公司電腦被入侵怎麼查？老闆會問的三個問題
約 5 分鐘
公司裡有一台電腦出事，處理起來和自己家裡那台完全不同。個人電腦重灌就結束了，公司電腦後面跟著三個你必須回答的問題：對方進來多久、碰過哪些資料、現在還在不在裡面。這三題的答案都不在防毒軟體的掃描結果裡，而是在你動手處理之前那台機器的狀態裡。動作順序錯了，答案就沒了。
1. 三個問題，決定這件事有多大
先講為什麼是這三題。進來多久，決定影響範圍要往回追多遠；碰過哪些資料，決定要不要通報、要通知誰；還在不在，決定你現在能不能照常營運。老闆或客戶最後要聽的就是這三句話，其他細節他們不在乎。
麻煩的地方在於，這三題都不是靠掃毒回答的。掃描告訴你機器上有什麼，回答不了它從哪天開始在、做了什麼。要回答的線索散在執行紀錄、排程工作、帳號建立時間、連外連線這些地方，而它們都會被重灌、被清理工具、甚至被關機影響。
2. 不要讓當事人自己處理
這點聽起來不近人情，但它是實務上最常見的失誤來源。發現自己電腦怪怪的那個人，通常會出於好意先做點什麼：跑一次掃毒、把可疑檔案刪掉、清一清暫存、或乾脆重開機。每一個動作都在刪線索。
另一個實務建議是不要在群組裡討論細節。如果對方還在網路裡，公司的即時通訊有可能也在他的視野內。用電話講，或當面講。
3. 該保存什麼
保存的原則是：先取得，再處理。取得的動作要盡量少改變機器本身的狀態，所以不建議在那台機器上安裝一堆工具。實務上你需要的東西大致是執行中的程序、開機自動啟動的項目、排程工作、本機帳號、連外連線，以及系統與安全性的事件紀錄。
拔網路之後，依序做這五件事
- 記下時間。發現異常的時間、當事人做過什麼、什麼時候拔的網路，寫在紙上或另一台裝置。
- 不要重開機。除非正在被加密，否則維持開機狀態。
- 保留原始檔案。懷疑的檔案先不要刪，也不要丟到線上掃描服務，那等於把公司檔案上傳給第三方。
- 盤點連帶影響。同一批共用磁碟機、同一組帳號登入過的其他機器，都要列進來。
- 通知決策者。涉及客戶資料時，決定要不要通報的人不是資訊人員，要讓有權決定的人知道。
4. 涉及個資的話，時間比你想的緊
如果那台電腦裡有客戶或員工的個人資料，這件事就不只是資訊問題。個資法的修法方向是要求發生事故時在期限內通報，而且達到一定規模還要個別通知當事人。期限的起算點是知悉的時候，不是查清楚的時候，這兩者中間往往就是好幾天。
換句話說，你不能等到全部查明才開始算時間。實務上的做法是一發現就同步啟動兩條線：一條查技術上發生了什麼，一條確認通報義務與時程。細節寫在個資法修法那篇，這裡只提醒一句，別讓調查的時間吃掉通報的時間。
5. 檢測怎麼做
流程很單純：在那台機器上執行檢測工具，工具產出一個檔案，做判讀之後給你一份報告，寫明發現什麼、哪些要處理、哪些可以不管。工具執行只要幾分鐘到十幾分鐘，時間主要花在判讀。
執行的方式有兩種，選哪一種由你決定。一種是我以管理員權限進去盤點，另一種是你自己跑工具、把產出的檔案回傳。第二種在公司環境常常比較好談，因為不必為了一次檢測開放遠端存取，機器也留在你手上。同一支工具、同樣的產出，差別只在誰按下執行。
適用範圍是主機與伺服器，依台計價，目前支援 Windows。所以出事的那台辦公室電腦、和機房裡那台伺服器，走的是同一個服務，不必分開發包。
6. 查完之後，比查本身更重要的事
報告拿到手，真正要做的是三件事：把入口堵掉、把同批受影響的機器一起處理、把這次的時間軸留成紀錄。第三件最常被跳過，但客戶的資安問卷、稽核、投標文件都會要你證明事故有被處理過，臨時要生是生不出來的。
還有一件事值得順手做：如果入口是釣魚信，那代表同一封信可能寄給了公司裡其他人。與其通令大家小心，不如實際測一次，看看有多少人會點。這件事怎麼做、要先簽什麼授權，寫在社交工程演練那篇。
公司電腦出事，最貴的往往不是處理費用，是說不清楚發生了什麼。進來多久、碰過什麼、還在不在，這三題的答案在你動手之前就決定好了。所以順序永遠是先斷網、先保存、再處理。如果那台機器裡有客戶資料，通報的時鐘從你知道的那一刻就開始走，別讓調查吃掉它。
常見問題
- 只有一台電腦有問題，需要全公司檢查嗎？
- 不一定，但要先確認範圍再下結論。判斷依據是有沒有共用磁碟機、有沒有共用的管理員帳號、以及那封信是不是也寄給了別人。只要其中一項成立，就不會只有一台。實務上先查有連帶關係的那幾台，不必一開始就全公司做。
- 員工自己的筆電也要查嗎？
- 如果那台筆電連過公司網路、登入過公司系統或存取過共用資料夾，就在範圍內。這也是為什麼建議事前就講清楚個人裝置能不能接公司網路，事後才討論會很尷尬。
- 健診完你會幫忙清除惡意程式嗎？
- 不會，範圍先說清楚比較好。健診交付的是盤點與判讀報告，寫明發現什麼、哪些要處理、建議怎麼處理。實際的清除、重建或事件調查鑑識不在這項服務裡。如果報告顯示需要那些，我會直接說明，讓你決定要找誰做。