目錄
Hi，讀者，你好，
這是 Secologies 電子報的第一期，
在這一期電子報中，我想先從一個最根本、但經常被忽略的問題開始：
很多資安事件真正的問題，並不是漏洞本身，而是我們一開始就用錯了方式理解它
無論從加密/雜湊機制實作、DevOps 開發、硬體安全設計，到近年的 ML/DL 隱私等議題，我越來越常看到一個現象：
系統一開始設計「看起來」符合所有安全要求，但最後仍然會出現漏洞，而且被找出利用的方法時帶來的危害都會越發擴散。
安全問題通常不是技術細節，而是模型錯誤
在研究或工程實務中，我們很習慣問：
- 這個演算法安全嗎？
- 這個協定有沒有證明？
- 這個系統有沒有漏洞？
諸如像是有沒有避免OWASP漏洞清單、NIST SSDF、ISO 27001，或者遵守我在《資安標準與框架簡介》一文提及的框架底下。
但我們常忽略了，現實環境並不像研究情形或內部測試那樣單純。
在許多事件中我們真正該問的是：
- 我們假設的攻擊者是誰？
- 研究中假設攻擊者拿不到物理硬體，但現實中他們可以
- 目前系統穩定性真的能控制在使用者環境中嗎？
- 我們是否忽略了哪些「不方便模擬的現實條件」？
- 可能保護了 API，卻忘了保護 Logs 裡的敏感資料
一旦威脅模型錯了，再好的技術選擇都只是把問題延後
這也是為什麼你會看到：
- 理論上安全的設計，在實務上全面失效
- 沒有單一漏洞，但整個系統就是「不安全」
最近我覺得值得關注的幾件事
如果你想從不同角度繼續思考這個問題，這裡是我近期覺得有價值的資料：
- 《Security Engineering》 (3rd Edition)
- 當Ross Anderson博士談網路安全時不只考慮如何保護資料，而是用工程的角度來看整個完整的生態
- 甚至討論了為什麼一套系統單單「遵守法規」是不夠安全的，因為幾乎所有企業通過的稽核只是為了遵照過往的系統架構所設計的
- Whisper Leak: A novel side-channel attack on remote language models by Microsoft Security
- 微軟研究員發現可以一開始就針對模型假設錯誤做旁道攻擊
- 雖然流量經過 TLS 加密，但研究發現透過封包的大小和時間間隔，依然能推斷出 LLM 對話的主題
- Cyber Security 2025: Practical Trends Beyond the Hype by Nextron Systems
- 該篇討論像是「Token 偽造」和「不依賴惡意軟體的持久化（Malware-less persistence）」等目前許多LLM還正在面對的問題
- 強調攻擊者如何利用「合法功能」來做非法的事，這正是威脅模型中最難防禦的部分。
（某些資訊會持續整理在本站的推薦頁面裡）
最近在 Secologies 寫了什麼？
最近我在網站上寫了一篇《MITRE ATT&CK 框架》，探討：
- 是否有流程可以識別出攻擊者的行為？
- 為什麼修補其中一個環節無法真正解決問題？
- 這個框架最終可以利用在哪些情境中？
如果你對「製作OSINT資訊」這件事有興趣，歡迎看看。
謝謝你願意讀到這裡。
以上為第一期試刊號的電子報內容，之後我會持續調整內容方向。
Copyright © 2025 黃宏勝, All rights reserved.
No. 101, Section 2, Guangfu Rd, East District, Hsinchu, Taiwan.