美國內華達州日前發布一份極為罕見、透明度極高的資安事故調查報告，詳細揭露 2024 年 8 月州政府遭勒索軟件入侵的完整攻擊流程、偵測及復原行動。
是次事件影響超過 60 個政府部門，由網站、電話系統至多項市民線上服務均一度大範圍中斷。值得留意的是，內華達州並無支付勒索贖金，更於 28 日內自行恢復 90% 的關鍵系統。
個案透明度極高，屬少見由政府主動公開的完整攻擊鏈紀錄，對所有公營部門、科技企業及關鍵基礎設施均具重要警示意義。
攻擊源頭：一則 Google 廣告成為入侵缺口
報告指出，攻擊者最初於 5 月 14 日在內網取得立足點，源頭並非系統漏洞或釣魚電郵，而是：
一名資訊科技人員於 Google 搜尋工具下載時，點擊遭惡意廣告導向的假網站，下載了植入後門的系統管理工具。
這類攻擊手法稱為：
Malvertising（惡意廣告感染鏈）
近年威脅者經常偽裝成熱門 IT 工具，例如：
WinSCP、PuTTY、KeePass、AnyDesk、LogMeIn
目標並非普通用戶，而是擁有高權限的系統管理員，
攻擊者藉此直接取得可橫向移動及權限提升的關鍵入口。
最關鍵的突破點，是攻擊者成功入侵：
密碼保管庫（Password Vault）系統
竊取 26 組高權限帳戶憑證
讓他們得以：
- 登入核心伺服器
- 清除事件紀錄（隱藏痕跡）
- 進一步部署勒索軟件
8 月 24 日 08:30（UTC）／香港時間 16:30
勒索軟件全面啟動，內華達州政府的虛擬機伺服器群組同步被加密，系統全面癱瘓。
為何拒付贖金？「寧付加班費，不給駭客一分錢」
內華達州選擇不談判、不支付贖金，改為：
- 啟動既定資安應變手冊（Incident Response Playbook）
- 由 50 名內部員工合共加班 4,212 小時
- 以 259,000 美元加班費完成系統修復
若交由外包商處理，按市價計算成本將高出約 478,000 美元。
事件期間當局仍確保：
公務員薪金正常發放、公共安全通訊不中斷、市民服務逐步恢復。
事件揭示三大資安啟示
- 機構必須建立「假設已被入侵」的安全思維即使端點防毒偵測到後門，攻擊者仍可維持持續性存取。→ 零信任架構、持續監控、誘捕偵測必須到位。
- 密碼保管庫與高權限帳戶是攻防核心攻擊者一旦取得密碼庫，即可繞過所有邊界防護。→ 密碼庫、活動目錄、身分存取治理（IAM/PAM）屬首要防護重點。
- 備援機制不能只依賴備份本身備份遭刪除即會令復原陷入停擺。→ 備份須離線隔離、採用不可變更儲存，並定期演練還原流程。
結語：透明化，是最佳資安治理典範
內華達州這份報告的價值在於：
不掩飾、不粉飾，完整公開每一步攻擊細節。
這不單是系統復原，更是一次：
組織網絡韌性（Cyber Resilience）的成功示範、
政府與社會建立信任的重要範例、
所有企業及公營機構均可參考的資安治理教材。
面對日趨成熟的勒索軟件生態鏈，業界更需要：
更快的偵測能力、更完善的身分權限管理、更嚴謹的備援策略，
以及更真實、不避諱的事後檢討文化。
Source:
https://blog.billows.com.tw/?p=3990%EF%BC%89
