CEH M02-01｜被動與主動偵察：先分清楚，你是在查資料，還是在碰目標？
1. 先記住這個結論
判斷被動或主動偵察，不是看你有沒有打字、開工具，而是看蒐集資訊的過程，有沒有對目標系統產生直接互動。 被動不代表完全沒有網路流量；主動不等於已經入侵。兩者都不能跳過授權、隱私與證據查核。
想像你想了解一家咖啡店：看第三方平台已保存的菜單與評論，和打電話問店員「今天還有什麼豆子」，都能取得資訊，但後者會讓店家接收到你的詢問。資安偵察也有這個差別：讀既有線索，或主動向系統詢問。
這堂課只做合成情境與紙上判讀，不對真實第三方網站、帳號或主機測試。
2. 知識地圖：偵察是什麼，與前面學的有何關係？
Reconnaissance（偵察）是為後續決策蒐集目標相關資訊，例如有哪些網站、使用哪些技術、誰負責某項業務。防守方可以用它盤點外界看得到的資訊；攻擊者也可能用同一批資訊規劃詐騙或入侵。MITRE 的偵察分類同時包含主動與被動資訊蒐集。來源：MITRE Reconnaissance
Footprinting（足跡蒐集／輪廓建立）可先理解成「把零散線索整理成目標的輪廓」；不是看到一筆資料就認定整家公司都如此。
OSINT，Open-Source Intelligence（公開來源情報）是從公開可取得的資料，經蒐集、比對與分析形成有用途的情報。這裡的 open-source 指公開來源，不是只找開放原始碼。公開資料本身是素材，仍要判斷日期、真偽、適用範圍。
| 問題 | 本堂的判斷重點 |
|---|---|
| 我想知道什麼？ | 先定目的，不無限蒐集個資 |
| 資料在哪裡？ | 第三方既有資料，或目標自己的系統 |
| 我的動作送到哪裡？ | 看實際資料流，不只看工具名稱 |
| 看到的東西能證明什麼？ | 區分觀察、推論與待驗證 |
| 可不可以繼續？ | 看書面授權、範圍與停止條件 |
前面的 M09 社交工程告訴我們：知道職稱、活動與合作對象，就能讓冒充更像真的。本章反過來問「這些背景線索從哪裡來？」M01 的授權觀念則是全程的邊界。後面的 M02-02 才深入來源可信度，M03 再談掃描；這堂先建立分類方法。
3. 被動與主動：不是「安全／危險」二分法
上半部箭頭＝向第三方取資料；下半部箭頭＝直接與目標互動；被動不等於全世界都沒有流量
圖中文字最大不超過內文；欄寬不足時整張圖等比縮小，可開啟原圖放大。
- 讀圖重點
- 上半部箭頭＝向第三方取資料；下半部箭頭＝直接與目標互動；被動不等於全世界都沒有流量
Passive Reconnaissance（被動偵察）：相對於目標，不直接向目標系統發出探查請求，主要讀取第三方已持有的資訊。例如閱讀搜尋引擎索引摘要、第三方網站已保存的歷史資訊。
Active Reconnaissance（主動偵察）：為取得資訊，直接與目標系統互動。例如在授權實驗網段，向主機發出請求，觀察哪些服務回應。Probe（探查請求）就像有目的地敲門，透過回應了解狀態；不等於已闖進房間。MITRE 的 Active Scanning 明確描述向目標基礎設施送出網路探查流量。來源：MITRE Active Scanning
| 面向 | 被動偵察 | 主動偵察 |
|---|---|---|
| 互動對象 | 主要是第三方既有資訊 | 直接接觸目標系統 |
| 資料時效 | 可能過期、缺漏 | 較接近查詢當下，但仍有限制 |
| 目標可見性 | 目標通常較難直接看到你的查詢 | 目標或其代管服務可能留下紀錄 |
| 風險 | 隱私、來源錯誤、過度推論 | 加上系統負載、告警與越界風險 |
| 是否保證隱形 | 不保證，第三方可能記錄查詢 | 不保證，也不應以躲避紀錄為目的 |
| 能否直接證明漏洞 | 不能 | 單憑回應也不能 |
本堂採「是否直接與目標互動」的操作性定義。 不同教材可能把瀏覽公開官網稱為被動、半被動或低互動偵察；實務報告不要只貼標籤，要寫清楚動作：你是讀搜尋摘要，還是發出 HTTP 請求給官網？HTTP（Hypertext Transfer Protocol，超文字傳輸協定）就是瀏覽器與網站交換網頁內容常用的協定。
4. 最容易判錯的三個邊界
簡化模型；不以工具名稱判分類；有轉送、委派與其他快取策略；沒有觀測路徑，就保留未知
圖中文字最大不超過內文；欄寬不足時整張圖等比縮小，可開啟原圖放大。
- 讀圖重點
- 簡化模型；不以工具名稱判分類；有轉送、委派與其他快取策略；沒有觀測路徑，就保留未知
邊界一：查搜尋結果與點進官網不是同一件事
你只讀搜尋平台已保存的摘要，請求主要送給搜尋平台。你點開目標官網後，瀏覽器會向網站或其代管服務請求內容；這已是直接互動，網站可能記錄時間、來源位址、路徑等。正常瀏覽不等於漏洞掃描，也不代表惡意；但「低衝擊」不能當作「零互動」。 網頁還可能載入圖片、分析服務或其他外部資源，實際請求不一定只有一個。
邊界二：查 DNS 不能只靠工具名稱分類
DNS（Domain Name System，網域名稱系統）可以把名稱對應到網路服務資訊。Resolver（解析器）替你查詢；cache（快取）是暫時保存的答案；authoritative name server（權威名稱伺服器）則對特定區域提供具權威性的 DNS 資料。
如果解析器已有有效快取，可能直接回覆你；沒有答案時，可能再向其他 DNS 伺服器詢問，最後接觸該網域的權威服務。因此「我只問第三方解析器」不能保證目標相關服務完全沒有接收到查詢。這是簡化模型，實際還有轉送、委派與快取策略。來源：RFC 1034，DNS 概念、快取與遞迴查詢
邊界三：公開資料，不代表可以任意利用
公開徵才資訊提到某項技術，你可以在合法範圍內讀取，但不能因此推論「所有主機都用該技術」，更不能把它當作登入、掃描、猜密碼或蒐集不必要個資的授權。MITRE 也把公開網站、社群與程式碼平台列為可能的偵察來源；防守方不能只注意機房，忽略對外資訊。來源：MITRE Search Open Websites/Domains
5. 具體例子：替一間合成公司做外部資訊盤點
箭頭＝推理與查核步驟，不是因果；技術名稱 ≠ 現行版本 ≠ 可利用漏洞；驗證也可以讀現行資產紀錄
圖中文字最大不超過內文；欄寬不足時整張圖等比縮小，可開啟原圖放大。
- 讀圖重點
- 箭頭＝推理與查核步驟，不是因果；技術名稱 ≠ 現行版本 ≠ 可利用漏洞；驗證也可以讀現行資產紀錄
假設「海嶼咖啡」是完全虛構的公司，教材名稱為 `coffee.example`，所有資料都是人工製作，不連線測試。
你受託回答：「外界能不能拼出我們的客服與登入系統輪廓？」
- 1. 先讀授權：只准讀取提供的公開資料副本與內部資產清單，不准碰正式主機。不因為找到了新網址就自行擴大範圍。
- 2. 蒐集既有線索：第三方舊徵才快照寫著「熟悉某資料庫佳」。可以記錄「這份職缺曾提及這項技能」，不能寫「正式系統目前一定使用這套資料庫」。
- 3. 建立待驗證假設：某張歷史截圖出現客服入口。可以列為「可能的服務入口，日期與歸屬待核實」，不是現行資產清單的確定項目。
- 4. 遇到互動需求就停下來：若想直接連線確認服務是否存在，這已超出本次授權。改請資產管理者提供現行清單，或先完成授權變更；不能先做再補簽。
- 5. 交付有邊界的結論：「兩份歷史來源顯示曾有客服入口；目前是否仍提供服務未知。建議由系統負責人核對。」這比看似厲害但沒有證據的斷言更專業。
| 證據層級 | 範例 | 不可跳過的缺口 |
|---|---|---|
| Observation（觀察） | 截圖上看見一個客服網址 | 截圖日期、來源、完整性 |
| Inference（推論） | 公司可能曾提供客服入口 | 網址是否歸該公司、是否仍有效 |
| Verification（驗證） | 資產負責人以現行紀錄確認 | 確認時間、涵蓋範圍、可追溯依據 |
驗證不是永遠等於掃描。 有時查現行資產紀錄，既更可靠，也更符合授權。
6. 如何做得安全，又讓防守方有證據？
下方兩種結果不是連續執行；新發現的資產不會自動納入授權；保留既有允許工作，不先做再補簽
圖中文字最大不超過內文；欄寬不足時整張圖等比縮小，可開啟原圖放大。
- 讀圖重點
- 下方兩種結果不是連續執行；新發現的資產不會自動納入授權；保留既有允許工作，不先做再補簽
Rules of Engagement，ROE（測試執行規則）可把授權變成可操作的邊界：允許哪些資產、方法、時間與資料處理方式，遇到什麼情況停止，聯絡誰。NIST SP 800-115 是 2008 年發布的評估方法指引，不是本堂宣稱的最新法律或當代工具清單；其評估規劃與 ROE 範本可用來理解這些基本要求。來源：NIST SP 800-115
| 防護工作 | 為什麼有用 | 要留什麼證據 |
|---|---|---|
| 對外資訊盤點 | 降低不必要的技術、人員與流程曝光 | 發布清單、審核紀錄、移除後檢查 |
| 現行資產清冊 | 避免把歷史或他人資產當成自己的 | 負責人、用途、歸屬、更新日期 |
| 服務端與網路紀錄 | 看見可疑互動與探查模式 | 時間、目的服務、回應、關聯事件 |
| 流量限制與告警 | 減少異常密集請求造成的影響 | 規則、觸發紀錄、正常流量誤報檢查 |
| 最小蒐集與存取控制 | 不讓盤點報告反而成為敏感資料集中庫 | 蒐集目的、存取名單、保留與刪除規則 |
不是看到一次連線就能判定攻擊，也不是沒有告警就代表沒有人研究你。第三方平台上的查詢，可能根本不在你的監控範圍。應將時間、頻率、行為與其他證據一起分析。
7. 不用安裝工具的三分鐘練習與小檢核
拿一張紙畫三個框：「我」「第三方資料平台」「目標系統」。對每個動作畫出請求箭頭，再回答：目標是否收到互動？資料是否可能過期？這個動作是否在授權內？
練習情境全部是假設：A 讀第三方保存的舊網頁摘要；B 在隔離實驗室詢問自己的測試服務；C 從第三方解析器查名稱，但不知道快取狀態；D 看到一年前徵才頁寫某技術，直接認定正式主機有漏洞。
檢核 1：同一個瀏覽器，先讀搜尋摘要，再點官網，為什麼不能只用「我只是上網」來判定被動偵察？請說出兩條箭頭的終點。
檢核 2：你只向第三方 DNS 解析器查詢，能否保證目標權威 DNS 沒收到查詢？還缺什麼資訊？
檢核 3：歷史職缺提過某技術、正式系統某個服務有回應、資產負責人核對現行清單，這三種證據各能證明什麼？哪一種能單獨證明可被入侵？
檢核 4：授權只允許讀公開資料副本，但你發現一個疑似遺漏的主機。你下一步怎麼做，才能既有進度又不越界？
參考解答：1. 同一個瀏覽器，不同資料流
讀既有摘要時，主要箭頭是「我 → 搜尋平台」；點官網後，是「我 → 目標網站或其代管服務」。工具一樣，接收請求的系統不同。本堂採直接互動的定義，因此後者不是零互動；正常瀏覽仍不等同漏洞掃描。
參考解答：2. 第三方 DNS 不保證沒有間接互動
不能保證。解析器可能從有效快取回覆，也可能繼續向其他伺服器詢問。還需知道快取、轉送與實際解析路徑；只知道工具或解析器名字不夠。權威服務看到的來源也可能是解析器，不是原始查詢者。
參考解答：3. 三種證據，三種有限結論
舊職缺只能支持「當時公開文件提及某技能」；服務回應支持「特定時間、位置與請求條件下有回應」；負責人的現行清單可支持其涵蓋範圍內的資產歸屬與狀態。三者都不能單獨證明可被入侵。技術版本、設定、可達性與實際弱點仍須在授權內另行核實。
參考解答：4. 發現新線索，不等於範圍自動擴大
先記錄來源、時間、可能關聯與不確定性，列為待確認；請負責人核對，必要時先更新授權。原本允許的副本分析可繼續，但不要直接探測新主機。可疑範圍與異常情況依既定停止、通報規則處理。
8. 今天的一句話與下一步
先畫資料流，再判斷被動或主動；先看授權，再決定能不能做；先界定證據，再下結論。
本單元的學習成果是能解釋上述差異，不是完成一次真實目標偵察。下一單元 M02-02 才進一步處理 OSINT 來源與來源驗證。本次未要求或執行第三方探測；
概念 Q&A
待補：收到相關問題後，會整理為匿名教學版。