CAREER TRANSITION · OFFENSIVE SECURITY → AI SECURITY

從 OSCP+ 到 OSAI+：攻擊性資安人員如何轉戰 AI 安全領域

擁有 OSCP +的人，其實早就具備 AI 紅隊演練所需要的攻擊者思維。這篇文章會告訴你哪些能力可以直接沿用、哪些是全新的課題，以及如何有效率地補齊從 OSCP +到 OSAI +的落差。

使用Azure Lighthouse進行跨租用戶管理

 

當我們的多個Azure subscription(訂用帳戶)們在不同的 Microsoft Entra ID tenant(租用戶)或是我們要為客戶管理 Azure 中的資源時，使用B2C 將管理者帳戶邀請到被管理的subscription所在的Entra ID tenants 再授予權限雖然可行，但是管理者在進行管理時就需要在不同的 tenant 間進行切換目錄(switch directory)，這並不方便集中管理，而使用 Azure Lighthouse 是更好的解決方案。

Azure Lighthouse支援多租用戶管理，管理者(服務提供者)可以透過Azure平台的工具，跨租用戶為客戶提供管理服務，客戶可以控制誰可存取或管理他們的訂用帳戶或資源群組。

以下我們就以 Contoso 與 TPNIC 為例來說明如何使用Azure Lighthouse 進行跨租用戶管理。在這個情境中，Contoso 是管理者帳戶所在的 Entra ID tenant，而TPNIC是Azure subscription 所在 Entra ID tenant，TPNIC 要讓 Contoso 的管理人員可以管理 TPNIC 的 Azure subscription。也就是說在Azure Lighthouse，Contoso扮演服務提供者而TPNIC扮演客戶。

Contoso 管理者要進行的操作

1. 在Azure portal 的【搜尋資源服務及文件(G+/)】，搜尋並前往【我的客戶】。
2. 在我的客戶的【概觀】，點選建立【ARM 範本】。
3. 在【名稱】輸入您自訂的名稱(例如：Contoso 聯盟)。
4. 在【已委派的範圍】選擇訂用帳戶或資源群組，預設是訂用帳戶。
5. 點選【新增授權】後，在【角色指派】選擇使用者、群組或服務主體，預設是使用者。
6. 在【名稱】選取要在TPNIC的訂用帳戶授予管理權的 Contoso帳戶，例如：MOD Administrator。
7. 在【角色】選取要授予上述帳戶在TPNIC的訂用帳戶的管理角色，例如：參與者(目前只支援內建角色，不支援自訂角色)。（圖1）
   
   
   圖1 新增授權
8. 按【新增】後，再按【檢視範本】。（圖2）
   
   
   圖2 建立 ARM 範本方案
9. 按【下載】將範本存檔(預設檔名為template.json)。（圖3）
   

   圖3 顯示範本
10. 將範本檔案交給 TPNIC 的 Azure 訂用帳戶管理者(Owner)。

TPNIC 管理者要進行的操作

1. 在Azure portal 的【搜尋資源服務及文件(G+/)】，搜尋並前往【服務提供者】。
2. 在【服務提供者供應項目】，點【＋新增供應項目】(在上方)後，選【透過範本新增】。
3. 點【瀏覽檔案】後，選取Contoso管理者給的範本檔案後，按【上傳】。（圖4）
   

   圖4 上傳範本檔案
4. 按【檢閱＋建立】後，按【建立】。（圖5）
   

   圖5 檢閱並建立
5. 等待部署完成後，再次在Azure portal 的【搜尋資源服務及文件(G+/)】，搜尋並前往【服務提供者】。
6. 點【委派】後，按【重新整理】即可看到委派的結果。（圖6）
   

   圖6 委派的結果

Contoso 管理者檢視結果

1. 在Azure portal 的【搜尋資源服務及文件(G+/)】，搜尋並前往【我的客戶】。
2. 在我的客戶點選【委派】後，按【重新整理】。(圖7)
   

   圖7 檢視委派的結果
3. 點【全域訂用帳戶篩選】後，在【目前＋委派的目錄】選【全選】，在【訂用帳戶】選【全選】。(圖8)
   

   圖8 所有訂閱

完成這些程序，Contoso 中被選取的帳戶(例如：MOD Administrator)就可以管理在 TPNIC 的那一個 Azure 訂用帳戶了！

您可在下列課程中了解更多技巧喔！

相關學習資源

• SC200Microsoft安全營運分析師
• SC5001使用Microsoft Sentinel設定SIEM安全性作業

零基礎轉職資安工程師，看懂跨領域 3 大優勢，半年變身搶手人才

沒有理工背景、不懂程式碼，也能進入 IT 與網路安全產業嗎？

本篇導覽深入解讀非理工轉職者如何透過「國際證照與系統化實作培訓」，在半年內突破學歷天花板、搶灘全球高達數百萬人才缺口的資安黃金賽道。

如何將資通安全管理相關法規轉成企業內部可執行的管理要求

文/鍾文魁 Mark Chung/恆逸教育訓練中心-資深講師

在目前科技快速發展（例如雲端運算、物聯網、AI應用）的環境下，企業對於資通安全管理的「法律遵循」議題，變得非常重要，比方說：

1. 避免法律風險與罰則

   各先進國家都制定了資安與個資相關法規，例如台灣的《資通安全管理法》與《個人資料保護法》。若企業未遵循相關法律規範，可能面臨：

   • 高額罰款
   • 停業或營運限制
   • 負責人法律責任

2. 保護企業聲譽與信任

   企業一旦發生資料外洩或資安事件，不僅僅是存在法律問題，還可能導致：

   • 失去客戶信任
   • 品牌形象受損
   • 影響長期營收

   因此，遵循法規是企業建立基本的資安防護與信任的基礎。

3. 因應供應鏈與國際要求

   現代企業多參與跨國供應鏈，合作夥伴常會要求供應商符合特定資安標準（例如ISO 27001、ISO 27701）。

   • 企業遵循法律規範有助於：
   • 取得合作機會
   • 符合國際市場門檻

4. 降低資安事件衝擊

   法規通常要求建立管理制度（例如風險評估、通報機制、內控流程），實施這些措施可以：

   • 提早發現漏洞
   • 降低攻擊成功率
   • 在事件發生時快速應對

5. 強化內部治理與管理能力

   法律遵循不僅僅是「被動配合」，也能幫助企業：

   • 建立標準化流程
   • 明確責任分工
   • 提升整體資訊治理成熟度

所以，在當前數位化的環境之下，資通安全的法律遵循不僅止於「避免罰款」，更是企業維持營運、建立信任與競爭力的核心基礎。因此，企業在實施資通安全管理有關作為時，可以分別從下列幾個角度來思考：

一、全球資通安全威脅與風險

隨著數位化程度的提升與新興科技的快速發展，資通安全威脅已經由過去單一的技術攻擊，逐步演化為結合企業、流程與人員之弱點的複合式風險。

近年來，勒索軟體攻擊持續的增加，攻擊者透過加密企業關鍵資料或威脅公開敏感資訊，進而要求贖金，對企業的營運造成重大之衝擊；同時，供應鏈攻擊亦成為主要風險來源之一，攻擊者透過第三方服務或軟體更新機制滲透企業內部系統，使傳統邊界防護逐漸失效。

此外，利用人性的弱點（包含好奇、無知與貪婪）而進行的社交工程與釣魚攻擊，成為入侵的重要途徑，再加以透過人工智慧技術的發展，更進一步被用於製造深偽內容（Deepfake）或自動化攻擊，提升攻擊成功率與規模。

在此背景下，資通安全風險的衝擊不僅限於資訊系統層面，更直接影響企業營運的持續性與穩定性。比方說，系統遭受攻擊可能導致服務中斷，進而影響客戶信任；個人資料外洩則可能引發法律責任與高額罰鍰，並對企業聲譽造成長期損害。因此，資通安全已經從單純的技術議題轉變為企業治理與風險管理的重要一環。

在法規層面，資安事件往往同時觸發多項法律責任。例如，當發生資安事件時，企業必須依據「資通安全管理法」履行通報與應變義務，同時若涉及個人資料外洩，亦需依據「個人資料保護法」負擔相關法律責任。由此可見，法規遵循不僅是合規要求，更是降低風險與提升企業韌性的重要工具之一。

二、資通安全相關法律要求

我國針對資通安全與資料保護已建立多層次的法規體系，其中以「資通安全管理法」為核心，並透過多項子法與配套辦法，形成完整的資安治理架構。該法要求企業建立系統化的資通安全管理制度，並依其業務重要性與機敏性等相關條件提報資通安全責任等級，以確保資安資源能夠合理配置。企業亦需據此訂定「資通安全維護計畫」，明確規範管理制度、技術控制及作業流程，並透過定期稽核與持續改善機制，確保制度能有效落實。

在資安事件管理方面，相關法規要求企業建立完整的事件通報與應變機制，包含事件分級、通報時限及應變流程等內容，並透過定期演練提升實際應變能力。這不僅強調了制度的建立，更要求企業具備實際處理事件的能力，以降低事件對企業營運的衝擊。

在監督與稽核方面，法規進一步要求企業針對「資通安全維護計畫」之執行情形進行查核，並保存相關紀錄作為佐證，以確保制度並非流於形式。另一方面，隨著供應鏈風險的增加，相關規範亦要求企業加強對第三方及資訊產品的管理，包括避免使用具國安疑慮之產品，以及對供應商進行適當的資安評估與控管。

此外，針對上市上櫃公司，主管機關亦發布「上市上櫃公司資通安全管控指引」，要求企業從公司治理角度強化資安管理。該指引強調董事會與高階管理階層應負起資安監督責任，定期檢視資安風險與執行情形，並揭露相關資訊。企業亦需設置專責資安單位或人員，導入風險導向之管理機制，並強化對重大資安事件的揭露與通報，以提升資訊透明度與投資人信任。同時，指引亦鼓勵企業參考國際標準（如ISO 27001）建立制度，並透過內、外部稽核持續精進資安治理成熟度。

在個人資料保護方面，「個人資料保護法」則著重於保障個人隱私與資料自主權。該法要求企業在蒐集、處理及利用個人資料時，須具備明確之目的與合法依據，並履行告知義務，同時採取適當之安全措施，以防止個資遭到外洩或不當使用。此外，企業亦需建立個資當事人權利行使機制，以回應查詢、更正或刪除等請求。

針對新興科技應用，人工智慧治理逐漸成為法規關注重點。相關基本法與指引要求企業在導入AI技術時，應重視透明性、公平性及可解釋性，並確保資料來源合法，避免對個人權益造成不當影響。同時，在金融科技與虛擬資產領域，「金融科技發展與創新實驗條例」提供創新試驗空間，但亦要求相關業者落實洗錢防制與交易監控機制，以維護金融秩序與市場信任。

三、法律遵循策略與執行技巧

在實務上，法規遵循的關鍵不在於理解條文內容，而在於如何將抽象的法律要求轉化為具體可執行的管理措施。首先，企業應建立法規要求與內部控制之對應機制，將各項法規條文轉換為具體控制項目，並進一步落實於日常作業流程中，同時保留相關紀錄作為查核依據。透過此種方式，可使法遵要求具體化，並提升執行一致性。

其次，法遵應採取風險導向管理思維。由於企業資源有限，不可能對所有資產採取相同強度之控管措施，因此應先進行資訊資產盤點與風險評鑑，依據風險高低決定控管優先順序與強度，避免過度或不足的管理情形。

在企業治理層面，建立明確的權責分工亦為關鍵。透過三道防線架構，可將政策制定、日常作業與監督查核功能加以區分，確保內部控制體系具備獨立性與有效性。同時，文件化管理亦為法遵實務中不可或缺的一環，企業應建立完整的制度文件與作業紀錄，並確保其內容與實際運作一致，否則即使制度完善，仍可能在稽核時被認定為未落實。

此外，資安事件應變能力的建立亦至關重要。企業應透過定期演練與流程測試，確保相關人員熟悉通報與應變程序，並能在實際事件發生時迅速採取行動。另一方面，隨著供應鏈風險日益增加，企業亦需加強對外部廠商之管理，透過評估、契約與監督機制，確保其符合資安要求。

最後，在個人資料保護方面，應將個資管理納入整體資安架構中，而非獨立運作。透過資料分類分級制度及相應控制措施，可同時滿足資安與個資法規要求，並提升整體管理效率。整體而言，透過持續改善機制，使制度能隨環境變化與風險調整，是確保法遵長期有效的關鍵。

四、結論

綜上所述，隨著資通安全威脅持續演變及相關法規日益完善，企業在面對資安與個資法遵議題時，已無法僅以形式上的合規作為應對，而應將法規要求轉化為內部治理與風險管理的一部分。透過制度化、流程化及持續改善的管理機制，企業不僅能符合相關法規要求，更能提升整體營運韌性與數位信任基礎。

未來，隨著人工智慧與金融科技等新興技術的發展，法規環境仍將持續變動，企業亦應保持彈性與前瞻性，持續強化法遵能力，以因應快速變化之數位環境與挑戰。

若您對於學習《資通安全管理法遵》相關議題有更多的興趣，歡迎參考恆逸教育訓練中心《資通安全管理法遵》合規相關課程可以了解更多的技巧喔！

您可在下列課程中了解更多技巧喔！

相關學習資源

• SECISS資通安全管理法合規實務解析
• SECPDP個人資料保護法合規實務解析
• SECLOC上市上櫃公司資通安全管控指引合規實務解析

24時不間斷防禦！一人紫隊：AI Agent 企業 Cyber Range 紅藍隊自動化對抗實戰課程

 

一、企業資安的現實困境

目前企業端普遍面臨以下挑戰：

人力不足問題

資安能力不足是業界長期存在的問題，而且這個問題在可預見的未來幾乎不可能被解決。對大多數企業而言，補人的效果非常有限。除了頂尖的超大型企業有足夠資源外，大部分中小型組織面對的挑戰都是一樣的。

AI賦能資安防禦：技術、應用與未來趨勢

2025年，網路安全領域見證了重大轉變，安全服務供應商陸續將AI整合到產品和工作流程中。AI驅動的資安解決方案，包括機器學習（ML）和深度學習（DL），已經開始被用於自動化執行日常任務、強化威脅偵測，並提升整體營運效率。一份市場報告指出，全球AI資安市場規模預計將從2024年底的超過250億美元，在2032年增長至超過2,300億美元。

儘管市場對AI的潜力抱持樂觀態度，但業界共識是，全面自動化仍是長遠的願景，現階段的重點在於實現「人機協同」以增強資安分析師的能力。成功的關鍵在於建立一套負責任的AI治理與風險管理框架，企業應優先投資於能增強資安分析師能力的AI工具，並將資安思維內建於AI系統開發的每個階段。

🚀我從工讀生到資安工程師的轉職之路(下)：轉職心路歷程與資安市場真相

自我介紹

👋 大家好，我是鄭匡旆。

幾年前的我，只是一名在恆逸教育訓練中心打工的工讀生。每天在櫃檯看著來上課的人，而我只是旁邊的觀察者。那時候每天坐在櫃檯後面，看著一批批學員走進教室，心裡一直想：「如果有一天，我也能坐在教室裡，專心學一門可以改變人生的技能，那會不會很不一樣？」

恆逸CPENT /LPT滲透測試課程評價與考試技巧分享

恆逸學員 郭威圻
精誠軟體 高級系統工程師


恆逸學CPENT的優勢：雙機操作同步學習

我是在恆逸上 CPENT的，Vincent老師技巧很純熟，操作速度也很快。好在恆逸最大的好處就是一人有兩台機器，老師操作的同時我們也可以跟著做，這樣步驟比較不會漏，吸收也更完整。

十年資安職涯成長路：從電子科跨足資訊安全，恆逸助我打造網路、系統到資安的完整技能樹

恆逸學員 郭威圻
精誠軟體 高級系統工程師

從電子科到資訊領域的轉換

我大學是主修電子科，當時接觸的是偏硬體的電子電路相關內容，畢業後才踏入資訊領域，目前已將近十年。剛進入資訊業時對很多基本概念都不熟悉，連 IP 網路的架構都不清楚，只比較熟悉區域網路，要再深入就完全沒辦法。

陽光直播主"轉職"資安工程師，0基礎也能成功的真實經驗談(上)

 

我從直播主到資安工程師，0基礎也能轉職成功！我想分享非理工背景者，如何透過資訊安全學習系統，最終成功踏入資安職場的真實經驗。

最近幾年，科技真的變得太快了，加上疫情後很多工作型態都變了，連我自己都開始思考：我現在做的工作，是我想一直做下去的嗎？
所以，這次想跟大家分享我從影像直播產業轉職到資訊業的真實經歷，還有這段期間參加的一個資訊訓練課程，到底怎麼幫我完成這個大轉變。

使用Setoolkit進行社交工程攻擊

文/何斯慕 恆逸教育訓練中心資深講師

何謂社交工程攻擊?

孟子曰：「惻隱之心，人皆有之；羞惡之心，人皆有之；恭敬之心，人皆有之；是非之心，人皆有之。惻隱之心，仁也；羞惡之心，義也；恭敬之心，禮也；是非之心，智也。」社交工程攻擊就是利用人性的弱點，透過說服欺騙和操縱受害者，洩露敏感機密訊息的一種技術。入侵者可以利用這一點，透過與員工建立社交關係，進一步獲取對組織未經授權的存取。因此，網路防禦者必須了解社交工程攻擊技術與技能，幫助保護使用者免於遭受這類的攻擊。儘管組織已採用了許多安全控制措施和政策，組織的敏感資訊仍有可能被攻擊者利用社交工程手段竊取，因為社交工程手段是針對人性的基本弱點。

如何用Linux內建指令掃描網路

文/唐任威 Vincent Tang

在滲透測試時，當我們成功拿下一台 Linux 主機，結果卻發現沒有掃描工具可用，這時我們可以直接用Linux 的內建指令來搞定 IP 位址和網路連接埠掃描。

一、掃描 IP 位址

基本 Linux 作業系統內建的 ping 指令再結合 for 迴圈就是掃描 IP 位址的最好幫手。IP 位址掃描的語法如下：

for ip in {1..254}; do (ping -c 1 192.168.0.$ip | grep "bytes from" &); done         

擺脫資安人勞苦的「駭」害人生 - FortiSIEM技術實作研討會實錄

前言

日前Fortinet與恆逸教育訓練中心，合作舉辦了一場實作研討會【Fortinet安全營運(SecOps) – 實作FortiSIEM技術研討會】，現場與講師討論互動並實際摸索測試Lab，活動會後頗受好評 !

本文收錄當日使用FortiSIEM所介紹的功能和技術演示，並配合圖檔說明展示其應用場景，以及會後技術人員的交流反饋內容