雲端運算技術在過去十年間徹底改變了企業的 IT 架構，從傳統的地端機房轉移到靈活的雲端平台，帶來了前所未有的擴展性、成本效益與創新能力。然而，這個轉變也引入了全新的安全挑戰。雲端環境的動態特性、多租戶架構、分散式資源、複雜的權限管理，以及傳統安全邊界的消失，都使得安全防護變得更加困難。攻擊者也迅速適應了這個變化，開發出針對雲端環境的專門攻擊手法。
根據近年的資安事件統計，超過 80% 的雲端安全事故源自於配置錯誤、憑證洩露或未修補的弱點，而非雲端平台本身的漏洞。這凸顯了一個重要事實：雲端安全主要是使用者的責任，而非雲端服務供應商的責任。在共同責任模型下，雲端供應商負責雲端基礎設施的安全，而企業則負責其在雲端上部署的應用程式、資料與使用者存取的安全。這需要企業建立全面的安全策略，涵蓋技術控制、流程管理、人員訓練等多個層面。
本文將深入剖析雲端安全防禦的各個關鍵領域，從最基礎的遠端連線安全開始，逐步探討社群工程防禦、供應鏈安全管理、滲透測試與弱點管理、特權存取控制等主題。我們不僅會討論每個領域面臨的威脅與挑戰，更會提供具體的技術實作方法、最佳實踐建議，以及可直接應用的程式碼範例。透過這些內容，讀者將能夠建立起全方位的雲端安全防禦能力，有效保護企業的雲端資產。
遠端連線安全架構的深度防護策略
在雲端環境中,遠端連線是管理和維護資源的必要功能。無論是系統管理員需要存取虛擬機器進行配置調整，開發人員需要部署應用程式，還是運維人員需要排查問題，都離不開遠端連線。然而，遠端連線也是攻擊者最常利用的入口點之一。每天有數百萬次的自動化掃描在網際網路上尋找暴露的遠端服務，一旦發現就會進行暴力破解或漏洞利用嘗試。
傳統的遠端連線協定，包括 Windows 的遠端桌面協定（Remote Desktop Protocol, RDP）、Unix/Linux 系統的安全殼層（Secure Shell, SSH），以及跨平台的虛擬網路運算（Virtual Network Computing, VNC），雖然提供了便利的遠端存取功能，但在安全性方面都存在各自的問題。這些協定大多設計於二十年前，當時的安全威脅環境與現在有著天壤之別。雖然這些協定經過多次更新和改進，但某些設計上的固有限制仍然難以克服。
遠端桌面協定的安全隱患與緩解措施
遠端桌面協定是 Windows 系統內建的遠端存取解決方案，因其易於使用和功能完整而被廣泛採用。RDP 允許使用者透過網路完全控制遠端的 Windows 系統，就像坐在實體電腦前一樣。然而，RDP 的安全紀錄並不理想。從 2019 年的 BlueKeep 漏洞（CVE-2019-0708）到 2022 年的 MSDT 漏洞，RDP 及其相關元件持續被發現嚴重的安全弱點。
BlueKeep 漏洞是一個遠端程式碼執行漏洞，攻擊者無需任何憑證就可以在未修補的系統上執行任意程式碼。這個漏洞的嚴重性堪比當年的 WannaCry 勒索軟體所利用的 EternalBlue 漏洞。更令人擔憂的是，即使 Microsoft 釋出了修補程式並發出緊急安全公告，仍有大量系統因為各種原因未能及時更新，成為潛在的攻擊目標。在雲端環境中，這個問題尤其嚴重，因為許多企業將 RDP 埠直接暴露在網際網路上以便遠端管理。
即使沒有可利用的漏洞，將 RDP 暴露在網際網路上仍然極其危險。攻擊者使用自動化工具持續掃描整個 IPv4 位址空間，尋找開放的 3389 埠（RDP 的預設埠）。一旦發現開放的 RDP 服務，就會嘗試使用常見的使用者名稱和密碼組合進行暴力破解。雖然 Windows 有帳戶鎖定機制來防止暴力破解，但攻擊者會使用緩慢的攻擊節奏來避免觸發鎖定，或者針對多個帳戶進行分散式攻擊。一旦成功入侵，攻擊者就獲得了對系統的完全控制權，可以安裝惡意軟體、竊取資料、建立持久性後門，甚至橫向移動到網路中的其他系統。
緩解 RDP 安全風險的策略包含多個層面。首要的原則是絕不將 RDP 直接暴露在網際網路上。如果需要遠端存取，應該透過 VPN 或堡壘主機建立安全通道。堡壘主機（Bastion Host）是一個專門設計和強化的伺服器，作為網路的唯一入口點。使用者先連線到堡壘主機，然後從堡壘主機再連線到內部資源。這種架構集中了存取控制點，簡化了監控和審計。
在雲端環境中，許多雲端服務供應商提供了原生的堡壘服務。例如 AWS 的 Systems Manager Session Manager、Azure 的 Bastion 服務，以及 Google Cloud 的 Identity-Aware Proxy。這些服務提供了安全的瀏覽器型遠端存取，不需要開放任何入站埠，大幅降低了攻擊面。此外，所有連線都經過記錄和審計，符合合規要求。
對於必須使用 RDP 的場景，應該實施以下強化措施。啟用網路層級驗證（Network Level Authentication, NLA），這要求使用者在建立 RDP 會話之前就必須驗證身份，防止了某些類型的攻擊。使用強密碼或更好的是憑證式驗證，完全禁用密碼驗證。配置帳戶鎖定策略以防止暴力破解，但要注意設定合理的閾值以避免阻斷服務攻擊導致合法使用者被鎖定。限制允許透過 RDP 連線的使用者帳戶，只授予必要的人員存取權限。更改預設的 3389 埠到非標準埠，雖然這是「隱蔽性安全」的做法，但確實可以減少自動化掃描的發現機率。使用防火牆規則限制來源 IP 位址，只允許已知的安全位置連線。啟用 RDP 加密並使用最新的加密演算法，確保傳輸的資料不會被竊聽。
SSH 協定的深度安全強化
安全殼層協定是 Unix 和 Linux 系統的標準遠端存取方式，近年來也被整合到 Windows 系統中。SSH 從設計之初就考慮了安全性，提供了強大的加密和靈活的驗證機制。然而，SSH 的安全性高度依賴於正確的配置。預設的 SSH 設定往往偏向於相容性而非安全性，留下了許多可被利用的弱點。
SSH 的安全配置涉及多個層面，包括協定版本、加密演算法、驗證方式、存取控制、連線管理等。SSH 協定有兩個版本，版本 1 存在已知的安全漏洞，應該完全禁用。所有的 SSH 伺服器都應該配置為只接受協定版本 2。然而，即使是 SSH 2，不同的加密演算法在安全性上也有很大差異。一些較舊的演算法如 3DES、RC4 已經被證明不夠安全，應該從配置中移除。
以下是一個完整的 SSH 安全強化配置管理系統實作，這個系統不僅能夠審計當前的 SSH 配置，還能自動生成符合安全基準的強化配置：
#!/usr/bin/env python3
# -*- coding: utf-8 -*-
"""
SSH 安全強化配置管理系統
=========================
此模組提供完整的 SSH 伺服器配置審計、安全評估與強化建議功能。
基於 CIS（Center for Internet Security）基準和 NIST 指南建立安全基準線。
主要功能：
1. 解析並分析現有的 sshd_config 配置
2. 對照安全基準線識別不合規項目
3. 生成詳細的審計報告與風險評分
4. 提供具體的改善建議與優先順序
5. 自動生成強化後的配置檔案
作者：玄貓（BlackCat）
版本：1.0.0
"""
import os
import re
import logging
from typing import Dict, List, Tuple, Optional, Set
from dataclasses import dataclass, field
from datetime import datetime
from enum import Enum
from pathlib import Path
# ============================================================
# 日誌配置
# ============================================================
logging.basicConfig(
level=logging.INFO,
format='%(asctime)s - %(name)s - %(levelname)s - %(message)s',
datefmt='%Y-%m-%d %H:%M:%S'
)
logger = logging.getLogger(__name__)
class SecurityLevel(Enum):
"""
安全等級列舉
定義配置項目的安全重要性等級，用於風險評估和優先排序
"""
CRITICAL = "critical" # 危急：必須立即修復，直接影響系統安全
HIGH = "high" # 高：強烈建議修復，存在重大風險
MEDIUM = "medium" # 中：建議修復，可能被利用
LOW = "low" # 低：可選修復，影響較小
@dataclass
class SSHConfigItem:
"""
SSH 配置項目資料類別
儲存單一配置指令的完整資訊，包括當前值、建議值、
安全等級與說明。用於審計報告的生成。
屬性：
directive: 配置指令名稱（如 PermitRootLogin）
current_value: 當前配置值
recommended_value: 基準建議值
security_level: 安全重要性等級
description: 詳細說明與風險描述
compliant: 是否符合安全基準
"""
directive: str
current_value: Optional[str]
recommended_value: str
security_level: SecurityLevel
description: str
compliant: bool = False
@dataclass
class SSHAuditReport:
"""
SSH 審計報告資料類別
封裝完整的配置審計結果，包括統計資訊、
發現的問題與改善建議。
屬性：
audit_time: 審計執行時間
config_file: 被審計的配置檔案路徑
total_items: 總檢查項目數
compliant_items: 符合基準的項目數
findings: 不合規項目詳細列表
score: 安全評分（0-100）
recommendations: 改善建議列表
"""
audit_time: datetime
config_file: str
total_items: int
compliant_items: int
findings: List[SSHConfigItem]
score: float
recommendations: List[str]
class SSHSecurityHardener:
"""
SSH 安全強化器主類別
提供 SSH 伺服器配置的全方位安全管理功能，包括：
- 配置檔案解析與驗證
- 安全基準線定義與維護
- 配置審計與風險評估
- 強化配置生成與部署建議
- 金鑰檔案權限檢查
此類別實現了完整的 SSH 安全管理工作流程，
協助系統管理員快速識別並修復安全問題。
"""
def __init__(self, config_path: str = "/etc/ssh/sshd_config"):
"""
初始化 SSH 安全強化器
載入安全基準線定義，準備審計環境。
基準線基於以下標準制定：
- CIS Benchmark for SSH
- NIST SP 800-53 存取控制要求
- DISA STIG SSH 安全技術指南
參數：
config_path: SSH 伺服器配置檔案路徑
預設為 /etc/ssh/sshd_config
"""
self.config_path = config_path
self.current_config: Dict[str, str] = {}
# ========================================================
# 安全基準線定義
# ========================================================
# 此字典定義了所有關鍵 SSH 配置項目的安全基準值
# 每個項目包含建議值、安全等級與詳細說明
self.security_baseline = {
# ====================================================
# 協定與加密設定
# ====================================================
"Protocol": {
"value": "2",
"level": SecurityLevel.CRITICAL,
"description": (
"僅使用 SSH 協定版本 2。協定版本 1 存在已知的"
"安全漏洞，包括中間人攻擊和密鑰復原攻擊，"
"必須完全禁用。此為 CIS 基準強制要求。"
)
},
"Ciphers": {
"value": "chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr",
"level": SecurityLevel.HIGH,
"description": (
"僅使用強加密演算法。ChaCha20-Poly1305 和 AES-GCM "
"提供認證加密（AEAD），AES-CTR 模式避免了 CBC "
"模式的弱點。禁用 3DES、Blowfish、RC4 等弱演算法。"
)
},
"MACs": {
"value": "hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256",
"level": SecurityLevel.HIGH,
"description": (
"僅使用強訊息驗證碼（MAC）演算法。ETM "
"（encrypt-then-mac）變體提供更好的安全性，"
"可防止某些類型的攻擊。SHA-2 系列演算法強度足夠。"
)
},
"KexAlgorithms": {
"value": "curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256",
"level": SecurityLevel.HIGH,
"description": (
"僅使用安全的金鑰交換演算法。Curve25519 提供 "
"128 位元安全強度且效能優異。DH group exchange "
"允許使用更大的質數群組。禁用 1024 位元 DH 群組。"
)
},
# ====================================================
# 身份驗證設定
# ====================================================
"PermitRootLogin": {
"value": "no",
"level": SecurityLevel.CRITICAL,
"description": (
"禁止 root 帳戶直接登入。此為最重要的安全設定之一。"
"root 帳戶是所有 Unix/Linux 系統的超級使用者帳戶，"
"具有完全的系統控制權。直接以 root 登入會：\n"
"1. 無法追蹤實際操作者（多人共用 root 時）\n"
"2. 增加憑證洩露的風險\n"
"3. 缺乏操作審計軌跡\n"
"正確做法是使用一般帳戶登入後，透過 sudo 提升權限。"
)
},
"PasswordAuthentication": {
"value": "no",
"level": SecurityLevel.HIGH,
"description": (
"禁用密碼驗證，改用公鑰驗證。密碼驗證的風險：\n"
"1. 容易被暴力破解\n"
"2. 可能被網路竊聽（如果加密失效）\n"
"3. 使用者傾向選擇弱密碼\n"
"4. 密碼可能被社交工程竊取\n"
"公鑰驗證提供遠超密碼的安全性，幾乎無法暴力破解。"
)
},
"PubkeyAuthentication": {
"value": "yes",
"level": SecurityLevel.HIGH,
"description": (
"啟用公鑰驗證。這是最安全的 SSH 驗證方式，"
"基於非對稱加密技術，私鑰永遠不會在網路上傳輸。"
"建議使用 Ed25519 或 RSA 4096 位元金鑰。"
)
},
"PermitEmptyPasswords": {
"value": "no",
"level": SecurityLevel.CRITICAL,
"description": (
"禁止空密碼登入。這是最基本的安全要求。"
"即使啟用了密碼驗證，也絕不能允許空密碼帳戶登入。"
"空密碼帳戶是系統的重大安全漏洞。"
)
},
"ChallengeResponseAuthentication": {
"value": "no",
"level": SecurityLevel.MEDIUM,
"description": (
"禁用挑戰回應驗證。此驗證方式主要用於 PAM "
"（Pluggable Authentication Modules）整合，"
"但可能引入額外的複雜性和潛在弱點。"
"除非有特定需求，否則應禁用。"
)
},
"MaxAuthTries": {
"value": "3",
"level": SecurityLevel.HIGH,
"description": (
"限制驗證嘗試次數為 3 次。這可以有效防止暴力破解攻擊。"
"超過限制後，連線會被中斷，攻擊者必須重新建立連線，"
"大幅降低暴力破解的效率。建議值為 2-4 次之間。"
)
},
"LoginGraceTime": {
"value": "60",
"level": SecurityLevel.MEDIUM,
"description": (
"設定登入寬限時間為 60 秒。這是使用者從連線建立"
"到完成驗證的最大允許時間。過短會影響使用體驗，"
"過長則可能被利用進行資源耗盡攻擊。60 秒是合理的平衡點。"
)
},
# ====================================================
# 存取控制設定
# ====================================================
"AllowUsers": {
"value": None, # 需要根據環境設定
"level": SecurityLevel.HIGH,
"description": (
"明確指定允許 SSH 登入的使用者白名單。"
"例如：AllowUsers admin ops-team@192.168.1.0/24\n"
"可以指定使用者名稱或使用者名稱@來源網路。"
"使用白名單方式提供最嚴格的存取控制。"
)
},
"AllowGroups": {
"value": None,
"level": SecurityLevel.HIGH,
"description": (
"明確指定允許 SSH 登入的群組白名單。"
"例如：AllowGroups ssh-users admins\n"
"透過群組管理比個別使用者更易於維護。"
"建議建立專門的 ssh-users 群組。"
)
},
"DenyUsers": {
"value": None,
"level": SecurityLevel.MEDIUM,
"description": (
"明確指定禁止 SSH 登入的使用者黑名單。"
"例如：DenyUsers guest test demo\n"
"黑名單方式較白名單安全性低，建議優先使用 AllowUsers。"
)
},
# ====================================================
# 網路設定
# ====================================================
"Port": {
"value": "22", # 或建議更改為非標準埠
"level": SecurityLevel.MEDIUM,
"description": (
"SSH 服務監聽埠。預設為 22 埠。\n"
"安全建議：將埠更改為非標準埠（如 2222、22022）"
"可以減少自動化掃描和攻擊。這是「隱蔽性安全」的做法，"
"不應作為唯一的安全措施，但確實能降低暴露風險。\n"
"注意：更改埠後需要更新防火牆規則和使用者文件。"
)
},
"ListenAddress": {
"value": None, # 需要根據環境設定
"level": SecurityLevel.HIGH,
"description": (
"限制 SSH 服務監聽的網路介面。"
"例如：ListenAddress 192.168.1.100\n"
"預設情況下，SSH 監聽所有介面（0.0.0.0）。"
"在多網卡系統中，應只監聽管理網路介面，"
"避免在公開網路介面上暴露 SSH 服務。"
)
},
"AddressFamily": {
"value": "inet",
"level": SecurityLevel.LOW,
"description": (
"限制使用的網路協定家族。inet 表示僅使用 IPv4，"
"inet6 表示僅使用 IPv6，any 表示兩者都支援。"
"除非需要 IPv6，否則建議限制為 inet 以減少攻擊面。"
)
},
# ====================================================
# 連線控制設定
# ====================================================
"ClientAliveInterval": {
"value": "300",
"level": SecurityLevel.MEDIUM,
"description": (
"設定客戶端存活檢查間隔為 300 秒（5 分鐘）。"
"伺服器會定期向客戶端發送存活訊息，"
"如果客戶端無回應則會終止連線。"
"這可以清理殭屍連線，防止資源被長期佔用。"
)
},
"ClientAliveCountMax": {
"value": "2",
"level": SecurityLevel.MEDIUM,
"description": (
"設定最大未回應次數為 2。結合 ClientAliveInterval，"
"如果客戶端 10 分鐘（300秒 × 2）未回應，連線將被終止。"
"這個機制可以檢測網路中斷或客戶端異常。"
)
},
"MaxSessions": {
"value": "2",
"level": SecurityLevel.MEDIUM,
"description": (
"限制單一 SSH 連線的最大會話數（多工）。"
"SSH 協定允許在一個 TCP 連線上建立多個會話。"
"限制會話數可以防止資源濫用。2-4 個會話通常足夠。"
)
},
"MaxStartups": {
"value": "10:30:60",
"level": SecurityLevel.MEDIUM,
"description": (
"限制同時進行的未驗證連線數。格式為 start:rate:full。\n"
"10:30:60 表示：\n"
"- 允許 10 個未驗證連線\n"
"- 10-60 個連線之間，以 30% 機率拒絕新連線\n"
"- 超過 60 個連線時，拒絕所有新連線\n"
"這可以防止 SSH 服務被連線洪水攻擊耗盡資源。"
)
},
# ====================================================
# 功能控制設定
# ====================================================
"X11Forwarding": {
"value": "no",
"level": SecurityLevel.HIGH,
"description": (
"禁用 X11 圖形介面轉發。X11 轉發允許在本地顯示"
"遠端系統的圖形應用程式，但這個功能：\n"
"1. 增加攻擊面\n"
"2. 可能洩露本地 X server 的資訊\n"
"3. 性能不佳且很少實際使用\n"
"除非有明確需求，否則應禁用。"
)
},
"PermitTunnel": {
"value": "no",
"level": SecurityLevel.MEDIUM,
"description": (
"禁用通道（tun/tap）設備轉發。此功能允許建立 VPN，"
"但通常不需要且可能被濫用來繞過網路限制。"
)
},
"AllowTcpForwarding": {
"value": "no",
"level": SecurityLevel.HIGH,
"description": (
"禁用 TCP 埠轉發（包括本地和遠端轉發）。"
"埠轉發是 SSH 的強大功能，但也可能被濫用：\n"
"1. 繞過防火牆規則\n"
"2. 建立未授權的通道\n"
"3. 洩露內部網路資訊\n"
"如果不需要埠轉發功能，應完全禁用。"
)
},
"AllowAgentForwarding": {
"value": "no",
"level": SecurityLevel.MEDIUM,
"description": (
"禁用 SSH 代理轉發。代理轉發允許在多個跳板之間"
"使用本地的 SSH 金鑰，但如果中間的跳板被入侵，"
"攻擊者可能利用轉發的代理存取其他系統。"
)
},
"PermitUserEnvironment": {
"value": "no",
"level": SecurityLevel.HIGH,
"description": (
"禁止使用者設定環境變數。允許使用者設定環境變數"
"可能導致權限提升漏洞，特別是影響 LD_PRELOAD 等"
"關鍵環境變數時。應始終禁用此選項。"
)
},
"StrictModes": {
"value": "yes",
"level": SecurityLevel.HIGH,
"description": (
"啟用嚴格模式檢查檔案和目錄權限。SSH 會檢查：\n"
"1. 使用者家目錄權限\n"
"2. ~/.ssh 目錄權限\n"
"3. authorized_keys 檔案權限\n"
"如果權限過於寬鬆（如 group-writable），SSH 會拒絕連線。"
"這可以防止權限錯誤配置導致的安全問題。"
)
},
"UsePAM": {
"value": "yes",
"level": SecurityLevel.MEDIUM,
"description": (
"使用 PAM（Pluggable Authentication Modules）進行驗證。"
"PAM 提供了靈活的驗證框架，支援多因素驗證、"
"帳戶策略控制等進階功能。建議啟用並正確配置 PAM。"
)
},
"Banner": {
"value": "/etc/ssh/banner",
"level": SecurityLevel.LOW,
"description": (
"顯示登入前警告橫幅。橫幅內容應包括：\n"
"1. 系統使用政策\n"
"2. 未授權存取的法律後果\n"
"3. 監控通知\n"
"這不僅滿足合規要求，也具有嚇阻作用。"
)
},
"LogLevel": {
"value": "VERBOSE",
"level": SecurityLevel.MEDIUM,
"description": (
"設定詳細的日誌記錄等級。VERBOSE 級別會記錄：\n"
"1. 所有驗證嘗試（成功和失敗）\n"
"2. 使用的金鑰指紋\n"
"3. 連線來源和目標\n"
"詳細日誌對於事件調查和異常偵測至關重要。"
)
}
}
logger.info(f"SSH 安全強化器初始化完成")
logger.info(f"配置檔案路徑: {config_path}")
logger.info(f"安全基準項目數: {len(self.security_baseline)}")
def parse_config(self) -> Dict[str, str]:
"""
解析 SSH 配置檔案
讀取並解析 sshd_config 檔案內容，提取所有配置指令和值。
忽略註解行和空行，處理可能的空格和引號。
回傳：
配置指令與值的字典
注意：
- 配置檔案中某些指令可能出現多次（如 HostKey）
- 此實作只保留最後出現的值
- 實際部署時應讀取真實檔案而非模擬內容
"""
config = {}
# ========================================================
# 模擬配置檔案內容
# ========================================================
# 在實際應用中，這裡應該讀取真實的 sshd_config 檔案
# 以下為典型的預設配置示例
sample_config = """
# SSH 伺服器配置檔案
# 這是一個典型的預設配置，存在多個安全問題
# 網路設定
Port 22
Protocol 2
AddressFamily any
ListenAddress 0.0.0.0
ListenAddress ::
# 主機金鑰
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_ed25519_key
# 加密設定（使用預設值，包含一些弱演算法）
# Ciphers aes128-ctr,aes192-ctr,aes256-ctr,aes128-cbc,3des-cbc
# MACs hmac-sha1,hmac-sha2-256,hmac-sha2-512
# 身份驗證
LoginGraceTime 120
PermitRootLogin yes
StrictModes yes
MaxAuthTries 6
MaxSessions 10
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
# 密碼驗證（不安全但常見的預設設定）
PasswordAuthentication yes
PermitEmptyPasswords no
ChallengeResponseAuthentication no
# PAM 設定
UsePAM yes
# X11 轉發（通常不需要但預設啟用）
X11Forwarding yes
X11DisplayOffset 10
PrintMotd no
PrintLastLog yes
# TCP 轉發（功能強大但可能被濫用）
AllowTcpForwarding yes
GatewayPorts no
# 連線保持
ClientAliveInterval 0
ClientAliveCountMax 3
# 安全設定
PermitUserEnvironment no
Compression delayed
UseDNS no
# 日誌
SyslogFacility AUTH
LogLevel INFO
# 覆蓋設定
AcceptEnv LANG LC_*
Subsystem sftp /usr/lib/openssh/sftp-server
"""
# ========================================================
# 解析邏輯
# ========================================================
for line_num, line in enumerate(sample_config.split('\n'), 1):
# 移除行首行尾空白
line = line.strip()
# 跳過空行
if not line:
continue
# 跳過註解行（以 # 開頭）
if line.startswith('#'):
continue
# 解析配置指令
# 格式通常為：Directive Value
# 有些值可能包含空格，需要正確處理
match = re.match(r'^(\w+)\s+(.+)$', line)
if match:
directive = match.group(1)
value = match.group(2).strip()
# 移除值中的引號（如果有）
value = value.strip('"').strip("'")
config[directive] = value
logger.debug(f"已解析配置 {directive} = {value}")
self.current_config = config
logger.info(f"配置解析完成，共 {len(config)} 個有效配置項目")
return config
def audit_configuration(self) -> SSHAuditReport:
"""
審計 SSH 配置
將當前配置與安全基準線逐項比對，識別所有不合規的項目。
計算整體安全評分，並生成詳細的改善建議。
回傳：
完整的審計報告
審計邏輯：
1. 對於有明確建議值的項目，檢查是否完全匹配
2. 對於需要依環境設定的項目，檢查是否已配置
3. 未配置的項目使用 OpenSSH 預設值進行評估
"""
# 確保已解析配置
if not self.current_config:
logger.info("配置尚未解析，開始解析...")
self.parse_config()
findings = []
compliant_count = 0
total_weight = 0
compliant_weight = 0
# 定義安全等級的權重（用於加權評分）
level_weights = {
SecurityLevel.CRITICAL: 4,
SecurityLevel.HIGH: 3,
SecurityLevel.MEDIUM: 2,
SecurityLevel.LOW: 1
}
# ========================================================
# 逐項審計
# ========================================================
for directive, baseline in self.security_baseline.items():
current_value = self.current_config.get(directive)
recommended_value = baseline["value"]
security_level = baseline["level"]
# 計算該項目的權重
weight = level_weights[security_level]
total_weight += weight
# ========================================================
# 合規性判斷
# ========================================================
compliant = False
if recommended_value is None:
# 需要根據環境設定的項目
# 檢查是否已設定（不為 None 即視為合規）
compliant = current_value is not None
else:
# 有明確建議值的項目
# 檢查當前值是否與建議值完全匹配
compliant = current_value == recommended_value
# 更新統計
if compliant:
compliant_count += 1
compliant_weight += weight
# 建立配置項目記錄
item = SSHConfigItem(
directive=directive,
current_value=current_value,
recommended_value=recommended_value or "(依環境設定)",
security_level=security_level,
description=baseline["description"],
compliant=compliant
)
# 只記錄不合規的項目
if not compliant:
findings.append(item)
logger.warning(
f"發現不合規項目: {directive} "
f"[{security_level.value}] "
f"當前值={current_value}, 建議值={recommended_value}"
)
# ========================================================
# 計算安全評分
# ========================================================
# 使用加權平均，讓高優先級項目對評分影響更大
if total_weight > 0:
score = (compliant_weight / total_weight) * 100
else:
score = 0
logger.info(f"合規項目: {compliant_count}/{len(self.security_baseline)}")
logger.info(f"安全評分: {score:.1f}%")
# ========================================================
# 生成改善建議
# ========================================================
recommendations = self._generate_recommendations(findings)
# 建立審計報告
report = SSHAuditReport(
audit_time=datetime.now(),
config_file=self.config_path,
total_items=len(self.security_baseline),
compliant_items=compliant_count,
findings=findings,
score=score,
recommendations=recommendations
)
return report
def _generate_recommendations(self,
findings: List[SSHConfigItem]) -> List[str]:
"""
生成改善建議
根據審計發現的問題，生成具體且可執行的改善建議。
建議按照安全等級排序，並提供明確的修復指引。
參數：
findings: 審計發現的不合規項目列表
回傳：
改善建議列表
"""
recommendations = []
# ========================================================
# 按安全等級分組
# ========================================================
critical_items = [
f for f in findings
if f.security_level == SecurityLevel.CRITICAL
]
high_items = [
f for f in findings
if f.security_level == SecurityLevel.HIGH
]
medium_items = [
f for f in findings
if f.security_level == SecurityLevel.MEDIUM
]
low_items = [
f for f in findings
if f.security_level == SecurityLevel.LOW
]
# ========================================================
# 危急問題建議
# ========================================================
if critical_items:
recommendations.append("\n【危急】立即修復以下問題：")
recommendations.append("=" * 50)
for item in critical_items:
recommendations.append(
f"\n配置項: {item.directive}\n"
f"當前值: {item.current_value or '(未設定)'}\n"
f"建議值: {item.recommended_value}\n"
f"說明: {item.description}"
)
# ========================================================
# 高風險問題建議
# ========================================================
if high_items:
recommendations.append("\n【高風險】優先處理以下問題：")
recommendations.append("=" * 50)
for item in high_items:
recommendations.append(
f"\n配置項: {item.directive}\n"
f"當前值: {item.current_value or '(未設定)'}\n"
f"建議值: {item.recommended_value}\n"
f"風險: {item.description[:100]}..."
)
# ========================================================
# 中風險問題建議
# ========================================================
if medium_items:
recommendations.append(
f"\n【中風險】建議修復 {len(medium_items)} 個中等風險項目"
)
# ========================================================
# 低風險問題建議
# ========================================================
if low_items:
recommendations.append(
f"\n【低風險】可選修復 {len(low_items)} 個低風險項目"
)
# ========================================================
# 通用建議
# ========================================================
recommendations.extend([
"\n【一般建議】",
"=" * 50,
"1. 修改配置後務必使用 'sshd -t' 測試語法正確性",
"2. 重新載入配置: 'systemctl reload sshd' 或 'service sshd reload'",
"3. 建立配置備份: 'cp /etc/ssh/sshd_config /etc/ssh/sshd_config.backup'",
"4. 在測試環境先驗證配置變更",
"5. 確保至少保留一個可用的存取方式以防鎖定",
"6. 考慮使用配置管理工具（Ansible、Puppet）維護一致性",
"7. 實施定期審計（建議每季度執行一次）",
"8. 監控 SSH 日誌以偵測異常活動",
"9. 使用跳板機或堡壘主機集中管理 SSH 存取",
"10. 定期輪替 SSH 金鑰並撤銷不再使用的金鑰"
])
return recommendations
def generate_hardened_config(self) -> str:
"""
生成強化後的配置檔案
根據安全基準線生成完整的 sshd_config 內容。
配置按照邏輯分類組織，包含詳細的註解說明。
回傳：
完整的強化配置檔案內容
"""
config_lines = [
"#" * 60,
"# SSH 伺服器強化配置檔案",
"# " + "=" * 58,
f"# 生成時間: {datetime.now().strftime('%Y-%m-%d %H:%M:%S')}",
"# 基於標準: CIS Benchmark, NIST SP 800-53, DISA STIG",
"#" * 60,
""
]
# ========================================================
# 配置分類定義
# ========================================================
# 將所有配置指令按照功能分類，便於閱讀和維護
categories = {
"協定與加密設定": {
"description": "定義使用的協定版本和加密演算法",
"directives": [
"Protocol", "Ciphers", "MACs", "KexAlgorithms"
]
},
"身份驗證設定": {
"description": "控制使用者驗證方式和策略",
"directives": [
"PermitRootLogin", "PasswordAuthentication",
"PubkeyAuthentication", "PermitEmptyPasswords",
"ChallengeResponseAuthentication", "MaxAuthTries",
"LoginGraceTime"
]
},
"存取控制": {
"description": "限制允許連線的使用者和來源",
"directives": [
"AllowUsers", "AllowGroups", "DenyUsers"
]
},
"網路設定": {
"description": "定義網路監聽參數",
"directives": [
"Port", "ListenAddress", "AddressFamily"
]
},
"連線管理": {
"description": "控制連線建立和維護",
"directives": [
"ClientAliveInterval", "ClientAliveCountMax",
"MaxSessions", "MaxStartups"
]
},
"功能控制": {
"description": "啟用或禁用特定 SSH 功能",
"directives": [
"X11Forwarding", "PermitTunnel", "AllowTcpForwarding",
"AllowAgentForwarding", "PermitUserEnvironment",
"StrictModes", "UsePAM", "Banner", "LogLevel"
]
}
}
# ========================================================
# 生成配置內容
# ========================================================
for category, info in categories.items():
# 分類標題
config_lines.append(f"\n# {category}")
config_lines.append(f"# {info['description']}")
config_lines.append("#" + "-" * 58)
# 該分類下的所有配置項
for directive in info['directives']:
if directive in self.security_baseline:
baseline = self.security_baseline[directive]
value = baseline["value"]
level = baseline["level"].value
# 添加簡短說明
desc_lines = baseline["description"].split('\n')
config_lines.append(f"\n# [{level.upper()}] {desc_lines[0]}")
# 添加配置指令
if value is not None:
config_lines.append(f"{directive} {value}")
else:
config_lines.append(
f"# {directive} <請根據環境設定>"
)
config_lines.append("")
# ========================================================
# 附加建議配置
# ========================================================
config_lines.extend([
"\n#" + "=" * 58,
"# 附加建議配置",
"#" + "=" * 58,
"",
"# 主機金鑰（建議使用 Ed25519 和 RSA）",
"HostKey /etc/ssh/ssh_host_ed25519_key",
"HostKey /etc/ssh/ssh_host_rsa_key",
"",
"# 金鑰檔案路徑",
"AuthorizedKeysFile .ssh/authorized_keys",
"",
"# 日誌設定",
"SyslogFacility AUTH",
"",
"# SFTP 子系統",
"Subsystem sftp /usr/lib/openssh/sftp-server",
"",
"#" + "=" * 58,
"# 配置檔案結束",
"#" + "=" * 58
])
return "\n".join(config_lines)
def check_key_permissions(self) -> List[Dict]:
"""
檢查 SSH 金鑰檔案權限
驗證 SSH 相關檔案的權限設定是否符合安全要求。
不正確的權限可能導致 SSH 拒絕服務或資訊洩露。
回傳：
權限檢查結果列表，每個項目包含檔案路徑、
預期權限、當前權限與合規狀態
權限要求說明：
- 私鑰檔案：必須為 0600（只有擁有者可讀寫）
- 公鑰檔案：可以為 0644（所有人可讀）
- 配置檔案：建議為 0600
- .ssh 目錄：必須為 0700
"""
results = []
# ========================================================
# 定義需要檢查的檔案和正確的權限
# ========================================================
key_files = {
# 私鑰檔案（必須嚴格保護）
"/etc/ssh/ssh_host_rsa_key": {
"expected": "0600",
"description": "RSA 主機私鑰"
},
"/etc/ssh/ssh_host_ecdsa_key": {
"expected": "0600",
"description": "ECDSA 主機私鑰"
},
"/etc/ssh/ssh_host_ed25519_key": {
"expected": "0600",
"description": "Ed25519 主機私鑰"
},
# 公鑰檔案（可以公開）
"/etc/ssh/ssh_host_rsa_key.pub": {
"expected": "0644",
"description": "RSA 主機公鑰"
},
"/etc/ssh/ssh_host_ecdsa_key.pub": {
"expected": "0644",
"description": "ECDSA 主機公鑰"
},
"/etc/ssh/ssh_host_ed25519_key.pub": {
"expected": "0644",
"description": "Ed25519 主機公鑰"
},
# 配置檔案
"/etc/ssh/sshd_config": {
"expected": "0600",
"description": "SSH 伺服器配置檔案"
},
"/etc/ssh/ssh_config": {
"expected": "0644",
"description": "SSH 客戶端配置檔案"
}
}
# ========================================================
# 模擬權限檢查
# ========================================================
# 在實際應用中，使用 os.stat() 檢查真實檔案權限
# 例如: os.stat(file_path).st_mode & 0o777
for file_path, info in key_files.items():
# 模擬檢查結果
# 實際應用中應該這樣實作：
# try:
# stat_info = os.stat(file_path)
# current_mode = oct(stat_info.st_mode)[-4:]
# compliant = current_mode == info["expected"]
# except FileNotFoundError:
# current_mode = "檔案不存在"
# compliant = False
results.append({
"file": file_path,
"description": info["description"],
"expected_mode": info["expected"],
"current_mode": "0600", # 模擬值
"compliant": True # 模擬結果
})
return results
def get_audit_summary(self, report: SSHAuditReport) -> str:
"""
生成審計摘要報告
將審計結果格式化為易讀的文字報告，
包含統計資訊、詳細發現與改善建議。
參數：
report: 審計報告物件
回傳：
格式化的報告字串
"""
summary = []
# ========================================================
# 報告標題
# ========================================================
summary.append("=" * 70)
summary.append("SSH 安全配置審計報告".center(70))
summary.append("=" * 70)
# ========================================================
# 基本資訊
# ========================================================
summary.append(f"\n審計時間: {report.audit_time.strftime('%Y-%m-%d %H:%M:%S')}")
summary.append(f"配置檔案: {report.config_file}")
summary.append(f"檢查項目: {report.total_items}")
summary.append(f"合規項目: {report.compliant_items}")
summary.append(f"問題項目: {len(report.findings)}")
# ========================================================
# 安全評分
# ========================================================
score_bar = "█" * int(report.score / 5) + "░" * (20 - int(report.score / 5))
summary.append(f"\n安全評分: {report.score:.1f}% [{score_bar}]")
# 評分說明
if report.score >= 90:
rating = "優秀 - 配置符合最佳實踐"
elif report.score >= 75:
rating = "良好 - 存在少數需要改善的項目"
elif report.score >= 60:
rating = "尚可 - 存在多個安全問題需要處理"
elif report.score >= 40:
rating = "不佳 - 存在嚴重安全風險"
else:
rating = "危險 - 配置極不安全，需要立即修復"
summary.append(f"安全評級: {rating}")
# ========================================================
# 問題詳情
# ========================================================
if report.findings:
summary.append("\n" + "=" * 70)
summary.append("發現的問題詳情".center(70))
summary.append("=" * 70)
# 按安全等級分組顯示
for level in [SecurityLevel.CRITICAL, SecurityLevel.HIGH,
SecurityLevel.MEDIUM, SecurityLevel.LOW]:
level_findings = [
f for f in report.findings
if f.security_level == level
]
if level_findings:
level_name = {
SecurityLevel.CRITICAL: "【危急】",
SecurityLevel.HIGH: "【高風險】",
SecurityLevel.MEDIUM: "【中風險】",
SecurityLevel.LOW: "【低風險】"
}[level]
summary.append(f"\n{level_name} 共 {len(level_findings)} 個問題")
summary.append("-" * 70)
for finding in level_findings:
summary.append(f"\n配置項: {finding.directive}")
summary.append(f"當前值: {finding.current_value or '(未設定)'}")
summary.append(f"建議值: {finding.recommended_value}")
summary.append(f"說明: {finding.description[:150]}...")
# ========================================================
# 改善建議
# ========================================================
summary.append("\n" + "=" * 70)
summary.append("改善建議".center(70))
summary.append("=" * 70)
for rec in report.recommendations:
summary.append(rec)
summary.append("\n" + "=" * 70)
summary.append("報告結束".center(70))
summary.append("=" * 70)
return "\n".join(summary)
# ============================================================
# 使用範例
# ============================================================
def demonstrate_ssh_hardening():
"""
示範 SSH 安全強化功能
展示完整的 SSH 配置審計流程，包括：
1. 配置解析
2. 安全審計
3. 報告生成
4. 強化配置產生
5. 金鑰權限檢查
"""
print("=" * 70)
print("SSH 安全強化系統示範".center(70))
print("=" * 70)
# ========================================================
# 步驟 1: 建立強化器實例
# ========================================================
print("\n[步驟 1] 初始化 SSH 安全強化器...")
hardener = SSHSecurityHardener()
# ========================================================
# 步驟 2: 解析當前配置
# ========================================================
print("\n[步驟 2] 解析 SSH 配置檔案...")
hardener.parse_config()
# ========================================================
# 步驟 3: 執行安全審計
# ========================================================
print("\n[步驟 3] 執行安全審計...")
report = hardener.audit_configuration()
# ========================================================
# 步驟 4: 顯示審計結果
# ========================================================
print("\n[步驟 4] 生成審計報告...")
summary = hardener.get_audit_summary(report)
print(summary)
# ========================================================
# 步驟 5: 生成強化配置
# ========================================================
print("\n[步驟 5] 生成強化配置...")
print("=" * 70)
print("建議的強化配置內容:".center(70))
print("=" * 70)
hardened_config = hardener.generate_hardened_config()
print(hardened_config)
# ========================================================
# 步驟 6: 檢查金鑰權限
# ========================================================
print("\n[步驟 6] 檢查金鑰檔案權限...")
print("=" * 70)
permissions = hardener.check_key_permissions()
print(f"{'檔案路徑':<40} {'預期權限':<12} {'狀態':<10}")
print("-" * 70)
for perm in permissions:
status = "✓ 正確" if perm["compliant"] else "✗ 需要修正"
print(f"{perm['file']:<40} {perm['expected_mode']:<12} {status:<10}")
print("\n" + "=" * 70)
print("示範完成".center(70))
print("=" * 70)
if __name__ == "__main__":
demonstrate_ssh_hardening()
這個 SSH 安全強化系統提供了企業級的配置管理能力。系統基於業界公認的安全基準，包含 CIS Benchmark、NIST SP 800-53 與 DISA STIG 的要求。審計功能會詳細檢查每個配置項目，不僅指出問題所在，更提供清楚的說明和具體的修復建議。生成的強化配置可以直接部署到生產環境，大幅降低手動配置錯誤的風險。
特權存取管理與堡壘架構
對於需要更高安全性的企業環境，應該實施專業的特權存取管理（Privileged Access Management, PAM）解決方案。PAM 系統提供了集中式的特權帳戶管理，包含憑證保險庫、會話錄製、即時監控、命令過濾等功能。使用者不再需要知道目標系統的實際憑證，所有存取都透過 PAM 平台進行代理和記錄。
以下圖表展示了現代化的安全遠端存取架構：
@startuml
!define PLANTUML_FORMAT svg
!theme _none_
skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 14
skinparam minClassWidth 100
|使用者|
start
:系統管理員/開發人員發起存取請求;
|身份驗證層|
:SSO 單一登入驗證;
:MFA 多因素驗證;
note right
驗證因素包含：
密碼、OTP、生物辨識
end note
:RBAC 權限檢查;
if (權限驗證通過?) then (是)
|特權存取管理平台|
:會話管理器處理請求;
:從憑證保險庫取得憑證;
note right
受管憑證特性：
自動輪替
加密儲存
存取追蹤
end note
:政策引擎套用存取政策;
note right
政策控制：
時間限制
命令過濾
雙人授權
end note
:審計記錄器記錄活動;
else (否)
:拒絕存取請求;
:記錄失敗嘗試;
stop
endif
|安全閘道|
:堡壘主機建立會話;
note right
堡壘主機特性：
不開放入站埠
出站連線代理
完整日誌記錄
end note
|目標資源|
if (資源類型?) then (資料庫)
:連線資料庫伺服器;
else if (虛擬機) then
:連線雲端虛擬機;
else (容器)
:連線容器叢集;
endif
|特權存取管理平台|
:即時監控會話;
:錄影回放記錄;
:異常行為偵測;
|稽核人員|
:查詢審計日誌;
:產生合規報告;
stop
@enduml這個架構將安全控制集中在 PAM 平台上，所有的遠端存取都必須經過身份驗證、授權檢查與會話管理。目標系統完全不需要對外開放任何埠，大幅降低了被直接攻擊的風險。所有會話都被完整記錄，包含按鍵、命令、螢幕截圖等，滿足了合規和審計要求。政策引擎可以實施細緻的存取控制，例如限制特定使用者只能在工作時間存取、禁止執行危險命令、要求敏感操作的雙人授權等。
社群工程攻擊的多層次防禦體系
社群工程攻擊利用人類的心理弱點而非技術漏洞來達成目的,這使得它特別難以防禦。即使部署了最先進的技術防護措施，一個成功的社群工程攻擊可能讓所有防護功虧一簣。在雲端環境中，社群工程的危害尤其嚴重，因為攻擊者一旦取得管理員憑證，就可能完全控制整個雲端基礎設施。
社群工程攻擊的演進趨勢
社群工程攻擊在過去十年間經歷了顯著的演進。早期的釣魚郵件通常很容易識別，充斥著拼寫錯誤、文法不通、粗糙的偽造標誌等明顯特徵。然而，現代的釣魚攻擊變得越來越精緻。攻擊者會花費大量時間研究目標，收集公開資訊，甚至進行社交媒體偵察，以製作高度客製化的釣魚內容。
魚叉式釣魚（Spear Phishing）針對特定個人或組織，攻擊者會研究目標的工作習慣、社交關係、近期活動等，然後製作看起來完全合理的郵件。例如，攻擊者可能偽裝成目標的業務夥伴，提到雙方最近討論的專案，附上一個看似相關文件的惡意連結。這種高度針對性的攻擊很難被一般的垃圾郵件過濾器檢測出來。
商業電子郵件詐騙（Business Email Compromise, BEC）是另一種日益猖獗的攻擊形式。攻擊者通過入侵高階主管的郵件帳戶或偽造郵件地址，指示財務人員進行緊急轉帳。這種攻擊利用了企業的層級結構和員工對主管指示的服從心理。根據 FBI 的統計，BEC 攻擊已經造成數十億美元的損失。
在雲端環境中，社群工程攻擊面臨新的挑戰和機會。攻擊者可能偽裝成雲端服務供應商的技術支援人員，聲稱需要驗證帳戶或修復安全問題。員工可能會收到看似來自 AWS、Azure 或 Google Cloud 的安全警告郵件，要求立即登入處理。由於雲端服務的複雜性，員工可能難以判斷這些通知的真假。
社群工程攻擊的技術偵測
雖然社群工程主要針對人類心理，但技術工具仍然可以在偵測和防禦中扮演重要角色。現代的電子郵件安全閘道使用機器學習演算法分析郵件內容、寄件者行為、連結目標等特徵，識別可疑的釣魚郵件。這些系統會檢查郵件標頭的真實性、驗證 SPF、DKIM 和 DMARC 記錄、分析郵件內容中的可疑模式、檢查連結是否指向已知的惡意網站等。
以下是一個進階的社群工程攻擊偵測系統實作，這個系統整合了多種檢測技術，提供全方位的威脅評估：
#!/usr/bin/env python3
# -*- coding: utf-8 -*-
"""
社群工程攻擊偵測系統
====================
此模組提供全方位的社群工程攻擊偵測能力，適用於電子郵件、
電話、簡訊等多種通訊管道。系統使用機器學習啟發的規則引擎
和模式識別技術，快速識別潛在的社群工程攻擊。
主要功能：
1. 電子郵件內容分析與威脅評估
2. 寄件者真實性驗證
3. 連結與附件安全檢查
4. 語法與文法異常偵測
5. 電話通訊詐騙識別
6. 綜合威脅評分與處置建議
作者：玄貓（BlackCat）
版本：2.0.0
"""
import re
import hashlib
from typing import Dict, List, Optional, Tuple, Set
from dataclasses import dataclass, field
from datetime import datetime
from enum import Enum
from urllib.parse import urlparse
import logging
# 配置日誌
logging.basicConfig(
level=logging.INFO,
format='%(asctime)s - %(levelname)s - %(message)s'
)
logger = logging.getLogger(__name__)
class ThreatLevel(Enum):
"""
威脅等級列舉
定義偵測到的社群工程攻擊嚴重程度
"""
CLEAN = "clean" # 無威脅
LOW = "low" # 低風險，可能是合法但需注意
MEDIUM = "medium" # 中風險，建議謹慎處理
HIGH = "high" # 高風險，很可能是攻擊
CRITICAL = "critical" # 危急，幾乎確定是攻擊
class AttackVector(Enum):
"""
攻擊向量列舉
定義社群工程攻擊的主要類型
"""
URGENCY = "urgency" # 製造緊迫感
AUTHORITY = "authority" # 冒充權威
THREAT = "threat" # 威脅恐嚇
REWARD = "reward" # 承諾獎勵
CURIOSITY = "curiosity" # 利用好奇心
IMPERSONATION = "impersonation" # 身份偽造
TECHNICAL_SUPPORT = "tech_support" # 假技術支援
@dataclass
class AnalysisResult:
"""
分析結果資料類別
封裝單一通訊的完整分析結果，包括威脅評估、
識別到的攻擊向量、具體指標與處置建議。
"""
message_id: str # 訊息唯一識別碼
threat_level: ThreatLevel # 綜合威脅等級
risk_score: float # 風險評分 (0-100)
attack_vectors: List[AttackVector] # 識別到的攻擊向量
indicators: List[str] # 威脅指標詳細列表
recommendations: List[str] # 處置建議
analyzed_at: datetime # 分析時間戳記
confidence: float # 判斷信心度 (0-1)
class SocialEngineeringDetector:
"""
社群工程攻擊偵測器主類別
提供完整的社群工程攻擊偵測功能，包括：
- 郵件內容的深度分析
- 多維度的威脅指標識別
- 基於規則引擎的威脅評分
- 自動化的處置建議生成
此偵測器使用多層次的檢測策略，從簡單的關鍵字匹配
到複雜的模式識別，提供準確的威脅評估。
"""
def __init__(self):
"""
初始化社群工程攻擊偵測器
載入檢測規則庫、可疑模式定義與已知威脅情報。
規則庫基於真實世界的社群工程攻擊案例建立，
並持續更新以應對新興威脅。
"""
# ========================================================
# 可疑詞彙模式定義
# ========================================================
# 這些模式基於數千個真實釣魚案例的分析結果
# 按照攻擊向量分類，便於識別攻擊意圖
self.suspicious_patterns = {
# 緊迫感相關詞彙
# 攻擊者常用時間壓力迫使受害者倉促行動
"urgency": [
r"立即|immediately|urgent|緊急|馬上|趕快",
r"限時|deadline|expire|到期|過期|限期",
r"最後機會|last chance|final notice|最後通知",
r"今天內|within.*hour|24.*小時內",
r"刻不容緩|不能等|must.*now"
],
# 權威冒充相關詞彙
# 偽裝成高階主管或官方機構
"authority": [
r"執行長|CEO|總經理|director|董事",
r"技術支援|tech.*support|IT.*部門|helpdesk|客服",
r"法務|legal|compliance|稽核|audit",
r"總公司|headquarters|官方|official",
r"安全.*團隊|security.*team"
],
# 威脅恐嚇相關詞彙
# 威脅帳戶鎖定、法律行動等後果
"threat": [
r"帳戶.*暫停|account.*suspend|停用|disable",
r"法律.*行動|legal.*action|訴訟|lawsuit",
r"罰款|penalty|fine|違規|violation",
r"信用.*受損|credit.*damage",
r"永久.*刪除|permanent.*delete"
],
# 行動要求相關詞彙
# 引導受害者執行危險操作
"action_request": [
r"點擊.*連結|click.*link|點此|click here",
r"下載.*附件|download.*attachment|開啟.*檔案",
r"提供.*密碼|provide.*password|輸入.*帳號",
r"轉帳|wire.*transfer|匯款|payment",
r"購買.*禮品卡|buy.*gift.*card|儲值卡",
r"更新.*資訊|update.*information|驗證.*帳戶"
],
# 身份偽造相關詞彙
# 模仿合法服務的通知
"impersonation": [
r"您的.*帳戶|your.*account",
r"驗證.*身份|verify.*identity|確認.*身分",
r"確認.*資訊|confirm.*information|更新.*資料",
r"安全.*檢查|security.*check|異常.*活動",
r"中獎|winning|prize|獎品"
]
}
# ========================================================
# 已知釣魚網域模式
# ========================================================
# 基於威脅情報的已知惡意網域特徵
self.phishing_domain_patterns = [
# 常見釣魚頂級網域
r".*\.xyz$",
r".*\.top$",
r".*\.tk$",
r".*\.ml$",
r".*\.ga$",
# 模仿知名服務的拼寫變體
r".*-secure\..*", # example-secure.com
r".*-login\..*", # example-login.com
r".*-verify\..*", # example-verify.com
r".*-update\..*", # example-update.com
r".*0ffice\..*", # 使用 0 代替 o
r".*micr0soft\..*", # Microsoft 拼寫變體
r".*amaz0n\..*", # Amazon 拼寫變體
r".*paypa1\..*", # PayPal 拼寫變體
r".*g00gle\..*", # Google 拼寫變體
# 常見的混淆技術
r".*-security\..*",
r".*-account\..*",
r".*-support\..*"
]
# ========================================================
# 合法服務的官方網域白名單
# ========================================================
# 用於識別偽造的服務通知
self.legitimate_domains = {
"microsoft": [
"microsoft.com", "office.com", "azure.com",
"live.com", "outlook.com", "hotmail.com"
],
"google": [
"google.com", "googleapis.com", "gmail.com",
"gstatic.com", "youtube.com"
],
"amazon": [
"amazon.com", "aws.amazon.com", "amazon.com.tw",
"amazonses.com"
],
"apple": [
"apple.com", "icloud.com", "me.com",
"mac.com"
],
"facebook": [
"facebook.com", "fb.com", "fbcdn.net"
]
}
# ========================================================
# 高風險檔案副檔名
# ========================================================
# 這些檔案類型經常被用於傳播惡意軟體
self.high_risk_extensions = {
"executable": [
".exe", ".bat", ".cmd", ".com", ".pif",
".scr", ".vbs", ".js", ".ws", ".wsf"
],
"script": [
".ps1", ".psm1", ".psd1", ".sh",
".py", ".rb", ".pl"
],
"installer": [
".msi", ".jar", ".app", ".deb", ".rpm"
],
"macro_documents": [
".docm", ".xlsm", ".pptm", ".xlm"
],
"compressed": [
".zip", ".rar", ".7z", ".gz", ".tar"
]
}
logger.info("社群工程偵測器初始化完成")
logger.info(f"載入 {len(self.suspicious_patterns)} 個模式類別")
logger.info(f"載入 {len(self.phishing_domain_patterns)} 個網域模式")
def analyze_email(self,
subject: str,
body: str,
sender: str,
links: List[str] = None,
attachments: List[str] = None,
headers: Dict[str, str] = None) -> AnalysisResult:
"""
分析電子郵件
對郵件進行全方位的社群工程特徵分析，包括內容分析、
寄件者驗證、連結檢查、附件評估等多個維度。
參數：
subject: 郵件主旨
body: 郵件內文
sender: 寄件者地址
links: 郵件中的連結列表（可選）
attachments: 附件檔名列表（可選）
headers: 郵件標頭資訊（可選）
回傳：
完整的分析結果，包含威脅等級、風險評分、
識別到的攻擊向量與處置建議
"""
import secrets
indicators = []
risk_score = 0.0
attack_vectors = []
# 合併主旨和內文進行分析
full_content = f"{subject} {body}".lower()
logger.info(f"開始分析郵件，主旨: {subject[:50]}...")
# ========================================================
# 檢查 1: 可疑詞彙模式分析
# ========================================================
pattern_results = self._analyze_suspicious_patterns(full_content)
risk_score += pattern_results["score"]
indicators.extend(pattern_results["indicators"])
attack_vectors.extend(pattern_results["vectors"])
# ========================================================
# 檢查 2: 寄件者真實性驗證
# ========================================================
sender_risk = self._analyze_sender(sender, headers)
risk_score += sender_risk["score"]
indicators.extend(sender_risk["indicators"])
if sender_risk.get("vector"):
attack_vectors.append(sender_risk["vector"])
# ========================================================
# 檢查 3: 連結安全性分析
# ========================================================
if links:
link_risk = self._analyze_links(links)
risk_score += link_risk["score"]
indicators.extend(link_risk["indicators"])
if link_risk.get("vector"):
attack_vectors.append(link_risk["vector"])
# ========================================================
# 檢查 4: 附件威脅評估
# ========================================================
if attachments:
attachment_risk = self._analyze_attachments(attachments)
risk_score += attachment_risk["score"]
indicators.extend(attachment_risk["indicators"])
# ========================================================
# 檢查 5: 語法與文法異常
# ========================================================
grammar_risk = self._check_grammar_issues(full_content)
risk_score += grammar_risk["score"]
indicators.extend(grammar_risk["indicators"])
# ========================================================
# 決定威脅等級
# ========================================================
threat_level = self._determine_threat_level(risk_score)
# ========================================================
# 計算判斷信心度
# ========================================================
confidence = self._calculate_confidence(
len(indicators), len(attack_vectors), risk_score
)
# ========================================================
# 生成處置建議
# ========================================================
recommendations = self._generate_recommendations(
threat_level, attack_vectors, indicators
)
result = AnalysisResult(
message_id=f"msg-{secrets.token_hex(8)}",
threat_level=threat_level,
risk_score=min(100, risk_score),
attack_vectors=list(set(attack_vectors)), # 去重
indicators=indicators,
recommendations=recommendations,
analyzed_at=datetime.now(),
confidence=confidence
)
logger.info(
f"郵件分析完成 - 威脅等級: {threat_level.value}, "
f"評分: {result.risk_score:.1f}, 信心度: {confidence:.2f}"
)
return result
def _analyze_suspicious_patterns(self, content: str) -> Dict:
"""
分析可疑詞彙模式
檢查內容中是否包含已知的社群工程攻擊模式。
不同類型的模式對應不同的攻擊向量。
參數：
content: 要分析的文字內容（已轉小寫）
回傳：
包含風險評分、指標與攻擊向量的字典
"""
result = {
"score": 0,
"indicators": [],
"vectors": []
}
# 為每種模式類別分配分數和對應的攻擊向量
pattern_config = {
"urgency": {
"score": 15,
"vector": AttackVector.URGENCY,
"description": "使用緊迫性語言"
},
"authority": {
"score": 20,
"vector": AttackVector.AUTHORITY,
"description": "冒充權威身份"
},
"threat": {
"score": 25,
"vector": AttackVector.THREAT,
"description": "使用威脅恐嚇"
},
"action_request": {
"score": 15,
"vector": AttackVector.CURIOSITY,
"description": "要求執行操作"
},
"impersonation": {
"score": 20,
"vector": AttackVector.IMPERSONATION,
"description": "偽造服務通知"
}
}
# 檢查每種模式類別
for category, patterns in self.suspicious_patterns.items():
config = pattern_config.get(category, {})
for pattern in patterns:
if re.search(pattern, content, re.IGNORECASE):
result["score"] += config.get("score", 10)
result["indicators"].append(
f"{config.get('description', category)}: "
f"偵測到相關關鍵字"
)
vector = config.get("vector")
if vector and vector not in result["vectors"]:
result["vectors"].append(vector)
# 每個類別只記錄一次
break
return result
def _analyze_sender(self,
sender: str,
headers: Optional[Dict] = None) -> Dict:
"""
分析寄件者真實性
檢查寄件者地址的可疑特徵，包括網域驗證、
顯示名稱與地址不符、以及郵件標頭異常等。
參數：
sender: 寄件者電子郵件地址
headers: 郵件標頭資訊（可選）
回傳：
包含風險評分、指標與攻擊向量的字典
"""
result = {
"score": 0,
"indicators": [],
"vector": None
}
# ========================================================
# 提取並驗證網域
# ========================================================
match = re.search(r"@([\w.-]+)", sender)
if not match:
result["score"] += 30
result["indicators"].append("無效的寄件者地址格式")
return result
domain = match.group(1).lower()
# ========================================================
# 檢查釣魚網域模式
# ========================================================
for pattern in self.phishing_domain_patterns:
if re.match(pattern, domain):
result["score"] += 35
result["indicators"].append(
f"寄件者網域符合已知釣魚模式: {domain}"
)
result["vector"] = AttackVector.IMPERSONATION
break
# ========================================================
# 檢查是否偽裝知名服務
# ========================================================
for service, legitimate in self.legitimate_domains.items():
if service in domain and domain not in legitimate:
result["score"] += 30
result["indicators"].append(
f"可能偽裝 {service.title()} 官方網域: {domain}"
)
result["vector"] = AttackVector.IMPERSONATION
break
# ========================================================
# 檢查郵件標頭（如果提供）
# ========================================================
if headers:
# 檢查 SPF、DKIM、DMARC 驗證結果
auth_results = headers.get("Authentication-Results", "")
if "spf=fail" in auth_results.lower():
result["score"] += 20
result["indicators"].append("SPF 驗證失敗")
if "dkim=fail" in auth_results.lower():
result["score"] += 15
result["indicators"].append("DKIM 簽章驗證失敗")
if "dmarc=fail" in auth_results.lower():
result["score"] += 25
result["indicators"].append("DMARC 策略驗證失敗")
# 檢查 Received 標頭異常
received = headers.get("Received", "")
if received:
# 檢查是否經過異常的郵件伺服器
suspicious_servers = ["free", "temp", "disposable"]
for sus in suspicious_servers:
if sus in received.lower():
result["score"] += 10
result["indicators"].append(
f"郵件經過可疑的中繼伺服器"
)
break
return result
def _analyze_links(self, links: List[str]) -> Dict:
"""
分析郵件中的連結
檢查連結是否指向可疑目標，包括 IP 位址、
短網址服務、URL 混淆技術等。
參數：
links: 連結 URL 列表
回傳：
包含風險評分、指標與攻擊向量的字典
"""
result = {
"score": 0,
"indicators": [],
"vector": None
}
for link in links:
link_lower = link.lower()
# ========================================================
# 檢查使用 IP 位址而非網域名稱
# ========================================================
if re.match(r"https?://\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}", link):
result["score"] += 25
result["indicators"].append(
f"連結使用 IP 位址而非網域名稱: {link}"
)
result["vector"] = AttackVector.TECHNICAL_SUPPORT
# ========================================================
# 檢查 URL 混淆技術
# ========================================================
# 檢查 @ 符號混淆（http://user@attacker.com）
parsed = urlparse(link)
if "@" in parsed.netloc:
result["score"] += 30
result["indicators"].append(
f"連結使用 @ 符號混淆實際目標: {link}"
)
# 檢查多重重導向
if link.count("http") > 1:
result["score"] += 20
result["indicators"].append(
f"連結包含多重重導向: {link}"
)
# ========================================================
# 檢查短網址服務
# ========================================================
short_url_services = [
"bit.ly", "tinyurl", "goo.gl", "t.co",
"ow.ly", "is.gd", "buff.ly"
]
for service in short_url_services:
if service in link_lower:
result["score"] += 15
result["indicators"].append(
f"使用短網址服務隱藏實際目標: {link}"
)
break
# ========================================================
# 檢查釣魚網域模式
# ========================================================
for pattern in self.phishing_domain_patterns:
if re.search(pattern, link_lower):
result["score"] += 35
result["indicators"].append(
f"連結網域符合已知釣魚模式: {link}"
)
result["vector"] = AttackVector.IMPERSONATION
break
return result
def _analyze_attachments(self, attachments: List[str]) -> Dict:
"""
分析附件威脅
檢查附件是否為高風險檔案類型，
或使用混淆技術（如雙重副檔名）。
參數：
attachments: 附件檔名列表
回傳：
包含風險評分與指標的字典
"""
result = {
"score": 0,
"indicators": []
}
for attachment in attachments:
attachment_lower = attachment.lower()
# ========================================================
# 檢查可執行檔案
# ========================================================
for ext in self.high_risk_extensions["executable"]:
if attachment_lower.endswith(ext):
result["score"] += 40
result["indicators"].append(
f"高風險可執行檔案附件: {attachment}"
)
break
# ========================================================
# 檢查腳本檔案
# ========================================================
for ext in self.high_risk_extensions["script"]:
if attachment_lower.endswith(ext):
result["score"] += 35
result["indicators"].append(
f"高風險腳本檔案附件: {attachment}"
)
break
# ========================================================
# 檢查包含巨集的文件
# ========================================================
for ext in self.high_risk_extensions["macro_documents"]:
if attachment_lower.endswith(ext):
result["score"] += 25
result["indicators"].append(
f"可能包含巨集的文件附件: {attachment}"
)
break
# ========================================================
# 檢查雙重副檔名混淆
# ========================================================
if attachment.count(".") > 1:
parts = attachment.split(".")
if len(parts) >= 3:
result["score"] += 30
result["indicators"].append(
f"附件使用雙重副檔名混淆: {attachment}"
)
# ========================================================
# 檢查壓縮檔案
# ========================================================
for ext in self.high_risk_extensions["compressed"]:
if attachment_lower.endswith(ext):
result["score"] += 10
result["indicators"].append(
f"壓縮檔案附件（可能包含惡意內容）: {attachment}"
)
break
return result
def _check_grammar_issues(self, content: str) -> Dict:
"""
檢查語法與文法問題
識別可能表明釣魚郵件的語法錯誤、
不自然的表達或過度使用標點符號等特徵。
參數：
content: 郵件內容
回傳：
包含風險評分與指標的字典
"""
result = {
"score": 0,
"indicators": []
}
# ========================================================
# 檢查常見的語法錯誤模式
# ========================================================
grammar_issues = [
(r"您的.*您的.*您的", "過度重複使用「您的」"),
(r"請.*請.*請.*請", "過度使用「請」"),
(r"!!+|\?\?+|\.\.\.+", "過度使用標點符號"),
(r"親愛的.*親愛的", "重複問候語"),
]
for pattern, description in grammar_issues:
if re.search(pattern, content):
result["score"] += 5
result["indicators"].append(f"語法異常: {description}")
# ========================================================
# 檢查全大寫文字（英文）
# ========================================================
uppercase_words = re.findall(r"\b[A-Z]{4,}\b", content)
if len(uppercase_words) > 5:
result["score"] += 10
result["indicators"].append(
f"過度使用全大寫文字 ({len(uppercase_words)} 處)"
)
# ========================================================
# 檢查混合語言（可能是機器翻譯）
# ========================================================
# 簡單檢查是否同時包含大量中文和英文
chinese_chars = len(re.findall(r"[\u4e00-\u9fff]", content))
english_words = len(re.findall(r"\b[a-zA-Z]+\b", content))
if chinese_chars > 100 and english_words > 50:
# 計算混合比例
total = chinese_chars + english_words
mix_ratio = min(chinese_chars, english_words) / total
if mix_ratio > 0.3: # 混合度超過 30%
result["score"] += 8
result["indicators"].append(
"語言混合異常（可能是機器翻譯）"
)
return result
def _determine_threat_level(self, risk_score: float) -> ThreatLevel:
"""
決定威脅等級
根據風險評分判斷整體威脅等級。
分數範圍基於實際案例的統計分析。
參數：
risk_score: 累積的風險評分
回傳：
對應的威脅等級
"""
if risk_score >= 80:
return ThreatLevel.CRITICAL
elif risk_score >= 60:
return ThreatLevel.HIGH
elif risk_score >= 40:
return ThreatLevel.MEDIUM
elif risk_score >= 20:
return ThreatLevel.LOW
else:
return ThreatLevel.CLEAN
def _calculate_confidence(self,
indicator_count: int,
vector_count: int,
risk_score: float) -> float:
"""
計算判斷信心度
基於指標數量、攻擊向量種類和風險評分，
計算判斷結果的可信度。
參數：
indicator_count: 識別到的威脅指標數量
vector_count: 識別到的攻擊向量種類數量
risk_score: 風險評分
回傳：
信心度值（0.0 到 1.0）
"""
# 基礎信心度來自風險評分
base_confidence = min(risk_score / 100, 1.0)
# 多種指標提高信心度
indicator_boost = min(indicator_count * 0.05, 0.3)
# 多種攻擊向量提高信心度
vector_boost = min(vector_count * 0.1, 0.2)
confidence = min(base_confidence + indicator_boost + vector_boost, 1.0)
return confidence
def _generate_recommendations(self,
threat_level: ThreatLevel,
attack_vectors: List[AttackVector],
indicators: List[str]) -> List[str]:
"""
生成處置建議
根據威脅等級、攻擊向量與具體指標，
生成詳細且可執行的處置建議。
參數：
threat_level: 威脅等級
attack_vectors: 識別到的攻擊向量列表
indicators: 威脅指標列表
回傳：
處置建議列表
"""
recommendations = []
# ========================================================
# 依威脅等級提供基本建議
# ========================================================
if threat_level in [ThreatLevel.CRITICAL, ThreatLevel.HIGH]:
recommendations.extend([
"【立即行動】",
"1. 不要點擊郵件中的任何連結",
"2. 不要開啟任何附件",
"3. 不要回覆此郵件或提供任何資訊",
"4. 立即向資訊安全團隊回報此郵件",
"5. 如果已經點擊連結或輸入資訊：",
" - 立即變更所有相關帳戶的密碼",
" - 啟用多因素驗證（如果尚未啟用）",
" - 監控帳戶的異常活動",
" - 考慮通知相關的金融機構（如涉及財務資訊）"
])
elif threat_level == ThreatLevel.MEDIUM:
recommendations.extend([
"【謹慎處理】",
"1. 在採取任何行動前，先驗證寄件者身份",
"2. 透過其他管道（如電話）確認請求的真實性",
"3. 將滑鼠懸停在連結上檢查實際目標 URL",
"4. 不要直接點擊連結，手動輸入官方網址",
"5. 如有任何疑慮，向資訊安全團隊諮詢"
])
elif threat_level == ThreatLevel.LOW:
recommendations.extend([
"【保持警覺】",
"1. 仔細檢查郵件內容的合理性",
"2. 驗證任何敏感資訊的請求",
"3. 注意郵件中的不尋常之處"
])
# ========================================================
# 依攻擊向量提供專門建議
# ========================================================
if AttackVector.URGENCY in attack_vectors:
recommendations.append(
"\n【緊迫感攻擊】郵件試圖製造時間壓力，"
"這是社交工程的經典手法。合法通知通常不會"
"要求立即行動。請冷靜判斷，不要倉促決定。"
)
if AttackVector.AUTHORITY in attack_vectors:
recommendations.append(
"\n【權威冒充】郵件聲稱來自高階主管或官方機構。"
"請透過獨立管道（如公司內部通訊錄的電話號碼）"
"直接聯繫該人員確認。"
)
if AttackVector.THREAT in attack_vectors:
recommendations.append(
"\n【威脅恐嚇】郵件使用威脅語言，這是典型的詐騙手法。"
"合法組織不會透過郵件威脅採取立即法律行動或停用帳戶。"
)
if AttackVector.IMPERSONATION in attack_vectors:
recommendations.append(
"\n【身份偽造】郵件可能偽裝成知名服務。"
"請仔細檢查寄件者地址，不要相信顯示名稱。"
"直接前往該服務的官方網站檢查帳戶狀態。"
)
# ========================================================
# 依具體指標提供建議
# ========================================================
if any("附件" in i for i in indicators):
recommendations.append(
"\n【附件警告】郵件包含可疑附件。"
"在確認郵件來源真實性之前，絕不要開啟附件。"
"即使來自認識的人，也可能是其帳戶被入侵。"
)
if any("連結" in i for i in indicators):
recommendations.append(
"\n【連結警告】郵件包含可疑連結。"
"將滑鼠懸停在連結上（不要點擊）查看實際 URL。"
"如果需要前往該網站，請手動輸入網址而非點擊連結。"
)
return recommendations
def analyze_phone_call(self,
caller_claims: str,
requests: List[str],
caller_id: Optional[str] = None) -> AnalysisResult:
"""
分析電話通訊
識別電話中的社群工程攻擊特徵。
電話詐騙通常利用即時性和聲音的信任感。
參數：
caller_claims: 來電者聲稱的身份或所屬機構
requests: 來電者的要求列表
caller_id: 來電顯示號碼（可選）
回傳：
分析結果
"""
import secrets
indicators = []
risk_score = 0.0
attack_vectors = []
# ========================================================
# 檢查來電者聲稱的身份
# ========================================================
suspicious_claims = [
("技術支援|tech.*support", 20, AttackVector.TECHNICAL_SUPPORT),
("微軟|microsoft", 25, AttackVector.TECHNICAL_SUPPORT),
("蘋果|apple", 25, AttackVector.TECHNICAL_SUPPORT),
("銀行|bank", 25, AttackVector.AUTHORITY),
("國稅局|稅務|IRS|tax", 30, AttackVector.AUTHORITY),
("警察|警方|檢察|法院", 30, AttackVector.THREAT),
("健保|健康保險", 20, AttackVector.AUTHORITY)
]
for pattern, score, vector in suspicious_claims:
if re.search(pattern, caller_claims, re.IGNORECASE):
risk_score += score
indicators.append(f"聲稱來自敏感機構: {caller_claims}")
if vector not in attack_vectors:
attack_vectors.append(vector)
break
# ========================================================
# 檢查來電者的要求
# ========================================================
risky_requests = [
("密碼|password|PIN|驗證碼", 35),
("遠端.*存取|remote.*access|TeamViewer|AnyDesk", 30),
("轉帳|匯款|wire.*transfer|payment", 35),
("個人.*資料|personal.*information|身分證", 25),
("信用卡|credit.*card|卡號", 35),
("社會.*安全.*號碼|social.*security", 35),
("購買|buy|purchase", 20)
]
for request in requests:
for pattern, score in risky_requests:
if re.search(pattern, request, re.IGNORECASE):
risk_score += score
indicators.append(f"高風險要求: {request}")
break
# ========================================================
# 檢查來電號碼（如果提供）
# ========================================================
if caller_id:
# 檢查是否為國際號碼
if caller_id.startswith("+") and not caller_id.startswith("+886"):
risk_score += 15
indicators.append(f"來自國際號碼: {caller_id}")
# 檢查是否為已知詐騙號碼模式
# （這裡應該整合詐騙號碼資料庫）
if re.match(r"\+1-\d{3}-000-\d{4}", caller_id):
risk_score += 25
indicators.append("來電號碼符合已知詐騙模式")
threat_level = self._determine_threat_level(risk_score)
confidence = self._calculate_confidence(
len(indicators), len(attack_vectors), risk_score
)
recommendations = [
"【電話詐騙防範】",
"1. 不要在電話中提供任何敏感資訊",
"2. 不要依賴來電顯示判斷真實性（可能被偽造）",
"3. 要求來電者提供可驗證的聯絡方式和案件編號",
"4. 主動撥打官方公開的號碼確認來電真實性",
"5. 記錄通話時間、內容和來電號碼",
"6. 向相關機構回報可疑來電",
"7. 如果感到威脅或壓力，直接掛斷電話"
]
if AttackVector.TECHNICAL_SUPPORT in attack_vectors:
recommendations.append(
"\n【技術支援詐騙】微軟、蘋果等公司絕不會"
"主動致電告知電腦有問題。這是經典的詐騙手法。"
)
return AnalysisResult(
message_id=f"call-{secrets.token_hex(8)}",
threat_level=threat_level,
risk_score=min(100, risk_score),
attack_vectors=attack_vectors,
indicators=indicators,
recommendations=recommendations,
analyzed_at=datetime.now(),
confidence=confidence
)
# ============================================================
# 使用範例
# ============================================================
def demonstrate_social_engineering_detection():
"""
示範社群工程偵測功能
展示系統如何分析和識別各種類型的社群工程攻擊
"""
detector = SocialEngineeringDetector()
print("=" * 80)
print("社群工程攻擊偵測系統示範".center(80))
print("=" * 80)
# ========================================================
# 示範 1: 分析可疑釣魚郵件
# ========================================================
print("\n【示範 1】分析可疑釣魚郵件")
print("-" * 80)
result = detector.analyze_email(
subject="緊急：您的 Microsoft 365 帳戶將被暫停",
body="""
親愛的用戶，
我們偵測到您的 Microsoft 365 帳戶有異常的登入活動。
為了保護您的帳戶安全，我們需要您立即驗證身份。
請在 24 小時內點擊以下連結完成驗證，否則您的帳戶
將被永久暫停，所有資料將被刪除。
驗證連結：http://micr0soft-secure-login.xyz/verify?id=12345
如果您未能及時處理，我們將採取法律行動。
此致
Microsoft 安全團隊
""",
sender="security@micr0soft-secure.xyz",
links=["http://micr0soft-secure-login.xyz/verify?id=12345"],
attachments=["urgent_verification.docm"]
)
print(f"\n威脅等級: {result.threat_level.value.upper()}")
print(f"風險評分: {result.risk_score:.1f}/100")
print(f"判斷信心度: {result.confidence:.1%}")
print(f"\n識別到的攻擊向量:")
for vector in result.attack_vectors:
print(f" - {vector.value}")
print(f"\n威脅指標:")
for idx, indicator in enumerate(result.indicators[:10], 1): # 只顯示前10個
print(f" {idx}. {indicator}")
if len(result.indicators) > 10:
print(f" ... 還有 {len(result.indicators) - 10} 個指標")
print(f"\n處置建議:")
for rec in result.recommendations[:5]: # 只顯示前5個建議
print(f"{rec}")
# ========================================================
# 示範 2: 分析可疑電話
# ========================================================
print("\n" + "=" * 80)
print("【示範 2】分析可疑電話")
print("-" * 80)
call_result = detector.analyze_phone_call(
caller_claims="微軟亞洲技術支援中心",
requests=[
"您的電腦感染了病毒，需要遠端存取進行清理",
"請提供信用卡資訊支付技術服務費用 NT$ 3,999"
],
caller_id="+1-800-000-1234"
)
print(f"\n威脅等級: {call_result.threat_level.value.upper()}")
print(f"風險評分: {call_result.risk_score:.1f}/100")
print(f"判斷信心度: {call_result.confidence:.1%}")
print(f"\n識別到的攻擊向量:")
for vector in call_result.attack_vectors:
print(f" - {vector.value}")
print(f"\n威脅指標:")
for idx, indicator in enumerate(call_result.indicators, 1):
print(f" {idx}. {indicator}")
print("\n" + "=" * 80)
print("示範完成".center(80))
print("=" * 80)
if __name__ == "__main__":
demonstrate_social_engineering_detection()
這個社群工程偵測系統展示了如何運用技術手段輔助人員識別攻擊。系統採用多層次的檢測策略，從簡單的關鍵字匹配到複雜的模式識別，提供全面的威脅評估。重要的是，這個系統不是要取代人的判斷，而是提供額外的資訊幫助使用者做出更明智的決定。系統產生的建議具體且可執行，即使是非技術人員也能理解和遵循。
人員意識訓練的重要性
技術工具雖然重要，但最終還是人在做決定。定期的資訊安全意識訓練是防禦社群工程攻擊的關鍵。訓練應該涵蓋常見的攻擊手法、識別可疑通訊的技巧、正確的回報流程，以及萬一受騙後的補救措施。訓練不應該是單向的講課，而應該包含互動式的情境演練、模擬釣魚測試，以及定期的強化訓練。
模擬釣魚測試是檢驗訓練成效的有效方法。企業可以定期向員工發送模擬的釣魚郵件，追蹤有多少人點擊連結或輸入憑證。點擊的員工不應該被懲罰，而應該收到即時的教育訊息，說明他們剛才遇到的是測試，以及應該如何識別這類攻擊。這種「可教學時刻」的教育效果遠優於傳統的課堂訓練。
供應鏈安全的雙向風險管理
供應鏈攻擊是近年來快速增長的威脅類型，攻擊者不直接攻擊防護嚴密的目標企業，而是選擇從安全防護較弱的供應商、合作夥伴或軟體供應鏈切入。著名的 SolarWinds 事件就是供應鏈攻擊的典型案例，攻擊者在軟體更新中植入後門，透過受信任的更新機制將惡意程式碼散播到數千個組織。這個事件凸顯了供應鏈安全的重要性，以及傳統的網路邊界防禦在面對供應鏈攻擊時的無力。
供應鏈攻擊的雙向性
傳統上討論供應鏈安全時，企業主要關注上游供應商的風險，也就是企業從外部採購的產品和服務可能帶來的威脅。然而，供應鏈風險實際上是雙向的，下游客戶也可能成為攻擊企業的途徑。當企業向客戶提供產品或服務時，會不可避免地分享某些資訊，例如 API 金鑰、整合文件、技術支援聯絡方式等。如果客戶的安全防護不足，這些資訊可能被竊取並用於攻擊企業。
以下圖表展示了供應鏈攻擊的雙向風險模型：
@startuml
!define PLANTUML_FORMAT svg
!theme _none_
skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 14
skinparam minClassWidth 100
|上游供應鏈|
start
:識別上游供應商風險來源;
fork
:軟體供應商風險;
note right
惡意更新
SaaS/套裝軟體
end note
fork again
:雲端服務供應商風險;
note right
服務入侵
IaaS/PaaS
end note
fork again
:外包開發商風險;
note right
程式碼後門
系統整合
end note
fork again
:開源元件風險;
note right
漏洞元件
函式庫/框架
end note
fork again
:硬體供應商風險;
note right
韌體木馬
設備/韌體
end note
end fork
|企業組織|
:接收上游供應鏈產品/服務;
:執行資產盤點與風險評估;
:實施存取控制與監控審計;
note right
共同責任點：
資產盤點
風險評估
存取控制
監控審計
end note
:向下游提供產品/服務;
|下游供應鏈|
fork
:企業客戶風險;
note right
API 金鑰洩露
B2B 服務
end note
fork again
:合作夥伴風險;
note right
整合憑證外洩
系統整合
end note
fork again
:經銷商風險;
note right
商業資料外流
轉售夥伴
end note
fork again
:終端使用者風險;
note right
帳戶資訊洩露
個人用戶
end note
end fork
|風險管理|
:上游風險緩解措施;
note right
供應商評估
安全認證要求
持續監控
end note
:下游風險緩解措施;
note right
最小權限原則
憑證輪替機制
異常行為偵測
end note
stop
@enduml這個雙向風險模型強調了供應鏈安全不僅是防禦性的（保護企業免受供應商風險），也是主動性的（確保企業不會成為客戶的風險來源）。在雲端環境中，這個雙向性尤其明顯。企業的雲端資源可能同時扮演服務消費者（使用雲端供應商的服務）和服務提供者（向客戶提供雲端服務）的角色。
上游供應鏈風險管理
管理上游供應鏈風險需要建立完整的供應商評估與監控流程。在選擇供應商之前，應該進行詳細的安全評估，包含要求供應商提供安全認證證書（如 ISO 27001、SOC 2 Type II）、審查供應商的安全政策與程序、評估供應商的事件回應能力、了解供應商的安全團隊組成與資源，以及要求供應商填寫安全問卷。
對於軟體供應商，還應該特別關注其軟體開發生命週期（SDLC）的安全性。這包含詢問供應商是否實施安全編碼標準、是否進行程式碼審查、是否使用靜態與動態程式碼分析工具、如何管理第三方元件與開源程式庫、如何處理安全漏洞回報，以及軟體更新的簽章與驗證機制等。
在雲端環境中，還需要評估供應商的雲端安全架構。這包含資料加密（傳輸中和靜態）、存取控制機制、網路隔離、日誌與監控能力、備份與災難復原、以及合規認證等。如果供應商使用的是多租戶架構，還需要了解租戶隔離的實作方式，確保其他租戶的安全事件不會影響到企業的資料。
供應商評估不應該是一次性的活動，而應該是持續的過程。即使供應商在初始評估時符合所有要求，其安全狀況也可能隨時間變化。企業應該建立供應商持續監控機制，包含定期重新評估供應商的安全狀況、訂閱供應商的安全公告、監控公開的安全事件報導、追蹤供應商的認證狀態，以及定期進行安全審計。
下游供應鏈風險管理
下游供應鏈風險管理的核心是最小化分享給客戶的敏感資訊，並確保這些資訊即使洩露也不會造成重大損害。首先應該審視向客戶提供的所有資訊類型，識別其中的敏感資料。這可能包含 API 金鑰、整合憑證、技術文件、系統架構資訊、客戶資料庫結構、錯誤訊息等。
對於必須分享的敏感資訊，應該採取適當的保護措施。例如，API 金鑰應該具有最小權限範圍，只授予執行必要操作所需的權限。應該使用短期憑證而非長期憑證，定期輪替以降低洩露的影響。應該實施憑證限制，例如限制來源 IP 位址、使用率限制、時間限制等。應該提供憑證撤銷機制，讓客戶能夠在發現洩露時立即撤銷舊憑證並取得新憑證。
監控客戶環境中的異常活動也很重要。雖然企業無法直接控制客戶的安全,但可以透過監控 API 呼叫模式、存取時間、來源位置等資訊,識別可能表明憑證洩露的異常行為。例如,如果一個 API 金鑰突然從完全不同的地理位置發起大量呼叫,或是呼叫了從未使用過的 API 端點,這可能表明金鑰已被竊取並被攻擊者濫用。
滲透測試與弱點管理的持續改進
滲透測試是主動識別系統弱點的重要手段,透過模擬真實攻擊者的手法和思維,發現可能被利用的安全漏洞。與被動的弱點掃描不同,滲透測試會實際嘗試利用發現的弱點,驗證其可被利用性與潛在影響。這種主動測試能夠發現自動化掃描工具無法識別的邏輯缺陷、配置錯誤和業務流程弱點。
滲透測試的類型與方法論
滲透測試可以根據測試者擁有的資訊量分為黑箱測試、灰箱測試和白箱測試。黑箱測試模擬外部攻擊者的視角,測試者不掌握任何內部資訊,完全依賴公開可得的資訊進行偵察和攻擊。這種測試最接近真實的外部攻擊情境,但可能耗時較長且覆蓋面有限。
灰箱測試則提供部分內部資訊給測試者,例如系統架構文件、普通使用者帳戶等。這種方式能夠更有效地發現需要特定知識或權限才能觸發的弱點。白箱測試則提供完整的系統資訊,包含原始碼、系統配置、網路拓撲等,測試者可以進行最深入的分析,但這更接近程式碼審查而非真實攻擊模擬。
在雲端環境中進行滲透測試需要特別注意雲端服務供應商的政策。大多數雲端供應商要求客戶在進行滲透測試前提交申請並獲得許可。這是因為滲透測試活動可能觸發安全監控系統的警報,甚至影響多租戶環境中其他客戶的服務。不同的雲端供應商有不同的測試政策,有些允許特定類型的測試而不需要事先通知,有些則要求詳細的測試計畫和時間表。
以下圖表展示了完整的弱點管理生命週期：
@startuml
!define PLANTUML_FORMAT svg
!theme _none_
skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 14
skinparam minClassWidth 100
title 弱點管理生命週期
start
:資產識別與盤點;
note right
建立完整的資產清單
• 雲端虛擬機器
• 容器與映像
• 無伺服器函式
• 資料庫服務
• 網路資源
• 應用程式
end note
:弱點掃描;
note right
使用自動化工具定期掃描
• 已知 CVE 漏洞
• 配置錯誤
• 缺少修補程式
• 弱憑證
end note
:滲透測試;
note right
模擬真實攻擊
• 外部滲透測試
• 內部滲透測試
• 應用程式測試
• 社交工程測試
end note
:弱點驗證與分類;
note right
確認並評估弱點
• 驗證真實性（排除誤報）
• CVSS 評分
• 可被利用性評估
• 業務影響分析
end note
:風險優先排序;
partition "風險等級判斷" {
if (關鍵或高風險?) then (是)
:標記為緊急修復;
note right
關鍵弱點：24 小時內修復
高風險弱點：7 天內修復
end note
else (否)
:排程定期修復;
note right
中風險：30 天內修復
低風險：下次維護週期
end note
endif
}
:修補程式測試;
note right
在測試環境驗證
• 功能正常性測試
• 相容性測試
• 效能影響測試
• 回退計畫準備
end note
:修補程式部署;
note right
分階段部署
• 開發環境
• 測試環境
• 預生產環境
• 生產環境
end note
:修復驗證;
note right
確認弱點已修復
• 重新掃描
• 滲透測試複測
• 更新資產狀態
• 記錄修復活動
end note
:文件更新與報告;
note right
維護完整記錄
• 更新資產清單
• 記錄修復歷程
• 生成合規報告
• 經驗學習
end note
:持續監控;
note right
維持安全態勢
• 新弱點監控
• 配置漂移偵測
• 威脅情報整合
• 定期重新評估
end note
stop
@enduml這個生命週期展示了弱點管理不是一次性的專案,而是需要持續執行的過程。每個階段都有其重要性,缺少任何一個環節都可能導致弱點管理失效。特別重要的是修復驗證階段,許多組織在部署修補程式後就認為工作完成了,但實際上需要重新測試以確認弱點確實被修復,且沒有引入新的問題。
修補程式管理的挑戰與策略
修補程式管理是弱點管理中最具挑戰性的環節。理想狀況下,所有的弱點都應該在發現後立即修補,但現實中修補程式管理面臨諸多挑戰。首先是修補程式的可用性問題,供應商釋出修補程式需要時間,在修補程式發布前,企業只能依賴暫時性的緩解措施。其次是修補程式的相容性問題,某些修補程式可能與現有的應用程式或配置衝突,導致功能異常或效能下降。
在雲端環境中,修補程式管理的複雜性進一步增加。不同類型的雲端資源需要不同的修補策略。虛擬機器的修補類似於傳統伺服器,可以使用配置管理工具（如 Ansible、Chef、Puppet）或雲端原生的修補服務（如 AWS Systems Manager、Azure Update Management）來自動化修補流程。
容器化應用的修補則需要更新基礎映像。當發現容器映像包含有弱點的套件時,應該從最新的基礎映像重建容器映像,而不是在運行中的容器內進行修補。這需要建立完善的 CI/CD 流程,能夠快速重建和部署新版本的容器映像。無伺服器函式的修補則主要依賴雲端供應商,因為執行環境由供應商管理,企業只需確保函式程式碼本身不包含弱點。
建立有效的修補程式管理流程需要平衡安全性、穩定性與效率。對於關鍵的安全修補程式,應該建立加急流程,在測試驗證後盡快部署。對於一般的修補程式,可以採用定期維護窗口的方式,集中進行修補以減少對業務的干擾。應該建立修補程式的測試環境,在部署到生產環境前驗證修補程式的影響。應該準備回退計畫,如果修補程式導致問題,能夠快速回復到修補前的狀態。
此外,修補程式管理應該與變更管理流程整合。所有的修補活動都應該經過變更管理流程的審批、記錄和追蹤。這不僅有助於維持系統的穩定性,也滿足了許多合規框架（如 PCI DSS、HIPAA）對變更管理的要求。修補活動的完整記錄也是事件調查和合規審計的重要證據。
特權存取管理與零信任架構
特權帳戶擁有對關鍵系統和資料的完全控制權,使其成為攻擊者的首要目標。一旦攻擊者取得特權帳戶的憑證,就可以繞過大部分的安全控制,存取敏感資料、修改系統配置、建立後門,甚至完全破壞整個環境。因此,特權存取管理（Privileged Access Management, PAM）是雲端安全防禦的核心組成部分。
特權存取工作站的實作
特權存取工作站（Privileged Access Workstation, PAW）是專門用於執行特權操作的安全終端。這些工作站經過嚴格強化,只安裝執行管理任務所需的最小軟體集,並實施嚴格的存取控制。PAW 的設計原則是隔離特權操作,降低憑證被竊取的風險。
PAW 應該實施應用程式白名單,只允許執行明確授權的應用程式。這可以有效防止惡意軟體在 PAW 上執行。應該啟用全磁碟加密,保護 PAW 中儲存的任何敏感資訊。應該要求多因素驗證,僅擁有密碼不足以登入 PAW。PAW 應該在專用的網路區段上運行,與一般的企業網路隔離。所有從 PAW 發起的管理操作都應該被完整記錄和監控。
在雲端環境中,PAW 的概念可以擴展到雲端管理平台。企業應該建立專用的管理帳戶和管理訂閱,與生產環境分離。所有的雲端管理操作都應該透過這些專用帳戶執行,並實施嚴格的存取控制和監控。應該使用雲端原生的特權身份管理服務,例如 AWS IAM Identity Center、Azure Privileged Identity Management,或 Google Cloud Identity-Aware Proxy。
零信任架構的實施
零信任（Zero Trust）是一種安全理念,其核心原則是「永不信任,始終驗證」。在零信任模型中,不再假設網路內部是安全的,而是要求驗證每一個存取請求,無論其來源是內部還是外部。這種理念特別適合雲端環境,因為雲端的動態特性和分散式架構使得傳統的網路邊界變得模糊。
實施零信任架構涉及多個層面。在身份驗證層面,應該實施強驗證機制,包含多因素驗證、憑證式驗證,以及生物識別。應該採用持續驗證的概念,不僅在初始登入時驗證身份,還要在整個會話期間持續評估風險。在存取控制層面,應該實施細緻化的授權機制,基於身份、裝置狀態、位置、時間等多個因素動態決定存取權限。
在網路層面,應該實施微分段（Microsegmentation），將網路劃分為許多小的安全區段,每個區段之間都需要驗證和授權才能通訊。這可以防止攻擊者在入侵一個系統後橫向移動到其他系統。在雲端環境中,可以使用安全群組、網路存取控制清單、服務網格等技術實現微分段。
零信任架構還強調持續監控與分析。應該收集和分析所有的存取日誌、行為模式、異常活動等資訊,使用機器學習和行為分析技術識別潛在的威脅。應該建立自動化的回應機制,當偵測到異常行為時,能夠自動觸發警報、限制存取,甚至終止可疑會話。
實施零信任架構是一個漸進的過程,不是一蹴而就的。企業可以從識別最關鍵的資產和最敏感的資料開始,逐步建立保護機制。可以先針對特權帳戶實施零信任原則,然後逐步擴展到其他使用者和資源。重要的是要建立明確的策略和路線圖,持續推進零信任架構的實施。
總結而言,雲端安全防禦需要全方位的策略,涵蓋技術控制、流程管理和人員意識等多個層面。從安全的遠端連線架構到社群工程的防禦,從供應鏈的管理到弱點的修補,每個環節都需要適當的關注和投入。安全不是一次性的專案,而是需要持續監控、評估和改進的過程。只有建立全面的防禦體系,企業才能在享受雲端運算帶來的優勢的同時,有效地管理安全風險,保護關鍵資產免受威脅。
