近期台灣發生的 Crazy Hunter 攻擊事件主要與勒索軟體 (Ransomware) 攻擊有關，其手法較為複雜，不單純是傳統的 DDoS 攻擊，也超越了僅憑 WAF (Web Application Firewall) 和 DDoS 防禦能完全阻擋的範疇。
Crazy Hunter 攻擊的特點
Crazy Hunter 是一種基於 Prince Ransomware 的變種勒索軟體，它的攻擊方式包含多個階段，並且利用了多種技術來規避防禦：
- 初始入侵 (Initial Access): 駭客通常透過釣魚郵件或利用公開主機的漏洞進行入侵。有些案例顯示，他們可能利用了 IIS Web 伺服器的漏洞作為初始進入點，甚至透過 API 的漏洞取得初步立足點。
- 橫向移動與權限提升 (Lateral Movement & Privilege Escalation): 一旦進入內部網路，駭客會進行橫向移動，尋找關鍵資產和管理帳號。他們會利用 Active Directory (AD) 的設定錯誤或漏洞 將惡意軟體推送到網域內的機器)，並使用 BYOVD (Bring Your Own Vulnerable Driver) 技術來提升權限，規避安全軟體的偵測。
- 部署勒索軟體與資料竊取 (Ransomware Deployment & Data Exfiltration): 駭客會將勒索軟體部署到網路內的每一台主機上，加密檔案導致營運中斷。此外，他們還會威脅公開或販售竊取的敏感資料，增加受害者的壓力。
與 API Security 的關聯
雖然 Crazy Hunter 並非典型的 API DDoS 攻擊，但 API 安全性在整個攻擊鏈中仍可能扮演關鍵角色：
- 初始進入點： 如果企業的 API 存在漏洞（例如，未經身份驗證的 API 接口、弱密碼、配置錯誤、或已知漏洞未修補），駭客可能利用這些漏洞作為初始進入點，滲透到內部網路。
- 橫向移動： 即使初始進入點不是 API，一旦駭客進入系統，他們可能會尋找和濫用內部 API 來進行橫向移動、資料存取或執行惡意操作。
- 資料竊取： 駭客可能會利用 API 漏洞來自動化或加速敏感資料的竊取過程。
WAF / DDoS 防禦的限制
WAF 和 DDoS 防禦主要是針對外部網路流量的攻擊，它們在防禦以下方面仍然有效：
- DDoS 攻擊： WAF 可以協助抵禦應用層的 DDoS 攻擊，而 DDoS 防禦解決方案則可以處理大量流量的攻擊，避免服務中斷。
- OWASP Top 10 級別的 Web 應用程式漏洞： WAF 可以有效阻擋 SQL 注入、跨站腳本 (XSS) 等常見的 Web 應用程式攻擊。
然而，對於像 Crazy Hunter 這類型的複合式、多階段勒索軟體攻擊，僅依賴 WAF 和 DDoS 防禦是不夠的：
- 內部網路攻擊： Crazy Hunter 的攻擊重心在於入侵內部網路後的橫向移動和權限提升，這些行為通常發生在防火牆和 WAF 防禦範圍之外。
- 利用已知漏洞與弱點： 駭客可能利用系統和應用程式本身的漏洞，這些漏洞不一定能被 WAF 完全阻擋。
- 社交工程與釣魚： 初始的釣魚郵件攻擊是 WAF 和 DDoS 防禦無法阻擋的。
- 繞過傳統防禦： 駭客使用 BYOVD 等技術來繞過端點安全防禦。
綜合防禦的重要性
要有效防禦像 Crazy Hunter 這類的勒索軟體攻擊，需要更全面的資安策略，包括：
- 端點偵測與回應 (EDR) / 延伸偵測與回應 (XDR)： 監控和防禦端點上的惡意行為，即時偵測橫向移動和異常活動。
- 身份與存取管理 (IAM) 與零信任架構： 強化帳號密碼安全，實施多因子驗證 (MFA)，並限制用戶和應用程式的最小權限存取。
- 漏洞管理與修補： 定期掃描和修補所有系統、應用程式和 API 的已知漏洞。
- 網路分段與隔離： 減少攻擊者在內部網路中橫向移動的機會。
- 資料備份與復原計畫： 遵循 3-2-1 備份原則（至少三份備份、兩種不同儲存介質、一份異地存放），並定期驗證備份的完整性。
- 安全意識訓練： 提升員工對釣魚郵件和其他社交工程攻擊的警覺性。
API 安全解決方案： 除了 WAF，更需要專門的 API 安全解決方案來管理 API 庫存、發現 Shadow API、進行行為分析、實施更細緻的存取控制和速率限制。
- 日誌監控與事件回應： 加強系統日誌監控，及時發現異常行為並啟動資安事件應變流程。
