實務案例

挑戰：應變不及，恐使勒索軟體事件損害擴大 當勒索軟體攻擊事件發生，若資安團隊無法迅速掌握受駭情況，與應優先處理的環節，導致應變延遲。攻擊者可能利用這空窗期間，持續滲透其他相連系統，擴大損害範圍。要及早採取應對行動，團隊必須掌握環境內是否已出現相關威脅的蛛絲馬跡，才能判斷後續應從何處展開調查與處置。 解決方案：以勒索軟體分析結果強化應變能力 我們透過分析勒索軟體攻擊手法與惡意程式樣本，歸納出具體的威脅指標與應對建議，協助企業組織快速掌握防禦重點。從 CrazyHunter 攻擊台灣醫療機構的案例可看出，這些深入剖析，能協助其他組織確認自身場域是否出現相同威脅。 運用 TTP 還原攻擊路徑 以 CrazyHunter 攻擊事件為例，從樣本與攻擊活動的分析，掌握到攻擊者以 BYOVD 手法利用有漏洞的 zam64.sys 驅動程式，停用 EDR 防護機制；另利用 SharpGPOAbuse 操作 Active Directory（AD）群組原則，散布勒索軟體。 運用 IoC 確認客戶場域曝險狀況 彙整事件相關的惡意程式與入侵指標（IoC），再由 MDR 團隊逐一比對客戶場域的端點報告與活動紀錄。 效益：確認客戶曝險狀況，快速應變 透過巡檢協助客戶釐清自身場域是否受到類似的威脅與攻擊。如果日後再發現相關活動，相關的入侵指標等也可作為追查依據。 確認客戶場域未見相關攻擊跡象 MDR 團隊檢視客戶場域的端點報告與活動紀錄後，並未發現與本案相關的勒索軟體活動，客戶也能據此掌握場域當下的曝險狀況。 提早啟動初步應變 將威脅情資納入 MDR 與事件應變流程後，資安團隊可將 IoC 匯入防護設備與平台，快速確認場域是否出現相關跡象；針對可疑活動，則可依攻擊者的 TTP 追查攻擊路徑與影響範圍，啟動及時應變。這有助於團隊及早發現勒索攻擊者的活動，並在其橫向移動或展開大規模加密前採取圍堵措施，進而降低營運損害，也大幅提升整體應變判斷的準確度。

挑戰：同時因應產品漏洞風險與暗網曝險 一家國際網路設備與消費性電子產品製造大廠，需要同時因應產品和公司營運的兩大風險：產品若有漏洞未被修補，一旦遭攻擊者利用，則可能危及使用者的環境安全；另一方面，若公司內部員工帳密等機敏資料外洩，或暗網論壇出現與公司相關的討論，便可能影響企業正常營運。由於判讀這兩類風險需要仰賴不同來源的情資，團隊必須分頭整理與研判，難以從整體角度統合各項結果。 解決方案：依風險類型運用對應情資，整合各項資訊 ThreatVision 對應風險類型提供所需情資，讓資安人員能在平台上統整分析相關結果。 優先處理已遭實際利用的漏洞 漏洞情資暨應對緩解雙週報（VIR）說明高風險漏洞及相關攻擊情境；漏洞修補管理週報（PMR）則提供漏洞利用狀態與修補建議，讓資安人員判斷哪些漏洞應提早修補。 監控公司在暗網中的曝險 ThreatVision 深暗網風險監控找出外洩的員工帳密，以及暗網論壇中提及該公司的內容。資安人員可進一步評估這些資訊與組織的關聯性及可能影響。 彙整不同來源資訊 透過 API 串接，ThreatVision 的漏洞與暗網相關資訊可匯入 TeamT5 合作夥伴 OpenCTI平台，讓團隊在平台中一併檢視與研判。 效益：改善產品安全與情資分析流程 導入 ThreatVision 後，該製造商能以更為一致的方式處理產品漏洞與公司相關的曝險。 產品漏洞修補更聚焦： 根據漏洞遭利用的證據，團隊能判斷哪些漏洞需要優先處理，並及早修補已在實際環境中遭利用的漏洞。 暗網曝險更易掌握： 團隊在六個月內就找出超過 300 筆外洩紀錄，並發現暗網中出現與該組織有關的討論。 跨來源研判流程更順暢： OpenCTI 串接省卻了分別整理與核對不同來源資訊需耗費的時間和心力，讓團隊能根據整合後的內容進行後續研判。

挑戰：掌握由國家支持的 APT 攻擊活動，釐清管理層應關注的重點 負責保護機敏資料與關鍵基礎設施的亞太政府機關，經常成為由國家支持的進階持續性威脅（APT）攻擊者鎖定的對象。面對手法持續演變的進階威脅，該機關不僅要適時掌握最新事件，同時也要擬定長期資安策略，需要能用於研判、應變與規劃的威脅情資。 對資安團隊而言，必須釐清的是攻擊活動由哪些威脅團體發起、他們如何行動和鎖定哪些目標，再將統整後的研判結果向管理層彙報，說明哪些屬於高相關風險，且需要進一步關注。 解決方案：依管理層彙報與內部檢視需求，運用不同類型的 APT 情資 ThreatVision 提供系統化的情資運用架構，讓該機關能依管理層彙報與內部檢視的需求，選用合適的情資。 掌握近期 APT 事件，判斷後續關注重點 APT 威脅情資週報彙整近期觀察到的 APT 事件，協助團隊判斷哪些威脅需進一步關注。  持續追蹤威脅演變，評估戰略影響 APT 威脅情資月報持續追蹤 APT 活動的發展，亞太區域網路政策雙週報則提供相關政策與地緣政治脈絡；結合運用這兩類報告，該機關能掌握威脅的演變方向，並評估其戰略影響。  分析攻擊族群，預判相關威脅 APT 威脅族群追蹤季報與威脅綜覽季報分析攻擊族群、慣用手法與鎖定範圍。該機關可據此預判哪些威脅可能與自身相關，並強化防禦規劃。  讓監控重點對應彙報所關注的威脅 ThreatVision 提供的入侵指標（IoC）可供團隊在現有環境中進行比對，並依彙報中所涵蓋的威脅調整監控重點。  效益：彙報重點與監控、應變流程相互銜接 透過 ThreatVision，該機關能依管理層彙報中提出的威脅重點，調整後續監控與應變準備。 彙報內容更具相關性： 彙報內容著重於與該機關切身相關的威脅發展，並清楚說明哪些風險需要關注。 建立對威脅的共同認知： 管理層與資安團隊以相同的情資脈絡檢視威脅，讓策略與執行層面的討論建立在共同認知上。 管理與維運團隊的關注重點更一致： 在彙報中提出的重點，也會納入事件應變、營運持續規劃與風險檢視的流程中，讓各項工作能依相同優先順序執行。

挑戰 當企業或組織面對破壞性資安攻擊，要能應變且從中恢復，時間就決定一切。若能在攻擊者潛入受害組織的網路的早期階段發現，仍有機會即時有效阻擋攻擊者的行為，對企業或組織的影響較小。 但組織目前面臨更嚴重的情況是，未能在攻擊者潛入初期發現資安威脅，甚至是被竊取了資料或破壞系統才發現，在組織缺乏部署端點防護工具的情況下，勒索攻擊者很可能會從最初的存取點迅速擴散，加密其他相關系統與上百、上千個重要檔案，使業務停擺。這也使得組織要能從勒索攻擊中快速恢復、避免受損網路環境造成業務中斷，眼前要克服的挑戰變得越來越多。 企業或組織該如何有效應變？藉著以下 TeamT5 實際協助資安事件應變處理的實例分享，了解如何強化資安防禦，除了防範惡意攻擊，同時也將威脅造成的損失降到最低。 發現入侵，快速應變 TeamT5 在 7 月 18 日接獲台灣的資訊科技公司通報，網路環境中的重要服務主機遭到加密勒索狀況，並且有勒索資訊顯示在 VM 環境的桌面。 一收到此通報，TeamT5 資安事件應變處理團隊（CSIRT）掌握事件應變的關鍵時間，第一時間採取以下行動： 與客戶訪談、了解需求、掌握案況 事件應變處理團隊直接與客戶召開緊急會議，藉由訪談了解客戶需求，即時掌握到場域受駭現況：場域中的 ESXi主機的 VM 環境被加密，並有勒索資訊顯示於VM環境桌面。 提供攻擊者資訊，供客戶評估決策 TeamT5 團隊擁有 20 年以上網路威脅研究經驗，第一時間協助客戶判讀所收到的勒索資訊，確認勒索族群等相關資訊，提供客戶評估決策使用。 提供即時阻斷攻擊者控制與擴散對策 為避免其他數位資產受到攻擊影響，TeamT5 團隊提供阻斷攻擊的因應對策，包括網路設備斷網取證、端點隔離掃描、系統備份等緊急應變措施。在未釐清案發根因前，建議相關網路設備與系統不開通上網、不開通網路通訊，避免攻擊者再次進入場域破壞。 關鍵證據收集，客製化應變調查計畫 客戶除了提供場域網路系統配置、相關設備資訊及記錄保存狀況等資訊外，TeamT5 同時規劃整體事件調查計畫，藉由部署TeamT5 自行研發的威脅鑑識分析平台 ThreatSonar，針對關鍵主機取證分析，並同時確認 VM 環境中的其他主機安全狀況。 收集事證與偵測環境，掌握受駭範圍 客戶在同意 TeamT5 所提出的應變計畫後，在 7 月 19 日隨即實行以下重點行動： 重點取證分析： TeamT5 團隊依據案況，研判可能為重點事發的主機或網路設備，並藉由相對應系統作業環境的專業工具，取證分析。客戶並同步提供案發時網路設備通訊紀錄，作為事件關聯調查使用。 端點部署掃描，匡列受駭範圍： 部署 ThreatSonar 掃描端點，快速篩檢場域內主機安全。由於端點有加密勒索狀況，所以必須先中止勒索程式執行，才能進行掃描取證。 掃描結果發現，有五台主機具高風險（Level 5）威脅、一台主機具中高風險（Level 4），分析有駭客工具、勒索軟體外，同時有可疑帳號、IP 來源等。 調查事件根因，可視化攻擊軌跡 根據場域主機的快篩分析結果以及網路通訊紀錄，TeamT5 團隊隨即對於場域事件發生狀況執行關聯調查作業，鉅細靡遺地掌握攻擊時間、工具等詳情如下： 勒索軟體：掃描分析結果發現，十四台主機中，有八台被植入勒索軟體。 植入位置：C:\Documents and Settings\All Users「開始」功能表程式集啟動\fast.exe 駭客工具： 存放位置：C:\WINDOWS\Temp\temp(mimikatz) 關鍵事件關聯： 遠端登入資訊：Source IP、Target User、Source Workstation（MONSTER）、Logon Type 10 （RDP） 透過威脅狩獵，可視化橫向移動軌跡，讓客戶清楚掌握事件根因，以進行後續強化資安防禦計畫。 復原入侵前環境、強化防禦，防止類似攻擊入侵 在完成事件調查、找出事件根因之後，TeamT5 與客戶合作，協助確認以下針對該資安事件的回應行動是否落實。 確認端點安全狀況 先確認端點沒有正在執行的勒索軟體，可嘗試採用系統安全模式啟動，移除勒索軟體後，再使用 ThreatSonar 持續掃描其他端點，確認端點安全狀況。 檢視網路存取規則 檢查場域中對於服務主機的存取規則，降低攻擊者橫向移動風險。 確認系統帳號用途 針對案內發現遭利用之帳號，如非已知帳號，須立即停用並確認帳號建立時間點；另立即變更網域管理者與使用者密碼、評估是否重建 AD。 確認攻擊來源狀況 發現此事件攻擊來源為防火牆，建議確認防火牆設備狀態並更新版本，並檢查設備存取狀況。 從事件中學習，優化資安防禦長期策略 TeamT5 提供完整的事件調查報告，除了詳列事件根因、駭客族群、攻擊手法等，更對症下藥，進一步提供長期資安防禦的實質建議： 1. 阻斷駭客控制來源，降低二次遭駭風險： 盤點資訊資產狀態：確認端點的安全狀態，掌握暴露在外、可能遭受攻擊的服務介面安全狀態，減低被駭客進入控制、加密勒索，造成服務停擺的狀況。 確認 VPN 設備及系統安全性：針對客戶實際場域環境，建議修補設備漏洞、禁止多人共用帳號、開啟兩階段驗證機制和設備驗證機制，避免攻擊者取得權限進入後橫向移動，造成破壞。 管控網管存取途徑：客戶在使用遠端桌面（RDP）時，若未落實遠端維管，建議加強重要主機管理介面與存取控制，避免攻擊者透過內部主機存取重要主機，加密勒索。 提升人員安全意識：對於釣魚郵件、網站下載需有安全意識，避免帳號密碼被盜，或執行惡意程式。 2. 加強資安監控措施，及早發現異常： 端點偵測防禦：不單靠防毒軟體，更須建立終端安全防禦機制，降低惡意程式、加密勒索、橫向移動等威脅風險。 啟用事件紀錄功能：開啟如 Event ID 4688（程式執行）、Event ID 4625、4624（登錄稽核）等事件紀錄功能。 AD 與帳號權限管理：確認特權帳號與一般帳號的使用情況，避免密碼被盜用。 網路通訊規則設定：確認規則所允許的系統或終端，其開放連線的設定，減少存取控制的威脅風險。 伺服器服務紀錄檢查：確認是否有遭受探測或攻擊狀況，提早發現、及早應處理，防堵入侵探測。 3. 完善資料備份與系統還原機制，極小化遭駭損失： 強化 3-2-1 備份原則，確保資料遭破壞或加密時可恢復正常運作，能防堵加密勒索、服務停擺等威脅。 藉由回顧整起資安事件處理過程，檢討是否有需要強化的地方，一來減少類似攻擊再次發生的可能，二來即便未來再次面臨類似的資安事件，可更有效的處理。

企業面臨的挑戰 隨著駭客攻擊技術的持續進化，進階式持續威脅（Advanced Persistent Threat, APT）手法也日趨複雜，越來越多惡意程式能規避 EDR（端點偵測與回應），利用合法工具來控制受駭機器。根據 TeamT5 最新《2023年威脅態勢回顧》 報告數據顯示，許多駭客組織採用公共或開源工具，或利用 Web 伺服器漏洞的攻擊更為普遍。 報告同時指出，在整個亞太地區，台灣、韓國和日本是 APT 組織攻擊最多的國家；在台灣，又以政府、IT、教育或關鍵基礎設施等產業為主要攻擊對象。而 APT 攻擊者之所以對 IT 產業如此感興趣，是可藉由 IT 產業做為跳板，從供應鏈攻擊來接觸大型企業或政府等組織。 面對層出不窮的 APT 攻擊，企業或組織該如何有效處置？以下藉由 TeamT5 實際協助企業組織處理 APT 攻擊的案例，了解駭客攻擊手法以及事件應變作為，降低事件造成的損失，並強化未來資安防禦。 透過 TeamT5 端點安全檢測，發現可疑 APT 攻擊，立即協助處置 有鑑於 APT 攻擊屬於隱密且具有針對性的駭侵活動，通常不會有明顯徵兆，必須要透過威脅情資或具備 APT 偵測功能的 EDR 才能找出威脅。 在真實案例中，客戶採用 TeamT5 自行研發的威脅鑑識分析平台 ThreatSonar 進行重要端點檢測分析，藉此了解是否有潛在威脅。經檢測後，陸續發現場域主機遭植入 APT 後門程式及 Webshell 狀況。TeamT5 收到檢測報告後，立即為客戶做進一步規劃，針對場域端點主機擴大掃描分析，並進入資安事件調查服務階段。 TeamT5 資安事件應變處理團隊（CSIRT）協助客戶判讀狀況，研判攻擊者可能的入侵方式，並第一時間提供客戶阻斷攻擊者控制與擴散的建議，避免影響其他數位資產。 端點偵測分析，掌握受駭範圍 為釐清環境中受駭範圍，TeamT5 協助客戶採取以下重點行動： 重點取證分析 ： 依據案況，TeamT5 團隊研判可能為重點事發的主機，依其系統作業環境、藉由專業工具取證分析、案發時網路設備通訊紀錄，進一步作事件關聯調查。 部署端點掃描，匡列受駭範圍 ： 藉由部署 ThreatSonar 執行端點掃描，發現有一台主機其記憶體命中 APT 規則，觸發高風險（Level 5）威脅告警。經 TeamT5 分析後，確認記憶體遭注入後門程式，屬於惡意威脅。並找出可疑檔案路徑與惡意中繼站（C2）清單等威脅情資，建議客戶封鎖惡意中繼站，並檢查防火牆是否有端點嘗試連線中繼站的紀錄。 抽絲剝繭事件根因，調查攻擊軌跡 根據 ThreatSonar 掃描端點後事件調查報告以及網路紀錄分析，TeamT5 團隊對於場域事件發生狀況執行關聯調查作業，以掌握攻擊路徑與駭侵根因： 重要端點掃描分析 ： 發現場域主機上某一執行檔的連線紀錄中具有惡意威脅，命中威脅情資惡意 C2 domain。 事件調查找出駭侵根因 ： 在鎖定風險主機之後，進入調查分析，找出駭客控制鏈。從有異常狀況的系統 Web Log 與 Event Log 關聯查出，早在半年前，系統就已被攻擊者植入 Webshell，攻擊者利用第三方服務的系統漏洞取得控制權後，再運用 Softether 及一句話木馬建立其他進入點。進一步回溯攻擊事件，了解攻擊者透過 SQL 權限、Powershell 指令下載執行，歸納出可能遭掌握利用的帳號，及攻擊來源 IP 資訊。 全面清查場域端點安全狀況 ： 為確保場域內端點安全狀況，擴大掃描範圍，從記憶體分析中，發現其他現場主機遭注入 GhOst 後門程式。 導入資安監控專業服務，強化資安防護力 ： TeamT5 威脅偵測應變代管服務（MDR）為客戶提供威脅監控、分析、處置、調查等一站式服務，減輕企業資安營運負擔，同時達到全面風險控管。 檢視資安策略、強化未來防禦 為防禦類似的事件再度發生，TeamT5 提供客戶以下防禦建議： 1.阻斷駭客控制來源 盤點資訊資產安全狀態、確認 VPN 設備及系統漏洞修補、加強重要主機存取控制、提升人員對於釣魚郵件或網站下載程式具有安全意識。 2.加強監控分析措施 建立終端安全監控機制，即時告警、阻擋惡意行為；確認網路通訊規則的設定，或終端開放連線的設定。 3.建立事件應變機制 針對可能發生的高風險事件類型，訂定事件處理作業程序，包含事前監控分析、事中抑制消除、事後復原改善等，在事件發生時能有所依循。

【挑戰】 眾所皆知，駭客常使用各種網路攻擊方式，例如零時差攻擊、網路釣魚、暴力攻擊、社交工程、惡意軟體等，試圖取得系統存取權與敏感資料，進而對企業、政府、組織或個人等造成重大威脅。以個資外洩為例，造成民眾受到詐騙而損失金錢，也直接造成企業名譽受損。 根據 IBM 的報告[1] ，在 2023 年，全球資料外洩的平均成本將達到 445 萬美元，包括營業損失到業務停擺、補救、法律費用等各種費用，光這些損失，就可能足以讓一家小公司破產。此外，哈佛商業評論[2] 更指出，資料外洩可能導致企業信用評等下調，影響企業維持市場地位的能力，使公司面臨更高的借貸成本和財務風險。 因此，面對駭客惡意攻擊所造成的資安事件，企業或組織該如何有效處置？以下藉由 TeamT5 實際協助企業組織處理個資外洩的案例，了解駭客如何透由網路攻擊取得敏感個資，以及處理事件所需的緊急應處作為，將事件威脅發生所造成的損失降到最低，並規劃未來場域所需注意的防禦重點。 【發現個資外洩，快速協助處置】 當 TeamT5 接獲客戶的資安事件處理需求，得知企業有個資外洩，造成民眾被詐騙情況，且網路環境中的重要服務主機有防毒告警的狀況。 收到客戶需求後，TeamT5 資安事件應變處理團隊（CSIRT）隨即與客戶訪談了解案況，即時掌握場域中的網站主機有 WebShell 及惡意程式告警資訊，立即提供相關事件研判與處置建議，說明如下。 解讀告警資訊，研判可能肇因 TeamT5 團隊具有 20 年以上網路威脅研究經驗，及時協助客戶判讀所收到的告警，研判攻擊者的可能入侵途徑。 提供應處建議，控制事件擴散 為避免其他數位資產受到影響，TeamT5 團隊建議採取網路設備斷網取證、端點隔離掃描、系統備份分析等緊急應變措施。在未釐清案發根因前，場域網路設備與終端應採取「不開通網路通訊」為原則，避免攻擊者再次進入場域破壞。若有系統因業務營運需求無法離線隔離時，則建議採取最小存取原則，限制系統僅能與相關主機連線，控制服務存取範圍。 關鍵證據收集，調查分析規劃 除了客戶所提供的場域網路系統配置、相關設備資訊及記錄保存狀況等資訊外，TeamT5 同時規劃完整的事件調查計畫，藉由在場域主機端點上部署 TeamT5 自行研發的威脅鑑識分析平台 ThreatSonar，並加上專業取證工具分析，透由專業的資安事件調查人員，確認環境中服務主機與其他作業電腦的安全狀況。 端點偵測分析，掌握受駭範圍 在事發當日，TeamT5 隨即協助客戶實行以下重點行動： 重點取證分析： 依據案況，TeamT5 團隊研判可能為重點事發的主機，並藉由專業工具取證分析、案發時網路設備通訊紀錄，以進一步作為事件關聯調查使用。 全面掃描端點，匡列受駭範圍： ThreatSonar 快速掃描場域內主機安全，結果發現涉案主機具高風險（Level 5）威脅，分析其命中 APT 偵測規則的惡意威脅、異常登入事件、可疑檔案路徑與惡意中繼站（C2）清單等威脅情資；另有主機被偵測出有橫向移動、攻擊者利用遠端桌面服務等惡意行為。 【調查事件根因，可視化攻擊軌跡】 根據場域主機的快篩分析結果以及網路紀錄分析，TeamT5 團隊隨即對於場域事件發生狀況執行關聯調查作業，使能掌握攻擊路徑與駭侵根因。 事件調查分析 發現網站管理頁面，有容易遭破解的弱密碼（weak passwords）被利用。並且在網站上偵測到一句話木馬，經檢視後發現，駭客是透過檔案上傳的漏洞，將惡意網頁程式上傳到目標伺服器。同時，發現官網有 相關檔案資訊洩漏問題。 場域事證關聯 從主機事件紀錄發現，後續有 Powershell 及橫向移動等行為，並歸納可能遭掌握利用的帳號，及攻擊來源 IP 資訊。 彙整調查結果 藉由可視化的事件軌跡彙整表達，讓客戶了解事件發生的攻擊路徑，清楚知道攻擊者是如何利用網站弱點，及透過不同 IP 存取網站後台，再取得特權帳號後，進行內網橫向移動的滲透行為。 【阻斷攻擊來源、復原事發環境】 在完成事件調查並找出駭侵根因後，TeamT5 與客戶合作，協助確認資安事件所需相關的回應行動狀況。 確認場域端點安全狀況是否純淨 透過端點安全掃描程式，先確認場域中的端點是否有惡意威脅行為，例如後門程式、駭客工具、橫向移動等，並透過防毒軟體掃描確認後，再逐一開放端點上網。 審視網路存取規則是否嚴謹 檢查場域中網管與一般使用者存取服務主機的規則，避免所有主機都能對服務主機做遠端登入行為，例如 RDP、WinRM、SMB、Anydesk 等，阻斷攻擊者橫向移動的風險。 確認系統帳號權限是否適當 針對遭利用的帳號，如果非已知帳號，須立即停用並確認帳號建立時間點；另外如果 AD 已經有遭植入後門程式或橫向移動，則須立即變更網域管理者與使用者密碼、評估是否重建 AD。 確認系統漏洞是否已可控制 分析調查網站、AP、DB 等系統紀錄，確認是否有惡意來源與行為，並阻擋發現到的惡意來源，同時修補可能的漏洞。並分析調查防火牆的連線來源和帳號使用狀況，確認設備狀態並更新版本，必須確保設備安全無虞後再上線服務。 【檢視資安策略、強化未來防禦】 為防禦類似的事件再度發生，TeamT5 建議客戶遵循美國 NIST Cybersecurity Framework 架構[3]，檢視企業場域中對於辨識（Identify）、保護（Protect）、偵測（Detect）、回應（Respond）、復原（Recover）[4] 等五大防禦面向： 1. 強化場域系統安全（識別、偵測、保護） 掌握場域中的系統端點配置與運作狀況。 強化後台管理帳密與限制存取來源。 管控資料存取來源，限制危險預存程序使用。 對於有上傳文件之系統需要有惡意檔案檢測防範機制。 2. 加強監控分析措施（識別、偵測、保護） 導入端點掃描監控機制，即時告警、阻擋惡意行為。 強化網路行為監控與系統服務紀錄備份分析機制。 建立威脅情資產出機制，提早發現可疑威脅來源與場域弱點。 3. 建立事件應變機制（回應、復原） 針對可能發生之高風險事件類型(如勒索軟體、個資遭竊、APT 入侵等)，依循 NIST Incident Response Plan 建立 IR Playbook，訂定事件處理作業程序（包含事前監控分析、事中抑制消除、事後復原改善等），使事件發生時能有所依循。 【參考資料】 [1] IBM: Cost of a Data Breach Report 2023 [2] Keman Huang, Xiaoqing Wang, William Wei, and Stuart Madnick, 2023, “The Devastating Business Impacts of a Cyber Breach,” Harvard Business Review [3] NIST Cybersecurity Framework [4] NIST Computer Security Incident Handling Guide