CISA公布兩起關鍵基礎設施紅隊演練成果，突顯SOC防禦落差並歸納3大關鍵教訓

CISA 公布兩起關鍵基礎設施紅隊演練成果　凸顯 SOC 防禦落差

美國網路安全暨基礎設施安全局（CISA）於 8 月 25 日發佈《A Tale of Two SOCs：Insights From Two Red Team Assessments》報告，揭露兩家關鍵基礎設施機構在紅隊（Red Team）模擬攻擊下的截然不同表現。機構 A 的資安維運中心（SOC）在整個攻擊過程中全程失守，根本未偵測亦未遏止入侵；相較之下，機構 B 的 SOC 能在 2 至 20 分鐘內發現異常，並手動隔離受害主機，迫使紅隊改以「假設已遭入侵（Assume Breach）」模式持續測試。兩起案例的對照，讓 CISA 歸納出 三大關鍵教訓，供企業與公共機關參考。

背景與影響

• 全域控制：兩支紅隊均成功取得整個網域的控制權，並能存取敏感業務系統與雲端資源，證實即使在高安全等級的關鍵基礎設施，若 SOC 防禦機制薄弱，仍可能被完整滲透。
• SOC 成效差距：機構 A 完全未偵測，顯示其監控規則、行為基準（Behavioral Baselines）與警示過濾機制缺失；機構 B 雖能快速偵測，卻仍需手動介入，說明權限與流程仍有瓶頸。

三大關鍵教訓

1. 建立並持續調校行為基準

   • 透過行為基準設定正常流量與操作模式，調整偵測工具以降低誤報（False Positive）噪音，讓防禦人員能在日常營運中即時辨識真正異常。

2. 打破部門壁壘、授予適當權限

   • 明確釐清 SOC 與其他單位的職責分工，賦予防禦人員足夠的操作權限，避免因官僚流程卡點而延誤即時處置。

3. 雲端環境的安全控制不可忽視

   • 針對工作負載身分（Workload Identities）實施條件式存取（Conditional Access），持續監控過度授權或長期未使用的權限。

   • 建立完整的偵測、修復與存取權杖（Token）撤銷或更新流程，並定期審查，以因應雲端資源被入侵的情境。

未來展望與讀者啟示

CISA 的這兩起紅隊演練提醒，資安防禦的成敗不在於單一工具，而在於整體監控機制、流程成熟度與跨部門協作。企業在規劃資安策略時，應優先落實行為基準、權責清晰與雲端存取的條件式控制，並持續演練「假設已遭入侵」的應變流程，才能在真實攻擊來臨時縮短偵測與遏止的時間。

行動呼籲：立即檢視自家 SOC 的偵測規則與權限配置，並於下一個資安演練中加入雲端工作負載的條件式存取測試，讓防禦體系從「被動」轉為「主動」防禦。