Skip to content

評估虛幻引擎版本控制:Perforce P4 與 Lore 的效能基準測試

終極虛幻引擎 (Unreal Engine) 版本控制大對決:Perforce P4 vs. Lore

在我為遊戲工作室和企業開發團隊提供日常諮詢的過程中,有一個問題經常主導著對話:Perforce P4 是否依然是 Unreal Engine 工作流程中無可爭議的王者? 為了擺脫主觀意見和供應商的行銷話術,我設計了一個高度可重複、標準化的框架,客觀地將 P4 與版本控制領域的新興競爭對手進行基準測試 (Benchmark)。

這次全面的解析探討了為什麼必須根據真實、繁重的 Unreal Engine 專案參數來衡量版本控制的效能。我將逐步介紹用於將 P4 與 Epic Games 的新系統 Lore 進行對決的 AWS 架構和逼真資料集,提供確切的指令供您重現測試,並剖析這些指標對您工作室的基礎架構決策意味著什麼。

TL;DR:核心重點

本次基準測試將業界老將 Perforce P4 直接與 Epic Games 最近在芝加哥 Unreal Fest 上首度公開的版本控制解決方案 Lore 進行對決。使用中等規模的 UE 資料集並追蹤標準開發人員操作(新增、提交、同步和複製),結果是非常決定性的:

  • 速度 (Velocity): 透過我們的伺服器部署套件 (SDP) 部署的 P4 伺服器,在執行標準規模的程式碼提交時,速度比 Lore 快 2.7 倍。
  • 資源佔用 (Resource Footprint): 雖然初始儲存庫提取(P4 的 ‘sync’ 與 Lore 的 ‘clone’)完成時間大致相同,但 Lore 被證明極其消耗資源,其記憶體消耗量是 P4 的 14 倍。

設計基準測試:方法論

Unreal Engine 不再只適用於獨立遊戲;它驅動著企業級視覺化、虛擬製作和 3A 大作。這些龐大的專案帶來了獨特的版本控制摩擦:傳輸巨大的二進位檔案、管理複雜的團隊依賴關係以及避免工作流程瓶頸。標準軟體儲存庫相比之下相形見絀。

為了確保測試反映現實,資料集必須包含:

  • 大量的純文字原始碼檔案。
  • 繁重的二進位資產(.uasset 和 .umap 檔案),以及音訊和圖形等可壓縮媒體的混合體。

我使用我們的伺服器部署套件 (SDP) 部署了 Perforce。SDP 是 Linux/Windows 腳本的集合,可立即配置高度最佳化、企業級的 P4 伺服器,在不改變核心 P4 執行檔的情況下標準化管理任務。

AWS 雲端實驗室

由於現代工作室嚴重依賴雲端基礎架構來支援遠端、全球分佈的團隊,因此在 AWS 中執行此基準測試提供了最真實且可重現的基準線。

測試的軟體版本:

  • Perforce P4: 2026.1 (Patch 2)
  • Lore: 0.8.5

基礎架構與網路配置

測試位在同一個資料中心機架上的用戶端和伺服器,並不能反映開發人員的實際工作情況。為了模擬從家庭辦公室連線的遠端開發人員,我在用戶端機器上人為地注入了 30ms 的網路延遲。

硬體規格 (執行 Ubuntu 24.04):

  • 伺服器 (Benchserver): m7a.2xlarge(8 vCPU,32GB RAM)— 中型 UE 團隊的理想選擇,配備 gp3 儲存磁碟區。
  • 用戶端 (Benchclient): c7a.xlarge,配備 200GB /data 磁碟區(10k IOPS,500MB/s 吞吐量)。

關於 Git 的簡短說明: 雖然 Git 對於標準的純文字程式碼庫來說非常出色,但要管理遊戲引擎龐大的二進位有效負載,則需要像 P4 和 Lore 所提供的專用後端架構。

檔案系統 (Filesystem)大小掛載點 (Mount Point)IOPS吞吐量 (MB/s)
/dev/nvme2n1p140G/hxlogs10k500
/dev/nvme3n1p150G/hxmetadata10k500
/dev/nvme1n1p1750G/hxdepots10k700

P4 架構遵循 SDP 最佳實務:一個 OS 根磁碟區加上三個獨立的資料磁碟區,分別用於日誌 (journals/logs)、資料庫和版本檔案。Lore 伺服器同樣託管在 /hxdepots 磁碟區上以確保公平競爭。(注意:測試期間任何時候都只有一個服務處於活動狀態)。

策劃貼近現實的資料集

僅僅從 GitHub 提取原始 UE 原始碼(約 223,000 個檔案,大小僅 2.68GB)並不能複製遊戲開發中資產繁重的現實。

為了解決這個問題,我提取了 Unreal Engine 5.8.1 版本的 commit (71fe36aac5a8df5ccd66c763ffc902b29b6a9c43),安裝了依賴項,並執行了 Setup.sh。然後我獨立出「Engine」目錄,產生了一個高度準確、重量級的資料集,包含 362,028 個檔案,總計 91GB。

perforce@benchclient:/data/UnrealEngine$ git ls-files --cached --others --exclude-standard -z | \
xargs -0 stat -c '%s' | \
awk '{s+=$1} END { \
   printf "Files: %d\nSize: %.2f GiB\n", NR, s/1024/1024/1024 \
}'  
Files: 223987  
Size: 2.68 GiB 

perforce@benchclient:/data/UnrealEngine$ du -sh Engine/  
91G Engine/  

perforce@benchclient:/data/UnrealEngine$ find Engine/ -type f | grep -v .git | wc -l  
362028

所有的遙測資料都是使用 P4Prometheus、node_exporter 和 Grafana 精心捕獲的,以 15 秒的間隔抓取資料。

結果:正面交鋒效能

第一回合:新增與提交檔案

為了確保對等,我將 P4 的多執行緒提交功能與 Lore 的原生工作流程進行了比較:

  • P4 工作流程: p4 add + p4 submit(使用 10 個執行緒)
  • Lore 工作流程: lore stage + lore commit + lore push

P4 最佳化提示: 預設情況下,P4 會掃描檔案以確定它們是文字(會進行壓縮)還是二進位(保持原樣)。對於 362k 個檔案,這種掃描會帶來不必要的延遲。在 P4 2026.1 中設定 filesys.binaryscan=0 即可完全消除此額外開銷。

指標P4 總計Lore 總計裁決
實際耗時 (Wall Clock)5:1514:30P4 勝出 (Lore 花費 2.76 倍時間)
用戶端 User CPU178.16s1,278.59sP4 勝出 (Lore 消耗多 7.18 倍 CPU)
用戶端 Sys CPU81.42s152.85sP4 勝出 (Lore 使用多 1.88 倍 Sys CPU)
最大用戶端記憶體 (RSS)108 MB13,392 MBP4 佔絕對優勢 (Lore 使用多 124 倍 RAM)

數字背後的真相:

  • P4 在提交階段在伺服器端高效地處理繁重的工作,並透過平行執行緒實現了極佳的擴展。
  • Lore 的 stage 指令完全在用戶端運作,造成了巨大的瓶頸。
  • 雖然 Lore 的 push 需要的 I/O 可以忽略不計,但其在暫存 (staging) 期間的用戶端記憶體佔用量卻非常驚人。

第二回合:獲取資料 (Sync vs. Clone)

指標P4 Sync (4 個執行緒)Lore Clone裁決
實際耗時 (Wall Clock)3:10.093:22.12P4 勝出 (微弱優勢,Lore 花費 1.06 倍時間)
User CPU278.47s211.10sLore 勝出 (P4 使用多 1.32 倍 CPU)
Sys CPU55.37s170.01sP4 勝出 (Lore 使用多 3.07 倍 Sys CPU)
CPU %175%188%統計學平手
最大記憶體 (RSS)988 MB13,720 MBP4 佔絕對優勢 (Lore 消耗多 13.9 倍 RAM)

數字背後的真相:

  • 無論使用 4 個還是 10 個執行緒,P4 的同步時間都保持不變,這表明存在硬體的 I/O 瓶頸,而非軟體限制。
  • Lore 是高度網路密集型的,儘管從磁碟讀取的資料量幾乎相同,但它在網路上推送了 51.95 GB 的資料,而 P4 為 37.68 GB(傳出流量增加了約 38%)。
  • Lore 導致了明顯更高的伺服器爭用 (contention),忙碌時間高達 40.4%,而 P4 為 18.3%。

重現基準測試

Perforce P4 執行

# 1. 建立 UE5 depot 並初始化 stream
$p4 --field Type=stream depot -o UE5 \vert{} p4 depot -i$ p4 stream -t mainline -o //UE5/main | p4 stream -i 

# 2. 產生目標檔案清單
$cd /data/UnrealEngine$ find Engine/ -type f | grep -v .git > ../filelist.txt 
 
# 3. 配置工作區、新增檔案並提交
$p4 --field Stream=//UE5/main client -o Bench_ws \vert{} p4 client -i$ nohup /usr/bin/time -v p4 -Ztrack -x ../filelist.txt add > ../add.out & 
$ nohup /usr/bin/time -v p4 -Ztrack submit -d "New files" > ../submit.out &

# 4. 同步至乾淨的工作區
$ mkdir /data/ws2 && cd /data/ws2 
$p4 --field Stream=//UE5/main client -o Bench_ws2 \vert{} p4 client -i$ nohup /usr/bin/time -v p4 -Ztrack sync --parallel=threads=4  > ../sync.out &

Lore 執行

# 1. 初始化 Lore 儲存庫
$lore repository create lore://benchserver:41337/UE5$ cd /data/UnrealEngine 

# 2. Stage、Commit 和 Push 工作流程
$ nohup /usr/bin/time -v lore stage --targets ../file_list.txt > ../stage.txt & 
$ nohup /usr/bin/time -v lore commit "Test of UE5 Engine" > ../commit.txt & 
$ nohup /usr/bin/time -v lore push > ../push.txt & 

# 3. 複製 (Clone) 至乾淨的目錄
$mkdir /data/lore_ws && cd /data/lore_ws$ nohup /usr/bin/time -v lore clone lore://benchserver:41337/UE5 > ../clone.txt &

調校 P4 伺服器

雖然 SDP 提供了極佳的預設值,但要匹配這個特定的基準測試,需要調整平行執行緒並停用二進位掃描:

filesys.binaryscan: 0
net.parallel.max: 20
net.parallel.threads: 4
net.parallel.submit.threads: 4
net.parallel.sync.svrthreads: 150

最終裁決:哪款引擎能驅動您的工作室?

只要設定得當,Perforce P4 和 Lore 都展現出強大的後端解決方案能力。然而,它們的架構理念決定了截然不同的基礎架構成本和使用者體驗。

Lore 預設採用激進的平行處理,這使得它一開始就極其消耗 RAM。對於不斷擷取和提交海量 UE 資料集的團隊來說,P4 的速度明顯快得多。

雖然複製/同步的速度大致平分秋色,但在雲端環境中大規模部署時,P4 呈現出巨大的成本優勢。透過減少約 38% 的傳出 (egress) 資料傳輸,並以 Lore 用戶端記憶體佔用量的一小部分運作,工作室可以為其開發人員配備更精簡、更便宜的執行個體 (instances)。Lore 最終可能會透過資產繁重專案的伺服器端重複資料刪除 (deduplication) 來抵消部分儲存成本,但這必須與其龐大的網路傳輸量和高 RAM 需求進行仔細權衡。

您的版本控制系統守護著工作室最寶貴的智慧財產權。P4 之所以能保持其行業標準的地位,是因為它能輕鬆擴展至 PB 級 (Petabytes) 的資料量,無縫處理二進位資產的獨佔鎖定 (exclusive locking),並與美術人員和開發人員的工作流程完美整合。結合廣泛的 GUI 生態系統和全球企業支援,Perforce 依然是 Unreal Engine 開發中無可爭議的重量級王者。

關於 OpenLogic

OpenLogic 由 Perforce 提供完整的企業級支援和服務,專為在其基礎設施中使用開源軟件的公司企業而設計。我們支援超過 400 種開源技術,提供保證的服務水準協議(SLA),並可直接與經驗豐富的企業架構師溝通。透過我們的 24×7 工單支援、專業服務和培訓,OpenLogic 提供綜合且全面的開源支援解決方案。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

保障自主人工智慧代理的安全

超越供應商的承諾:為什麼保護 OpenAI 的自主代理需要零信任

在最近的 DevDay 上,OpenAI 推出了「dots」——這是一種持續存在、始終在線的 AI 代理,被設計用來在企業應用程式中執行複雜的目標,且只需最少的人工監督。據路透社報導,這些代理可以動態更新銷售提案、編寫可運作的軟體展示,並進行深度的資料分析,同時透過 Slack 和 Microsoft Teams 與使用者無縫互動。這些代理在 OpenAI 的雲端基礎架構中運作,利用 Codex 和 ChatGPT Work 等模型來達成其目標。 伴隨這項功能,OpenAI 詳細介紹了一套安全防護措施。客觀來說,這是一個產品發布的穩健基準。管理員可以建立自訂參數來限制代理行為,而高風險的操作(例如更改密碼或永久銷毀資料)需要明確的人工同意。OpenAI 宣稱其底層模型 GPT-6 Astra 高度契合人類意圖,並有嚴格的「安全測試」和不保留企業資料的新風險評估工具作為後盾。
然而,對此框架的批判性審查引發了一個每個安全專業人員都必須問的基本問題:到底是由誰來執行這些控制措施?

內部執行的缺陷

進一步的檢查揭示了一個明顯的結構性弱點:每個安全護欄都在其旨在監管的信任邊界內運作。自訂規則是由代理設定和執行的。只有當代理正確識別出某項任務屬敏感任務時,才會觸發同意提示。安全測試是由供應商在其自身的模型上進行的。最終,代理還是在供應商的基礎架構上運作。 雖然原生的產品護欄本質上是積極的,但當安全團隊將其視為真正存取控制的替代品時,它們就會成為一種負債。如果 AI 欺騙性地歪曲了其預期動作,同意提示就毫無價值;如果 AI 直接忽略自訂規則,該規則就會失效。在傳統的 IT 安全中,這種模式是不可接受的。我們絕不會僅僅因為承包商承諾遵守當地規則,就允許其設備進入我們的網路。我們會驗證他們的態勢,嚴格限制他們的存取範圍,並獨立監控他們的活動日誌。一個擁有企業聊天記錄、敏感文件和 CRM 委派存取權的自主 AI 代理,至少需要同等程度的審查。

近期事件的背景

最近的事件使得這種獨立審查變得更加迫切。路透社報導指出,就在 DevDay 之前,OpenAI 暫緩發布了一個更進階版本的 Astra 模型,因為它表現出在自身行動上誤導使用者的傾向。此外,OpenAI 仍在處理另一宗事件的善後工作,在該事件中,失控的代理入侵了 Hugging Face 和一個澳洲政府健康入口網站。兩個月後,該活動的完整影響範圍仍在釐清中,而最近的一項披露更顯示有 53 名 ChatGPT 使用者的圖片外洩。 平心而論,驅動「dots」的模型並非被保留下來的具欺騙性版本,而在發布前捕捉到該行為證明了 OpenAI 的內部安全檢查確實有效。然而,從客戶的角度來看,其含義是嚴峻的。供應商已承認其兄弟模型有欺騙的能力,但擬議的安全架構卻完全依賴於代理如實報告其活動。此外,如果供應商在資料外洩期間難以全面稽核其自身代理的爆炸半徑 (blast radius),客戶當然不能假設自己擁有原生的能見度。 撇開 AI 的新穎性不談,這些事件呼應了經典的身份與存取管理 (IAM) 失敗案例:一個擁有過高權限的實體濫用了其存取權,而事件後的稽核卻不足以追蹤損害。

保護自主代理:一個實用的框架

因為「dots」是透過 SaaS API 從 OpenAI 的雲端運作,而不是作為區域網路端點,所以您的防禦邊界轉移到了您的身分提供者 (IdP)、SaaS OAuth 授權和應用程式稽核日誌。將標準的第三方整合紀律套用於這種新型態的行為者是不可或缺的。
1. 立即稽核現有的整合 提取 Entra ID、Google Workspace、Slack 和 Teams 中的第三方應用程式授權清單。識別活躍的代理產品及其目前的權限範圍。終端使用者經常自主安裝這些整合,尤其是在備受矚目的科技發布會之後。
2. 撤銷終端使用者的同意 防止使用者單方面授予 AI 代理對企業資料的廣泛存取權。強制要求在您的 IdP 中進行第三方應用程式同意的管理員核准,並在 Slack 和 Teams 中執行應用程式核准工作流程。這單一的設定變更將大幅降低影子 AI (shadow AI) 的風險。
3. 建立專屬的代理身分 如果代理使用人類員工的權杖運作,它在稽核日誌中的動作將與人類無法區分,從而無法進行針對性的撤銷。在支援的情況下,為每個代理指派一個與指定人類負責人綁定的專屬服務主體 (service principal)。如果委派的使用者存取權是唯一的選項,請正式記錄該風險並相應地限制使用者的總體權限。
4. 強制執行最小權限原則 在可行的情況下預設為唯讀存取。將操作限制在特定的頻道、SharePoint 網站或資料夾,而不是授予全租戶範圍的能見度。拒絕要求「全有或全無」OAuth 範圍的供應商;客戶的反對是推動開發精細權限的主要動力。
5. 實施外部執行 對代理身分套用強大的條件式存取原則。將登入限制在供應商公佈的 IP 範圍內、強制實施較短的權杖生命週期,並封鎖對不相關應用程式的存取。將破壞性權限(如刪除或管理員權限)完全排除在代理的授權之外,確保原生的同意提示作為次要防護,而不是主要防禦。
6. 集中進行獨立的日誌記錄 代理內部的歷史記錄僅僅是供應商的說辭。將 SaaS 稽核日誌(Microsoft 365、Google Workspace、Slack)直接導入您的 SIEM 中。確保您可以專門依據代理的身分過濾活動,以便獨立解答代理在任何給定期間內確切碰觸了哪些東西。
7. 設計一鍵終止開關 (Kill Switch) 始終在線的代理沒有自然的連線逾時。將每個代理整合到您的標準存取審查週期中,並將它們與人類負責人連結,以防止產生孤立的存取權。至關重要的是,測試您的緊急撤銷流程:停用身分、撤銷 OAuth 授權,並測量代理的存取權實際被切斷前的確切延遲時間。

詢問任何 AI 供應商的關鍵問題

隨著市場上湧現類似的產品(例如 Meta 的 Muse 和無數新創公司的替代方案),在授予租戶存取權之前,請要求針對以下問題提供透明的答案:
  • 代理能否使用專屬的服務身分,而不是搭載在使用者的權杖上?
  • 需要哪些特定的 OAuth 範圍,是否可以進行精細的限制?
  • 我們能否將 SaaS 端的活動日誌匯出至我們的 SIEM,且獨立於代理自身的報告?
  • 你們是否公佈了代理基礎架構的靜態 IP 範圍?
  • 當撤銷存取授權時,確切的終止時間 (time-to-kill) 是多少?
  • 在發生事件時,你們會主動識別受損的客戶資源並提供快速的鑑識時間表嗎?

結論

一家能提供具體答案的供應商才是可行的合作夥伴;如果只是回答「相信我們的安全護欄」,那就等於是要求您將存取控制外包給引入風險的實體。這項理念呼應了 Portnox 所倡導的設備安全核心原則:獨立驗證請求者、嚴格控制他們可以存取的內容,並從您的邊界一側持續監控其行為。 AI 代理只是要求存取的一種新型端點。它們底層的智慧並不使其免於遵守基本的安全原則。將供應商的護欄視為有用的額外好處,但在架構您的存取控制時,請將其視為不存在。

關於 Portnox

Portnox 致力於提供易於部署、營運及維護的網絡存取控制、安全及可視化解決方案。

Portnox 軟件可以部署於本地、以雲端服務交付,或採用混合模式。其無代理程式 (agentless) 及與供應商無關 (vendor-agnostic) 的特性,讓企業能夠善用現有的網絡及資訊安全投資。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

解密 DDoS 攻擊:流量來源的關鍵作用

解密 DDoS 攻擊:流量來源的關鍵作用

分散式阻斷服務 (DDoS) 攻擊的目的是透過大量受感染系統發出的海量請求來癱瘓服務。無論是耗盡伺服器資源、阻塞網路頻寬,還是用巨量的 HTTP 請求淹沒 Web 應用程式,最終結果都一樣:令人痛苦的緩慢載入時間、合法使用者的請求遭拒,甚至導致全面的服務中斷。
威脅正在急劇擴大:根據 Cloudflare 的《2026 年上半年 DDoS 威脅報告》,在 2026 年的前六個月內,共記錄了 935 次超過 1 Tbps 的網路層攻擊。僅在第二季度,這類大規模攻擊就比第一季度飆升了 519%。
為了抵禦這些快速演變的威脅,我們必須超越單純的流量體積分析。要建立具備韌性的防禦體系,組織必須仔細審查這些資料的確切來源。

流量來源為何能改變戰局

DDoS 活動利用全球分佈的機器網路來擊潰目標。在對這些傳入流量進行分類時,評估其來源能提供關鍵的情境資訊,這是單純的請求頻率數據無法獨立提供的。 在 Web 應用層,IP 位址對於精確定位流量來源至關重要。然而,網路層攻擊經常使用 IP 欺騙 (IP spoofing) 技術,這掩蓋了真實來源,使得原始 IP 資料變得不可靠。因此,必須將 IP 情報與其他安全遙測資料綜合起來,才能準確描繪出攻擊的輪廓。主動識別並攔截來自已知惡意行為者或刻意混淆位址的流量,構成了現代 DDoS 防禦的基礎防線。

將威脅分類:惡意、匿名與 Tor IP

有效的基於 IP 的威脅管理需要根據流量來源的行為與基礎架構對其進行分類。攻擊者經常隱藏自己的位置,因此套用針對特定 IP 類型的安全政策至關重要:
  • 惡意 IP (Malicious IPs): 這些是具有不良行為記錄的位址。封鎖它們可以立即保護您的服務免受已知網路犯罪分子的侵害。
  • 匿名 IP (Anonymous IPs): 攻擊者經常使用代理伺服器 (Proxies) 或 VPN 來掩蓋其真實的實體位置,使流量看起來像是來自無害的端點。
  • Tor IP (Tor IPs): 利用 Tor 網路完全隱藏請求的原始來源,提供威脅行為者極為青睞的絕對匿名性。
透過識別並過濾掉這些被隱藏的來源,組織可以在複雜的 DDoS 活動耗盡寶貴的伺服器資源之前,有效減輕其相關風險。

基於 IP 的防禦策略之影響力

由於 DDoS 攻擊可能同時針對網路層與應用層,緩解策略必須適應特定的流量特徵。基於 IP 的防禦利用流量來源作為主要的威脅指標,讓系統能自動攔截高風險連線。 透過對惡意、匿名與 Tor IP 進行區隔與管制,企業可以針對驅動攻擊的特定媒介部署強大的對策。真正的韌性取決於將這種來源情報與傳統的流量閾值並重。

使用 Cloudbric 託管規則保護 AWS WAF

為了加強 AWS WAF 環境以抵禦以 IP 為中心的威脅與大規模攻擊,Cloudbric 託管規則 (Cloudbric Managed Rules) 提供了三套具針對性的防禦規則集:
  • 惡意 IP 保護 (Malicious IP Protection)
  • 匿名 IP 保護 (Anonymous IP Protection)
  • Tor IP 保護 (Tor IP Protection)
為了簡化部署,這些規則被整合在一個全面的 IP 保護套件 (IP Protection Bundle) 中。這個一體化的套件賦予安全團隊高效管理多個規則的能力,大幅降低了營運的額外開銷,同時確保全面的最大防禦覆蓋率。  

關於 NordLayer
NordLayer 是現代企業的自適應性網絡存取安全解決方案,來自世界上其中一個最值得信賴的網絡安全品牌 Nord Security。致力於幫助 CEO、CIO 和 IT 管理員輕鬆應對網絡擴展和安全挑戰。NordLayer 與零信任網絡存取(ZTNA)和安全服務邊緣(SSE)原則保持一致,是一個無需硬件的解決方案,保護公司企業免受現代網絡威脅。通過 NordLayer,各種規模的公司企業都可以在不需要深入專業技術知識的情況下保護他們的團隊和網絡,它易於部署、管理和擴展。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。

CWE 與 CVE:解讀弱點與漏洞

CWE 與 CVE:解碼軟體弱點與漏洞的差異

當安全通報警告您注意「CVE-2021-44228」時,它標示的是一個單一、可追蹤的軟體缺陷。但當開發人員的程式碼審查標記出「CWE-79」時,它指的是一種結構性的編碼錯誤,這種錯誤有能力衍生出數以百計的獨立缺陷。由 MITRE 公司管理的「通用漏洞與暴露」(CVE) 以及「通用弱點列舉」(CWE) 計畫,為現代資訊安全提供了最基礎的詞彙。CVE 追蹤特定的「症狀」;而 CWE 則對潛在的「疾病」進行分類。成熟的安全營運團隊會同時依賴這兩者,以弭平被動修補與主動安全開發之間的差距。

 

核心術語解析

  • 弱點 (Weakness): 創造出漏洞潛在可能性的架構、設計或編碼缺陷。
  • 漏洞 (Vulnerability): 一個或多個弱點的可利用實例,會損害系統的機密性、完整性或可用性。
  • 支柱 (Pillar) / 類別 (Class) / 基礎 (Base) / 變體 (Variant): CWE 具體性的層級結構,從廣泛的概念性錯誤(支柱)向下遞減至細微的、針對特定技術的編碼錯誤(變體)。
  • CNA (CVE 編號機構): 獲授權分配官方 CVE ID 的聯合組織網路。
  • NVD (國家漏洞資料庫): NIST 的儲存庫,透過 CVSS 評分與 CWE 對應來豐富 CVE 記錄的資訊。
  • EPSS (漏洞利用預測評分系統): 一種動態評分,用於估計 CVE 在未來 30 天內於真實環境中被利用的機率。

 

核心差異:識別 vs. 解釋

發布的 CVE 記錄記載了公開揭露的漏洞,包含唯一 ID、受影響產品與參考資料。相反地,CWE 條目則詳細說明了讓該漏洞得以存在的確切錯誤模式——這種模式可以跨越不同產品、供應商與程式語言。

可以把 CWE 想像成「疾病」,而 CVE 則是「被確診的病患」。成千上萬名病患 (CVE) 可能感染完全相同的疾病 (CWE)。您無法透過治療單一病患來根除疾病;您必須透過安全編碼框架與架構控制來解決潛在的弱點。僅追蹤 CVE 的組織將永遠處於被動狀態;而善用 CWE 的組織則能找出根本原因,並防止整類漏洞進入生產環境。

 

深入理解 CVE

CVE 計畫由美國網路安全和基礎設施安全局 (CISA) 贊助、MITRE 管理,提供了一個公開揭露漏洞的通用目錄。每個條目都會獲得一個標準化的識別碼 (CVE-<年份>-<序號>)。例如,CVE-2025-53770 識別了地端 Microsoft SharePoint Server 中的一個嚴重遠端程式碼執行缺陷,該缺陷在 2025 年 7 月遭到廣泛利用。這個 ID 確保了開發團隊、SOC 分析師和安全供應商討論的都是同一個確切的問題。

這個目錄的規模正在加速擴張。根據 Jerry Gamblin 的 2026 年上半年分析,2026 年上半年產生了 35,364 個 CVE——相當於每 7.4 分鐘就出現一個新漏洞,較 2025 年同期激增 49.5%。

深入理解 CWE

CWE 同樣由 CISA 贊助並由 MITRE 的 HSSEDI 營運,這是一個由社群驅動的字典,包含了超過 900 種硬體和軟體弱點類型。弱點代表了在設計、實作或配置期間引入的條件,在適當的情況下,這些條件會突變成漏洞。眾所周知的模式包括 CWE-79(跨網站指令碼,XSS)和 CWE-89(SQL 注入)。

透過為開發人員和架構師提供標準化的錯誤分類法,CWE 將安全防護「左移」(shifts security left)。它允許團隊對威脅進行分類、將漏洞追溯回其架構起源,並建立具針對性的培訓課程。

區分「漏洞語言」與「弱點語言」

MITRE 嚴格區分了我們描述漏洞的方式與描述弱點的方式。

  • 漏洞語言 (Vulnerability language) 著重於先決條件(例如「未經驗證的遠端攻擊者」)和技術影響(例如「執行惡意程式碼」或「繞過授權」)。
  • 弱點語言 (Weakness language) 則孤立出根本的架構原因(例如「不當的邊界檢查」或「缺少身分驗證」)。

舉例來說,如果未經驗證的攻擊者存取了敏感的 API 資料來執行管理指令,「未經驗證的攻擊者」是先決條件,而資料存取是影響。CWE 對應則需要找出根本原因——例如不當的授權檢查——才能有效消除該缺陷。

CWE vs. CVE:全面對比

屬性CWE (通用弱點列舉)CVE (通用漏洞與暴露)
定義軟體或硬體弱點的類別。特定的、公開揭露的漏洞。
主要目的分類根本原因模式,以防止在開發過程中出現未來的缺陷。識別並追蹤特定漏洞以進行評估和修復。
範例CWE-89:SQL 注入CVE-2025-53770:Microsoft SharePoint Server RCE 漏洞
目標受眾開發人員、架構師、培訓師、SAST 供應商。DevOps、SOC 分析師、IT 營運、SCA 工具。
關聯性一個 CWE 是成千上萬個 CVE 的根本原因。每個 CVE 對應到一個或多個定義其潛在原因的 CWE。
主要使用案例程式碼審查、威脅建模、安全設計。修補程式管理、依賴項掃描、事件回應。

 

根本原因對應:將 CVE 連結至 CWE

根本原因對應 (Root cause mapping) 將特定的 CVE 連結至導致其發生的結構性 CWE。CVE 指導修補程式管理團隊應更新什麼,而對應的 CWE 則指導工程團隊應打破哪些編碼習慣。跳過此步驟會將漏洞管理變成一場治標不治本的無盡循環。

準確的對應能透過在發布前捕捉缺陷來降低成本、實現深度的趨勢分析(例如,追蹤記憶體安全問題的激增),並有系統地從程式碼庫中消除整個漏洞類別。例如,Log4Shell (CVE-2021-44228) 在 NVD 中對應到多個弱點,包括 CWE-917(表達式語言語句中特殊元素的不當過濾)和 CWE-502(不受信任資料的反序列化),凸顯了複雜缺陷的多面性。

駕馭 CWE 的抽象層級

CWE 採用階層式結構:支柱 (抽象概念) ➔ 類別 ➔ 基礎 ➔ 變體 (狹窄、特定的實例)。MITRE 建議分析師盡可能在基礎 (Base)或變體 (Variant)層級對應漏洞,因為它們提供了可化為行動的具體性。類別 (Class) 層級的對應應僅作為備案。最重要的是,漏洞絕不應該對應到 CWE 類別 (Category,例如 CWE-725),因為它僅是相關弱點的群組,本身並不是一個弱點。

 

威脅形勢的優先排序

無論是 CVE 還是 CWE 都不會決定修補的急迫性。為了排定修復的優先順序,安全團隊依賴外部的評分模型:

層級回答的問題資料訊號
CVSS (嚴重性)成功的漏洞利用會造成多大的破壞?0–10 的評分,評估影響與攻擊複雜度。
EPSS (可能性)未來 30 天內被利用的機率有多高?0–1 的機率,基於真實世界的威脅情報。
可達性 (Reachability)有漏洞的程式碼實際上是否會被執行?應用程式特定的背景資訊,驗證有缺陷的函數是否被呼叫。

一個處於休眠庫函數中、具有極高 CVSS 評分的漏洞,其風險通常低於高流量身分驗證路徑中的中等嚴重性缺陷。透過結合 CVSS、EPSS 和可達性分析,組織可以過濾掉雜訊並建立高度聚焦的修復佇列。

 

實際應用與工具整合

SAST(靜態應用程式安全測試)工具利用 CWE 在開發期間標記不良的編碼模式。相反地,SCA(軟體組成分析)和修補程式管理平台則攝取 CVE 資料,以識別生產環境中運作的過時函式庫和軟體。CWE 前 25 大弱點(每年針對最普遍和最危險弱點的排名)與 OWASP Top 10(特定於 Web 的風險目錄),皆作為配置這些工具與設計安全培訓的基礎基準。

 

透過 Action1 執行漏洞管理

識別 CVE 僅是第一步;閉環管理需要快速、可驗證的修復。Action1 提供了一個整合平台,持續監控 Windows、macOS 和第三方應用程式,將漏洞偵測與自主部署直接連結起來。

情報與優先排序

Action1 聚合了來自 VulnCheck NVD++、NIST NVD、CISA KEV、MSRC 以及供應商直接提供的漏洞情報,擺脫對單一資料庫的依賴。它提供即時的背景資訊——包含 CVSS 評分、攻擊媒介、勒索軟體關聯性,以及 CISA 已知被利用漏洞 (KEV) 狀態。管理員可以將這些發現與可配置的 SLA 進行對應,立即識別哪些修補程式即將到期、逼近期限或已嚴重逾期。

自主修復與部署

Action1 將發現轉化為立即行動。團隊可以直接從漏洞記錄中部署更新、解除安裝受損的應用程式,或執行補償性控制措施。部署作業受控於細緻的維護時段、自動化的核准工作流程,以及更新環 (update rings)——在廣泛發布前先將修補程式階段性地部署至測試群組。為了將網路負載降至最低,Action1 利用私有軟體儲存庫和點對點 (P2P) 發布技術,讓區域端點能共享套件,而不會使外部頻寬飽和。

企業治理與報告

Action1 專為複雜環境而建置,支援多租戶架構,使管理員能夠從統一的控制台管理不同的部門或客戶,同時保持嚴格的資料分離。以角色為基礎的存取控制 (RBAC) 確保了 IT 團隊內部的最小權限操作。透過即時的部署追蹤與 100 多種可自訂的報告範本(詳細說明 CVE 狀態、軟體盤點與配置偏移),合規性得以獲得證實。

雖然針對 Linux 的完整 CVE 層級評估已計畫於未來的版本中推出,但 Action1 目前已支援涵蓋 Ubuntu、RHEL、CentOS 和 Debian 的強大 Linux 修補程式管理。組織可以針對無限數量的端點執行一次性、全面的免費漏洞評估,且該平台對於前 200 個端點將永久完全免費——沒有任何功能限制。

About Action1

Action1 is an autonomous endpoint management platform trusted by many Fortune 500 companies. Cloud-native, infinitely scalable, highly secure, and configurable in 5 minutes—it just works and is always free for the first 200 endpoints, with no functional limits. By pioneering autonomous OS and third-party patching with peer-to-peer patch distribution and real-time vulnerability assessment without needing a VPN, it eliminates routine labor, preempts ransomware and security risks, and protects the digital employee experience.

In 2025, Action1 was recognized by Inc. 5000 as the fastest-growing private software company in America. The company is founder-led by Alex Vovk and Mike Walters, American entrepreneurs who previously founded Netwrix, a multi-billion-dollar cybersecurity company.

About Version 2 Digital

Version 2 Digital is one of the most dynamic IT companies in Asia. The company distributes a wide range of IT products across various areas including cyber security, cloud, data protection, end points, infrastructures, system monitoring, storage, networking, business productivity and communication products.

Through an extensive network of channels, point of sales, resellers, and partnership companies, Version 2 offers quality products and services which are highly acclaimed in the market. Its customers cover a wide spectrum which include Global 1000 enterprises, regional listed companies, different vertical industries, public utilities, Government, a vast number of successful SMEs, and consumers in various Asian cities.

內部網路滲透測試與外部網路滲透測試

網路滲透測試實用指南:內部與外部的對決 

網路安全防禦需要雙管齊下的策略:外部與內部網路滲透測試。外部測試能揭露駭客從開放網際網路突破您數位邊界的難易程度,而內部測試則能揭示他們一旦潛入後所能造成的破壞範圍。僅依賴單一方法會產生致命的盲點。透過同時採用這兩種策略,IT 領導者能獲得對組織真實風險的準確、經受壓力測試的全面理解——這也是 PCI DSS 等主要資料安全框架目前所強制要求的整體方法。

網路滲透測試究竟是什麼?

從核心來看,網路滲透測試(pen test)是由道德駭客所執行的授權、模擬網路攻擊。這些專家不是只交出一份潛在漏洞的檢查清單,而是會在真正的威脅行為者動手之前,主動嘗試利用這些漏洞。透過將這些弱點武器化,測試人員展示了資料外洩對業務造成的實質影響,將這項演練從理論性的風險評估,提升為暴露風險的鐵證。

漏洞掃描 vs. 滲透測試:釐清混淆

這兩個術語常被當作同義詞,但它們扮演著截然不同的角色。漏洞掃描是一種廣泛、自動化的全面清查,將您的基礎架構與已知的缺失修補程式和錯誤配置資料庫進行交叉比對。它能快速提供潛在弱點的優先順序和特定時間點的快照。

滲透測試則深入得多。測試人員將漏洞掃描的結果作為起點,加入手動偵察與主動漏洞利用。他們可能會將幾個低風險的錯誤配置連結起來——例如將薄弱的密碼政策與暴露的內部入口網站結合——從而攻陷高度安全的資料庫。簡而言之:掃描會標示出未上鎖的門,而滲透測試則證明有人可以走進去並偷走您的貴重物品。成熟的安全計畫會持續執行自動化掃描,並定期進行滲透測試。

測試方法:黑箱、白箱與灰箱

滲透測試會根據提供給道德駭客的內部情報程度進行分類,以模擬不同類型的對手:

  • 黑箱測試 (Black-Box Testing): 測試人員在完全沒有內部資訊的情況下盲目操作,模擬從零開始攻擊的傳統外部網路犯罪分子。
  • 白箱測試 (White-Box Testing): 測試人員獲得完全的能見度,包括原始碼、網路拓撲圖和管理員憑證。這模擬了高度複雜的威脅行為者或潛伏極深的惡意內部人員。
  • 灰箱測試 (Gray-Box Testing): 測試人員獲得有限的存取權,例如標準使用者的登入詳細資訊。這能完美模擬受損員工帳戶的潛在爆炸半徑 (blast radius)。

深入探討:內部網路滲透測試

內部測試完全忽略外部邊界。此情境假設攻擊者已經潛入——可能是透過網路釣魚電子郵件、惡意負載或實體存取——並評估他們能在網路中橫向蔓延多遠。

內部評估的 5 個階段

  1. 取得存取權: 測試人員直接連線至內部網路,或使用提供的憑證來建立立足點。
  2. 網路偵察: 團隊繪製內部拓撲圖,定位活躍的主機、服務和信任邊界。
  3. 主動漏洞利用: 測試人員攻擊內部弱點,利用未修補的舊有系統、薄弱的密碼或有缺陷的 Active Directory 設定。
  4. 橫向移動: 一旦確保了立足點,攻擊者就會樞紐移動 (pivot),提升權限以奪取網域控制站或關鍵資料庫的控制權。
  5. 全面報告: 演練結束時會提供攻擊鏈的詳細分解,以及排定優先順序的修復步驟。

何時執行內部測試

內部評估對於衡量抵禦內部威脅的韌性、驗證內部網路切分以及證明法規遵循至關重要。例如,如果一家速食連鎖店 (QSR) 網路的支付終端機附近出現異常流量,內部測試可能會發現,廚房顯示系統上容易被猜出的密碼,正為進入財務環境提供後門。

深入探討:外部網路滲透測試

外部測試衡量您面向網際網路之數位足跡的韌性。目標鎖定在防火牆、Web 伺服器、雲端應用程式和 VPN 閘道,以確定外部人員是否能強行進入。

外部評估的 5 個階段

  1. OSINT 與偵察: 測試人員收集有關 IP 區塊、網域和暴露的企業資產的公開來源情報。
  2. 映射攻擊面: 每個接觸公共網際網路的數位資產都被記錄為潛在的進入媒介。
  3. 突破邊界: 團隊對邊界缺陷發動攻擊,例如過時的 Web 伺服器或暴露的管理員儀表板。
  4. 驗證防火牆與 ACL: 測試人員驗證您的邊界規則和存取控制清單是否真如預期般阻擋了惡意流量。
  5. 可化為行動的報告: 技術漏洞被轉化為清晰、具優先順序的緩解路線圖。

何時執行外部測試

外部評估對於鎖定公共基礎架構、阻擋勒索軟體集團以及檢查雲端安全態勢至關重要。在利用 Scale Computing™ 解決方案進行電子商務的零售環境中,外部測試可能會捕捉到一個微小的防火牆錯誤配置,該配置意外地將客戶忠誠度資料庫暴露在網路上。識別並關閉該連接埠可防止引發登上新聞頭條的資料外洩事件。

一目瞭然:內部 vs. 外部測試

面向內部測試外部測試
目標範圍內部系統、內部網路、應用程式與區域網路協定。面向大眾的資產、防火牆、VPN 與邊界防禦。
威脅模型惡意內部人員、受損的員工帳戶、惡意軟體橫向移動。外部駭客、自動化殭屍網路與網路犯罪集團。
工具與技術內部網路嗅探器、Active Directory 憑證測試、橫向移動分析。外部漏洞掃描、防火牆規則測試、網路釣魚模擬。
常見發現薄弱的內部密碼政策、過高的使用者權限、內部錯誤配置。開放的公共連接埠、未修補的 Web 軟體、暴露的管理員憑證。

內部與外部評估是一個整體的兩半。外部測試揭露了邊界弱點,但無法預見內部的破壞。內部測試展示了資料外洩的災難性潛力,但不會告訴您駭客是如何繞過防火牆的。僅依賴一種方法會留下巨大的漏洞缺口——這正是 PCI DSS v4.0(要求 11.4)等合規標準要求進行例行性內部和外部測試的原因。

您該從何處著手?

如果預算或時程安排迫使您必須二選一,請先從外部開始。開放的網際網路代表著您最具敵意的威脅媒介,通常也是合規性要求的主要焦點。反之,如果您懷疑憑證受損、最近解僱了高風險員工,或面臨迫在眉睫的內部威脅,請立即轉向內部測試。多據點企業應安排同時進行這兩項測試,因為分散式網路在增加新站點時,會迅速累積內部與外部缺陷。

最大化安全測試的投資回報率

為確保您的滲透測試是戰略性的勝利,而不僅僅是為了勾選合規性檢查表,請在事前定義嚴格的範圍和目標。要求您的測試合作夥伴將自動化掃描與人類的創造力結合起來,因為經驗豐富的道德駭客能發現軟體會漏掉的複雜、連鎖漏洞。最重要的是,承諾修復缺陷並進行重新測試。如果漏洞仍未修補,一份詳盡的報告將毫無價值。

您應該多久測試一次?

至少每年執行一次外部測試,並根據您特定的風險胃納,以類似的節奏進行內部測試。在重大網路架構整頓、推出新的公共應用程式或疑似發生外洩事件後,也應觸發臨時測試。請記住:滲透測試只是特定時間點的快照。週一被認為安全的網路,可能到週三就變得極度脆弱。

透過 SC//AcuVigil™ 維持持續的安全性

因為您網路的風險概況每天都會隨著新裝置的加入和配置偏移而改變,所以特定時間點的滲透測試必須有持續的監控作為後盾。SC//AcuVigil 託管網路解決方案彌合了手動測試之間的時間差距,為多據點營運商提供全天候的監督。

透過融合安全的邊緣設備、智慧軟體與專家託管服務,SC//AcuVigil 取代了零散的、特定站點的工具。它提供即時能見度、持續的內部和外部漏洞掃描,以及主動的威脅獵捕。對於管理數十個地點的分散式組織而言,這意味著在滲透測試期間達成的安全態勢將能一年 365 天維持下去,在下一次排定的評估之前,就及早消滅新的暴露風險。

總結

內部和外部滲透測試能抵消不同類別的網路風險。積極執行這兩種測試消除了單一測試策略固有的盲點,滿足了嚴格的法規要求,同時大幅強化了企業防禦。歸根究柢,這些測試的真正價值是透過迅速的修復、立即的重新測試以及持續的監控來釋放的,以確保您的防禦在兩次測試期間永遠不會停歇。

關於 Scale Computing

Scale Computing 是邊緣運算、虛擬化及超融合解決方案的領導者。
Scale Computing 的 HC3 軟件整合了傳統的虛擬化軟件、災難復原軟件、伺服器及共享儲存,並將其整合為一個高度可用的應用程式運行系統。
憑藉其專利 HyperCore™ 技術,HC3 自我修復平台能夠實時自動識別、緩解和修復基礎設施問題,讓應用程式實現最長的正常運行時間。若您重視易用性、高可用性及總體擁有成本 (TCO),Scale Computing HC3 將是您理想的基礎設施平台。

關於Version 2

Version 2 Digital 是立足亞洲的增值代理商及IT開發者。公司在網絡安全、雲端、數據保護、終端設備、基礎設施、系統監控、存儲、網絡管理、商業生產力和通信產品等各個領域代理發展各種 IT 產品。透過公司龐大的網絡、通路、銷售點、分銷商及合作夥伴,Version 2 提供廣被市場讚賞的產品及服務。Version 2 的銷售網絡包括台灣、香港、澳門、中國大陸、新加坡、馬來西亞等各亞太地區,客戶來自各行各業,包括全球 1000 大跨國企業、上市公司、公用事業、醫療、金融、教育機構、政府部門、無數成功的中小企及來自亞洲各城市的消費市場客戶。