風險維持平穩、部分設定改善 元件高風險漏洞仍待強化

本次針對曝險程度較高之100個A、B級公務機關進行EASM資安曝險檢測，前10大風險項目共計8,159項。其中，「元件高風險漏洞」以3,295項居首，「過時或弱加密協定」1,461項次之，「TLS憑證不受信任」則以1,044項超過「CSP設定不當」999項，位居第三。前三項合計5,800項，占前10大風險項目總數約71.1%，顯示目前外部曝險風險仍高度集中於元件漏洞、加密協定及憑證管理等議題。相較上期8,138項，本期整體風險數量增加21項，增幅約0.3%，詳見圖1。

進一步分析主要風險變化情形，「元件高風險漏洞」仍為最大宗風險，數量由上期3,282項增至本期3,295項，增幅約0.4%。其中，Apache HTTP Server相關弱點(CVE-2024-38475)仍為主要風險來源，該弱點可能造成原始碼洩漏或程式碼執行風險，建議升級至2.4.60以上之已修補版本。「過時或弱加密協定」由1,447項增至1,461項，增幅約1.0%；「TLS憑證不受信任」由1,045項減至1,044項，降幅約0.1%。另「未部署WAF」由853項增至906項，增幅約6.2%；「CSP設定不當」由1,087項減至999項，降幅約8.1%。

整體變化幅度不大。其中，「元件高風險漏洞」及「過時或弱加密協定」略有增加，「TLS憑證不受信任」則大致持平；「CSP設定不當」明顯減少，顯示部分網站安全設定已有改善，惟「未部署WAF」項目增加，反映網站防護機制仍有強化空間。建議持續推動高風險元件修補，並完善WAF部署及CSP安全設定，以降低外部曝險風險。

防護建議：

建議受測單位採取下列防護措施

建議受測單位採取下列管理措施

GitLab與Dell高風險漏洞應盡速修補

防禦迴避高居首位 偵測刺探仍具威脅

本週政府領域資安聯防監控參考MITRE ATT&CK Matrix分析TTP戰術框架分布顯示，本週趨勢相較上週無顯著差異，詳見圖2。「防禦迴避」為最常見攻擊手法，占比14.8%，攻擊者通常會透過關閉或刪除指令紀錄，並利用合法的系統工具間接執行惡意命令，以達到規避監控的目的。因應此類威脅，建議導入端點防護措施，加強指令紀錄的稽核能力，限制高風險工具的濫用，並強化特權帳號的管理，以避免攻擊者繞過偵測並消除其行為痕跡。

「偵測刺探」事件本週占比為11.4%，為本週占比次高的攻擊階段，顯示攻擊者持續加強對目標環境的偵查與資訊蒐集活動，以提升後續攻擊行動的成功率。觀察到的主要手法包括主動式掃描、憑證資訊蒐集、以及IP 區段掃描。攻擊者透過自動化工具對外部網段與公開服務進行大規模探測，蒐集系統架構、開放埠與服務資訊，同時搜尋與帳號憑證相關的公開資料或外洩資訊，作為後續登入嘗試與目標鎖定的依據。部分活動呈現由廣泛掃描逐步聚焦特定系統與帳號的特徵，顯示其偵查行為具備明確的攻擊目標與規劃。此類行為雖多屬攻擊前期準備階段，但其蒐集成果往往成為後續入侵與橫向移動的重要基礎。建議組織加強監控異常掃描流量與帳號探測行為，定期盤點對外暴露資產，並結合威脅情資分析可疑來源，以提前發現潛在攻擊準備活動並採取防禦措施。   

威脅情資平台及程式遞送控制器(ADC & Gateway)仍為攻擊熱點

本週透過部署於國內外之蜜罐系統觀測攻擊行為動態，相較於上週「網頁應用」服務攻擊占比76.14%、「遠端控制」服務攻擊占比19.51%，本週各類服務之平均偵測攻擊比例無明顯變化，結果顯示「網頁應用」服務仍為攻擊主軸，占比高達74.55%。「遠端控制」服務亦有20.20% 的誘捕比例，反映攻擊者仍積極針對公開遠端連線介面進行入侵行動。

網頁應用是最為常見之對外服務類型，若存在已知漏洞，將面臨高風險曝露情形，易成為攻擊者入侵與滲透重要管道，為優先防護之項目。本週網頁應用介面之誘捕狀況，詳見圖3。本週通用型Web介面占比最高，此類別為攻擊者廣泛的進行HTTP掃描與探測，顯示攻擊者企圖尋找可能存在之Web漏洞進行攻擊。另Web服務系統類別包含各類以網頁為基礎的服務與應用，例如常見的網頁框架、應用程式伺服器、檔案傳輸與資料管理平台等，由於此類服務多建置於企業應用環境，且直接面向外部提供功能與資料交換，為僅次於通用型介面的攻擊目標。

而Web服務系統比例下降主因為WordPress WP01外掛套件存在路徑遍歷漏洞之CVE-2025-30567，遭攻擊次數下降導致。網通設備管理介面涵蓋路由器、防火牆等網通設備管理介面，以及智慧攝影機、NAS等物聯網設備管理介面，皆容易遭受攻擊者透過弱密碼、預設帳號或已知漏洞進行入侵。其他類型服務雖比例極小，但若涉及關鍵業務系統，仍需留意潛在風險。

進一步解析國內外之蜜罐系統誘捕漏洞攻擊之情形，詳見表1。近1年揭露之攻擊漏洞，前5大攻擊以「網頁應用」服務之漏洞為主要入侵路徑，本週漏洞類型多集中於權限提升漏洞、越界讀取漏洞、輸入驗證不當漏洞、身分驗證繞過漏洞及指令注入漏洞，攻擊目標涵蓋威脅情資平台、程式遞送控制器(ADC & Gateway)、網站主機伺服器管理系統及大模型API統一介面與代理伺服器工具。
 

防護建議：

建議存在漏洞之設備應更新至最新版本軟體或韌體以修補漏洞；若原廠已無法提供更新支援，應考慮汰換存在漏洞之設備或軟體套件，如因故無法汰換，應採對應之漏洞緩解措施。

防範水坑式攻擊，應強化端點弱點管理及惡意行為偵測 降低網站遭利用後的影響

本週總計接獲32件公務機關與特定⾮公務機關事件通報，詳⾒圖4，公務機關⾮法⼊侵事件中以異常連線占多數，詳⾒圖5。本週發現水坑攻擊事件，攻擊者先入侵特定網站並植入惡意JavaScript程式碼，當使用者正常瀏覽該網站時，惡意程式碼即隨網頁載入，進一步嘗試利用使用者端軟體或元件弱點下載惡意程式。此類攻擊不同於傳統釣魚郵件，使用者可能僅是瀏覽平時正常使用的網站，即接觸到攻擊內容。

水坑式攻擊通常鎖定特定族群經常造訪的網站，先控制網站後再等待目標使用者上門，因此僅依網站是否熟悉或過往是否正常，並不足以判斷當下內容是否安全。建議機關持續更新瀏覽器、作業系統及使用者端相關軟體與元件，降低惡意網頁利用已知弱點之機會；端點亦應啟用惡意程式防護及行為偵測，對瀏覽網站後異常產生的程式下載、腳本執行或外部連線進行偵測與阻擋。 

產品服務型占比續升 金融投資型降至末位
 

詐騙類型趨勢

產品服務型占比升高，約占本週四分之三，詳見圖6。保健品廣告以不必刻意節食的訴求吸引有體重管理需求者，宣稱餐前服用即可阻隔糖分吸收，並提供60天試用與無效退費承諾。另有主打血管保健的產品宣稱能溶解血栓，同樣以不滿意退款促購，把健康改善的期待與售後保障結合，降低民眾嘗試購買的顧慮。

身分冒充型占比略降，但成為本週第二大類型。穴位保健廣告聲稱獲醫師認可，並宣稱能緩解身體不適，藉專業名義吸引有腰酸、頭痛困擾的民眾，再以圖解與口訣強調容易學習。按摩腰帶廣告則以藝人推薦增加可信度，主打居家使用的便利性，搭配國慶限時贈禮與現貨快速出貨的說法，引導點擊購買。

本週金融投資型占比回落，在三類中最低。海外房產講座廣告主打永久產權、交通便利及免費購屋指南，以名額有限催促報名，註冊後再由房產顧問聯繫。另有 AI 股票分析課程，宣稱能協助整理股價走勢與技術指標，搭配限時折扣，吸引希望節省研究時間、掌握投資判斷依據的民眾購課。

關鍵字趨勢

「優惠」仍居首位，防曬美妝廣告宣稱一瓶兼具防曬、潤色與妝前打底功能，再以每瓶最低 216 元的限時價格促購。「限量」升至第2名，護膚霜廣告針對熟齡保養需求，宣稱能改善暗沉、滋潤肌膚，搭配週年慶組合只剩最後10組的說法，要求有意購買者留言，並以額滿截團催促回應，詳見圖7。

「DIY」「出清」與「縫補」進入本週前10名，分居第 7、8、9名，共同呈現縫紉用品的促購主題。相關廣告以補衣服、改褲長等日常需求切入，主打桌上型不占空間、新手易上手；出清廣告再以「真的要離開了」與「倉庫限量出清」的說法營造錯過難再買的急迫感，搭配下單贈禮催促購買。

「投資」退居第6名，前週相關廣告介紹選股與存股課程，本週則出現補財庫服務，以信眾回饋宣傳改善財運，邀請財運不佳、事業遇到瓶頸的民眾預約免費諮詢。從本週前十大關鍵字來看，商品促購以日常保養與家用需求為主，常見手法是限時限量催促回應，以及用操作簡單、方便收納吸引購買。

從職能出發 勾勒資安人才學習路徑
從工作需求到學習方向，讓每一步成長都有跡可循

數位科技快速發展，資安要學的東西也越來越多。對於想投入資安領域的人，可能很快就會遇到一個問題：「課程這麼多，我應該從哪裡開始呢？」或是已經在資安領域工作一段時間的人來說，也可能會出現另一種困惑：「課上了、證照也考了，但如果想往其他方向發展，下一步該補強什麼呢？」

這些問題背後，其實都指向同一件事情——人才培育不只是開設更多課程，而是要先回到「這份工作需要具備什麼能力」來思考，這也是資安院近年推動資安人才培育時，逐步將「課程導向」走向「職能導向」的原因。
 

先了解工作需要什麼能力，再決定該學什麼
資安的工作範圍很廣，有人負責治理與風險管理，有人專注事件應變、數位鑑識，也有人每天和弱點、威脅情資打交道，雖然大家都叫「資安人才」，但每天面對的工作任務卻不盡相同。

因此，資安院持續從「職能」角度思考人才培育，研析不同資安角色實際執行的工作任務，以及完成這些任務所需要的知識與技能，再回頭思考應該安排哪些課程與學習資源。今年資安院持續推動職能框架研析，預計完成12類資安人才職能框架，並針對「滲透測試工程師」、「數位鑑識調查分析師」及「資安威脅情資分析師」等專業人才發展教材。

換句話說，人才培育不是先決定「要開什麼課程」，而是先思考「不同的資安工作，需要學會什麼？」透過研析各類資安人才的職能需求，再將所需的知識與技能轉化成具體的學習內容，讓教材不只是知識的集合，也能與實際工作建立更清楚的連結。
 

串聯公私領域職能需求，讓培訓更貼近實務
不同領域的資安人才，所需的專業能力各有側重，例如，政府部門著重於法規遵循、風險管控及系統安全等防護工作，而產業領域則因應不同產業特性與營運需求，更加重視資安技術實務、威脅偵測與分析及營運持續等能力。雖然兩者的工作環境與任務有所不同，但都需要具備相應的專業知識與技能。
 

為了讓學習路徑更清楚，也能適用於不同領域，資安院以資安人才職能框架作為基礎，結合政府機關資安專職人員的資安職能訓練發展藍圖，思考哪些內容可透過公部門訓練強化，哪些專業技術可善用既有的市場培訓資源，逐步建立不同領域的人才角色、工作任務、所需職能與訓練課程之間的關係。

透過這樣的整合，未來無論是剛投入資安領域，或是希望朝不同專業方向發展的學習者，都能依據工作角色與能力需求，找到適合自己的學習資源與精進方向，讓有限的學習時間，真正花在工作需要訓練的地方。
 

從學習走向能力，讓人才成長更有方向
資安人才培育很像規劃一趟旅程，職能框架就像標示目的地所需要具備的能力，學習路徑協助規劃前進的方向，課程與教材則提供沿途所需的知識與技能。未來，若能進一步結合能力鑑測，就像在旅途中設置檢查點，協助學員了解自己目前走到哪裡，還有哪些能力需持續精進。

為了讓人才培育不只停留在「學過什麼」，更能進一步了解「具備什麼能力」，資安院也將持續研議資安人才能力鑑測機制，思考如何以職能框架為基礎，建立相應的能力鑑測方式，逐步串聯職能需求、學習資源到能力鑑測，建立更完整的連結，讓每一步學習都更有目標，也更貼近實際工作需求。

資安人才的成長，不會因為修完一門課、取得一張證書就畫下句點。真正重要的是，讓每個人都能清楚自己為什麼而學、下一步可以往哪裡走。無論是剛踏入資安領域的學生、希望精進專業的在職人員，或是正在規劃人才發展的組織，都能透過職能的指引與學習資源，找到適合自己的成長方向。

畢竟，資安要學的東西這麼多，至少在「下一步該學什麼」這件事上，希望讓大家少一點摸索，多一點方向。 

關鍵字：資安人才培育、資安職能框架、資安學習路徑