[新聞]如何擋下網攻不破防？華碩資安長曝粗暴解

看板Tech_Job作者 (pl132)時間1月前 (2025/10/18 00:17), 編輯推噓24(27推 3噓 60→)
留言90則, 38人參與, 1月前最新討論串1/1
如何擋下網攻不破防？華碩資安長曝粗暴解方：強制推行15碼密碼，駭客就會「累到放手 」？ https://www.bnext.com.tw/article/84769/asus-cyber-attack 隨著AI、量子技術的發展，資安威脅也隨之不斷進化。根據Check Point Software Technologies的威脅情報部門數據顯示，2025年第2季全球每週遭受網路攻擊的次數平均 為1,984次，和2024年同期相比增加21%，與兩年前相比更成長了58%。 其中，台灣的網路攻擊情況特別嚴重，平均每週遭到4,055次攻擊，位居亞太地區之首。 而台灣受攻擊次數最多的前三大產業，依序為硬體供應商（平均每周8,139次）、政府與 軍事機構（5,042次）和製造業（4,983次）。 面對日益升級的資安風險，華碩資安長金慶柏指出，早期駭客只是單純為了炫技，到現在 演變成全球化、生態系化的「勒索即服務」的犯罪模式，攻擊者已將獲利模式變得更精準 化、規模化。 資安防禦如今已不再是單純的IT技術問題，而是攸關企業生存與品牌信任的戰略議題。而 面對當前的資安威脅，華碩將其歸納為兩大類： 威脅一：利用AI大量產出釣魚訊息 如今，駭客不再需要花費大量時間手寫惡意程式碼或設計社交工程郵件。透過生成式AI， 駭客就能大規模的產出語意完美，且高度客製化的郵件或訊息，大大提升了員工被釣魚或 社交工程攻擊成功的機率。 此外，透過深度偽造（Deepfake）的影像與聲音，詐騙集團也能模擬高階主管的聲音、外 貌，發動「變臉詐騙」，直接鎖定財務或供應鏈人員，造成難以追回的巨大財損。 威脅二：針對AI系統本身的攻擊 當AI模型成為企業的核心資產（例如內部知識庫LLM或智慧生產系統），駭客的目標也開 始轉向模型本身。例如透過惡意輸入，讓AI模型做出非預期的行為，甚至竊取訓練數據或 機密輸出。再加上近年AI代理人的興起，只要這些能自主執行任務的AI體系被滲透，潛在 的破壞力更是不容小覷。 簡單粗暴但有效的防範招式：密碼升級至15碼 隨著生成式AI與供應鏈攻擊日益複雜，金慶柏認為，現在企業資安遇到最困難的挑戰，其 實是「人與文化」。 「企業防護做得再好，可是只要有一個員工粗心大意，就可能把公司幾十年辛苦的防範， 全部化為烏有。」金慶柏強調，再複雜的技術防禦，其實都可以靠預算解決，但人性的疏 忽卻可能讓資安防線瞬間瓦解。因此，華碩認為，資安工作的核心在於文化轉變，必須建 立起全公司「保密防駭，人人有責」的集體意識。 為了讓資安防護深植於企業DNA，華碩採取了各種不同的策略， 其中最讓人意想不到的， 就是強制推行15碼的高強度密碼。 金慶柏指出，多數企業會在IT系統端下功夫，卻忽略 了員工的個人裝置與習慣。然而，這小小的一個舉動，卻是一個「便宜」卻又非常有效的 方法。 金慶柏強調，只要密碼從4碼升級到15碼的安全強度， 就夠確保駭客在現有技術下需要花 上百年才能成功破解，極大地提升了資料的安全性。 「就算你把密碼貼在電腦底下，我 們不鼓勵，但也會比單純4碼密碼安全的多，」金慶柏笑著補充，「畢竟能進到公司、辦 公室偷取機密的人，就已經大大減少了。」 另外，華碩的資安長也親自扮演「資安傳教士」的角色，透過持續性的教育、訓練和年度 的資安週活動，不斷向全體員工宣導和傳遞資安意識，確保這種「人人有責」的防駭觀念 ，能夠從上到下，真正成為華碩企業文化的一部分。 華碩怎麼應對AI帶來的資安挑戰？ 要在AI時代安全地利用AI工具，除了公司內部資安文化的建立，一個由上而下且持續優化 的治理框架更是關鍵。 「沒有任何企業能保證永遠不發生資安事故，」金慶柏強調，企業能夠不支付贖金的「底 氣」，就在於是否具備強大的數位韌性，而這樣的韌性，則必須具備完善的災害備援機制 、嚴謹的資料分級與保密，以及能夠快速恢復營運的系統能力。 策略一：災害備援機制 備份的最終目的，是確保在數據遭到加密或破壞後，企業能隨時「倒帶」回去，以最快的 速度以備份的基礎重建系統並恢復資料。 因此在資料保護上，金慶柏建議實施「3-2-1」的備援機制，也就是企業的關鍵數據「至 少要有三份副本，儲存在兩種不同的儲存媒介上，其中一份必須存放在異地或雲端」，這 樣就能應對各種極端災害。 策略二：嚴謹的資料分級與保密 面對AI時代的來臨，華碩在2024年成立了由董事長親自指示跨部門的GenAI委員會，負責 統籌全公司的AI技能培訓，更設立了標準化的資安審查流程，要求任何部門導入第三方AI 服務都必須通過評估，從源頭保障企業機密。 最關鍵的是，這項政策採用PDCA（計畫-執行-檢查-行動）循環，並嚴格執行「紅線禁區 」，明確禁止將「機密」及以上等級的數據用於未經核可的公開AI模型，確保企業核心數 據安全。 策略三：能夠快速恢復營運的系統能力 在攻擊發生前，企業內部也應設有應對資安事故的標準作業流程。這套SOP必須明確紀載 事故發生後，所有部門的職責和具體應對行動。這樣在被攻擊後，團隊也能不手忙腳亂地 一步一步照流程處理。同時，華碩也加入了FIRST等全球資安社群，確保內部團隊能隨時 與國際領先者同步，不斷提升資安應變的成熟度。 「資安防禦的最終目的，是讓企業具備在風險中持續營運的能力。」金慶柏最後強調，只 有將資安從技術任務提升為全員文化，並將其視為設計與營運的核心價值，企業才能真正 的實現永續經營。 駭客應該都直接攻擊企業的資料庫在反手洩漏出去吧 台灣企業比較危險吧,很多都沒再管這一塊 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 123.195.194.185 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/Tech_Job/M.1760717847.A.45E.html
→
10/18 01:12, 1月前 , 1F
金慶柏笑著補充，「畢竟能進到公司、
10/18 01:12, 1F
→
10/18 01:12, 1月前 , 2F
辦公室偷取機密的人，就已經大大減
10/18 01:12, 2F
→
10/18 01:12, 1月前 , 3F
少了。」
10/18 01:12, 3F
推
10/18 02:48, 1月前 , 4F
太長密碼，反而一堆人都用紙抄下
10/18 02:48, 4F
→
10/18 02:48, 1月前 , 5F
反人性的資安解決方式，最容易讓人犯低
10/18 02:48, 5F
→
10/18 02:49, 1月前 , 6F
級錯
10/18 02:49, 6F
推
10/18 09:01, 1月前 , 7F
可憐啊
10/18 09:01, 7F
→
10/18 10:15, 1月前 , 8F
FIDO 成員可以回家吃自己了
10/18 10:15, 8F
推
10/18 10:27, 1月前 , 9F
這不行 因為人記不住這麼長的密碼
10/18 10:27, 9F
→
10/18 10:28, 1月前 , 10F
反而讓很多人把密碼寫在紙上避免忘記
10/18 10:28, 10F
推
10/18 11:06, 1月前 , 11F
企業被勒索從來不是密碼太短
10/18 11:06, 11F
推
10/18 11:12, 1月前 , 12F
長密碼蠻有用的，但是密碼規則爛
10/18 11:12, 12F
推
10/18 11:15, 1月前 , 13F
用多個隨機單詞拼再一起
10/18 11:15, 13F
→
10/18 11:15, 1月前 , 14F
比短密碼但是很多規則還難破解
10/18 11:15, 14F
→
10/18 11:15, 1月前 , 15F
多個單子對人類來講也好記憶
10/18 11:15, 15F
推
10/18 11:22, 1月前 , 16F
伺服器事業部總經理 難怪華碩的伺服
10/18 11:22, 16F
→
10/18 11:22, 1月前 , 17F
器...
10/18 11:22, 17F
噓
10/18 11:42, 1月前 , 18F
蛤 這麼過時的方法 我還以為是拔網路
10/18 11:42, 18F
→
10/18 11:42, 1月前 , 19F
線
10/18 11:42, 19F
→
10/18 12:01, 1月前 , 20F
多階段認證這麼好用的東西不用
10/18 12:01, 20F
推
10/18 12:04, 1月前 , 21F
可悲推文只看標題，甚至一樓都複製重點
10/18 12:04, 21F
→
10/18 12:04, 1月前 , 22F
回答了還是看不到，人家早回答抄紙上的
10/18 12:04, 22F
→
10/18 12:04, 1月前 , 23F
問題了
10/18 12:04, 23F
→
10/18 12:15, 1月前 , 24F
這主管…呵呵，鬼故事很多
10/18 12:15, 24F
推
10/18 13:34, 1月前 , 25F
豪厲害喔 不愧是資安長
10/18 13:34, 25F
推
10/18 15:00, 1月前 , 26F
我還以為打中文注音輸入英數就是最暴力
10/18 15:00, 26F
→
10/18 15:00, 1月前 , 27F
的密碼
10/18 15:00, 27F
推
10/18 16:50, 1月前 , 28F
用注音打,好記又可以長,前提是要有鍵盤
10/18 16:50, 28F
→
10/18 16:51, 1月前 , 29F
用手機的就有要鍵盤注音對照表
10/18 16:51, 29F
推
10/18 17:14, 1月前 , 30F
密碼越長越容易撞庫攻擊
10/18 17:14, 30F
→
10/18 17:14, 1月前 , 31F
因為根本記不起來 都同一組一直用
10/18 17:14, 31F
推
10/18 19:28, 1月前 , 32F
也沒錯啦... 比起難搞複雜 長度長比較方便
10/18 19:28, 32F
→
10/18 19:29, 1月前 , 33F
也比較安全
10/18 19:29, 33F
推
10/18 19:44, 1月前 , 34F
整個資料庫被攻破密碼長還有用？
10/18 19:44, 34F
推
10/18 19:50, 1月前 , 35F
哇，資安長好棒喔 （死魚眼
10/18 19:50, 35F
→
10/18 20:09, 1月前 , 36F
看完完整內容覺得他說的其實沒什麼問題，
10/18 20:09, 36F
→
10/18 20:09, 1月前 , 37F
也符合實務。記者標題殺人，看推文就知道
10/18 20:09, 37F
→
10/18 20:09, 1月前 , 38F
內文根本沒看。
10/18 20:09, 38F
→
10/18 20:56, 1月前 , 39F
意思原先的只用密碼認證然密碼複雜度不佳?
10/18 20:56, 39F
→
10/18 20:57, 1月前 , 40F
passwordless,password manager都是花拳秀
10/18 20:57, 40F
→
10/18 20:57, 1月前 , 41F
腿？
10/18 20:57, 41F
推
10/18 21:14, 1月前 , 42F
四碼是pin code還是密碼？我想是密碼
10/18 21:14, 42F
→
10/18 21:15, 1月前 , 43F
那樣的話說很遜也沒錯啊。都2025年了，
10/18 21:15, 43F
→
10/18 21:15, 1月前 , 44F
才在禁止這麼短的密碼，而且為這種事
10/18 21:15, 44F
→
10/18 21:16, 1月前 , 45F
買行銷宣傳那也太奇怪了吧~
10/18 21:16, 45F
推
10/18 21:16, 1月前 , 46F
斷網就好 簡單～
10/18 21:16, 46F
→
10/18 21:18, 1月前 , 47F
同時使用啟用特徵辨識並不定期要求MFA
10/18 21:18, 47F
→
10/18 21:18, 1月前 , 48F
然後人人發實體金鑰這樣再來說吧
10/18 21:18, 48F
→
10/18 21:19, 1月前 , 49F
或者門禁與資通訊身份認證系統完全整合
10/18 21:19, 49F
→
10/18 21:20, 1月前 , 50F
不要拿門禁卡又要密碼還要裝認證器。
10/18 21:20, 50F
→
10/18 21:21, 1月前 , 51F
做到這些再出來發宣傳稿還差不多
10/18 21:21, 51F
→
10/18 21:39, 1月前 , 52F
我有更好的方案 20碼!
10/18 21:39, 52F
推
10/18 23:46, 1月前 , 53F
一樓引用的算回答? 原來資安只需防外
10/18 23:46, 53F
→
10/18 23:46, 1月前 , 54F
人
10/18 23:46, 54F
推
10/19 07:40, 1月前 , 55F
一看就標題殺人
10/19 07:40, 55F
推
10/19 09:11, 1月前 , 56F
你只要不要限制要大小寫符號等等的，
10/19 09:11, 56F
→
10/19 09:11, 1月前 , 57F
人很容易記住15個字的密碼，你可以用
10/19 09:11, 57F
→
10/19 09:11, 1月前 , 58F
生日、簡單英文等等拼湊
10/19 09:11, 58F
推
10/19 11:27, 1月前 , 59F
沒有萬用解，但是admin acc低強度密碼被
10/19 11:27, 59F
→
10/19 11:27, 1月前 , 60F
破很常見吧
10/19 11:27, 60F
推
10/19 12:02, 1月前 , 61F
密碼太常見或是太短容易被md5撞庫
10/19 12:02, 61F
→
10/19 12:02, 1月前 , 62F
太長根本不是問題
10/19 12:02, 62F
→
10/19 12:02, 1月前 , 63F
同一組一直用短密碼也是一直用啊
10/19 12:02, 63F
噓
10/19 13:39, 1月前 , 64F
還好不是金融密碼,用15碼密碼保護我5碼存
10/19 13:39, 64F
→
10/19 13:39, 1月前 , 65F
款
10/19 13:39, 65F
推
10/19 15:20, 1月前 , 66F
密碼複雜性 不是行之有年的事情了嗎
10/19 15:20, 66F
→
10/19 15:21, 1月前 , 67F
真的要防的是 不用暴力解的高階駭客
10/19 15:21, 67F
→
10/19 15:21, 1月前 , 68F
吧
10/19 15:21, 68F
→
10/19 17:06, 1月前 , 69F
社交工程攻擊，多長的都沒用
10/19 17:06, 69F
噓
10/19 18:46, 1月前 , 70F
有這種高層難怪華碩長這樣
10/19 18:46, 70F
→
10/19 22:11, 1月前 , 71F
其實長密碼，用句子就是最好的方法沒錯
10/19 22:11, 71F
→
10/19 22:11, 1月前 , 72F
那種要求大小寫特殊符號的才是低能
10/19 22:11, 72F
→
10/19 22:12, 1月前 , 73F
密碼複雜度就是個迷思，而長度是「唯一」保
10/19 22:12, 73F
→
10/19 22:12, 1月前 , 74F
證對抗暴力破解時能確實增加強度的規則
10/19 22:12, 74F
→
10/19 22:14, 1月前 , 75F
passwordless、password manager本質是把密
10/19 22:14, 75F
→
10/19 22:14, 1月前 , 76F
碼設計垃圾的系統轉換成別的認證方式
10/19 22:14, 76F
→
10/19 22:14, 1月前 , 77F
跟怎樣的密碼才是好的，是兩回事
10/19 22:14, 77F
→
10/19 22:16, 1月前 , 78F
多因子認證也一樣，如果要記憶性因子還是要
10/19 22:16, 78F
→
10/19 22:17, 1月前 , 79F
回歸到密碼強度，而且不是只看數學上的強度
10/19 22:17, 79F
→
10/19 22:17, 1月前 , 80F
能讓人「記住」的密碼，才能保證是個記憶性
10/19 22:17, 80F
→
10/19 22:17, 1月前 , 81F
因子
10/19 22:17, 81F
→
10/19 22:18, 1月前 , 82F
這世上沒有什麼不用暴力解的高階駭客，一個
10/19 22:18, 82F
→
10/19 22:19, 1月前 , 83F
安全演算法，就只有暴力、社交工程兩種攻擊
10/19 22:19, 83F
推
10/20 06:52, 1月前 , 84F
台灣資料基本被中美看光光了 偷光光了 公
10/20 06:52, 84F
→
10/20 06:52, 1月前 , 85F
司it根本抓不到資料怎麼洩漏的
10/20 06:52, 85F
→
10/20 10:17, 1月前 , 86F
將帥無能...
10/20 10:17, 86F
推
10/20 13:28, 1月前 , 87F
特殊符號大小寫真的沒必要
10/20 13:28, 87F
→
10/20 13:29, 1月前 , 88F
真正密碼專家應該不強制要求這些
10/20 13:29, 88F
推
10/21 01:25, 1月前 , 89F
我快笑死
10/21 01:25, 89F
推
10/21 14:32, 1月前 , 90F
不就是NIST 2025的更新嗎
10/21 14:32, 90F
‣ 更多 pl132 的文章
文章代碼(AID): #1eycmNHU (Tech_Job)