2026 半導體資安大學院｜從紅到藍：攻擊鏈驅動的 Purple Team Threat Hunting 實戰

為什麼藍隊需要理解紅隊

攻擊者不會按照 Event ID 告訴你「我正在攻擊」。一個異常 Process、一筆 IIS Log、一個網路連線、一項檔案修改，單獨看可能都很正常；當不同資料來源串在一起，才看得出完整的攻擊路徑。

課程目標

理解常見攻擊技術在 Windows、IIS、網路與 Active Directory 中留下的軌跡；能從 Process、File、Network、Authentication 與 Kerberos 等資料來源辨識異常，建立完整攻擊時間線，並轉化為 Threat Hunting 與偵測邏輯。

第一場大綱

Purple Team 思維與攻擊軌跡分析方法；檔案上傳漏洞與 ASPX WebShell 入侵軌跡；Web Server 對外控制通道與異常網路行為；IIS 與 Windows 主機盤點行為的偵測；多站台 IIS 橫向移動與 web.config 敏感資訊存取；第一日攻擊鏈關聯分析。

第二場大綱

敏感資料外洩與 Valid Account 攻擊；排程工作與可寫入指令稿造成的 SYSTEM 提權；LocalSystem 後的 Credential Access 與 Kerberos 基礎；Kerberoasting 與高權限服務帳號攻擊；Active Directory 攻擊路徑與網域控制權取得；Golden Ticket 與網域失陷後的事件判斷；Purple Team 全攻擊鏈 Threat Hunting 與事件還原。

參加提醒

請各企業依課程主題推派合適人員，以資安防禦與監控、藍隊與事件應變相關職務為主。課程目標是理解攻擊思維並轉化為偵測與調查能力，不是教學如何執行攻擊。

這門課的對象與定位

本系列課程名稱為《從紅到藍：攻擊鏈驅動的 Purple Team Threat Hunting 實戰》，屬於半導體資安大學院的活動，對象是負責企業監控、日誌分析與事件調查的藍隊人員。課程要解決的問題很具體：告警已經出現，但不知道它屬於哪一段攻擊，也不知道該往前還是往後查。

系列分兩個全日場次，每場 6 小時，午休 1 小時，上課日為 2026 年 9 月 30 日與 10 月 30 日，地點在臺北市重慶南路一段的艾鍗學院電腦教室。兩場均已舉辦，本頁保留課程設計與內容，供後續開班時參考，也供企業評估內部資安團隊的訓練方向。

以單一攻擊鏈貫穿的設計

課程不分散介紹各種攻擊手法，而是用一條連續的情境串起全程：起點是檔案上傳功能遭繞過，接著依序出現 ASPX WebShell、對外控制通道、IIS 橫向移動、設定檔中的帳號密碼、合法帳號濫用、排程工作提權、Kerberos 憑證攻擊，最終走到 Active Directory 網域失陷。

每一個階段都用同一套分析流程處理：先說明攻擊者做了什麼，再問這個動作會在哪裡留下可觀察的痕跡，接著判斷要蒐集哪些日誌，最後把不同來源的資料關聯起來，轉成可以持續執行的偵測邏輯。這個順序也是課程反覆強調的重點，學員要練的是推導，不是背誦事件代碼。

這個設計也回應了一個常見的盲點：許多企業的監控規則是依事件代碼逐條撰寫，單看每條規則都合理，卻無法回答「這次入侵到哪一步了」。以攻擊鏈為骨幹，等於先畫出地圖，再回頭檢查每個路口有沒有人看守。

兩個場次各自處理的層次

第一場集中在 Web 伺服器與主機層。學員從 IIS 存取紀錄與程序父子關係找出異常命令，再看一條看似正常的 HTTPS 連線如何藏著控制通道，並討論多個網站共用同一部 IIS 主機時，隔離不足會讓攻擊者讀到其他網站的 web.config。收尾時段把當天所有階段串成第一版事件時間線。

第二場轉向身分與網域層。內容從密碼重複使用與低頻率密碼噴灑談起，經過可寫入指令稿造成的提權、Kerberos 驗證流程與 Kerberoasting，最後處理網域控制權與 Golden Ticket 之後的事件判斷。課程特別指出，只重灌 Web 伺服器或更換一般使用者密碼，並不足以完成處置。

學員需要準備的條件與能帶走的成果

來源資料沒有列出先備條件，但課程內容涉及 Windows 程序、IIS 日誌、網路連線與 Active Directory，報名前最好確認團隊已有基本的日誌蒐集環境與讀日誌經驗。實際資格與名額，以報名頁公告為準；兩場報名期限分別截至 9 月 29 日與 10 月 27 日，額滿會提前截止。

完成課程後，學員應能辨識程序、檔案、網路、驗證與 Kerberos 等資料來源中的異常行為，從單一事件向前向後追查，並把紅隊技術轉寫成 Hunting 假設、偵測邏輯與調查流程。課程明確表示目的不是教人執行攻擊，而是讓藍隊逐步具備攻防整合的思維。

講師與相關資源

講師黃建笙為登豐數位科技總經理，具 ISC2 CISSP-ISSMP 與 EC-Council LPT Master 認證，也長期擔任 ISC2 臺北分會的會員主席。課程以實務案例切入，這些背景對應的是企業實際會遇到的事件調查情境。

臺灣產業創新投資聯盟（TINAI）由全國創新創業總會發起，本頁屬於 TINAI 活動與報名內容的一部分。企業若有資安導入、日誌分析或事件應變方面的合作需求，可在需求提交頁說明情境，由平台協助轉介；後續場次公告以活動與報名頁為準。