煎餃的線上課程筆記

C5W3_系統漏洞

閱讀時間約 15 分鐘

關聯筆記：Google Cybersecurity Certificate > C5 課程總覽

C5W3 — 系統漏洞（Vulnerabilities in systems）

Module 3: 從找漏洞到修漏洞的完整流程，加上攻擊者視角的思維訓練

目錄

一、漏洞管理流程怎麼跑

1. 核心概念

Vulnerability Management（弱點管理）= 找到弱點並修補它們的流程。是一個持續循環，不是做一次就結束。

關鍵定義區分：

  • Vulnerability（弱點）：系統本身的缺陷
  • Exploit（利用）：利用弱點的方法
  • Zero-day（零日漏洞）：先前未知的漏洞，被發現時已沒有修補時間

2. 弱點管理四步循環

① Identify（識別弱點）
       ↓
② Consider exploits（考慮可被利用的方式）
       ↓
③ Prepare defenses（準備防禦）
       ↓
④ Evaluate defenses（評估防禦效果）
       ↓
  ┌──── 回到 ① ────┐

這個循環不斷重複，因為新弱點持續出現。

3. 縱深防禦模型（Defense in Depth）

Defense in Depth = 多層防禦，類似中世紀城堡：護城河 → 城牆 → 瞭望塔，一層破了還有下一層。

五層防禦結構：

層級名稱保護什麼控制範例
1Perimeter（周界）外部存取過濾帳號密碼、防火牆規則
2Network（網路）網路傳輸網路防火牆、IDS/IPS
3Endpoint（端點）連網裝置防毒軟體、EDR
4Application（應用程式）使用者介面MFA、輸入驗證
5Data（資料）核心資料加密、資產分類

易錯點

  • Defense in Depth 是 五層，不是三層或四層
  • 資訊在這五層之間「流進流出」，每層都有獨立控制
  • 這是一個模型（model），不是產品或工具

二、CVE 與 CVSS 怎麼用

1. CVE 清單是什麼

CVE（Common Vulnerabilities and Exposures）= 公開可查的已知弱點和曝險字典。1999 年由 MITRE 建立。

兩個容易搞混的詞：

  • Vulnerability：系統的弱點（內部缺陷）
  • Exposure：可被威脅利用的錯誤（操作失誤）

2. CVE 收錄流程

研究者/廠商/駭客回報弱點
         ↓
CNA（CVE Numbering Authority）審查
         ↓
通過四項標準 → 指派 CVE ID
         ↓
收入 CVE 清單 → 其他資料庫（如 NVD）進一步評分

CVE 收錄四標準：

  1. 獨立性：能單獨修復，不需要連帶修其他問題
  2. 被承認為安全風險：回報者認定它有威脅
  3. 附帶證據：有支持性資料
  4. 只影響一個程式碼庫：例如只影響 Chrome 桌面版，不影響 Android 版

3. CVSS 評分

CVSS（Common Vulnerability Scoring System）= 弱點嚴重度的 0-10 分評分系統，由 NIST NVD 提供。

分數範圍風險等級處理優先序
0.0 - 3.9低不需立即處理
4.0 - 6.9中排程修復
7.0 - 8.9高優先修復
9.0 - 10.0嚴重立即處理

易錯點

  • CVSS base score 是靜態的，一旦評定不會隨時間改變
  • CVE 清單只「編目」弱點；CVSS 才「評分」嚴重度，兩者分工不同
  • CNA 不是一個組織，是一群「志願」負責審查的組織

三、弱點評估與掃描方法

1. 弱點評估四步驟

Vulnerability Assessment（弱點評估）= 組織內部對自家系統的安全審查。跟 CVE 的差別：CVE 是全球公開的編目，弱點評估是公司自己做的內部檢查。

① Identification（識別）：用掃描工具找弱點
       ↓
② Vulnerability Analysis（分析）：逐一測試，找根本原因
       ↓
③ Risk Assessment（風險評估）：依「影響 × 可能性」打分排序
       ↓
④ Remediation（修復）：依分數決定修復順序

2. 弱點掃描器（Vulnerability Scanner）

Vulnerability Scanner = 自動比對已知弱點資料庫和你的系統，找出不匹配的地方。

掃描類型對照：

維度類型 A類型 B
位置External（外部）：從外面往內掃Internal（內部）：從裡面往外掃
權限Authenticated（有授權）：用真實帳號登入測Unauthenticated（無授權）：模擬外部攻擊者
範圍Limited（限定）：只掃特定裝置Comprehensive（全面）：掃所有連網裝置

3. 更新與修補

Patch Update = 針對安全弱點的軟體修補。

兩種部署策略：

  • Manual（手動）：IT 主動部署，優點是可控，缺點是容易忘記
  • Automatic（自動）：系統自動安裝，優點是及時，缺點是未充分測試可能不穩

End-of-Life（EOL）軟體 = 廠商不再提供更新的軟體。CISA 建議停用，但成本考量讓很多組織繼續用，形成不可修補的風險。

四、攻擊面有多大

1. 實體攻擊面 vs 數位攻擊面

Attack Surface（攻擊面）= 所有可能被威脅行為者利用的弱點。

類型組成威脅來源
Physical（實體）人＋裝置內部（不滿的員工）＋外部（競爭者）
Digital（數位）防火牆外的一切連線雲端擴大了攻擊面

Security Hardening（安全強化）= 透過減少進入點來縮小攻擊面的過程。攻擊面越小，越容易防守。

2. CI/CD 管道的弱點

CI/CD = 持續整合/持續交付/持續部署，是自動化軟體發布流程。

五大弱點：

弱點問題對策
不安全的相依套件引入有 CVE 的第三方程式碼定期掃描更新
權限設定錯誤未授權者能改程式碼或設定RBAC + 最小權限
缺乏自動安全測試SAST/DAST 沒跑就上線把安全測試寫進 pipeline
曝露機密API key/密碼寫死在程式碼用 Vault/Secrets Manager
不安全的建置環境Build server 本身有漏洞容器隔離 + 強化環境

3. OSINT（Open Source Intelligence）

OSINT（開源情報）= 從公開來源收集、分析資訊來產生可用情報。

Information vs Intelligence 的差異：

  • Information = 原始資料
  • Intelligence = 分析後能支持決策的洞察

常用 OSINT 工具：

  • VirusTotal：分析可疑檔案、URL、IP
  • MITRE ATT&CK：對手戰術與技術的知識庫
  • OSINT Framework：各種 OSINT 工具的彙整入口
  • Have I Been Pwned：查 email 是否曾被外洩

五、OWASP Top 10

1. OWASP 是什麼

OWASP（Open Worldwide Application Security Project）= 非營利基金會，專注改善軟體安全。自 2003 年起發布 Top 10 清單。

CVE vs OWASP Top 10 的差別：

  • CVE 幫「修現有程式」的弱點
  • OWASP Top 10 幫「開發新程式」時避免常見錯誤

2. 十大 Web 弱點一覽

#弱點白話解釋
1Broken Access Control權限設定壞了，訪客能做管理員的事
2Cryptographic Failures加密沒做好，敏感資料被看光
3Injection惡意程式碼被塞進輸入欄位
4Insecure Design設計階段就沒考慮安全
5Security Misconfiguration設定用預設值沒改
6Vulnerable and Outdated Components用了有漏洞的舊版套件
7Identification and Authentication Failures驗證機制失效
8Software and Data Integrity Failures更新/補丁沒審查就裝（供應鏈攻擊）
9Security Logging and Monitoring Failures沒記錄，出事查不到
10Server-Side Request Forgery (SSRF)操控伺服器去讀不該讀的內部資源

易錯點

  • Injection ≠ 只有 SQL Injection：也包括 XSS、Command Injection、LDAP Injection
  • Insecure Design vs Security Misconfiguration：Design 是「沒想到」，Misconfiguration 是「想到了但設定錯」
  • Software and Data Integrity Failures 的經典案例：2020 年 SolarWinds 供應鏈攻擊

六、攻擊者思維與滲透測試

1. 攻擊者思維四步驟

① Identify a target（確定目標）
       ↓
② Determine how it can be accessed（找出存取方式）
       ↓
③ Evaluate attack vectors（評估攻擊向量）
       ↓
④ Find tools and methods（選擇工具與方法）

2. 滲透測試（Penetration Testing）

Pen Test = 授權的模擬攻擊，用真實攻擊者的工具和技術來測試防禦。屬於 Ethical Hacking（道德駭客）。

三種團隊角色：

團隊做什麼目標
Red Team模擬攻擊找出系統弱點
Blue Team防禦與事件回應驗證現有安全系統
Purple Team紅藍合作共同改善安全態勢

3. 三種測試策略

策略別名測試者知道什麼
Open-boxWhite-box / Clear-box全部：架構圖、資料流、網路圖
Closed-boxBlack-box / Zero knowledge幾乎不知道，模擬外部攻擊者
Partial knowledgeGray-box部分資訊，模擬內部有限權限使用者

Closed-box 產出最接近真實攻擊的模擬結果。

七、威脅行為者與攻擊向量

1. 五種威脅行為者

類型動機
Competitors（競爭者）從洩漏的資訊中獲得商業利益
State actors（國家行為者）政府情報機構，監控與竊取情報
Criminal syndicates（犯罪集團）從犯罪活動中賺錢
Insider threats（內部威脅）有合法存取權的員工，故意或無意
Shadow IT使用未經 IT 治理的技術（如私人 email 辦公）

2. 駭客三分類

類型意圖範例
Unauthorized（未授權）犯罪惡意駭客、Script kiddie
Authorized（授權）改善安全安全團隊、Bug bounty 獵人
Semi-authorized介於兩者Hacktivist（為政治目的駭入）

3. APT（Advanced Persistent Threat）

APT = 威脅行為者長期維持未授權存取的情況。多與國家行為者相關。

特徵：隱蔽、長期潛伏、以情報蒐集為主。常先攻擊私人企業，作為進入更大目標的跳板。

4. 攻擊向量（Attack Vectors）

Attack Vectors = 攻擊者穿透防禦的路徑。

七大常見向量：

  1. Direct access：實體接觸系統
  2. Removable media：USB 隨身碟
  3. Social media：社群平台
  4. Email：釣魚信
  5. Wireless networks：Wi-Fi
  6. Cloud services：第三方雲端
  7. Supply chains：供應鏈後門

5. 暴力破解攻擊（Brute Force Attacks）

攻擊方式做法
Simple brute force窮舉所有組合
Dictionary attack用常見密碼清單試
Reverse brute force一組帳密試所有系統
Credential stuffing用前次外洩的帳密試其他服務

防護四招：

  • Hashing + Salting
  • MFA
  • CAPTCHA
  • 密碼政策（長度、複雜度、鎖定次數）

常見暴力破解工具：Aircrack-ng、Hashcat、John the Ripper、THC Hydra

易錯點

  • Attack surface vs Attack vector：surface 是「所有可能的弱點」（面），vector 是「實際穿透的路徑」（線）
  • Credential stuffing 靠的是其他網站外洩的密碼，不是猜測。所以「每個網站用不同密碼」是最有效防護
  • APT 不只針對政府：常先打私人企業再跳到政府目標

八、術語速查表

前文已詳細解釋的術語不再重複，請回對應章節查閱。

英文中文白話解釋
Advanced persistent threat (APT)進階持續性威脅攻擊者長期潛伏在系統內
Attack surface攻擊面所有可被利用的弱點總和
Attack tree攻擊樹把威脅與資產的關係畫成圖
Attack vector攻擊向量攻擊者穿透防禦的路徑
Bug bounty漏洞賞金獎勵獨立駭客回報弱點的計畫
CVE listCVE 清單公開的已知弱點字典
CVSS通用弱點評分系統0-10 分的弱點嚴重度評分
Defense in depth縱深防禦多層防禦降低風險
Exploit利用利用弱點的具體方法
Exposure曝險可被威脅利用的操作錯誤
OSINT開源情報從公開來源收集分析的情報
Security hardening安全強化縮小攻擊面的過程
Vulnerability assessment弱點評估組織內部的安全系統審查
Vulnerability scanner弱點掃描器自動比對已知弱點的軟體
Zero-day零日漏洞先前未知的漏洞利用

筆記建立日期：2026-07-12 ｜ 最後更新：2026-07-12

關係圖譜

反向連結