# 第一章 資訊安全技檢概論

## 單元目標
- 認識資訊安全與滲透測試的重要性
- 瞭解滲透測試的定義、類型、合法性與流程
- 掌握滲透測試的實務階段與真實案例分析
- 瞭解業界主流滲透測試證照與發展趨勢
- 培養道德駭客的法律與倫理意識

---

## 壹、資訊安全是什麼？為什麼重要？

### 資訊安全定義
資訊安全（Cybersecurity）是指保護資訊系統免於未經授權的存取、破壞、修改或阻斷服務的能力與措施。

### 資安重要性
- **財務損失**：如勒索軟體、詐騙、金流被竄改
- **案例**：2024年，Change Healthcare遭受勒索軟體攻擊，導致大量醫療和帳單資料被竊，影響美國約三分之一的人口，造成巨額財務損失。[參考資料](https://www.ithome.com.tw/news/162361)
- **名譽受損**：如資料外洩導致信任崩盤
- **案例**：AT&T在2024年發生兩起重大資料外洩事件，影響超過1.1億名客戶，洩露的資料包括電話號碼和通話記錄，這對公司的信譽造成了嚴重損害。[參考資料](https://www.cio.com.tw/learning-from-the-crisis-a-major-breach-of-the-2024-incident/)
- **業務中斷**：如系統癱瘓導致停擺
- **案例**：英國的Synnovis實驗室在2024年遭到勒索軟體攻擊，導致數千台手術延後，醫療系統大規模癱瘓，影響了整個醫療服務的運作。[參考資料](https://www.ithome.com.tw/news/163329)
- **國家安全**：如關鍵設施遭駭客控制
- **案例**：2024年，Volt Typhoon駭客組織滲透美國的關鍵基礎設施，這類攻擊對國家安全構成了重大威脅。[參考資料](https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=10939)

### 2024年重要趨勢
- **勒索軟體攻擊持續升級**：隨著攻擊技術的進步，勒索軟體攻擊的數量和影響範圍持續擴大，企業面臨更大的風險。
- **AI生成內容被用於詐騙（如深偽技術）**：生成式AI技術的進步使得詐騙手法更加隱蔽和難以辨識，增加了社會工程攻擊的成功率。
- **雲端與物聯網設備成為新攻擊面**：隨著企業越來越依賴雲端技術和物聯網設備，這些平台的安全性成為新的挑戰，駭客將目標轉向這些易受攻擊的環境。
- **社交工程更加難辨真假**：社交工程攻擊的手法日益精緻，利用假冒身分和深偽技術，讓受害者更難識別真偽，增加了防範的難度。

### 2025年重要趨勢
- **持續性威脅暴露管理（CTEM）**：企業將更加重視持續性威脅的評估和管理，以應對不斷變化的攻擊環境。
- **身分優先安全驗證**：隨著遠端工作的普及，企業將更加重視身分驗證的安全性，推動多因素驗證（MFA）的廣泛應用。
- **生成式AI的雙刃劍效應**：雖然生成式AI能提升資安防護效率，但同時也可能被駭客利用來發動更複雜的攻擊，企業需建立負責任的AI使用框架。
- **供應鏈安全的重要性上升**：隨著企業依賴外部供應商，供應鏈的安全性將成為重中之重，企業需加強對供應鏈的風險管理。

---

## 貳、滲透測試的定義

滲透測試（Penetration Testing）是一種模擬攻擊的方法，主動嘗試入侵系統以發現潛在漏洞，提供修復建議，減少實際被攻擊風險。這種測試通常由專業的資安人員進行，他們會使用各種工具和技術來模擬駭客的行為，目的是評估系統的安全性並找出可能的弱點。

### 滲透測試與漏洞掃描差異

| 比較項目 | 滲透測試 | 漏洞掃描 |
|----------------|------------------------------------------|----------------------------------|
| 方式 | 人工策略搭配工具模擬駭客行為 | 自動化掃描既有漏洞 |
| 結果 | 驗證漏洞是否可被利用 | 顯示潛在弱點，不含驗證 |
| 深度 | 可實作入侵、控制、橫向移動 | 通常只檢查表層弱點 |
| 應用情境 | 需模擬攻擊、測試組織真實抵禦能力 | 適合快速全域盤點漏洞狀況 |

### 滲透測試的流程
滲透測試通常包括以下幾個步驟：

1. **規劃與範圍界定**：確定測試的範圍，包括哪些系統、應用程式和網路設備將被測試。
2. **情報收集**：收集目標系統的相關資訊，包括網路架構、開放埠、服務版本等，以便制定攻擊策略。
3. **漏洞分析**：使用工具和手動方法識別系統中的潛在漏洞。
4. **攻擊模擬**：根據收集到的資訊和識別的漏洞，模擬實際攻擊，嘗試入侵系統。
5. **後期分析**：評估攻擊的結果，確定哪些漏洞被成功利用，並分析攻擊的影響。
6. **報告撰寫**：撰寫詳細的測試報告，包含發現的漏洞、利用的方式、風險評估及建議的修復措施。

### 滲透測試的優勢
- **實際驗證**：滲透測試能夠實際驗證漏洞的可利用性，提供更具體的安全評估。
- **提高安全意識**：透過模擬攻擊，能夠提高組織內部對資安的重視，促進安全文化的建立。
- **針對性修復**：測試結果能幫助組織針對性地修復漏洞，提升整體安全性。

---

## 參、滲透測試的目的與價值

- 發現潛在漏洞，防範未然
- 驗證現有防護措施的實際效力（如防火牆、IDS...等）
- 模擬攻擊行為，提供更實際的資安強化依據
- 滿足法規、標準要求（如 資安法、ISO 27001）

---

## 肆、滲透測試的類型

### 依資訊掌握程度

| 類型 | 說明 |
|------------|------|
| **白箱測試** | 測試者擁有完整系統資訊，如原始碼、架構、帳號密碼等。這種測試通常在開發階段進行，能夠快速辨識系統的弱點，因為測試者可以直接檢視系統的內部結構和邏輯。 |
| **黑箱測試** | 測試者無任何內部資訊，完全模擬外部駭客的攻擊行為。這種測試能夠更真實地反映系統在面對外部攻擊時的安全性，因為測試者的視角與實際攻擊者相似。 |
| **灰箱測試** | 測試者擁有部分資訊，如帳號或網路結構。這種測試方式平衡了效率與真實性，能夠在不完全暴露系統的情況下，進行有效的安全測試。 |

### 依目標範圍

- **網路滲透測試**：針對防火牆、VPN、埠等進行測試，評估網路裝置的安全性及其對外部攻擊的抵禦能力。
- **主機滲透測試**：針對伺服器、作業系統等進行測試，檢查系統組態、修補程式管理及使用者權限等方面的安全性。
- **網頁應用滲透測試**：針對 Web 應用程式的漏洞進行測試，常見的攻擊包括 SQL 注入、跨站指令碼（XSS）等，目的是發現應用程式中的安全缺陷。
- **無線網路測試**：例如 WiFi 加密破解、釣魚熱點等，檢查無線網路的安全性，確保無線通訊不易受到攻擊。
- **社交工程測試**：例如釣魚信、假冒客服等，測試組織對於社交工程攻擊的防範能力，評估員工的安全意識及反應能力。

### 補充說明

滲透測試的類型不僅依據資訊掌握程度和目標範圍進行分類，還可以根據測試的目的和方法進行細分。例如，針對特定應用程式的測試可以進一步細分為 API 測試、行動應用測試等。此外，滲透測試的結果不僅能幫助企業辨識安全漏洞，還能提供具體的修復建議，協助企業提升整體的安全防護能力。

---

## 伍、滲透測試完整流程

### 滲透測試五大階段（PTES）

1. **計畫與範圍界定（Pre-engagement）**
- 確認測試範圍、目標、類型（黑/白/灰箱等）。
- 與客戶簽署授權協定及保密協定（NDA），確保雙方的權益。
2. **資訊收集（Information Gathering）**
- 收集目標的各類資訊，包括 DNS 記錄、WHOIS 資訊、IP 位址、運行的服務及社群媒體分析。
- 使用工具如 Shodan、Recon-ng 和 Google Dorks 進行被動和主動的資訊蒐集，以取得目標的潛在弱點。
3. **漏洞評估（Vulnerability Assessment）**
- 使用各種工具進行漏洞掃描，例如 Nessus、OpenVAS 和 Nmap，辨識系統中的已知漏洞。
- 檢查 CVE（公共漏洞和暴露）資料庫，並進行手動驗證以確認漏洞的可利用性。
4. **漏洞利用（Exploitation）**
- 實際利用辨識出的漏洞進行入侵操作，模擬攻擊者的行為。
- 使用工具如 Metasploit、sqlmap 和 Burp Suite 來執行攻擊，取得系統的控制權或敏感資料。
5. **後利用與報告（Post-exploitation & Reporting）**
- 在成功入侵後，進行權限維持、資料提取及橫向移動，以評估系統的整體安全性。
- 編寫詳細的報告，提出修復建議，並展示概念驗證（POC），幫助客戶理解漏洞的影響及修復方法。[參考報告1](https://github.com/hmaverickadams/TCM-Security-Sample-Pentest-Report),[參考報告2](https://github.com/globalcptc/report_examples/tree/master)

### 延伸階段
- **概念驗證（POC）**：針對特定漏洞進行概念驗證，展示漏洞的實際影響。
- **再測與風險確認**：在修復後進行再測，確認漏洞是否已被有效修補。
- **跨網段橫向移動模擬**：模擬攻擊者在成功入侵後，如何在不同網段之間進行橫向移動，以評估內部網路路的安全性。

---

## 陸、合法性與道德規範

### 合法條件
- **明確書面授權**：進行滲透測試必須獲得系統擁有者的書面許可，這是合法測試的最重要依據。如果沒有明確的授權，進行未經許可的測試將構成非法行為。
- **測試範圍、工具、時間預先確認**：在進行測試之前，必須與客戶確認測試的具體範圍、使用的工具及測試的時間安排，以避免不必要的法律風險。
- **不可擴大測試至未授權對象**：測試必須嚴格遵循事先約定的範圍，任何未經授權的擴充都可能導致法律責任。

### 相關法規與標準
- **CFAA（美國電腦詐欺濫用法案）**：該法案禁止未經授權的電腦存取，對於滲透測試的合法性有重要影響。
- **GDPR（歐盟個資法）**：該法規要求在處理個人數據時必須遵循嚴格的隱私保護標準，滲透測試必須考慮到這些要求。
- **PCI-DSS（金融業資料安全規範）**：針對處理信用卡資訊的企業，要求進行定期的安全測試，包括滲透測試，以確保資料安全。
- **ISO/IEC 27001（國際資安管理標準）**：提供資訊安全管理系統的框架，幫助組織建立和維護安全措施。
- **NIST SP 800-115（滲透測試指導檔案）**：美國國家標準與技術研究所（NIST）提供的指導檔案，詳細說明了滲透測試的最佳實踐和方法。

### 道德駭客行為準則
- **取得明確書面同意**：道德駭客必須在進行任何測試之前獲得明確的書面同意，確保所有行為都是合法的。
- **不竊取、濫用任何敏感資料**：在測試過程中，駭客不得竊取或濫用任何敏感資料，必須尊重客戶的隱私和數據安全。
- **發現漏洞即回報，不延遲、不販售**：道德駭客應在發現漏洞後立即向相關方報告，而不是延遲或試圖販售這些資訊。
- **僅在協定範圍內執行任務**：所有的測試行為必須在事先約定的範圍內進行，避免超出授權範圍的行為，以維護法律和道德的底線。

---

## 柒、實務滲透測試案例

### 案例一：釣魚郵件導致 AD 權限外洩
- 利用 Mimikatz 取得密碼 Hash
- 執行 Pass-the-Hash 攻擊
- [Demo Video](https://www.youtube.com/watch?v=swz-16Eyd2s)

### 案例二：SQL Injection 資料洩漏
- 網站登入介面未過濾輸入資料
- 使用 `'-- OR '1'='1` 成功繞過驗證
- [Demo Video](https://www.youtube.com/watch?v=FJinMKiblWw)

### 案例三：勒索病毒攻擊流程
- 利用開放 RDP 弱密碼登入系統
- 加密磁碟並索取比特幣贖金
- [Demo Video](https://www.youtube.com/watch?v=AzuRNWBVE5o)

---

## 捌、滲透測試證照與職涯發展

| 證照 | 發行機構 | 特點 | 官方連結 |
|------|----------|------|----------|
| **OSCP** | Offensive Security | 高技術門檻，考試以實機攻防為主，考生需在24小時內成功滲透多台靶機並提交報告。此證照被廣泛認為是進入滲透測試領域的重要門檻，強調實戰能力和問題解決技巧。 | [OSCP Certification](https://www.offsec.com/courses/pen-200/) |
| **CEH** | EC-Council | 適合入門者，內容涵蓋廣泛，包括各種攻擊技術和防禦措施。CEH證照強調道德駭客的基本知識，適合希望進入資安領域的初學者。 | [CEH Certification](https://www.eccouncil.org/programs/certified-ethical-hacker-ceh/) |
| **GPEN** | GIAC | 專注於企業內部網路的安全測試，考試形式為選擇題，考生需具備實務測試的知識和技能。GPEN證照適合需要了解法律和合規性問題的安全專業人員。 | [GPEN Certification](https://www.giac.org/certification/penetration-tester-gpen) |
| **CRT** | CREST | 主要針對金融業和政府機構，該證照在這些行業中被廣泛認可，強調專業的滲透測試技能和合規性。 | [CRT Certification](https://www.crest-approved.org/skills-certifications-careers/crest-registered-penetration-tester/) |
| **GWAPT**| GIAC | 專注於Web應用程式的滲透測試，考生需掌握Web安全問題及滲透測試方法，考試形式為監考的選擇題，涵蓋身份驗證攻擊、SQL注入等主題。此證照適合安全從業人員和Web開發者。 | [GWAPT Certification](https://www.giac.org/certification/web-application-penetration-tester-gwapt) |
| **ECSA** | EC-Council | 資安分析專家認證，強調滲透測試的理論與實務，適合希望深入了解資安分析的專業人士。ECSA證照涵蓋了滲透測試的各個階段，並提供實作經驗。 | [ECSA Certification](https://www.eccouncil.org/programs/ec-council-certified-security-analyst-ecsa/) |
| **LPT** | EC-Council | 滲透測試專家認證，為EC-Council的高階證照，持有者需具備卓越的滲透測試技能，能夠獨立執行複雜的滲透測試任務，並提供專業的安全建議。 | [LPT Certification](https://www.eccouncil.org/programs/licensed-penetration-tester-lpt/) |

### 職涯發展
持有這些證照的專業人士在資安領域的職涯發展潛力巨大。隨著企業對於資訊安全的重視程度不斷提高，滲透測試專業人才的需求也在持續增長。根據市場研究，滲透測試市場預計將以26.5%的年增長率增長，這顯示出該領域的職業前景非常樂觀。

此外，獲得這些證照不僅能提升個人的專業技能，還能在求職過程中增強競爭力。許多企業在招聘時會優先考慮持有OSCP、GWAPT、ECSA或LPT等知名證照的候選人，因為這些證照能夠證明其具備實際的攻防能力和解決問題的能力。持有這些證照的專業人士通常能夠獲得更高的薪資和更好的職業發展機會。

---

## 玖、實用資源與學習平台

| 類別 | 資源名稱 | 說明 |
|------|----------|------|
| **漏洞資料庫** | [Exploit-DB](https://www.exploit-db.com/) | 各類漏洞與攻擊程式碼查詢，提供詳細的漏洞資訊和利用範例。 |
| **攻擊模型** | [MITRE ATT&CK](https://attack.mitre.org/) | 攻擊技術分解與對應策略，幫助安全專業人員理解攻擊者的行為模式。 |
| **練習平台** | [HackTheBox](https://www.hackthebox.com/), [TryHackMe](https://tryhackme.com/) | 適合學生與初學者的練習平台，提供各種虛擬機器和挑戰以提升滲透測試技能。 |
| **資訊查詢** | [IPInfo](https://ipinfo.io/), [Shodan](https://shodan.io/) | 查詢目標 IP 與網路裝置，提供有關網路資源的詳細資訊。 |
| **教材平台** | [Offensive Security](https://www.offsec.com/) | 認證準備與線上課程，提供專業的資安教育資源和實作經驗。 |

這些資源和平台能夠幫助學習者和專業人士提升他們在資安領域的知識和技能，無論是從基礎到進階的學習需求都能得到滿足。

---