名詞解釋
CVE、CVSS、RCE、SSRF、XSS、SPF／DKIM／DMARC——每個名詞都附一句話結論與淺顯的說明。
什麼是影子 AI（Shadow AI）？公司看不到的 AI 使用風險，以及組織與個人該怎麼做
影子 AI 是指員工把公司未核准或未管理的 AI 工具（聊天機器人、AI 瀏覽器擴充功能、程式碼助理、會議記錄 AI、連接工作帳號的 AI 代理）用於工作。它是影子 IT 的 AI 版本。主要風險：輸入的機密或個人資料可能被提供方保存，並依方案與設定被用於訓練（個人…
後門是什麼：攻擊者如何保留再次進入的路徑，以及如何發現
後門是攻擊者為了繞過正常驗證、日後能再次進入而植入的隱藏入口。它通常出現在第一次入侵之後，把一次入侵變成持續的存取；也可能藏在被污染的相依套件裡送進來。它與正當遠端維護的差別在於：是否經過授權、是否有人知道、是否留在紀錄裡。對策是最小權限、…
什麼是 GDPR：歐盟的資料保護規則，以及外洩時的通知義務
GDPR（General Data Protection Regulation）是歐盟保護境內人們個人資料的全面性規則——而且它可能觸及位於歐盟以外、卻服務歐盟使用者的業者。它要求合法依據（如同意）、明確目的、資料最小化、當事人權利（存取／刪除），以及向主管機關的外洩通知（原則上…
什麼是 OWASP Top 10：Web 應用十大風險的標準清單
OWASP Top 10 是非營利組織 OWASP 每隔數年發布的「Web 應用最關鍵風險」清單，是開發者與維運者的共通語言。現行的 2025 年版（2025 年 11 月公布）仍以「存取控制失效」居首；「安全設定錯誤」升到第二，並新增了「軟體供應鏈失效」與「例外狀況處理不當」…
什麼是 PCI DSS：處理信用卡資料的安全標準
PCI DSS（Payment Card Industry Data Security Standard）是儲存、處理或傳輸卡片資料的業者所須遵循的國際標準。由卡片品牌制定，它要求網路防護、儲存資料加密、最小權限的存取控制、監控／記錄，以及漏洞管理。實務上最安全的做法是自己根本別持有卡號——…
什麼是公開金鑰密碼學：用公鑰與私鑰這對金鑰進行加密與簽章
公開金鑰密碼學使用「公鑰（可安全交出）」與「私鑰（只有持有者保管）」。以公鑰加密的內容，只有對應的私鑰能解密；以私鑰做出的簽章，能以公鑰驗證。這個非對稱性支撐了 TLS（HTTPS）的金鑰交換、數位簽章與 passkey。防禦之道：別自製密碼（改用標準協定…
什麼是惡意軟體 — 種類、感染途徑與基本的防禦
惡意軟體（Malicious Software）是為危害裝置或資料而製作的不良軟體的統稱。病毒·蠕蟲·木馬·勒索軟體·間諜軟體·殭屍程式全都是其中的一部分。種類看起來各不相同，但守護方式是共通的三項：防止感染（更新·不開啟可疑附件/巨集·MFA）、偵測（EDR·防毒軟體）…
什麼是一次性密碼（OTP）？TOTP/HOTP/簡訊的差異與限制
一次性密碼（OTP）是一種用過一次就失效的短命拋棄式驗證碼。種類有驗證器 App 的 TOTP（以時間為基礎）、HOTP（以計數為基礎）、SMS-OTP（用簡訊送達）。它對固定密碼的外洩與重複使用有很強的防護，常被當作雙因素驗證中『你擁有的東西』這個因素。不過它有…
什麼是雙因素驗證（2FA）？與兩步驟驗證的差異，以及各方式的強弱
雙因素驗證（2FA）是在『你知道的東西（密碼）』之上，加上『你擁有的東西・你本人（驗證碼・金鑰・生物特徵）』這種不同類別的證明，來強化身分確認的機制。它與常被混淆的兩步驟驗證（確認兩次）在嚴格意義上是不同概念，密碼加上透過手機號碼接收的簡訊驗…
什麼是 Let's Encrypt——將 HTTPS 自動化的免費憑證頒發機構（CA）
Let's Encrypt＝免費且自動化的 TLS 憑證頒發機構（CA）。ACME 協定會自動驗證網域控制權，因此簽發與續期都無需人工介入。憑證刻意設計為短效期（90 天）——以縮小金鑰外洩的風險窗口並強制自動化。現實中最大的事故不是攻擊，而是續期在沒人察覺的情況下壞掉…
什麼是 OpenSSL？負責 HTTPS 加密的函式庫，以及如何保持它的安全
OpenSSL＝支撐 HTTPS（TLS/SSL）與加密的開源函式庫。多數人從不直接撰寫它——而是透過 Web 伺服器、作業系統或語言執行階段繼承而來。正因如此，一個 bug 的影響極其廣泛（Heartbleed 就是經典案例）。防禦之道：掌握你的技術棧使用的是哪個 OpenSSL、不要執…
通行金鑰是什麼：公開金鑰登入、抗釣魚與同步
通行金鑰透過私密金鑰簽章完成認證，登入服務保存公開金鑰。同步通行金鑰可在裝置間同步加密的憑證，裝置綁定型則不同步。能否構成 MFA 取決於要求的使用者驗證，裝置、同步帳號與復原流程仍需保護。
密碼雜湊是什麼？用不可逆的單向轉換安全保存密碼的機制
密碼雜湊＝用不可逆的單向轉換來保存密碼的方法。明文保存不可取。與加密不同，它無法被解密，這正是優點。但直接使用 MD5/SHA-256 會被彩虹表或暴力破解攻破。正確做法是『每個使用者不同的 salt』＋『故意做得很慢的專用雜湊（bcrypt/Argon2/scrypt）』。不…
salt（鹽）是什麼？對密碼做雜湊時加入、每個使用者各不相同的隨機值
salt＝在對密碼做雜湊之前新增的、每個使用者各不相同的隨機值。即便密碼相同，所有人的保存值也會各不相同，預先計算好的彩虹表因此失效，攻擊者也無法用一次破解攻破多個人。salt 不是祕密，可以和雜湊一起保存。使用 bcrypt/Argon2 時會自動加上。
什麼是網路釣魚（Phishing）？手法種類，以及比「識破」更可靠的防禦
網路釣魚是冒充可信對象、誘導你進入偽造的登入頁面等，竊取憑證或個人資訊（或誘使你執行惡意軟體）的詐騙。它的特點是攻擊『人的判斷』而非軟體漏洞，是勒索軟體與資訊外洩最大的入侵入口。如今有以假亂真的假網站連一次性驗證碼都即時中繼的中間人型(AiTM)…
JWT（JSON Web Token）是什麼？帶簽章權杖的原理與安全用法
JWT 是伺服器簽章後發放、能察覺竄改的權杖。它由 header.payload.signature 三部分組成，伺服器透過簽章來校驗是否為真品。要點＝①必須校驗簽章並固定期望的 alg（拒絕 alg:none）②內容人人可讀，不要放機密③把有效期設短並準備失效策略。解碼（讀取內容）與…
什麼是勒索軟體？運作原理、入侵途徑，以及如何避免付款
勒索軟體是一種加密檔案並要求「想復原就付贖金」的惡意軟體。如今除了加密，還會竊取資料並威脅「不付款就公開」，這種雙重勒索已成主流——即使能解密，資訊外洩也無法挽回。主要入侵口是釣魚、弱密碼/無 MFA 的 VPN/RDP，以及未修補的對外公開漏洞。最重要的…
BitLocker 是什麼：在裝置遺失或被竊時保護資料的 Windows 磁碟加密
BitLocker 是 Windows 內建的磁碟加密。它保護處於關機/磁碟機被拔出狀態下的資料，在裝置被竊或遺失時把內容變成密文。最需要做好的是修復金鑰的保管：一旦遺失，你自己就無法存取資料。它無法保護正在執行、已登入的電腦，所以要與強登入＋自動鎖定搭配使用…
C2（命令與控制）是什麼：入侵後攻擊者用來遠端操控終端的通訊
C2 是被入侵的終端回連攻擊者伺服器（回呼/信標）、用於接收命令與外傳資料的遠端操控通道，處於入侵「之後」的階段。主要線索是外向的可疑定期通訊與已知的惡意目的地。防禦靠出口（egress）控制·DNS 監控·IOC/IOA 比對·最小權限。在入侵調查中，確認「不存…
CORS 是什麼 — 原理，以及設定錯誤（CORS misconfiguration）會引發什麼
CORS 是瀏覽器用來控制「其他來源的 JS 能否讀取自己 API 回應」的機制。設定錯誤＝反射任意 Origin，或把 Access-Control-Allow-Origin:* 與認證資訊同時使用，會導致第三方網站讀取到已登入資料。基本的防禦是採用白名單方式、不要不加判斷地反射 Origin、…
EDR 是什麼：記錄終端的活動，偵測並回應防毒軟體漏掉的攻擊
EDR 持續記錄終端行為，偵測可疑動向（偏 IOA），並進一步執行隔離、調查等回應。它用行為與時間軸捕捉以特徵碼／IOC 比對為主的傳統 AV 會漏掉的無檔案攻擊和正規工具濫用。小規模環境往往並不需要完整 EDR，借助作業系統內建防護＋紀錄＋IOA 的思路即可獲得…
什麼是 IOA（攻擊指標）：不靠痕跡，而靠正在進行的攻擊行為來察覺入侵
IOA（攻擊指標）是靠攻擊的「行為」（提權→橫向移動→對外外傳等手法的流程）來察覺的思路，與事後痕跡 IOC 成對。雜湊和 IP 攻擊者一瞬就能改，但手法（行為）難以改變＝IOA 更長效。即便規模小，只要關注「與平時不同的舉動」也能靠近這一思路。
什麼是 IOC（入侵指標）：顯示入侵已經發生的痕跡
IOC（入侵指標）是入侵留下的痕跡＝已知惡意的檔案雜湊、通訊對端 IP/網域、URL、異常程序等。其價值在於能機械地偵測並攔截已知的壞東西。但它是攻擊者可以隨手丟棄、隨意更換的事後線索，所以 IOC 比對只是最後的確認手段，並不是完整的防禦。主要的防禦是…
工作階段固定（Session Fixation）是什麼 — 讓使用者用攻擊者準備好的 ID 登入的漏洞
工作階段固定是攻擊者預先準備一個已知的 session ID 讓受害者使用，待其登入後用該 ID 冒充受害者的攻擊。主要的防禦是『每次登入（以及權限變化）時都重新產生 session ID』。禁止從 URL 接收 ID，並為 Cookie 設定 HttpOnly/Secure/SameSite。
什麼是點擊劫持？把透明頁面疊在另一個頁面上、誘導你按下其中按鈕的攻擊
點擊劫持是用透明的 iframe 把自己的網站疊加到另一個網站上，誘導使用者執行非本意操作（轉帳、修改設定、同意授權）的攻擊。主要的防禦是不讓自己的網站被嵌入到他站的框架裡：CSP frame-ancestors 與 X-Frame-Options。
IDOR 是什麼：改寫 ID 就會暴露他人資料的漏洞
IDOR 是一種僅靠把 ?id=124 改成 125 就能看到他人發票、個人資訊的存取控制缺陷漏洞。主要的防禦是「在伺服器端每次校驗『目前登入的這個使用者，是否可以查看該物件』」。難以猜測的 ID 並不能算作對策。
什麼是開放重新導向（open redirect）：把使用者從你受信任的 URL 轉到別的站點的漏洞
開放重新導向是指可以在 ?next= 等跳轉目標參數裡塞入外部 URL，從而借用受信任網域把使用者轉到別的站點的漏洞。它會被用於 phishing。主要的防禦是：跳轉目標不接收外部 URL，只允許相對路徑或允許清單。
路徑遍歷是什麼 — 用 ../ 讀取伺服器上「本不該交出的檔案」的漏洞
路徑遍歷是一種在檔名輸入中混入 ../，從而逃出基準目錄、讀寫 .env、設定、金鑰等的漏洞。主要的防禦是「不把使用者輸入直接用作檔案路徑」「先正規化再將其限制在基準目錄內」。
CSRF（跨站請求偽造）是什麼：讓登入中的使用者發出非本意請求的攻擊
CSRF 是一種擅自讓登入中使用者的瀏覽器發出「並非本人本意的操作」的攻擊，它濫用了瀏覽器自動傳送 Cookie 的特性。主要的防禦是 CSRF Token＋SameSite Cookie。不用 GET 來改變狀態同樣重要。
SPF / DKIM / DMARC 是什麼：保護你的網域免遭冒名郵件的三項 DNS 設定
SPF/DKIM/DMARC 是讓收件方驗證自有網域郵件是否真實的三項 DNS 設定。SPF＝允許寄信的伺服器，DKIM＝電子簽章，DMARC＝原則＋報告。三者齊備，就能攔截冒用你名義的冒充與釣魚郵件。DMARC 從 p=none 開始逐步加嚴。
什麼是 SQL injection（SQLi）：讓輸入能改寫資料庫命令的漏洞
SQLi 是一種讓輸入被當作「命令的一部分」而非「資料」來解釋、從而改變資料庫查詢含義的漏洞，直接導致資料被讀取、被竄改、被全部刪除。主要的防禦是「停止字串串接，用佔位符（prepared statement）傳值」。
XSS（跨站指令碼）是什麼：讓攻擊者的指令碼在其他使用者瀏覽器中執行的漏洞
XSS 是一種讓攻擊者準備的字串「作為指令碼」在另一名使用者的瀏覽器中被執行的漏洞，直接導致工作階段被竊取與冒充。主要的防禦是「輸出時跳脫」。不破壞框架的自動跳脫是最有效的對策。
什麼是 CVE？給漏洞分配全球通用識別碼的機制
CVE 是給漏洞分配的全球通用識別編號（例如 CVE-2025-12345）。它讓所有人能用同一個名字引用同一個漏洞，是對策與監控的起點。CVE＝名字、CVSS＝嚴重程度、KEV＝是否正被利用，職責各不相同。對個人而言，用機器監控來追蹤才實際。
CVSS 是什麼？漏洞嚴重程度的分數，以及它的計算方式
CVSS 是用 0.0～10.0 表示漏洞嚴重程度的通用分數。分數由「攻擊途徑・複雜度・所需權限・使用者互動・影響範圍・CIA」這些既定指標透過公式算出。懂了標準就能讀懂 10.0 的含義。不過優先順序還要結合 KEV（是否正被利用）和你自己是否在用來一起判斷。
「.env」是什麼 — 環境變數檔案外洩會發生什麼
.env 是把應用程式的機密值（資料庫認證、API key、加密金鑰）匯總在一起的設定檔案。由於鑰匙集中在一個檔案裡，一旦被公開，所有機密就會一次性外洩。應把應用程式本體放到 docroot 之外，不要提交到 git，外洩後要把全部鑰匙輪替掉。
什麼是 RCE（遠端程式碼執行）——為什麼它是最糟一類的漏洞
RCE 是一種讓攻擊者能在伺服器上執行任意程式碼的漏洞。它不止於資訊外洩，而是直接通向被接管，屬於最糟一類。被害範圍由「該程序的權限」決定。防禦的關鍵在於迅速更新、CVE 監控、最小權限。
什麼是 SSRF（伺服器端請求偽造）
SSRF 是利用外部輸入的 URL，讓伺服器去存取內部資源（內部 IP 或雲端中繼資料）的攻擊。只要做了去取得 URL 的功能，就必須有目標 allowlist、內部網路阻斷，以及防範重新導向 / DNS 重新解析的繞過手法。它也是 Capital One 事故的起因。