改而鎖定有人值守的保全櫃台。

每種方法都鎖定實體或程序控制中的特定缺口，這也解釋了為何這些攻擊能如此持續地成功。

尾隨攻擊為何會成功

尾隨攻擊之所以持續有效，原因涉及結構、心理與組織層面。

1. 人際禮貌凌駕於安全訓練之上。 您的員工知道政策規定不得替他人扶門，但他們還是會這麼做。當下質疑某個可能是合法同事的人，其社交成本感受上高於抽象的安全 breach 風險。單靠訓練無法壓過這種根深蒂固的行為規範。
2. 組織往往對自己明知需要的控制措施投資不足。 這種認知與行動之間的落差，意味著最有可能阻止尾隨的措施，往往缺席於最關鍵的入口處。
3. 組織不一定會追蹤尾隨事件。 您無法防禦未衡量的事物，而當您沒有可向管理層提出的事件資料時，也無法為控制措施爭取預算。
4. 傳統門禁控制系統存在盲點。 大多數安裝在平開門上的實體 門禁控制 系統，無法確認使用者在刷證後是否真的進入建築。若沒有強制單人通行的控制措施，就很難有把握地知道建築內究竟有哪些人。
5. Piggybacking 會利用信任關係。 當授權人員主動參與時，即使是先進的識別系統也難以應對。兩個人一起進入 mantrap，會繞過許多實體控制所依賴的單人佔用假設。

這些因素會相互疊加：不追蹤事件的組織無法合理化部署阻隔措施，導致員工必須在未受控的入口點持續面對社交壓力。

阻止尾隨的挑戰

即使是已認知尾隨風險的組織，在實施防禦措施時仍會面臨實際障礙。

1. 通行量與安全性之間的取捨。Mantrap 與安全旋轉門可強制單人通行，但會降低進入速度。在尖峰時段，營運摩擦會形成放寬控制的壓力，而這正是尾隨風險最高的時候。
2. Piggybacking 問題需要文化改變。實體阻隔可以阻止偷偷尾隨的人，但無法防止員工自願替他人扶門。要處理 piggybacking，必須建立一種質疑文化，讓員工感到自己有權也有責任去查驗陌生人。這是組織變革工作，不是採購技術。
3. 實體安全與資安團隊各自為政。 在大多數企業中，實體安全通常向設施管理部門報告，而資安則向 CIO 或 CISO 報告。這種結構性分離意味著實體入侵資料很少會納入網路風險評估，而網路威脅情報也很少會影響實體安全態勢決策。結果就是對融合型風險做出零散的回應。
4. 發現不等於預防。 光學閘門與尾隨識別感測器會在進入後觸發警報。知道有人尾隨進入，並不等於阻止了他們。

這些結構性挑戰解釋了為何即使具備安全意識的組織，也會在尾隨防禦計畫中犯下可預測的錯誤。

常見的尾隨防禦錯誤

這些有據可查的失誤，在企業安全計畫中反覆出現。

1. 將 tailgating 與 piggybacking 視為同一個問題。兩者需要不同的因應措施。部署閘門卻不進行訓練，只能處理 tailgating，卻會讓 piggybacking 完全暴露無防。
2. 在安全入口周圍留下實體缺口。 組織可能投資於入口控制，卻仍留下可繞行的替代路徑，從而削弱整個系統。
3. 假設讀卡機能防止尾隨。 傳統系統會驗證憑證，但無法確認是否沒有第二個人跟著穿過門。刷卡進入不等於單人通行。
4. 將門未關妥警報作為主要控制措施。 警報會在進入後通知。若員工忽視或未能回應，尾隨者就能自由行動。
5. 略過對實體控制措施的紅隊測試。若未進行測試，您只能憑空猜測。
6. 忽視實體入侵的網路後果。 未能將實體存取與端點、網路及身分風險連結起來，會使整個攻擊鏈無法獲得處理。

避免這些錯誤，能為同時處理尾隨與搭便車的分層式防禦計畫掃清道路。

如何防止尾隨攻擊

以分層方式建立您的防禦計畫，讓控制強度與區域敏感度相符。

• 部署可強制單人通行的實體屏障。 安全旋轉門與 mantrap 入口是最強的預防控制措施。請優先在伺服器機房、資料中心與高階主管區域部署這些措施。
• 建立質疑文化，而不只是政策。書面政策要求員工不要替他人撐門是必要的，但仍不足夠。請針對尾隨與搭便車兩種情境訓練員工。對高階主管與系統管理員應採用目標式訓練。
• 實施符合 ISO 27001 Annex A 7.2 的訪客管理。 維護每位訪客的可驗證紀錄。將承包商的存取限制在特定授權區域與時段內。將您的訪客管理系統與 HR 資料庫及識別證讀卡機整合。
• 定期對您的實體控制措施進行紅隊測試。 NIST SP 800-53 要求針對 HIGH 安全基準，進行未事先通知的實體存取控制繞過嘗試。實體滲透測試可揭露您文件化控制措施與實際安全態勢之間的落差。
• 將實體存取資料連接到您的安全營運。 將識別證讀卡機記錄、尾隨警示與訪客管理資料匯入您的 SIEM 或安全營運平台。當尾隨警示與同樓層的異常端點行為產生關聯時，您的 SOC 就能對整個攻擊鏈做出回應，而不是將每個事件孤立處理。
• 將 Zero Trust 原則套用至實體存在。 在建築物內的實體存在不應隱含授予任何網路存取權。持續性的裝置態勢驗證、最小權限強制執行，以及 micro-segmentation 可確保即使尾隨者接觸到網路連接埠，若未滿足身分與裝置健康狀態要求，仍無法存取組織資源。

這些分層控制措施可大幅降低尾隨風險，但沒有任何實體防禦是完美的。當攻擊者確實成功進入時，攻擊就會從實體轉向數位，而另一套控制措施將接手。

從實體到網路的攻擊鏈

實體存取會開啟特定的網路攻擊路徑。了解這些路徑有助於您優先部署端點與身分控制措施。

1. USB 惡意程式植入（MITRE T1091）。 尾隨者接觸到無人看管的工作站，插入預先載入的 USB 裝置，並在沒有任何網路層互動的情況下啟動執行。您的周界 firewalls 永遠看不到這些流量。
2. 認證傾印（MITRE T1003.001）。 攻擊者從實體存取到的端點執行 credential harvesting 工具來攻擊本機記憶體。結果形成一條 privilege escalation 鏈，從單一工作站一路取得足以存取關鍵基礎設施的認證。
3. 惡意裝置安裝（MITRE T1200）。 尾隨者在會議室或未上鎖的配線間，將惡意無線存取點連接到內部網路連接埠。攻擊者現在可從建築物外持續以無線方式存取您的內部網路。

在每一種情境中，端點都是最後一道控制層。周界防火牆與網路存取控制不會檢查由合法連線的內部機器所發起的活動，因此 endpoint security 就是在實體入侵後的最後一道防線。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

重點整理

尾隨與搭便車攻擊會利用實體存取點的人類行為，繞過您整個數位安全堆疊。 

防禦尾隨攻擊需要分層式實體屏障、經過訓練的質疑文化、紅隊測試，以及在實體控制失效時作為最後一道防線運作的端點安全。