每次收到漏洞通報，第一個要回答的其實不是 CVSS 幾分，而是：「我們有沒有用這個產品？用在哪幾台？有沒有開在網際網路上？」如果這三個問題要在群組裡問一輪、等兩三天才拼得出答案，修補競賽在起跑前就已經輸了。答不出來的原因通常不在技術，而是公司沒有一份可信、有人維護的資產清冊，也沒有人定期從外面看看公司到底暴露了什麼。

這篇寫給收到通報卻無法立刻判斷影響範圍的 IT 人員與主管：先說明盤點為什麼排第一、清冊該記哪些欄位，再說明攻擊者如何從外部找到你的系統、被遺忘的 DNS 紀錄如何變成別人的網站，以及台灣法規對盤點的要求，最後是讓清冊持續更新、並接上修補流程的做法。漏洞排序與修補時限，請搭配修補管理：漏洞修不完時，如何排出優先順序閱讀。

盤點為什麼排第一、清冊要記什麼

CIS Critical Security Controls v8.1 的前兩項控制，就是「企業資產盤點與控制」與「軟體資產盤點與控制」；其中建立資產清冊（1.1）、處理未經授權的資產（1.2）、建立軟體清冊（2.1）、確認軟體仍受原廠支援（2.2），都標示為 IG1、IG2、IG3 三個實作群組都適用的項目[1]。美國 CISA 的約束性營運指令 BOD 23-01 也寫明：持續且完整的資產可視性，是任何組織有效管理資安風險的基本前提[2]。道理很直接：不在清冊上的主機不會被掃描、不會被修補，被入侵了也沒人發現。

每項資產至少要記什麼

CIS 要求硬體資產清冊記錄每項資產的網路位址（固定 IP 時）、硬體位址、主機名稱、資產負責人、所屬部門，以及是否已核准連上公司網路；範圍包含以實體、虛擬、遠端方式連線的資產與雲端環境中的資產，連經常接入公司網路但不歸公司管理的設備也要列入[1]。軟體清冊則要記錄名稱、發行者、初次安裝或使用日期與業務用途，適當時再加上網址、應用程式商店、版本、部署方式、除役日期與授權數量[1]。

CIS 的欄位著重在「找得到這台機器」。要能在通報來時立刻回答問題，建議再補上：

  • 負責人與用途：系統負責人（不只是 IT 窗口），以及支援哪個業務流程。
  • 重要性：可借用《資通安全責任等級分級辦法》附表九的做法，依機密性、完整性、可用性與法律遵循性四個構面評為普、中、高，並以最高的構面定級[3]。
  • 版本與支援期限：作業系統、韌體與主要軟體的版本，以及原廠支援到期日。
  • 暴露程度與環境：能否從網際網路連線、屬於正式或測試環境。CISA 在 2026 年 6 月發布的 BOD 26-04，要求聯邦機關持續識別所有可從機關網路外部連到的資產，並為每一項標記所屬單位、環境（正式／開發）、暴露程度（公開／內部）與資產類型[4]。

多久要檢視一次

CIS v8.1 訂的頻率是：硬體與軟體清冊至少每半年檢視更新一次；未經授權的資產每週處理一次；主動式資產探索工具每天至少執行一次；清冊上的軟體至少每月確認一次是否仍受支援，未經授權的軟體也每月檢視一次[1]。半年一次是人工複核的下限；自動化比對則應該天天跑：把 AD、EDR、MDM、DHCP、雲端帳號與防火牆的資料匯出來和清冊比對，對不上的就是要追的對象。

外部攻擊面：從攻擊者的角度看自己

BOD 26-04 對「公開暴露」的定義是：機關擁有或管理的 IT 資源，可經由網際網路等公共網路被未經驗證或不受信任的對象存取，不論它實體或邏輯上位在哪裡[4]。最後半句是重點：放在雲端、交給廠商代管的，一樣算在你的攻擊面裡。對一般企業來說，外部攻擊面通常包括：

  • 公司公開 IP 上的主機與服務：VPN、郵件、網站、遠端桌面、設備管理介面。管理介面為什麼不該對外，見VPN、防火牆與邊界設備的安全強化清單。
  • 公司擁有的網域與所有子網域，包括指向外部服務的 DNS 紀錄。
  • 雲端資源：虛擬機、物件儲存、對外 API、容器服務，常由專案團隊自行開設。
  • 被遺忘的網站：測試機、舊版系統、活動網站、展覽報名頁、合作已結束的專案。
  • SaaS 租戶：Microsoft 365、Google Workspace、CRM、檔案分享服務的公司帳號與管理後台；設定基準見Microsoft 365 與 Google Workspace 安全基準。
  • 第三方代管的資產：委外開發後由廠商代管的系統、行銷公司架設的活動網站、掛在公司網域下的託管服務。

攻擊者怎麼找到你

下面三種來源都是公開的，攻擊者不必入侵任何系統，就能拼出一份你的外部清單：

  • DNS：從公司網域出發查詢 DNS 紀錄、猜測常見的子網域名稱。微軟在說明子網域接管時指出，攻擊者用一般可取得的方法與工具，就能找出指向已刪除資源的子網域[5]。
  • 憑證透明度（CT）日誌：憑證把網域名稱與公鑰綁在一起，而簽發的憑證會存入公開、只能附加的日誌，任何人都能查詢日誌收錄了哪些憑證、何時收錄；Chrome、Safari 等瀏覽器也協助強制執行 CT[6]。換句話說，只要替 test.example.com.tw 申請過公開憑證，這個名稱就查得到。crt.sh 就是一個公開的憑證搜尋網站[7]。
  • 網際網路搜尋引擎：Shodan 自述是網際網路連網裝置的搜尋引擎，會向直接連上網際網路的設備查詢公開資訊，資料主要來自服務回應的 banner，也就是設備上執行軟體的中繼資料，例如伺服器軟體與支援的選項[8]。Shodan 舉的使用情境之一，就是新漏洞出現時，想知道它可能影響多少主機[8]。

自己先看一遍，並訂出節奏

Shodan 把「掌握公司所有面向網際網路的設備」列為用途之一[8]，防守方完全可以用同樣的方法先看自己：

  1. 列出公司名下所有網域（含子公司、品牌與活動用網域）、網域註冊商與 DNS 代管帳號，匯出每個網域的 DNS 紀錄。
  2. 在 CT 日誌搜尋自家網域，找出清冊上沒有的主機名稱；再訂閱 CT 監控服務，日後有人替你的網域申請憑證就會收到通知[6]。
  3. 用網際網路搜尋引擎查詢自家的 IP 範圍與網域，看看外界看到哪些服務與版本。
  4. 從外部對自己的公開 IP 做連接埠與服務掃描，只掃自己擁有或取得授權的範圍，結果與清冊比對。
  5. 每一筆對不上的項目都要找到負責人，決定補登清冊、關閉，或移回內部。

多久做一次？BOD 23-01 於 2022 年 10 月 3 日發布，要求美國聯邦民政機關在 2023 年 4 月 3 日前做到：每 7 天執行一次自動化資產探索，範圍至少涵蓋機關使用的整個 IPv4 位址空間；每 14 天對所有探索到的資產（包括筆電等經常移動的設備）啟動一次弱點列舉，並盡可能使用具權限的帳密掃描[2]。2026 年 6 月發布的 BOD 26-04，仍把依 BOD 23-01 列舉出漏洞的時間，作為修補時限的起算點之一[4]。這兩份指令只約束美國聯邦民政機關，對台灣企業沒有拘束力，但「每週探索一次資產、每兩週掃一次弱點」是很實用的參考節奏。掃描與滲透測試該怎麼選、怎麼發包，見弱點掃描、滲透測試、紅隊演練。

懸置 DNS 與子網域接管

外部盤點最常挖出的問題之一，是指向已不存在資源的 DNS 紀錄。微軟的說明很具體：你在 Azure 開了一個網站資源，取得 app-contogreat-dev-001.azurewebsites.net 這類網址，再在公司 DNS 加一筆 CNAME，把 greatapp.contoso.com 指過去；專案結束後資源刪了，CNAME 卻沒刪，這筆紀錄就成了「懸置 DNS」（dangling DNS）[5]。攻擊者找到它之後，只要在自己的訂閱開一個同名資源，送往你子網域的流量就會進到他控制的網站；CNAME 紀錄特別容易出現這個問題[5]。

微軟列出的後果包括[5]：

  • 失去子網域內容的控制權：被拿來放惡意內容，傷害品牌與信任。
  • 竊取 Cookie：許多網站把工作階段 Cookie 開放給所有子網域，攻擊者可以在接管的子網域架設逼真頁面收集 Cookie。攻擊者也能替被接管的子網域申請到有效的 SSL 憑證，所以「有憑證」不代表網站是你的。
  • 釣魚：用看似正牌的子網域發動釣魚；若懸置的是 MX 紀錄，攻擊者還可能收到寄往該子網域的郵件。
  • 衍生攻擊：進一步發展成 XSS、CSRF、繞過 CORS 等攻擊。

微軟建議的做法[5]：

  • 在服務下架的檢查表中加入「移除 DNS 紀錄」；對有自訂網域的資源加上刪除鎖，提醒必須先移除對應的 DNS 紀錄，才能刪除資源。
  • 定期檢查 DNS 紀錄，確認每個子網域指向的資源都還存在，而且是你的。
  • 維護一份對外網址與應用程式負責人的服務目錄，定期從雲端平台匯出資源的網址資訊。
  • 使用平台的網域驗證機制：例如 Azure App Service 的 asuid TXT 紀錄，可讓其他訂閱無法驗證並接管你的自訂網域；Azure DNS 的別名紀錄則把 DNS 紀錄與資源的生命週期綁在一起，資源刪除後紀錄就不再指向它，但只支援少數幾種服務。
  • 發現懸置紀錄時，刪除它或改指向自己的資源，調查是否已被利用，並追查下架時為什麼沒有刪除。

微軟的文件以 Azure 為例，但任何「把自訂網域指向雲端或託管服務」的情境，都值得用同樣的方式檢查一遍。

台灣法規怎麼要求盤點

資通安全管理法：維護計畫要含資通系統盤點

《資通安全管理法施行細則》2026 年 1 月 5 日修正後，第 9 條規定公務機關與特定非公務機關依資安法訂定的資通安全維護計畫，應包括「資通系統之盤點，並標示核心資通系統及相關資產」[9]。哪些企業屬於特定非公務機關，見資通安全管理法重點整理。

《資通安全責任等級分級辦法》2026 年 1 月 7 日修正後，第 11 條要求公務機關與特定非公務機關，對自行或委外開發的資通系統依附表九完成資通系統分級，並依附表十的防護基準執行控制措施[3]。A、B、C 級的應辦事項（附表一至附表六，公務機關與特定非公務機關各一張）進一步要求：完成分級與控制措施後，每年至少檢視一次分級與防護基準是否妥適[3]。期限是 A、B 級在初次核定或等級變更後一年內完成，C 級一年內完成分級、兩年內完成控制措施；資通系統新增或分級變更時也要重新辦理[3]。這六張附表同時把「資通安全弱點管理」定義為結合資訊資產管理與弱點管理，協助落實資產盤點與風險評估[3]。D 級（附表七）與 E 級（附表八）的應辦事項，則沒有列出這一項的期限與年度檢視[3]。

證交所《上市上櫃公司資通安全管控指引》

證交所在 2026 年 11 月修正這份指引，修正條文對照表的日期為 115 年 11 月 9 日[10]。新版中與盤點有關的條文：

  • 第十一條：「定期盤點資通系統，並建立核心系統資訊資產清冊，以鑑別其資訊資產價值。」本次未修正[11]。
  • 第十六條（新增）：鑑別資通系統使用的第三方軟體、服務、函式庫或其他元件，並宜在契約中要求供應商主動通報安全性漏洞、於時限內提供修補[10]。
  • 第十七條：核心資通系統要辦理弱點掃描、滲透測試等檢測並完成修補；新版增列對外服務資通系統，建議依風險評估結果選擇適當的檢測項目[10]。
  • 第二十九條：訂定資通設備回收再使用及汰除的安全控制作業程序，確保機敏性資料確實刪除；此條即舊版第二十八條，本次只調整條次[10]。

依第四十四條，除法令與證交所、櫃買中心章則另有規定外，公司可依產業特性、規模與資安風險適度採行[10]。不過「答不出自己有哪些系統」，在任何稽核中都很難說明。

讓清冊活下去：流程與修補串接

誰負責、放在哪裡

清冊需要一位總負責人（通常是資訊部門）維護格式、完整性與比對流程，但每一筆資產的負責人應該是使用它的業務系統負責人，資訊部門無法替業務單位回答「這台還要不要」。清冊放在 CMDB 或一份共用試算表都可以，重點是只有一份、可以匯出，並納入網域註冊商、DNS 代管、雲端訂閱與 SaaS 管理帳號這類「不是主機」的資產。

新資產怎麼進來

  • 採購：請購單要填負責人、用途、是否對外；驗收前先登錄清冊。
  • 雲端：開帳號、訂閱或專案都經過 IT，並定期用雲端平台的 API 匯出資源清單比對。
  • 網域與網站：網域註冊與 DNS 變更由單一窗口處理；行銷活動網站上線前先登記，並訂好結束日期。
  • 委外：請廠商說明系統使用了哪些第三方軟體與元件，並在合約中要求主動通報漏洞、限期修補，這正是管控指引第十六條的方向[10]；更多供應鏈風險見供應鏈攻擊。

資產怎麼退場

  • 先 DNS，後資源：先移除 DNS 紀錄，再刪除雲端資源[5]；對外的防火牆規則與 NAT 對應也一併收回。
  • 收回存取：停用服務帳號與 API 金鑰，撤銷不再使用的憑證。
  • 更新清冊：狀態改為已除役並記錄日期，CIS 的軟體清冊也有除役日期欄位[1]。
  • 清除資料：設備報廢或回收前依程序刪除機敏資料，對應管控指引第二十九條[10]。

接上通報與修補

CISA 稱 KEV 目錄是在野外遭利用漏洞的權威來源，建議組織把它當作漏洞管理優先順序的輸入；每一筆都列出廠商或專案與產品名稱，並提供 CSV 與 JSON 格式下載[12]。清冊裡如果有一致的廠商、產品與版本欄位，就能每天自動比對 KEV 新增項目，命中對外系統時直接進入最高優先等級，分級與時限見修補優先順序，各種分數的意義見看懂 CVE、CVSS、EPSS 與 KEV。同樣的比對也適用於本站的資安通報。清冊也是弱點掃描與資安健診的範圍依據：沒有清冊，就只能掃「記得的」那幾台。若內部人力不足以做第一次外部盤點，可以考慮弱點評估服務。

建議每月向主管報告幾個指標：探索到的資產中已登錄清冊的比例、對外資產中沒有負責人的數量、仍在使用的不受支援軟體數量，以及發現與清除的懸置 DNS 紀錄數量。

行動清單

  • 本週列出公司所有網域、網域註冊商、DNS 代管與雲端帳號，替每一個指定負責人。
  • 在 CT 日誌與網際網路搜尋引擎查詢自家網域與 IP，找出清冊上沒有的主機，逐一找到負責人。
  • 檢查所有指向外部服務的 CNAME 與 MX 紀錄，刪除或修正指向已不存在資源的紀錄。
  • 在清冊補上負責人、用途、重要性、版本、支援到期日、是否對外、正式或測試等欄位。
  • 把「先移除 DNS 紀錄，再刪除資源」寫進系統下架檢查表。
  • 規定採購、開雲端帳號、註冊網域與架設活動網站都要先登錄清冊。
  • 訂出節奏：自動探索每天或每週、外部弱點掃描至少每兩週、清冊人工複核至少每半年。
  • 每天用 KEV 與資安通報比對清冊，並訂閱通報；命中對外系統時依修補分級處理。
  • 資安法納管機關確認資通系統分級與每年檢視的紀錄；上市櫃公司對照管控指引第十一、十六、十七與二十九條。