台灣學術網路危機處理中心(TACERT) 對本校發佈資安通報-入侵事件警訊：
| 發佈編號 | ASOC-INT-201704-3984 | 發佈時間 | 2017-04-25 11:50:19 |
| 事件類型 | 系統被入侵 | 發現時間 | 2017-04-25 11:34:49 |
| 事件主旨 | 通報:[新北市三重區碧華國民小學]163.20.169.39 MS.RDP.Connection.Brute.Force | ||
| 事件描述 | ASOC發現貴單位(新北市三重區碧華國民小學)所屬 163.20.169.39 疑似對外進行 MS.RDP.Connection.Brute.Force 攻擊 | ||
| 手法研判 | 貴單位疑似對外進行非法攻擊行為，遠端攻擊者對Microsoft RDP(Remote Desktop Protocol)進行暴力的密碼猜測攻擊，攻擊者在10秒內進行200次的登入請求，如成功利用將可以連入未經授權的系統，進行非法的存取。 | ||
| 處理建議 | 惠請貴單位：
|
||
| 參考資料 | 無 | ||
本校處理情形：
- 登入「教育機構資通安全應變網站」，了解事件發生情形。
- 登入「新北市校園網路管理平台」檢視 163.20.169.39 連線狀況。
- 確認 163.20.169.39 電腦連線異常，連線數超過 7000。
- 查明 163.20.169.39 為文書組長行政電腦，電話告知電腦遭入侵事件，情況嚴重，台灣學術網路危機處理中心(TACERT) 已對本校發佈資安通報-人侵事件警訊，請其將暫將電腦關機或拔除網路線。
- 將本校電腦遭入侵事件應變情形，回報教育機構資通安全應變網站。
電腦檢查結果：
- 防毒軟體遭停用，但無法啟用。
- 有不明帳戶建置於系統中。
- guest 帳戶被啟用。
- 系統安裝了一些不明的軟體。
- 電腦防火牆開了一些後門，但移除不掉。
電腦處理過程：
- 重開機，並以安全模式登入系統。
- 打開 regedit.exe 程式將自動啟動的不明程式移除。
- 移除不明軟體。
- 移除不明帳戶。
- 停用guest 帳戶。
- 電腦防火牆恢復成系統預設值。
- 移除所有系統、使用者及各網路瀏覽器暫存檔、移除不必要的擴充程式。
- 安裝並執行系統優化並移除惡意程式的工具程式。
- 打開系統服務程式，重新設定防毒軟體為自動啟動狀態，並予以啟動。
- 防毒軟體手動線上更新，更新後，進行全機硬碟掃描，移除多項惡意威脅程式。
- 重開機，以正常啟動模式登入系統。
- 再次以防毒軟體進行全機硬碟掃描，確認不再有任何中毒現象。
- 再次登入「新北市校園網路管理平台」檢視 163.20.169.39 連線狀況，連線數已降至 20 以下。檢視其連線中，有無不正常的連線。
- 更新軟體、系統。
- 設定 admin 密碼為複雜度較高的密碼。