Black Hat Europe 2025 | Nation-Scale SecOps: How CERT PL Scans Poland

波蘭國家 C-CERT 的核心挑戰源於一個深刻觀察：當某家大學網站曝露了包含學生姓名、地址、成績、電話的 API 金鑰時，團隊意識到相同的漏洞模式可能遍佈波蘭各地，每個都可能成為下一場事件。與其被動應對每起事件，不如主動掃描全社會，防患於未然。這個理念驅動他們開發了 Artemis—一個開源掃描系統。Artemis 的獨特之處在於完全自動化：使用者只需提供域名清單，系統便逐一檢測 DNS 配置、SSL 證書、WordPress 版本漏洞、SQL 注入、XSS 等數十種風險，最後生成聚合報告。團隊只需監控、除錯和修復誤報，不需人工逐一檢查。

為了找到掃描目標，他們發揮創意利用各種資料來源：政府資料入口（如本地政府機構 Excel 清單）、憑證透明日誌提取政府域名、學校資料庫、甚至爬蟲爬取政治家信息網站（防止選舉前虛假信息植入）。掃描發現後，第二個工具 Snitch 進場—它在 Shodan 上執行查詢（如搜索暴露 RDP 的波蘭 IP），然後自動通知所有受影響實體。同時，他們發現郵件詐騙攻擊往往源於錯誤配置的 SPF 和 DMARC，便開發了 Mailgoose 供使用者自助檢查。

然而三個工具上線後，他們遇到兩個瓶頸：其一，作為國家安全機構，法律限制了他們隨意掃描私營企業的權限；其二，許多機構不知道自己有漏洞，也缺乏資源修復。於是團隊決定建設一個免費的自助門戶網站，讓任何人都可以主動登記並掃描自己的域名。這個門戶整合了三個工具的掃描結果，額外加入洩露密碼警告和網路事件通知。上線時的 UI 設計極其簡陋（講者自嘲「我冒充設計師的結果」），但團隊堅持及早發布而不是等待完美，這一決策至關重要。掃描耗時 2 週乍看不夠好，但他們發現使用者接受度遠超預期—若等待優化後才推出，可能要延誤數月，反而錯失真實反饋。及早發布讓他們後來招聘真正的設計師進行迭代。

技術實現上，團隊刻意選擇「無聊」的技術棧：Django、Postgres、Kubernetes。沒有前端框架，不是單頁應用，因為複雜技術會分散注意力從安全價值本身。整個系統跑在 7 台標準 VPS（每台 4 核）上，依賴開源工具棧（Nuclei、sqlmap、N6）和非營利網路資料（Shadow Server），成本遠低於商業掃描服務。由 6 人團隊維護（最初只有 2 人），這些數字說明：大規模安全防護不需要投入巨資或尖端技術。

成果之處在於規模與影響：系統已檢測超過 120 萬個漏洞和錯誤配置，其中近 7 萬個為高嚴重性，確認 1,000+ 個真實 SQL 注入（通過執行數據庫計算驗證，非誤報）。修復率超過 60%，說明接收通知的機構確實採取行動。波蘭本地政府的 SPF 配置率從全球基準的 50% 躍升至 96%、DMARC 從 15% 躍升至 79%，這是掃描、通知、教育和法律強制結合的成果。門戶已吸引 1.5 萬個使用者、1.7 萬個驗證域名、1,400+ 驗證子網，證明市場確實存在對這類服務的強烈需求。

講者強調的核心經驗是：不必追求完美才發布，自下而上的小規模倡議比大型官方項目更易啟動，簡單技術和小團隊足以解決真實問題，而低懸水果漏洞（已棄用外掛、暴露登入面板、目錄索引）仍然大量存在—系統化檢測的邊際效益巨大。他並邀請其他國家、NGO、技術社群複製這一模式，因為這不需要改變法律，只需收集管理者的掃描同意。