<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/1-0_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">現代的網路情勢撲朔迷離，該怎麼做才能確保資安呢？</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>雖然現代人已脫離蠻荒時期曝露於天災與野獸的威脅，但活在網路世代，線上空間也充滿了看不見的危險——上至國家層級的網路戰，下至社會大眾的電腦中毒，還有駭客攻擊、網路釣魚、假訊息等等，諸如此類的資安問題防不勝防。如今，又有量子電腦、人工智慧，以及時下火紅的 ChatGPT 加入混戰，全民資安該怎麼辦？一起來聽聽國家資通安全研究院林盈達副院長怎麼說！</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>資安攻防的戰略思維——「知己知彼，百戰百勝」</b></span></h2>
<p>早在 2016 年，政府即推動「資安即國安」的政策，今（2023）年初更成立國家資通安全研究院（以下簡稱資安院），旨在提升國家資通安全科技能力、推動相關研發及應用。原任職於國立陽明交通大學資訊工程學系的林盈達講座教授，目前借調擔任副院長一職。</p>
<p>&nbsp;</p>
<p>資安院有兩大任務：管理政府與關鍵基礎設施的資安系統，以及日常管理工作的技術研發。林盈達副院長打趣道，前者好比高級大樓的警衛，而他則負責研發工作，扮演强化第一線守護者防禦能力、提供軍備的角色。</p>
<p>&nbsp;</p>
<p>資安議題中，常會談到攻擊方的「紅軍」和防守方的「藍軍」。林盈達副院長強調資安要做得好，必須先具備紅軍的攻擊思維，才知道該如何防禦。如今駭客行為日臻成熟，其攻擊步驟被稱為擊殺鏈（Kill Chain），一般來說短鏈長度為<span data-component="tippy" data-content="通常短鏈會有 7 個步驟：偵查（Reconnaissance）、武器化（Weaponization）、輸送（Delivery）、利用（Exploitation）、安裝（Installation）、控制（Command and Control）、對目標採取行動（Actions on Objective）；但最新演進的駭客攻擊包括第 8 個步驟：貨幣化（Monetization）"> 8 個步驟</span>，而長鏈如<span data-component="tippy" data-content="APT 是進階持續性滲透攻擊（Advanced Persistent Threat），與熟悉的單點攻擊（防毒軟體能防禦的攻擊）不同，是針對特定目標，進行的複雜且多方位攻擊，這種攻擊如今越來越常見。"> APT </span>攻擊可長達 30 個步驟。</p>
<p>&nbsp;</p>
<p>林盈達副院長比喻，「短鏈攻擊就像偷走住戶女主人的珠寶，幾個步驟就能得手；但如果要竊取銀行的保險箱，步驟就會多很多，這就是長鏈攻擊。」</p>
<p>&nbsp;</p>
<p>成功防守的第一步，就是知識共享。美國非營利組織 MITRE 歸納了一本駭客攻擊大詞典——ATT&amp;CK （Adversarial Tactics, Techniques and Common Knowledge），當中涵蓋約 500 個戰技，就像是一本公開的武功秘笈，而且還在持續更新中。林盈達副院長表示，駭客會將這些技法放入短鏈和長鏈攻擊中，排列組合出不同的可能性，讓攻擊手段變化無窮。為了因應層出不窮的攻擊，資安界也依循 ATT&amp;CK 的架構，持續強化網路和端點設備，更好地偵測、回應威脅。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>人力不夠用， AI 幫幫忙？當 AI 和量子電腦也加入資安大戰</b></span></h2>
<p>凡走過必留下痕跡，駭客的攻擊行為也會產生流量和活動紀錄的數據。但要從每天巨量的數據中分辨出有害威脅並不容易，若是常常誤報，造成警報疲勞（Alert Fatigue），難免演變成「狼來了」的悲劇。</p>
<p>&nbsp;</p>
<p>林盈達副院長表示，為了避免類似情況，通常會將設備蒐集的數據，送往資安維運及預警中心（Security Operation Center, SOC）集中處理。辨識大量數據這種重複性高的工作，最適合交給 AI 為人類代勞，而較先進的 SOC 就是以 AI 工具為主、人力為輔，進行半自動或全自動化的判定。資安人員可以用過去發生的資安事件作為 AI 的訓練資料，讓 AI 學會辨別駭客足跡的特徵，大大提高偵測攻擊的效率。如果 AI 碰到從未見過的威脅，即所謂的零時差攻擊（Zero-Day Attack），則會在分析、辨識後，進一步交給人工判定。</p>
<p>&nbsp;</p>
<p>然而道高一尺，魔高一丈，AI 這個得力助手，久而久之也可能被駭客摸透、下手陷害，衍生出 AI 的資安問題。駭客運用各樣技巧來騙過 AI 的行徑，例如在輸入資料時，加入雜訊、混淆視聽，使 AI 誤判，或是汙染訓練資料，讓 AI 在一開始就學習錯誤資訊，這些行為稱為對抗式攻擊（Adversarial Attack）。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/1-1_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">雖然 AI 是辨識駭客足跡的資安好幫手 ，但也可能被駭客摸透、下手陷害，衍生新的資安問題。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>談到 AI，就不能不提時下最熱門的 ChatGPT！與讀取數據、辨別攻擊的 AI 不同，ChatGPT 作為生成式 AI，功能在於產出文字内容，但網路用戶並非來者皆善。林盈達副院長將 ChatGPT 比喻為單純的學童，即使用戶吐露敏感資訊或錯誤消息，也都照單全收，很可能造成隱私外洩或傳遞錯誤資訊的問題。這也迫使開發 ChatGPT 的 OpenAI 必須在後臺手動調整、修正，確保生成的內容不會違反道德倫理。</p>
<p>&nbsp;</p>
<p>林盈達副院長表示，「如果說在未來十年資安的主軸是 AI ，那再下一個十年資安的主軸很可能就是 PQC。」</p>
<p>&nbsp;</p>
<p>所謂的 PQC，即為後量子密碼學（Post-Quantum Cryptography, PQC）。當具有怪獸級運算能力的「量子電腦」可以投入實際應用時，當今被廣泛使用於公開金鑰加密和電子商業的<span data-component="tippy" data-content="RSA 加密演算法是以質因數分解這種數學難題作為設計原理的加密方法。"> RSA 演算法</span>也將被破解。學界正緊鑼密鼓研發的 PQC，就是一種專門繞過量子電腦優勢而設計的加密演算法，期望能成為抵禦量子運算的强大後盾。各國也加快腳步，部署、更新加密系統，甚至考慮全面走向無密碼化的時代，改以「多因子身份鑑別」（Multi-Factor Authentication, MFA） 機制，例如使用用戶資訊和生物辨識進行驗證。</p>
<p>&nbsp;</p>
<h2><span style="font-size: 20px;"><b>臺灣準備好了嗎？在網路時代，沒有人能置身事外！</b></span></h2>
<p>你知道嗎？在全球最常受駭客攻擊的國家排行榜上，臺灣可是位居最前列。根據統計，政府機關平均每個月受到 3,000 萬次的境外網路攻擊，民間機構也不斷面對駭客的滲透威脅。</p>
<p>&nbsp;</p>
<p>林盈達副院長形容臺灣的網路流量比較「髒」，被放入很多不同的病毒與駭客攻擊，但反過來想，這就像土壤中有越多種類的細菌，越肥沃。那麼多不請自來的攻擊，成為臺灣磨練資安攻防能力的養分，加速資安產業的發展。</p>
<p>&nbsp;</p>
<p>林盈達副院長指出，「我們雖然有頂尖的駭客社群，但也要有專業的資安人員，還要提升一般人的資安素養。」具體來說，臺灣雖然有一群優秀強大的駭客與資安學者專家，專業人員方面卻存在很大的缺口，市場上仍需要數萬資安人才。就像能領兵出策的將領很多，但基層兵力卻供不應求。如何補強、建立完整的資安人培生態，同時努力宣導推廣全民資安，是眼前一大挑戰。</p>
<p>&nbsp;</p>
<div class="py-6">
<div class="jsx-3968805167 flex justify-center -mx-2">
<div class="jsx-3968805167 px-2">
<div class="jsx-3968805167 relative overflow-hidden"><img decoding="async" class="jsx-3968805167" src="https://www.charmingscitech.nat.gov.tw/backend/wp-content/uploads/2023/06/1-2_670x460.jpg" /></p>
<div class="jsx-3968805167 absolute w-full left-0 bottom-0 p-4 text-white text-[13px]" style="background: rgba(0, 0, 0, 0.66); display: block; line-height: normal;">資安是國家政府、企業組織、研究學界和社會大眾需要共同攜手完成的拼圖，少了哪一塊都不行。</div>
</div>
</div>
</div>
</div>
<p>&nbsp;</p>
<p>那麼，一般民眾行走在網路的險惡江湖時，又該如何防身自保呢？林盈達副院長強調三大層面：密碼管理、社交工程、認知作戰。</p>
<p>&nbsp;</p>
<p>首先，管理不同密碼時，要如同管理銀行帳戶般謹慎。除了設定 12 位元以上、具有大小寫字母和特殊符號的高強度密碼，也要注意別把雞蛋都放在同一個籃子，為不同賬戶準備幾組密碼使用，才能降低被破解、盜用的風險。</p>
<p>&nbsp;</p>
<p>所謂的社交工程，就是指抓住人性弱點，使人不慎掉入駭客陷阱或洩露機密資訊，常見的手段包括釣魚信件及社交網站上的僞裝詐騙。林盈達副院長提醒，每個人都應主動關注社交工程的最新手法，並隨時保持警惕。除了不要點開不明連結，由於目前瀏覽器的資安防範並非滴水不漏，因此也應避免點選通訊軟體中會開啓瀏覽器的連結，以免連到惡意網站，被植入惡意程式。</p>
<p>&nbsp;</p>
<p>與此同時，網路上也存在有心人士發動認知作戰，刻意散播假消息，扭曲事實、加油添醋，達到煽動人心的效果。林盈達副院長將網路戰爭比作「一樓」與「二樓」的戰爭：如果一樓的戰爭是針對實體網路，目標是攻下電腦、取得或破壞資料，那麼二樓的戰爭就是訊息戰，目標是攻克人心，而且只要發動一次攻勢，就有可能攻克數百萬人心。</p>
<p>&nbsp;</p>
<p>不像電腦還能重開機、被格式化，人腦中的既成印象一旦形成便難以磨滅，影響深遠。所以透過網路吸收資訊時，必須抱持懷疑、提高媒體識讀能力，才可以避免被認知作戰，並成為讓謠言止步的智者。</p>
<p>&nbsp;</p>
<p>資安就像一幅需要國家政府、企業組織、研究學界和社會大眾共同攜手完成的拼圖，少了任何一塊，都可能成為被攻擊的漏洞。隨著人類踏入物聯網和電動車越加廣泛應用的世代，生活越來越依賴科技，資安的重要性也更加攸關人命。唯有每個人都關注資安議題、提升資安素養，我們才可以在網路攻擊的槍林彈雨中，為彼此撐起保護傘。</p>
<p>&nbsp;</p>
<p>（客座總編輯｜國家資通安全研究院 林盈達副院長；責任編輯｜曹盛威、劉品萱）</p>
