新聞

入侵一間公司需要多少時間？根據戴夫寇爾（DEVCORE）共同創辦人暨資深副總徐念恩在臺灣資安大會（CYBERSEC 2026）的經驗，該公司自2017年推出紅隊演練服務以來，累計服務逾75間企業、執行超過150次演練，得到的結論是「平均只需要4.32天。」

徐念恩指出，傳統防禦者與攻擊者的視角落差，正是企業資安最危險的地方。許多企業仍停留在「買了多少資安產品、完成多少合規項目」的思維，認為部署WAF、EDR、MFA、SIEM等工具，或通過稽核、完成弱點掃描與教育訓練，就代表防線已經到位；但對攻擊者而言，這些從來不是無法突破的高牆，而只是能否繞過、利用，甚至反過來當成跳板的障礙。

因此，真正決定企業是否會被打進內網的，往往不是資安產品買得夠不夠多，而是攻擊面是否有效收斂、漏洞是否持續修補、內網與核心系統是否做好分區隔離，以及高權限帳號是否受到足夠保護。

徐念恩認為，若從攻擊者視角來看，入侵路徑其實相當務實：先尋找外網弱點或外洩憑證，成功落地後再提升權限、橫向移動，接著控制AD、vCenter等關鍵基礎設施，最後再觸及核心系統與機敏資料。

他指出，企業真正應該在意的，不是表面上的「有沒有做」，而是「做了之後，能不能實際擋住攻擊者一路往內打」。

傳統防禦者常見兩種資安盲點：產品堆砌與合規迷思

許多企業資安的思維，長期停留在「我買了哪些產品」的層次，不管是IPS、WAF、SIEM、EDR、MFA、PAM、DLP、VPN等，每一樣都是業界熟悉的縮寫，每一樣也都代表著資安預算的投入。

徐念恩把這種思維稱為「傳統防禦者視角」，這意味著，企業相信只要把這些產品全數配備，就能打造一座固若金湯的數位城堡。他認為，這是許多企業最常見的資安盲點之一。

現實卻往往事與願違。問題不在於買了哪些產品，而在於這些產品有沒有被正確部署、有效串聯。徐念恩以WAF（網站應用程式防火牆）為例，某個客戶為了系統維護方便，把WAF設定成旁路模式（bypass mode），結果原本應被擋下的漏洞全部失去防護；另一個案例中，客戶的WAF防護設定只涵蓋IPv4，駭客只要改用IPv6連線，便可長驅直入。

還有EDR（端點偵測與回應）也面臨部署率過低的問題，徐念恩表示，許多企業只把EDR安裝在A機器，若攻擊者瞄準B機器，既有的資安監控等於形同虛設。更荒謬的是，有些企業為了控管內部流量而部署的WAF或Proxy伺服器，反而被攻擊者拿來作為連外的後門出口。

徐念恩發現，許多企業的問題在於，資安產品越買越多，結果反而讓藍隊疲於奔命地應付調整設定的需求，核心安全問題卻始終沒有解決。

第二個常見盲點是「合規即安全」的錯誤等號。徐念恩觀察，從董事會到管理階層，許多人關心的核心問題是「我有沒有符合這條法規？」而非「我到底有沒有安全？」。

事實上，企業的弱點掃描完成率達到百分之百，並不代表漏洞已經修補完畢；教育訓練出席率完美，不代表員工真的學到了任何東西。他見過不少受訓員工從頭到尾低頭處理自己的事，只為了湊滿年度的受訓時數。

他也提到，企業過度追求合規，最終只會造就一個荒謬景象：「最安全的時刻，恰好就在稽核前一週。」稽核一結束，那層緊繃就立刻鬆弛。

從攻擊者的視角，看五步驟的入侵路徑

攻擊者的思維截然不同，對他們而言，資安產品從來都是「有機會繞過」的變數之一，法規是「別人」的底線，所有防禦機制的意義只在於提高入侵難度，而不是讓入侵變成不可能。

徐念恩梳理出攻擊者最常見的五步驟入侵路徑。第一步，評估能否從外部突破：網站有沒有已知漏洞？有沒有外流的帳號密碼可以利用？第二步，突破後嘗試提升權限、建立內網據點，以低調的方式向橫向擴展。

第三步，控制關鍵基礎設施，Active Directory（AD，目錄服務）一旦落入攻擊者手中，企業內部九成以上的伺服器便形同失守；vCenter如果遭到攻擊者控制，所有在虛擬機上運作的重要系統全數暴露。

第四步，存取核心系統與機敏資料，鎖定對業務影響最深的資產。第五步，將機敏資料外滲，用於勒索、二次利用或倒賣。徐念恩表示，這五個步驟，不是理論上的攻擊腳本，而是紅隊演練中一再被實證的真實流程。

指標一：從外網打進內網，平均只需4.32天

不過，徐念恩坦言，只知道攻擊路線圖對企業而言還不夠，企業需要的是一套可以觀測、自我評分的防禦指標。「大家都以為入侵一間公司要很久，幾個月？幾年？」徐念恩說，「現實是，平均不到五天。」

根據戴夫寇爾過去超過150次紅隊演練的統計顯示，紅隊從外網突破進入內網的平均天數為4.32天；金融業因為金管會等監管機制的持續督促，防線稍強，平均為5.33天；政府單位平均3.86天；高科技業平均3.7天，反而是最快被攻破的產業之一。

更令人心驚的數據顯示，紅隊曾在26次的演練過程當中，第一天就已經成功打進內網，占所有演練案例約18%；在所有演練專案中，被成功打進內網的比例更高達75%。

為什麼這麼快？徐念恩用籃球與乒乓球的比喻說明原因，如果要射擊這兩顆球，任何人都會瞄準那顆更大的目標（籃球）。

攻擊者的邏輯完全相同，因為他們不會刻意挑戰看起來就很難打的目標，而會鎖定那些攻擊表面積（Attack Surface）最大的系統，例如：忘記下線的測試環境、設計停在1990年代的介面、明顯沒有定期更新的框架。他表示，攻擊表面積越大，被入侵的機率就越高；而許多企業的攻擊面，其實比他們自己以為的還要大得多。

他特別指出一個常被忽略的死角。許多自行開發的系統，企業通常做足資安健診、弱點掃描、滲透測試，極盡所能加強防護；但外部採購的系統或設備，無論線上交易平臺、會計軟體、印表機、IP Camera還是NAS等，往往完全缺乏資安驗證，採購時從未確認過廠商是否做過弱點掃描或滲透測試。

他直言，一樣都是有機會被存取的系統，資安待遇卻天差地遠，攻擊者當然知道要往哪裡下手。

關於資安的改善方向該從何處著手？徐念恩建議，企業應該優先關閉不必要的對外服務；讓測試環境立即下線，積極縮小攻擊面積；其他無法下線的服務，則需落實連線最小化與角色權限最小化；對於供應鏈廠商，應主動要求提交高強度滲透測試報告，並將過去漏洞歷史與修補速度納入選商標準。

指標二：六成企業，有已知漏洞超過半年仍未修補

至於第二個指標，徐念恩表示，衡量的是超過180天未修補的已知漏洞數量。這個數字的殺傷力在於，「攻擊者不需要研發全新的零日漏洞，只要找到一個公開的 CVE漏洞並確認目標尚未修補，就可以直接利用現成的攻擊工具打進去。」他說。

徐念恩根據過去超過150次演練數據顯示，全產業有60%的專案（也就是超過90個案例），紅隊可以透過已知CVE漏洞，直接存取機敏資料或控制伺服器，完全不需要社交工程或複雜的攻擊鏈攻擊。

他進一步說明，半年內未修補漏洞的製造業，比例高達75%，顯示製造業在漏洞管理方面的落差尤為顯著。相比之下，有強力監管介入的金融業（53%）與政府單位（57%）表現相對較好。像是金管會《金融資安行動方案2.0》以及政府導入資通安全弱點通報系統（Vulnerability Analysis and Notice System，VANS）並強制限期修補的政策，確實發揮了作用。

企業不願做弱點掃描的理由往往如出一轍，例如：掃描出來的漏洞數量太多、誤報率太高、不確定哪個漏洞真的可被利用、怕修補方式有誤、更怕進行修補程式（patch）後系統停擺。

徐念恩理解這些顧慮，但也直接點出問題癥結：這些不是弱點掃描沒意義的理由，而是企業缺乏一套有效的風險評鑑機制。他說，就連美國國家標準暨技術研究院（NIST）都在2025年宣布，因CVE漏洞數量在五年間暴增263%，已無力逐一分析，被迫改採「風險優先」策略，僅對已知被利用或關鍵系統相關漏洞進行重點處理。

他建議企業應建立自己的風險評鑑策略，從三個維度判斷修補優先順序：該漏洞的可利用程度（是否有公開exploit）、伺服器所在網段位置（外網還是核心內網），以及資產本身的業務重要性。「弱點掃描不是沒意義，是看誰做得有效率。」他說。

指標三：核心系統遭控制，平均只需10.14天

第三個指標，是衡量專案在第幾天被控制核⼼系統（含基礎設施）。徐念恩指出，根據該公司的演練數據顯示，許多演練企業核心系統（含關鍵基礎設施）被全面控制所需的天數：平均10.14天；被控制核心系統的專案比例高達78%，其中更有56%的案例，紅隊在10天內就完成從外網突破到核心系統淪陷的完整路徑。

他表示，這個數字背後，隱藏著兩個結構性問題。首先，是網段切割不確實，企業內部任意端點皆可直連核心系統，因此，攻擊者只要踏入內網，就等同站在核心機房門口。

其次，是權限畫分過於鬆散，許多高權限帳號與高權限群組數量氾濫，攻擊者在列舉帳號時，幾乎隨手就能抓到一個具有關鍵存取能力的帳戶。他說，AD長年累積的歷史包袱與信任關係從未被清理，也讓企業內部的橫向移動變得輕而易舉。

除了技術架構的缺陷，徐念恩更點出另一個常被忽視的問題，那就是：藍隊缺乏真實演練的機會，導致面對真實攻擊時無從辨識。

他也以外型相似的蔥、蒜苗與韭菜來比喻。他表示，資安事件中常見的問題在於：明明在看同一份log，每個人判讀出的結論卻完全不同的困境；真正的問題並不在於沒有工具，而在於沒有練習辨識的機會。「很多事情只要做過一次，你就會了，缺乏的只是練習的機會。」他如此說道。

改善方向包含：移除不必要的角色與群組、精簡AD信任關係、強化管理員認證機制，並定期透過紅隊演練或其他模擬攻防機制，讓藍隊有機會在受控環境中練習辨識攻擊行為與應變流程。

指標四：八成員工密碼可被破解，九成六含系統管理員帳號

第四個指標，直指最古老也最難根治的問題：員工密碼強度。演練數據顯示，平均每間企業被破解的密碼比例高達81.24%，政府單位更高達90.45%，金融業79.37%，高科技業77.32%。

這個數字雖讓人觸目驚心，但更嚴峻的是另一項延伸數據，徐念恩指出，在被破解的帳號中，有高達96%的企業存在系統管理員帳號。「一旦管理員帳號的密碼被破解，攻擊者幾乎等同取得了整個組織的鑰匙。」他說。

至於密碼破解速度的現實，也遠比多數人想像的快。徐念恩以使用四張Nvidia RTX 5090顯示卡進行Windows密碼破解為例，8碼且使用95個可視字元的密碼，僅需約1小時22分鐘便可破解；只要密碼長度不足12碼，幾乎都在數天之內有被破解的風險。

他指出，企業中最常見的密碼形態包括：鍵盤排列組合（如1qaz2wsx）、生日、手機號碼、公司縮寫加上個人姓名等，已經不需要暴力破解，僅靠字典檔即可快速命中。

徐念恩並不期待所有企業一夕之間讓全體員工改用12碼以上的強密碼，「你無法改變所有人的習慣，」但他建議，至少要優先保護高權限帳號。

具體措施包含：針對存放密碼的系統，改用Argon2、scrypt、bcrypt和PBKDF2等較難破解的雜湊函數；在身分識別的環節當中，導入MFA多因素驗證；為企業的IT與資安人員，配發密碼管理器，如1Password或Bitwarden；建置特權帳號管理系統，如CyberArk、ANCHOR；乃至於導入WebAuthn / FIDO2，建置Passkey新型態身分驗證機制。

AI讓駭客變強了嗎？從歷史找答案

面對各界對於AI威脅的焦慮，「Claude、GPT這麼強，當攻擊者有了AI，企業是不是馬上就完蛋了？」徐念恩選擇從歷史找答案。

第二次工業革命催生了內燃機，但人手一顆引擎了嗎？15世紀出現了單手火繩手槍，到今天2026年，我們有人手一支手槍嗎？從1938年德國科學家發現核分裂現象，到1945年美國試爆核彈，現在全世界擁有核武的國家也不超過十個。他的結論是，越是超強大的武器，往往伴隨著極高的生產門檻與使用限制。像是，研發核彈需要科學家、管制原料與試爆場地；超強的AI同樣需要土地、機房、電力與大量算力。這些條件，一般企業或個人根本無從具備。

他進一步提出兩條未來可能的發展路線，若AI真的成為挖掘漏洞的致命武器，各國政府將比企業更早感到威脅，勢必祭出管制，就像核武管控一樣，能夠使用的對象將被嚴格限縮。

事實上，Anthropic旗下最先進的模型Claude Mythos Preview，目前就僅開放少數受信任組織在嚴格框架下使用，而非對一般用戶開放；被管制的AI，只會優先被用在強化產品安全，而非大規模攻擊。反之，若AI的威脅被過度渲染，只是行銷語言，那更沒有恐慌的必要。

以目前實測的經驗來看，AI在資安領域最突出的優勢，在於處理重複性的苦工：逆向工程分析、原始碼掃描（尤其擅長找出OWASP Top 10的常見漏洞類型，如 SQL Injection與RCE）。

但他認為，在串聯多個漏洞進行組合利用方面，目前的AI仍有相當距離；在黑箱測試中，AI也難以有效控管攻擊範圍與頻率，貿然使用反而可能造成預料之外的影響。

「現在對AI恐慌可能還太早，但再不擁抱AI就太慢了。」徐念恩指出，面對覺得AI很可怕的企業客戶，他常反問：「你們公司現在有導入AI嗎？開發流程有導入AI嗎？防禦機制有用AI嗎？」而答案往往是否定的。他說，與其擔心AI讓攻擊者變強，不如先思考如何讓AI成為防禦方的助力。

150場演練的共同答案，每個企業犯的錯都很像

面對各界詢問：「不同產業之間，有什麼特別不一樣的趨勢嗎？」徐念恩直言：「幾乎沒有差異。每個企業會犯的錯，都很像。」

他以金融業、政府機關、高科技製造業為例，攻破的時間頂多相差兩三天；密碼破解率最多差到15個百分點，但核心問題如出一轍。

他也指出，不少企業高層至今仍認為「只要外網沒有弱點就等於安全」，甚至要求資安部門減少外網弱點回報數量；然而，這些企業往往同時存在外網暴露面過大、供應鏈管理空白、內網未分區隔離、AD與核心系統權限問題積重難返，以及藍隊從未進行真實情境應變演練等結構性風險，也是許多企業容易踩到的資安地雷。

面對這些共同的地雷，徐念恩提出六項行動建議。首先，積極縮小攻擊表面積，讓入侵難度與防禦難度同步降低；其次，建立漏洞風險評鑑機制與修補政策，讓已知漏洞不再是攻擊者的免費入場券。

第三，優先規畫核心系統的角色、權限與網段切割，讓橫向移動的路徑無處延伸；第四，優先投入資源保護高權限帳號，在人性無法完全改變的前提下，先從最關鍵的節點築起防線。

第五，透過高強度的紅隊演練，讓藍隊真正有機會練習辨識攻擊行為與應變流程——就像認識蔥、蒜苗、韭菜，做過一次就不會再搞錯；最後，不要對AI過度恐慌，而要積極擁抱 AI，把它化為強化防禦能力的工具。

在經歷超過150場紅隊演練後，徐念恩特別強調：「攻擊表面積縮得越小，企業就越難被入侵。」然而，即使這是資安最基本的常識，仍有75%的企業在紅隊演練中被打進內網。這意味著，對許多臺灣企業而言，縮小攻擊面、做好基礎防護，至今仍不是已經落實的日常，而是尚未跨越的資安門檻。