M01-06 · 安全控制與縱深防禦

CEH M01-06｜安全控制措施與縱深防禦

Security Controls & Defense in Depth

Module 01：Introduction to Ethical Hacking（道德駭客入門）

本課學習目標： 理解資安防護如何運作、不同安全控制措施的用途，以及為什麼一道防護失效，不應該讓整個系統跟著失守。

這是 CEH Module 01 的重要基礎。EC-Council 官方課程也將 Information Security Controls（資訊安全控制措施）列為本模組的學習內容。EC-Council

一、先說結論：資安不是追求一道永遠不會失效的防線

今天只要先理解三件事：

1. Security Controls（安全控制措施）： 為了降低風險，我們實際做了哪些防護？

2. Defense in Depth（縱深防禦）： 當第一道防護失效，其他防護能不能繼續保護資產？

3. Security Control Effectiveness（安全控制有效性）： 我們如何證明這些防護真的有作用？

舉個生活中的例子。

假設你經營一家銀行，金庫裡放著大量現金。

你會如何保護這些現金？

可能會設計：

- 第一層：銀行大門需要門禁卡。

- 第二層：金庫需要另外驗證身分。

- 第三層：即使進入金庫，也不能任意開啟所有保險箱。

- 第四層：監視器及警報系統監控異常行為。

- 第五層：發生事故時，有應變流程與必要的復原安排。

這些措施的工作不一樣。

門禁負責限制進入，監視器負責提供觀察紀錄，警報負責提醒異常，應變程序則協助控制損害。

縱深防禦的關鍵，不是防護措施的數量，而是不同措施能否在其他措施失效時，繼續發揮作用。

NIST 對 Defense in Depth 的定義，也強調整合人員、技術與營運能力，建立多層次的安全屏障。NIST Computer Security Resource Center

二、什麼是 Security Controls？

1. 從「風險」走向「防護」

還記得 M01-02 的四個概念嗎？

校訂補充｜上表的風險欄著重損失，完整評估還要看發生可能性與影響；不是只看損失金額，也不是把兩者機械相加。NIST 風險定義

你可以把整個思考過程理解為：

有價值的資產
      │
      ▼
辨識可能發生的威脅
      │
      ▼
找出弱點與可能造成的影響
      │
      ▼
評估風險
      │
      ▼
選擇適當的安全控制措施
      │
      ▼
驗證措施是否有效
      │
      ▼
重新評估剩餘風險

這是一個簡化的風險管理流程。

安全控制措施不一定是軟體，也可能是規章、工作流程、硬體設備，甚至是人員教育訓練。NIST Computer Security Resource Center

2. 三種常見的實作方式

假設我們要保護一間醫院的病歷資料。

第一種：Administrative Controls（管理性控制）

例如：

醫院規定，員工離職當天必須停止其系統存取權限。

這是一個管理制度。

不過，只有規定還不夠，必須有人執行、記錄並確認帳號真的已停用。

第二種：Technical Controls（技術性控制）

例如：

醫院資訊系統會檢查登入者的角色。

護理人員可以查看工作需要的病歷，但不能隨意修改醫師診斷紀錄。

這是透過系統實際執行的權限控制。

情境補充｜醫院角色與可讀寫範圍是虛構教學例，實際應依職務、照護關係、院內政策及適用規範設定，不能當作所有醫院通用的權限規則。

第三種：Physical Controls（實體性控制）

例如：

醫院伺服器機房必須刷卡才能進入。

這是為了避免未經授權的人直接接觸設備。

請注意：這三種分類是在問「透過什麼方式實作防護」，而不是在問防護措施的目的。

三、第二個分類：安全控制措施到底在做什麼？

這是 CEH 很值得掌握的部分。

最重要的是先認識三種功能，再補上復原。

1. Preventive：預防

想像你是一位學校老師。

學生可以登入教學平台查看成績，但不應該修改成績。

因此系統設定：

學生
 │
 ▼
登入教學平台
 │
 ▼
要求修改自己的成績
 │
 ▼
系統檢查權限
 │
 ▼
沒有修改權限
 │
 ▼
拒絕操作

這就是預防性控制。

注意這裡有兩個重要概念。

Authentication（身分驗證）

系統確認你是否通過身分驗證程序。

例如輸入密碼，再使用安全金鑰驗證。

Authorization（授權／權限控管）

系統決定你可以做什麼。

例如可以看成績，但不能修改成績。

兩者完全不同。

即使通過 MFA（多因素驗證），也不代表使用者可以存取系統中的所有資料。

這是 CEH 必須建立的基本觀念。

2. Detective：偵測

假設學生的帳號在一分鐘內嘗試修改成績 100 次。

系統記錄這些操作，並通知管理員。

這就是偵測性控制。

但要特別注意：

偵測到異常，不代表系統已經阻止異常。

例如：

- IDS（Intrusion Detection System，入侵偵測系統）：主要功能是偵測並通報可疑活動。

- IPS（Intrusion Prevention System，入侵防禦系統）：可以依設定偵測並阻擋特定活動。

兩者的核心差異，可以先理解為：

IDS：發現可疑行為 → 通報

IPS：發現符合阻擋條件的行為 → 執行阻擋

不過，實際效果仍取決於部署位置、規則及設定。不是安裝 IPS，就能阻止所有攻擊。

3. Corrective：矯正

假設管理員發現學生資料夾被錯誤設定為公開。

他將權限修改回正確狀態。

這是矯正性控制。

但是，這裡有一個重要問題：

如果資料在修正前就已經被下載呢？

修改權限不能讓已外洩的資料自動消失。

所以：

修正弱點，不等於已經消除所有損害。

4. Recovery：復原

假設教學平台的資料遭到破壞。

管理員透過經驗證的備份，還原正確資料。

這就是復原性控制的典型例子。

但備份至少有三個不同階段：

文字校訂｜原文寫「三個」，下方流程實際列出四個步驟；請以四步驟理解，原始附件仍完整保留。

建立備份
   ↓
確認備份受到保護
   ↓
實際測試還原
   ↓
確認資料正確、服務可正常運作

沒有經過還原測試，就不能只憑備份完成通知，認定系統一定能復原。

CISA 的勒索軟體防護指引也特別強調離線備份及定期測試，因為攻擊者可能嘗試刪除或加密可存取的備份。CISA

來源查核註｜原文連結的 CISA PDF 本次直接讀取回傳 403，未宣稱已完整讀取；備份應受保護並驗證還原的重點另可對照 NIST SP 800-53 的 CP-9、CP-10。NIST SP 800-53 Rev. 5

5. 還有其他控制類型嗎？

有。

例如：

- Deterrent（嚇阻性控制）：透過警告或可見的防護措施，降低違規動機。

- Directive（指導性控制）：透過政策、程序或明確指示，引導人員採取正確行為。

- Compensating（補償性控制）：原本要求的控制暫時無法實作時，使用經評估、能提供相當保護的替代措施。

不同標準可能有不同分類方式，而且一項措施可以同時具備多種功能。

因此，考試時最可靠的方式是判斷題目中的實際行為，而不是死背產品名稱。

四、Defense in Depth：一道防線失效，為什麼不應該全盤失守？

這是本課最重要的概念。

讓我們在腦中建立一個資訊系統。

假設有一間大學，系統中儲存學生資料。

你可以把資料放在中央，外面安排不同的防護。

           外部使用者
                │
                ▼
       ┌────────────────┐
       │ 第一層：登入驗證 │
       └────────────────┘
                │
                ▼
       ┌────────────────┐
       │ 第二層：角色權限 │
       └────────────────┘
                │
                ▼
       ┌────────────────┐
       │ 第三層：資料授權 │
       └────────────────┘
                │
                ▼
       ┌────────────────┐
       │   學生私人資料  │
       └────────────────┘

     監控與告警：觀察各層的活動
     備份與應變：支援處置及復原

這是一個教學用的簡化模型，不是實際網路架構必須遵循的固定層次。

現在我們模擬一個資安事件。

情境：一個員工的登入工作階段遭到濫用

假設攻擊者已經能使用某位客服員工的登入工作階段。

這表示第一道登入防護，已經不足以單獨阻擋這次操作。

接下來會發生什麼？

第一步：嘗試存取資料

攻擊者使用遭濫用的客服工作階段，要求讀取學生私人資料。

第二步：權限控制發揮作用

系統檢查：

「這個客服帳號有權限閱讀學生私人作答嗎？」

答案是沒有。

因此系統拒絕此次請求。

這裡就是 Least Privilege（最小權限原則）發揮價值的地方。

最小權限是指：使用者或程式只取得完成工作所必需的權限，不應額外持有不需要的權限。NIST Computer Security Resource Center

第三步：監控系統發出告警

管理員收到通知：

某個客服帳號正在嘗試存取不屬於其權限範圍的資料。

這是偵測功能。

第四步：管理員進行事件處置

管理員確認異常後，撤銷受影響的工作階段，並檢查其他存取紀錄。

這是矯正與事件處置的一部分。

第五步：檢查是否需要復原

如果資料沒有受到破壞，就不必為了展示備份功能而還原。

但如果調查確認資料遭到修改，就需要進一步評估並執行復原。

這個案例真正告訴我們什麼？

儘管遭濫用的工作階段可以發出請求，但資料權限控制仍然阻擋了這次未授權讀取。

這就是縱深防禦的意義。

但我們只能說：

已觀察到的這次未授權讀取請求遭到拒絕。

不能直接說：

系統絕對沒有任何資料外洩。

因為其他時間、帳號、資料或存取途徑，可能尚未經過調查。

五、為什麼三套防毒軟體，不一定比一套更安全？

銜接補充｜標題用防毒軟體提出問題，下文改用三套監控系統說明共同盲點；這是類比，不是對特定防毒產品或安裝數量的實測結論。

這是理解縱深防禦時，最容易被忽略的問題。

假設一家公司安裝三套監控系統。

但是這三套系統都依賴同一份不完整的日誌。

如果某些操作根本沒有被記錄：

                真實異常行為
                     │
                     ▼
                日誌未記錄
                     │
          ┌──────────┼──────────┐
          ▼          ▼          ▼
       監控 A      監控 B      監控 C
          │          │          │
          ▼          ▼          ▼
        沒看到     沒看到     沒看到

問題不是缺少監控工具，而是三套工具存在相同的盲點。

這叫做 Common-Mode Failure（共同模式失效）的典型情況。

也就是多個防護措施因為共享同一個弱點或依賴，而可能一起失效。

因此：

好的縱深防禦必須考慮不同控制措施的獨立性，而不只是數量。

另一個例子是備份。

如果正式資料與備份資料，都可以被同一個遭入侵的管理員帳號刪除，這些備份就可能一起遭到破壞。

改善方式可能包括將備份與正式環境適度隔離、限制刪除權限，以及使用不可任意修改的備份保存機制。

六、CEH 考試最值得掌握的五個判斷

有兩個容易混淆的陷阱。

陷阱一：同一項產品只能屬於一種控制。

錯。

例如一套安全產品可能同時具備偵測、告警與自動阻擋功能。

因此要根據題目描述的動作判斷。

陷阱二：已經有 MFA，代表帳號及資料就一定安全。

錯。

MFA 可以降低某些帳號遭未授權登入的風險。

但是，若已登入的工作階段遭到濫用、系統存在授權漏洞，或使用者本身擁有過大的權限，仍可能發生安全事件。

因此必須在登入之外，繼續實施權限控管及其他防護。

七、資安工程師如何驗證防護是否真的有效？

你不能只問：

「公司有沒有購買防火牆？」

你還要追問：

「防火牆的規則是否正確？」

「有沒有真的阻擋不應該通過的流量？」

「會不會同時阻擋合法服務？」

NIST SP 800-53A 將安全控制評估整理為三種重要方法：Examine（檢視）、Interview（訪談）及 Test（測試）。NIST Computer Security Resource Center

我們用教學平台作一個簡單實驗。

假設有兩個測試帳號：

- teacher_test：具有授課老師權限。

- student_test：具有一般學生權限。

在取得授權的隔離測試環境中，使用虛構成績資料。

如果全部測試符合預期，我們可以得到什麼結論？

我們可以說：

「這些指定測試情境中的安全控制符合預期。」

但還不能說：

「整個系統不存在任何安全漏洞。」

因為測試仍然存在範圍限制。

這也是資安工程中很重要的專業判斷：證據支持多大的結論，就只能下多大的結論。

八、把 M01-01 到 M01-06 串起來

現在我們將前面六堂課整合成一條邏輯主線。

你可以把資安工程師的工作想成一個完整流程：

確定要保護的資產
         ↓
辨識威脅與弱點
         ↓
評估風險
         ↓
取得授權，檢查攻擊面
         ↓
分析可能的攻擊行為
         ↓
設計多層安全控制
         ↓
測試控制措施是否有效
         ↓
改善弱點，持續監控

當你開始用這種方式思考，就不再只是記憶各種資安工具，而是能理解它們在整套防護架構中的角色。

九、理解檢核：CEH 情境題

現在請你用自己的話回答，不需要背英文術語。

情境：

某醫院系統使用 MFA 進行登入驗證。

某天，一位護理師已登入的工作階段遭到濫用。

對方嘗試讀取不屬於其照護範圍的病歷。

系統拒絕了這次存取，並留下紀錄。

監控系統隨後向管理員發出異常告警。

管理員於是宣稱：

「我們有 MFA，也有監控告警，因此可以證明絕對沒有病歷外洩。另外，備份系統每天都顯示成功，所以完全不用測試還原。」

請回答三個問題：

Q1｜預防性控制

在這個案例中，哪一項實際觀察可以支持「這次未授權讀取被阻擋」的結論？為什麼？

Q2｜偵測與證據

管理員為什麼不能只根據 MFA 與告警，就宣稱「絕對沒有任何病歷外洩」？

Q3｜復原性控制

為什麼備份系統每天顯示成功，還不能證明遭遇重大事故時，一定能成功恢復服務？

這三題分別檢查你對預防、偵測、復原，以及資安證據判讀的理解。

請先回答 Q1～Q3。我會依照 CEH 應具備的觀念，逐題評估你的理解是否正確，再針對不足的部分補充教學。

延伸連結｜M01-07 將控制放回風險管理與事件處置；M09-01 用人際信任情境說明，教育訓練仍需搭配身分驗證、授權及回報流程。這是概念關聯，不代表各頁已發布。

Q1｜展開白話參考解答

Q1｜支持阻擋的證據，是資料存取權限檢查確實拒絕了這次讀取，而且結果與對應紀錄可核對。MFA 是登入驗證，告警是偵測；兩者本身都不能代替這一次讀取遭拒的證據。結論只限這筆已觀察的請求。

Q2｜展開白話參考解答

Q2｜MFA 不能保證已登入的工作階段永遠不被濫用；告警只表示觀察到可疑行為，不代表所有途徑都已被阻擋。還要在授權範圍內檢查時間、帳號、資料、其他存取途徑及紀錄完整性。證據不足時應說『目前尚未確認其他外洩』，不能說『絕對沒有』。

Q3｜展開白話參考解答

Q3｜備份成功通知只支持備份工作回報完成，不能證明檔案完整、未被加密、解密金鑰可用，或服務能在需要的時間恢復。要保護備份，實際測試還原，確認資料正確、應用與相依服務能正常運作，並保留測試結果。