資安儀表板
外部曝險分析、重大漏洞、實兵演練、聯防監控、蜜罐誘捕、事件通報等六類量化指標
外部曝險分析：
經由外部檢測政府機關資通安全狀況，例如使用EASM工具或實兵演練，及早發現曝露於外部之風險
主要風險項目多呈下降 未部署WAF改善幅度較明顯
本次針對93個A、B級關鍵基礎設施(CI)進行EASM資安曝險檢測，前10大風險項目共計2,864項。其中，「元件高風險漏洞」以931項居首，「過時或弱加密協定」831項次之，「TLS憑證不受信任」589項位居第三。前三項合計2,351項，占前10大風險項目總數約82.1%，顯示目前外部曝險仍高度集中於元件漏洞、加密通訊及憑證管理等議題。相較上期2,919項，整體風險數量僅減少55項(約1.9%)；前三項占比則由約81.8%微增至約82.1%，風險結構未見明顯變化1。
進一步分析主要風險項目變化情形，「元件高風險漏洞」仍為最大宗風險，數量由940項微降至931項，降幅約1.0%。其中，Apache HTTP Server相關弱點(CVE-2024-38475)仍為主要風險來源，該弱點可能造成原始碼洩漏或程式碼執行風險，建議升級至Apache HTTP Server目前最新穩定修補版本。Apache官方確認CVE-2024-38475影響2.4.59以前版本，並自2.4.60修補；目前官方亦建議採用最新穩定版本，而非停留於早期修補版本。本期檢測出Drupal所使用之PEAR Archive_Tar函式庫相關弱點(CVE-2020-36193)，可能導致目錄遍歷風險。Drupal官方確認該弱點涉及其使用之PEAR Archive_Tar第三方函式庫。考量Drupal 7、8及9系列版本均已終止官方安全支援，建議升級至Drupal 11.4.x最新安全修補版本，以持續取得官方安全更新。「過時或弱加密協定」由840項微降至831項，降幅約1.1%；「TLS憑證不受信任」由607項降至589項，降幅約3.0%。另在網站防護設定方面，「CSP設定不當」由251項微降至247項，降幅約1.6%；「未部署WAF」由144項降至125項，降幅約13.2%。
防護建議：
除修補漏洞外，應：
建議受測單位採取下列防護措施
優先修補對外服務之高風險元件漏洞，並依原廠公告更新至已修補版本；如無法立即升級，應採取WAF、虛擬修補、限制存取來源或網路區隔等替代性防護措施
依據IETF RFC 10015建議在TLS 1.2中停用靜態RSA(如TLS_RSA_WITH_*)、有限域 DH(如TLS_DH_*)及DHE(如TLS_DHE_*)等密碼套件，並避免使用靜態ECDH(如 TLS_ECDH_*)之密碼套件，優先採用ECDHE等具前向保密性之安全金鑰交換機制
強化TLS憑證管理，定期確認憑證有效性、信任鏈及到期日，並建立憑證到期監控與自動續期機制
檢視網站CSP與WAF等安全防護設定，依實際業務需求調整安全政策，降低網站遭受跨網站腳本、惡意請求或其他Web攻擊之風險
建議受測單位採取下列管理措施
建立並定期更新對外資產、IP、網域、系統元件及憑證清冊，掌握資產版本與用途
建立高風險漏洞修補與追蹤機制，依漏洞嚴重程度訂定修補時限，並於完成修補後進行複測確認
定期盤點系統使用之軟體及第三方元件版本，持續關注原廠安全公告及CVE資訊，避免使用已停止支援或存在已知漏洞之版本
將漏洞修補、憑證更新、安全設定及複測要求納入委外維運管理機制，明確訂定處理時限與權責，確保改善措施落實
重⼤漏洞：
近⼀週本院研究⼈員發現以下重大漏洞資訊，建議組織內部進⾏檢查與修補
Microsoft高風險漏洞應盡速修補
微軟釋出115年8月份安全性更新，共修補包含Microsoft Teams、Azure SQL Database及Microsoft Planetary Computer Pro等共419個漏洞，其中包含61個高風險漏洞，且CVE-2026-68820已遭駭客利用。
實兵演練：
實兵演練係模擬真實攻擊情境，檢驗資通系統弱點、防護能力及應變機制，以提升整體資安防禦韌性
實兵演練揭露檔案存取控管失效 致系統敏感檔案遭未授權存取風險
本年資通系統實兵演練針對政府機關與關鍵基礎設施提供者，於擇定時間進行演練，至8/14止已累計269筆攻擊紀錄，本週新增弱點數量共4筆，分別為「無效的存取控管」2筆、「不安全的組態設定」1筆及「驗證機制失效」1筆。
本週演練發現，衝擊性較高之弱點為「無效的存取控管」。攻擊者於系統操作過程中，透過Burp Suite工具檢視系統功能請求內容，發現存在「api/download」檔案路徑。攻擊者發現於封包內存在參數「url」，嘗試修改「url」參數內容為「../../etc/shadow」進行測試，發現系統未針對檔案存取路徑進行驗證與存取控管，導致可透過竄改檔案路徑，存取非原預期範圍之系統檔案，並取得作業系統敏感檔案內容，造成系統資訊洩漏之風險。
建議機關及關鍵基礎設施提供者，採取下列防護措施
應全面檢視系統各項檔案下載、查詢及資料存取功能權限，確認僅能存取所需之檔案與資料
應建立系統功能與 API權限之定期檢視機制，針對新增、異動或變更之功能進行權限控管複查，確認使用者存取權限符合實際需求，避免因功能調整或權限設定異動造成存取控管失效
檔案下載功能應於伺服器端實施身分驗證與存取權限控管，避免直接使用使用者輸入之參數指定檔案路徑，並限制應用程式可存取之目錄範圍。另應對檔案路徑進行適當之驗證，以防範目錄遍歷(Path Traversal)等攻擊，降低未經授權存取系統敏感檔案之風險
資料來源：國家資通安全研究院資安週報重點節錄
