美國網路安全與基礎設施安全局（CISA）近期發布了一份名為 A Tale of Two SOCs 的技術公告（編號 AA26-237A），詳細記錄了針對兩家關鍵基礎設施組織所進行的同步紅隊演習結果。紅隊（Red Team）是指模擬真實攻擊者行為的專業安全團隊，旨在透過實際滲透測試來找出組織在技術、流程與人員上的防禦漏洞。這次演習最令人關注的結果在於，儘管 CISA 對兩家組織採取了高度相似的攻擊手法，但兩者的防禦成效卻截然不同：其中一家組織在完全被攻破後仍毫不知情，而另一家則在極短時間內成功攔截。
演習的對象分別為一家政府服務與設施部門組織（組織 A）以及一家水務與廢水系統部門組織（組織 B）。在這次測試中，兩家組織最終都在網域層級被完全掌控，且敏感業務系統與雲端資源均遭到入侵。然而，從偵測到反應的過程來看，組織 A 與組織 B 展現了完全不同的安全韌性。
針對組織 A 的攻擊過程揭示了典型的配置疏忽。紅隊首先發現一個使用預設帳號密碼的 Web 應用程式，藉此取得初步進入權限，並利用內部地址發送釣魚郵件，成功控制四台工作站。隨後，紅隊利用了預設的機器帳戶配額（Machine Account Quota，允許網域使用者新增機器帳戶的設定）以及配置錯誤的 Active Directory 憑證服務（AD CS）模板，執行了類似 Certighost 的憑證模板濫用攻擊，迅速將權限提升至網域管理員等級。
在深入滲透後，紅隊在系統中發現了以明文儲存的資料庫設定檔與永不過期的 Amazon Web Services（AWS）靜態存取金鑰，直接獲取了多個敏感業務系統的控制權。在雲端環境中，紅隊甚至盜取了主要重新整理權杖（Primary Refresh Token），並濫用具有高權限的 Entra ID 應用程式來讀取安全團隊的電子郵件，藉此監控防禦方是否發現其活動。令人震驚的是，組織 A 的安全運作中心（SOC）完全沒有偵測到這次入侵。
組織 A 的失效原因並非缺乏工具，而是由於運作流程的崩潰。其 SOC 每天產生數以千計的誤報（False Positives），許多高嚴重等級的警報被淹沒在日常雜訊中。此外，該組織運行多個 SOC 與端點偵測工具，但各系統之間缺乏統一的能見度。分析人員缺乏明確的呈報流程且權限不足，甚至在發現 System Center Configuration Manager（SCCM）伺服器有異常活動時，僅因無法確認該系統的所有者，便將其視為誤報而直接忽略。
相較之下，組織 B 的表現則截然不同。當紅隊執行初始釣魚載荷時，其 SOC 在 2 到 20 分鐘內便偵測到異常並迅速隔離受影響的工作站，成功切斷了指令與控制（C2）通道，阻止了攻擊的橫向擴展。為了讓演習能繼續進行，CISA 採取了假設已遭入侵（Assume-breach）的模型，由內部信任代理人直接在非特權主機上執行載荷。
即便在假設已入侵的情況下，紅隊在組織 B 發現了與組織 A 相似的漏洞，例如 SCCM 設定檔中含有明文的網域服務帳戶憑證。紅隊利用此憑證對網域控制站執行 DCSync 攻擊（一種模擬網域同步行為以盜取帳戶雜湊值的技術），成功獲取 krbtgt 密鑰。然而，當紅隊嘗試進入營運技術（OT）的非軍事區（DMZ）跳板機時，由於該主機嚴格禁止對外連接網路，導致 C2 通道無法建立，紅隊最終未能進入核心的 OT 系統。
這次演習為企業安全管理提供了深刻的教訓。CISA 強調，偵測工具的有效性並不取決於工具本身，而取決於支持這些工具的人員、流程與程序。組織 A 擁有工具卻因為過多的雜訊與僵化的組織結構而失效；組織 B 則透過高效的反應流程與嚴格的網路分段（Network Segmentation）將損害降至最低。
實務上，這提醒了安全管理者應優先處理憑證管理問題，例如禁用預設的機器帳戶配額、修正 AD CS 模板配置、禁止明文儲存憑證，以及將雲端金鑰設定為定期輪替。更重要的是，必須建立有效的警報分級機制與明確的事件應變流程，確保真正的威脅不會被淹沒在海量的誤報之中。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。