技術補帖

看完一題的結案筆記，這裡補三句話：這招叫什麼、防守方怎麼抓、解完問自己一題。

事件 1｜ICMP 酬載

練到：讀 ICMP 型別、展開 Data 酬載——酬載能夾資料，就是隱蔽通道的雛形；實務上是 SOC 告警分流與惡意程式外送分析的基本功。

防守：酬載大小不對稱、內容高熵、固定週期出現就該懷疑 → 非必要封鎖對外 ICMP echo，監控酬載大小與週期。

自問：如果資料夾在 echo reply 而不是 request，過濾條件要怎麼改？

事件 2｜FTP 明文憑證

練到：重組 TCP 對話、讀出明文憑證（CWE-319）——拿到任一個側錄點，全公司打過的帳密都形同裸奔；內網合規盤點與紅隊證據呈現都靠它。

防守：21／23 埠還有流量、指令是明文 → 停用 FTP／telnet 改 SFTP／SSH，防火牆封這兩個埠。

自問：改用 SFTP 就百分之百安全了嗎？還有哪些前提必須成立？

事件 3｜Telnet 逐字回顯

練到：並排比對雙向串流、還原使用者逐字輸入；老舊設備與 OT 取證、資產汰換評估都在用。

防守：管理平面（vty）出現 telnet 登入 → vty 只留 ssh，設備移進獨立管理網段並以 ACL 限制來源。

自問：為什麼密碼只出現在 client → server 一個方向，帳號卻兩個方向都有？

事件 4｜HTTP Basic

練到：讀 HTTP 標頭、解出編碼內容——編碼不等於加密，Basic 只是把帳密做了一次 Base64；稽核報告要求「傳輸加密」時，你就是要解釋這件事的人。

防守：內網出現 HTTP 請求夾帶 Basic 認證標頭 → 全站 HTTPS 加 HSTS、HTTP 一律導向，憑證一律輪替。

自問：換成 HTTPS 後，攻擊者還剩哪些手法？（憑證重用、工作階段竊取、重送）

事件 5｜DNS 隱蔽通道

練到：分辨正常查詢與外洩查詢、把分段編碼拼回——五題裡最接近真實 APT 手法的一題； DFIR 與威脅獵捕的日常。

防守：名稱過長、熵值偏高、週期固定、TXT 異常多 → 只允許查內部 resolver、阻擋直連外部 53、DNS 日誌建告警。

自問：改用 DoH（DNS 包進 HTTPS），你在網路層還看得到什麼？

同樣的封包，攻擊者看到機會、防守方看到訊號——能同時講出兩邊，就是履歷上寫得出來的東西。

真實工作裡，分析師的產出不是 flag，是別人看得懂、能據以行動的說明：

【觀察】時間／來源主機／協定：（我看到什麼現象）
【影響】可能曝險的資料或系統：（最壞情況是什麼）
【建議處置】立即動作與負責人：（誰在什麼時候前要做完什麼）

寫的時候分開「現象」與「推論」：前者封包裡看得到，後者是你的判斷——混在一起，通報就沒人敢照著做。

做完每一題，先別急著看分數，用這三題檢查自己是真的會了：