風雲網通系統 – 強化您的企業 IT 戰力

預算有限的設計事務所，資安先做哪一層

工程師思路系列・事出必有因 Mr. τ / 風雲網通系統　·　2026-11-11 #預算規劃#EDR#資安閘道器#分階段#設計事務所資安不必一次到位。這篇給預算有限的事務所一個由低到高的順序：先做不花錢的，再決定要不要加錢。本文不列金額，因為價格依規模與產品差異很大，請洽廠商報價。先揭露風雲網通有銷售資安閘道器等產品。為避免立場偏頗，本文把「免費就能做的事」放在最前面，也會指出付費方案做不到的事。預算有限，先做哪一層第 1 層：幾乎零成本，花的是時間 ✔把設計工作站切到獨立網段（第二篇）。 ✔專案檔放NAS，並關閉 NAS 對外連線。 ✔開啟 Windows 防火牆稽核與 Sysmon，觀察實際連去哪裡（第三篇）。 ✔把最在意的問題書面詢問原廠，保留回覆紀錄。多數事務所做完這一層，就已經比現況安全很多，而且看得見自己的網路。第 2 層：加一台資安閘道器適合人數較多、想集中管理與留下紀錄的事務所。好處是看得到每台設備的連外、可以集中設定。但要記得： •需要硬體與授權，授權到期後防護不再更新。 •沒做 SSL 檢查時，多半只看得到網域與流量。 •它能看見與限制連線，但不能判斷「廠商拿了什麼資料」。第 3 層：核心主機加 EDR／MDR EDR 是安裝在電腦上的偵測與回應軟體，MDR 是連同專人監控的服務。適合有保密合約、或曾發生資安事件的事務所，建議只用在核心工作站與 NAS。常見誤解 EDR 的目的是找惡意行為。廠商的授權驗證流量不會被當成惡意，所以 EDR 不等於管制授權連線。XDR 的範圍更大，對小型事務所通常太重。訂閱前請先試用，確認不會拖慢繪圖與算圖效能。該從哪一層開始？事務所類型我的建議理由個人或 1–3 人工作室只做第 1... » read more

Read

steven written 8 hours ago

怎麼自己驗證軟體連去哪裡：Windows 防火牆、Sysmon 與資安閘道器各看到什麼

工程師思路系列・事出必有因 Mr. τ / 風雲網通系統　·　2026-11-11 #Windows防火牆#Sysmon#資安閘道器#Zeek#連線稽核#MITRE ATT&CK 與其猜測軟體連去哪裡，不如直接看。這篇介紹三個位置可以觀察連外行為：電腦本機、網路出口、旁路側錄，說明各自「看得到什麼、看不到什麼」。先揭露風雲網通有銷售資安閘道器等網路設備（包含 Pico-UTM 系列）。本文以功能類型說明，最先建議的做法是免費的本機觀察，不一定要買設備。三個觀察位置：從左到右，看得越多，也越花工夫第 1 層：電腦本機（免費，先做這個） Windows Defender 防火牆稽核 Windows 內建的連線稽核功能，可以記錄「哪個程式連到哪裡」。啟用「篩選平台連線」稽核後，事件 5156 代表連線被允許、5157 代表被封鎖，內容包含程式路徑、方向、來源與目的位址、連接埠。官方文件標示這類事件量很大，所以建議只開一段時間，觀察完就關。 # 以系統管理員身分開啟命令提示字元 auditpol /set /subcategory:”Filtering Platform Connection” /success:enable /failure:enable # 觀察完畢後關閉 auditpol /set /subcategory:”Filtering Platform Connection” /success:disable /failure:disable 到「事件檢視器 → Windows 記錄 → 安全性」，篩選事件 ID 5156，就能看到每支程式連去哪個位址。 Sysmon（微軟 Sysinternals 免費工具） Sysmon 的事件... » read more

Read

steven written 8 hours ago

設計事務所的網路怎麼分區：獨立網段、NAS 與受控連外

工程師思路系列・事出必有因 Mr. τ / 風雲網通系統　·　2026-11-11 #網路分區#VLAN#NAS#最小權限#設計事務所上一篇我們談到：軟體需要定期連網驗證，但你不一定知道它還連去哪裡。既然無法確定，就用「讓重要檔案不在會連外的那一側」來降低風險。這篇用不用 IT 背景也看得懂的方式，說明事務所的網路可以怎麼分區。先看整體想法核心想法只有一句：需要上網的設備，和存放專案檔的設備，不要放在同一個區域。就像事務所把會客室和圖庫分開，客人可以進會客室，不能直接進圖庫。事務所網路分區示意圖：誰可以連外、誰不行四個區域各自的規則區域放什麼可否連外重點 A 一般辦公員工電腦、手機、Wi-Fi、郵件可以與專案檔案區互不直通 B 設計工作站 SketchUp、D5、Rhino 等工作站限定連外（只放行必要的網域）要保留授權驗證的連線，其他逐步收緊 C 專案檔案區 NAS 或檔案伺服器不連外只允許設計工作站區域來存取 D 高機密專用機（選配）特別敏感的案子完全不接網路需先確認授權方式，別忘了訂閱版有 28 天驗證為什麼 C 區不連外？專案檔案區如果能直接上網，一旦裡面任何一個程式或同步功能設定錯誤，檔案就可能被送出去。讓它「根本沒有出口」，是最簡單也最有效的做法。實際怎麼做：五個步驟 1 盤點現有設備列出路由器、交換器、NAS、每台電腦，確認各自接在哪裡。多數事務所其實都在同一個網段。 2 把設計工作站切到獨立網段用 VLAN（虛擬區域網路，可以把同一台交換器劃成多個互不相通的區域）或獨立的路由埠。這一步通常需要可管理型交換器。 3 專案檔放進... » read more

Read

steven written 8 hours ago

設計軟體會不會 Phone home？官方確認了什麼

工程師思路系列・事出必有因 Mr. τ / 風雲網通系統　·　2026-11-11 #SketchUp#授權驗證#資訊自主權#事實查核#設計事務所 SketchUp 訂閱版約每 28 天就需要連上網路，重新驗證一次授權。這是官方文件寫明的規則，也表示軟體一定會定期連回廠商。那麼，連回去的時候，除了驗證授權，還做了什麼？這篇只整理官方文件寫明的事，並把目前沒有證據的說法分開列出，讓你知道哪些已經確定、哪些需要自己查證。先說結論官方文件確認的是：訂閱版需要連網驗證授權、部分功能需要上網、有裝置數量限制，並且會蒐集匿名使用指標。至於使用資料到底蒐集到什麼程度，官方沒有公開逐項的欄位清單，所以後面兩篇教你怎麼自己觀察。一、官方文件確認的事以下以 SketchUp 為例，因為它是事務所最常用的軟體之一。每一項都附上官方頁面，請以官網最新內容為準。項目官方說法（重點）出處訂閱需要連網驗證需連網驗證訂閱授權，約每 28 天一次；平常不需要持續連線，只要 28 天內登入過即可離線使用 SketchUp Help：Login Frequency and Offline Usage 部分功能必須上網 Add Location、3D Warehouse、Extension Warehouse 等線上功能需要網路同上裝置數量限制最終使用者授權合約（EULA）限制每個訂閱內的應用程式，最多安裝並授權在 2 個執行個體或裝置 SketchUp Help：Managing Activations 登入方式以 Trimble ID 驗證身分 Trimble 的 SketchUp 隱私聲明蒐集匿名使用指標... » read more

Read

steven written 8 hours ago

[ 勤儉持家的維修 ] 削掉壞的那塊：硬體壞了不一定要整顆報廢

工程師思路系列｜維修實務｜ CPU ｜ GPU ｜降規運作｜故障隔離蘋果磕碰了一塊，削皮之後賣相不好、倒胃口。勤儉持家的人不會整顆丟掉，而是把受損的部分削掉，其餘的切片照吃。最近看到一段影片：華碩 i9 筆電，必須插上某一支特定鍵盤才喚醒得了，不插就睡死。維修師傅最後的做法，是限制 Windows 使用的處理器數量，問題就解決了。而且他沒有用任何外掛或特殊工具，用的是每台 Windows 都內建的 msconfig。這讓我想到另一件事：顯示卡花屏時，也有人用「停用一條記憶體通道」的方式把卡救回來。兩件事看起來像同一招，但層級完全不同。這篇就來把它們拆開，並且逐項標示「哪些有證據、哪些只是推測」。影片在這裡 https://www.facebook.com/share/v/1ACFdMtxVj/ 想看師傅實際操作的畫面，可以自己點進去看。一、案例一：CPU 少用幾個，睡眠喚醒就正常？思路電腦睡眠、喚醒是一場「所有核心一起關燈、一起開燈」的大合唱，只要其中一個環節沒跟上，整台就卡死。既然懷疑是多核心的電源狀態切換出問題，最直覺的測試就是：少叫幾個核心上場，看問題還在不在。步驟（Windows 端） 1 先在工作管理員的「效能」頁籤，記下目前的邏輯處理器數量。 2 以系統管理員身分開啟命令提示字元，下指令限制數量（影片中的例子：原本 32 個，限制為 24 個）。 3 重新開機，反覆測試睡眠與喚醒。 4 測完務必還原設定。系統設定（msconfig）→ 開機 → 進階選項 → 勾選「處理器數目」。圖中的數字 1 只是示範，影片中師傅設定的是 24。按下下拉選單，可以選擇要使用的處理器數目，選項上限通常就是這台電腦目前的邏輯處理器數量（此例為 8）。圖中選 6 只是示範。... » read more

Read

steven written 21 hours ago

IT 基礎單字推薦

本篇文章主要是用於接收: NSE 教育訓練與認證教材單字與例句網頁工具的網友推薦單字. (網頁線上版, 使用 Google 之類的語音, 會比較生硬, 特定單字可能唸不出慣用發音, 譬如: VLANs, IPsec …, 有興趣的朋友可以考慮讓 AI 將您手邊版本改用 Kokoro TTS 模型, 可以改善一些聽感.)

Read

steven written 4 days ago

了解資安威脅面對資安威脅處理資安防護 (NAS 篇)

工程師思路系列・事出必有因 .L0CK3D 勒索攻擊：C3RB3R（Cerber）以及 PHP2Shell 漏洞這類越來越多的事件，大力敲響了所有 NAS 廠商的資安警鐘。如果日常沒辦法做到像手機或電腦作業系統本身那樣的頻繁更新防護程度，就更難奢言「對外服務的伺服器」會有縝密資安防護的可能性。 NAS 買回來，多數人的第一個念頭是：「我出門在外，也想看到家裡或公司的檔案。」於是設定 DDNS、在路由器開幾個埠轉發，或是直接點開廠商的雲端連線服務。十分鐘搞定，方便得很。但從網路的另一端看過來，你的 NAS 只是一台「有登入頁、有版本號、有開放服務」的 Linux 伺服器。自動化掃描工具不會管你是公司還是家庭，它們只問一件事：這台有沒有已知漏洞可以用？這篇把兩件事講清楚：公開在網路上的伺服器會遇到哪些偵查與攻擊，以及只想給特定的人使用時，連線該怎麼設計。文末附上一份可以直接拿去勾的「快速自檢表」。先認識這 8 個詞，再往下讀文中帶徽章或虛線底線的術語，滑鼠移上去會顯示說明；手機沒有滑鼠提示，請看這個表，或直接跳到文末術語表。術語一句話 RCE 遠端程式碼執行。攻擊者從網路上讓你的 NAS 執行他的指令，最嚴重的漏洞類型 CVE CVSS CVE 是漏洞編號，CVSS 是嚴重度分數（0 到 10） KEV 美國 CISA 公布的「已確認被實際利用」漏洞清單 MFA 多因素驗證。密碼之外再加一道，例如手機驗證碼 VPN ZTNA 先通過一道受控的加密通道再連 NAS，NAS 本身不對網際網路開放 UPnP 讓設備自動叫路由器「幫我開洞」的功能，常在你不知情時開了門中繼原廠遠端服務的運作方式之一，連線先到原廠伺服器再轉到你的 NAS Immutable Backup 不可變備份。寫入後一段時間內，連管理員也改不了、刪不掉先講結論... » read more

Read

steven written 6 days ago

一個早上被刷三萬台幣，原因在八個月前的一次點擊：用 Kill Chain 看懂多層防護

工程師思路系列・事出必有因一個早上被刷三萬台幣，原因在八個月前的一次點擊：單層防禦為什麼高機率被擊穿最近臉書上有一位醫師兼資工背景的工程師，公開分享了自己的遭遇：Google Cloud 帳號在一個凌晨被大量呼叫 Vertex AI，帳單暴增約三萬台幣。他花了好幾天追查，結論很反直覺：不是 API Key 外洩，不是密碼被盜，也不是 AI Agent 失控，而是八個月前就躺在他 Mac 裡的一隻資訊竊取木馬。我看完的第一個念頭不是「這個人好倒楣」，而是：這條攻擊鏈，把 Mac 換成 Windows、把 Google Cloud 換成公司信箱或雲端 ERP，一模一樣走得通。一般人聽到這種事，會想到兩招：裝防毒軟體、調瀏覽器設定。這兩招都對，但我建議再加上第三層：資安閘道器。這篇文章想說的其實很簡單：人都有疏失的時候；惡意威脅不斷提高攻擊層級、增加方法與管道；被利用的機器與程式又不休息。所以單層防禦被擊穿的機率很高。我們用這個案例，再借用資安界兩套偏理論的工具，看清楚攻擊走到哪一步、每一層守什麼，以及為什麼需要多層防護。一、事件經過（三分鐘版）時間點發生的事約八個月前為了安裝 Claude Code 上網搜尋，點進排名很前面、長得像官方的仿冒網站，疑似下載並執行了惡意檔案之後數個月電腦裡多了幾個隱藏檔與一個開機自動執行的設定，電腦照常使用，沒有任何異狀事發前約兩週雲端專案裡出現陌生的 Service Account：先有人盤點專案，幾秒內啟用十幾個 AI 相關 API，接著建立帳號並下載金鑰。當天活動紀錄有一筆來自美國的 IP 事發當天凌晨多個專案同時大量呼叫 Vertex AI。約一小時後 Google 異常偵測來信，自己設的預算提醒晚了約五小時才到，而且只通知、不會停結果關閉帳務與專案止血，向 Google 申訴後，大部分費用獲得調整減免先講清楚：以上是當事人的自述與推論。木馬的主程式已經不在機器上，所以「木馬家族」「仿冒網站就是感染途徑」「登入狀態被重放」都屬於推論，並非鑑識確認的結論。但「釣魚下載 → 竊取登入狀態... » read more

Read

steven written 1 week ago

不得不對外：NAS 公開服務的「相對安全」存取指南

工程師思路系列・事出必有因　NAS 勒索潮番外・第二篇不得不對外：NAS 公開服務的「相對安全」存取指南 Mr. τ ｜風雲網通系統｜資訊截至 2026-11-02 #NAS#Synology#遠端存取#VPN#IPsec#GeoIP#修補窗口#風險接受想像一下老闆說：「我在外面要看一下檔案。」業務說：「行事曆能不能也同步？」您明明知道這樣不安全，卻很難回他們一句「不行」。這篇不教您說不，而是教您怎麼說「好」，但更安全。 🧭 三種讀法，挑一種開始 ⚡ 30 秒只看下面的「5 句話」。 ☕ 5 分鐘 5 句話，加 30 秒自測，再看措施階梯、短中長期建議。 📖 完整版（約 29 分鐘）從第一節讀起；每節有重點框，結尾可回目錄。 ⚡ 先看這 5 句話 1 對外服務的風險不可能歸零：廠商修補前誰也縮不了，您能縮短的只有自己更新的那一段。 2 先把需求縮成四個最小：誰、用什麼服務、從哪裡、多久，通常真正非開不可的比想像少。 3 措施像一把梯子：VPN、Site-to-Site、前置驗證、直接對外加縮限；GeoIP 是濾網，不是圍牆。 4 短期一週止血、中期三個月改架構、長期把對外服務與核心資料分離；做不到就寫一頁風險接受聲明。 5 自架 Ubuntu 不是逃生口，修補窗口只是換人負責；NAS 上的 WordPress 要檢查... » read more

Read

steven written 1 week ago

NAS 勒索潮不是玄學：用「攻擊鏈」找出隘口，一關一關自檢

工程師思路系列・事出必有因 NAS 勒索潮不是玄學：用「攻擊鏈」找出隘口，一關一關自檢 Mr. τ ｜風雲網通系統｜資訊截至 2026-11-02 #NAS#Synology#L0CK3D#C3RB3R#攻擊鏈#MITRE ATT&CK#資安自檢想像一下週一早上，您打開 NAS，發現所有檔案都多了 .L0CK3D 副檔名，每個資料夾裡躺著一份 read-me3.txt。這不是科幻，是上週在各社群與論壇真實出現的畫面。如果只能提早一天知道一件事，您希望是什麼？答案藏在「攻擊鏈的隘口」裡，而且比您想的少。 🧭 三種讀法，挑一種開始 ⚡ 30 秒只看下面的「5 句話」。 ☕ 5 分鐘 5 句話，加 30 秒自測，再看決策樹總覽、逐關詳解。 📖 完整版（約 35 分鐘）從第一節讀起；每節有重點框，結尾可回目錄。 ⚡ 先看這 5 句話 1 這波災情的共通點，不是密碼太弱，而是服務從網際網路看得到、系統沒更新、攻擊發生在登入之前，所以兩步驟驗證也擋不住。 2 入侵途徑各方說法不一，但入口的「類型」很穩定，不必等完整報告就能防。 3 火力集中在五個隘口：不被看見、補洞、限縮損害、救得回、看得見。 4 最優先兩件事：收掉對外入口，並確保有一份攻擊者碰不到的備份。 5 PHP2Shell、Node.js、Tailscale 是另外幾件事，不要混為一談；NAS 上有網站（WordPress）要另外檢查... » read more

Read

steven written 1 week ago

群暉 NAS 勒索事件（L0CK3D／C3RB3R）：從疫情實況、防禦到善後

工程師思路系列・事出必有因群暉 NAS 勒索事件（L0CK3D／C3RB3R）：從疫情實況、防禦到善後作者：Mr. τ ／風雲網通系統　・　資訊更新至 2026-10-30，事件仍在發展中這幾天社團有成員反映，看到群暉 NAS 被勒索的消息，覺得受到威脅。有趣的是，原廠指出的漏洞是 2024 年底就已經修補的舊問題，攻擊卻是這個禮拜才大規模出現。這代表一件事：漏洞老不老不重要，重要的是你的 NAS 有沒有被留在那個「還沒修、又對外開放」的角落。這篇文章依序談三件事：沒中招的人現在該做什麼、不得不對外或沒辦法更新的人怎麼辦、以及萬一中招了還能做什麼。本文關鍵術語看不懂的名詞，點一下就會在術語表顯示該字卡（另開新分頁）。內文中的虛線底線詞，也都可以點。勒索軟體攻擊面（暴露面）連接埠轉送與 UPnP虛擬補丁QuickConnect多因素驗證（2FA）快照異地備份與離線備份查看本文全部術語（44 則）→ 一分鐘版本 ✔ 先封入口：關掉路由器連接埠轉送、UPnP 與不必要的對外服務，遠端改走 VPN。 ✔ 再補強系統：DSM 與套件更新到修補版本，啟用雙重驗證、停用預設帳號。 ✔ 確保能復原：快照加異地或離線備份，而且備份要讓攻擊者「摸不到」。一、先說事實：這波疫情的實況 10 月 28、29 日起，大量群暉用戶回報檔案被加密，Synology 在 10 月 29 日發布聲明證實。症狀很好認： ✔ 檔案副檔名變成 .L0CK3D（或 .LOCK3D，是數字 0 和 3） ✔ 每個資料夾出現 read-me3.txt 勒索信，指向 Tor... » read more

Read

steven written 2 weeks ago

不續約防火牆資安服務後 …

資安｜防火牆｜ Windows 內建防護｜ Pico-UTM 100 ｜ ZYXEL USG FLEX 200 作者：Mr. τ ／風雲網通系統　·　2026-10-27 不續約防火牆資安服務後，電腦與瀏覽器的內建防護能支撐「已知威脅」，支撐不了「網路設備被直接攻擊」和「事後沒有紀錄」。風險升在網路入口與設備這兩處。 ✔ 可以勉強支撐：已知的釣魚與惡意網站、已知的惡意檔案、本機的勒索行為偵測。前提是 Windows 有更新、Defender 與 SmartScreen 都開著。 ✔ 照顧不到：NAS、伺服器與舊設備被直接攻擊、手機與訪客、郵件的第一層過濾、自動隔離、集中的網路紀錄。 ✔ 該做的事：到期前匯出報表與日誌、提醒同仁、確認備份與更新，再決定繼續續約、加裝 Pico-UTM 100，或先觀察。 Pico-UTM 100 對應 FLEX 200 的網址、攻擊、病毒三層，但沒有應用程式管控、垃圾信過濾與自動隔離，詳見對照表。背景防護依賴：沒出事，不代表沒有東西被擋防護成功的時候，使用者什麼也看不到。用了幾年之後，同仁自然把「沒事」當成理所當然，不知道網路入口有一層檢查一直在運作。這會默默養鈍風險敏感度：信件看起來正常就打開，連結看起來正常就點，因為過去點了也沒發生事。真正的原因不是「那些連結都安全」，而是「那些危險連結在到達電腦之前已經被擋掉」。防護服務到期後，行為習慣不會跟著改變，這段空檔最危險。同仁仍照「有防護」的習慣操作，而防線已經少了一層。所以不續約的第一件事，是讓同仁知道「以前有人在擋，現在沒有了」。 FLEX 200 與 Pico-UTM 100 功能對照核心的網址、攻擊、病毒三層，Pico-UTM 100 都有對應；差在 Pico-UTM 沒有應用程式管控、垃圾信過濾與自動隔離。防護面向 ZYXEL... » read more

Read

steven written 2 weeks ago