政府聯防監控顯示攻擊行為持續聚焦入侵後控制　防禦迴避占比居各階段之首

本期(2025年7月至2026年1月)政府資安聯防監控事件依 MITRE ATT&CK 戰術架構統計，整體趨勢顯示攻擊行為明顯集中於入侵後之控制與隱匿階段，各階段分布詳見圖3；其中防禦迴避為占比最高之攻擊階段，約占整體事件的15.8%，顯示攻擊者在取得初步存取後，持續透過削弱或規避稽核機制、清除命令歷程及採用間接執行方式，以降低被偵測風險並延長在受害環境中的存續時間；其次為偵測刺探(11.7%)與惡意執行(11.2%)，反映攻擊活動同時涵蓋入侵前之系統性偵蒐行為與入侵後之實際操作行為，前者多見於網段掃描及 DNS相關情資蒐集，顯示對外部資產曝露面的持續探測，後者則大量濫用Visual Basic、PowerShell 與 Python 等腳本語言，作為執行指令與操控系統的主要手段。初始入侵階段占比約為9.5%，仍以對外服務弱點利用、預設帳號及供應鏈相關風險為主要途徑，而攻擊整備階段亦占9.1%，顯示攻擊者在實際入侵前，已具備可規模化之攻擊資源與基礎設施。

整體而言，惡意執行、維續存取、權限提升、防禦迴避與憑證竊取等入侵後相關階段合計占比已接近整體事件的一半，顯示威脅型態已由單純突破防線，轉為著重於隱匿性、持續性與橫向操作能力，建議防禦策略除持續強化對外服務、帳號與弱點治理外，應進一步提升命令與腳本執行行為之可視性與稽核完整性，並針對防禦迴避、間接執行及憑證濫用等高風險行為建立具關聯性的偵測與應處機制，以強化對入侵後活動的整體掌握能力。

CODE 2025醫療OT場域設計成果
以真實攻擊情境建構醫療OT風險樣貌，打造可驗證、可攻防之資安演練場域

CODE演練緣起與目的

行政院國家資通安全會報(National Information & Communication Security Taskforce, NICST)自2013年起，每兩年舉辦跨國網路攻防演練(Cyber Offensive and Defensive Exercise, CODE)以演練關鍵基礎設施之資安防護與應變能力，並自2019年之跨國網路攻防演練(CODE 2019)首次採實兵演練方式辦理，當年以金融領域為標的，並邀請國內外資安團隊共同參與演練，2021與2023年延續2019年執行方式，各自以能源與水資源領域作為標的。CODE 2025則將演練領域延伸至緊急救援與醫院領域，並新增情資分享與資安聯防，考驗醫療院所面對資安事件之應處能力。
 

結合國際威脅情資與國內資安事件經驗之攻擊情境設計

CODE 2025在攻擊情境設計上，除參考國際已知進階持續性威脅駭客組織APT41之行為模式，亦整合2025年初Crazy Hunter駭客組織鎖定我國醫療院所進行勒索軟體攻擊之脈絡與手法，並納入近年國內資安事件通報案例所揭露之攻擊型態與風險特徵，藉由「真實資安事件」、「實際攻擊路徑」及「常見弱點態樣」等三面向，建構貼近臺灣醫療環境所面臨之真實威脅樣貌，透過演練強化醫療院所發生攻擊事件時之通報、應變及情資分享能力。
 

醫療數位化浪潮之IT/OT整合風險挑戰
隨著醫療數位化與智慧醫療之快速發展，醫療場域中大量醫療儀器逐漸與IT系統高度整合，從網路掛號系統、醫療資訊系統(Hospital Information System, HIS)，到智慧雙向輸液幫浦、血壓血氧生理監視器及行動護理裝置，皆成為潛在攻擊面，為醫療服務帶來便利性之同時，也將醫療院所推向資安風險之最前線。CODE 2025即以此為核心，打造一個「可被攻擊、可被觀測、可被驗證」之醫療OT演練場域，透過四個連續且相互關聯之攻擊場景，完整呈現攻擊者如何逐步由外而內，利用提升權限、橫向移動，最終影響臨床作業流程與病患安全。

場景一：社交工程郵件所引發之初始滲透
第一個場景模擬外部攻擊者如何透過公開資訊蒐集醫師個人簡介與電子郵件等相關資訊，並鎖定特定醫療人員作為初始目標。攻擊者利用弱密碼、通行碼重複使用或外洩憑證等弱點，成功取得Webmail系統之存取權限，並進一步結合社交工程與釣魚郵件手法，入侵並取得院內使用者電腦之存取權限，進而作為後續滲透院內系統與擴大攻擊行為之起點。此一場景凸顯人員資安意識與帳號管理在醫療環境中之關鍵性，也是多數進階持續性攻擊常見之起始階段。

場景二：內部橫向移動與權限提升風險
在取得初步存取權後，第二個場景著重於攻擊者於院內環境中之橫向移動與權限提升行為。攻擊者自低權限帳號出發，透過蒐集院內系統資訊、分析使用者行為模式，並結合逆向工程與憑證濫用等手法，逐步擴大在網域環境中之存取權限與可視範圍。隨著權限不斷提升，攻擊者得以接觸更多核心系統與關鍵資料，進一步增加後續攻擊之影響範圍。此一場景具體呈現醫療院所在帳號權限控管、系統分區及身分鑑別管理等面向之常見弱點，說明攻擊者如何在不易察覺之情況下持續攻城掠地、擴張版圖，成為滲透院內關鍵系統之重要跳板。

場景三：套件更新機制遭濫用之供應鏈攻擊
第三個場景模擬攻擊者進一步鎖定醫療場域中之系統更新與部署流程，透過竄改檔案伺服器中之更新套件來源，發動供應鏈攻擊。攻擊者利用組織對既有更新來源與內部流程之信任關係，將惡意程式隱匿於看似正常之更新套件中，藉此繞過既有防護與偵測機制。當OT伺服器依定期排程進行系統更新時，惡意程式即隨之植入，使攻擊得以在不易察覺之情況下進入OT環境並建立存取能力。此一設計凸顯醫療OT系統在更新流程控管、來源驗證及完整性檢查等面向之資安風險，也反映供應鏈攻擊已成為醫療關鍵基礎設施必須高度重視之威脅情境。

場景四：醫療設備遭脅持對病患安全之衝擊
最終場景將攻擊影響延伸至實際臨床作業現場，模擬當攻擊行為成功進入醫療儀器後，可能對病患安全與醫療服務造成之實質衝擊。攻擊者透過院內攝影機取得即時影像，蒐集臨床作業流程與環境資訊，進而逐步掌握操作線索，控制醫療護理推車、護理人員行動裝置、超音波探頭、血壓血氧生理監視器及智慧雙向輸液幫浦等重要醫療儀器，進行錯誤藥品或不當劑量設定等高風險操作，具體呈現資安事件如何由資訊系統層面，直接轉化為影響臨床治療與病患安全之風險。此一場景再次強調，醫療OT資安不僅是資訊防護議題，更與醫療品質與病患生命安全息息相關。

以實戰演練強化醫療OT資安韌性
CODE 2025透過高度擬真之醫療IT/OT混合場域，結合真實資安事件之攻擊路徑與手法，完整呈現醫療院所在數位化發展下所面臨之資安風險樣貌。藉由四個循序漸進之演練場景，不僅可驗證技術防護能力，更強化醫療院所對於人員操作風險、營運流程弱點及臨床醫療儀器資安議題之整體認知。同時，透過資安事件通報流程、跨領域協作及情資交流機制，促進醫療體系資安聯防，由以往各自應對之防禦模式，逐步轉向醫療體系共同守護醫療資訊安全之資安治理架構。展望未來，CODE將持續透過演練方式強化關鍵基礎設施提供者之資安防護能量，以打造堅韌、安全及可信賴之智慧國家。

關鍵字：跨國網路攻防演練、緊急救援與醫院領域、資安聯防