不靠意志力，靠多幾道關卡：從老黃事件談中小企業的縱深防禦
工程師思路系列 ｜ 資安攻防：針對性攻擊 不靠意志力，靠多幾道關卡：從老黃事件談中小企業的縱深防禦 2026-11-13 ｜ Mr. τ ｜ 風雲網通系統 前言：再聰明的人，也會在疲勞與誘惑下失守 這篇文章談的不是八卦，而是資安的一個基本問題：安全不能寄託在人永遠保持警覺。 11 月 12 日，輝達（NVIDIA）宣布黃仁勳（老黃）辭去總裁、執行長與董事職務。據報導，風波起於他在內部信中坦承對妻子不忠，以及媒體指出他與一位中國籍女性關係密切，對方任職於一家採購輝達晶片的新加坡公司。調查仍在進行，輝達也表示，他的坦承並不能證明對方曾把資訊傳給中國政府，因此本文對案情不下定論。 事件發生後，向太評論這件事是「最聰明的人幹了件最笨的事」，並認為以他的身價與地位，常人面對龐大誘惑難以把持。 個人情感上的失控，並不等於遭受 APT 攻擊，兩者不能畫上等號。但這兩句話點出一個共通的事實：再聰明的人，也可能在疲勞、壓力、誘惑與誤判下，做出不符合自身利益的決定。針對性攻擊，正是有系統地尋找、利用這些弱點。老黃是這個問題最極端的例子：他的價值大到值得被長期針對。 針對性攻擊像竊賊開機械鎖 針對性攻擊不是巧合的拼湊，而是被蓄意安排、有步驟的過程。 就像竊賊開機械鎖：鎖心內的卡榫，被一道一道撥離原本的位置，最後應聲解開。托爾斯泰有句名言：「幸福的家庭都是相似的，不幸的家庭則各有各的不幸」。悲劇的發生，看似一連串巧合湊在一起；但在針對性攻擊面前，那些「巧合」往往是被安排出來的。 這裡要先把兩個名詞分清楚： ✔針對性攻擊（Targeted Attack）：鎖定特定對象的攻擊，可能是一次性的，也可能是長期的。 ✔APT（進階持續性威脅）：針對性攻擊中，長期潛伏、持續維持存取權限的那一類。 本文先從針對性攻擊談起，下一節再看攻擊者怎麼選目標。 攻擊者怎麼選目標：定性與無常性 攻擊者選目標，有其目的性，但突破的方式卻很難預測。 利益越大的人，越值得被下功夫接近，這個道理大家都懂，老黃的事件只是最極端的例子。放到資安上，可以拆成兩個問題：為什麼是你（定性），以及從哪裡進來（無常性）。 面向 定性：為什麼是你 無常性：從哪裡進來 攻擊者的思考 哪裡有重大利益？ 哪個環節最弱、成本最低？ 常見依據 財務、商業機密、核心技術、供應鏈、重要人脈 未修補的漏洞、疲勞分心的人、防護薄弱的設備 手法特性 目標明確，有耐心，先搞熟再降低戒心 工具與路徑具隨機性，今天釣魚信，明天供應鏈或人際關係 守方的對策 辨識重要資產，優先保護 縱深防禦，不依賴單一防護，持續監控與紀錄 高價值目標，決定了攻擊者為什麼來；防禦弱點，決定了攻擊者從哪裡進來。 企業規模小，不代表沒有值得攻擊的利益：客戶資料、圖稿與帳密一樣有價值，也可能是供應鏈中比較好下手的一環。 「無常」是對守方而言。對攻擊者來說，工具、時間與入口的選擇，往往是依成本、成功機率與預期利益調整的結果，守方卻無法事先確定。 有個老笑話，很能說明無常性：兩個人在山裡被熊追，其中一人彎下腰綁鞋帶，另一人說：「你瘋了嗎？你跑不過熊的！」他回答：「我不需要跑得比熊快，只要跑得比你快就行了。」攻擊者面對一群目標時，往往也是這個邏輯：不一定要攻破最強的，挑防禦最弱、成本最低的那一個就行。 這個笑話只說明了「從哪裡進來」的一半。如果熊是專門為你而來（定性），跑得比旁人快就不夠了，這時要靠的是縱深防禦：多疊幾片起司，提高被打的成本，降低被隨機挑中的機率，但不保證不會被打。 人不是機器：百密一疏，防線常破在人身上 人的注意力很難持續集中，容易因生理或認知疲勞而疏忽。 再加上「日防夜防，家賊難防」這類先搞熟、再降低戒心的社交工程，常見的誘因包括：疲勞、分心、壓力、威脅、利誘、趕時間、圖方便。 防禦之所以破功，原因經常出在「人」這個環節：大意了、疏忽了。成語「百密一疏」說的正是這件事，設計得再周密的防線，也常常輸在人的一個小疏忽。... » read more
![[ 勤儉持家的維修 ] 削掉壞的那塊：硬體壞了不一定要整顆報廢](https://www.pcpilot.com.tw/wp-content/uploads/2026/11/image_20261110_233649-360x240.jpg)
