三十天的主題從傳統攻擊手法談到區塊鏈、AI 與 NFT 的安全議題。這段歷程讓我更加確信：資安不是一門單純的技術，而是一種持續的風險管理思維。今天作為收尾，我想...
NFT（Non-Fungible Token, 非同質化代幣）在 2021 年掀起全球熱潮，從藝術品、音樂到虛擬地產都能上鏈交易。但隨著市場快速膨脹，安全問題與...
隨著人工智慧（AI）與機器學習（ML）技術的快速發展，它們在資安領域的應用也變得越來越廣泛。無論是在 攻擊預測、攻擊偵測，還是防禦反應上，AI 都可以幫助安全專...
APT（Advanced Persistent Threat） 是一種高度複雜、持續性的攻擊模式，攻擊者通常以隱蔽方式長時間滲透目標，持續擴大控制範圍並竊取重要...
區塊鏈的強韌性，建立在全球分布的節點之上。然而，當攻擊者從網路層滲透或操控節點行為時，整條鏈的安全也可能被動搖。今天我們將聚焦於節點（Node）與 P2P 網路...
在區塊鏈世界裡，技術漏洞固然重要，但從使用者端下手的詐騙與社交工程往往造成更多、也更直接的財務損失。攻擊者利用人性的信任、貪婪、恐慌或慣性操作，設計出看似合理但...
智能合約（Smart Contract）是區塊鏈應用的中樞。它讓交易自動執行、不可竄改，卻也因此成為最脆弱、最具破壞性風險的組件之一。今天，我們將從 Solid...
區塊鏈常被視為「不可竄改、去中心化」的象徵，但在實務層面，安全性並非絕對。它消除了中心化伺服器的單點失效問題，卻帶來了新的風險，例如智能合約漏洞、節點攻擊、私鑰...
紅隊（Red Team）與藍隊（Blue Team）演練是資安實務中最具實戰性的一類活動。其目的不是單純「找漏洞」，而是透過模擬真實攻擊與防守，驗證組織的偵測、...
滲透測試（Penetration Test，簡稱 Pentest）是模擬真實攻擊者對系統、應用或網路進行的有計畫性安全測試，目標不是「破壞」，而是找出可被濫用的...
Kali Linux 是專門為資安專業人員設計的 Linux 發行版，擁有超過 600 款預裝工具，涵蓋了滲透測試、網路監控、數位鑑識、逆向工程等多個領域。今天...
Wireshark 是一款廣泛使用的開源網路協定分析工具，能夠捕捉和解析網路封包，顯示協定層級的詳細資料。它在資安診斷、網路故障排除、滲透測試與協定研究等領域都...
Nmap（Network Mapper）是網路偵測與滲透測試領域最常用的工具之一。它能幫助我們從「找出存活主機」→「找出開放埠」→「辨識服務版本/作業系統」→「...
本週進入第一個實作主題，我們將實際體驗如何使用 OWASP ZAP（Zed Attack Proxy） 掃描網站漏洞。ZAP 是一款由 OWASP 開發的開源工...
OWASP（Open Worldwide Application Security Project）是一個致力於推廣軟體安全的國際組織。其中最具代表性的成果之一...
在過去的網路安全模型中，防禦策略大多建立在「邊界安全（Perimeter Security）」的概念上：只要使用者或裝置通過防火牆，就被視為可信任的內部成員。然...
雲端運算（Cloud Computing）已經成為企業與個人服務的重要基礎。然而，許多人誤以為「把資料放到雲端就安全」，事實恰恰相反。雲端安全的核心是「共同責任...
說完防火牆，今天說昨天有提到的IPS。 再說IPS之前要先說IDS，IDS是入侵偵測系統，用來監控設備的網路流量、運行流程、日誌等。也就是像是監視器一樣，只會被...
在現代網路環境中，資訊在傳輸過程中若未加密，極易被竊聽、竄改或偽造。為了確保資料在網路上的安全傳輸，VPN（Virtual Private Network） 與...
入侵偵測系統（Intrusion Detection System, IDS）與入侵防禦系統（Intrusion Prevention System, IPS）...
防火牆是網路安全的第一道防線，用來控制進出網路的流量，根據預先定義的策略決定允許或拒絕連線。防火牆的主要目標是保護內部網路免受未授權存取與惡意流量的侵害，同時支...
惡意軟體（Malware）是資訊安全最常見也最具破壞性的威脅之一。其目的可能是竊取資料、建立持久存取、破壞系統或勒索贖金。理解不同類型的惡意軟體與其生命週期，能...
跨站腳本攻擊（Cross-Site Scripting, XSS）是前端/應用層常見的安全問題，攻擊者將惡意腳本注入到網站，當其他使用者瀏覽或互動時，腳本在受害...
SQL Injection（SQL 注入）是針對資料庫層的攻擊，攻擊者透過在輸入中注入惡意 SQL 片段，改變伺服器執行的查詢邏輯，進而讀取、修改或刪除資料庫內...
在社交工程的眾多形式中，釣魚攻擊（Phishing） 是最常見且破壞力極大的手法之一。根據多數資安報告，全球發生的資料外洩事件中，有相當比例與釣魚郵件或訊息有直...
分散式拒絕服務攻擊（Distributed Denial of Service, DDoS）是針對「可用性」的一類攻擊，目的在於使目標服務或網路資源無法正常對外...
在日常討論中，資訊安全（Information Security） 與 資訊保護（Information Protection） 常常被混用，但其實兩者有明顯差...
在數位時代，資訊安全與隱私權的議題緊密相連。資安的核心目標是保障資料的 CIA 三要素（機密性、完整性、可用性），而隱私權則著重於「個人資料不被濫用」。若缺乏適...
在眾多資安威脅中，社交工程（Social Engineering） 是最難防範的一種。不同於技術層面的入侵，社交工程利用的是「人性」──好奇心、信任感、恐懼或貪...
之前介紹了資安的三大支柱 CIA，那就來講一些常見的攻擊手法。種類很多，我先介紹三個較常聽到的：DDoS、釣魚攻擊、SQL Injection。 DDoS...
我是低調
iThome鐵人賽
看影片追技術