攻擊面定義 Cyber attacker mindset

• 攻擊面是所有潛在的漏洞，可能被威脅行為者利用。
• An attack surface is all the potential vulnerabilities that a threat actor could exploit.
• 分析攻擊面是安全團隊的首要任務。

內部與外部威脅

• 外部威脅：例如競爭對手竊取敏感資訊。
• 內部威脅：例如不滿的員工故意洩露私密資訊。

physical 物理攻擊面

• 由人員及其設備people and their devices組成，可能受到內部和外部的攻擊。
• 例子：在公共場所無人看管的筆記型電腦，敏感資訊暴露在外。

digital 數位攻擊面

• 數位攻擊面比較難以強化。
• 包括組織防火牆之外的所有內容。(使用第三方服務或工具。員工的遠端工作設備。與客戶、供應商的網路交互等。)
• 隨著雲計算的興起，信息可以從任何地方被訪問，擴大了數位攻擊面。

security hardening 安全加固

安全強化是透過減少系統漏洞及攻擊面來增強系統安全性，具體而言是藉由限制進入點來最小化攻擊面，並在物理攻擊面上設置障礙以阻止攻擊。

攻擊者思維

• 攻擊者思維：用於預見變化並識別漏洞。
• 準備計劃：透過模擬不同的問題來制定應對計劃。

模擬威脅：

主動模擬（Red Team）：假定攻擊者角色，利用漏洞。
被動模擬（Blue Team）：假定防守者角色，回應攻擊。

Red Team 和 Blue Team

漏洞評估vulnerability assessments的四步驟

• 識別（Identification）：標記出潛在漏洞的系統。例如，某台伺服器因運行過時的作業系統被標記為漏洞。
• 漏洞分析（Vulnerability analysis）：對該過時作業系統進行研究，以了解其存在的安全漏洞。
• 風險評估（Risk assessment）：評估每個漏洞的嚴重性並分析未進行修復可能會產生的影響。
• 修復（Remediation）：利用收集到的信息採取解決問題的措施。

網路安全威脅行為者Types of threat actors

威脅行為者定義

• 任何對安全構成風險的人或團體。
• 包括內部和外部人員。

to limit access to them

網路、伺服器、設備和人員構成的攻擊面經常成為被利用的對象，安全團隊需不斷防禦，而防禦關鍵在於限制對這些資源的訪問。

威脅行為者類型Threat actors

script kiddies

未經授權的駭客，或稱不道德的駭客，是指利用其程式設計技能犯罪的個人。未經授權的駭客也被稱為惡意駭客。此類駭客的技能水平差異很大。例如，有些駭客技能有限，無法自行編寫惡意軟體，有時被稱為腳本小子（script kiddies）。這類未經授權的駭客使用從其他更高技能的駭客那裡取得的事先撰寫好的程式碼進行攻擊。

bug bounty programs.

授權的或倫理駭客是指利用其程式設計技能來改善組織整體安全的個人。他們包括內部安全團隊成員，他們專注於測試和評估系統以保護攻擊面。他們也包括外部安全供應商和由某些公司激勵以發現和報告漏洞的自由駭客，這種做法被稱為漏洞獎勵計劃。

hacktivist

半授權駭客通常指可能違反道德標準但不被視為惡意的人。例如，駭客行動主義者 hacktivist可能利用自己的技能來達成政治目標。他們可能會利用公共事業公司的安全漏洞來提高對其存在的意識。這些類型的威脅行為者的意圖通常是暴露應在惡意駭客發現之前解決的安全風險。

高級持續性威脅（APTs）Advanced persistent threats

• 威脅行為者長期保持未經授權的系統訪問。
• 多與國家行為者State actors/ nation states/ state-sponsored actors相關，目的是監視目標以收集信息。

攻擊向量 Access points

「attack vectors」（攻擊向量）是一個資安領域的關鍵術語，指的是威脅行為者（threat actors）用來接觸或利用系統、網絡或設備漏洞的一種途徑或方法。簡單來說，它描述了攻擊者如何運用特定的技術或方式來突破安全防線，達成其攻擊目標。

• Direct access直接訪問：對系統的物理訪問。
• Removable media可移動媒體：如USB驅動器。
• Social media platforms社交媒體：用於通信的平臺。
• Email電子郵件：個人及商業賬戶。
• Wireless networks無線網絡：現場無線連接。
• Cloud services雲服務：第三方提供的服務。
• Supply chains 供應鏈：第三方供應商可能作為後門進入系統。