中小企業的資安事件，多半不是新聞上那種大規模入侵，而是一些「好像沒什麼」的小事。下面三個是我實際遇過的情境。

情境一：有人在內網跑掃描工具

畫面上同時開著連到 ERP 資料庫的管理工具，和一個正在掃描內網網段的黑底程式（看起來像 fscan、xray 這類內網漏洞掃描工具）。

原則：在正式環境看到這類工具，一律先當資安事件處理。 處理順序：

  1. 隔離那台電腦：拔網路線，不要關機——關機會讓記憶體裡的證據消失。
  2. 確認是誰、在什麼授權下執行的：可能是授權的測試，也可能不是。
  3. 檢查資料庫的存取與匯出紀錄：有沒有資料被帶走。
  4. 保存日誌。

情境二：收到「我發現你們網站有漏洞」的陌生信

信中宣稱發現了點擊劫持（Clickjacking）漏洞。

原則：先驗證，再決定。 這類信很多是自動掃描工具的結果，或是來要漏洞賞金的。在確認漏洞真的存在之前，不要付款、不要給任何存取權。

這次的漏洞如果屬實，修補成本其實很低：在網站回應加上 X-Frame-Options: SAMEORIGIN，或 CSP 的 frame-ancestors 設定就好。

情境三：員工繞過網域管制裝了軟體

明明用 GPO 限制了軟體安裝，員工還是裝了某套辦公軟體。原因是那套軟體採用不需要管理員權限的個人安裝，裝在使用者自己的資料夾底下；如果軟體限制只管 Program Files，就擋不到。

封堵方式：用 AppLocker 或軟體限制原則，禁止在 %LOCALAPPDATA%、%TEMP% 這些路徑執行程式；封鎖下載網域；並確認使用者沒有本機管理員權限。

要提醒的是：要停用內建的 Administrator 帳號前，先確認還有其他管理途徑，不然電腦離線、連不到網域時，你自己也進不去。

小結

三個情境的共同點：先保存證據、先驗證、再動手。資安處理最怕的不是慢，是在還沒搞清楚之前，就把證據或退路弄丟了。

資料來源

  • 本人資安事件與端點管制紀錄（2025-09 起）

封面圖由 AI 生成。