新聞裡經常出現「國家級駭客」。國家安全局統計，2025 年中共對我國關鍵基礎設施的侵擾平均每日約 263 萬次，較 2024 年成長 6%[1]。企業看到這類數字，常有兩種反應：一種是「我們只是中型製造業，誰會盯上我們」，另一種是把每一起入侵都歸給國家級駭客，好像遇上了就無能為力。這兩種想法都不利於防守。
本文寫給台灣企業的 IT 人員、資安人員與主管：說明 APT 是什麼、不是什麼，各國政府公告中反覆出現的手法，中型企業為什麼會成為目標或跳板，怎麼讀懂點名特定駭客組織的公告，以及該優先做的防護。
APT 是什麼，不是什麼
NIST 對進階持續性威脅（Advanced Persistent Threat，APT）的定義是：具備高度專業能力與大量資源的對手，運用網路、實體與欺敵等多種途徑，在組織的 IT 基礎設施中建立並擴大立足點，用來竊取資訊、破壞或阻礙組織的任務，或為日後做這些事預先布局；它會在很長一段時間內反覆追求目標、隨防守方的反應調整做法，並且有決心維持達成目標所需的互動[2]。換句話說，APT 有特定目標、被趕出去還會再回來，而且你補一個洞，它就換一條路。
這個定義沒有說 APT 一定是國家所為，但政府公告與資安業者點名的 APT 組織，多半被評估與特定國家有關。Microsoft 的威脅行為者命名就把「國家級行為者」和「以金錢為目的的行為者」分開，後者包括勒索軟體集團、商業郵件詐騙與網路釣魚[3]。被勒索軟體加密、被釣魚騙走帳密，多數是犯罪集團所為，不必一律冠上「國家級駭客」；勒索軟體的典型過程見勒索軟體攻擊鏈。
不過界線不一定清楚：MITRE ATT&CK 形容 APT41 是被評估為中國國家支持的間諜組織，同時也從事以金錢為目的的行動[4]；國安局 2024 年報告也指出，中共結合民間駭客協力組織，以勒索軟體等犯罪手法攻擊我國製造業者[5]。對企業來說，比「是不是 APT」更重要的問題是：攻擊者是否打算長期留在你的環境裡。這決定了你要回查多久的日誌、要不要假設帳密都已外洩，以及能不能只重灌一台主機就結案。
防守方要記住的四種手法
先拿下邊界設備
CISA、NSA、FBI 與多國機關在 2024 年 2 月針對 Volt Typhoon 發布的公告指出，這個組織通常利用路由器、VPN、防火牆等對外網路設備的已知或零時差漏洞取得初始存取，再透過 VPN 連進受害網路；公告點名常被利用的設備包括 Fortinet、Ivanti、NETGEAR、Citrix 與 Cisco[6]。2025 年 8 月，13 個國家共 23 個機關針對 Salt Typhoon 等相關活動發布聯合公告，列舉的初始存取漏洞涵蓋 Ivanti、Palo Alto Networks 與 Cisco 設備，其中還有編號早在 2018 年的 Cisco IOS 漏洞 CVE-2018-0171[7]。國安局 2025 年報告也指出，軟硬體漏洞攻擊占中共對我國網駭手法的五成以上，且鎖定未修補的關鍵基礎設施資通設備，藉此規避登入驗證、取得設備管理權限[1]。
設備被拿下之後也很難察覺。美日五個機關在 2023 年 9 月針對 BlackTech 的公告指出，這個組織會修改路由器韌體來隱藏活動，植入的後門可以繞過路由器原本的日誌功能[8]。完整的強化做法見VPN、防火牆與邊界設備的安全強化清單。
就地取材（LOTL）
就地取材（Living off the Land，LOTL；國安局譯為「離地攻擊」）是指濫用系統內建的工具，例如 PowerShell、WMIC、ntdsutil、netsh，讓惡意活動混在正常的系統管理行為之中。CISA 等十個機關在 2024 年 2 月的聯合指引中說明，這種手法有效，是因為許多組織沒有足以區分正常與惡意行為的基準線、這類活動缺乏傳統的入侵指標（IOC），預設的日誌設定也記錄不到足夠細節；CISA 的紅隊評估也經常靠就地取材取得不被察覺的持續存取，顯示攻擊者幾乎不需投資工具，就可能完全控制整個網域[9]。
Volt Typhoon 是典型例子。CISA 等機關形容就地取材是這個組織的招牌手法：他們依靠合法帳號與內建工具，避免留下會觸發告警的惡意程式；用 vssadmin 建立磁碟區陰影複製，取出存放 AD 帳號密碼雜湊的 NTDS.dit 檔案；用 PowerShell 查詢特定使用者與時段的事件日誌；並刻意刪除特定日誌來掩蓋行蹤[6]。國安局 2024 年報告同樣指出，中共網軍鎖定我國政府機關網通設備的漏洞，以離地攻擊手法躲避偵測[5]。只靠防毒軟體與 IOC 比對，很可能完全看不到這類入侵。
長期潛伏
CISA 等機關觀察到，Volt Typhoon 在部分受害者的 IT 環境中維持存取至少五年；取得帳號後，他們除了探查環境之外活動很少，並在多年間反覆回到同一個組織，例如可能曾在四年內從三台網域控制站取出 NTDS.dit，確保手上的帳密一直有效[6]。Salt Typhoon 相關公告也指出，這些行為者至少自 2021 年起就在全球活動，經常竄改路由器以維持長期存取[7]。潛伏時間以年計，日誌只保留幾個月的企業，事後即使收到通報，也可能已經查不到最初發生了什麼。
從供應商、電信業者與分支機構繞進來
Salt Typhoon 相關公告指出，這些行為者可能不論邊界設備屬於誰都會下手：即使單位本身不是其核心目標，設備仍可能成為通往目標的路徑；他們也利用電信業者之間、業者與客戶之間的互連關係轉進其他網路[7]。BlackTech 公告描述攻擊者先入侵美日企業的海外子公司，再從分支機構的路由器利用內部信任關係，轉進其他子公司與總部網路[8]。Volt Typhoon 則使用植入 KV Botnet 惡意程式、已停止支援的 Cisco 與 NETGEAR 小型辦公室／家用（SOHO）路由器作為中繼，隱藏指揮控制流量[6]。經由軟體廠商與 IT 服務商入侵的型態，見供應鏈攻擊。
為什麼中型企業也會被盯上
國安局 2025 年報告的統計涵蓋政府機關、能源、通訊傳播、交通、緊急救援與醫院、水資源、金融、科學園區與工業區、糧食等九大類關鍵基礎設施，並點名 BlackTech、Flax Typhoon、Mustang Panda、APT41 與 UNC3886 五個駭客組織[1]。要注意這是「侵擾」次數，不等於成功入侵的件數：國安局 2024 年報告依政府網際服務網的入侵偵測指標統計侵擾數時，就說明其中多數已被有效偵阻[5]。對中型企業更值得注意的，是報告描述的攻擊對象：
- 科技與製造：中共網軍除了鎖定科學園區，也入侵半導體與軍工企業上、中、下游的供應廠商（含設計、製造及測試），竊取技術、產業規劃與決策情報[1]。
- 電信與協力廠商：利用網通設備漏洞，意圖潛伏在通訊業者及其協力廠商的系統中[1]。
- 能源：密集探測能源業者的網路設備與工控系統，並企圖利用軟體更新時機植入惡意程式[1]。
- 資訊服務與國防供應鏈：駭侵國防供應鏈與資服業者，尤其側重電郵、公文系統、密碼產製及差勤系統等供應商[5]。
MITRE ATT&CK 也記錄 BlackTech 主要攻擊東亞（特別是台灣、日本與香港）與美國的組織，對象包括媒體、營建、工程、電子與金融業[4]；Volt Typhoon 公告則提到，部分受害者是資安能力有限、但為較大組織或重要地點提供關鍵服務的小型組織[6]。因此，中型企業可能扮演三種角色：
- 本身就是目標：製程、設計圖、客戶資料與報價，對對手有情報價值。
- 通往客戶的跳板：你是大廠、電信業者或政府機關的供應商或維運廠商，你連到客戶的 VPN 帳號與遠端管理工具，就是對方想要的入口。
- 攻擊別人的中繼站：沒修補或已停止支援的路由器與 VPN，可能被拿來轉送攻擊其他單位的流量，而你甚至不在受害名單上。
怎麼讀懂點名駭客組織的政府公告
同一群人，很多名字。 MITRE ATT&CK 說明，「組織」是資安社群以共同名稱追蹤的活動群集，不同單位常用不同名稱追蹤相似的活動，彼此的定義可能只部分重疊[4]。Microsoft 以天氣命名，「Typhoon（颱風）」代表來源或歸因為中國，例如它所稱的 Canary Typhoon，對照表列出的其他名稱就包括 BlackTech、Palmerworm 與 CIRCUIT PANDA[3]。Salt Typhoon 聯合公告則明白表示，相關活動與業界所稱的 Salt Typhoon、OPERATOR PANDA、RedMike、UNC5807、GhostEmperor 等部分重疊，發布機關不採用任何一家業者的命名，統稱為「APT 行為者」[7]。讀公告前，先用 MITRE ATT&CK 的組織頁面或業者對照表確認幾份報告講的是不是同一群人。
歸因是發布機關的判斷。 公告會用「評估」「高度信心」這類措辭，例如美國發布機關認為 Volt Typhoon 的目標與行為模式不符合傳統的網路間諜活動，並「以高度信心評估」該組織正在 IT 網路中預先布局，以便橫向移動到營運技術（OT）環境、破壞其功能[6]。引用時寫成「某某機關指出」，不要改寫成自己的斷言。企業通常不需要、也沒有足夠資料自行歸因，該花力氣的是確認公告裡的手法是否適用於自己的環境。
從公告裡拿出可以做事的資訊：
- 受影響的產品與 CVE：對照資產清冊，確認有沒有在用、有沒有修補，舊漏洞也要看。排序方法見修補優先順序怎麼排。
- 手法與 ATT&CK 技術編號：檢查自己的日誌與偵測規則是否看得到這些行為。
- 入侵指標：注意觀察期間。Salt Typhoon 聯合公告附的 IP 指標橫跨 2021 年 8 月到 2025 年 6 月，發布機關提醒部分可能已不再被使用，封鎖前應先查證[7]。比對方法見如何使用通報中的 IOC 比對自己的環境。
- 偵測建議：BlackTech 公告提醒，攻擊者要讓特定特徵碼失效非常容易，比較可靠的是監控網路設備未經授權的開機程式與韌體下載，以及異常的重新開機[8]。針對行為的偵測，通常比單一特徵碼耐用。
防護重點：五件事排優先
一、邊界設備：修補、收斂暴露面、不存放網域帳密
Volt Typhoon 公告建議依風險訂定時限修補對外系統，優先處理關鍵資產、已知遭利用漏洞，以及常被該組織利用的設備；不必要的系統與管理介面不要暴露在網際網路上，為超過原廠支援期的設備規劃汰換；也不要在邊界設備上存放帳密，並確認邊界設備上沒有可取得網域管理員權限的帳號[6]。Salt Typhoon 聯合公告則建議把設備管理服務放在專用的頻外管理網路、停用管理介面主動對外的連線、把日誌送到集中伺服器，並透過變更管理流程定期稽核設備設定[7]。
二、用日誌與基準線抓就地取材
LOTL 聯合指引列出的重點包括[9]：
- 開啟詳細日誌，包括命令列、PowerShell 與 WMI 活動，並集中到攻擊者碰不到、寫入後無法修改的位置。
- 為已安裝的工具、帳號行為與網路流量建立基準線，並持續維護。
- 只保留一小組核准的系統管理工具並詳細記錄，其他工具一律封鎖或告警；不要對 PsExec 這類工具開放過寬的例外。
- 描繪特權帳號的正常行為（用哪些工具、執行哪些指令、在哪些時段、連到哪些設備），AD 管理員至少要先改用專用的特權存取工作站。
可以從網域控制站開始：指引指出，在一般企業環境中，用 ntdsutil 建立 AD 資料庫快照通常不是例行作業，可以透過安全性事件 4688 或 Sysmon 事件 1 記錄的命令列察覺[9]。
三、身分與特權帳號
Volt Typhoon 公告建議導入抗釣魚 MFA、將一般帳號與特權帳號分開、大幅減少具特權的使用者並持續監控特權群組的成員異動，以及採用 AD 分層管理模型；公告也提到這個組織會鎖定 IT 人員的個人電子郵件帳號，建議提醒員工以強密碼與 MFA 保護個人信箱[6]。MFA 的選擇見多因素驗證導入指南。
四、網段隔離與連線盤點
Volt Typhoon 公告建議 OT 網路預設拒絕所有連線，IT 與 OT 之間必要的通訊要經過受嚴密監控的中介點，例如防火牆、跳板機或 DMZ[6]。BlackTech 公告提醒跨國企業檢視所有子公司的連線、驗證存取權限，並考慮採用零信任模型[8]。對台灣企業來說，海外廠、分公司、供應商與客戶之間的專線或 VPN，都應列入盤點。
五、日誌保存要長到能回溯潛伏期
LOTL 聯合指引建議延長日誌保存並加強威脅獵捕，以找出長期潛伏的攻擊者，也指出多數網路設備的本機儲存空間有限，集中保存才能留下較長的紀錄[9]。Salt Typhoon 聯合公告建議集中日誌伺服器保存不可竄改的日誌，保存期間要足以支援資安事件調查[7]。在台灣，2026 年 1 月修正的《資通安全責任等級分級辦法》附表十資通系統防護基準，要求公務機關與特定非公務機關訂定日誌留存政策，並保留日誌至少六個月[10]。這是法規下限，面對以年計的潛伏期並不夠；可以分層保存，近期日誌放在可快速查詢的平台，邊界設備、VPN、網域控制站與特權帳號的日誌另以成本較低的儲存保留更久。適用對象見台灣資通安全管理法。
行動清單
- 盤點所有對外設備，包括海外廠、分公司與小型據點的路由器與 VPN；已停止支援的設備排入汰換。
- 檢查邊界設備上是否存放網域帳密或具網域管理員權限的帳號，改為最小權限的專用帳號。
- 在網域控制站與重要伺服器開啟命令列與 PowerShell 日誌，連同邊界設備日誌集中到不可竄改的位置，並確認實際保存期間至少符合法規下限、關鍵日誌保存更久。
- 列出核准的系統管理工具，對網域控制站上執行 ntdsutil、vssadmin 等指令設定告警。
- 特權帳號與一般帳號分離、改用抗釣魚 MFA，並監控特權群組的成員異動。
- 盤點與子公司、供應商、客戶之間的專線與 VPN，關閉不必要的連線，必要的連線限制來源與服務。
- 每份點名特定組織的公告，指定專人整理受影響產品、手法與 IOC 並限期比對；可以訂閱通報，讓新公告直接送到負責人手上。
- 比對命中或發現異常時，依疑似遭入侵的前 24 小時啟動應變；需要外部協助可參考資安事件應變服務。