本節僅記載公開資訊可證實內容，避免將未公開鑑識結果、未公開樣本分析或未公開事件時間線寫成既成事實。
一、公開已知事實與文件邊界
本節僅記載公開資訊可證實內容，避免將未公開鑑識結果、未公開樣本分析或未公開事件時間線寫成既成事實。
|
項目 |
內容 |
|
公開重訊內容 |
某企業於 2026/03/XX 公開說明：部分資訊系統遭受網路攻擊，導致系統無法使用；公司已啟動資安防禦與復原機制，並委請外部資安技術專家協助處理，目前資訊系統已陸續恢復中。 |
|
公開資訊未證實事項 |
未公開證實是否為 LockBit 5.0、是否所有主機均遭加密、是否涉及資料外洩、是否波及 Exchange、備份或虛擬化平台，以及實際初始入侵途徑。 |
|
本白皮書定位 |
以下內容屬高機率情境研判與補強建議，供決策與治理使用，不可替代正式鑑識報告、法務意見或保險定損文件。 |
二、高機率攻擊情境研判
若企業內部後續鑑識確認本案涉及勒索軟體或大規模加密事件，依公開威脅情報與本案既有設備組合（Fortinet Firewall + Symantec 端點防護）推估，最需要優先檢查的方向如下。
|
研判項目 |
說明 |
優先度 |
|
邊界設備 / 遠端存取失守 |
應優先檢查 FortiGate、SSL-VPN、SSO、外部管理面與 VPN / RDP 有效帳號是否遭利用。近年 Fortinet 類設備確有被已知漏洞與後利用手法維持存取的案例，因此需優先檢視版本、外網管理暴露、VPN 成功登入來源、未授權管理帳號及 LDAP/AD 憑證風險。 |
高 |
|
AD / 高權限帳號遭濫用 |
即使未透過明顯惡意檔入侵，只要高權限帳號失守，攻擊者即可透過 GPO、PsExec、PowerShell Remoting、排程工作或服務建立等方式橫向擴散，造成大範圍停擺或加密。 |
高 |
|
端點防護偏向傳統 AV，前段預防不足 |
若端點層以傳統 AV 為主而缺少更強的執行前預防、產品自我保護與關聯可視性，則面對未知載荷、合法工具濫用或防護削弱技術時，較容易在前段失守。 |
高 |
|
治理與復原控制面不足 |
若 MFA、管理帳號分層、備份隔離、變更監控與還原前掃描未完善，即使已部署防火牆與端點防護，仍可能演變為大規模中斷。 |
高 |
|
判讀原則：本節刻意不將 ClickFix、Zombie ZIP、BYOVD、SilentButDeadly 或特定 AI 腳本寫成本案已確認事實。這些技術應被視為現代攻擊者可能採用的手法類型，仍待正式鑑識結果驗證。 |
三、為何既有 Fortinet + Symantec 架構仍可能失守
防火牆的核心價值在於邊界控管與流量過濾，但它無法單獨解決「有效帳號被盜用後的合法登入」問題。若攻擊者使用已取得的 VPN、RDP、AD 或 SSO 權限登入，許多行為在系統層面會呈現為正常管理操作。
端點防護若以傳統 AV 為主，其強項多集中在已知惡意檔、簽章比對與部分行為阻擋；但面對未知載荷、壓縮躲避、腳本濫用、合法管理工具與高權限橫向移動時，前段預防與整體關聯可視性可能不足。
若攻擊者進一步利用服務停用、排除路徑設定、WFP 通訊阻斷、BYOVD 或其他防護削弱技巧，則部分高度依賴雲端遙測的安全產品韌性也可能下降。這並不代表 EDR / MDR / XDR 無價值，而是說明它們不應被視為唯一的第一道防線。
|
治理面提醒：真正決定結果的，往往不是品牌名稱本身，而是版本是否修補、外部管理面是否關閉、MFA 是否落地、高權限是否分層、備份是否隔離，以及還原流程是否經過惡意內容掃描。 |
四、戰場清理與還原前檢核 SOP
即使系統已開始復原，也不代表環境已經潔淨。還原前若未完成身分清算、憑證輪替、管理面封鎖與惡意內容掃描，駭客可能利用既有持久化機制再次進入環境。
身分與帳號清算
• 導出並審核 FortiGate、AD、VPN、伺服器與雲端管理帳號。
• 立即停用不明管理帳號、舊服務帳號與非必要遠端維運帳號。
• 輪替高權限帳號、VPN、LDAP/AD Binding、服務帳號及本機管理員密碼。
設定與日誌稽核
• 檢視 FortiGate 版本、管理面暴露、策略異動與異常登入來源。
• 盤點 Windows 事件 4624、4625、4672、4688、4698、7045、4768、4769 等紀錄。
• 檢查是否存在服務停用、排除路徑、WFP 規則異動、GPO 異常變更與新建排程。
還原前惡意內容清場
• 在隔離環境中先對端點設備及主機進行惡意內容掃描。
• 若企業導入 Deep Instinct，可利用其執行前靜態判定能力降低將惡意檔、腳本或潛伏載荷一併還原回生產環境的風險。
• 對高風險壓縮檔、指令稿、批次檔、腳本與來源不明工具做額外複查。
還原與重建順序
• 先重建身份、跳板、管理端與關鍵基礎設施，再逐步恢復業務系統。
• 在尚未完成帳號輪替與管理面縮減前，不建議直接恢復對外開放的 VPN / RDP / 管理介面。
• 針對還原後主機進行強化基線檢查，再允許回到正式網段。
五、為何 Deep Instinct Prevention Endpoint 應被納入第一道端點防線
本節重點不在否定 EDR / MDR / XDR，而在重新定位：第一道防線應優先放在「讓惡意載荷難以成功執行」，第二層再由偵測與回應工具承接後續可視性、調查與止血。
|
能力面向 |
正式白皮書建議說法 |
|
執行前預防優先 |
Deep Instinct 官方將 DSX / Prevention for Endpoints 定位為 prevention-first 架構，重點在於於檔案或載荷真正執行前完成惡意判定，降低威脅落地後再擴散的機率。 |
|
本地判定韌性 |
依官方資料，其模型可在端點本地完成惡意 verdict，降低對即時雲端查詢的依賴；面對網段隔離、離線環境或雲端通訊受干擾情境時，理論上具有韌性優勢。 |
|
與 EDR / MDR / XDR 的分工 |
Deep Instinct 適合作為第一層，先攔截更多已知、未知與零時差威脅；EDR / MDR / XDR 則保留作為第二層，用於行為關聯、橫向移動調查與事件應變。 |
|
還原前掃描價值 |
在災後重建、重灌或還原檔案伺服器、郵件資料與備份資料前，先由執行前預防與靜態掃描守住第一層，有助降低將潛伏載荷重新帶回環境的風險。 |
|
|
六、分階段補強建議
1.應急清查
• 凍結並稽核 FortiGate、SSL-VPN、SSO、AD 管理帳號與設定差異。
• 全面輪替高權限帳號、VPN、LDAP/AD、服務帳號與本機管理密碼。
• 確認備份系統、虛擬化平台與檔案伺服器是否遭碰觸。
2.重建第一道防線
• 在重建後的端點與伺服器優先部署 Deep Instinct Prevention / DSX for Endpoints。
• 將高風險群組、關鍵伺服器、VDI、檔案伺服器與跳板機列入優先保護範圍。
• 建立還原前掃描 SOP，避免將惡意檔、腳本或受污染壓縮檔帶回環境。
3.補足第二層可視性
• 保留或補上 EDR / MDR / XDR 作為第二層，用於異常關聯、橫向移動追蹤與事件調查。
• 針對 WFP 規則異動、服務停用、排除路徑、PowerShell / PsExec / WMI 濫用建立告警。
• 將高權限帳號、GPO 變更、備份刪除與不可變更備份存取列為高敏感監控項目。
4.治理與演練
• 導入 Tiered Admin / PAM / 服務帳號最小權限化。
• 定期驗證不可變更備份與還原演練，將「災後靜態清場」納入標準流程。
• 建立主管版與技術版的事件分級及對外應變模板。
七、主管決策結論
• 本案公開可證實事實有限，因此正式文件應嚴格區分「已知事實」與「高機率研判」，避免將未公開證實的技術細節寫成既成事實。
• 若企業環境為 Fortinet Firewall 加上偏傳統的端點 AV，面對現代勒索集團常見的帳號濫用、邊界設備利用與自動化橫向移動，確有可能在前段失守。
• 補強方向不應只有再加強 EDR / MDR / XDR，而應將 Deep Instinct Prevention Endpoint 這類執行前預防能力納入第一道端點防線，再由 EDR / MDR / XDR 補足第二層可視性與調查能力。
• 企業真正需要的是「預防優先、偵測補強、治理兜底」的分層架構，而不是把事後偵測工具視為唯一萬靈丹。
|
可直接對主管使用的摘要：建議將本案定義為「公開事實有限，但足以反映傳統邊界 + 傳統 AV 架構已不足以單獨承擔第一道防線」的案例；後續重建應以 Deep Instinct Prevention Endpoint 為第一層、以 EDR / MDR / XDR 為第二層、以身份治理與不可變更備份為兜底。 |
附錄：參考資料（摘要）
• CISA StopRansomware: LockBit 3.0：說明 LockBit affiliates 常見的 Valid Accounts、RDP / VPN、橫向移動與工具濫用模式。
• Fortinet PSIRT 2025-2026 公告與分析：說明 FortiGate / SSO / 既知漏洞後利用與 LDAP/AD 憑證風險。
• Deep Instinct 官方 DSX for Endpoints 與 20 Milliseconds 產品資料：用於說明 prevention-first 定位與官方產品指標。