半夜的監控告警顯示伺服器連往陌生 IP、EDR 攔到可疑程式，或是合作廠商來電說你們的網域出現在惡意清單上。這時最常見的直覺反應是「趕快重灌」或「全部改密碼」，但這兩個動作往往會毀掉判斷事件範圍所需的證據，或讓仍在網路裡的攻擊者察覺、換一條路繼續。本文整理發現疑似入侵後前 24 小時的優先順序，寫給第一線 IT 人員，也寫給要在半夜決定「要不要停機」的主管；最好在事件發生前就一起讀過，改寫成公司自己的程序。

架構參考美國 NIST 在 2025 年 4 月發布的 SP 800-61 Rev. 3。它取代 2012 年的 Rev. 2，改以 CSF 2.0 的六大功能（治理、識別、保護、偵測、回應、復原）描述事件應變：偵測、回應與復原是事件應變本身，前三項則是平時的準備[1]。實務步驟另參考 CISA 與澳洲、加拿大、紐西蘭、英國資安機關的聯合指引[2]，以及 CISA 的勒索軟體應變檢核表[3]。真實案例可以在資安事件中查閱。

第一步：確認事件、指定負責人、改用頻外通訊

先確認是不是真的事件

告警不等於入侵。先回答三個問題：看到了什麼（哪台主機、哪個帳號、什麼行為）、最早從什麼時候開始、現在是否還在進行。判斷範圍時不要只看出事的那一台；NIST 建議在已知受影響的資產與其他可能的目標上一起尋找入侵指標（IOC）與常駐跡象，草率帶過容易低估事件規模[1]。如果線索來自通報中的 IOC，比對方法見如何使用通報中的 IOC 比對自己的環境。

指定負責人與小組

指定一位事件負責人，統一做決策、分派工作、對內對外說明。NIST 列出的應變角色除了技術處理人員，還包括有權決定停掉或重建關鍵服務的高層主管、法務、公關、人資、實體安全與系統擁有者[1]。小公司不必每個角色都有專人，但每個角色都要有人負責，而且要事先講清楚誰有權拍板停機。

改用頻外（out-of-band）通訊

假設攻擊者看得到你的公司郵件與內部通訊軟體。CISA 等機關建議所有應變溝通都改在頻外進行[2]，例如電話，或事先準備、不依賴公司網域的帳號與群組。協調隔離時也要用電話等頻外方式，避免打草驚蛇[3]。

什麼時候找外部支援

出現下列情況時，就該考慮請外部事件應變團隊：內部沒有人做過記憶體鑑識或 AD 調查、有跡象顯示攻擊者取得網域管理員權限或已橫向移動到多台主機、涉及勒索或資料外洩而需要對外說明，或事件規模超過內部人力能輪班撐住的程度。CISA 等機關建議考慮第三方應變支援，以確保徹底根除、避免再次遭入侵[2]。NIST 也指出許多組織自行處理基本應變，再針對特定事件引入外部資源，雙方的權責、資訊流與授權範圍應事先寫進合約[1]。若有投保資安保險，也要先確認保單是否指定應變廠商或通知時限。需要協助可以聯絡我們。

保全證據：先蒐集，再處置

CISA 等機關把「在應變人員保全資料之前就先處理受影響系統」列為常見錯誤，因為這會毀掉記憶體等揮發性資料，攻擊者也可能因此改變手法[2]。即使不打算提告，NIST 也指出蒐集到的事件資料仍應視為證據，並保護其完整性與來源[1]。

  • 先不要重灌或還原：重灌會一併抹掉入侵途徑與常駐機制的線索。重灌屬於根除階段，不是第一步。
  • 擷取揮發性資料：對部分受影響主機做記憶體擷取與系統映像[3]，並保存執行中的處理程序、網路連線與事件日誌[2]。
  • 保全日誌：防火牆、VPN、Proxy、DNS、AD 與雲端稽核日誌多半有輪替週期，先匯出備份，避免調查期間被覆寫。CISA 等機關建議日誌至少保留一年[2]；如果你的環境只留幾天，這次事件之後就要補上。
  • 記錄時間軸：從第一分鐘起記下誰在何時做了什麼、看到什麼，並注意各系統的時區與時鐘是否一致。NIST 建議記錄調查過程中的行動並保護紀錄的完整性，再據此重建事件發生的順序與牽涉的資產[1]。

隔離：拔網路還是關機？

隔離的目的是阻止擴散，但做法會影響後續調查能不能做下去。

  • 斷網優先：從交換器停用連接埠、用 EDR 的網路隔離功能，或把主機移到隔離網段。主機保持開機，記憶體中的證據就得以保留。多台主機或多個網段受影響時，CISA 建議在交換器層級讓網路離線[3]。
  • 關機是最後手段：關機會讓記憶體中的證據消失，CISA 建議只在無法斷網時才關機[3]。例外是檔案正在被大量加密而又無法立刻斷網，此時保護資料優先。
  • 一次到位：分批、零星地隔離，等於提醒攻擊者趕快轉移陣地。盤點好範圍後，協調好再同時執行[3]。
  • 別碰攻擊者的基礎設施：不要自己 ping、nslookup 或用瀏覽器打開攻擊者的 IP 與網域，這可能讓對方知道你已發現；也不要急著只封鎖單一 IP，攻擊者更換基礎設施的成本很低，你反而失去觀察的機會[2]。

NIST 提醒每種應變策略都有取捨：為了徹底調查而多觀察攻擊者，和盡快恢復營運之間常有衝突[1]。若攻擊者正在加密或外傳資料，止血優先；若只是發現可疑跡象，先蒐證、盤點範圍再一次處置通常較好。這個判斷應由事件負責人做出，並記錄理由。

帳號與密碼：重設的時機與順序

CISA 等機關指出，攻擊者通常握有不只一組帳密，提早或零散地重設密碼，只會讓對方改用其他帳號、建立新帳號或偽造票證[2]。比較穩妥的順序是：

  1. 先釐清攻擊者用過哪些帳號、是否拿到網域或雲端管理員權限。需要避免驚動對方時，可以先暫時降低受影響帳號的權限，再做針對性的重設[2]。
  2. 收緊遠端入口。入侵常伴隨大量帳密外洩，CISA 的檢核表建議停用 VPN、遠端存取伺服器與單一登入等資源[3]，至少也要限縮到必要人員。
  3. 環境清除並重建後，對所有受影響系統統一重設密碼[3]：從網域管理員、雲端管理員與服務帳號開始，再到一般使用者，並在乾淨的管理裝置上操作。
  4. 若 AD 網域已遭入侵，KRBTGT 帳號的密碼要重設兩次，因為它保留兩組密碼歷史；兩次之間要等複寫完成，CISA 建議至少間隔 10 小時[4]。
  5. 雲端與 SaaS 服務要撤銷既有工作階段與權杖，並檢查新註冊的 MFA 裝置與第三方應用程式授權，相關設定見多因素驗證（MFA）。

誰需要知道：台灣的通報管道

以下是一般性整理，不是法律意見；實際義務請與法務或律師確認。NIST 也建議依所屬產業、營運所在地與客戶所在地的現行法規辦理通知，因為這類規定經常變動[1]。

資安法納管的機關

《資通安全管理法》所稱特定非公務機關，是指關鍵基礎設施提供者、公營事業、特定財團法人，以及受政府控制的事業、團體或機構[5]。依《資通安全事件通報應變及演練辦法》，特定非公務機關知悉資通安全事件後，應於一小時內依中央目的事業主管機關指定的方式通報[6]。詳細說明見資通安全管理法。

一般企業

不在資安法範圍內的一般企業，可以透過 TWCERT/CC 的「一般資安通報」線上表單，或寄信至 int_report@cert.org.tw 通報事件[7]。

上市櫃公司

若事件可能對營運或財務造成重大影響，上市櫃公司還要評估是否須發布重大訊息，判斷標準見資安事件與重大訊息揭露。應變小組要盡早讓財務主管與發言人掌握事實。

涉及個人資料

現行《個人資料保護法》第 12 條規定，個人資料被竊取、洩漏、竄改或受其他侵害時，應查明後以適當方式通知當事人[8]。2025 年 11 月修正的條文改為知悉時即應通知當事人；符合一定通報範圍時，非公務機關還要向主管機關個人資料保護委員會通報。不過這批修正的施行日期由行政院定之，截至本文撰寫時，全國法規資料庫標示的最後生效日期仍為「未定」[9]。部分產業的目的事業主管機關也可能另有通報規定，請一併確認。

客戶、合作夥伴與執法機關

NIST 建議依法規與合約通知受影響的第三方，並依應變計畫與管理層核准，決定是否通知執法與監理機關[1]。

常見錯誤

  • 第一時間重灌或還原，沒有留下記憶體與日誌[2]。
  • 在可能已遭入侵的公司郵件或通訊軟體裡討論應變細節[2]。
  • 自己連線、查詢攻擊者的 IP 與網域[2]。
  • 只封鎖一個 IP 就宣告結束，沒有找出惡意程式與入侵途徑，攻擊者仍保有存取[2]。
  • 零散地重設密碼，讓攻擊者察覺並改用其他帳號[2]。
  • 從未經檢查的備份直接還原；NIST 建議還原前先檢查備份是否含有 IOC 或已損毀[1]。延伸閱讀：3-2-1 備份原則。
  • 沒有留下紀錄，事後無法交代時間軸與決策依據。

行動清單

  1. 記下發現時間、發現者與看到的現象，開始寫時間軸。
  2. 指定事件負責人，建立頻外通訊群組（電話，或不依賴公司網域的帳號）。
  3. 匯出並備份防火牆、VPN、Proxy、DNS、AD 與雲端稽核日誌，暫停會覆寫日誌的輪替設定。
  4. 對受影響主機先擷取記憶體與系統映像，再隔離；斷網優先，無法斷網才關機。
  5. 不要重灌、不要從未經檢查的備份還原、不要自己連線攻擊者的 IP 或網域。
  6. 盤點攻擊者用過的帳號與權限；清除與重建後，依特權帳號、服務帳號、一般使用者的順序重設密碼，AD 遭入侵時 KRBTGT 重設兩次。
  7. 與法務確認通報對象與時限：資安法主管機關、TWCERT/CC、重大訊息、個資當事人、客戶合約與保險公司。
  8. 評估是否需要外部應變支援，必要時聯絡我們或你的應變廠商。
  9. 事件告一段落後檢討流程，把這次缺少的日誌、聯絡人與權限補起來，並訂閱通報掌握相關威脅。