SQL Slammer 蠕蟲攻擊：傳統防火牆與防毒軟體為何失效？

事件回顧

2003 年 1 月 SQL Slammer (WORM_SQLP1434.A) 爆發，韓國三大電信機房全面癱瘓，股市科技指數創歷史新低。企業投入鉅資建置防火牆、全方位安全方案，仍無法阻擋攻擊。

傳統防禦失效原因

1. 防毒軟體：掃描檔案無效

Slammer 純駐留記憶體，不寫入硬碟，不透過檔案傳播，而是利用 UDP 1434 埠溢位漏洞直接從記憶體跳躍到另一台主機記憶體。傳統病毒碼掃描檔案的方式完全無法偵測。

2. 入侵偵測系統 (IDS)：依賴特徵庫比對

多數 IDS 採用已知攻擊特徵庫比對，新型攻擊特徵未收錄前無法偵測。DDOS 攻擊往往初期即達高峰，等待特徵更新已來不及。

3. 防火牆：無法辨識合法協議下的漏洞利用

駭客利用正常通訊協議（如 SQL Server 解析 UDP 1434）發動攻擊，防火牆視為合法流量放行。啟發式掃描也難判斷漏洞利用的合法性。

企業級防護必須升級

• 單機版防毒軟體無法勝任檔案伺服器核心資產保護（財務報表、客戶資料庫、機密文件）。
• 需部署伺服器級防毒、應用層防火牆、異常流量分析、記憶體保護機制。

趨勢科技 EPS (Enterprise Protection Strategy) 解決方案

• 網路邊界自動升起防護罩：攻擊初期即自動部署隔離策略。
• 中央管控平台每 15 分鐘推送更新：各節點同步最新防護規則。
• 多平台支援、集中管理：解決異構環境管理難題。
• Frost & Sullivan 分析師肯定：標誌著病毒爆發週期管理的重要發展階段。

結語

面對記憶體駐留、零日漏洞、合法協議濫用的新型威脅，單一防禦層已不足。企業需建立「邊界-核心」多層次、自動化、情報驅動的主動防護體系。