產品新訊
文 / MetaAge 邁達特 資安顧問 朱祐田 Silvia Chu
2025 年初，Pi 拍錢包的資安事件引起不少關注。回頭檢視整起事件的攻擊路徑，起點其實非常單純——一個主機防火牆上的漏洞。攻擊者利用這個漏洞取得防火牆權限，再非法存取內部員工的檔案伺服器，最終導致部分日常作業檔案外洩，其中包含 2019、2022 年專案上線時期的部分會員資料。
根據企業與第三方鑑識的結果，服務 App、交易系統、網頁本身並未遭入侵，個人帳號密碼、交易資料、信用卡號、點數均未受影響；企業後續也完成了防火牆修補升級、權限清查、非授權軟體清理，並導入了 EDR。過程中曾有駭客組織聲稱取得更大範圍的資料，但這類說法並不能作為企業調查確認的結果。
這起事件真正值得業界關注的，不是損害範圍，而是攻擊的起點——不是交易系統被攻破，而是一個容易被忽略的外部資產漏洞。一個看似不起眼的入口，足以成為通往企業內部資料的第一步。
無獨有偶，台灣資安圈這幾年還發生過另一起事件：地下頻道宣稱販售 96 家台灣企業的 Initial Access（初始入侵權限），部分媒體並將此事與已知漏洞 FortiBleed 連結報導。
然而後續發展出現了轉折：部分被點名的企業出面澄清並未發現入侵跡象，甚至有些企業根本不是相關設備的使用者。iThome 的後續調查也發現，資料來源、企業網域與設備使用情形之間存在矛盾，顯示這份名單可能是混合不同來源拼湊而成。
這起事件給出的啟示很清楚：Signal 不等於 Compromise，地下情報的「聲稱」不代表「已證實」的入侵。但這不代表這類情資沒有價值——它真正的意義，是讓企業有機會在被證實出事之前，就提早展開調查與確認。
除了尋找漏洞，攻擊者現在也可以「直接購買」入口。地下論壇上，企業的 VPN 帳密與網路存取權限，已經成為可以被交易的商品。這代表一件事：只要一組帳密仍然有效，攻擊者根本不需要「入侵」系統，他可以直接以合法身分「登入」。
這種行為在系統紀錄上，往往與正常員工登入沒有明顯差異，傳統資安設備很難即時察覺異常。因此，企業看到這類兜售訊號時，不能只是恐慌，而是要有能力去確認——這組帳密、這項服務、這條存取紀錄，是不是真的還有效。
把上述案例並列來看，會發現一個共通的結構：Pi 拍錢包走的是 Vulnerability Exposure（外部設備漏洞成為入侵入口），地下市場案例走的是 Credential/Access Exposure（企業帳密或存取權在地下市場被兜售）。路徑不同，但最終都通往同一個結果——Initial Access，攻擊者拿到了進入企業的第一把鑰匙。
企業真正該問自己的問題，其實只有四個：
攻擊者從外部看得到我們哪些資產？
企業的帳密或存取訊號，是否已經出現在外部？
有哪些服務存在可被利用的曝險？
企業能不能在事件爆發前，就先一步知道？
這四個問題，正是 External Attack Surface Management（EASM，外部資產曝險管理）要回答的核心命題。
CyCraft 將攻擊面管理的完整能力，整合為 XASM，底下涵蓋三個產品，分別對應攻擊生命週期的不同階段：
EASM（外部資產曝險管理）——看見外部資產、服務、漏洞、外洩帳密與地下情報，是攻擊發生「之前」最早能捕捉訊號的一層。
IASM（身分攻擊面管理）——分析 AD、Entra ID 等身分系統的帳號、權限與可能存在的 Attack Path，對應攻擊者「進來之後」在內部橫向移動的路徑。
EDR（端點偵測與回應）——確認攻擊是否真的落地、調查攻擊手法並阻止擴散，是事件發生時的最後一道防線。
三者並非各自獨立的工具堆疊，而是共用同一套資料與調查邏輯——這也是「越早看見外部入口，企業就越有機會在攻擊落地前採取行動」這句話背後真正的產品邏輯。
XCockpit EASM 的核心價值，可以用「駭客視角」這四個字來概括。它以企業的核心數位資產——Domain、IP、URL、Account——為中心，向外延伸出與這些資產相關聯的組織面，包含員工、顧客、子公司與供應鏈；再往外，則是各種可能的曝險面，涵蓋網站弱點、憑證弱點、DNS 弱點、Email 弱點、CVE 漏洞、軟體弱點、IP 網域信譽，甚至偽冒域名與暗網拍賣。
這套機制有三個關鍵特性：免安裝、非侵入，不需要在客戶環境中部署 agent，導入門檻低；7 乘 24 小時 AI 巡檢，持續在背景運作，而非仰賴人工排程去查；涵蓋 500 多項檢測項目，並透過 AI 進行可視化分析，將複雜的原始資料轉化為容易理解的風險地圖。
換句話說，EASM 不只是一套掃描漏洞的工具，而是持續建立「外部可觀測資產」與「風險」之間關聯圖的能力。
XCockpit EASM 建立了一套從發現到改善的完整管理流程，包含四項核心能力：
數位資產發掘——從一個 Root Domain 出發，探索出所有相關的 Domain、IP、Service 與 Account，把企業外部資產的完整地圖畫出來。
風險評估與分析——將外部資產、技術曝險與外洩情報建立關聯，找出真正具有風險的組合，而非孤立的單點告警。
自動建單與緩解——針對高風險事件自動建立改善項目並提供處置建議，把「發現問題」轉化為「有人在追蹤問題」。
調查報告與管理——以管理全景圖、趨勢分析與合規報告呈現整體曝險狀況，服務不同層級的溝通需求。
整個流程可以濃縮為一句話：Discover（發現）→ Assess（評估）→ Prioritize（排序）→ Mitigate（緩解）→ Monitor（持續監控）——這是一個持續運作的閉環，而不是做一次就結束的健檢。
資產發掘的邏輯是：從企業的 Root Domain 開始，向外搜尋相關的 Subdomain；再從這些 Subdomain 展開關聯的 IP、Account、Service；最後將這些資產與實際的 Risk Factors（風險因子）對應起來。
在這個過程中，系統會辨識每一項資產「第一次」與「最後一次」被觀測到的時間，協助判斷資產是否仍在使用，或是已被遺忘的孤兒資產；同時檢視企業在雲端上的資產與外部部署情形，並能直接從「資產」的角度，反查與其相關的所有風險事件。
很多企業的資安投資，集中在已知系統上，但真正出事的，往往是那些被遺忘、沒人管理的舊網域、測試環境或子公司資產——企業無法保護一個自己都不知道存在的資產。
找到資產之後，下一個問題是：這麼多資產，該先處理哪一個？XCockpit EASM 從五個面向評估企業的 Security Posture：
Certificate & Cipher——憑證有效性、信任鏈、弱加密演算法及過時的 TLS 版本
Email & DNS——SPF、DMARC、DNSSEC 等容易被忽略但關鍵的 DNS 配置
Website——資訊暴露、錯誤配置與可被利用的網站風險
Network——敏感服務暴露、不安全協定與網路防護不足
Application——過時軟體、軟體弱點，以及已被證實可利用的 Exploited Vulnerability
排序依據則綜合考量事件嚴重度、資產重要性、最近偵測時間、漏洞可利用程度，以及對業務的可能影響——而非單純依賴 CVSS 分數排序。企業真正需要的，不是一份更長的弱點清單，而是清楚知道先處理哪一個入口。
除了資產本身的技術弱點，EASM 也持續監控已經流到企業邊界之外的風險訊號，分為三個面向：
Compromised Credentials——監控暗網、論壇及惡意頻道中，與公司網域相關的帳號密碼外洩情況
Compromised Endpoint——識別因 Infostealer（資訊竊取惡意程式）而外洩的端點資料，包含瀏覽器儲存的帳密、Cookie、電子郵件帳號及服務資訊，代表即使企業系統本身未被攻破，員工個人裝置中毒同樣可能導致公司帳密外流
Darkweb Auction——監測地下市場中與公司 Root Domain 相關的資料出售、服務帳密或網路存取權訊號
需要特別說明的是，Darkweb Auction 屬於預警情報，不等於已確認入侵，但它讓 EASM 的防護視野，延伸到了企業自身系統之外——這是傳統內部資安工具完全無法觸及的範圍。
許多資安健檢報告最終的命運，是成為一份躺在硬碟裡沒人跟進的 PDF。XCockpit EASM 在發現高風險事件後，會自動建立 Mitigation Plan（改善計畫），並透過 AI 關聯分析，合併相關的重複事件，避免同一個根因被拆成多張工單；系統同時提供具體的改善與緩解建議，並支援 TO-DO → MITIGATED → DONE → IGNORED 完整的處置狀態生命週期。即使風險已標記為完成，系統仍會持續確認該風險是否再次出現。
資安健檢的成果不應該停在報告，而應該進入一個可以被追蹤的改善流程——這也是「一站式」服務與單次健檢最本質的差異：單次健檢完成後，三個月後的風險狀態可能已經完全不同。
同一份外部曝險資料，被設計成能同時服務技術團隊與管理層兩種不同需求：
EASM AI Briefing——面向技術團隊，由 AI 彙整資產數量與高風險問題，摘要出需要關注的外洩服務與改善方向
管理全景圖——面向管理者，包含 EASM Secure Score（綜合評分）、各風險面向評級、Security Posture 趨勢，以及整體曝險變化
法規與治理報告——對照資安法技術面控制項，以及 ISO 27001:2022 第 8 章控制項，協助企業進行治理、盤查與稽核準備
需要提醒的是，這份合規對照報告屬於技術面控制項對照與治理輔助，並不等同於企業已通過正式稽核或取得認證。同一份外部曝險資料，可以同時服務技術改善與管理溝通，這也是為什麼企業導入 EASM，獲得的不只是一個掃描工具，而是一套能同時滿足工程師與管理層兩種語言的溝通機制。
XASM 的三個產品，實際運作在同一個中控台——XCockpit 之上。以一起真實情境為例：
第一步，EASM 持續監測暗網情資，發現員工帳號資訊已遭外洩，並追蹤出洩漏源頭來自某台公司內部電腦。這是整起事件最早、也最容易被忽略的訊號。
第二步，系統直接銜接至 IASM，針對 AD 帳號進行安全性分析與攻擊路徑溯源，發現這組外洩帳號牽連到供應商帳號，存在被用於橫向移動的風險——外部的一筆帳密外洩，在同一介面中直接對應到內部的身分風險，無需人工跨系統比對。
第三步，EDR 自動針對該內網電腦進行鑑識，AI 協助定位惡意程式、完整攻擊管道與根因分析。
從一筆暗網外洩情資，到內部身分風險評估，再到端點鑑識與根因確認——整起事件的調查，全程都在同一個 XCockpit 畫面中完成，不需要在三套系統、三份報表之間來回切換比對。
這正是 XASM 與市場上各自獨立的 EASM、IASM、EDR 工具最本質的差異：不是三個產品拼在一起賣，而是用一個中控台，把攻擊前、中、後完整串成一條可追蹤、可行動的調查鏈。
把 XASM 的三個產品串起來看，可以看到一條完整的閉環：EASM 負責發現外部資產、漏洞、帳密及暗網訊號；IASM 負責確認身分權限，以及企業內部可能存在的 Attack Path；EDR 負責驗證攻擊是否真的落地、是否發生橫向移動；再往後銜接 MetaAge MSSP，提供持續監控、研判、隔離、鑑識與事件應變。這一整條線，正是「把一次性的資安健檢，升級成持續曝險管理」這句話背後的具體做法。
具體來說，企業可以透過五個行動步驟，逐步建立起這樣的能力：
從重要的 Root Domain 建立外部資產基線
盤點高風險資產與可利用曝險
驗證外洩帳密及地下情報
排定改善順序並持續追蹤
將重大訊號串接到事件應變流程
這幾起案例共同指向一個結論：企業無法保護一個自己都不知道存在的資產，也無法防範一個自己尚未察覺已經外流的帳密。真正有效的資安投資，不是等事件發生後才補救，而是持續掌握外部資產與風險的變化，在攻擊者行動之前先一步看見。
駭客不會等到企業下一次健檢。在被利用之前，先看見、先驗證、先處理——這正是 CyCraft XASM 與 MetaAge 一站式資安健檢服務，希望帶給企業的核心價值。立即聯繫 MetaAge 邁達特專業團隊，協助您把一次性檢查升級為持續曝險管理。
