← 回資訊部內部
事件摘要：外部攻擊者針對本公司對外開放的 TCP 211-213 Port 進行持續性目標攻擊，導致鼎新 ERP 核心元件遭反覆終止，財務作業中斷。已於 2026／09／18 關閉對外 211 Port 並追加防護措施，事件排除。
發現與時間軸
- 09／14 財務同仁反映鼎新 ERP 無法使用；經查核心元件被關閉。因近兩週正在安裝主機 API 相關程式，初判為客服未啟動程式所致，未察覺為外部攻擊。
- 09／17 深夜 同一狀況第二次發生。經與鼎新工程師確認，研判為近期外部攻擊者進行特定目標攻擊：只要 TCP 211-213 Port 對外開放，即會持續攻擊 ERP 服務，觸發核心元件保護機制而中止服務。
- 09／18 完成處置（詳下）。
根因
UDM Pro Port Forwarding 中有一條規則「鼎新系統」將對外 TCP 211 Port 直接轉發至內網 ERP 主機 192.168.0.222:211，且來源 IP 未加限制（設為 Any，全世界皆可連），成為攻擊入口。
已採取措施（2026／09／18）
- 關閉對外 211 Port：UDM Pro Port Forwarding「鼎新系統」規則暫停（採 Pause，可隨時還原）。外部掃描驗證，211 Port 已從 OPEN 變為 FILTERED（封包在防火牆即被丟棄）。
- 確認 212、213 Port：本即未對外開放，無需處置。
- 追加海外 IP 防護：啟用 UDM Pro CyberSecure Region Blocking 功能，阻擋來自烏克蘭、中國、俄羅斯、北韓、伊朗、越南、巴西共 7 個高風險國家的入侵封包。方向設為 Incoming，僅阻擋外來連線，對員工日常網路使用無影響。
影響評估
- 目前門市未使用鼎新 ERP，內部亦無其他系統需使用 211-213 Port，關閉後對業務運作無影響。
- 鼎新 ERP 核心元件已停止被反覆終止，服務恢復正常。
後續追蹤
- 09／25 觀察一週，若無異常反映則將該 Port Forwarding 規則永久移除。
- 續行盤點其餘對外開放 Port（現有 8 條），逐條收斂來源 IP 白名單，降低攻擊面。
技術參數
- 受影響服務
- 鼎新 ERP（內湖總公司）
- 攻擊入口
- WAN IP 114.34.136.109，TCP Port 211
- 內部目的
- 192.168.0.222:211
- UDM Pro 規則
- Port Forwarding「鼎新系統」（已 Pause）
- 防護追加
- CyberSecure Region Blocking · Incoming · 7 國