新聞

對於許多企業而言，每一次進行紅隊演練時，委外的紅隊面對企業內部堅守防禦陣營的藍隊，往往是敵對的狀態，攻擊方想方設法透過內部橫向移動，取得管理員權限，進而建立永久後門並外洩資料；而防守方在面對資訊不對稱的情況下，往往只能被動迎擊，即便無法在第一時間掌握紅隊攻擊的手法和進度，但仍盡可能透過各種蛛絲馬跡找到被入侵的證據，並在有限的資源下，確保企業內重要關鍵資產的安全性。

即便紅隊與藍隊因為攻守的立場不同形成對峙的局面，但日前在臺灣資安大會（CYBERSEC 2026）戴夫寇爾（DEVCORE）執行長翁浩正（Allen Own），以及現任美商企業臺灣資安長的陳浩維（HW Chen）共同發表演講，這兩位相識超過二十年好友，在此進行一場虛擬紅隊演練的現場對談。

翁浩正提到，他們兩人最早是在網路上的駭客與資安討論區彼此結識；爾後在2007年共同創立輔仁大學的NISRA資安社團，被視為臺灣校園資安社群最早的雛形之一。之後，翁浩正留在臺灣持續深耕，於2012年創立以滲透測試與紅隊服務為核心的戴夫寇爾（DEVCORE）；陳浩維則選擇出國深造，並加入Amazon打造企業內部的藍隊與資安應變團隊，之後轉戰韓國電商巨頭Coupang擔任臺灣資安長，直到今年初才返臺服務。

兩位二十年好友，在資安產業同行，從駭客社群相識到攻防兩端各自紮根，兩人不約而同認為，資安不該只是個人或單一企業的責任，而是必須仰賴整個產業與政府協力，才能真正墊高臺灣的整體防禦韌性。

第一週的資訊蒐集與資產盲區：一場虛擬紅隊演練

為了讓現場聽眾能更具體理解攻防兩端，在同一時間軸上各自看到什麼、又各自在忙什麼，兩人以一個虛構情境切入：陳浩維扮演企業資安長的角色，委託翁浩正的紅隊團隊執行為期一個月的滲透演練。

翁浩正說明，紅隊在正式取得任何存取權限之前，第一週的重點是在不驚動防禦方的前提下，盡可能完整地盤點企業的外部攻擊面。

具體做法包括透過憑證透明度紀錄（Certificate Transparency Log）追出企業所有歷史子網域，利用Shodan、Censys等工具，以SSL憑證指紋、favicon雜湊值（favicon hash）與自治系統編號反查對外資產；並透過被動式DNS紀錄，找出那些對外已經下線、卻仍在網路上存活的IP位址。

此外，從翁浩正的實務經驗也發現，只要在GitHub進行程式碼搜尋，往往能挖出企業員工或前員工不慎外洩的設定檔與commit紀錄，甚至包括離職員工的個人帳號。

他也直言，如今許多企業與外包廠商的工程師習慣直接在公開的GitHub儲存庫上進行開發與版本控管，無意間就把公司網域名稱、內部信箱與員工姓名一併攤在陽光下，成為攻擊者最初也最容易取得的情資來源。

相對地，陳浩維從防禦方的角度指出，當時企業內部正利用攻擊面管理工具執行盤點，VPN伺服器雖然也被列入清查範圍，但因為仍需維持正常服務而未被真正凍結。

他說，更關鍵的是，憑證透明度紀錄的監控並未被納入資安維運中心（SOC）的例行盤點項目，VPN帳號密碼的安全性也未曾被稽核，加上部分漏洞獎勵計畫（Bug Bounty Program）通報的漏洞尚未完成修補。

因此，他強調，這個階段真正該做的功課，是強化外部漏洞風險的防護、主動進行OSINT內部資訊的清理，以及補齊日誌監控的完整性。「否則這些看似細瑣的資產缺口，終將成為攻擊者長驅直入的起點。」他說。

第二週的合法入侵：弱密碼撞庫與VPN滲透

進入第二週，紅隊的目標從單純蒐集外部情報，轉為取得一個能被系統認可的合法身分，藉此進入企業內網。

翁浩正說明，團隊會從公開的資料外洩資料庫中，篩選出符合企業網域信箱格式的帳號紀錄，藉此掌握員工在其他網站重複使用的弱密碼；同時，團隊也會從GitHub程式碼裡挖出可用的弱密碼，進而找到維護廠商所使用的帳號密碼組合。

為了避開防禦方的告警機制，紅隊採取低速、分散式的撞庫策略，刻意拉長間隔並分散來源IP位址，最終成功以外包廠商的合法帳號登入VPN。

陳浩維則從藍隊視角補充，當時企業其實已經部署VPN暴力破解偵測機制，但由於攻擊者刻意壓低每個IP位址的嘗試次數，使得偵測門檻始終未被觸發；系統雖然也設有異常地理位置登入的告警，但攻擊者使用的常駐代理IP位址，在偵測系統眼中與合法的家用網路幾乎無異。

他表示，更令人憂心的是，維護廠商人員的多因素驗證（MFA）政策僅止於「建議」而非強制，導致這道原本應該存在的最後防線形同虛設，使得一連串異常行為始終沒有觸及任何已定義的偵測規則。

陳浩維指出，這正是防禦方必須優先補強的環節，唯有將偵測機制持續優化，並在零信任架構下真正強制導入多因子驗證，才能讓合法帳號被冒用的門檻大幅提高。

第三週的橫向移動與示警：從外包工作站到網域控制器

接著是第三週，紅隊的目標從一個委外帳號，擴張成整個網域的管理員權限。翁浩正描述，團隊先透過VPN進入內網，並在外包人員的工作站上完成落地，接著使用SharpHound工具建立完整的Active Directory（目錄服務）攻擊圖，盤點權限結構、群組關係與可能的攻擊路徑。

攻擊團隊隨後找到一組因群組原則偏好設定（Group Policy Preferences）漏洞，而暴露在SYSVOL中的服務帳號密碼，並發現多臺主機共用同一組本機管理員密碼，因此得以透過Pass-the-Hash這種直接傳遞 Hash，而不是輸入密碼的攻擊技術，橫向移動（Lateral Movement）至網域控制器，最終取得整個Active Directory資料庫（NTDS.dit）的密碼雜湊值。

翁浩正坦言，這是許多進階持續性威脅（APT）組織慣用的手法，而企業方往往因為某一臺主機設定疏漏，就讓整條攻擊鏈路一路暢通無阻。值得慶幸的是，防禦方這次並非全然無所察覺。

陳浩維進一步說明，此時企業的資安人員注意到，有一個名為jenkins-build的服務帳號出現行為異常，包括：平常只在固定時段、固定主機上運作，卻突然出現在不該出現的伺服器上，且登入時間落在非上班時段。

藍隊隨即啟動初步調查後發現，外包工程師的工作站存在異常的PowerShell活動，於是立即隔離該工作站、重設外包帳號密碼，並著手檢視端點行為紀錄、追查橫向移動路徑、停用相關帳號。

陳浩維特別提醒，一旦發現攻擊者已經滲透至此，防禦方不能只滿足於處理眼前這一個異常事件，而必須同步啟動更大範圍的調查，釐清這名外包人員的足跡為何會出現在不該出現的位置，並比對是否還有其他相似的行為模式潛藏在其他主機之中。

第四週建立持久後門：憑證濫用與資料外傳

到了第四週，紅隊的行動開始出現分歧的兩條線。第一條攻擊路線，是濫用憑證管理系統（Active Directory Certificate Services，ADCS）。

翁浩正說明，團隊利用Certify工具列出企業內所有憑證範本，找到一個設定錯誤的範本，一個在任何網域使用者都能申請、申請者可自行指定主體別名（Subject Alternative Name，SAN），且用途涵蓋用戶端身分驗證。

攻擊團隊便以一個普通使用者帳號申請憑證，並將主體別名指定為網域管理員的使用者主體名稱（UPN），而憑證管理系統竟同意簽發；紅隊便拿著這張憑證，便能以網域管理員身分取得Kerberos票證授權票證（TGT），進而暢行無阻地存取資料庫、Exchange等任何與Active Directory串接的服務，等同在企業內部埋下一道長期可用的後門。

陳浩維坦承，防禦方當時正忙於處理前一週事件的事後檢討（post-incident review），而憑證管理系統的稽核紀錄預設處於關閉狀態；即便啟用，龐大的日誌量，也讓資安人員難以從中識別出真正有意義的異常。

他認為，更根本的問題是，企業內部完全沒有工具能夠監控「異常的憑證申請行為」。陳浩維直言，這個環節該做的補強，就是同步優化偵測機制、加強對關鍵資產（crown jewel）的防護強度，並持續保持警戒，不能因為上一起事件已經落幕就鬆懈下來。

第二條攻擊路線，則是資料外傳。翁浩正指出，紅隊利用剛取得的網域管理員權限登入資料庫伺服器，刻意不下載大量資料，只取部分樣本以降低被偵測風險，並將敏感資料切片後，編碼成DNS查詢封包，經由內部DNS伺服器這條看似合法的路徑，將資料悄悄送出企業邊界。

陳浩維接著說明，這時候的防禦方，原本正忙著撰寫上一起事件的報告並向上呈報，一度誤以為資安危機已經解除、戒備等級隨之降低；儘管企業內部仍保有被動式DNS日誌（ Passive DNS Log），卻沒有規則能夠檢測「同一臺內部主機對外部網域發出大量查詢」這種典型的DNS通道（DNS Tunneling）特徵。

他指出，資料外洩防護（DLP）規則雖然能攔截常見的外傳管道，如HTTP POST或電子郵件附件，卻完全沒有涵蓋DNS通道這條隱蔽路徑。最終仍是在演練結束後，由紅隊主動告知，藍隊才知道資料外傳確實曾發生。

陳浩維認為，企業這時候，應該根據駭客最常用的資料竊取方式，事先在資安監控系統（如 SIEM、EDR 或 SOC）設定各種偵測規則，一旦出現大量壓縮檔案、異常對外傳輸、使用可疑工具上傳資料、DNS Tunneling 或連線至未知雲端儲存服務等行為，就能即時發出警報，讓資安團隊及早發現並阻止資料外洩。

攻防認知落差，造成資訊不對稱下沒有真正贏家

整場演練攤開在同一條時間軸上，認知落差便一目瞭然。拆解紅藍隊的作為之後，可以發現紅隊在第一週盤點外部資產、進行公開來源情資蒐集時，藍隊當週的日常情資分析並未發現任何異常。

但是，從第二週開始，紅隊已取得員工VPN帳號並合法登入內網，防禦方卻毫無察覺；進入第三週後，紅隊雖已取得網域管理員權限，但行動終於被察覺，藍隊也在同一週偵測到服務帳號異常並啟動事件調查。

然而，在第四週，當紅隊透過憑證管理系統建立起永久性的存取後門時，藍隊卻已將該起事件結案、著手撰寫事後檢討報告。

翁浩正坦言，這正是一場資訊不對稱的戰爭，因為攻擊方永遠握有先手優勢，防禦方幾乎不可能將所有外部情報一一掌握。但他也強調，藍隊真正的價值，不在於這一次是否完全攔下攻擊，而在於能否藉由每一次資安事件與每一次演練，讓組織變得更強韌。

不管是翁浩正或是陳浩維，兩人都不約而同提到「紫隊」（Purple Team）的概念，那就是讓紅隊與藍隊坐下來，逐一比對紅隊行動的時間軸，檢視藍隊究竟在哪些節點真正發現異常、又有哪些節點完全錯過。

他們都同意，一起坐下來檢視的目的並非究責，而是讓駭客下一次的攻擊變得更困難。陳浩維特別提醒，面對紅隊演練的結果，企業內部的心態不該是互相究責，而應該正向看待每一次落差，把它當成讓組織變得更強的養分。

企業常見四大防禦盲點：心態、資源、組織與演練

翁浩正進一步歸納出臺灣企業在資安防禦上常見的四大盲點。首先是心態盲點，像是許多企業誤以為合規等於安全，實際上，通過稽核並不代表萬無一失，「但合規終究只是最低標準而非終點，」他說。此外，過度依賴單一供應商的心態也十分普遍，他指出，有不少企業以為只要採購名列Gartner象限的產品就等於安全無虞，卻無力分辨廠商之間的品質優劣。

第二是資源盲點。許多企業的預算大量投入工具設備，卻沒有相應投資在人員身上，機房堆滿各式各樣的資安設備，資安人員卻被排山倒海的告警雜訊淹沒。

翁浩正也進一步解釋，紅隊真正發動攻擊時，決定成敗的關鍵其實是：資安人員能否根據某一條日誌的線索，判斷是否應該在凌晨兩點叫醒資安長，並不是該公司的設備本身有多先進。

第三是組織盲點。資安團隊往往被孤立於企業決策圈之外，難以真正影響資安策略的制定。所以，翁浩正表示，當資安被視為IT部門的延伸業務、而非全公司共同的責任時，員工自然而然把資安問題當成別人的事。此時，就會發生像是：員工看到釣魚郵件仍隨手點擊；密碼寫在便利貼上且貼在螢幕邊等行為，都是這種組織文化下的副作用。

第四是演練盲點，因為沒經過演練檢驗過的防禦機制，終究稱不上真正的防禦。翁浩正指出，許多企業從未執行過紅隊演練、桌上型演練或資安事件應變演練，即便事前寫好看似完備的資安應變手冊（Playbook），等到真正出事時才發現，原來手冊裡登載的緊急聯絡電話，竟然是早已離職同仁的舊號碼。

從被動防禦邁向主動覺察

面對這些盲點，陳浩維以其在Amazon與Coupang等企業建置資安應變團隊的實務經驗，說明資安事件的應變（Incident Response）不該是事後救火，而必須是事前準備與反覆演練的成果。

他強調，像是資安應變手冊的核心，在於清楚界定每個角色的職責分工、明確的升級通報條件、如何有效控制情況範圍、如何徹底移除風險，以及最終不可或缺的事後檢討機制。

企業無論選擇建置內部應變團隊或委外處理，都需要清楚掌握自身的能量與缺口所在。因此，陳浩維也特別推崇桌上型演練（Tabletop Exercise）帶來的價值。

他認為，那是成本最低的一種災難演練形式，不需要任何技術門檻，卻能真實暴露出組織在壓力情境下的實際反應，藉此釐清職責分工、檢視發現的問題，並透過持續性的演練循環不斷改善。

談到威脅情資的運用，陳浩維直言，情資不是花錢訂閱資訊來源（feed）就足夠，真正有價值的情資必須是「可行動」的，而非堆積如山、卻無人消化的入侵指標（IOC）。他認為，只有情資能夠實際影響決策、主動引導紅隊測試方向，才稱得上真正發揮威脅情資的價值。

不管是翁浩正或是陳浩維，兩人也不約而同呼籲，企業必須從被動防禦轉向主動防禦。這也就意味著，企業不能只是被動等待告警、等待通報、等待資安事件發生；反而應該主動進行威脅獵捕（Threat Hunting），更要假設企業早已被入侵、並持續進行控制驗證（control validation）。

翁浩正強調，這場轉變的關鍵從來不是工具，而是思維本身；陳浩維也補充，被入侵在未來將成為常態，重點不在於是否被攻破，而在於企業如何處理與應對：對內要建立正向的團隊文化、給予團隊足夠的資源；對外則展現處理事件的積極度與透明度，唯有願意誠實面對自己，企業才能真正持續改善。

紅藍隊演練的真正目的是，驗證原本停留在紙本上的假設

面對臺灣資安產業發展的下一步，翁浩正指出，臺灣資安人才的養成速度始終追不上人才流失的速度，呼籲更多人投入資安產業，並持續壯大像臺灣駭客協會與HITCON這樣的社群力量，讓從業者不只是被動等待，而能主動分享、參與與連結彼此。

陳浩維則從自身跨國企業資安長的角度分享，他始終認為，即便企業之間存在商業上的競爭關係，但從資安角度來看，所有企業真正的競爭對手其實只有攻擊者。他直言，唯有攜手防禦、共同拉高攻擊者的成本，才是真正有意義的合作。

他也鼓勵，所有的資安從業人員不要只是被動等待政策推動，應主動向政府與學界發聲，把資安社群觀察到的有效做法帶入企業；再透過與政府機關的互動，將相關經驗回饋給產業；最後共同促成整體防禦能量的提升。

翁浩正強調，紅隊演練的意義從來不是要證明企業失敗，而是讓那些原本停留在紙上的假設，真正被驗證過一次；唯有誠實面對自己的缺口，組織才能透過每一次的改善變得更有韌性。

而陳浩維則認為，企業真正的防禦韌性，不在於堆疊多少工具，而在於企業是否培養出主動覺察風險的文化。

翁浩正和陳浩維的共同結論則是：紅隊與藍隊終究是同一隊，唯有紅藍無間、攜手同行，臺灣資安才有真正站穩全球最前線的底氣。