SSL VPN、防火牆、負載平衡器、路由器與遠端存取閘道是企業網路的大門：它們必須對網際網路開放、位在內外網交界，通常還整合了帳號驗證。這也讓它們成為攻擊者最想先拿下的目標。美國 CISA 與澳洲、加拿大、英國等國資安機關在 2025 年 2 月聯合發布邊界設備防護指引，指出外國攻擊者經常利用網路邊界設備的軟體漏洞，滲透關鍵基礎設施的網路與系統[1]。Verizon 2026 年資料外洩調查報告（DBIR）也指出，31% 的資料外洩始於軟體漏洞遭利用，已超過遭竊密碼，成為最常見的入侵起點[2]。

本文寫給管理邊界設備的網管、資安人員與 IT 主管，整理一份可以逐項檢查的強化清單。漏洞本身的判讀可以搭配零時差與 N-day 漏洞與修補優先順序怎麼排一起閱讀。

為什麼邊界設備特別危險

  • 任何人都連得到：邊界設備有公開 IP，可以從網際網路任何地方連線與掃描；又位在內外網之間負責轉送流量，攻擊者會投入大量資源嘗試繞過這道防線[3]。
  • 權限大、牽連廣：邊界設備通常能觸及整個網路，並與身分管理系統整合，一旦被控制，影響遠超過一台設備[4]。
  • 有大量被利用的前例：美國等多國機關整理 2023 年最常被利用的漏洞，名單中包括 Citrix NetScaler ADC／Gateway、Cisco IOS XE 與 Fortinet FortiOS SSL-VPN 等邊界設備漏洞；其中多數漏洞最初是以零時差的形式被利用[5]。同一份報告也指出，攻擊者在漏洞公開後兩年內利用最為成功[5]，代表沒修補的舊漏洞依然危險。
  • 難以確認是否乾淨：這類設備多為封閉系統，攻擊者可能覆寫檔案、竄改時間戳記來清除痕跡；在 Ivanti 的案例中，CISA 甚至確認廠商的完整性檢查工具未能偵測到入侵[6]。

一、收斂暴露面：管理介面不要對外

CISA 的約束性作業指令 BOD 23-02 要求美國聯邦機關，若路由器、交換器、防火牆、VPN 集線器、代理伺服器、負載平衡器，或 iLO、iDRAC 等伺服器頻外管理介面可以從網際網路直接存取，須在發現後 14 天內移除對外存取，或改由獨立於設備之外的零信任存取控制保護[7]。這雖然是對聯邦機關的要求，對企業同樣是很好的基準。加拿大網路安全中心（CCCS）也建議，網路設備的管理介面不應直接暴露於網際網路，管理作業應只從頻外管理網路進行[3]。

具體做法：

  • 從外部掃描公司所有公開 IP，確認 HTTPS、SSH、SNMP 等管理服務沒有對外開放。
  • 管理介面只綁定內部管理網段，或必須經由跳板機、零信任存取閘道才能連線。
  • 關閉不需要的服務與通訊埠，並更改所有預設帳號密碼[3]。
  • 限制 SSL VPN 設備主動對外連線，只允許必要的服務，降低攻擊者下載工具或連回中繼站的能力[6]。

二、修補節奏與情資來源

  • 建立設備清冊：品牌、型號、韌體版本、開放的服務、負責人與支援到期日，缺一不可。
  • 訂閱廠商 PSIRT 公告：主要網通廠商都有安全公告頁面與郵件通知，每一個在用品牌都要有人訂閱、有人看。國內可同時關注 TWCERT/CC 的漏洞警訊公告，其中也涵蓋防火牆與 VPN 等網通產品[8]。
  • 用 KEV 判斷急迫性：CISA 的已知遭利用漏洞（KEV）目錄是已確認在野外遭利用漏洞的權威清單，CISA 建議組織把它納入漏洞管理的優先順序判斷[9]。邊界設備的漏洞一旦列入，應視為緊急事項。分數之外的判讀方法見看懂 CVE、CVSS、EPSS 與 KEV。
  • 測試後盡快套用：CCCS 建議在測試後盡速套用安全修補，並建立排程或受監控的修補流程[3]。對已確認遭利用的邊界設備漏洞，修補時程應以天計算；暫時無法修補時，依廠商公告套用緩解措施，或暫時關閉受影響的功能。

三、強化驗證，並把日誌送到設備以外

VPN 與管理帳號都要 MFA

  • 所有 VPN 使用者與管理帳號都要啟用 MFA，管理存取應使用抗釣魚的 MFA[3]。各種 MFA 的強弱比較見多因素驗證導入指南。
  • 管理帳號集中驗證並依角色授權，避免多人共用同一組管理帳號[3]。
  • 設備上設定的服務帳號（例如連到 Active Directory 的 LDAP 綁定帳號）只給最小權限。發生事件時，CISA 建議假設設備上存放的使用者與服務帳號憑證都可能已外洩[6]。

日誌送到設備以外的地方

被入侵的設備，本機日誌既不可信，也可能被清除。CCCS 建議啟用集中、不存放在設備本機的日誌並採用詳細的日誌層級，對管理者登入、設定變更與硬體異動設定告警[3]。建議至少收集：VPN 登入成功與失敗（含來源 IP）、管理者登入、設定變更、韌體更新、設備重新開機，以及設備主動發起的對外連線。設備時間要與 NTP 同步，日誌保存期間要足以回溯數個月，事後才查得出漏洞公開前是否已有異常。

四、停止支援的設備：汰換，不是延後

停止支援（EOS）的設備不再收到安全更新，之後發現的漏洞將永遠存在。CISA 於 2026 年 2 月發布 BOD 26-02，指出已知有進階攻擊者大規模鎖定停止支援的邊界設備，要求聯邦機關在 12 個月內汰換清單上已停止支援的設備、18 個月內汰換所有已識別的停止支援邊界設備，並在 24 個月內建立持續盤點即將停止支援設備的流程[4]。CCCS 也建議維護設備清冊、定期檢視即將到期的支援日，在支援結束前汰換，或採取補償控制[3]。

企業可以這樣做：在設備清冊加上「支援終止日」欄位，提前一個預算年度編列汰換；無法如期汰換的設備，至少移除對外服務、加強監控，並列為管理階層已知悉的風險。

五、漏洞公開後：除了修補，還要確認是否早已被入侵

邊界設備的漏洞常在公開前就已遭利用，套用修補只能擋住之後的攻擊，不代表之前沒有被入侵。兩個值得記住的案例：

  • Fortinet 符號連結持久化：Fortinet 在 2025 年 4 月揭露，攻擊者利用已知的 FortiGate 漏洞入侵後，在 SSL-VPN 語言檔目錄建立符號連結，可以讀取包含設定在內的檔案；即使設備後來升級到已修補的版本，這個連結仍可能留存。Fortinet 建議升級到指定版本、檢視所有設備的設定，並把設定視為可能已外洩[10]。
  • Ivanti 完整性檢查失準：CISA 等機關在 2024 年 2 月指出，多起 Ivanti Connect Secure 事件中，廠商提供的完整性檢查工具未偵測到入侵；CISA 的實驗也顯示，攻擊者可能在恢復原廠設定與升級後仍保有 root 層級的持久化[6]。

因此，當你使用的設備型號出現「已遭利用」的公告時：

  1. 依廠商指示執行完整性檢查或入侵指標比對，但不要把「檢查通過」當成沒事[6]。
  2. 用外部日誌回溯漏洞公開前後的異常登入、設定變更與對外連線；入侵指標的用法見如何使用 IoC。
  3. 重設設備上存放或經手的帳密、憑證與服務帳號密碼[6]。
  4. 若發現入侵跡象，依事件發生後的第一個 24 小時的步驟處理，必要時以乾淨映像重建或更換設備。

行動清單

  • 建立邊界設備清冊（含韌體版本與支援到期日），每台指定負責人。
  • 從外部掃描公司 IP，關閉對外開放的管理介面與不必要的服務。
  • 訂閱所有在用品牌的 PSIRT 公告、TWCERT/CC 漏洞警訊，以及本站的通報訂閱。
  • 明訂：列入 KEV 或廠商標示「已遭利用」的邊界設備漏洞，以天為單位完成修補或緩解。
  • VPN 與管理帳號全面啟用 MFA，管理者優先改用抗釣魚 MFA。
  • 設定日誌送往外部系統，對管理者登入與設定變更告警。
  • 為已停止支援或一年內到期的設備編列汰換預算。
  • 預先寫好「設備漏洞遭利用」的處理程序：完整性檢查、日誌回溯、帳密重設與重建判斷，並定期對照資安通報中的最新案例演練。