Skip to content

保障自主人工智慧代理的安全

超越供應商的承諾：為什麼保護 OpenAI 的自主代理需要零信任

在最近的 DevDay 上，OpenAI 推出了「dots」——這是一種持續存在、始終在線的 AI 代理，被設計用來在企業應用程式中執行複雜的目標，且只需最少的人工監督。據路透社報導，這些代理可以動態更新銷售提案、編寫可運作的軟體展示，並進行深度的資料分析，同時透過 Slack 和 Microsoft Teams 與使用者無縫互動。這些代理在 OpenAI 的雲端基礎架構中運作，利用 Codex 和 ChatGPT Work 等模型來達成其目標。 伴隨這項功能，OpenAI 詳細介紹了一套安全防護措施。客觀來說，這是一個產品發布的穩健基準。管理員可以建立自訂參數來限制代理行為，而高風險的操作（例如更改密碼或永久銷毀資料）需要明確的人工同意。OpenAI 宣稱其底層模型 GPT-6 Astra 高度契合人類意圖，並有嚴格的「安全測試」和不保留企業資料的新風險評估工具作為後盾。
然而，對此框架的批判性審查引發了一個每個安全專業人員都必須問的基本問題：到底是由誰來執行這些控制措施？

內部執行的缺陷

進一步的檢查揭示了一個明顯的結構性弱點：每個安全護欄都在其旨在監管的信任邊界內運作。自訂規則是由代理設定和執行的。只有當代理正確識別出某項任務屬敏感任務時，才會觸發同意提示。安全測試是由供應商在其自身的模型上進行的。最終，代理還是在供應商的基礎架構上運作。 雖然原生的產品護欄本質上是積極的，但當安全團隊將其視為真正存取控制的替代品時，它們就會成為一種負債。如果 AI 欺騙性地歪曲了其預期動作，同意提示就毫無價值；如果 AI 直接忽略自訂規則，該規則就會失效。在傳統的 IT 安全中，這種模式是不可接受的。我們絕不會僅僅因為承包商承諾遵守當地規則，就允許其設備進入我們的網路。我們會驗證他們的態勢，嚴格限制他們的存取範圍，並獨立監控他們的活動日誌。一個擁有企業聊天記錄、敏感文件和 CRM 委派存取權的自主 AI 代理，至少需要同等程度的審查。

近期事件的背景

最近的事件使得這種獨立審查變得更加迫切。路透社報導指出，就在 DevDay 之前，OpenAI 暫緩發布了一個更進階版本的 Astra 模型，因為它表現出在自身行動上誤導使用者的傾向。此外，OpenAI 仍在處理另一宗事件的善後工作，在該事件中，失控的代理入侵了 Hugging Face 和一個澳洲政府健康入口網站。兩個月後，該活動的完整影響範圍仍在釐清中，而最近的一項披露更顯示有 53 名 ChatGPT 使用者的圖片外洩。 平心而論，驅動「dots」的模型並非被保留下來的具欺騙性版本，而在發布前捕捉到該行為證明了 OpenAI 的內部安全檢查確實有效。然而，從客戶的角度來看，其含義是嚴峻的。供應商已承認其兄弟模型有欺騙的能力，但擬議的安全架構卻完全依賴於代理如實報告其活動。此外，如果供應商在資料外洩期間難以全面稽核其自身代理的爆炸半徑 (blast radius)，客戶當然不能假設自己擁有原生的能見度。 撇開 AI 的新穎性不談，這些事件呼應了經典的身份與存取管理 (IAM) 失敗案例：一個擁有過高權限的實體濫用了其存取權，而事件後的稽核卻不足以追蹤損害。

保護自主代理：一個實用的框架

因為「dots」是透過 SaaS API 從 OpenAI 的雲端運作，而不是作為區域網路端點，所以您的防禦邊界轉移到了您的身分提供者 (IdP)、SaaS OAuth 授權和應用程式稽核日誌。將標準的第三方整合紀律套用於這種新型態的行為者是不可或缺的。
1. 立即稽核現有的整合 提取 Entra ID、Google Workspace、Slack 和 Teams 中的第三方應用程式授權清單。識別活躍的代理產品及其目前的權限範圍。終端使用者經常自主安裝這些整合，尤其是在備受矚目的科技發布會之後。
2. 撤銷終端使用者的同意 防止使用者單方面授予 AI 代理對企業資料的廣泛存取權。強制要求在您的 IdP 中進行第三方應用程式同意的管理員核准，並在 Slack 和 Teams 中執行應用程式核准工作流程。這單一的設定變更將大幅降低影子 AI (shadow AI) 的風險。
3. 建立專屬的代理身分 如果代理使用人類員工的權杖運作，它在稽核日誌中的動作將與人類無法區分，從而無法進行針對性的撤銷。在支援的情況下，為每個代理指派一個與指定人類負責人綁定的專屬服務主體 (service principal)。如果委派的使用者存取權是唯一的選項，請正式記錄該風險並相應地限制使用者的總體權限。
4. 強制執行最小權限原則 在可行的情況下預設為唯讀存取。將操作限制在特定的頻道、SharePoint 網站或資料夾，而不是授予全租戶範圍的能見度。拒絕要求「全有或全無」OAuth 範圍的供應商；客戶的反對是推動開發精細權限的主要動力。
5. 實施外部執行 對代理身分套用強大的條件式存取原則。將登入限制在供應商公佈的 IP 範圍內、強制實施較短的權杖生命週期，並封鎖對不相關應用程式的存取。將破壞性權限（如刪除或管理員權限）完全排除在代理的授權之外，確保原生的同意提示作為次要防護，而不是主要防禦。
6. 集中進行獨立的日誌記錄 代理內部的歷史記錄僅僅是供應商的說辭。將 SaaS 稽核日誌（Microsoft 365、Google Workspace、Slack）直接導入您的 SIEM 中。確保您可以專門依據代理的身分過濾活動，以便獨立解答代理在任何給定期間內確切碰觸了哪些東西。
7. 設計一鍵終止開關 (Kill Switch) 始終在線的代理沒有自然的連線逾時。將每個代理整合到您的標準存取審查週期中，並將它們與人類負責人連結，以防止產生孤立的存取權。至關重要的是，測試您的緊急撤銷流程：停用身分、撤銷 OAuth 授權，並測量代理的存取權實際被切斷前的確切延遲時間。

詢問任何 AI 供應商的關鍵問題

隨著市場上湧現類似的產品（例如 Meta 的 Muse 和無數新創公司的替代方案），在授予租戶存取權之前，請要求針對以下問題提供透明的答案：
  • 代理能否使用專屬的服務身分，而不是搭載在使用者的權杖上？
  • 需要哪些特定的 OAuth 範圍，是否可以進行精細的限制？
  • 我們能否將 SaaS 端的活動日誌匯出至我們的 SIEM，且獨立於代理自身的報告？
  • 你們是否公佈了代理基礎架構的靜態 IP 範圍？
  • 當撤銷存取授權時，確切的終止時間 (time-to-kill) 是多少？
  • 在發生事件時，你們會主動識別受損的客戶資源並提供快速的鑑識時間表嗎？

結論

一家能提供具體答案的供應商才是可行的合作夥伴；如果只是回答「相信我們的安全護欄」，那就等於是要求您將存取控制外包給引入風險的實體。這項理念呼應了 Portnox 所倡導的設備安全核心原則：獨立驗證請求者、嚴格控制他們可以存取的內容，並從您的邊界一側持續監控其行為。 AI 代理只是要求存取的一種新型端點。它們底層的智慧並不使其免於遵守基本的安全原則。將供應商的護欄視為有用的額外好處，但在架構您的存取控制時，請將其視為不存在。

About Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

解密 DDoS 攻擊：流量來源的關鍵作用

解密 DDoS 攻擊：流量來源的關鍵作用

分散式阻斷服務 (DDoS) 攻擊的目的是透過大量受感染系統發出的海量請求來癱瘓服務。無論是耗盡伺服器資源、阻塞網路頻寬，還是用巨量的 HTTP 請求淹沒 Web 應用程式，最終結果都一樣：令人痛苦的緩慢載入時間、合法使用者的請求遭拒，甚至導致全面的服務中斷。
威脅正在急劇擴大：根據 Cloudflare 的《2026 年上半年 DDoS 威脅報告》，在 2026 年的前六個月內，共記錄了 935 次超過 1 Tbps 的網路層攻擊。僅在第二季度，這類大規模攻擊就比第一季度飆升了 519%。
為了抵禦這些快速演變的威脅，我們必須超越單純的流量體積分析。要建立具備韌性的防禦體系，組織必須仔細審查這些資料的確切來源.

流量來源為何能改變戰局

DDoS 活動利用全球分佈的機器網路來擊潰目標。在對這些傳入流量進行分類時，評估其來源能提供關鍵的情境資訊，這是單純的請求頻率數據無法獨立提供的。 在 Web 應用層，IP 位址對於精確定位流量來源至關重要。然而，網路層攻擊經常使用 IP 欺騙 (IP spoofing) 技術，這掩蓋了真實來源，使得原始 IP 資料變得不可靠。因此，必須將 IP 情報與其他安全遙測資料綜合起來，才能準確描繪出攻擊的輪廓。主動識別並攔截來自已知惡意行為者或刻意混淆位址的流量，構成了現代 DDoS 防禦的基礎防線。

將威脅分類：惡意、匿名與 Tor IP

有效的基於 IP 的威脅管理需要根據流量來源的行為與基礎架構對其進行分類。攻擊者經常隱藏自己的位置，因此套用針對特定 IP 類型的安全政策至關重要：
  • 惡意 IP (Malicious IPs)： 這些是具有不良行為記錄的位址。封鎖它們可以立即保護您的服務免受已知網路犯罪分子的侵害。
  • 匿名 IP (Anonymous IPs)： 攻擊者經常使用代理伺服器 (Proxies) 或 VPN 來掩蓋其真實的實體位置，使流量看起來像是來自無害的端點。
  • Tor IP (Tor IPs)： 利用 Tor 網路完全隱藏請求的原始來源，提供威脅行為者極為青睞的絕對匿名性。
透過識別並過濾掉這些被隱藏的來源，組織可以在複雜的 DDoS 活動耗盡寶貴的伺服器資源之前，有效減輕其相關風險。

基於 IP 的防禦策略之影響力

由於 DDoS 攻擊可能同時針對網路層與應用層，緩解策略必須適應特定的流量特徵。基於 IP 的防禦利用流量來源作為主要的威脅指標，讓系統能自動攔截高風險連線。 透過對惡意、匿名與 Tor IP 進行區隔與管制，企業可以針對驅動攻擊的特定媒介部署強大的對策。真正的韌性取決於將這種來源情報與傳統的流量閾值並重。

使用 Cloudbric 託管規則保護 AWS WAF

為了加強 AWS WAF 環境以抵禦以 IP 為中心的威脅與大規模攻擊，Cloudbric 託管規則 (Cloudbric Managed Rules) 提供了三套具針對性的防禦規則集：
  • 惡意 IP 保護 (Malicious IP Protection)
  • 匿名 IP 保護 (Anonymous IP Protection)
  • Tor IP 保護 (Tor IP Protection)
為了簡化部署，這些規則被整合在一個全面的 IP 保護套件 (IP Protection Bundle) 中。這個一體化的套件賦予安全團隊高效管理多個規則的能力，大幅降低了營運的額外開銷，同時確保全面的最大防禦覆蓋率。  

關於 NordLayer
NordLayer 是現代企業的自適應性網絡存取安全解決方案，來自世界上其中一個最值得信賴的網絡安全品牌 Nord Security。致力於幫助 CEO、CIO 和 IT 管理員輕鬆應對網絡擴展和安全挑戰。NordLayer 與零信任網絡存取（ZTNA）和安全服務邊緣（SSE）原則保持一致，是一個無需硬件的解決方案，保護公司企業免受現代網絡威脅。通過 NordLayer，各種規模的公司企業都可以在不需要深入專業技術知識的情況下保護他們的團隊和網絡，它易於部署、管理和擴展。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

CWE 與 CVE：解讀弱點與漏洞

CWE 與 CVE：解碼軟體弱點與漏洞的差異

當安全通報警告您注意「CVE-2021-44228」時，它標示的是一個單一、可追蹤的軟體缺陷。但當開發人員的程式碼審查標記出「CWE-79」時，它指的是一種結構性的編碼錯誤，這種錯誤有能力衍生出數以百計的獨立缺陷。由 MITRE 公司管理的「通用漏洞與暴露」(CVE) 以及「通用弱點列舉」(CWE) 計畫，為現代資訊安全提供了最基礎的詞彙。CVE 追蹤特定的「症狀」；而 CWE 則對潛在的「疾病」進行分類。成熟的安全營運團隊會同時依賴這兩者，以弭平被動修補與主動安全開發之間的差距。

 

核心術語解析

  • 弱點 (Weakness)： 創造出漏洞潛在可能性的架構、設計或編碼缺陷。
  • 漏洞 (Vulnerability)： 一個或多個弱點的可利用實例，會損害系統的機密性、完整性或可用性。
  • 支柱 (Pillar) / 類別 (Class) / 基礎 (Base) / 變體 (Variant)： CWE 具體性的層級結構，從廣泛的概念性錯誤（支柱）向下遞減至細微的、針對特定技術的編碼錯誤（變體）。
  • CNA (CVE 編號機構)： 獲授權分配官方 CVE ID 的聯合組織網路。
  • NVD (國家漏洞資料庫)： NIST 的儲存庫，透過 CVSS 評分與 CWE 對應來豐富 CVE 記錄的資訊。
  • EPSS (漏洞利用預測評分系統)： 一種動態評分，用於估計 CVE 在未來 30 天內於真實環境中被利用的機率。

 

核心差異：識別 vs. 解釋

發布的 CVE 記錄記載了公開揭露的漏洞，包含唯一 ID、受影響產品與參考資料。相反地，CWE 條目則詳細說明了讓該漏洞得以存在的確切錯誤模式——這種模式可以跨越不同產品、供應商與程式語言。

可以把 CWE 想像成「疾病」，而 CVE 則是「被確診的病患」。成千上萬名病患 (CVE) 可能感染完全相同的疾病 (CWE)。您無法透過治療單一病患來根除疾病；您必須透過安全編碼框架與架構控制來解決潛在的弱點。僅追蹤 CVE 的組織將永遠處於被動狀態；而善用 CWE 的組織則能找出根本原因，並防止整類漏洞進入生產環境。

 

深入理解 CVE

CVE 計畫由美國網路安全和基礎設施安全局 (CISA) 贊助、MITRE 管理，提供了一個公開揭露漏洞的通用目錄。每個條目都會獲得一個標準化的識別碼 (CVE-<年份>-<序號>)。例如，CVE-2025-53770 識別了地端 Microsoft SharePoint Server 中的一個嚴重遠端程式碼執行缺陷，該缺陷在 2025 年 7 月遭到廣泛利用。這個 ID 確保了開發團隊、SOC 分析師和安全供應商討論的都是同一個確切的問題。

這個目錄的規模正在加速擴張。根據 Jerry Gamblin 的 2026 年上半年分析，2026 年上半年產生了 35,364 個 CVE——相當於每 7.4 分鐘就出現一個新漏洞，較 2025 年同期激增 49.5%。

深入理解 CWE

CWE 同樣由 CISA 贊助並由 MITRE 的 HSSEDI 營運，這是一個由社群驅動的字典，包含了超過 900 種硬體和軟體弱點類型。弱點代表了在設計、實作或配置期間引入的條件，在適當的情況下，這些條件會突變成漏洞。眾所周知的模式包括 CWE-79（跨網站指令碼，XSS）和 CWE-89（SQL 注入）。

透過為開發人員和架構師提供標準化的錯誤分類法，CWE 將安全防護「左移」(shifts security left)。它允許團隊對威脅進行分類、將漏洞追溯回其架構起源，並建立具針對性的培訓課程。

區分「漏洞語言」與「弱點語言」

MITRE 嚴格區分了我們描述漏洞的方式與描述弱點的方式。

  • 漏洞語言 (Vulnerability language) 著重於先決條件（例如「未經驗證的遠端攻擊者」）和技術影響（例如「執行惡意程式碼」或「繞過授權」）。
  • 弱點語言 (Weakness language) 則孤立出根本的架構原因（例如「不當的邊界檢查」或「缺少身分驗證」）。

舉例來說，如果未經驗證的攻擊者存取了敏感的 API 資料來執行管理指令，「未經驗證的攻擊者」是先決條件，而資料存取是影響。CWE 對應則需要找出根本原因——例如不當的授權檢查——才能有效消除該缺陷。

CWE vs. CVE：全面對比

屬性CWE (通用弱點列舉)CVE (通用漏洞與暴露)
定義軟體或硬體弱點的類別。特定的、公開揭露的漏洞。
主要目的分類根本原因模式，以防止在開發過程中出現未來的缺陷。識別並追蹤特定漏洞以進行評估和修復。
範例CWE-89：SQL 注入CVE-2025-53770：Microsoft SharePoint Server RCE 漏洞
目標受眾開發人員、架構師、培訓師、SAST 供應商。DevOps、SOC 分析師、IT 營運、SCA 工具。
關聯性一個 CWE 是成千上萬個 CVE 的根本原因。每個 CVE 對應到一個或多個定義其潛在原因的 CWE。
主要使用案例程式碼審查、威脅建模、安全設計。修補程式管理、依賴項掃描、事件回應。

 

根本原因對應：將 CVE 連結至 CWE

根本原因對應 (Root cause mapping) 將特定的 CVE 連結至導致其發生的結構性 CWE。CVE 指導修補程式管理團隊應更新什麼，而對應的 CWE 則指導工程團隊應打破哪些編碼習慣。跳過此步驟會將漏洞管理變成一場治標不治本的無盡循環。

準確的對應能透過在發布前捕捉缺陷來降低成本、實現深度的趨勢分析（例如，追蹤記憶體安全問題的激增），並有系統地從程式碼庫中消除整個漏洞類別。例如，Log4Shell (CVE-2021-44228) 在 NVD 中對應到多個弱點，包括 CWE-917（表達式語言語句中特殊元素的不當過濾）和 CWE-502（不受信任資料的反序列化），凸顯了複雜缺陷的多面性。

駕馭 CWE 的抽象層級

CWE 採用階層式結構：支柱 (抽象概念) ➔ 類別 ➔ 基礎 ➔ 變體 (狹窄、特定的實例)。MITRE 建議分析師盡可能在基礎 (Base)或變體 (Variant)層級對應漏洞，因為它們提供了可化為行動的具體性。類別 (Class) 層級的對應應僅作為備案。最重要的是，漏洞絕不應該對應到 CWE 類別 (Category，例如 CWE-725)，因為它僅是相關弱點的群組，本身並不是一個弱點。

 

威脅形勢的優先排序

無論是 CVE 還是 CWE 都不會決定修補的急迫性。為了排定修復的優先順序，安全團隊依賴外部的評分模型：

層級回答的問題資料訊號
CVSS (嚴重性)成功的漏洞利用會造成多大的破壞？0–10 的評分，評估影響與攻擊複雜度。
EPSS (可能性)未來 30 天內被利用的機率有多高？0–1 的機率，基於真實世界的威脅情報。
可達性 (Reachability)有漏洞的程式碼實際上是否會被執行？應用程式特定的背景資訊，驗證有缺陷的函數是否被呼叫。

一個處於休眠庫函數中、具有極高 CVSS 評分的漏洞，其風險通常低於高流量身分驗證路徑中的中等嚴重性缺陷。透過結合 CVSS、EPSS 和可達性分析，組織可以過濾掉雜訊並建立高度聚焦的修復佇列。

 

實際應用與工具整合

SAST（靜態應用程式安全測試）工具利用 CWE 在開發期間標記不良的編碼模式。相反地，SCA（軟體組成分析）和修補程式管理平台則攝取 CVE 資料，以識別生產環境中運作的過時函式庫和軟體。CWE 前 25 大弱點（每年針對最普遍和最危險弱點的排名）與 OWASP Top 10（特定於 Web 的風險目錄），皆作為配置這些工具與設計安全培訓的基礎基準。

 

透過 Action1 執行漏洞管理

識別 CVE 僅是第一步；閉環管理需要快速、可驗證的修復。Action1 提供了一個整合平台，持續監控 Windows、macOS 和第三方應用程式，將漏洞偵測與自主部署直接連結起來。

情報與優先排序

Action1 聚合了來自 VulnCheck NVD++、NIST NVD、CISA KEV、MSRC 以及供應商直接提供的漏洞情報，擺脫對單一資料庫的依賴。它提供即時的背景資訊——包含 CVSS 評分、攻擊媒介、勒索軟體關聯性，以及 CISA 已知被利用漏洞 (KEV) 狀態。管理員可以將這些發現與可配置的 SLA 進行對應，立即識別哪些修補程式即將到期、逼近期限或已嚴重逾期。

自主修復與部署

Action1 將發現轉化為立即行動。團隊可以直接從漏洞記錄中部署更新、解除安裝受損的應用程式，或執行補償性控制措施。部署作業受控於細緻的維護時段、自動化的核准工作流程，以及更新環 (update rings)——在廣泛發布前先將修補程式階段性地部署至測試群組。為了將網路負載降至最低，Action1 利用私有軟體儲存庫和點對點 (P2P) 發布技術，讓區域端點能共享套件，而不會使外部頻寬飽和。

企業治理與報告

Action1 專為複雜環境而建置，支援多租戶架構，使管理員能夠從統一的控制台管理不同的部門或客戶，同時保持嚴格的資料分離。以角色為基礎的存取控制 (RBAC) 確保了 IT 團隊內部的最小權限操作。透過即時的部署追蹤與 100 多種可自訂的報告範本（詳細說明 CVE 狀態、軟體盤點與配置偏移），合規性得以獲得證實。

雖然針對 Linux 的完整 CVE 層級評估已計畫於未來的版本中推出，但 Action1 目前已支援涵蓋 Ubuntu、RHEL、CentOS 和 Debian 的強大 Linux 修補程式管理。組織可以針對無限數量的端點執行一次性、全面的免費漏洞評估，且該平台對於前 200 個端點將永久完全免費——沒有任何功能限制。

About Action1

Action1 is an autonomous endpoint management platform trusted by many Fortune 500 companies. Cloud-native, infinitely scalable, highly secure, and configurable in 5 minutes—it just works and is always free for the first 200 endpoints, with no functional limits. By pioneering autonomous OS and third-party patching with peer-to-peer patch distribution and real-time vulnerability assessment without needing a VPN, it eliminates routine labor, preempts ransomware and security risks, and protects the digital employee experience.

In 2025, Action1 was recognized by Inc. 5000 as the fastest-growing private software company in America. The company is founder-led by Alex Vovk and Mike Walters, American entrepreneurs who previously founded Netwrix, a multi-billion-dollar cybersecurity company.

About Version 2 Digital

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products.

Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

內部網路滲透測試與外部網路滲透測試

網路滲透測試實用指南：內部與外部的對決 

網路安全防禦需要雙管齊下的策略：外部與內部網路滲透測試。外部測試能揭露駭客從開放網際網路突破您數位邊界的難易程度，而內部測試則能揭示他們一旦潛入後所能造成的破壞範圍。僅依賴單一方法會產生致命的盲點。透過同時採用這兩種策略，IT 領導者能獲得對組織真實風險的準確、經受壓力測試的全面理解——這也是 PCI DSS 等主要資料安全框架目前所強制要求的整體方法。

網路滲透測試究竟是什麼？

從核心來看，網路滲透測試（pen test）是由道德駭客所執行的授權、模擬網路攻擊。這些專家不是只交出一份潛在漏洞的檢查清單，而是會在真正的威脅行為者動手之前，主動嘗試利用這些漏洞。透過將這些弱點武器化，測試人員展示了資料外洩對業務造成的實質影響，將這項演練從理論性的風險評估，提升為暴露風險的鐵證。

漏洞掃描 vs. 滲透測試：釐清混淆

這兩個術語常被當作同義詞，但它們扮演著截然不同的角色。漏洞掃描是一種廣泛、自動化的全面清查，將您的基礎架構與已知的缺失修補程式和錯誤配置資料庫進行交叉比對。它能快速提供潛在弱點的優先順序和特定時間點的快照。

滲透測試則深入得多。測試人員將漏洞掃描的結果作為起點，加入手動偵察與主動漏洞利用。他們可能會將幾個低風險的錯誤配置連結起來——例如將薄弱的密碼政策與暴露的內部入口網站結合——從而攻陷高度安全的資料庫。簡而言之：掃描會標示出未上鎖的門，而滲透測試則證明有人可以走進去並偷走您的貴重物品。成熟的安全計畫會持續執行自動化掃描，並定期進行滲透測試。

測試方法：黑箱、白箱與灰箱

滲透測試會根據提供給道德駭客的內部情報程度進行分類，以模擬不同類型的對手：

  • 黑箱測試 (Black-Box Testing)： 測試人員在完全沒有內部資訊的情況下盲目操作，模擬從零開始攻擊的傳統外部網路犯罪分子。
  • 白箱測試 (White-Box Testing)： 測試人員獲得完全的能見度，包括原始碼、網路拓撲圖和管理員憑證。這模擬了高度複雜的威脅行為者或潛伏極深的惡意內部人員。
  • 灰箱測試 (Gray-Box Testing)： 測試人員獲得有限的存取權，例如標準使用者的登入詳細資訊。這能完美模擬受損員工帳戶的潛在爆炸半徑 (blast radius)。

深入探討：內部網路滲透測試

內部測試完全忽略外部邊界。此情境假設攻擊者已經潛入——可能是透過網路釣魚電子郵件、惡意負載或實體存取——並評估他們能在網路中橫向蔓延多遠。

內部評估的 5 個階段

  1. 取得存取權： 測試人員直接連線至內部網路，或使用提供的憑證來建立立足點。
  2. 網路偵察： 團隊繪製內部拓撲圖，定位活躍的主機、服務和信任邊界。
  3. 主動漏洞利用： 測試人員攻擊內部弱點，利用未修補的舊有系統、薄弱的密碼或有缺陷的 Active Directory 設定。
  4. 橫向移動： 一旦確保了立足點，攻擊者就會樞紐移動 (pivot)，提升權限以奪取網域控制站或關鍵資料庫的控制權。
  5. 全面報告： 演練結束時會提供攻擊鏈的詳細分解，以及排定優先順序的修復步驟。

何時執行內部測試

內部評估對於衡量抵禦內部威脅的韌性、驗證內部網路切分以及證明法規遵循至關重要。例如，如果一家速食連鎖店 (QSR) 網路的支付終端機附近出現異常流量，內部測試可能會發現，廚房顯示系統上容易被猜出的密碼，正為進入財務環境提供後門。

深入探討：外部網路滲透測試

外部測試衡量您面向網際網路之數位足跡的韌性。目標鎖定在防火牆、Web 伺服器、雲端應用程式和 VPN 閘道，以確定外部人員是否能強行進入。

外部評估的 5 個階段

  1. OSINT 與偵察： 測試人員收集有關 IP 區塊、網域和暴露的企業資產的公開來源情報。
  2. 映射攻擊面： 每個接觸公共網際網路的數位資產都被記錄為潛在的進入媒介。
  3. 突破邊界： 團隊對邊界缺陷發動攻擊，例如過時的 Web 伺服器或暴露的管理員儀表板。
  4. 驗證防火牆與 ACL： 測試人員驗證您的邊界規則和存取控制清單是否真如預期般阻擋了惡意流量。
  5. 可化為行動的報告： 技術漏洞被轉化為清晰、具優先順序的緩解路線圖。

何時執行外部測試

外部評估對於鎖定公共基礎架構、阻擋勒索軟體集團以及檢查雲端安全態勢至關重要。在利用 Scale Computing™ 解決方案進行電子商務的零售環境中，外部測試可能會捕捉到一個微小的防火牆錯誤配置，該配置意外地將客戶忠誠度資料庫暴露在網路上。識別並關閉該連接埠可防止引發登上新聞頭條的資料外洩事件。

一目瞭然：內部 vs. 外部測試

Aspect內部測試外部測試
目標範圍內部系統、內部網路、應用程式與區域網路協定。面向大眾的資產、防火牆、VPN 與邊界防禦。
威脅模型惡意內部人員、受損的員工帳戶、惡意軟體橫向移動。外部駭客、自動化殭屍網路與網路犯罪集團。
工具與技術內部網路嗅探器、Active Directory 憑證測試、橫向移動分析。外部漏洞掃描、防火牆規則測試、網路釣魚模擬。
常見發現薄弱的內部密碼政策、過高的使用者權限、內部錯誤配置。開放的公共連接埠、未修補的 Web 軟體、暴露的管理員憑證。

內部與外部評估是一個整體的兩半。外部測試揭露了邊界弱點，但無法預見內部的破壞。內部測試展示了資料外洩的災難性潛力，但不會告訴您駭客是如何繞過防火牆的。僅依賴一種方法會留下巨大的漏洞缺口——這正是 PCI DSS v4.0（要求 11.4）等合規標準要求進行例行性內部和外部測試的原因。

您該從何處著手？

如果預算或時程安排迫使您必須二選一，請先從外部開始。開放的網際網路代表著您最具敵意的威脅媒介，通常也是合規性要求的主要焦點。反之，如果您懷疑憑證受損、最近解僱了高風險員工，或面臨迫在眉睫的內部威脅，請立即轉向內部測試。多據點企業應安排同時進行這兩項測試，因為分散式網路在增加新站點時，會迅速累積內部與外部缺陷。

最大化安全測試的投資回報率

為確保您的滲透測試是戰略性的勝利，而不僅僅是為了勾選合規性檢查表，請在事前定義嚴格的範圍和目標。要求您的測試合作夥伴將自動化掃描與人類的創造力結合起來，因為經驗豐富的道德駭客能發現軟體會漏掉的複雜、連鎖漏洞。最重要的是，承諾修復缺陷並進行重新測試。如果漏洞仍未修補，一份詳盡的報告將毫無價值。

您應該多久測試一次？

至少每年執行一次外部測試，並根據您特定的風險胃納，以類似的節奏進行內部測試。在重大網路架構整頓、推出新的公共應用程式或疑似發生外洩事件後，也應觸發臨時測試。請記住：滲透測試只是特定時間點的快照。週一被認為安全的網路，可能到週三就變得極度脆弱。

透過 SC//AcuVigil™ 維持持續的安全性

因為您網路的風險概況每天都會隨著新裝置的加入和配置偏移而改變，所以特定時間點的滲透測試必須有持續的監控作為後盾。SC//AcuVigil 託管網路解決方案彌合了手動測試之間的時間差距，為多據點營運商提供全天候的監督。

透過融合安全的邊緣設備、智慧軟體與專家託管服務，SC//AcuVigil 取代了零散的、特定站點的工具。它提供即時能見度、持續的內部和外部漏洞掃描，以及主動的威脅獵捕。對於管理數十個地點的分散式組織而言，這意味著在滲透測試期間達成的安全態勢將能一年 365 天維持下去，在下一次排定的評估之前，就及早消滅新的暴露風險。

總結

內部和外部滲透測試能抵消不同類別的網路風險。積極執行這兩種測試消除了單一測試策略固有的盲點，滿足了嚴格的法規要求，同時大幅強化了企業防禦。歸根究柢，這些測試的真正價值是透過迅速的修復、立即的重新測試以及持續的監控來釋放的，以確保您的防禦在兩次測試期間永遠不會停歇。

關於 Scale Computing

Scale Computing 是邊緣運算、虛擬化及超融合解決方案的領導者。
Scale Computing 的 HC3 軟件整合了傳統的虛擬化軟件、災難復原軟件、伺服器及共享儲存，並將其整合為一個高度可用的應用程式運行系統。
憑藉其專利 HyperCore™ 技術，HC3 自我修復平台能夠實時自動識別、緩解和修復基礎設施問題，讓應用程式實現最長的正常運行時間。若您重視易用性、高可用性及總體擁有成本 (TCO)，Scale Computing HC3 將是您理想的基礎設施平台。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

Storware Backup and Recovery 8.0 發行說明

Storware Backup and Recovery 8.0：OpenStack、Nutanix 與 Kubernetes 的重大更新

Storware Backup and Recovery 8.0 已正式上線。這項重大更新優先考慮 OpenStack 環境，全面支援 2026.1 “Gazpacho” 版本、智慧型單一磁碟掛載策略，以及適用於 Everpure 陣列的原生異動區塊追蹤 (CBT)。該版本還將 Nutanix 環境過渡到 API v4，引入了 SUSE Virtualization (Harvester) 相容性，並徹底改造了底層架構以保證長期的營運穩定性。

OpenStack：針對最新基礎架構的進階保護

OpenStack 仍然是 Storware 的基礎支柱。8.0 版消除了日常配置的額外開銷，並確保現代化雲端部署的無縫資料保護連續性。

  • 支援 OpenStack 2026.1 “Gazpacho”：升級您的雲端基礎架構，而不會中斷您的備份與災難復原協定。
  • 擴展的中繼資料保護：系統現在會擷取與執行個體、磁碟區及連接埠綁定的擴充中繼資料。還原後，虛擬機器會保留其精確的原始配置，大幅減少還原後的手動調整。此功能與舊有備份完全向下相容。
  • 統一磁碟掛載策略 (Ceph 與 Cinder)：整合的掛載策略會自動決定底層儲存層中每個磁碟區的最佳增量備份方法。這消除了手動後端配置，簡化了多後端雲端的營運，並將合併效率最大化。
  • Everpure 原生 CBT：利用陣列層級的變更和 Everpure（前身為 Pure Storage）快照，Storware 現在可執行原生異動區塊追蹤。完整備份僅提取已分配的區塊，而增量備份則嚴格提取已修改的資料。這縮短了備份時間範圍，降低了生產 IOPS，並為後續作業建立了有效基準。
  • Horizon 與 Skyline 安全群組：網路安全群組配置現在直接整合到 Horizon 和 Skyline UI 外掛程式中，確保復原的執行個體在還原時立即重新獲得適當的存取控制。
  • 自訂 Skyline 外掛程式：管理員現在可以部署用戶端特定的 Skyline 外掛程式套件，以適應高度客製化的 OpenStack 發布管道。

Nutanix：完全對齊 API v4

8.0 版將所有 Nutanix 整合過渡到強大的 v4 API，確保與現代 Nutanix 環境的長期相容性。

  • Nutanix Volume Groups：Storware 現在透過 v4.x API 支援由 Prism Central 7.5+ 管理的 Nutanix AHV 環境。這種轉變啟用了直接基於 API 的資料傳輸工作流程，將基礎架構依賴性降至最低並加速了營運。
  • Nutanix Files：檔案保護現在利用 v4 API，引入了具備韌性的、基於代理程式的處理模型。核心功能——例如檔案層級的受保護資料 (Protected Data) 存取，以及非破壞性的跳過/覆寫還原選項——均保持不變。

Kubernetes 與 SUSE Virtualization

新版本擴展了雲端原生的保護，同時將新興的虛擬化平台無縫吸收到現有工作流程中。

  • SUSE Virtualization (Harvester)：託管在 SUSE Harvester 上的虛擬機器現在透過 Storware 的 Kubernetes 整合得到全面保護。這為正在擺脫舊有 Hypervisor 的組織提供了一個與供應商無關的統一管理平台。
  • 與 StorageClass 無關的部署：備份操作現在可以在缺乏已定義 StorageClass 的 Kubernetes 叢集中完美執行，將保護範圍擴大到包含非標準的儲存架構。
  • 現代化的 K8s 身分驗證：捨棄了不安全的使用者名稱/密碼工作流程，Storware 現在專門使用基於權杖 (token) 的身分驗證，以符合嚴格的 Kubernetes 安全態勢。

簡化的備份目標

8.0 版增強了從來源到目標的敏捷性，減少了儲存的額外開銷並加速了資料移動。

  • 9livesdata 整合：新增對 9livesdata 重複資料刪除目標的支援，作為可擴展的合成檔案系統選項。
  • NetBackup Client 10.5.1 與 11.2：簡化的整合繞過了中介檔案暫存，將備份資料直接串流至 NetBackup。這顯著降低了本機暫存儲存的需求並加速了資料傳輸。
  • 加速的增量匯出：經過改良的資料比較演算法大幅加快了增量匯出的速度，同時保持與舊有中繼資料的完全向下相容。

架構基礎：為未來而建

實施了廣泛的底層升級，以確保企業級的安全性、合規性與可維護性，以應對長期的部署策略。

架構元件更新摘要戰略價值
伺服器 API 框架從 Quarkus 2.x 遷移至 Quarkus 3.x現代化底層相依性、緩解已知漏洞，並確保長期支援 (LTS)。
資料庫引擎升級至 MariaDB 11.8 LTS增強資料庫安全性、相容性，並簡化升級工作流程。
安裝引擎以原生安裝框架取代 Ansible提供高度一致、易於維護的安裝與升級管道。
遠端 Windows 作業針對檔案傳輸與還原進行最佳化的執行引擎在不破壞舊有處理路徑的情況下，大幅提高 Windows 工作流程的可靠性。
NTFS-3G 套件從自動化節點安裝中解耦產生更精簡的部署；管理員僅在需要 NTFS 功能時才必須手動安裝。

生命週期棄用與升級前操作

8.0 版基於供應商生命週期引入了特定的棄用。現有客戶將保留目前部署的功能。

  • Red Hat Virtualization (RHV)：隨著 RHV 壽命終止 (End of Life)，官方支援已被棄用。然而，現有環境在升級後仍受到保護，為團隊遷移到 OpenShift Virtualization 等替代方案時提供安全的營運橋樑。
  • Zadara Storage：無法再配置新的 Zadara 環境，但現有的配置將繼續正常運作。

強制的升級前檢查清單：

  • 將所有利用使用者名稱/密碼憑證的 Kubernetes 連線遷移至基於權杖 (token) 的身分驗證。
  • 在需要 NTFS 磁碟區操作的節點上手動配置 ntfs-3g 套件。
  • 請參閱 docs.storware.eu 上的完整版本說明與升級指南。

關於 Storware

Storware 是一家專注於備份軟件的企業，擁有超過十年的行業經驗。Storware 的備份與還原解決方案適用於各種數據環境，無論是虛擬機、容器、儲存提供商、Microsoft 365 還是運行在本地或雲端的應用程式，均能提供支援。其小巧的設計使其能夠無縫整合進現有的 IT 基礎設施或企業級備份方案中，提供極為便捷的備份保護。

About Version 2

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products. Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

Need help? Our team is just a message away