檔案上傳應落實伺服器端驗證 避免前端限制遭繞過

本週總計接獲16件公務機關與特定⾮公務機關事件通報，詳⾒圖1，公務機關⾮法⼊侵事件中以異常連線占多數，詳⾒圖2。 本週有機關遭駭客利用網站檔案上傳功能植入網頁木馬取得網站設定檔(Web.config)，後續並透過網站服務程序執行系統指令，蒐集內部網路環境資訊。

由於前端檢核係於使用者瀏覽器中執行，上傳檔案之名稱、格式及請求內容均可能遭竄改；如伺服器端未重新驗證，即可能使惡意檔案繞過限制並遭上傳執行。建議檔案上傳功能除於前端提示允許格式外，伺服器端仍應依業務需求重新檢查副檔名、檔案內容、大小及格式，並將上傳檔案存放於不可執行之位置，避免前端檢核遭繞過後形成網頁木馬植入風險。

防禦迴避高居首位 偵測刺探仍具威脅

本週政府領域資安聯防監控參考MITRE ATT&CK Matrix分析TTP戰術框架分布顯示，本週趨勢相較上週無顯著差異，詳見圖3。「防禦迴避」為最常見攻擊手法，占比15.5%，攻擊者通常會透過關閉或刪除指令紀錄，並利用合法的系統工具間接執行惡意命令，以達到規避監控的目的。因應此類威脅，建議導入端點防護措施，加強指令紀錄的稽核能力，限制高風險工具的濫用，並強化特權帳號的管理，以避免攻擊者繞過偵測並消除其行為痕跡。

「偵測刺探」事件本週占比為12.9%，為本週占比次高的攻擊階段，顯示攻擊者持續加強對目標環境的偵查與資訊蒐集活動，以提升後續攻擊行動的成功率。觀察到的主要手法包括主動式掃描、憑證資訊蒐集、以及IP 區段掃描。攻擊者透過自動化工具對外部網段與公開服務進行大規模探測，蒐集系統架構、開放埠與服務資訊，同時搜尋與帳號憑證相關的公開資料或外洩資訊，作為後續登入嘗試與目標鎖定的依據。部分活動呈現由廣泛掃描逐步聚焦特定系統與帳號的特徵，顯示其偵查行為具備明確的攻擊目標與規劃。

此類行為雖多屬攻擊前期準備階段，但其蒐集成果往往成為後續入侵與橫向移動的重要基礎。建議組織加強監控異常掃描流量與帳號探測行為，定期盤點對外暴露資產，並結合威脅情資分析可疑來源，以提前發現潛在攻擊準備活動並採取防禦措施。

企業級網路防火牆軟體仍為攻擊熱點

本週透過部署於國內外之蜜罐系統觀測攻擊行為動態，相較於上週「網頁應用」服務攻擊占比78.64%、「遠端控制」服務攻擊占比17.88%，本週各類服務之平均偵測攻擊比例無明顯變化，結果顯示「網頁應用」服務仍為攻擊主軸，占比高達73.71%。「遠端控制」服務亦有22.96% 的誘捕比例，反映攻擊者仍積極針對公開遠端連線介面進行入侵行動。

網頁應用是最為常見之對外服務類型，若存在已知漏洞，將面臨高風險曝露情形，易成為攻擊者入侵與滲透重要管道，為優先防護之項目。本週網頁應用介面之誘捕狀況，詳見圖4。本週通用型Web介面占比最高，此類別為攻擊者廣泛的進行HTTP掃描與探測，顯示攻擊者企圖尋找可能存在之Web漏洞進行攻擊。

另Web服務系統類別包含各類以網頁為基礎的服務與應用，例如常見的網頁框架、應用程式伺服器、檔案傳輸與資料管理平台等，由於此類服務多建置於企業應用環境，且直接面向外部提供功能與資料交換，為僅次於通用型介面的攻擊目標。而Web服務系統比例上升主因為React Server Component存在遠端程式碼執行漏洞之CVE-2025-55182，遭攻擊次數上升導致。網通設備管理介面涵蓋路由器、防火牆等網通設備管理介面，以及智慧攝影機、NAS等物聯網設備管理介面，皆容易遭受攻擊者透過弱密碼、預設帳號或已知漏洞進行入侵。其他類型服務雖比例極小，但若涉及關鍵業務系統，仍需留意潛在風險。 

進一步解析國內外之蜜罐系統誘捕漏洞攻擊之情形，詳見表2。近2年揭露之攻擊漏洞，前5大攻擊以「網頁應用」服務之漏洞為主要入侵路徑，本週漏洞類型多集中於授權缺失漏洞、遠端程式碼執行漏洞、跨站請求偽造、資訊外洩漏洞及路徑遍歷漏洞，攻擊目標涵蓋企業級網路防火牆軟體、前端框架之伺服器端元件架構、多選下拉選單元件、開源後端伺服器框架及內容管理系統之網站優化外掛程式。
 

防護建議：

建議存在漏洞之設備應更新至最新版本軟體或韌體以修補漏洞；若原廠已無法提供更新支援，應考慮汰換存在漏洞之設備或軟體套件，如因故無法汰換，應採對應之漏洞緩解措施。

Microsoft與SonicWall高風險漏洞應盡速修補

整體風險漏洞略減 未部署WAF明顯增加

本次針對93個A、B級關鍵基礎設施(CI)進行EASM資安曝險檢測，前10大風險項目共計2,917項。其中，「元件高風險漏洞」以941項居首，「過時或弱加密協定」840項次之，「TLS憑證不受信任」609項位居第三。前三項合計2,390項，占前10大風險項目總數約81.9%，顯示目前外部曝險風險仍高度集中於元件漏洞、加密通訊及憑證管理等議題。相較上期2,954項，整體風險數量減少37項，降幅約1.3%，詳見圖5。

進一步分析主要風險項目變化情形，「元件高風險漏洞」仍為最大宗風險，數量由957項微降至941項，降幅約1.7%。其中，Apache HTTP Server相關弱點(CVE-2024-38475)仍較為集中；本期Archive_Tar相關弱點(CVE-2020-28949)已見減少，惟新增Archive_Tar相關弱點(CVE-2020-36193)，後續仍須持續關注相關元件版本與修補情形。「TLS憑證不受信任」由614項微降至609項，降幅約0.8%；「過時或弱加密協定」由852項微降至840項，降幅約1.4%。另在網站防護設定方面，「CSP設定不當」由255項微增至256項，增幅約0.4%；「未部署WAF」由114項增至145項，增幅約27.2%。整體而言，本期外部曝險程度小幅下降，各項目呈現小幅下降，惟未部署WAF上升幅度較大，顯示各受測單位仍需持續強化加密協定設定、憑證生命週期管理及網站安全防護措施。 

防護建議：

建議受測單位採取下列防護措施

建議受測單位採取下列管理措施

實兵演練揭露設備版本未更新風險 已知漏洞恐遭利用

本年資通系統實兵演練針對政府機關與關鍵基礎設施提供者，於擇定時間進行演練，至7/17止已累計226筆攻擊紀錄，本週新增弱點數量共13筆，分別為「驗證機制失效」3筆、「無效的存取控管」3筆、「軟體供應鏈失效」3筆、「注入攻擊」2筆及「加密機制失效」2筆，詳見圖6。

本週演練發現，衝擊性較高之弱點為「軟體供應鏈失效」。攻擊者利用弱點掃描工具進行檢測，發現目標設備使用之作業系統版本存在已知安全漏洞，包括CVSS 10.0 Critical與CVSS 4.0 Low之漏洞。針對CVSS 10.0 Critical漏洞，攻擊者利用公開漏洞利用程式進行測試，成功於目標設備建立測試檔案，並透過瀏覽器存取該路徑確認檔案已成功建立，顯示攻擊者可利用該漏洞執行未授權操作。另針對CVSS 4.0 Low漏洞，攻擊者利用公開漏洞利用程式於設備服務介面進行測試，成功觸發跨網站腳本攻擊(Cross-Site Scripting, XSS)，確認目標設備存在XSS弱點，可能遭攻擊者利用建立惡意連結，誘導使用者執行非預期腳本，增加帳號資訊外洩或社交工程攻擊之風險。  

建議機關及關鍵基礎設施提供者，採取下列防護措施

健康、投資與私密商品廣告風險升溫

本週高風險廣告以「優惠」、「健康」及「免費」等話術最為突出，並結合醫療功效、投資資訊、開運祈福及不明商品銷售，誘導民眾私訊、加入LINE或點擊陌生網站，詳見圖7。
 

免費體驗包裝健康奇效
護眼、潤喉、男性保健、漏尿改善及養肝商品，常以「醫師推薦」、「短期見效」、「免費體驗」及「限量名額」吸引民眾。部分廣告甚至宣稱可快速改善視力、脫敏修復或使白髮轉黑。

健康食品及一般商品不能取代醫療行為。遇到快速見效、專業人士背書或免費試用廣告，應查證許可證、成分標示及代言真實性。
 

免費問事與宗教商品引導加LINE
免費運勢解析、轉運祈福及開運手鍊等廣告，常透過每日限量、留言登記或加入LINE製造急迫感，再推銷付費服務或商品。

宗教信仰及命理服務不能保證改運、招財或消災。切勿因免費名額而提供生日、住址、證件或金融資料。

投資與AI資訊以免費加入導流
ETF配息表、投資懶人包、AI推薦系統及免費電子報，常要求民眾點擊加入討論區或領取資料。此類內容可能先提供免費資訊建立信任，再引導加入假投資群組或不明平台。

投資前應透過合法金融機構查證，不聽從陌生網友指示匯款、儲值或下載投資程式。

私密影音隨身碟藏有資安風險
部分廣告販售所謂高畫質影音合集隨身碟，強調無刪減、雲端更新及快遞單不顯示敏感詞，並導向名稱不明的購物網站。

來源不明的隨身碟可能含有惡意程式、侵權內容或偽造容量。切勿任意插入電腦或手機，也不要向不明網站付款。

貸款、分期及兼職廣告蒐集個資

資金週轉、無卡分期購買手機、遠端兼職及遊戲代儲等內容，常要求透過LINE私訊，並提供身分證件或付款資料。

合法貸款及分期仍會進行信用審核。切勿寄送提款卡、提供驗證碼、網路銀行密碼或依指示操作ATM。
 

本週防詐提醒

115上半年政府領域資安事件趨勢研析
可預期風險持續發生，落實基本控制為治理重點

115年上半年可識別之事件發生原因中，以使用或下載來源不明之應用程式或套件、應用程式漏洞及設備異常或毀損最為常見；弱密碼、網站設計不當及作業系統漏洞亦持續出現。整體觀察，多數事件並非源自高度複雜或全新攻擊手法，而是既有風險在不同系統、設備及使用情境中反覆遭到利用。 
 

一、攻擊手法未必複雜，可預期風險仍為主要入口
上半年持續發現使用者遭搜尋引擎導向偽冒網站，下載並執行夾帶惡意程式之安裝檔；另有攻擊者利用既有應用程式漏洞、弱密碼及網站安全設計缺口取得系統權限。相關風險已有明確防護方式，宜透過限制未核准軟體安裝、提供可信任軟體來源、由系統端限制弱密碼，以及持續追蹤對外系統與第三方元件弱點，降低相同問題反覆形成事件之可能。  
 

二、聯網設備安全設定、韌體更新及支援期限管理仍待強化
上半年亦發現無線分享器、監視器及門禁刷卡機等聯網設備遭植入惡意程式或利用。實務上，部分設備未變更預設帳密、未限制管理介面存取，亦缺乏網路區隔及韌體更新；另有設備已屆原廠停止支援（End of Support, EOS），無法再取得安全性更新。建議將聯網設備納入資產及弱點管理，掌握安全設定、韌體版本、已知弱點及支援期限，並針對已停止支援且缺乏有效補償措施之設備，依風險規劃汰換。 

 三、服務恢復後，仍須確認事件原因與影響範圍
「無法確認事件原因」為上半年件數最高之項目，部分涉及監視器、門禁設備、防火牆或交換器。此類設備常因日誌不足，或於異常後立即重啟、重置及汰換，致事後難以釐清入侵途徑及影響範圍。事件處置除恢復服務外，仍應確認設備之網路連線、管理帳號、關聯系統及同型設備是否受影響，並於處置前保存必要日誌、設定及診斷資訊。  

結語
上半年事件顯示，降低可預期風險仍是現階段治理重點。後續宜同步強化可信軟體管理、既有弱點修補及聯網設備生命週期管理，並提升事件原因與影響範圍之辨識能力，使服務恢復與風險排除得以並行。   

 

 關鍵字：可預期風險、聯網設備治理、日誌保存