Category: VPN

The Most “Legitimate” Way for Attackers to Move Inside Your Network When enterprises review major security incidents, one uncomfortable pattern appears again and again: Attackers didn’t break into the internal network — they logged in. And in a large percentage of cases, that “login” happened through a VPN. This article explains a critical but often…

攻擊者最喜歡的「合法入口」 在多數企業的資安事件回顧中，常常會出現一個令人不安的共同點： 攻擊者不是「突破」內網，而是「登入」內網。 而這個「登入」的入口，非常高比例就是 VPN。 這篇文章要說清楚一件事： VPN 本身不是漏洞，但它經常成為「橫向移動（Lateral Movement）」的最佳起點。 一、先釐清什麼是「橫向移動」 橫向移動（Lateral Movement）是什麼？ 簡單說： 攻擊者在取得一個合法或半合法的內部存取點後，於內網中橫向擴散，逐步接管更多系統與權限。 典型流程是： 👉 VPN 通常就是第 1 步與第 2 步的交會點。 二、VPN 的設計，天生適合「初始存取」 VPN 的基本信任模型 VPN 的核心假設是： 一旦驗證成功，使用者就屬於內部的一部分。 這對「正常員工」很方便，對「攻擊者」更方便。 三、為什麼 VPN 這麼容易被用來當起點？ 1️⃣ VPN 憑證與帳密極易被取得 常見來源包括： 一旦 VPN 憑證或帳密被取得： 攻擊者獲得的是「合法登入能力」，不是漏洞利用。 2️⃣ VPN 驗證通常只做一次 結果是： 信任一次給完，而且長時間有效。 3️⃣ VPN 連線後，內網通常「過度開放」 在許多企業內網中： 👉 VPN 後面的世界，往往缺乏第二道防線。 四、VPN 與橫向移動的「完美配合」…

From “Trusted Network Access” to “Verified Every Request” For many enterprises, VPN has long been the default solution for remote access.Then, as organizations grew more distributed and cloud-centric, new problems emerged: This is when Zero Trust entered the conversation. But a common question remains: Is Zero Trust just a newer version of VPN?Do we still…

從「連進內網就信任」到「每一次存取都要驗證」 在多數企業的資安演進歷程中，VPN 幾乎都是第一個被採用的「遠端存取解法」。直到某一天，企業開始面臨以下狀況： 於是，Zero Trust（零信任） 開始被頻繁提起。 但很多人心中仍然有一個疑問： Zero Trust 是不是只是「比較新的 VPN」？我們到底還需不需要 VPN？ 這篇文章會用企業實務角度，清楚說明Zero Trust 與 VPN 的核心差異、適用場景與轉換思維。 一、先說結論（給很忙的人） VPN 解決的是「怎麼進內網」Zero Trust 解決的是「你能不能做這件事」 兩者解決的問題，從根本就不同。 二、VPN 的核心設計思維 VPN 的基本模型 VPN 的邏輯是： 只要你通過驗證，進入內網，就被當成可信任的一份子 VPN 真正信任的是什麼？ 一旦連線成功： 三、VPN 在現代企業的結構性問題 1️⃣ 連線成功 = 信任過大 👉 信任是「一次給完」的 2️⃣ 橫向移動風險極高 👉 VPN 是橫向移動的最佳起點 3️⃣ 與雲端 / SaaS 架構不合拍 結果： 四、Zero Trust 的核心設計思維…