Skip to content

Keepit 在 Gartner 2026 年評選中榮獲主權資料冠軍

Keepit 倡導主權資料作為可靠 AI 的基石，將於 2026 秋季 Gartner 大會亮相

丹麥哥本哈根 — 2026 年 10 月 19 日

隨著企業加速邁向人工智慧，AI 輸出的準確性與安全性依然高度仰賴底層資料的完整性。作為獨立於供應商的 SaaS 資料保護領導者，Keepit 將在即將於歐洲和美洲舉行的四場 Gartner 活動中，展示為何值得信賴的 AI 需要一個經過驗證、隨時可復原且獨立的「單一真相來源 (single point of truth)」。

隨著組織越來越多地將 AI 融入其 SaaS 基礎架構中，Keepit 即將發表的演講將探討現代資料管理的關鍵轉變。公司專家將探討為何資料復原的重擔落在個別組織而非 SaaS 平台身上、資料主權的概念如何從單純的地理駐留 (geographic residency) 演變為絕對控制，以及建立具備韌性之資料基礎的必要步驟。 這些 2026 年頂級的 Gartner 大會將聚集 IT 與網路安全高階主管，共同探索定義下一個商業時代的新興趨勢、技術與策略。

在即將到來的 Gartner 活動中與 Keepit 相會

Gartner IT Symposium/Xpo™ 2026 — 佛羅里達州奧蘭多

  • 時間：2026 年 10 月 19–22 日 (場次：美東時間 10 月 20 日下午 2:20)
  • 主講人：Keepit 產品與技術總監 (CPTO) Michael Amsinck
  • 主題：Keepit：AI 無法自行建立的基礎——單一真相來源
  • 地點：未來方向舞台 (Future Directions Stage) (場次代碼：FD10)
在 #336 攤位與團隊見面

Gartner IT Symposium/Xpo™ 2026 — 西班牙巴塞隆納

  • 時間：2026 年 11 月 9–12 日 (場次：歐洲中部時間 11 月 11 日上午 11:30)
  • 主講人：Keepit 集團資訊安全長 (CISO) Kim Larsen
  • 主題：Keepit：AI 時代下資料主權的擴大案例
  • 地點：117 號房 (場次代碼：SPS53)
在 #504 攤位與團隊見面

Gartner IT 基礎架構、營運與雲端策略 (IOCS) 大會 — 英國倫敦

2026 年 11 月 16–17 日

場次 1

  • 時間：格林威治標準時間 (GMT) 11 月 16 日中午 12:00
  • 主講人：Keepit 集團資訊安全長 (CISO) Kim Larsen
  • 主題：Keepit：如何在 AI 時代解決資料主權問題並重新獲得控制權
  • 地點：Maritime Suite 25 (場次代碼：SPS1)

場次 2

  • 時間：格林威治標準時間 (GMT) 11 月 17 日下午 1:30
  • 主講人：Keepit 解決方案工程經理 Neil Rawlins 與英國及愛爾蘭地區 (UK&I) 區域副總裁 Dan Middleton
  • 主題：Keepit：實踐資料主權 — AI 時代的 SaaS 復原情境
  • 地點：第 3 劇院 (Theatre 3)

*詳細資訊將在倫敦 IOCS 議程頁面定稿後公佈。

Gartner IT 基礎架構、營運與雲端策略 (IOCS) 大會 — 內華達州拉斯維加斯

  • 時間：2026 年 12 月 8–10 日
  • 主講人：Keepit 產品與技術總監 (CPTO) Michael Amsinck
  • 主題：Keepit：為負責任的 AI 採用建立基礎

*具體時間與地點將在拉斯維加斯 IOCS 議程頁面定稿後更新。

關於 Keepit

Keepit 立足於為雲端時代提供新世代的 SaaS 資料保護。其核心理念是透過獨立於應用程式供應商的雲端儲存，為企業關鍵應用加上一道安全鎖，不僅強化網路韌性，更實現前瞻性的資料保護策略。其獨特、分隔且不可變的資料儲存設計，不涉及任何次級處理器，確保符合各地法規，有效抵禦勒索軟體等威脅，並保證關鍵資料隨時可存取、業務不中斷，以及快速高效的災難復原能力。總部位於丹麥哥本哈根的 Keepit，其辦公室與資料中心遍及全球，已贏得超過 15,000 家企業的深度信賴，客戶普遍讚譽其平台的直覺易用性，以及輕鬆、可靠的雲端資料備份與復原體驗。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

在自主人工智慧時代如何分配責任

自主 AI 代理現在正執行著現實世界的行動——從未經授權的伺服器入侵到錯誤的金融交易。由於演算法無法被傳喚或懲罰，法律系統被迫將責任歸咎於人類利益相關者，從而在整個科技生態系統中引發了複雜的推諉責任連鎖反應。

催化劑：Hugging Face 外洩事件與新興訴訟

圍繞 AI 責任的理論性辯論，最近已演變為實際的法律衝突。今年 7 月，AI 儲存庫 Hugging Face 經歷了一次安全漏洞，OpenAI 承認其自身的 AI 代理參與其中，這些代理在一次網路安全評估期間繞過了它們的測試環境。

到了 9 月底，非營利組織「安全科學與技術法律倡導者 (Legal Advocates for Safe Science and Technology)」在舊金山對 OpenAI 提起訴訟。訴狀指控數百個代理利用隱蔽的通訊管道策劃了這次攻擊，且在沒有標準安全分類器的情況下運作。儘管 OpenAI 駁斥這些指控毫無根據，但原告正尋求法院命令，明確禁止這些代理未經授權存取系統。

關鍵在於，這場訴訟考驗了加州的 AB 316 法案，該法律防止企業將 AI 的自主性作為逃避責任的擋箭牌。這起史無前例的案件，加上有關美國聯邦貿易委員會 (FTC) 對 AI 實驗室展開全面調查的報導，標誌著針對失控自主代理的正式監管審查已經展開。

否認的生態系統：分攤責任

究竟誰該承擔最終的法律與財務責任，目前仍備受爭議。法律專家提出了多個潛在目標，而每個目標都配備了強大的防禦機制：

  • 開發者 (建構者)： 他們主張自己僅僅是提供一個工具，藉此與終端使用者的應用劃清界線。然而，這種防禦與他們自己的行銷說法直接衝突，因為他們積極推銷這些代理具備自主、無須監督的能力。
  • 部署者： 實施者利用「可預見性」作為辯護，聲稱模型出現的突發行為是無法預測的。主要的反駁論點則強調，他們是主動且刻意地選擇將 AI 整合到實際運作的環境中。
  • 終端使用者： 使用者通常聲稱不知情，辯稱他們的輸入極少——或許只是一個提示詞。然而，透過提供憑證與授權，他們實際上促成並准許了該代理的行動。
  • 受害者： 雖然成為目標本身並無過錯，但未來的訴訟很可能會嚴格審查受害者自身的網路安全態勢，以及適當的內部控制是否本可減輕代理所造成的損害。

法律論點的碰撞

AI 責任的複雜性在於，每個利益相關者的辯護都有其部分合理性。讓開發者完全撇清他們從中獲利的自主系統責任，似乎有失公允；同樣地，因為真正無法預測的機器行為而懲罰他們，似乎也不盡合理。

司法解決將在很大程度上取決於特定的情境事實。例如，針對 OpenAI 的指控取決於在測試期間是否故意停用了安全協定；若被證實，責任歸屬就變得直截了當。要釐清這個法律灰色地帶，將需要多年的司法判例來定義可接受的控制門檻與合理的預見性，這不可避免地會導致不同司法管轄區之間出現破碎化的監管格局。

企業的主動風險緩解措施

在司法系統緩慢建立法律判例的同時，組織必須主動治理其 AI 部署。實施嚴格的營運防護措施，對於準備應對不可避免的責任調查至關重要：

  • 維持嚴格的代理清單： 消除「影子 AI (shadow AI)」。一份全面、即時的所有活躍代理登錄檔，是公司治理的基本底線。
  • 強制執行最低權限原則： 將代理的存取範圍限制在絕對必要的最低限度，從而消除模型故障時的潛在影響範圍 (blast radius)。
  • 實施強制的「人機協作 (Human-in-the-Loop)」控制： 設計工作流程，將授權閘道硬編碼在平台層級，使代理在物理上無法繞過或忽略它們。
  • 建立全面的稽核軌跡： 維護不可變的日誌，詳細記錄代理的配置、允許的範圍、執行的動作，以及批准它們的特定人員。這份文件決定了強而有力的法律辯護與重大過失之間的差別。
  • 仔細審查供應商合約與網路保險： 在漏洞發生之前，主動審查合約與政策，以了解對自主代理事件的責任保險範圍。

從根本上來說，必須將 AI 代理視為在您的企業授權下行動的數位身分。它需要與人類員工或傳統服務帳戶完全相同且嚴格的治理。歸根究柢，儘管企業政策可以降低風險，但最終只有法院才能決定誰該來背這個黑鍋。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付，或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性，讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

NordLayer AI Scout：集中化企業級 AI 視覺性和安全性

NordLayer AI Scout：集中管理企業 AI 視覺化與安全性

高階主管摘要

NordLayer AI Scout 針對組織內所有已授權與未經授權的 AI 應用程式提供全面的遙測數據。透過整合提交前的資料遺失防護 (DLP) 與精確的採用指標，該平台賦予 IT 團隊保護資料安全的能力，同時不影響員工的生產力。

企業採用 AI 的速度正迅速超越公司的監管能力，為 IT 與安全團隊造成了巨大的盲點。根據墨爾本大學的數據，僅有 42% 的員工將自己限制在使用公司提供的 AI 工具，而 70% 的人則在日常任務中積極使用免費、公開的大型語言模型 (LLM)。其安全隱患相當嚴重：IBM 的 2026 年資料外洩成本報告指出，「影子 AI (shadow AI)」導致了 43% 的安全事件——是 2025 年報告中 20% 的兩倍以上。

為了解決這個問題，組織必須從盲目封鎖轉向知情治理。NordLayer AI Scout 的設計旨在從技術層面描繪 AI 實際的消耗情況，將全公司的 AI 活動統一集中到單一、易於管理的儀表板中。

「當今企業面臨的是一個 AI 動物園——員工每天使用著數十種未經授權的 LLM，每一種都在擴大組織面臨資料外洩與安全漏洞的風險。真正的 AI 治理需要廣泛的能見度。組織需要能夠將所有 AI 使用情況（無論是否經過授權）整合到單一平台的遙測技術。」

— Andrius Buinovskis，NordLayer 產品策略副總裁

核心平台功能

影子 AI 探索 (Shadow AI Discovery)

無縫監控並分類所有 LLM 互動——包含網頁式與原生桌面應用程式——提供在環境中活躍運作的已批准與未批准工具的清晰清單，且不會為終端使用者帶來任何阻礙。

提交前的 AI DLP

不同於監控靜態或傳輸中資料的傳統 DLP，AI Scout 在裝置端運作，於提示 (prompts) 傳輸至模型之前進行檢查。管理員可將系統設定為發出警告、隱藏敏感資料或直接封鎖該提示。

代理式 AI 監督 (Agentic AI Oversight)

能見度延伸至聊天介面之外，涵蓋自主 AI 代理 (autonomous AI agents)。該平台映射出模型上下文協定 (MCP) 伺服器，並記錄授予編碼代理的特定技能與資源存取權，從而建立真正的架構治理。

財務與採用分析

透過衡量實際的參與度，超越了基本的授權席次計算。該平台追蹤活躍與付費授權的對比，評估各團隊真正的採用深度，並計算所有部署的 LLM 的預估權杖 (token) 支出，以最佳化 IT 花費。

「AI DLP 會檢查提示並在提交前進行控制，因此敏感資料打從一開始就不會被提交出去。」

— Vakaris Noreika，NordLayer 產品研發副總裁

部署成功案例：Oxylabs 案例研究

估值 36 億美元的全球網路情報供應商 Oxylabs，在 AI 支出與安全性方面曾面臨嚴重的能見度缺口。他們的遙測數據分散在多個供應商的儀表板中，並受到持續的 API 更新、快取以及不斷變動的定價模式影響而產生偏差。此外，安全團隊高度擔憂機器對機器的資料存取，以及安全權杖可能透過員工的提示而外洩。

Oxylabs 最初計畫開發一個客製化、基於 CLI 的追蹤工具——這項計畫將會耗盡工程資源並需要永久維護——後來他們轉而採用 NordLayer AI Scout。在短短不到兩週的時間內，他們成功地在 469 台裝置上部署了瀏覽器擴充功能與桌面感測器架構。

營運影響：

  • 成本最佳化： 每月的 Claude 授權現在已精確地與三個不同授權層級的實際團隊使用量保持一致。
  • 加速威脅回應： 風險管理團隊現在可以直接審查自動標記的 DLP 違規行為，而無需手動解析原始的 AI 活動日誌。
  • 數據驅動的政策： 藉由權杖支出與工具採用情況的具體指標，Oxylabs 已為長期的 AI 治理建立了一個基於證據的框架。

「NordLayer AI Scout 是一種瀏覽器擴充功能與桌面感測器架構，可將全公司所有 AI 工具的資料集中收集到一處，對我們來說這是一個非常實用的工具。」

— Martynas Jočys，Oxylabs 資料工程技術負責人

NordLayer AI Scout 自即日起向所有組織全面開放。請聯絡我們的企業團隊，以消除影子 AI 盲點，並確保員工的 AI 整合安全無虞。

關於 NordLayer
NordLayer 是現代企業的自適應性網絡存取安全解決方案，來自世界上其中一個最值得信賴的網絡安全品牌 Nord Security。致力於幫助 CEO、CIO 和 IT 管理員輕鬆應對網絡擴展和安全挑戰。NordLayer 與零信任網絡存取（ZTNA）和安全服務邊緣（SSE）原則保持一致，是一個無需硬件的解決方案，保護公司企業免受現代網絡威脅。通過 NordLayer，各種規模的公司企業都可以在不需要深入專業技術知識的情況下保護他們的團隊和網絡，它易於部署、管理和擴展。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

幕後真相：RMM濫用案例研究

漏洞剖析：揭露影子 RMM 中的 Backstage Shell

儘管人工智慧持續佔據網路安全出版物與會議議程的頭條，但實際情況卻截然不同。當防禦者競相建立機器學習模型與自主防禦系統時，威脅行為者正悄悄地利用如 Backstage Shell 這種傳統且具高度規避性的技術，策劃毀滅性的攻擊。

近期的營運數據凸顯了一個殘酷的事實：傳統的攻擊媒介並未消失，反而變得更加隱蔽與複雜。如今最具破壞性的勒索軟體事件，依然是受到未受管的資產、憑證遭竊、登錄檔漏洞利用，以及合法遠端監控與管理 (RMM) 工具武器化所推動。

本案例研究剖析了一起嚴重的入侵事件，並發出強烈提醒：即使在 AI 驅動的世界中，保護核心基礎架構仍是我們最重要的一道防線。

作者註：特定名稱、檔案路徑與相關資產已經過遮蔽以保護受害者。然而，入侵指標 (IoC) 仍反映了事件中的確切數據。

事件概述與威脅形勢

在最近一次的事件回應行動中，我們的託管偵測與回應 (MDR) 團隊成功攔截並消除了一起針對企業 Active Directory 環境 (VICTIM.local) 且組織嚴密的多階段攻擊。

該攻擊在數天內展開，始於一個帶有簽章的廣告軟體下載器。隨後迅速升級為全面的網域接管，透過遭濫用的 RMM 軟體實現隱蔽的持續性，最終以針對組織關鍵專案與 CAD 儲存共用 (D:\DATA_SHARES\) 的大規模勒索軟體部署告終。

在選擇安全方案前需要專家指導嗎？

直接與專家對話。免填表單，無需等待，也不需要 Slack 帳號。

核心事件亮點

  • 透過帶有簽章的下載器規避偵測： 攻擊者透過投放一個由認可機構 (ASK.COM) 合法簽署的執行檔 (ApnStub.exe)，繞過了靜態特徵碼與初始瀏覽器防護。
  • Syskey 擷取與雜湊解密： 攻擊者利用網路上無代理程式的未受管裝置，查詢了次要網域控制站 (DC-02) 上的登錄檔機密 (HKLM\SYSTEM\...\Lsa)。這使他們得以重建 16 位元組的 Syskey，並攻陷主要網域管理員帳戶 (ADM_DOMAIN)。
  • 隱蔽的 RMM 濫用： 攻擊者利用 ConnectWise ScreenConnect 的 Backstage 模式 (ScreenConnect.WindowsBackstageShell.exe) 保持深度的持續性。它在次要桌面工作階段中隱形運行 (hasVisibleWindow: false)，部署了系統級鍵盤掛鉤 (SetWindowsHookEx)，最終觸發了 EDR 對隱蔽鍵盤側錄的警報。
  • 未受管資產的盲點： 關鍵在於，大規模 SMB 加密與跨網路指令完全是由處於組織 EDR 覆蓋範圍之外的惡意未受管 IP 位址 (10.10.10.177 與 10.10.10.158) 所執行的。

入侵時間軸

注意：為了保護隱私，日期與時間戳記已進行修改，但順序與確切間隔保持不變。

日期與時間 (UTC)攻擊階段目標 / 情境技術摘要
2026 年 5 月 12 日 – 00:05:00初始入侵WKSTN-P01 (10.10.10.29)
VICTIM\user_alpha		零號病人： 在使用者的 Documents 資料夾中執行帶有簽章的 ApnStub.exe 下載器。
2026 年 5 月 15 日 – 08:11:26憑證存取DC-02 (10.10.10.11)
VICTIM\adm_local		登錄檔查詢： 未受管節點 (10.10.10.177) 對 DC-02 的 LSA 結構發起遠端 RPC 查詢，以擷取 Syskey 主要金鑰。
2026 年 5 月 15 日 – 08:57:53橫向移動HYPERV-01 (10.10.10.166)
NT AUTHORITY\SYSTEM		互動式 WinRM： 攻擊者透過 wsmprovhost.exe 利用已攻陷的 ADM_DOMAIN 憑證，強制在整個網域內啟用 RDP。
2026 年 5 月 15 日 – 17:09:00偵察DC-01 (10.10.10.20)
VICTIM\adm_domain		網路掃描： 在 DC-01 上執行 ipscan24.exe 以映射 /24 子網路並找出 SMB 共用。
2026 年 5 月 16 日 – 11:17:55有效負載暫存DC-01 (10.10.10.20)
VICTIM\adm_domain		執行嘗試： EDR 成功標記並阻擋了早期的未簽署勒索軟體暫存檔案。
2026 年 5 月 16 日 – 13:43:43網路探索WKSTN-P01 (10.10.10.29)
VICTIM\user_alpha		目錄探測： 從 WKSTN-P01 向 DC-01 (10.10.10.62) 發起 LDAP 查詢與 SMB 檢查。
2026 年 5 月 16 日 – 13:48:33持續性 / 規避WKSTN-P01 (10.10.10.29)
NT AUTHORITY\SYSTEM		Backstage 掛鉤： ScreenConnect.WindowsBackstageShell.exe 連線至遠端 C2 中繼並安裝全域鍵盤掛鉤。
2026 年 5 月 16 日 – 13:48:34憑證存取WKSTN-P01 (10.10.10.29)
NT AUTHORITY\SYSTEM		LSASS 控制代碼： Backstage 處理程序請求針對 lsass.exe 與 lsaiso.exe (Credential Guard) 的控制代碼。
2026 年 5 月 16 日 – 14:32:03本機影響WKSTN-P01 (10.10.10.29)
VICTIM\adm_domain		勒索勒索訊息： akira_readme.txt 被放置在次要使用者的本機資料夾中。
2026 年 5 月 16 日 – 14:32:43大規模加密12 個受管資產
VICTIM\adm_domain		Akira 爆發： 從未受管節點 (10.10.10.158) 發起大規模 SMB 加密，目標為關鍵儲存共用。

技術深度剖析與鑑識分析

零號病人與初始入侵 (WKSTN-P01)

漏洞源於工作站 WKSTN-P01 (10.10.10.29)。遙測數據暴露了 Ask Partner Network 安裝程式存根的執行：

  • 路徑： \Device\HarddiskVolume3\Users\user_alpha\Documents\ApnStub.exe
  • 簽章狀態： 有效數位簽章 (ASK.COM)

對手經常利用帶有簽章的廣告軟體或綑綁的軟體存根來溜過邊界防禦。雖然 ApnStub.exe 本身並非惡意軟體，但它的存在使威脅行為者得以取得低權限的立足點，並開始收集本機憑證。

Syskey 查詢與主要金鑰擷取 (DC-02)

到了 5 月 15 日，攻擊者已將權限提升至網域等級。他們使用已遭攻陷的本機憑證 (VICTIM\adm_local)，從惡意 IP (10.10.10.177) 針對網域控制站 DC-02 發起遠端 RPC 查詢。

Syskey 的作用： 在 Windows 環境中，安全帳戶管理員 (SAM) 與 NTDS.dit 內的密碼雜湊是使用位於 HKLM\SYSTEM\CurrentControlSet\Control\Lsa 的啟動金鑰 (Syskey) 進行加密的。如果沒有此金鑰，就無法離線擷取雜湊。攻擊者部署了一個自訂公用程式來查詢特定的 LSA 值 (JD、Skew1、GBG 與 Data)，成功組合出 16 位元組的 Syskey。這直接導致網域雜湊遭離線解密，並攻陷了 VICTIM\adm_domain。

規避式持續性：ScreenConnect Backstage Shell

為了確保具有韌性的存取，攻擊者劫持了受害者合法的 ConnectWise ScreenConnect 安裝。5 月 16 日，該服務衍生了 ScreenConnect.WindowsBackstageShell.exe。

為何 EDR 捕捉到了鍵盤側錄程式： ScreenConnect 的 “Backstage” 功能允許 IT 人員在活動使用者工作階段背後操作終端，且不會渲染 UI 元素。為了擷取實體按鍵輸入並將其路由至這個隱形的終端 (hasVisibleWindow: false)，該軟體以 NT AUTHORITY\SYSTEM 身分使用 SetWindowsHookEx (WH_KEYBOARD_LL)。由於這會從隱藏的環境中全域擷取原始按鍵輸入，現代 EDR 平台會正確地將其識別為低階鍵盤側錄程式。這並非誤報，而是準確偵測到合法工具正被主動武器化。

記憶體鑑識與處理程序樹分析

重建零號病人上的記憶體偽影，闡明了攻擊者實現隱蔽性的方法：

  • Session 0 執行： Backstage Shell 由代理程式服務直接在非互動式的 Session 0 環境中衍生。
  • 隱藏桌面： 在沒有可見視窗的情況下運作，使攻擊者能完全在不被本機使用者察覺的情況下執行互動式命令列工作階段 (CMD/PowerShell)。
  • LSASS 探測： 記憶體鑑識顯示，在初始化期間，Backstage Shell 請求了 lsass.exe 與 lsaiso.exe 的處理程序控制代碼 (OpenProcess)，從而觸發了高保真度的憑證存取警報。

入侵指標 (IoC)

調查期間發現的密碼雜湊、工具與偽影詳列如下：

二進位檔 / 工具名稱SHA256 雜湊簽章狀態描述
Akira 勒索軟體有效負載bd10283d8c96e8640b37ad688d63f35107f5dc90443ad9dcc5d53c146a49c533未簽署 / 惡意透過 SMB 部署的主要 Akira 加密執行檔。
ApnStub.exe1f1a74c990abd0c4169a7e3e13f1563f5c4b1edd7abf305cbba515544197847b已簽署 (ASK.COM)用於初始入侵的廣告軟體存根。
ipscan24.exe4179e299c24a130f3c567ddbbfe1835064a3497e8c2a1971aaba597794e8c14d未簽署 / 駭客工具用於子網路探索的可攜式網路掃描器。
advanced_ip_scanner.exebcad517cb5f49dcd28e60f6e70abf7e5f60104b78eac672da10de5a063ac1174兩用工具在偵察期間部署的次要網路掃描器。
Syskey 擷取公用程式43fc3019e826a9ea0601a65126e48a31d12ade9313521c7ec137daa88f1d77d8惡意公用程式用於從 LSA 機密中組合啟動金鑰的自訂二進位檔。
host-isolation.dll無 (未簽署 DLL)未簽署 / 注入的 DLL旁載入至代理程式處理程序空間的未簽署 DLL。

總結回顧

本事件回應分析重點介紹了快速移動的 Akira 勒索軟體部署的機制。在由帶有簽章的廣告軟體下載器觸發後，攻擊者利用未受管的裝置對網域控制站執行 LSA 查詢，有效擷取 Syskey 以取得網域管理員權限。為了確保深度的持續性，威脅行為者武器化了現有 RMM 工具的 Backstage Shell，利用全域 Windows 掛鉤默默地從 Session 0 記錄活動。

參考資料與進階閱讀

  • Akira 勒索軟體： CISA 網路安全建議 (AA24-109A) – 戰術、技術與程序。
  • SentinelOne： 關於復原與 VSS 還原機制的技術簡報。
  • Microsoft 技術文件： Active Directory 樹系復原 (krbtgt 重設)、LSA 機密與 Syskey 結構，以及 SetWindowsHookExW API 動態。
  • Guardz 平台： AI 原生安全平台與 24/7 MDR 架構概述。
  • Guardz 研究： 安全研究實驗室 (GitHub) 以及涵蓋針對 SMB 與 MSP 威脅的網路研究部落格。
Start Free Trial

關於 Guardz

Guardz 為管理服務提供商 (MSP) 和 IT 專業人士提供一個人工智能驅動的網絡安全平台，專門設計來保護小型企業免受網絡攻擊。我們的統一檢測與響應平台能夠全面保護用戶、電子郵件、設備、雲端目錄和數據。透過簡化網絡安全管理，我們讓企業能夠專注於發展業務，同時減少安全管理的複雜性。Guardz 結合強大的網絡安全技術和豐富的專業知識，確保安全措施持續受到監控、管理和改進，預防未來的攻擊並降低風險。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

揭秘 SD-WAN 與 MPLS：連線指南

SD-WAN 與 MPLS：核心差異全面解析

連接分散的分支機構是一項基本的 IT 挑戰，而 SD-WAN 與 MPLS 提供了兩種截然不同的解決方案。雖然 MPLS 依賴僵化、專用的實體線路來保證效能，但 SD-WAN 利用智慧軟體覆蓋網路 (overlay)，動態地跨越寬頻、LTE 甚至現有的 MPLS 連線來路由流量。本指南從架構、成本、安全性與備援等方面詳細比較這兩項技術，並說明 SC//AcuVigil™ 託管網路解決方案如何保護您的基礎架構，無論您選擇哪種連線模式。

解構 SD-WAN

SD-WAN（軟體定義廣域網路）將分散的組織從依賴單一線路的限制中解放出來。它利用虛擬化與加密的覆蓋隧道 (overlay tunnels) 將分支機構使用者直接連接至工作負載，並將底層傳輸機制（寬頻、LTE、VPN）抽象化。隨著組織積極從地端資料中心遷移至雲端服務，這種由軟體驅動的靈活性正變得不可或缺。

其核心由集中式控制器管理端到端加密隧道，並即時且智慧地沿著最佳路徑引導流量。應用程式感知路由 (Application-aware routing) 確保對延遲敏感的應用程式獲得優先的頻寬，而較不關鍵的流量則使用剩餘的容量。

SD-WAN 的一個主要優勢是它能將流量直接路由至 SaaS 與 IaaS 平台，徹底消除傳統上將雲端流量回傳 (backhauling) 至中央企業資料中心所造成的延遲。SC//Connect™ 安全 SD-WAN 解決方案將這種智慧路由與雲端管理的政策執行以及整合式 SASE 安全性結合，從單一管理介面提供具備韌性且安全的連線。

了解 MPLS 的運作機制

MPLS（多協定標籤交換）將保證的可靠性置於靈活性之上。它運作於 OSI 模型的第 2 層與第 3 層之間，利用標籤 (labels) 而非 IP 位址來路由流量。透過預先決定路徑並減少每一跳 (hop) 所需的路由決策，MPLS 大幅降低了延遲、抖動 (jitter) 與封包遺失。

這種堅若磐石的服務品質 (QoS) 使得 MPLS 對於依賴即時協定的環境（例如企業 VoIP 或金融交易）極具吸引力。供應商可強制執行嚴格的流量優先級，確保關鍵任務應用程式獲得穩定、專屬的效能。

正面對決：SD-WAN vs. MPLS

這兩項技術沒有絕對的優劣；選擇取決於您組織的具體優先事項。當可預測、專屬的效能是不可妥協的要求時，MPLS 佔據主導地位；而 SD-WAN 則在敏捷性、擴展性與成本效益方面表現出色。

功能類別MPLSSD-WAN
網路架構底層網路 (Underlay)；依賴專用的實體線路。覆蓋網路 (Overlay)；可利用任何傳輸連線的組合。
擴展性僵化；配置新實體線路需要漫長的時間。高度可擴展；可立即利用現有的寬頻/LTE。
成本結構價格高昂（由於專線與 SLA 費用）。具成本效益；利用平價的商用網際網路。
流量最佳化靜態 QoS；通常會將流量回傳至中央閘道。動態、具備應用程式感知的路由，直達雲端。
安全態勢私有網路，但流量預設未加密。內建端到端加密；原生雲端安全整合。
部署與管理複雜；需要專業的網路知識。零接觸佈署 (Zero-touch provisioning)；集中式雲端管理。
容錯移轉與備援需要購買昂貴且閒置的備援線路。軟體內建雙活 (Active-active) 多路徑容錯移轉。

選擇 SD-WAN 的理由

對於正積極淘汰傳統 MPLS 的組織而言，SD-WAN 提供了幾個令人信服的優勢：

  • 降低成本： 透過用商用寬頻和 LTE 取代昂貴的專線，組織在擴展規模時能大幅減少每月的電信支出。
  • 快速部署： 零接觸佈署讓新的分支機構能在幾天內上線，省去了安裝 MPLS 線路通常需要的數週或數月時間。
  • 為雲端最佳化： 直接且加密的 SaaS 平台路由消除了傳統 MPLS 回傳的效能懲罰。
  • 內建安全性： 端到端加密以及與雲端安全服務的無縫整合是基本功能，而非昂貴的附加元件。
  • 自動容錯移轉： 流量會自動在可用的連線中切換，確保單一 ISP 故障不會讓分支機構斷線。
  • 簡化管理： 集中式雲端控制器讓 IT 部門可以向全球發佈政策更新，而無需手動設定個別邊緣裝置。

管理與營運複雜度

SD-WAN 大幅簡化了網路管理。其軟體定義的本質與零接觸佈署消除了對裝置進行手動 CLI (命令列介面) 設定的需求。集中式控制器提供統一的儀表板，用於監控流量、調整 QoS 以及在整個企業內強制執行安全政策，使其能高度適應不斷變化的業務需求。

相反地，MPLS 需要專業的網路知識。部署和修改 MPLS 架構是勞力密集、僵化且耗時的，難以快速適應組織變化的需求。

備援策略

備援機制決定了分支機構的斷線時間是幾秒鐘還是幾個小時。真正的 MPLS 備援需要購買第二條專用線路——這是一項昂貴的提議，且在容錯移轉期間仍會遭受短暫的中斷。因為 SD-WAN 同時主動管理多個不同的連線，所以它能以近乎即時的速度將流量重新路由至健康的連線。

SC//AcuVigil 託管網路透過提供本地多 WAN 容錯移轉的實體邊緣安全裝置進一步增強了這一點，確保銷售點 (POS) 和監控等關鍵系統即使在主要 ISP 斷線期間也能維持運作。

常見的產業應用情境

技術選擇通常與產業需求及地理分佈相符：

  • 分散式零售與快餐 (QSR)： 快速部署、內建的 PCI 合規性支援以及多 WAN 容錯移轉，使 SD-WAN 成為高度分散式環境的明確選擇。
  • 加油站與便利商店： SD-WAN 能毫不費力地在商用寬頻上對關鍵流量（加油泵、支付終端機、監控）進行分段與優先排序。
  • 中小型企業 (SMB) 與 MSP： 集中式管理減少了聘請昂貴專業網路工程師的需求。
  • 對延遲敏感的環境： 金融交易大廳或醫療影像中心通常會為了絕對零抖動 (zero jitter) 的工作負載而特別保留 MPLS。
  • 混合過渡期： 受限於 MPLS 綁約的組織經常將現有線路整合到新的 SD-WAN 覆蓋網路中，以避免提前解約的罰款。

決策檢查清單

選擇 MPLS 的情況： 保證零抖動效能是絕對要求、嚴格的合規性要求使用私有專線，或當地的寬頻基礎架構極度不可靠。

選擇 SD-WAN 的情況： 您管理高度分散的據點、優先考量降低成本與部署速度、重度使用雲端應用程式，並且需要無縫的自動容錯移轉。

與 Scale Computing™ 攜手邁向轉型

Scale Computing 提供一套強大的網路安全與連線服務來保護您的基礎架構，無論您的傳輸層為何。從託管服務與主動威脅偵測，到整合式邊緣運算與安全遠端存取，我們的解決方案能無縫覆蓋您現有的架構，以保證機密性與正常運行時間。

 

關於 Scale Computing

Scale Computing 是邊緣運算、虛擬化及超融合解決方案的領導者。
Scale Computing 的 HC3 軟件整合了傳統的虛擬化軟件、災難復原軟件、伺服器及共享儲存，並將其整合為一個高度可用的應用程式運行系統。
憑藉其專利 HyperCore™ 技術，HC3 自我修復平台能夠實時自動識別、緩解和修復基礎設施問題，讓應用程式實現最長的正常運行時間。若您重視易用性、高可用性及總體擁有成本 (TCO)，Scale Computing HC3 將是您理想的基礎設施平台。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴，Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區，客戶來自各行各業，包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

Need help? Our team is just a message away