壞人是怎麼闖進來的？一封看似正常的信，可能就是破口
多數人想像中的駭客攻擊，可能是電影裡那種戴著兜帽、在漆黑房間裡對著螢幕瘋狂打字的畫面。但事實上，絕大多數真實世界裡的入侵事件，起點往往平凡得讓人意外——就是一封看起來再正常不過的電子郵件。
想像一下，您收到一封信，寄件人看起來是公司的資訊部門，標題寫著「密碼即將到期，請點擊連結重新設定」，格式與用語都跟平常的通知一模一樣，您可能想都沒想就點了進去，輸入了帳號密碼。殊不知這封信是精心偽裝過的假信件，您剛才輸入的帳號密碼，已經落入不懷好意的人手中。這種手法，在資訊安全的世界裡稱為「釣魚郵件」，就像拿著誘餌垂釣，耐心等待有人上鉤。
一旦攻擊者拿到了某位員工的帳號密碼，就等於拿到一張「合法」的通行證，可以光明正大地從大門走進企業的內部網路，不需要硬闖、不需要破壞任何鎖頭。接下來，攻擊者會像個新來的員工一樣，在內部四處摸索、試探，尋找哪一台主機存在著還沒有修補的技術弱點——就像尋找一扇忘記上鎖的房門。
找到之後，攻擊者會嘗試在企業內部「橫向移動」：從一個房間，慢慢摸索到隔壁房間，再摸索到更裡面的房間，一路尋找最有價值的目標。等到找到真正想要的東西，可能會把資料整批複製傳出去，也可能選擇更激烈的手段——把整個系統的資料全部加密鎖住，再要求企業支付贖金才願意解鎖。這就是近年新聞上經常聽到的「勒索軟體」攻擊。
這段空窗期，正是傳統防護方式最力不從心的地方。傳統防毒軟體最擅長的，是在最一開始（偵測到可疑附加檔案）或最後階段（偵測到大量檔案被加密）發揮作用，但中間這一大段「悄悄摸索、四處遊走」的過程，往往抓不到。而這正是本文要介紹的這類技術之所以重要的原因——它不需要等到攻擊者做出明顯的破壞行為才有所反應，而是從攻擊者一踏進門的那一刻起，就已經被既定的規矩牢牢限制住行動範圍。
什麼是「資料中心」？為什麼「重要主機」需要金庫等級的保護
這些伺服器有的負責記錄您的網路購物訂單，有的負責處理銀行的轉帳交易，有的負責保存醫院的病歷資料，還有的負責控制工廠裡的生產機台。如果說家裡的個人電腦是一個人在自己的書房裡工作，那麼資料中心裡的伺服器，就像是一整棟辦公大樓裡，成千上萬名員工同時在處理來自四面八方的業務——而且這棟大樓幾乎不能休息，因為訂單隨時會進來、轉帳隨時會發生、病人隨時可能需要調閱病歷。
但在資料中心裡，並不是每一台伺服器的重要程度都一樣。有些只是負責顯示公司網站上的宣傳資訊，暫時故障頂多網頁打不開；但有些伺服器我們稱之為「重要主機」，負責的是企業最核心、最不能出錯的工作——儲存客戶個人資料、處理金融交易、控制生產線，或保存企業最寶貴的技術機密。
除了「一旦出事，後果嚴重」之外，重要主機還有另一項與一般電腦截然不同的特性：幾乎沒有辦法說關就關、說修就修。家裡的電腦需要更新，大不了選一個晚上重新開機；但企業的重要主機往往必須全年無休運作，任何一次非預期的當機，都可能造成訂單無法處理、生產線被迫停工。這也導致許多企業的重要主機，實際上要套用最新的修補更新，往往會拖得比一般電腦更久——而這段「還沒來得及更新」的空窗期，恰恰就是有心人士最容易鑽漏洞的時機。
傳統的保護方式：像是只認得通緝犯照片的警衛
這種方式聽起來很合理，但問題在於：這本相簿必須不斷更新，因為每天都有新的壞人冒出來。如果相簿沒有及時收錄最新的照片，警衛就完全認不出這個新面孔，只能眼睜睜看他大搖大擺走進去。更麻煩的是，聰明的壞人往往會刻意「易容改裝」，讓自己看起來跟照片完全不像——這樣一來，就算相簿再怎麼更新，警衛還是可能認不出來。
這正是傳統防毒軟體最大的弱點：它仰賴「認出這是已知的壞人」，對於從來沒見過、經過刻意偽裝的全新攻擊手法，往往束手無策。而更新這本相簿（也就是所謂的病毒碼）本身也需要消耗不少電腦資源，對於必須全年無休、分秒必爭運作的重要主機來說，這些頻繁的更新作業，反而可能造成額外的負擔和風險。
另一套思維：不看臉，而是看「你想做什麼」
如果傳統防毒軟體的邏輯是「先確認你是不是通緝犯，再決定讓不讓你進門」，那麼 DCS:SA 所採用的防護邏輯，是完全不同的另一套思維，我們可以稱之為「規矩式門禁」。
DCS:SA 在電腦的世界裡，做的正是這樣的事情。它不去猜測、辨認某個正在運作的程式究竟是不是「壞人」，而是預先針對每一台重要主機、每一支程式，設定好清楚的行為規矩——這支程式可以讀取哪些檔案、可以修改哪些設定、可以跟外界建立什麼樣的連線。只要有任何行為超出了原先設定好的範圍，不管背後操作的是誰、用了什麼樣的攻擊手法，都會立即被擋下來。
這種做法最大的好處，是完全不需要「認出壞人的長相」，也因此不會有「相簿沒更新、認不出新面孔」的問題。即使是從來沒有出現過的全新攻擊手法，只要它試圖做出超出規矩範圍的事情，一樣會被立刻攔截。這正是它能夠因應所謂「零時差攻擊」（也就是全新、從未被發現過的攻擊手法）的關鍵原因。
| 比較面向 | 傳統防毒軟體 | 規矩式門禁（DCS:SA） |
|---|---|---|
| 核心問題 | 你是誰？是不是已知的壞人？ | 你想做什麼？有沒有超出規矩？ |
| 判斷依據 | 比對病毒碼資料庫中的已知特徵 | 比對預先設定好的行為規則 |
| 面對全新威脅 | 資料庫尚未收錄時，可能無法辨識 | 不論是否為已知威脅，逾越規矩即攔截 |
| 更新需求 | 需要頻繁更新病毒碼 | 不依賴病毒碼更新 |
| 資源耗用 | 需進行大範圍檔案掃描 | 不需經常性大範圍掃描，影響相對輕微 |
| 兩者關係 | 並非互相取代，而是分工互補——就像大樓同時聘用「認人臉的警衛」與「訂定行為規矩的管理員」 | |
六種互補的防護設計
除了規矩式門禁之外，這套系統還包含幾項彼此互補的設計。以下同樣用生活中熟悉的保全概念來理解。
門禁卡分級
大樓裡的員工門禁卡，通常只能開啟自己部門的樓層。就算卡片遺失或遭竊，撿到的人也只能進入原本員工能進入的範圍。同樣地，就算攻擊者真的混入某台主機，事先設定好的權限範圍，仍會把他的行動牢牢限制在極小的區域內。
出門前檢查門窗
出遠門前會仔細檢查每一扇窗戶有沒有關緊、每一道後門有沒有上鎖。系統強化就是類似的概念：預先找出並鎖緊主機裡各種可能被利用的「窗戶」和「後門」，例如禁止未經授權的程式被偷偷安裝、限制不必要的網路連線通道。
保全監控室
大樓的保全監控室裡擺著好幾面螢幕，一眼就能掌握整棟大樓的狀況。統一管理控制台讓資訊人員能同時掌握所有受保護主機的狀態，把原本需要一台一台檢查的繁瑣工作，變成透過一個畫面掌握全局。
依性質歸類的社區
保全公司管理多棟大樓時，會先把性質相近的歸為同一組（住宅棟、商辦棟、地下停車場），再針對整組設定門禁規矩。新的樓層加入時，只要歸類到對應分組就能自動套用，不必每次重新設定。
煙霧偵測與門窗開關
保全系統不會只靠單一裝置：煙霧偵測器偵測火災、門窗開關偵測強行開啟、紅外線感應器偵測異常移動。系統同樣佈署了多種感應器，分別留意關鍵檔案是否被竄改、重要設定值是否被異常修改、誰在什麼時間登入登出、外接隨身碟是否被插入。
可回放的監視錄影
如果監視器只錄影卻無法回放、無法提供給警方作為證據，價值就會大打折扣。每一個異常狀況的發生時間、涉及主機與具體行為都會被完整記錄並集中保存，在接受政府機關或客戶稽核時，能拿出有憑有據的紀錄。
以半導體工廠為例：三種主機，三種不同的規矩
台灣有非常多的半導體製造與封裝測試工廠。為了讓前面的概念更具體，我們可以想像一座這樣的工廠，裡面有三種性質完全不同、需要不同保護方式的電腦。
一、控制生產機台的電腦
這類電腦通常使用特定版本的軟體，而且因為機台的驗證成本非常高昂，往往沒有辦法像一般辦公室電腦那樣說換就換、說升級就升級。這種情況下，規矩式門禁的防護方式就非常合適——它不需要更動機台原本的軟體設定，也不需要頻繁更新，就能在既有基礎上額外加上一層行為控管。
二、儲存研發技術與良率資料的伺服器
裡面存放的往往是企業最核心的智慧財產，一旦外洩，影響的不只是單一客戶的信任，更可能牽動整個供應鏈的商業合作關係。針對這類伺服器，系統提供更細緻的檔案異動監控，一旦有未經授權的存取或修改行為，就會立即發出警示並保留完整紀錄——就像把最珍貴的設計圖紙鎖進一間裝有感應警報器的保險室，任何人想要靠近、翻閱，都會被記錄下來。
三、日常辦公使用的一般性伺服器
例如處理採購、訂單、人事等作業的系統。這類系統的重要性相對沒有前兩者那麼高，但因為使用方式與一般企業相近，反而更容易成為釣魚郵件攻擊的第一個突破口。因此建議把這類伺服器獨立分組管理，套用與生產機台、研發伺服器不同強度的規矩，避免設定得「一刀切」，造成該嚴格的地方不夠嚴格、該保持彈性的地方卻綁手綁腳。
近年來，國際大廠對於供應商的資訊安全防護能力，審查越來越嚴格，能不能拿出具體的防護與監控證據，往往直接關係到訂單能不能持續合作下去。當國際客戶派人前來稽核，要求提供某段時間內的存取紀錄、異常處理情形時，企業可以直接從系統裡調出結構化的資料，快速有條理地回應，而不需要臨時抱佛腳，動員大批人力翻找散落各處的紀錄檔案。
值得一提的是，這種供應鏈層層相扣的關係，並不只存在於半導體產業。無論是食品業的原料供應商、成衣業的代工廠，或是各種製造業的零組件供應商，只要處於某個大型供應鏈之中，都可能面臨類似的資安要求。重要主機的防護，早已不只是單一企業自己的事，而是牽動著整條供應鏈上每一個環節共同的責任。
這跟一般人有什麼關係？您的資料，其實就在某個資料中心裡
看到這裡，您可能會想：這些聽起來都是企業層面的事情，跟我一個普通人有什麼關係呢？其實關係非常直接。
當您在網路商城下單購物，您的姓名、地址、付款資訊，就儲存在該商城背後的資料中心裡；當您用手機銀行轉帳，帳戶餘額與交易紀錄，就儲存在銀行的資料中心裡；當您到醫院看病、領藥，病歷與用藥紀錄，就儲存在醫院的資訊系統裡；當您搭乘高鐵、捷運，刷卡進出的紀錄，也儲存在交通業者的伺服器裡。
如果這些重要主機的防護出現漏洞，遭到入侵，最直接受害的，很可能就是像您我一樣的一般消費者：個人資料可能被盜取、被轉賣，網路帳號可能被盜用，甚至銀行帳戶可能面臨盜刷的風險。從這個角度來看，企業投資這類重要主機防護技術，某種程度上，也是在保護每一位使用其服務的一般民眾。
當您下次看到某個品牌強調自己「重視資訊安全」「通過各種資安認證」時，這些聽起來抽象的承諾，背後很可能就對應著具體的技術投資，只是您平常不會意識到它的存在而已。
常見的疑問
看完前面的說明，您可能還會有一些疑問，我們在這裡一併說明。
這套系統是不是要花很多人力去操作？
導入這套系統，會不會影響原本電腦的運作速度？
是不是導入了這套系統，就完全不需要其他防護措施了？
規模比較小的公司，也需要考慮這麼周全的防護嗎？
如果公司已經有防毒軟體了，為什麼還需要另外導入這套系統？
DCS:SA 這幾個英文字母是什麼意思？
結語：看不見的守護者，守護的是我們共同信任的日常
回顧本文用過的所有比喻——認得通緝犯照片卻認不出新面孔的警衛、規矩式的房間門禁、分級管制的門禁卡、出門前確實檢查門窗的防盜習慣、集中管理整棟大樓的保全監控室、各司其職的感應器，以及完整保存的錄影紀錄——這些生活中原本就存在的保全概念，其實正好可以幫助我們理解，一項看似遙遠、艱澀的資訊安全技術，究竟在做些什麼事情。技術的名詞或許陌生，但背後守護重要事物、防範風險的心意，其實與我們生活中處處可見的保全智慧，並沒有太大的不同。
本文由保安資訊有限公司撰寫提供，內容參考 Symantec Data Center Security: Server Advanced and Monitoring Edition 6.9.1 Administrator's Guide 編寫，以生活化比喻協助一般讀者理解技術概念。文中比喻為便於理解所做的簡化說明，實際產品功能與技術細節，請以原廠官方文件為準。