什麼是後門攻擊？類型與範例

後門攻擊是當今企業面臨最具威脅性的面向之一。攻擊者透過系統中的隱藏存取點，繞過每一層安全防護，並成功未經授權進入敏感區域。對企業而言，這類攻擊意味著關鍵資料可能外洩、營運控制權喪失，以及顯著的財務衝擊。2023 年約有 27% 的醫療保健網路事件涉及後門攻擊。了解後門攻擊的本質及其對組織帶來的相關風險至關重要，因為這類威脅可能深藏於系統之中，使攻擊者能夠輕易造成長期損害。

在本文中，我們將介紹您需要知道的一切，從什麼是後門攻擊及其運作方式，到各種後門攻擊類型及其對企業的影響。我們也會說明一些需要留意的跡象、偵測方法，以及如何預防後門攻擊。讀完本文後，您將了解如何保護您的組織免受這種隱蔽威脅的侵害。

什麼是後門攻擊？

後門是被引入系統中的未經授權進入點，通常會繞過各種正常的網路安全機制。這種類型的網路攻擊涉及攻擊者利用軟體、硬體或網路基礎架構中的弱點或漏洞。這使他們無需進一步驗證即可持續存取系統。大多數後門攻擊是透過惡意軟體、網路釣魚或未修補的軟體來安裝，因此成為一種隱蔽且持續存在的威脅。

許多後門很難被偵測到，而且如果它們持續留存在內部，可能會在數個月／數年內完全不被察覺。這為駭客提供了更容易的途徑，使其能夠在不被發現的情況下持續進行活動。如此一來，他們會對企業造成巨大的損害。事實上，僅在 2023 年，就有 66% 的組織回報曾成為勒索軟體的攻擊目標，這意味著在勒索軟體威脅仍然猖獗的同時，後門已經成為更嚴重的問題，組織應嚴肅看待，並且最好主動加以防範。

後門攻擊簡史

本節將說明後門攻擊的起源與演變，從 1960 年代最初作為「陷門」用於執行系統維護，到 1980 年代如何轉變為惡意工具，並出現 Morris Worm 等事件。接著，1990 年代出現了政府介入，我們也將討論現代後門對當今 IoT 與雲端環境所帶來的進階威脅。

早期概念：1960 與 70 年代「陷門」的出現

在 1960 年代與 1970 年代初期，開始出現可稱為「陷門」的概念。後門攻擊早期被稱為「陷門」，起源於 1960 年代，當時開發人員與研究人員開始在系統中加入存取限制。後門首次被正式認可是在一場1967 conference資訊處理會議上，當時它被討論為一種讓特權使用者在維護期間繞過正常驗證的方法。

這些早期後門被用於合法目的，例如由開發人員進行疑難排解或執行緊急任務。然而，這些秘密存取點為未經授權的使用開了先例，也標誌著後門漏洞的開端，而這些漏洞在很久之後才被惡意行為者利用。

1980 年代：惡意用途的興起與 Morris Worm

後門程式最初曾是實用的疑難排解工具，但在 1980 年代逐漸演變為惡意的未經授權存取手法。這個十年正是個人電腦與網路技術發展的時期，也擴大了網路攻擊可能觸及的範圍。直到 1988 年，Morris Worm 的出現才使這種情況達到一個關鍵點；它是最早利用後門程式發動的大規模攻擊之一。該蠕蟲使 UNIX 系統停止運作，並利用安全漏洞迅速在網路中傳播。Morris Worm 所揭示的是，後門程式將成為網路戰爭的媒介，顯示出隱藏的存取點如何促成大規模攻擊並自行擴散。

1990 與 2000 年代：政府介入與技術進步

在 1990 年代，後門成為駭客與政府機構的工具，例如 National Security Agency (NSA) 推動的 Clipper Chip 專案，該專案試圖在電信裝置中嵌入後門。到了 2000 年代，網路犯罪分子利用木馬程式建立後門，以進行未經授權的遠端存取，而國家支持的攻擊則將目標鎖定於工業系統。  這也是一個時代，在 2010 年，臭名昭著的 Stuxnet 攻擊利用後門讓國家級駭客控制工業控制系統，顯示出這類隱藏式弱點在造成破壞方面能有多麼高的成效。

現代威脅：IoT、雲端與網路間諜活動

如今，後門程式仍然是最關鍵的網路安全威脅之一，尤其是在物聯網與雲端運算快速成長的情況下。現代後門程式如今被設計為可留存在網路內，並長時間隱匿，因此讓攻擊者得以進行長期且持續的監視、間諜活動與網路攻擊。後門程式被網路犯罪分子與國家支持的行為者用來大規模入侵系統，主要鎖定關鍵基礎設施與敏感資料。如今，後門程式已成為網路安全中的熱門議題之一，因為其隱匿特性使攻擊者能夠繞過安全防護層，讓組織在有效偵測與移除方面面臨挑戰。

後門攻擊的跡象

在後門攻擊成為嚴重威脅之前加以偵測，將有助於將企業可能面臨的損害降到最低。請留意這些可能表示入侵正在進行中的跡象，因為攻擊者會試圖掩蓋其蹤跡，並盡可能長時間留在系統中。透過監控這些跡象，可以更早發現此類可疑活動，進而讓企業能迅速採取行動保護其系統。

1. 系統無明顯原因變慢： 由於攻擊者在背景執行某些未經授權的程序，系統會以出乎意料的較慢速度運作。這類變慢通常發生在某個後門正在消耗您的資源時；它可能正在上傳資料或記錄使用者活動。如果例行活動比平常花費更多時間，或系統效能出現延遲，那麼系統中可能存在隱藏軟體，或甚至是後門惡意軟體。
2. 異常的網路流量： 系統中存在後門的另一個跡象，可能是大量資料被傳送到未知 IP，這表示未經授權的資料外洩。攻擊者會使用其他方式傳送資料，例如建立加密通道以傳輸資料的後門，因此不容易被偵測到。網路活動定期出現尖峰，尤其是持續在異常時段發生，已被證明是活躍後門正在協助攻擊者將竊取資料移轉到外部伺服器的明確訊號。
3. 未經授權的組態修改： 被變更的系統組態、使用者權限，或安全設定中未預期的變更，都應視為可疑。在大多數情況下，這類變更是由攻擊者所為，用來鞏固其存取權限、停用某些安全功能，或建立新的漏洞。一個很好的例子是駭客變更防火牆設定以允許傳入連線，之後便能透過後門輕易存取。
4. 頻繁當機/錯誤： 持續的軟體當機、錯誤，或任何形式的系統不穩定，都可能是某個隱藏後門干擾正常功能執行所致。在這種情況下，這些後門攻擊會與可能本質上合法的程序發生衝突，導致應用程式或整個系統持續當機。有時，攻擊者會故意引發這類錯誤，以掩蓋其活動或干擾正常業務運作。

後門攻擊對企業的影響

大多數企業在面對後門攻擊時都會遭受嚴重後果，這不僅可能影響其營運，也會影響其財務狀況與聲譽。了解這類影響可反映出預防措施的重要性，以及需要採取全面性的安全策略來保護敏感資訊並讓客戶安心。

1. 資料竊取： 網路犯罪分子將可取得敏感資料，包括智慧財產、財務紀錄與客戶資訊。因此，被竊資料可用於企業間諜活動、身分竊盜或其他惡意用途，進而導致相關企業遭受財務損失，並可能面臨起訴。
2. 營運中斷： 後門讓攻擊者得以控制關鍵系統，進而造成系統停機、影響生產力並干擾業務運作。這使駭客能操控系統設定或關閉所有關鍵應用程式，從而使業務流程停擺。所有這些都可能轉化為營收損失與專案時程延誤，因此妨礙整體生產力。
3. 財務損失： 財務損害可能相當嚴重，包括事件回應、可能的罰款，以及因客戶信任受損而造成的營收損失等直接成本。後門攻擊的成本還可能包括鑑識調查、系統修復，以及對受影響客戶的賠償。攻擊造成的財務後果可能持續很長一段時間，甚至高達數百萬。
4. 聲譽損害： 資料外洩意味著負面宣傳以及客戶信心流失，因而影響長期生存能力。一旦客戶對公司保護其資料的能力失去信任，要重建同等程度的信任往往需要多年。這種聲譽損害也可能延伸至商業關係，導致合作夥伴流失並降低市場競爭力。
5. 法律與合規問題： 安全事件可能因未遵循資料保護法律而導致嚴重法律後果。這在許多產業中可能意味著違反 GDPR 或 HIPAA 等法規。這些情況可能伴隨沉重罰款；此外，監管機關或一群受影響客戶甚至可能採取法律行動。組織也可能被迫在事件發生後實施昂貴的合規措施。

駭客如何使用後門？

後門讓駭客能夠進行隱密且持續的遠端存取。攻擊者部署後門有多種動機，包括資料竊取、監控使用者活動，或發動其他攻擊。下一節將從攻擊者的角度說明後門如何運作，包括他們如何維持對受害系統的控制。我們將討論駭客用來部署後門的方法、後門可實現的活動，以及其對企業帶來的風險。

1. 資料外洩： 後門為攻擊者提供了一種可持續從系統中擷取敏感資料的簡便方式。一旦後門安裝到網路中，攻擊者便可攔截資料流並監控網路活動，以擷取智慧財產、客戶資料與財務紀錄等有價值的資訊。這些寶貴資料可在黑市上出售，或用於取得競爭優勢。
2. 安裝其他惡意軟體： 一旦後門被用來取得初始存取權，駭客通常會安裝其他類型的惡意軟體，以擴大其控制範圍。這可能包括用於加密檔案的勒索軟體、用於監控使用者活動的間諜軟體，或可擷取密碼的鍵盤側錄程式。後門會成為發動更廣泛網路攻擊的跳板，進一步加劇對企業造成的損害。
3. 竄改系統組態與設定： 這些修改通常是攻擊者為了接連造成更多損害而進行的。藉由這種方式，駭客可以停用安全功能、降低系統功能，甚至建立額外的弱點，使其能夠持續無限期地維持控制權。這種能力讓攻擊者有機會持續將系統控制在手中，甚至可能進一步關閉任何偵測機制。
4. 使用者活動監控： 後門可讓駭客監控使用者活動，以蒐集敏感憑證或個人資訊。攻擊者可以擷取螢幕畫面、進行鍵盤側錄，並記錄滑鼠移動，以深入了解使用者行為並觀察登入存取情況。所取得的資訊可被用來進一步利用，以入侵其他系統，或對同一網路發動更多攻擊。
5. 發動分散式攻擊： 駭客也可以利用後門入侵系統，並將其變成殭屍網路的一部分。接著，遭入侵的系統可能被用來執行 DDoS attack。這意味著某個組織的網路可能被用來攻擊其他組織，進而導致責任問題及其他類型的損害，最終使企業本身也受到影響。

不同類型的後門攻擊

後門攻擊的範圍涵蓋從簡單的惡意軟體型木馬，到更複雜的硬體層級後門。每一種類型都有駭客部署它們的特定目的，並會依據目標的弱點加以運用。在本節中，我們將指出主要的後門攻擊類型、說明其運作方式，並討論每種類型會為企業帶來哪些特殊挑戰。

1. Rootkits： Rootkit 是一組工具，旨在隱藏攻擊者及其在系統上活動的存在。這種後門可能出現在核心層級，能將惡意軟體活動偽裝成無害程式，因此可能隱藏攻擊者本身的存在。由於其偵測與移除相當困難，因此已被廣泛用於持續性攻擊，而這類攻擊往往難以或根本無法被傳統防毒軟體偵測。
2. Trojan Horses： 木馬會將自己偽裝成其他合法應用程式。它們誘騙使用者下載並安裝。一旦安裝完成，便會建立隱藏的存取點，使攻擊者能在任何時候再次進入。木馬經常部署於網路釣魚攻擊中，攻擊者會傳送看似有效的電子郵件或連結，誘使使用者安裝這類惡意軟體。
3. 應用程式層攻擊： 這類攻擊會利用某些應用程式中已知的弱點。後門包含在應用程式碼中，這表示攻擊是針對特定應用程式軟體發動，例如檔案分享或訊息傳遞軟體。在應用程式層攻擊的情況下，人們可能不會懷疑有後門活動，因為後門是在受信任的應用程式環境中運作。
4. 硬體型後門： 有些後門會直接嵌入硬體元件中，使偵測與移除成為困難的任務。大多數是在製造時就被植入。這類後門可能讓攻擊者長時間持續控制裝置。硬體型後門也可用於攔截資料並在不被察覺的情況下監控系統活動。
5. 網路型後門： 這類後門會安裝在網路裝置中，例如路由器或防火牆，使攻擊者能夠攔截網路流量。這類後門可讓入侵者監控資料傳輸、路由流量，甚至執行網路活動。一旦網路基礎架構遭到入侵，當網路的內在結構被破壞時，整個組織都可能落入脆弱狀態。
6. Cryptojacking： 對於 cryptojacking，其做法是劫持受害者的運算資源，在未經其同意的情況下挖掘加密貨幣。這種類型的後門攻擊可能影響不同裝置與系統，導致效能不佳並提高組織成本，因為資源開始被用於非法牟利。

後門攻擊如何運作？

後門仰賴系統弱點或 social engineering 讓攻擊者取得未經授權的存取權。一旦建立後門，它就會為攻擊者提供持續的有利位置，使其能夠輕易操控功能並從系統中竊取資料。在接下來的章節中，我們將詳細說明任何後門攻擊通常遵循的一般模式，從初始存取到建立持續性，並解釋攻擊者用來滲透網路的方法。

1. 揭露弱點： 攻擊者通常會先尋找軟體、硬體，以及進一步的網路組態問題中的弱點。未修補的軟體或尚未更新的系統，會成為植入後門的理想目標。藉由利用這些缺陷，駭客可以植入其後門，而這些後門可能無法被任何方式追查出來，使其得以繞過安全措施。
2. 初始存取： 攻擊者會嘗試透過網路釣魚或惡意下載取得初始存取權。在大多數情況下，網路釣魚電子郵件包含連結或附件，一旦點擊，就會在系統上安裝後門惡意軟體。有時候，攻擊者也會透過其他途徑利用各種軟體中的弱點，並取得系統後門的存取權。
3. 後門安裝： 一旦取得存取權，駭客就會安裝後門，有時會以外觀看似合法的軟體程式形式出現，甚至完全嵌入裝置的韌體中。如此一來，後門會在背景中靜默啟動運作，因此可在任何時間被遠端存取。這也包括仔細偽裝後門，以避免被防毒軟體偵測到。
4. 監控與控制系統： 安裝後門可讓攻擊者取得遠端存取權，以執行系統活動監控、資料竊取及系統控制。活躍的攻擊者可以監視使用者活動、攔截其通訊，並擷取登入憑證，以持續取得敏感資訊。
5. 維持持續性： 攻擊者之後會建立其他進入系統的途徑，或將後門修改得看起來像系統更新，以取得更長期的控制權。他們會更深層地嵌入系統，以確保後門在重新開機後或套用更新時仍能持續存在。這種持續性策略讓攻擊者能夠持續進行其活動，而不易被移除。

後門攻擊如何實施？

後門攻擊可透過各種不同途徑實施，而這些途徑對應到其所鎖定之防禦中的不同弱點。攻擊者會根據系統的薄弱環節選擇攻擊方法，並以能取得最大存取權且維持該存取層級最長時間的方式進行。

1. 安裝惡意軟體： 大多數攻擊者會使用被錯誤標示為有效程式的木馬或其他惡意軟體。這些程式一旦在受害者的電腦上執行，就會安裝後門以允許未經授權的存取。在這類活動中，網路釣魚也是常見手法之一，使用者會被誘騙下載 malware，並將其偽裝成合法來源。
2. 網路漏洞利用： 攻擊者可藉由利用已被植入後門的網路裝置（例如路由器和防火牆），取得對網路流量與連線裝置的控制權。網路型後門可讓攻擊者觸及更廣泛的系統範圍，使其能夠觀察並操控整個組織中的網路資料流。
3. 社交工程： 網路釣魚是常見的攻擊途徑之一，使用者會被誘騙提供存取憑證，或者下載可能含有潛在後門的惡意軟體。攻擊者會使用受信任聯絡人的假身分，或偽裝成其他事物的假網站，藉此竊取登入詳細資料，並利用這些資訊安裝後門，而不一定總是直接與使用者互動。
4. 供應鏈入侵： 攻擊者可能在製造過程中入侵軟體更新或硬體元件，並安裝在產品部署到組織後才會啟用的後門。這類攻擊特別難以偵測，因為該後門看起來像是合法軟體或硬體基礎架構的一部分。

如何偵測與防範後門攻擊？

後門攻擊的偵測與防範被視為多層次作業。有效的後門攻擊防禦策略會結合入侵偵測等技術措施，以及主動式實務做法，包括定期系統更新與全面性的使用者訓練。

以下是一些防範後門攻擊的關鍵方法：

1. 定期安全稽核： 定期稽核系統與網路，以找出弱點與未經授權的變更。這類稽核可讓組織識別任何可能顯示後門存在的異常組態或差異，進而促進主動式安全管理。
2. 入侵偵測系統： 可以部署 IDS，以監控網路流量中看似後門活動的可疑模式。IDS 解決方案可識別偏離正常網路行為的情況，例如突然的資料傳輸或來自未經授權裝置的存取嘗試；這可提供對潛在威脅的早期預警能力。
3. 端點防護: 應實作具備偵測與封鎖已知惡意軟體及可疑行為能力的進階端點防護解決方案。大多數現代端點解決方案會使用人工智慧與機器學習來辨識異常活動類型，並防止後門安裝。
4. 使用者教育： 訓練使用者識別網路釣魚，並實踐良好的密碼衛生。這類訓練可限制任何潛在社交工程攻擊的成效。受過教育的使用者可將人為失誤類型攻擊的風險降到最低，進而提升整體安全態勢。
5. 軟體更新： 應確保定期為所有軟體與硬體進行修補與更新，以封堵可被用來安裝後門的已知弱點。持續套用最新更新可確保系統受到近期風險的防護，從而將攻擊者利用過時軟體取得未經授權存取的可能性降到最低。

透過實施這些措施，組織可大幅降低遭受後門攻擊的弱點。

著名的後門攻擊案例

數起備受矚目的後門攻擊已對組織造成重大衝擊，凸顯這些手法帶來的嚴重威脅。每個案例都顯示出其中涉及的風險，以及當攻擊者取得對關鍵系統未經授權、未被偵測且持續性的存取時，情況可能變得多麼難以控制。以下是一些值得注意的後門攻擊案例：

1. SolarWinds 攻擊（2020）： 這可能是有史以來最複雜且最廣為人知的供應鏈攻擊之一，SolarWinds attack 中，駭客（推測為國家支持）將名為 SUNBURST 的惡意軟體植入 SolarWinds 的 Orion 軟體更新中。此次事件影響約 18,000 clients，其中包括數個美國政府部門。攻擊者隨後利用此後門竊取資料，而且往往數月未被發現，直到 2020 年 12 月由資安公司 FireEye 首度揭露。
2. Microsoft Exchange Server 弱點（2021）： 2021 年，Microsoft Exchange Server 中的零時差弱點遭到廣泛利用，在全球數以萬計的伺服器上安裝後門。這些由 Hafnium 組織利用的弱點，使未經授權者得以存取電子郵件帳戶，並讓攻擊者安裝其他惡意軟體以維持持續性存取。
3. Zyxel 防火牆後門（2021）： 2021 年，外界揭露多種 Zyxel firewall 型號與存取點控制器存在一個意外發現的後門。此弱點會讓攻擊者無須驗證即可取得系統管理員存取權，原因在於存在一組硬編碼密碼，攻擊者可利用它連線至這些系統、變更防火牆設定，並嗅探網路流量。
4. MOVEit Transfer 資料外洩事件（2023）： Clop 勒索軟體集團利用該軟體中的弱點，攻擊了 MOVEit Transfer——這是最廣泛使用的安全檔案傳輸軟體解決方案之一。最終，這讓駭客得以入侵系統，並extract data for over 2,000 companies，影響約 6,200 萬人。這類外洩事件暴露出安全檔案傳輸解決方案的弱點，迫使組織重新檢視其資料保護與弱點管理。
5. NotPetya 勒索軟體攻擊（2017）： NotPetya 最初透過烏克蘭會計應用程式 M.E.Doc 的軟體更新傳播，是最複雜的類勒索軟體攻擊之一。NotPetya 攻擊為受感染系統提供了後門存取，並如野火般在全球蔓延，重創數千個組織，估計造成 100 億美元的損失。

這些案例凸顯了強健資安措施的必要性，尤其是必須持續警戒不斷演變的後門攻擊威脅。

使用 SentinelOne 防範後門攻擊

SentinelOne 擁有多項產品，能非常有效地消除後門攻擊。包括：

1. SentinelOne Singularity™ Cloud Security: 一款旗艦產品，透過 AI 驅動的偵測提供端點防護。它提供自動化回應能力與安全性原則，並透過統一主控台集中管理安全性。Singularity™ Cloud Security 是 SentinelOne 終極的無代理程式 CNAPP。它提供如 CSPM（雲端安全態勢管理）、KSPM（Kubernetes 安全態勢管理）、IaC 掃描、秘密掃描、雲端基礎架構權限管理 (CIEM)、 外部攻擊與曝險面管理 (EASM)，以及 弱點管理。

1. SentinelOne Singularity™ Platform：提供完整的企業級安全功能套件，例如進階威脅狩獵、網路探索控制，以及整合式資料保護。其亮點包括 Offensive Security Engine™ 搭配 Verified Exploit Paths™，以及獲得專利的 Storylines 技術。

1. SentinelOne Singularity™ Control：此產品可透過控制網路流量與裝置存取，對攻擊面進行細緻控管。它可協助組織封鎖已知常被用於後門攻擊的未授權存取點。為了降低實體攻擊面，您可以在 Windows 和 Mac 上控制任何 USB、Bluetooth 或 Bluetooth 低功耗裝置。Rogue Device Discovery 可透過發現您網路中的部署缺口，消除合規性方面的不確定性。

結論

後門攻擊構成重大的企業安全威脅，可能導致財務損失、聲譽受損及營運中斷。了解後門攻擊的運作方式並辨識其跡象，對於強化防禦這類隱蔽威脅至關重要。這包括定期更新機器上的軟體，以及進行員工培訓以降低弱點風險。

此外，投資於進階安全解決方案，例如 SentinelOne’s Singularity™ Endpoint，對組織而言也相當合適。平台內建的強大偵測與防護能力可提升組織的網路安全態勢，並協助其防範後門攻擊及其他網路威脅。充分了解並掌握不同類型的後門攻擊，並遵循適當的安全實務，將大幅強化組織對抗此類隱蔽威脅的防禦能力。

總而言之，很明顯地，透過持續掌握後門攻擊的本質、了解各種類型的後門攻擊，並實施強健的預防策略，組織可以顯著提升其對這些陰險威脅的安全防護態勢。