措施1-1. 帳號管理
措施1-2. 最小權限
措施1-3. 遠端存取
這個構面應該是1-3比較需要提供符合技術面考量的管控實施方式之佐證，所以我們以此舉例建議系統管理人員提供到什麼程度的陳述。
為確保資通系統的遠端存取安全，防止未經授權的存取行為，並滿足資通系統的合規要求，本文件制定了一套標準作業程序(SOP)，涵蓋了所有的遠端存取類型的管理與操作記錄。此SOP文件旨在提供具體的步驟和流程，確保系統管理者與使用者的存取行為受控且可追溯。
本SOP適用於所有涉及資通系統的遠端存取行為，包括但不限於以下工具和協定：
遠端桌面連線 (RDP)
安全外殼協定 (SSH)
網路芳鄰 (SMB)
文件傳輸協定 (FTP/FTPS)
本 SOP 適用於所有內部管理人員、系統管理員、外部供應商和技術支持人員，當這些人員需要對伺服器、數據庫、網路設備和雲端平台進行遠端管理操作時，必須遵守本 SOP。
3.1 允許的遠端存取類型及授權管理
僅允許已獲得機關授權的遠端存取類型（RDP、SSH、SMB、FTP/FTPS）進行連線操作。例如：
使用 跳板機 (Bastion Host) + SSH 作為遠端管理的主要解決方案。
針對 Windows 系統，使用 RDP over VPN，並啟用 NLA、MFA 和日誌收集。
對雲端系統，選擇 Azure Bastion 和 AWS Systems Manager，無需公開 RDP/SSH 端口。
應制定《遠端存取許可清單》，清單中需明確定義允許的協定類型、連線條件和組態需求。
針對每一種遠端存取類型，應建立完整的使用限制、組態需求和連線需求，並文件化存檔。
每位使用者的權限必須經由伺服器端的權限檢查完成，避免使用本地端的驗證方式。
系統管理者需定期審核使用者的授權和使用限制，並保存審核記錄。
3.2 權限檢查
所有遠端存取請求均應在伺服器端進行身份驗證和權限檢查，確保未經授權的使用者無法進行存取。
權限檢查包括：使用者身份驗證（如帳號/密碼、MFA）、IP白名單檢查、使用者角色檢查和特定操作的存取控制。
權限變更應採用變更管理流程，並保留所有變更記錄。
3.3 連線監控
應啟用遠端存取的實時監控機制，並將所有的存取操作記錄到中央日誌管理系統。
遠端存取的每一個請求（成功或失敗）都需在系統日誌中記錄。
應使用日誌管理工具（如Elasticsearch、Splunk或Graylog）來檢測不尋常的存取行為，並生成即時警報通知。
日誌數據應包括：使用者身份、存取時間、來源IP地址、目標系統和執行的操作。
需定期審查日誌，識別可疑的異常行為，並向安全團隊報告。
3.4 加密機制
加密協定： 應使用加密的傳輸協定（如TLS 1.2/1.3、SSH加密通道）保護遠端存取的數據傳輸，防止中間人攻擊（MITM）。
禁止不安全協定： 禁止使用不安全的協定（如Telnet、未加密的FTP）進行遠端存取。
金鑰管理： 對於SSH連線，應使用公私鑰配對進行身份驗證，並定期更換私鑰。
憑證管理： 遠端桌面連線（RDP）應使用有效的數字憑證，確保伺服器的身份被正確驗證。
3.5 存取控制點管理
僅允許從受控網段或已認可的IP白名單進行遠端存取。
需建立並維護IP白名單，所有的遠端存取來源均需在該清單中進行登記。
對於異地辦公或在家工作的管理員，需啟用VPN隧道，並限制只能從VPN連線進入系統。
預定義的存取控制點應定期審核，並確認其依舊為安全的網段。
4.1 遠端存取請求與審批流程
使用者提出遠端存取請求，並提供請求的類型（如RDP、SSH等）。
系統管理員審查請求，確認使用者的權限、使用限制和連線需求。
系統管理員在伺服器上設置使用者的連線權限，並在文件中記錄該操作。
使用者收到存取許可，並開始遠端存取操作。
所有連線行為（成功或失敗）均被記錄在日誌中，並可供系統稽核檢查。
4.2 權限變更與審查流程
變更請求：管理者或使用者提出權限變更請求。
變更審批：系統管理員審查變更請求，並記錄審批過程。
權限實施：系統管理員更新權限，並在日誌中記錄操作。
審查與記錄：定期審查權限變更的日誌，確保其符合政策規定。
4.3 加強型連接存取控制
僅允許跳板機存取伺服器，禁止直接存取伺服器。
所有管理操作必須通過 VPN 或內網進行，禁止公開 RDP/SSH 端口。
4.4 例外管理與應急措施
緊急訪問：遇到系統異常或資安事件，IT 管理員可申請緊急存取。
日誌審查：定期每月審查審計日誌，並確認是否有異常活動。
4.5 違規處理
發現未經授權的管理操作，必須立即通報資安單位，調查具體原因。
違規人員將被暫時凍結帳號，並可能接受資安稽核的調查。
日誌保存期應不少於6個月，並至少每週備份一次。
日誌文件應加密存儲，並定期檢查其完整性，確保無未經授權的變更。
日誌系統的日誌格式應符合規範，包含：
身份驗證失敗：帳號、IP 位址、時間、嘗試次數，保存1年。
資源存取失敗：取資源名稱、使用者、操作結果，保存1年。
管理者操作行為：管理者帳號、操作內容、時間，保存1年。
關鍵資產異動：變更內容、使用者、時間，保存3年。
日誌數據的存儲應設置訪問控制權限，僅授權的系統管理員可查閱。
以上範例是詢問ChatGPT後再稍加整理而成的，其中或許有部分不容易落實，或者在專案執行時某些考量下不夠充分，所以在參考引用這些內容仍應仔細斟酌合宜性。