過去企業談資安，多半聚焦在「怎麼把駭客擋在門外」。但現在的攻擊環境已經不同，攻擊者可能透過釣魚、漏洞、被竊帳密或供應鏈風險取得初步存取權，再利用合法帳號與系統內建工具進行偵察、橫向移動，甚至尋找重要資料。

這也讓「如何在攻擊者進入環境後更早發現他」成為企業資安防禦的重要課題。

美國網路安全暨基礎設施安全局（CISA）近期發布 Cyber Decoy 指南，將 Cyber Decoy 納入偵測與事件回應思維。核心概念很簡單：既然不能假設駭客永遠進不來，就要設計一套機制，讓駭客進來之後更容易暴露。

Zero Trust 之後，還要思考「駭客進來了怎麼辦」

Zero Trust 的核心精神，是不因為使用者「已經在內網」就直接信任他。

但實務上，即使企業已經導入身分驗證、MFA、EDR、Firewall、SIEM 等防護措施，攻擊者一旦取得合法帳號，仍可能利用正常工具進行系統探索。

例如探索內部網路與伺服器、嘗試存取其他帳號、搜尋重要檔案與資料夾、進行橫向移動，或尋找備份與其他可利用的系統。

這些行為不一定會立即觸發傳統安全設備的高風險告警。

因此，Cyber Decoy 的思維不是再增加大量告警，而是刻意放置一些「正常使用者不應該碰到」的資產，讓攻擊者一旦碰觸，就成為高度可疑的訊號。

不只是 Honeypot，而是完整的欺敵防禦

Cyber Decoy 並不只是傳統的 Honeypot。

企業可以運用不同形式的誘餌，包括 Decoy 系統、帳號、憑證、檔案、URL、網路服務，以及 Honeytoken、Tripwire 等技術。

例如，在企業研發環境中，可以建立看起來像真的「R&D」資料夾，放入沒有實際敏感內容、但具有監控能力的誘餌檔案。

也可以建立一組看似具有管理權限的帳號或憑證。

如果一般員工根本不應該存取這些資源，一旦出現登入、讀取、複製或嘗試使用的行為，SOC 就可以立即收到告警。

這種做法最大的價值，就是降低「到底是不是攻擊」的判斷成本。

一般的登入行為可能是正常的；但一個從未被使用、且不應該被碰觸的 Decoy 帳號突然遭到嘗試登入，安全團隊就有更明確的調查方向。

CISA 提出的三種目的：Expose、Affect、Elicit

CISA 將欺敵防禦的目標概括為三個方向。

Expose：讓攻擊者現形

透過高可信度的誘餌與觸發條件，快速發現攻擊者。例如放置假的管理員憑證、誘餌資料夾或網路服務，只要攻擊者碰觸，就產生告警。

Affect：增加攻擊成本

讓攻擊者花時間在沒有實際價值的目標上，延緩其攻擊進程。例如提供看似重要、實際上沒有敏感資訊的資料，讓攻擊者在錯誤方向上花費更多時間。

Elicit：觀察並蒐集攻擊情報

透過高度擬真的受控環境觀察攻擊者的行為，進一步了解攻擊手法與工具。

不過這種方式對監控、紀錄與事件分析能力要求較高，因此企業通常可以先從 Expose 與 Affect 開始。

真正重要的不是「放了多少誘餌」，而是能不能形成偵測閉環

欺敵防禦最容易犯的錯，就是把它當成「多放幾台假的伺服器」。

實際上，Decoy 只有與既有的監控與事件回應流程整合，才能真正產生價值。

一個完整的流程應該包括：

部署 → 觸發 → 告警 → 分析 → 調查 → 回應 → 持續調整

例如，攻擊者碰觸一個誘餌帳號後，SOC 不只是收到一則告警，而是進一步確認：

這個帳號從哪裡被使用？來源 IP 是什麼？之前是否已經出現其他偵察行為？同一台設備是否還存取其他系統？是否有後續的橫向移動？

透過這些關聯，原本一個孤立的事件，就可能變成完整的攻擊行為軌跡。

對企業而言，最值得注意的是「合法帳號＋正常工具」

現在許多攻擊並不是一登入就執行明顯的惡意程式。

攻擊者可能使用已取得的合法帳號，再搭配 PowerShell、遠端管理工具或其他系統原生功能進行操作。

這也是企業為什麼越來越難單純依靠傳統特徵式偵測來判斷攻擊。

從資安實務來看，「攻擊者不應該做的事情」往往比「惡意程式長什麼樣子」更值得監控。

如果一名一般員工突然嘗試存取不存在於正常工作流程中的管理服務，或者某個從未使用過的高權限 Decoy 帳號突然出現登入行為，這類事件本身就具有很高的調查價值。

從 CISA 指南到企業實戰：欺敵防禦如何落地？

這也是 Acalvio ShadowPlex 所對應的企業應用場景。

企業可以在既有 IT、OT、雲端或混合環境中部署不同形式的 Decoy，包括虛擬主機、網路服務、帳號、憑證、檔案與其他誘餌，讓攻擊者在進行網路偵察、帳號嘗試、橫向移動或尋找敏感資料時，一旦碰觸這些 Decoy，就能產生高可信度的安全事件。

與其從大量正常使用者行為中尋找「哪一個可能是攻擊」，欺敵防禦採取的是另一種思維：

不是預測駭客下一步會做什麼，而是預先布置不應該被碰觸的帳號、系統或資料。一旦有人嘗試存取，就能產生高可信度的偵測訊號。

因此，ShadowPlex 並不是要取代 EDR、SIEM 或 SOC，而是補上傳統偵測機制較難處理的一個環節——當攻擊者已經進入環境，甚至使用合法帳號與正常工具進行偵察時，企業如何讓他自己暴露？

這也正是 Cyber Decoy 最值得企業關注的地方。

資安防禦不應只思考「怎麼阻止攻擊者進來」，也要開始思考：

如果駭客真的進來了，我們能不能讓他更早被發現、讓他的行為留下足夠證據，並在造成重大損害之前啟動事件回應？

對已經建立 EDR、SIEM、SOC 等資安防護能力的企業而言，欺敵防禦可以成為下一層的偵測補強，讓企業從「等待告警發生」，進一步走向「主動設計讓攻擊者暴露的環境」。

竣盟科技：從產品導入到長期在地支援

對企業而言，導入欺敵防禦平台不只是購買產品，更重要的是後續的部署、維運、調校與技術支援。

竣盟科技自 2020 年起代理 Acalvio ShadowPlex，持續深耕台灣市場，建立在地技術支援與客戶服務體系。

除了產品導入，我們同步培訓並建立具原廠認證的技術工程團隊，並定期為關鍵客戶與經銷夥伴提供 ShadowPlex 系統操作及維運訓練，協助客戶真正將平台能力融入既有資安環境。

我們也特別重視產品導入後的持續支援，避免企業在導入解決方案後，因缺乏技術資源而形成「孤兒產品」。從系統操作、維運到實際使用需求，提供持續且專業的技術協助。

對於過去曾使用類似欺敵解決方案，但因原廠停止支援而需要轉換平台的企業，竣盟科技也可提供 POC 測試、場地勘查與需求規劃，協助企業評估環境與需求，逐步銜接新一代欺敵誘捕與主動式防禦架構。

想了解 Acalvio ShadowPlex？

如果企業正在評估 Cyber Decoy、欺敵防禦，或希望強化現有 EDR、SIEM、SOC 的偵測能力，歡迎與竣盟科技團隊聯繫。

竣盟科技 Billows Technology
網站：www.billows.tech
Email：sales@billows.com.tw
電話：02-2562-3952

9月中旬，Cisco 與 Check Point 接連釋出重大安全更新，其中 Cisco Identity Services Engine（ISE）更出現 CVSS 10.0 的最高嚴重度漏洞，Cisco 已確認漏洞遭到實際利用；Check Point 的 Security Management Server 與 Log Server 則發現 CVSS 9.8 的遠端程式碼執行漏洞。

這一波漏洞有一個共同特徵：出問題的不是一般使用者電腦，而是企業用來管理網路、身分、防火牆與安全政策的核心系統。

對企業而言，這些平台本身就是高權限、高價值的管理入口。一旦遭到攻擊，影響可能不只是一台設備，而可能進一步牽動整個企業網路。

Cisco ISE 爆 CVSS 10.0，漏洞已遭實際利用

目前最需要優先處理的是 Cisco ISE 的 CVE-2026-76460。

Cisco ISE 是企業常用的網路存取控制平台，負責管理使用者與設備身分、網路存取權限，以及相關安全政策。

這次漏洞出現在 ISE 的 API 驗證機制。攻擊者可以從遠端送出特製請求，在不需要帳號、密碼，也不需要使用者操作的情況下繞過身分驗證。

更重要的是，Cisco 已確認這個漏洞正在遭到實際利用，且目前沒有可用的 workaround，受影響企業必須升級到修補版本。

Cisco 目前提供的修補版本包括：

• ISE 3.1：Patch 12
• ISE 3.2：Patch 11
• ISE 3.3：Patch 12
• ISE 3.4：Patch 7
• ISE 3.5：Patch 4

ISE 3.0 已進入終止維護階段，則建議移轉至仍受支援的版本。

為什麼 ISE 漏洞特別值得注意？

因為 ISE 本身就是企業網路的存取控制中心。

如果一般辦公室電腦遭到入侵，攻擊者通常還需要尋找其他帳號、系統或權限；但如果攻擊目標直接是管理網路存取的平台，攻擊者取得的可能是更有價值的資訊與權限。

例如企業有哪些使用者、哪些設備、網路如何分區，以及不同設備可以存取哪些資源。

這些資訊對攻擊者而言，就像一張企業網路的架構圖。

因此，CVE-2026-76460 真正值得注意的地方，不只是 CVSS 10.0，而是它提供了一條從遠端直接進入高權限管理平台的攻擊路徑。

Cisco 不只 ISE，Firewall Management Center 也出現重大漏洞

近期 Cisco 也針對 ISE 發布多項安全更新，涵蓋遠端程式碼執行、SQL Injection、XXE 及命令注入等問題，其中部分漏洞的 CVSS 評分同樣達到 10.0。

此外，企業用來集中管理防火牆政策與相關設備的 Cisco Secure Firewall Management Center 也出現多項重大漏洞。

不過，這些漏洞與 ISE 的情況仍有差異。Cisco 目前並未表示 Secure Firewall Management Center 相關漏洞已遭到實際利用，因此企業不應把所有漏洞都視為已發生攻擊。

但從資安管理角度來看，這類系統仍應列為高優先級資產。

原因很簡單：它管理的不是一台設備，而是一整套網路安全設定。

Check Point 也中招：CVSS 9.8，可取得 Root 權限

同樣值得注意的還有 Check Point。

Check Point Security Management Server 與 Log Server 被發現 CVE-2026-91843，CVSS 評分達 9.8。

該漏洞存在於登入處理流程，遠端攻擊者可能在不需要登入的情況下觸發漏洞，進而執行任意程式碼並取得 Root 權限。

Check Point 目前表示，尚未發現該漏洞遭到實際利用，並已透過 LivePatch 提供修補方式；啟用自動更新的客戶也可能已受到保護。

企業除了確認修補狀態，也應檢查 Trusted Clients 設定及管理伺服器的網路暴露情況，尤其不應讓不必要的管理介面直接暴露在 Internet。

Cisco、Check Point 的共同問題：管理平台成為高價值攻擊面

把 Cisco 與 Check Point 的事件放在一起看，可以看到一個值得企業注意的現象：

攻擊者盯上的，開始不只是防火牆、Server 或 PC，而是「負責管理這些設備的系統」。

這類管理平台通常具有三個特性。

第一是權限高。

ISE、Firewall Management Center、Security Management Server 都具備管理其他設備或安全政策的能力。

第二是掌握大量資訊。

這些平台通常可以看到使用者、設備、網路架構、存取政策及管理活動。

第三是影響範圍大。

一台 PC 被入侵，影響可能集中在單一使用者；但管理平台遭到控制，可能進一步影響一批網路設備或安全設定。

因此，企業不能只把這些系統視為「IT 管理工具」，而應該把它們視為企業最重要的安全控制點之一。

修補之後，還要回頭確認「有沒有被打過」

企業面對這類重大漏洞，不能只確認「現在已經 Patch」。

尤其 Cisco ISE 的 CVE-2026-76460 已經確認遭到實際利用，如果企業過去曾使用受影響版本，就應該進一步確認在修補之前是否曾出現異常活動。

包括異常登入、可疑 API 請求、帳號新增、權限變更、設定修改，以及不尋常的管理操作等。

「Patch 是把漏洞關起來，但不代表攻擊者過去沒有進來過。」

因此，企業處理這類漏洞應該分成兩個階段：先修補，再查證。

對已確認遭到利用的漏洞，更不能因為系統目前已經更新，就直接認定事件已經結束。

企業資安盤點，別忘了「管理資安的系統」

這次 Cisco 與 Check Point 接連出現重大漏洞，對企業最大的提醒可能不是「又多了幾個 CVE」，而是企業需要重新檢視自己的攻擊面。

過去做資安盤點時，企業通常會優先關注 Server、PC、Firewall、VPN 或端點設備；但現在，網路管理平台、身分管理平台、資安管理伺服器，同樣應該被列入高風險資產。

因為這些系統一旦被攻擊，攻擊者取得的可能不只是單一主機權限，而是企業整個網路環境的管理資訊與控制能力。

Cisco ISE 已經出現實際利用案例，Check Point 的漏洞目前則尚未發現遭到利用，兩者的風險狀態並不相同。

但兩起事件共同說明了一件事：

企業真正需要保護的，不只是防火牆和 Server，也包括那些「負責管理防火牆和 Server」的系統。

當攻擊者開始把企業的管理後台當成攻擊入口，資安團隊的漏洞管理策略，也必須從「哪些設備需要更新」，進一步擴大到「哪些系統一旦失守，可能影響整個企業網路」。

微軟才剛發布 9 月例行安全更新，Microsoft Defender 卻又被公開一個新的零時差漏洞。

9 月 9 日，資安研究員 Nightmare Eclipse 公開名為 ShieldCrash 的 Proof-of-Concept（PoC），聲稱可繞過微軟日前針對 Defender 漏洞 ShieldBreak（CVE-2026-69414） 所推出的修補機制。更值得注意的是，研究員宣稱，即使 Windows 10、Windows 11 與 Windows Server 已經安裝 9 月安全更新，仍可能透過 ShieldCrash 讓攻擊者以 SYSTEM 權限讀取任意檔案。

目前 Microsoft 尚未針對 ShieldCrash 公布正式 CVE 或完整修補方案，因此企業不應直接把研究員公開的 PoC 視為已經被 Microsoft 官方確認的漏洞。不過，從防禦角度來看，這起事件已經值得企業立即關注。

最值得注意的不是「又一個零時差」，而是「修補竟然可以被繞過」

ShieldCrash 的特殊之處，在於它並不是突然冒出來、完全獨立的一個漏洞。

它其實延續了一條非常值得企業注意的攻擊鏈：

RoguePlanet → ShieldBreak → ShieldCrash

今年 6 月，研究員先揭露 Microsoft Defender 的 RoguePlanet 漏洞；微軟在 7 月進行修補。之後研究員又發現 ShieldBreak（CVE-2026-69414），指出可以繞過先前的修補。微軟再於 9 月初針對 ShieldBreak 推出修正，但不到一週，ShieldCrash 又被公開，研究員宣稱可以再次繞過這次修補。

這代表一個非常重要的資安問題：

企業以為「漏洞已修好」，不代表原本的攻擊面真的已經消失。

如果修補只封住研究人員已經找到的攻擊路徑，而沒有把底層的權限控管或程式處理邏輯一起修正，攻擊者仍可能從另一條路進入。

這也是為什麼資安團隊不能只看「Patch Tuesday 有沒有更新完成」，還必須持續確認漏洞是否真的被有效緩解。

SYSTEM 權限到底有多嚴重？

很多人看到「SYSTEM」可能沒有概念。

在 Windows 環境中，SYSTEM 是非常高權限的本機安全性帳戶。一般使用者即使已經登入電腦，也不代表可以任意存取所有系統檔案；但如果攻擊者成功取得 SYSTEM 層級的操作能力，權限就會大幅提升。

目前公開的 ShieldCrash PoC，研究員聲稱主要展示的是：

以 SYSTEM 權限讀取任意檔案。

這點需要精確理解。

目前並不是「只要 ShieldCrash 成功，就可以立刻完全控制整台電腦」。研究員自己也表示，目前 PoC 主要展示任意檔案讀取，尚未提供完整的 SYSTEM shell 或任意寫入能力。

但從防禦角度來看，SYSTEM 層級的任意讀檔仍然不能輕忽。

因為企業電腦裡可能包含：

• 系統設定與安全性設定
• 應用程式設定檔
• API 金鑰與服務帳號資訊
• 憑證或其他敏感資訊
• 企業內部文件
• 應用程式所留下的機敏資料
• 部分 Windows 安全性資料

因此，「只能讀、不能寫」不代表風險很低。

如果攻擊者已經能在端點上執行低權限程式，再利用 Defender 本身的高權限元件取得 SYSTEM 層級讀檔能力，下一步就可能是尋找認證資訊、敏感設定或其他可以協助橫向移動的資料。

換句話說，ShieldCrash 真正值得企業關注的，是它可能成為攻擊鏈中的「權限提升與資訊蒐集工具」。

為什麼 Defender 反而成為攻擊者研究的目標？

這也是這次事件最值得資安主管思考的地方。

過去企業常把 EDR、AV、Endpoint Security 視為「保護電腦的東西」，因此容易產生一個直覺：

安全軟體本身應該比一般應用程式更安全。

但實際上，安全軟體往往擁有非常高的權限，而且需要深入 Windows 核心、檔案系統、程序、服務與其他系統元件。

也因此，一旦安全產品本身出現權限控管問題，影響反而可能比一般應用程式漏洞更值得注意。

這不是只有 Microsoft Defender 的問題。

近期 Nightmare Eclipse 也陸續公開針對其他資安產品的漏洞，包括 Kaspersky Endpoint Security、Avast，以及 CrowdStrike Falcon 等。這反映出一個越來越明顯的趨勢：

攻擊者開始把「企業用來防禦攻擊的工具」本身，也當成攻擊面。

「已經更新」不等於「可以放心」

對企業 IT 與資安團隊來說，目前最實際的問題不是要不要更新。

答案當然是：

該更新還是要更新。

ShieldBreak 的官方漏洞資料顯示，Microsoft Malware Protection Engine 的受影響版本低於 1.1.26080.3；Microsoft 已針對 ShieldBreak 提供修正。

因此企業首先仍應確認 Defender Malware Protection Engine、病毒碼與相關安全元件是否維持自動更新，以及實際版本是否已經達到 Microsoft 公布的修補版本。

但現在真正需要多做一步。

如果企業已經安裝 9 月更新，不要因此直接把 Defender 相關風險標示為「已解決」。

因為目前 ShieldCrash 的公開說法正是在挑戰這個假設：研究員宣稱，即使套用最新更新，特定條件下仍然存在相同類型的高權限操作路徑。

資安團隊現在應該做什麼？

在 Microsoft 尚未針對 ShieldCrash 發布正式修補前，企業可以先從「降低攻擊成功後的影響」著手。

第一，確認 Defender 與 Malware Protection Engine 的實際版本，不要只確認 Windows Update 顯示「已完成」。

第二，持續監控端點上的異常權限提升行為。 特別是低權限使用者程序突然出現高權限操作、異常存取敏感系統檔案，或安全軟體程序出現不符合正常行為的檔案存取活動。

第三，確認 EDR、SIEM 或 SOC 是否真的能看到這類異常。

這一點非常重要。

如果安全產品本身成為攻擊面，企業不能只依賴「該產品自己告訴我它沒有問題」。還需要透過其他層級的監控機制，觀察端點、帳號、程序與檔案存取行為。

第四，針對高價值端點降低橫向移動風險。

例如網域管理員工作站、財務系統管理主機、伺服器管理端點等，不應與一般辦公環境採取完全相同的權限與網路存取策略。

這次事件真正提醒企業的是「安全工具也不是信任邊界」

從資安專家的角度來看，ShieldCrash 最值得注意的地方，其實不是又出現一個新的漏洞名稱。

而是它再次提醒企業：

不要把「有安裝資安產品」直接等同於「這台主機就是安全的」。

Defender、EDR、AV、SIEM、NDR 都是防禦工具，但這些工具同樣存在程式碼、權限、服務與介面，也因此可能成為攻擊面。

更值得注意的是，這次漏洞揭露還呈現出另一個趨勢：漏洞修補與漏洞繞過之間的時間正在縮短。

從 RoguePlanet 到 ShieldBreak，再到 ShieldCrash，攻擊者不是每次都從零開始，而是會研究上一個修補到底改了什麼，再尋找下一個可以利用的缺口。

因此，企業的漏洞管理不應只停留在：

「這個 CVE 有沒有 Patch？」

更成熟的做法應該是：

「Patch 完成之後，這個攻擊路徑真的被關掉了嗎？」

這也是 ShieldCrash 對企業最大的警示。

目前 ShieldCrash 尚未有 Microsoft 正式 CVE 與官方修補資訊，企業應持續追蹤 Microsoft Security Response Center 的後續公告。在正式修補推出前，最重要的不是恐慌停用 Defender，而是確認版本、強化端點監控、降低高權限帳號暴露，並提高對異常 SYSTEM 層級活動的偵測能力。

因為真正危險的，從來不是「有漏洞」這件事本身，而是企業不知道漏洞已經被繞過，卻仍以為自己已經修好了。

中國背景的網路間諜組織 Fire Ant 再度擴大攻擊範圍。資安事件公司 Sygnia 最新調查發現，Fire Ant 不只入侵 VMware 虛擬化環境，更進一步將目標鎖定 Cisco IOS XR 路由器、TACACS 驗證伺服器與 Linux 管理主機，企圖掌握企業核心網路與管理權限。

這次攻擊最值得注意的地方，不只是「駭客進入了網路」，而是他們開始利用遭入侵的網路設備監看流量、竊取管理員憑證，同時刪除或隱藏自己的活動紀錄。

換句話說，駭客不只想進門，還想把監視器關掉。

從一條不明 GRE Tunnel 發現入侵

Sygnia 在調查一台 Cisco IOS XR 路由器時，發現設備出現一條沒有正常設定紀錄的 GRE Tunnel。沿著這條異常通道追查後，研究人員發現攻擊者已利用一台 Linux 主機，持續對其他網路進行連線與 Port 探測，包含 SSH、HTTP、SMB 與 RDP 等服務。

更進一步調查發現，Fire Ant 已將遭入侵的 Cisco 路由器當成「觀察站」，從多台 Cisco 設備擷取網路封包（PCAP），再將資料傳送到外部 FTP 伺服器。

這意味著，攻擊者取得路由器控制權後，可以從企業網路的核心位置觀察哪些系統正在互相通訊，以及哪些網路路徑值得進一步探索。

駭客盯上的不是一般帳號，而是網路管理員

Fire Ant 同時入侵企業使用的 TACACS/TACACS+ 驗證伺服器。

TACACS 是企業用來集中管理網路設備管理員登入權限的重要機制。一旦這類系統遭到攻擊，駭客取得的可能不是單一員工帳號，而是具有高度權限的網路管理憑證。

Sygnia 發現名為 TacTap 的工具，會將惡意程式碼注入 tac_plus 驗證程序，攔截登入連線並蒐集驗證資訊。

這種手法尤其危險，因為後續駭客可能使用竊取到的合法管理員帳號操作網路設備，讓攻擊行為更難與正常管理活動區分。

最危險的一招：讓企業看不到駭客

Fire Ant 的另一項行動更值得企業警戒。

研究人員發現，攻擊者修改 Cisco 路由器上的系統元件，讓部分 Log 訊息遭到過濾，甚至修改管理員查看設備設定時的指令輸出，藉此隱藏攻擊者建立的 Tunnel。

在 Linux 主機上，攻擊者也嘗試關閉 SELinux、修改登入紀錄，以及移除高權限操作相關的系統 Log。

這代表攻擊者已經不只是「躲避偵測」，而是直接破壞企業用來判斷是否遭到攻擊的證據。

因此，這起事件也帶來一個很重要的資安問題：

如果產生 Log 的設備本身已經被駭客控制，我們還能相信 Log 嗎？

Fire Ant 疑似與 UNC3886 高度相關

Sygnia 評估 Fire Ant 的活動與公開揭露的中國背景間諜組織 UNC3886 有高度重疊。

UNC3886 過去就曾被發現鎖定 VMware、網路設備與 TACACS 基礎設施，並利用工具竊取網路管理員憑證。不過 Sygnia 並未對 Fire Ant 與 UNC3886 做出確定性的歸屬，因此目前仍應視為高度重疊，而非確認為同一組織。

值得注意的是，Sygnia 也發現 Fire Ant 曾對與關鍵基礎設施相關的網路進行掃描與連線嘗試，但目前沒有證據證明這些目標已遭成功入侵。

台灣企業不能只盯著 EDR

這起事件對台灣企業最大的警訊，是資安防禦不能只放在 PC、Server 與 EDR。

路由器、TACACS、Jump Server、Hypervisor 等設備，同樣可能是高價值的攻擊目標。

尤其金融、電信、半導體、製造與政府供應鏈，網路設備往往連接大量內部與外部系統。一旦其中一個核心節點被控制，駭客取得的可能不只是單一設備，而是一張通往其他系統的「網路地圖」。

企業因此應重新檢查三件事：

第一，核心網路設備是否有獨立且持續的監控？

第二，TACACS、RADIUS、AD 等高權限驗證系統是否被視為 Tier-0 資產？

第三，重要 Log 是否已即時送往攻擊者無法修改的獨立平台？

尤其最後一點非常關鍵。

Router 說「沒有異常」、TACACS 說「沒有異常」，不代表真的沒有發生攻擊。企業應將 Router、Firewall、TACACS、AD、EDR、NetFlow 等不同來源的資訊交叉比對。

因為在 Fire Ant 這類攻擊中，「沒有留下紀錄」本身，就可能是一個警訊。

對企業而言，真正需要防守的已不只是「端點有沒有被駭」，而是整條網路、身分驗證與管理信任鏈是否仍然可信。