AI 時代不必等紅隊｜NodeZero 虛擬紅隊強化資安攻防韌性
三句話摘要
以 AI 虛擬紅隊工具 NodeZero 取代傳統一次性滲透測試，實現企業資安驗證的持續化與自動化。 --- NodeZero 將攻擊演練從「年度事件」變成「日常運維」，讓企業第一次有能力用數字回答「我的防禦到底有沒有效」這個問題。 1. 持續驗證取代一次性測試是 CTEM 框架的核心訴求
重點整理
重點- 1
1. 持續驗證取代一次性測試是 CTEM 框架的核心訴求
- 2
傳統弱點掃描與年度滲透測試之間存在巨大的時間空窗，攻擊者不等排程。CTEM（Continuous Threat Exposure Management）要求驗證頻率從年度提升至每月、每季，並以 AEV（自動化攻擊演練）作為循環閉環的關鍵引擎。
- 3
2. AI 虛擬紅隊與傳統紅隊形成互補分工，而非取代
- 4
傳統紅隊提供高價值、客製化的複雜攻擊鏈（1-2 個月週期），AI 虛擬紅隊負責常態化的內網橫向移動與大範圍覆蓋（數小時完成）。兩者結合後，管理層能取得可量化的資安韌性指標，而非僅有文字報告。
- 5
3. NodeZero 的三維風險評分解決「修哪個漏洞」的難題
- 6
NodeZero 不以 CVSS 分數為唯一依據，而是疊加三個維度：漏洞是否出現在真實攻擊路徑中、是否在目標環境實際可被利用、以及目標資產的業務價值。同一個 SNMP 漏洞，攻下 Switch 的評分（9.5）遠高於攻下一般電腦（3.0），原因在於 Switch 對企業的影響面更廣。
- 7
4. MCP 整合使 AI Agent 能以自然語言驅動整個驗證流程
- 8
NodeZero 支援 MCP 協定，可與 Claude、GitHub Copilot 等 AI Agent 串接。工程師能以自然語言查詢受影響資產、請 Agent 觸發測試、取得修復建議、自動建立工單（Jira/ServiceNow），並在修復後一鍵觸發複測——整個循環在 Agent 協調下幾乎不需人工切換介面。
- 9
--
實用技巧與重點
乾貨- 數字與效益
- Horizon 3 成立年份：2019 年，地點：美國加州舊金山
- Gartner Peer Insights：4.7 分，140+ 客戶，2025 Customer Choice
- NSA CAPT 計畫：500+ 企業，6,000+ 次自動滲透測試，保護 80 萬個端點，30 天移除 71% 關鍵弱點
- GOAD 靶場（國際知名 AD 靶場）：NodeZero 4 分 25 秒攻破
- 實際銀行案例：全自動、無人介入，4 分鐘滲透成功
- 台灣 PoC：兩個 Class C，96 台主機被攻下（47% 比例），2 小時內從黑箱取得 Domain Admin 憑證
- 零日回應速度：2025/12/3 漏洞揭露，12/4-12/5 平台即完成更新並可測試
- 工具與平台
- NodeZero（Horizon 3 主產品）
- 整合漏洞管理：Nessus、Rapid7、Qualys
- 整合 SIEM：Splunk Cloud、Microsoft Sentinel
- 整合工單系統：Jira、ServiceNow
- AI Agent 整合：Claude（MCP）、GitHub Copilot
- 攻擊框架技術：ADCS 提權、密碼噴灑（Password Spray）、Refresh Token 竊取、憑證雜湊（Hash）傳遞、橫向移動
- 功能名稱
- BAS（Breach and Attack Simulation）：台灣過去主流的攻擊模擬工具類型
- Trip Files：NodeZero 的蜜罐功能（假 AWS Credential、假資料庫檔案、Windows Process 監控、AD 虛擬帳號）
- 三維風險評分：攻擊路徑關聯 + 實際可利用性 + 高價值目標加權
- 漏洞狀態三分類：Mitigate（已修復）、Open（待處理）、Regress（修復後復發）
- 一鍵複測：支援單一漏洞多 IP、多漏洞多 IP 批次複測
- CTEM 循環：Scoping → Discovery → Prioritization → Validation → Mobilization
- 攻擊路徑範例（影片實際展示）
- 從 Microsoft Entra Tenant 找到 Username
- 執行密碼噴灑 → 取得 Refresh Token → 拿下 Outlook
- 台灣 PoC：Samba 漏洞 → 描述欄位發現明文密碼 → 取得 Domain User → ADCS 提權 → 取得高權限憑證 Hash → 攻入 DC
- --
結論
結論“NodeZero 將攻擊演練從「年度事件」變成「日常運維」，讓企業第一次有能力用數字回答「我的防禦到底有沒有效」這個問題。”
完整解析
詳細企業資安長久以來面對的困境，是防禦與驗證之間的時間鴻溝。滲透測試一年做一到兩次，弱點掃描雖然頻繁但僅告訴工程師「有漏洞」而非「漏洞能被如何利用」，藍隊花費大量預算部署防禦設備卻缺乏客觀指標確認其實際效能，管理層問起資安投資回報時往往只能交出一份漏洞清單。這種靜態、一次性的模式在 AI 輔助攻擊讓駭客可以「一鍵啟動、數十秒穿透」的時代，已顯然跟不上威脅演進的速度。
CTEM 框架提出的解法是「持續暴險管理」——將驗證從年度事件轉為日常運維，而 AEV（Automated Exposure Validation）技術是讓這個循環得以落地的引擎。Horizon 3 開發的 NodeZero 正是這類工具的代表。它並非傳統的弱點掃描器，而是一套自動化紅隊系統：從外部可對 AWS、GCP 雲端資產及企業網站發動攻擊；在內部可以 VM 形式部署於 OA 或 DMZ 區段，模擬駭客已建立立足點後的橫向擴散行為。整個攻擊流程如真實紅隊一樣分階段執行——資產盤點、初始突破、權限提升、橫向移動——每個步驟留下精確時間戳記，最終不只回報「有漏洞」，而是呈現完整的攻擊鏈並說明「漏洞能被用來做什麼」。
NodeZero 在風險優先排序上引入三維評分機制，跳脫單純依賴 CVSS 評分的限制：漏洞是否出現在實際可走通的攻擊路徑中、在當前環境能否真正被利用、目標資產的業務重要性各佔一個維度。同樣是 SNMP 漏洞，打下 Switch 的評分遠高於打下一般桌機，因為 Switch 的失陷對整個網段的影響面截然不同。在修復閉環方面，平台整合 Jira 與 ServiceNow 自動派工、串接 Nessus/Rapid7/Qualys 彙整漏洞狀態，並在工程師聲稱修復後支援一鍵複測，將「發現—修補—驗證」壓縮在同一個工作流程內。對於短期無法修補的老舊系統，NodeZero 在其成功入侵的主機上部署 Trip Files 蜜罐（假 AWS 憑證、假資料庫檔、AD 虛擬帳號），讓駭客真正入侵時會主動觸發告警，並可即時推送至 Splunk 或 Microsoft Sentinel。
在 AI Agent 整合層面，NodeZero 支援 MCP 協定，可與 Claude 及 GitHub Copilot 直接串接。工程師以自然語言描述需求，Agent 即可調用 NodeZero API 觸發針對特定服務或 IP 的測試、彙整測試結果、查詢受影響資產清單、生成修復建議並自動建立工單派給對應工程師，修復完成後再觸發複測確認結果。整條流程中人工介入的節點大幅減少。台灣 PoC 的實際案例印證了效果：在兩個 Class C 網段、純黑箱（不提供任何帳號密碼）的條件下，NodeZero 發現 Samba 描述欄位存有明文密碼，藉此取得 Domain User 後利用 ADCS 漏洞提權，最終在 2 小時內拿下 Domain Admin 並攻入 DC，共攻下 96 台主機（佔 47%）。報告產出後，每個漏洞附有標準修復方案、替代方案及緩解措施，甚至逐步截圖說明點擊位置與設定值，讓工程師照單執行即可，而非只收到一份需要再二次整理的原始數據。
---
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
