Cyber espionage actors from China are challenging defenders globally with vastly improved capabilities. This evolving threat is particularly relevant to Taiwan where these actors are highly focused. In her presentation, Sandra Joyce will highlight multiple improvements these actors have made to achieve greater stealth and complicate attribution. Her presentation will detail the focus on 0-days in security devices, the use of IOT botnets for infrastructure, and the adoption of living-off-the-land techniques by these actors. Additionally, she will detail the information operations campaigns which have targeted Taiwanese audiences in recent years.

軟體安全漏洞都有自己的生命週期，從發現到攻擊、再到修補，然後，通常就銷聲匿跡。對於這生命週期的每一階段，企業可採取不同的措施來盡量降低自己及客戶所面臨的風險。但不幸的是，許多產業在試圖回應漏洞時，都會因其產品與製造流程上的特性而面臨一些獨特挑戰。例如，汽車本身就擁有複雜的供應鏈與眾多第三方元件，這些都必須隨時保持更新並加以強化，才能抵禦現代化攻擊。

本演講探討各種產業在處理漏洞並監控威脅情勢時，須注意的一些特殊領域。我們從趨勢科技 Zero Day Initiative 全球最大非限定廠商獨立漏洞懸賞計畫以及 Pwn2Own 駭客大賽所學到的經驗，檢視產業該如何因應這些挑戰，以及業界在哪些地方做得不錯、哪些地方則有待改善。最後，我們會提出了一些軟硬體廠商在管理漏洞生命週期時可以列入考量的建議。

這個場次中將以我的角度，一同回顧過去十年「臺灣資安大會」所見證的資安演進。在這個快速發展的時代，資安技術已從各種威脅偵測產品發展，轉向各種防禦方法論的流行。除了資安產品的發展外，資安服務也逐漸受到重視。加上近年來，隨著人工智慧自動化技術的引入，許多令人期待的變革正在席捲資安產業。讓我們一起探討未來十年資安領域可能發生的變化。

Premiere: 5/14 12:00 - 12:30

Replays: 5/14 18:00 - 18:30, 5/15 00:00 - 00:30

Localized threat intelligence is the kryptonite to threat actors, yet the majority of organizations overlook it completely. When you know who your enemy is, why not focus all your energy and resources into understanding them and staying one step ahead? Well, it’s next to impossible for most western governments to gather actionable intelligence on APAC adversaries, so companies have no chance at all.

With little to zero understanding of how the typical APAC adversary group operates, a lack of humanresources who understand the local language (and its dialects), most organizations simply give up.

However, there are companies on the front lines of the information war (that has already started) that are developing solutions and exporting them globally. In this session, we will discuss what localized intelligence is, how APAC threat intelligence teams gather and process it, and how international organizations can use it to stay one step ahead of threat actors.

『公司最近發現了一宗資安事件，我們在 AWS S3 中存放的研發資料在多個論壇上被公開，經過調查後發現，原因是我們公司的一位同仁為了提高工作效率，不慎將 S3 雲端存取權限設定為公開。這導致機密資料外洩事件的發生。此外，由於雲端的 EC2 未修補弱點，駭客得以趁虛而入，進一步加劇了這次資安災害。』

這些新聞是不是讓你遲遲不敢使用雲端呢？

雖然雲端己經是世界的潮流，優點顯而易見，但威脅也到處可見資安人員在雲端所面臨到的挑戰：

1. 對雲端環境不熟悉，相關安全設定以及法規無法面面俱到。
2. 雲端元件以及服務使用太廣，無法全面掌握服務安全。

本次議程將分享在複雜的雲端環境中，資安人員如何更有效安全的管理雲端安全。

本課程為進階課程。

本課程將帶領聽眾進入數位鑑識的調查過程，並學習使用相關工具進行分析。課程前期會手把手帶領聽眾操作並熟悉調查工具使用與認識調查構面。課程的後半段，將會提供過往的CTF競賽案例，並深入解析解題過程和技術細節，期望培養聽眾對於數位鑑識方面的實戰經驗和技能，並提升調查能力，為組織的資安防護提供寶貴的支援。

Premiere: 5/14 12:40 - 13:10 

Replays: 5/14 18:40 - 19:10, 5/15 00:40 - 01:10

There is observed rapid rise in awareness of cyber security in the maritime sector especially in the last couple of years. This is now strengthened by IACS' mandated cyber security compliances for new builds of ships and vessels by mid 2024.

This presentation addresses concisely the past, present and future possibilities of maritime cybersecurity. It aims to provide practical and actionable insights and advice as take home for the audience

Quark Script 為針對 Android 之黑箱漏洞偵測工具，已於 BlackHat Asia Arsenal 2024 中發表，Quark Script 三大特色包含 :

• 創意與創新：深入黑盒子挖掘漏洞，解決自動化問題，提供好用、實用之 API，鼓勵使用者以創意和創新的方式撰寫 Quark Script 偵測腳本。
• 動態與靜態分析：整合靜態分析工具（例如：Quark 本身）和動態分析工具（例如：Frida）。
• 可重複使用與分享：一旦使用者建立一個 Quark Script，即可在不同目標上分析，並且與其他使用者分享。

Premiere: 5/14 13:20 - 13:50 

Replays: 5/14 19:20 - 19:50, 5/15 01:20 - 01:50

In the rapidly evolving landscape of cybersecurity, the protection of sensitive information lies at the heart of robust product security. As businesses go digital, the surge in data and complex software makes it essential to find innovative ways to protect critical assets. This presentation will focus on the key role of secrets management in strengthening digital security and improving the overall safety of modern products.

We will explore the fundamental importance of secrets management in securing credentials, API keys, encryption keys, and other sensitive information vital to the integrity of digital ecosystems. I'll discuss the evolving threats we face and share real-life examples to highlight the need for effective secrets management. I'll also cover the latest techniques, tools, and best practices designed for today's ever-changing security challenges.

關於威脅重要基礎設施的特殊之處在於其隱匿性。重要基礎設施指的是對國家運作至關重要的系統。通訊基礎設施包括私人/公共的蜂窩網絡。

針對通訊基礎設施的 APTs 通常由國家支持，而非勒索軟體幫派。其主要目的是進行間諜活動或數據外洩。植入物被設計為在受感染的系統中長時間保持不被檢測。

私人蜂窩網絡在國防、製造業和 V2X 通訊等領域中的應用越來越廣泛。從 3G 到 4G 再到 5G，封包核心和射頻系統已轉向開放式架構。單一架構和專有協定正在讓位給組件分離 (SBA、ORAN) 和界面標準化 (SBI、E2)。

邁向開放和雲端的轉變使蜂窩網絡支援各種私人網絡部署方案的靈活性。可預期的是，蜂窩網絡的攻擊面也擴大到了雲端、邊緣和內部網絡中。電信和訊息技術網絡在私人網絡中交融，因此威脅有可能是跨領域的。攻擊蜂窩技術的向量是此講座的主題。

要克服重塑環境的複雜性，需要將安全放在首位的網路——在從邊緣到園區、資料中心到雲端的所有網路中本質上啟動零信任原則。 讓您的網路成為安全解決方案。

網路作為安全解決方案，憑藉著安全第一、人工智慧驅動的網絡，網路成為安全解決方案。 組織現在可以以盡可能低的風險提供高效能和無處不在的存取。

透過安全第一、人工智慧驅動的網路簡化零信任安全的採用了解安全第一、人工智慧驅動的網路的主要優勢，以及如何在最重要的地方簡化零信任的採用。

IBM Security QRadar Suite 是一款企業級開放平台的模組化威脅偵測與回應解決方案，全新定義資安分析師的工作體驗。透過先進的人工智慧和自動化技術，快速優化分析師處理資安事件生命週期，提高效率，助力資安團隊更有效的整合資安維運任務。結合端點安全 ( EDR、XDR 和 MDR ) 、日誌管理、SIEM 和 SOAR 功能，以統一、直觀的使用者介面呈現，提供深度見解與事件案例管理工作流程。

IBM Security QRadar Suite 重新塑造資安分析師的威脅管理框架，搭載AI 強化的告警分類、自動威脅調查和加速威脅搜尋功能，帶給您獨一無二的體驗，讓您站在資安前沿。

在「AI時代的資安展望：挑戰與創新」議程中，我們將探索人工智慧對資訊安全領域的深遠影響。隨著AI技術的迅速發展，我們面臨著新的挑戰和機遇。本次議程將探討AI如何改變了資訊安全的格局，以及如何應對這些變化。我們將深入討論AI在資安領域的應用，並探索其對威脅檢測、風險管理和安全策略的影響。同時，我們還將討論資安創新的最新趨勢，以及如何利用AI技術來增強我們的資安防禦能力。

你知道洩漏個資最高可裁罰 1500 萬嗎？2023 年 6 月政府提高個資法的罰款上限金額調整到了 1500 萬元，是原本罰則的 75 倍！若不幸發生資料外洩事件，被政府裁罰高額罰鍰，導致企業營運成本增加，公司聲譽也會跟著下降，所以我們必須阻止資料外洩的發生。在這堂課，我們會介紹如何透過 DAM+ 次世代資料庫安全稽核解決方案，解決傳統 DAM 軌跡的盲點，落實從應用端使用者至資料庫存取的監控，加強保護企業的資料庫與監控應用系統，防止資料外洩機會。

面對全球各國政府與相對關鍵基礎建設產業主管機關對於資安零信任架構的推動趨勢與鼓勵，企業如何避免隨波逐流、人云亦云、無所適從 甚至 投資浪費，精誠集團 / 智慧資安 / 大安團隊參考 CISA 零信任成熟度評估問項 與 NIST CSF 架構，整合集團長年資安落地經驗，首創提出「零信任成熟度評估方法論」，透過集團實務導入案例，讓各產業企業機關可以兼顧資安理論與資安現況，協作整個資訊基礎、網路、應用開發以及資安團隊在相同共識下，規劃出可以跟高層順利爭取資源的階段性的零信任資安導入計畫。

驅動數位+ 經濟

透過大規模且快速交付的革命性技術，助力全球客戶成功轉型數位化+ 。

Insider 的風險管理很容易遇到阻礙，包含資料類型不足導致的過多誤判與漏報、員工的隱私與信任、記錄量過大難以分析等問題。

透過端點收集超過 40 多種使用者及系統行為記錄，經 AI (ChatGPT) 自動分析使用者的異常和潛在風險行為，包括：非上班時間使用電腦連結可疑網站，又疑似上傳內部檔案；連接非公司網路 ( 如：手機熱點 ) 時，正在做哪些事情；與外部人員的即時通訊、郵件內容有疑似洩密行為；員工離職前將檔案大量複製到 USB 隨身碟後再刪除。

在排除人為觀察和偏見的情況下，用 AI 快速的剖析回應潛在風險，在保護公司資產的同時，尊重員工的隱私和工作流程。

Empowering the Future of SOC: Multi layered AI-Powered Cybersecurity: In the midst of mounting pressure on cybersecurity to defend against increasingly sophisticated attacks and navigate a shortage of talent within the industry, our session showcases the challenges and opportunities faced. We draw upon our insights from observing and investigating threats throughout 2023, providing a comprehensive overview while casting our gaze forward to the evolving threat landscape of 2024. Leveraging telemetry data collected from tens of millions of endpoints, we offer valuable perspectives on emerging cyber threats and trends. Central to our discussion is the integration of AI-powered cybersecurity technology into Security Operations Centers (SOCs) as a strategic response to these challenges. By harnessing the capabilities of AI, organisations can bolster their defenses and address the talent shortage by automating key processes within their SOC. We explore how SentinelOne's AI-powered platform simplifies data ingestion, conducts advanced analysis, prioritises incidents, and streamlines workflows, thereby enabling SOC teams to effectively combat cyber threats with agility and precision. Join us as we delve into the practical applications of AI in cybersecurity, providing actionable insights and strategies to fortify your organisation's defenses nd navigate the evolving threat landscape with confidence.

自 2018 年起，美國「國家標準技術研究所」 (National Institute of Standards and Technology，簡稱 NIST) 推動「網路安全管理架構」產業標準 (Cybersecurity Framework，簡稱 CSF) 1.1 版至今，2024 年 2 月已公布 CSF 2.0 版。

國內少數上市櫃公司設置資安治理委員會，或定義專屬性角色與執掌。資安治理框架與原則仍在發展中，就便是 ISO 27014 是資安治理的框架，並非為可認驗證的標準。根據第一手的觀察經驗，國內資安風險管理尚未到位，是否資安治理是解方還是安慰劑？如果資安治理指引企業資安藍圖 (Roadmap)，到底我們在制定資安藍圖出了什麼問題？這跟 CSF 資安標準、資安供應鏈的議題有什麼關係？

本議程主要重點：

* 資安治理框架與原則之演進

* CSF 2.0 草案：資安治理功能

* 結論：資安治理是解方還是安慰劑？

這場演講中將揭示生成式 AI（如 ChatGPT）在對抗進階持續威脅（APT）中的關鍵作用。APT 是針對性強、持續時間長的網路攻擊，涉及潛伏、資料竊取等多重威脅。我們將深入探討 AI 在偵測、分析、回應和預測這些攻擊中的應用。從自動分類偵測事件，到識別網絡異常， AI 幫助揭露攻擊者策略，並提出有效的防禦措施。此演講將展現 AI 如何提高資安效能，並與資安專家的見解結合，共同提升防禦策略。

Forcepoint 以 AI/ML 為核心總觀整理資料安全治理的全貌，協助您簡化資安管理流程，防護資料外洩，無論在何時何地工作，都能安心存取資料，讓資料保護無虞。

在 IoT 環境中，機器身分管理的有效實施不僅是生產安全和效率的基石，也是應對日益複雜的安全挑戰的必然要求。 遵從相關標準，善用 PKI 和密碼學技術，並將機器身分管理融入整體身分和訪問管理，將有助於建立更為穩固的 IoT 安全基礎。

資安的世界中，我們總是期待看得更多更廣，因為看得見才能抓得著。我們自豪重兵防守的營運系統在風雨中力抗外敵，駭客卻從非營運環境輕騎入關。

FOCUSECURE全方位智慧防禦防禦監控平台，結合安全資訊和事件管理與關聯式分析、內網區域聯防、網路傳輸安全、系統效益監控，並搭配KELA強大全球威脅情資，採用獨特技術，深入暗網等難以接觸的資源，並獲得分析報告，為企業和組織提供高效，創新的資訊安全解決方案。

中華電信雲端簽署 A⁺sign^- 實踐 ESG 無紙化目標:透過雲端數位簽署，企業可以實現文件數位化，減少紙張消耗，從而降低環境影響。此外，數位簽署提高了文件處理效率，減少了大量的時間和資源浪費，有助於提高公司治理水準。同時，雲端數位簽署也促進了企業的社會責任，因為它使得企業更容易與各方合作，包括供應商、客戶和夥伴，從而促進了社會合作與共享價值。總的來說，雲端數位簽署技術不僅使得企業更具競爭力和效率，同時也為實現 ESG 目標提供了重要的技術支持和實踐途徑。本服務為雲端簽署方案，整合了通過國際安全驗證的雲端硬體安全模組，可搭配文件簽署專用憑證，提供時戳服務和支援簽署文件的可視化/長效驗證功能，協助客戶快速安全地導入數位文件簽署服務。

Premiere: 5/14 14:00 - 14:30 

Replays: 5/14 20:00 - 20:30, 5/15 02:00 - 02:30

By 2030, 100 billion devices will be connected to the internet, significantly expanding the attack surface. Beyond asset owners who utilize these connected products, the companies selling such devices must also seriously consider reducing potential cybersecurity threats and risks during the product development life cycle through essential product security practices. It is crucial for them to understand and recognize the value of “product security” and differentiate it from IT security or OT security.

Additionally, global and regional regulations and standards have been driving action since the 2010s, compelling product manufacturers and providers to take necessary steps. However, many of these companies lack internal cybersecurity capabilities and sufficient resources to fully implement the required practices to meet product security requirements.

In this talk, I will introduce comprehensive recommendations at different levels, including compliance and testing services, security software development tools, and security software components. These measures aim to ensure effective guarding against cybersecurity threats and risks.

軟體定義汽車（Software-Defined Vehicles, SDV）通過 OTA（Over-The-Air）技術實現遠程升級，持續更新為用戶提供了更多元的服務和更優質的體驗。然而，軟體的不斷變化不僅帶來了便利，同時也引入了新的資訊安全風險。傳統的資訊安全設計架構顯然難以應對 SDV 的需求，在支援快速變動的軟體應用需求下，我們必須重新思考車用 ECU（Electronic Control Unit）的設計理念。那麼，哪些現有的設計準則面臨挑戰？哪些傳統的安全設計原則仍然是必要的？本演講將分享實際的車控元件資訊安全設計經驗，探討 SDV 對新一代汽車系統架構帶來的挑戰。

Premiere: 5/14 14:40 - 15:10 

Replays: 5/14 20:40 - 21:10, 5/15 02:40 - 03:10

俄烏衝突中的事件凸顯了增強資訊安全措施的至關重要性，尤其是在 OT 環境方面。隨著我們目睹戰爭性質的不斷演變，從這場衝突中汲取教訓並應用於強化我們的防禦是至關重要的。俄烏戰爭不僅展示了傳統軍事戰術，還明顯依賴於針對關鍵基礎設施的網絡戰爭。我們從這場衝突中可以得出關鍵基礎設施內部運營的脆弱性，在歷經多波段針對能源、通訊和政府等領域的攻擊，這些系統的中斷對國家安全、經濟和公共安全產生深遠影響。為了增強關鍵基礎設施中的 OT 資訊安全，我們必須優先考慮幾個關鍵策略來應對這種混合戰爭。將根據針對關鍵基礎設施的最新攻擊提供對策建議。

本議程將深入探討 Copilot for Security 在資訊安全領域中的應用和價值。我們將透過深入的解析和實際案例，探討如何利用Copilot for Security的技術來提高安全性和防禦能力。此議程將介紹其工作原理、功能和特點，並探討其如何與其他安全解決方案相結合，形成強大的整體安全防禦系統。參加者將有機會深入了解微軟在AI安全領域的最新技術和創新，並學習如何運用這些技術來應對日益複雜的資訊安全挑戰。

台達電子身為全球電子領導廠商之一，高度重視產品資安。企業本部成立產品資安中心多年，負責事業群產品資安合規評測服務，並提供資安工具及防護技術，積極推動強化產品資安。數年來已實踐包括工業自動化、儲能、ICT 基建、半導體設備等領域的產品資安，逐步帶動上下游形成安全且具韌性的供應鏈。

多年來透過台達研究院投入大量資源與學術機構、法人合作，成功開發並實踐產品資安技術及服務於台達產品，台達將以「實踐者」的角度分享如何實踐產品資安。歡迎各界夥伴一起參與。

應用系統的開發與維運，資訊安全已經是必要的項目，因此 Security by Design 的目標也越來越清晰，個團隊也慢慢有共識，系統越前面的開發階段將安全越早納入設計，整體成本是較低的。然而在數位轉型的過程中，舊的系統已經存在，要顧慮維運、漏洞持續被發現，要趕著修補。追尋敏捷開發過程中，而資安 Team、研發 Team、維運 Team 彼此有不同的認知，形成團隊衝突。本議程探討如何透過自動化安全工具，滿足 SDLC 與 CI/CD 各個階段的資安需求，並探討最佳實務的成功案例。

HCL Verse 兼具數據安全性、合规性、性能及節省成本的郵件平台。採用全新現代化 UI 介面，可以保護您的資料安全，同時在部署方面提供充分的靈活性，包括 On-Premise 部署方式。且擁有多項獨家設計的郵件擴展功能。可整合多種個線上會議。除了 web mail，也提供安全電子郵件用戶端及行動裝置郵件 app。

本演講主要討論 RED 定義的網路安全要求，並對應 IEC62443-4-2 和 EN ETSI 303 645 標準之網路安全功能於各項法規要求。

針對企業整體環境進行資料保護規劃與建議，並對於現今常見與雲端整合的架構進行資料保護做法分析，戴爾科技集團透過備份、災難復原和Cyber Recovery資料避風港的解決方案，落實保護在邊緣、核心及多雲端環境中的資料安全，打造完整零信任資安架構。

TWCERT為台灣電腦網路危機處理暨協調中心的簡稱，主要協助民間單位進行通報及應變協調，並提供相關資安情資，從今年起改由資安院進行維運，本議程除概述TWCERT舊有的服務外，也會介紹我們如何透過公私協作聯防，以提供會員更優質的情資服務，包含漏洞情資、遭駭情資及資料外洩情資等。

在這個數位狂潮的時代，資安治理成為確保企業生存與發展的關鍵重要課題。企業該如何建構最適合自身的資安治理藍圖，實踐資安架構及管理方針以及如何將這些實踐應用於不同的業務環境中。ISO 27001 作為國際認可的資訊安全管理系統標準，為企業提供了一個全面且有效的框架，以應對不斷增長的資訊安全挑戰。此次演講，將由賽門鐵克資安專家與您分享 企業該怎麼做才能滿足關注方要求落實 ISO 27001 的實踐關鍵和最佳對策。同時分享最新的賽門鐵克解決方案，助您建立強健的資安體系並有效應對各類安全威脅。

呼應政府與金管會推動零信任網路計畫，中華電信「xTrust 零信任網路系統」結合身份鑑別、設備鑑別、AI/ML 信任推斷分析、支援 FIDO2 國際標準、資料過濾和日誌紀錄等關鍵技術。協助客戶設備和使用者無密碼身份驗證和存取授權，有效阻擋網路攻擊者的橫向移動。即使在遠端辦公或雲端化的環境下，使用者仍能安全存取內部資源，為機關單位消弭數位轉型下的資安疑慮，邁進數位政府新時代。

從謙卑的開端，跨越各行各業，透過採用的嘗試，現今的創新以及未來的預測。如今組織如何利用自動化來消除單調的工作負荷，變得更加高效，而不會成為自主和公共人工智慧驅動技術的受害者。

探索AI與網路威脅的交匯之處，展示AI對抗的真實案例。發現應對這些風險的策略，讓組織能夠安全、有效地應對自動化領域不斷演變的格局。

本議程將介紹 Cato 的 SSE 360 以及如何通過 SSE 360 來構建一種靈活、安全且易於管理的網路存取解決方案，以適應現代企業日益複雜的網絡環境和安全需求。

Cyber security area of research at CTU in Prague

Brief information about CTU in Prague (teaching and research), followed by a brief list of research topics and specific activities of the fair participants focused on cyber security.

CyberSecurity Hub: Centralizing Efforts for a Secure Future

The presentation begins by spotlighting the CyberSecurity Hub's integral role as the orchestrator of diverse cybersecurity activities, emphasizing its pivotal position in fortifying the digital framework of the Czech Republic based on the collaborative force between three distinguished Czech universities, showcasing this union as a cornerstone in cybersecurity innovation. The narrative unfolds to reveal key activities such as Czechia's sole cybersecurity centre in the framework of European Digital Innovation Hubs (EDIH), dedicated to SMEś and public services in digital transformation, or the CZ-EuroQCI initiative, which promises testing of secure quantum key distribution across Europe's critical infrastructures. Further, the presentation heralds the Taiwan Semiconductor Scholarship for nurturing talent in the semiconductor realm and underscores the partnership with the National Cybersecurity Coordination Centre (NÚKIB) as evidence of the Hub's pivotal helping role in national cybersecurity strategies. Towards the end , presentation accentuates the strategic project of CyberCampus.cz, located in Brno, as a geographical nexus that amalgamates expert knowledge, activities, and infrastructure, thereby symbolizing the Czech Republic's visionary approach to crafting a resilient digital society. The invitation extends to all participants to explore the vast opportunities the CyberSecurity Hub offers, from digital transformation consultancy and office space leases to bespoke cybersecurity training programs, all within the innovative milieu of CyberCampus.cz.

CyberSecurity Research at FIT BUT

The Faculty of Information Technology (FIT), Brno University of Technology (BUT), belongs to the leading IT faculties and research institutes in the Czech Republic. It is involved in contractual research with renowned companies and institutions and various European R&I projects.

Within cybersecurity, FIT BUT offers its expertise ranging from Forensics, Computer networks, Internet security, Security monitoring, AI-powered threat detection and hunting, Deception techniques, Blockchain technologies, incl. Secured logging, Semicentralized cryptocurrency, Consensus protocols in blockchain, Decentralized e-voting, Deepfakes (detection methods and verification), Digital security, Hybrid-/ cloud environment security, Hardware accelerated DDoS mitigation, Self-defending computer networks, Flow-based Encrypted Traffic Analysis, Automated network diagnostics, Analysis of IPFIX network data, up to big data analytics, etc. 

Spin-offs of FIT BUT are successful and gain worldwide attention. And there are opportunities for collaboration as presented on joint R&D projects with organizations in Taiwan.

Digital Security 

Whalebone Aura protects Telco subscribers’ connected devices from threats with a single click, without the need to install anything. But we go further, with 16 different user touchpoints to show the value of this security, and increase customer stickiness. Finally, where other vendors struggle to integrate features like this in less than nine months, Whalebone makes it happen in as little as seven weeks; so you can start monetizing your new security solution and increase customer satisfaction before you know it.

今日，企業面臨著日益複雜和嚴重的安全挑戰，人們會從各種位置、使用各種裝置連上企業網路、雲端資料庫或各項應用程式，同時也造成駭客更加容易偽冒企業員或認證核可的協力廠商，借此進行資料竊取或加密勒索等目標式攻擊。單純仰賴傳統防火牆、VPN 等網絡安全防護，已經無法應對不斷演變的威脅和攻擊，企業再也無法假設預先通過驗證或信任的裝置與使用者身分就是安全的。

面對混雜又經常變動的工作場合，「零信任」是強化關鍵資料與關鍵系統安全的重要策略。相較傳統資安架構，這是一種更先進、更靈活、也更有效的資安方法。越來越多的組織開始轉向零信任安全存取 (Zero Trust Secure Access．ZTSA) 架構。這種架構假設內部和外部網絡都不可信，並採取相應的安全措施以確保資料和資產的安全。

本議程將分享並實作如何利用 Zero Trust Secure Access，依據資安優先次序判斷以及零信任自動化存取控管，幫助企業實現零信任架構並保護其資料和資產。

本課程為進階課程。

本課程將帶領聽眾進入數位鑑識的調查過程，並學習使用相關工具進行分析。課程前期會手把手帶領聽眾操作並熟悉調查工具使用與認識調查構面。課程的後半段，將會提供過往的CTF競賽案例，並深入解析解題過程和技術細節，期望培養聽眾對於數位鑑識方面的實戰經驗和技能，並提升調查能力，為組織的資安防護提供寶貴的支援。

隨著雲端運算、AI 智慧化、遠端運維等技術的蓬勃發展，工業物聯網 (IIoT) 的概念逐步在各大關鍵基礎設施中落地實施，這不僅打破了傳統工業控制環境的局限，帶來前所未有的便利，同時也引入了不少資安風險。在這個背景下，如何在 IIoT 環境下打造一個既安全又可靠的工業控制系統，成為了一個急需解決的課題。

在本次研討會中，我們將探討資產擁有者、服務提供商、系統整合商以及產品製造商在應對工業物聯網資安風險時的關鍵策略。此外，將介紹國際資安驗證標準制定委員會 (ISASecure) 如何根據風險評估結果，結合 ISA/IEC 62443 標準，開發出適合 IIoT 設備和閘道器的全球資安驗證標準。我們也將深入剖析產品開發的各階段、控制措施以及驗證標準，以幫助與會者深刻理解這些標準背後的理念和目的。

除了介紹全球資安的最新趨勢，我們還會分享來自國際資安驗證標準制定委員會的最新發展和資訊，以支持臺灣產業界與全球資安標準的接軌。這些努力旨在全面提升我們在 AIoT 領域的資安防護能力，重點不僅是軟體的安全，也包括硬體的保護措施。透過這樣的措施，我們可以有效降低 IIoT 環境中的資安風險，確保技術創新與資安防護能夠同步進行，為未來的產業發展打下堅實的基礎。

Premiere: 5/14 15:20 - 15:50 

Replays: 5/14 21:20 - 21:50, 5/15 03:20 - 03:50

Summary:

• Uncover the latest APT tactics: Discover the ever-sophisticated tactics of Advanced Persistent Threats (APTs) from our annual email security report. Learn how phishing has become near-undetectable, demanding expert defense mechanisms and real-time threat intelligence.
• The Cloud Security Imperative: Explore the mass migration to cloud email services like Microsoft 365 and Google Workspace. We will delve into the growing adoption of third-party email security solutions and hybrid cloud archiving, driven by factors like flexibility, scalability, and cost-efficiency.
• Openfind: Your Trusted Email Security Partner: Gain insights from Openfind's experience in securing email for governments, financial institutions, and telecoms in Taiwan and Japan. We will showcase our expertise and successful deployments, positioning Openfind as the best complement to M365 email security.
• Join Us: Building Global Partnerships: Explore opportunities for international collaboration as we look to expand our reach and address the ever-growing demand for robust email security solutions.

【啟動日本與美國銷售的高安全日製無人機】

ACSL 為日本無人機製造商，主力機型是小巧便攜且高度資安等級名為蒼天 SOTEN 的無人機，可因應各種任務搭配快拆相機等。 ACSL 於 2023 年底與翔棋科技簽訂獨家代理 MOU，同時也宣布 SOTEN 前進美國市場，創造高資安無人機的銷售佳績，進一步擴大了其國際市場的規模。

 【零信任策略與全方位安全防護】

零信任策略重新定義安全模型，實施嚴格訪問控制為基礎即時驗證，瑞思資訊全方位安全防護則結合多層次的保護措施，包括資產盤點、端點安全等，形成全面堅實的防禦網，可實現更強大的保護，防範各種威脅，提高安全性。

分散式阻斷服務 ( DDoS ) 攻擊是讓來自互聯網的大量流量或服務請求，流向目標的受害主機及組織。攻擊大多由殭屍網路 ( botnet ) 來執行，真正的惡意控制者在攻擊時沒有現身，隱身其後。然而，從 ISP、雲端與大型骨幹網路的角度，透過監測路由器的網路流 ( NetFlow ) ，網路管理人則可以有一個全網的視角以及關聯分析，進而識別出流量行為的異常。

本次議程將了解如何透過全網流量監測手段，快速偵測 DDoS 攻擊，識別 Botnet 活動，並借助 AI 智能來分類正常流量與異常流量，從流量分析技術層面協助建置 DDoS 的自動防護網。

本議程將深入探討資安IT團隊在面對AI時代，影子AI所帶來的風險和挑戰，資安團隊如何有效的因應，保護和管理企業機敏資訊。同時，我們將重點探討如何透過有效的資料保護措施來保護敏感資訊，並確保數據的安全性和隱私性。此外，我們還將討論如何建立適當的資料治理框架，以監管和管理AI時代所產生的數據，從而確保資訊安全和合規性。這次議程將提供實用的指導和最佳實踐，幫助資安團隊應對AI時代帶來的挑戰，並建立強大的資料保護和治理機制，以確保企業機敏資料的安全性。

根據 IBM 資料洩露年度報告，2022 年 3 月至 2023 年 3 月間，全球醫療保健行業成為主要網路攻擊目標，連續 13 年顯示醫療保健行業資料洩露成本高，平均每起攻擊損失 1100 萬美元。醫療保健提供商為犯罪勒索者主要目標，因擁有敏感患者資料。建立供應商名單、持續監控及提供全面技術支援將是醫療機構最大挑戰。

SecurityScorecard 提供企業安全狀況見解與分析，總分由 A (100) 至 F (0) ，以字母表示安全評估。結合人工智能和 10 年大數據分析，不同分數和等級反映企業受攻擊機會率，協助提升資安水平。

使用多種檢測科技包括靜態分析 ( SAST ) 、動態分析 ( DAST ) 、交互式分析 ( IAST ) 、軟體組成分析 ( SCA ) 、及 Secert、API、Container、IaC 掃描為現在最強無死角的應用安全檢測組合。在議程中我們將分享如何透過不同科技在單一平台中與 CI/CD 整合打造世界趨勢的完美 Secure DevOps 自動化應用安全檢測。

端點防護的需求隨著威脅的俱增，已由過去的傳統防毒軟體進階至以 AI 機器學習次世代防毒＋EDR/MDR/XDR 為主力的防禦策略；但面對不斷演進的勒索軟體的進化及駭客滲透的技巧以及不易識別的內部威脅，據我方 2024 年度全球威脅報告指出，已有超過 50% 勒索病毒集團選擇潛伏及偷取重要資料，而不進行勒索及破壞；因此資料外洩防護的課題已是課不容緩的問題。CrowdStrike 是第一家以雲端 AI 為技術基礎同時提供端點安全、身份識別及資料外洩防護功能的資安公司，藉由本次議程，我們將介紹全新 Data Protection 功能並進行實機展示及分享，提供與傳統 DLP 解決方案不同角度的策略及防禦機制。

本議程將從多個面向 ( e.g., 無害性和本土化 ) 評估不同模型於台灣資安領域應用的能力，分析 TAIDE、Taiwan LLM 和奧義智慧研發的 LLM-CyCraftGPT 等不同模型的表現，了解它們在應對各種問題時的適用性 ，幫助聽眾在未來能更快速選擇適合的模型。

區塊鏈理應提供安全透明的金融環境，然近年來卻有惡意行為者透過區塊鏈進行洗錢和詐騙。本議程透過藍隊深入分析揭示了這些非法活動的一個關鍵方面——加密貨幣交易所下的隱藏資金流。我們將揭露加密貨幣交易所內隱藏的非法交易和金融詐欺活動，同時探討了藍隊如何運用反洗錢技術來有效追蹤這些非法活動。

「司法聯盟鏈」係臺灣司法首例由司法院、法務部、臺灣高等檢察署、法務部調查局、內政部警政署5個機關，倡議結合法律程序與區塊鏈科技，找到法律與科技的天平，提升數位信任的新制度。隨數位時代來臨，數位轉型成為公私部門必要過程，「司法聯盟鏈」正是協助司法數位化轉型方案，建置除區塊鏈技術外，必須思考司法實務之效率與信任，因此跨域整合數位治理與區塊鏈，核心目的就讓司法改革達到人民「信任」效果，經過1年試辦籌備，將於2024年正式運作，將可真正體現數位透明、全民驗證的新境界。

透過分享 NIST SP 800-128 的架構與內容， 為新興科技萌生的科技環境尋找能雲能地能合規的管理可能性，同時也以新版 ISO 27001作為出發點， 協助聽眾了解透過 NIST SP 800-128 能夠如何將新版 ISO 27001 中所提高重視但是大多數企業力有未逮的組態管理有效實踐。最後透過業界案例的分享讓聽眾有具象化之管理實務理解。

隨著高度複雜的網路攻擊日益增加，組織正在尋求能夠有效防禦這些不斷演變的威脅的先進安全解決方案。人工智慧（AI/ML ) 的整合和全面的零信任平台的實施提供了一個強大的防禦機制。本次會議探討了由 AI 驅動的全面零信任平台在防禦高度複雜的網路攻擊方面的能力。通過利用 AI 算法分析大量數據並識別出表明惡意活動的模式，該平台可以主動地檢測和有效地緩解威脅。此外，零信任模型確保所有用戶和設備都持續進行身份驗證和授權，從而將未經授權的訪問風險降到最低。AI 和零信任架構的結合為組織提供了一個堅固而適應性強的安全框架，使其能夠在高級網路威脅的前方一步。

在零信任模式下，內網可視性是至關重要的。基於「零信任」（Zero Trust）模式，安全性不再僅僅依賴於網絡邊界的防禦，而是需要全面性地檢查所有的網路流量和用戶行為，從而確保網路安全。ExtraHop NDR (Network Detection and Response) 解決方案可以幫助企業實現零信任模式下的內網可視性，通過監控網路流量和端點數據來提供＂即時＂的安全威脅檢測和響應，發現內部網路中的潛在安全威脅，並採取相應的措施進行智能回應。

企業面臨的最大資安挑戰是什麼？答案因人而異，但有一個無可爭辯的事實：「看不見的東西，卻最可能傷害你」。網路威脅潛伏在數位時代的深處，不斷演化，準備襲擊毫無戒心的受害者。它們最常透由易入侵的脆弱設備、高風險設備、無法納管的 Agentless 設備等手段來發動攻擊，根據經驗證實，這些裝置在網路中佔高達 50%。

面對當今不斷演變的威脅環境，僅專注於邊界防禦是不夠的，駭客已將他們的攻擊策略轉向瞄準網路內部，利用暴露於內部威脅和供應鏈攻擊等漏洞。資安治理的焦點亦須轉向 IoT、IoMT、OT 以及脆弱 IT 裝置與網路相互連線的高風險領域，其中許多裝置從本質上來說就已是不安全。

採取新式資安策略防止駭客突破防禦網至關重要。我們將在這場會議闡明有效的威脅偵測和應對解決方案的重要性以及如何保護企業有效對抗潛伏在數位陰影中的隱形危險。"

隨著美國 FDA 於2023年9月發布了最新版本的《Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions》，而台灣衛福部也在2021年更新《適用於製造業者的醫療器材網路安全指引》。對於已導入 IEC 62304 標準的醫療器材製造商而言，如何應對資訊安全的要求成為一大挑戰。解決這個問題的關鍵在於 IEC 81001-5-1 標準，該標準以 IEC 62304 為基礎，加入 IEC 62443-4-1 安全軟體開發週期（SSDLC）的要求，作為指導製造商實現安全軟體開發週期的指引。本次演講將分享實務上導入軟體安全開發流程時製造商可能面臨的問題，並強調應該注意的重點。

中間人攻擊並非新鮮事，然而，除了對 IT 領域的危害，針對工控廠域 ( OT ) 造成的負面效果更為巨大。本次演講，將討論中間人攻擊的目的和手法，並且深入剖析工控協議，可以利用來作為中間人攻擊的弱點，以及對應的預防或緩解方法。

本次議程中將藉由實務經驗，以人、流程與技術三種面向說明軟體開發流程導入安全時，各階段所面臨的挑戰和對應的解決方案，與如何邁向更成熟且穩定的軟體安全開發階段。

最終希望聽眾透過理解各項實務解決方案，真正讓資安成為開發攜手合作的夥伴，而非開發的對立角色，讓我們打造更通暢無礙的軟體安全開發流程。

在 AI 與量子電腦技​​術進步飛速的時代，高速演算法與量子運算帶來了非常的機會和對資安強大的威脅。這個獨特的挑戰，一般叫做「Q-day」，網路安全專家稱 Q-Day 最早可能在 2025 年到來。如何為 Q-Day 做好準備，這是一個全球性的活動。這次演講將介紹從量子密碼學、其在數位時代的重要性及其徹底改變安全通訊、金融服務和國家安全的作法。世界各國從 2016 積極推動的後量子密碼學的標準制定、公告及後續遷移的放法，到如何規劃，以提供國家及產業安全的解決方案。

在今天的環境中，企業面臨著越來越複雜的資安挑戰。在這場議程中，我們將探討如何運用 Azure Security 的最佳實踐來打造強大的企業安全架構。我們將深入研究微軟提供的各種解決方案，包括身份和訪問管理、資料保護、威脅檢測和應對，以及合規性和監控。通過本次議程，您將了解如何有效地保護您的雲端工作負載，並建立一個安全可信任的企業環境。

後疫情時代，Work from anywhere 已然成為趨勢，數位游牧的工作情境也成為駭客的下一個目標。本議程將與您分享，以零信任的角度，讓企業 IT人員如何跳脫傳統 VPN 架構，減少過多硬體設備及繁瑣的設定，運用創新簡化，聰明高效管控企業安全上網，並大幅減少因管理與監控造成的疏忽，避免企業資訊流洩到網際網路中，成為駭客攻擊目標。

HCL BigFix 11 現在透過人工智慧功能以及新的資安和風險管理工具、最新的合規標準支援、卓越的平台強化和機器學習驅動的運作手冊 ( Runbook ) 自動化,擴展了世界領先的端點管理平台，使其成為歷史上最強大的 HCL BigFix 。它使資安和 IT 營運團隊保持一致，透過簡化管理工具和流程來大幅縮短弱點修復時間，同時降低成本。 HCL BigFix 端點管理平台為 IT 使用者工作區和資料中心管理團隊提供持續合規性、智慧自動化和安全分析的能力。

全球詐騙日益嚴重，數位犯罪者不再單純使用話術行騙，犯罪者結合駭客手法、社群媒體操弄、釣魚、偽造應用程式、加密貨幣、深偽、人工智慧等，大大提高了辨識詐騙的難度。期待透過演講來分享我們在 2023 年亞洲國家數位犯罪者的最新研究成果，特別是他們在使用新興科技進行 詐騙方面的策略和趨勢。我相信這將有助於參與者更全面地了解新式數位犯罪的現況，並提供實用的防範策略。

過往被系統核心漏洞攻擊總被視為僅有國家級 APT 組織行動才會掏出的零時差攻擊手段；而在現代導入資安防護與異地備份解決方案之攻擊趨勢中可見野外勒索團體已轉往長期潛伏、竊取並暗網販售營業秘密牟利為新趨勢，這使得系統核心漏洞利用成為了近一年的攻擊顯學 — 在此議程中，我們將從英特爾晶片提供之功能解析 Windows 11 23H2 系統核心原生提供的五道基於 Hypervisor 所設計的防護的晶片實踐原理與其防護之極限，並以實務野外出現的系統核心漏洞軍火 PoC 作為展示；並在議程尾聲釋出開源的社群工具以掃描既有設備是否存在系統核心攻擊手法的攻擊威脅面。

資安範圍不等於營業秘密範圍，需能識別才能進一步建立相應之管制措施。另若遭遇營業秘密訴訟，因數位資料具有易於竄改、散播等特性，需有輔助識別或證明資料來源之措施，方能釐清責任。綜上，既有資安作法恐無法因應營業秘密相關風險，如何促進資安與營業秘密的整合管理，並提高未來證明效力，將是數位時代下的重要課題。

在此演講中，講者將闡明如何通過對抗性攻擊來誤導大語言模型（LLM）。講者將涵蓋常見的 LLM 應用案例，重點說明技術所產生的新興威脅，深入探討 LLM 對抗性攻擊後，通過實際案例來說明可能之負面影響。演講將介紹 LLM 安全與合規測試的概念，強調此類測試在評估和增強 LLM 安全性以提高可信任 AI 方面的關鍵作用。最終，此演講旨在提高觀眾對於 LLM 技術風險的理解，並鼓勵採取積極策略以防範此類對抗性威脅。

本議程將聚焦於雲地混合攻擊，並從攻擊者的視角出發；探討打入企業內網後，在地端無法獲得有效憑證進行橫向移動的情況下，依然可以透過 Pass the PRT 等手法縱向移動打入企業雲端，並在攻擊者透過特權提升手法在獲取雲端管理者權限的前提下，濫用 Cloud Kerberos Trust 與 Hybrid Device Join 等機制反向打入企業內網。

這場演講對科技風險管理提供了全面的介紹，從基礎概念、國際規範到管理框架，幫助聽眾建立對該領域的初步認識。講者將探討全球金融機構與美國上市公司在科技風險管理作法，強調在數位轉型時代主動管理科技風險的重要性。此外，演講將分享推動科技風險管理時可能遭遇的挑戰，如何利用科技風險管理提高業務效率、流程透明度和決策品質，以及 2024 年需關注的科技風險。最後，強調建立成熟的風險管理文化對於增進企業與監管機構之間信任的重要性，提供風險管理、內控、資訊安全及法遵專業人員理論與實務，以確保組織在面對科技挑戰時保持韌性和創新。

為強化上市櫃公司資安管理，依現行規定，上市櫃公司發生重大資安事件時，應即時發布重訊，且若損失達一定金額，即達到股本 20% 或新台幣 3 億元以上，應召開重訊記者會。如何計算損失，勢必成為資安長，資訊長，及風險管理人員當務之急．這場演講將介紹科技風險管理的最新趨勢-CRQ 網絡風險定量分析。著重介紹廣為美國上市公司採用的 FAIR 研究機構的 CRQ 方法論。演講將簡介 FAIR CRQ 方法論，說明 CRQ 在法令遵循、溝通風險、協助決策、強化科技風險治理的發展性。提供聽眾與上市公司方法論位前開法令變革做好準備。

This speech will give you general overview in The Netherlands public private partnership approach in the context of growing cyber security threats, changing global politics and upcoming new rules and regulations such as the NIS2 directive on cyber resilience and the EU cyber security act for safe and cyber secure products. Giving insights from the perspective of a foundation not for profit that operates as an eco-system orchestrator where about 300+ Dutch partners form government, knowledge institutes and businesses collaborate and innovate together towards a more secure digital society. One of the showcases is about the setup and network on cyber resilience centers for the horticulture and manufacturing sectors. Moreover about the work on international knowledge bridges and business alignments, also between Taiwan and The Netherlands.

在數位轉型持續推進的時代，隨著新興科技盛行，駭客攻擊手法日新月異，企業需重新評估其資安管理策略，以零信任架構為基底，掌握其關鍵之 PDCA 導入流程，藉由三大核心精神（可視化、自動化、協同作業 ） ，從而提升企業資安治理成熟度。

本次議題 e-SOFT 將分享如何有效的深入檢視企業既有的資安環境，識別潛在風險和漏洞，進而針對性地加強資安防護措施，隨著資安管理關鍵績效指標透明化，提升組織對於資安管理落實的重視程度，持續性的檢視與改進流程，來確保資訊資產的完整性、可用性和機密性，保障業務運作的持續和穩健。

本演講將從 TESLA 最近招回的事件開始，配合影集'斷訊'的場景，描述未來如果 ADAS 被駭客誤用的時候會發生 的場景，然後介紹 ADAS 的原理與近期的發展,緊接著將介紹 ADAS 三大類型，28 種攻擊樣態，最後介紹 ADAS 的安全防護與美國的安全要求。

本演講主要對象為對自駕技術有興趣的大眾與自駕技術研發人員，藉由揭露自動駕駛的場景帶出各種安全隱憂與防護之道，並引導該注意的防護要點，期能提供更加安全的自駕技術。

As the cybersecurity landscape grows more complex, the responsibilities of the Chief Information Security Officer (CISO) have evolved significantly. New CISOs face challenges such as advanced cyber threats, regulatory pressures, and technological changes while working within tight budgets. This keynote presentation discusses the effective CISO journey in three key areas: visionary leadership, strategic risk communication, and adaptive change management.

Drawing on personal experiences from leading a global cybersecurity team and interviews with global CISOs, this talk will outline practical strategies for:

1. Building and leading teams with a clear and compelling vision.

2. Articulating and negotiating cybersecurity risks with senior stakeholders to facilitate informed decision-making.

3. Embracing technological and regulatory changes as opportunities for innovation and improvement.

Premiere: 5/15 12:00 - 12:30 

Replays: 5/15 18:00 - 18:30, 5/16 00:00 - 00:30

Security bugs in software have a lifecycle-they go from discovery to exploitation to patch and then-usually-they go away. At each stage of this lifecycle, organizations can take different approaches to minimize the risk to themselves and their customers. Unfortunately, many industries find themselves with unique challenges when trying to respond to vulnerabilities due to the nature of their products and manufacturing processes. For example, vehicles have complicated supply chains and many third-party components that must be kept current and harden to defend against modern attacks.

This presentation examines some of these unique areas that various industries should be aware of when it comes to handling vulnerabilities and monitoring the threat landscape. Based on lessons learned from Trend Micro’s Zero Day Initiative, the world’s largest vendor-agnostic bug bounty program, along with the Pwn2Own hacking contest, we examine how industries have tackled these challenges, where they were successful, and where they failed. Finally, we highlight some recommendations hardware and software manufacturers should consider when managing the lifecycle of vulnerabilities.

『公司最近發現了一宗資安事件，我們在 AWS S3 中存放的研發資料在多個論壇上被公開，經過調查後發現，原因是我們公司的一位同仁為了提高工作效率，不慎將 S3 雲端存取權限設定為公開。這導致機密資料外洩事件的發生。此外，由於雲端的 EC2 未修補弱點，駭客得以趁虛而入，進一步加劇了這次資安災害。』

這些新聞是不是讓你遲遲不敢使用雲端呢？

雖然雲端己經是世界的潮流，優點顯而易見，但威脅也到處可見資安人員在雲端所面臨到的挑戰：

1. 對雲端環境不熟悉，相關安全設定以及法規無法面面俱到。
2. 雲端元件以及服務使用太廣，無法全面掌握服務安全。

本次議程將分享在複雜的雲端環境中，資安人員如何更有效安全的管理雲端安全。

此場 Lab 將藉由社交工程手法達到執行遠端程式碼攻擊，講師會帶學員一同實作並講授 2024 年最為熱門的 Outlook 2016 漏洞，並且在最後分享企業面對這類攻擊時應該採取的防禦手段和策略。

Premiere: 5/15 12:40 - 13:10 

Replays: 5/15 18:40 - 19:10, 5/16 00:40 - 01:10

With the accelerating adoption of hybrid cloud, remote workforce and digital transformation, identity has quickly become the new perimeter of security. Certainly, we have seen rapid growth of Identity & Access Management (IAM) adoption in organization. However, most of the IAM programs are not effective, difficult to scale operationally and ultimately lead to repetitive compliance gaps, productivity drains and business risks. Therefore, it is extremely important for organization to establish the right foundation of your IAM program, define the right strategies to prioritize your identity initiatives that align to the business objectives. In this presentation, we provide you the insights of putting identity-first security to boost your IAM program maturity.

鑒於全球 SBOM 的應用逐步明朗，已有越來越多關鍵基礎設施產業投入 PoC 的行列，這使我們思考當全球發展至成熟的 SBOM 體系時，我們是否做好相應的準備? 而我們知道，若是僅僅透過 SBOM 列舉產品所包含的軟體和版本是不足以提升供應鏈安全，並且在不同軟體生命週期不同階段生成 SBOM 時，也會存在不同的隱憂。有鑑於此，我們將深入探討 SBOM 的觀念、生成，以及應用方式。當我們擁有 SBOM 後，我們該配合甚麼技術才有辦法有效地應用 SBOM 的理念，使不同的角色能夠將它能夠成為真正可以用來抵禦供應鏈威脅的防禦武器。除此之外，我們也將剖析全球關鍵基礎設施產業 SBOM 使用現況，以說明 SBOM 所帶來的疑慮，並依不同角色提供對應的建議。

本議程將帶領企業內部培訓人員或意識推廣者，如何提升教學技巧和知識深度，並且如何善用 AI 進行備課。本議程著重分成資安意識課程和資安專業技術教育的兩大主題，前者將分享如何有效地收集和應用實際案例，以及如何設計更具互動性和學習效果的教學內容。後者將探討準備專業技術課程的方法，並提供避免教學過程中常見錯誤的策略。這場演講適合所有對提升資安教育能力感興趣的專業人士。

Premiere: 5/15 13:20 - 13:50 

Replays: 5/15 19:20 - 19:50, 5/16 01:20 - 01:50

早期打孔卡作為主要儲存媒體，數位儲存資料就已經一直存在安全的威脅。

現今的不同之處在於，數據已超越單純資訊而具有貨幣一般的流通性，因而成為竊賊覬覦的目標。 人工智慧 ( AI ) 開創了一個海量資料不斷擴充的時代，資料遭到操縱甚至被徹底竊取的風險也越來越大。 

自動駕駛是快速成長且符合邏輯的人工智慧應用，又稱為無人駕駛車輛。「惡意人士」會努力試圖篡改快閃記憶體、「破壞安全金鑰」以取得身份驗證以及從快閃記憶體中全面竊取此類自動駕駛人工智慧資料。 然而，安全的保護策略如：反竄改行動； 阻止密鑰破解； 和防盜技術，可以抵禦上述的威脅。

本次演講旺宏電子將展示人工智慧自動駕駛的程式開發人員如何識別攻擊方法，從而採取必要的步驟來防護這些攻擊。

美國國防部 ( DoD ) 針對國防供應鏈資安風險管理而公布 「網路安全成熟度模型認證 Cybersecurity Maturity Model Certification」 ( 簡稱 CMMC ) 規範，即將法制化的 CMMC 預計於 2026 年財政年度起全面實施，因而屆時全球國防供應鏈將因應其合規要求，方能維持採購或取得採購資格，CMMC 的推動將對全球供應鏈的廠商帶來直接且全面性的影響，對台灣廠商而言， CMMC 是挑戰也是機會，如何因應 CMMC 帶來的資安浪潮及衝擊，做好合規的準備、制定完善的資安防護策略及進行產業升級，取得競爭先機成為重中之重。

從漏洞研究員的視角，深入分析 0day, nday 漏洞攻擊對企業的危害、不同技術層次攻擊者的能力、攻擊者使用漏洞攻擊時的顧慮, 了解不同程度 (0day, 1day, nday) 的攻擊需要付出多少代價阻擋，並建議企業應如何有效地建構防禦機制，增加駭客攻擊的成本，也提升攻擊者攻擊成功後被發現的風險，進而提高對抗漏洞攻擊的效力。強調在資安戰略中，多層次的、全面性的保護是應對不斷進化的威脅的重要手段。

Muddled Libra 在 2022 年的一系列攻擊活動震撼全球，在各方安全團隊的合作分析和共同防禦之下，該組織不得不轉換攻擊的手法和工具突破資安防禦。這次會議我們會深度分析這個團隊兩年來的轉變，從我們的第一手經驗討論安全團隊在其中扮演的角色，以及基於資安情資提升防禦系統的重要性。

目前在 Web3 產業內的資安防禦應用仍然非常早期。從 2012 年到現在，項目被駭事件已經超過 1,000 起，損失總額超過 300 億美元。隨著 Web3 技術的迅速發展，安全性成為了去中心化應用（DApps）中的一個關鍵挑戰。本議題將從 DevSecOps 的視角出發並搭配 DeFiHackLabs 免費資源，探索如何在 Web3 領域中建立更為堅固的安全基礎。我們將分享 Web3 環境下獨特的安全問題，包括智能合約漏洞，以及從傳統中心化系統到 Web3 資安思維的 6 個差異。

我們將探討如何在 Web3 項目開發的各個階段，規劃、開發、測試、發布、部署、監控，導入 DevSecOps 方法來強化去中心化應用（DApps）的資安防禦。

今年 10 月的最新的 Gartner 報告做出大膽預測：企業瀏覽器將在未來幾年內取代安全服務邊緣 ( Secure Service Edge, SSE ) 解決方案。本文深入探討了什麼是企業瀏覽器, 他跟以往瀏覽器的解決方案有什麼不一樣，為什麼 Gartner 這麼看重企業瀏覽器的發展,，以及它們在零信任安全模式中的關鍵作用。

資安事件應變處理 ( Incident Response ) 必須有充足的準備與規劃，議程中將透由實際的案例探討，思考資安事件發生前，能否分析威脅及時偵測阻擋，以及事中隔離管控與威脅排除，與事後的恢復運作及強化檢討，提升資安防禦韌性。

人工智慧推動科技進步，也同時帶來獨特的風險，可能產生難以預期的負面影響。人工智慧的應用通常很複雜，如果沒有適當的控制，人工智慧可能會放大、延續或加劇不公平或不良結果。透過分享人工智慧在資訊安全領域之應用與挑戰，協助聽者了解 AI 可能是資安的夥伴或是風險，了解和管理人工智慧系統的風險將有助於增強可信度，進而培養公眾信任。

釣魚郵件是駭客發動攻擊的起點, 我們將重點討論運用生成式 AI 和數位轉型技術。通過實際案例，探討傳統釣魚郵件演練存在的七項可優化點 :

1. 將展示如何利用資安情報和公開信息識別企業中的高風險郵箱用戶。
2. 生成式 AI 結合人力資源系統和公開資料，生成個性化郵件範本。
3. 演示一個既能統一演練又能適應各部門需求的混合平臺架構。
4. 根據自訂的風險評估指標形成風險驅動的演練計畫。
5. 運用生成式 A I進行及時的個性化資安意識宣導。
6. 通過個人風險履歷設計,結合釣魚郵件演練和人員的資訊資產管理，推動員工資安意識的提升。
7. 分享我們對於高品質演練的認知和檢核要點。

通過此次演講，聽眾可以期待學習到如何將生成式 AI 和數位轉型技術應用於提升員工的資安意識和防範社交工程攻擊，從而構建更強韌的企業全員資安意識防禦線，有效應對不斷增長的網路安全威脅。

在數位化時代，加上混合辦公如今已是常態，資安防護應以使用者為出發點，傳統的發現單一問題才導入特定產品的防禦模式已經無法應對多樣化和未知的威脅。SASE（Secure Access Service Edge）的出現為企業提供了一個全方位的解決方案，將網路和資安功能融合在一起，以點線面的方式提供安全保護。企業在導入 SASE 架構後，從預算、現有基礎設施和”煩”鎖的維運工作都能有更好的效率與成果，可以更好地應對日益複雜的攻擊威脅。

在這議程將為大家說明 FortiSASE 如何遵循 SASE 框架提供彈性靈活且簡易的資安控管政策，如何快速且全面性的多點佈署，讓員工『隨時隨地辦公、存取任何資源』，同時保持一致性的防護，為企業帶來前所未有的安全保障。

越來越多企業開始使用多種雲端服務 ( IaaS/PaaS/SaaS ) ，在這個議程將介紹使用雲端服務需要關注的幾個資安議題，包含安全配置、弱點管理、帳戶安全、威脅監控，並說明如何透過 Google Cloud 安全命令中心 ( Security Command Center ) 快速強化雲平台資安防護及監控的能力，確保安全使用雲端服務。

這場演講結合了自身的經驗，以資訊安全競賽作為切入，講述資安相關的教育、專業人才培養及職涯發展。我將分享在比賽中的學習歷程，探討資訊安全競賽如何成為培育下一代安全專業人才的重要途徑。演講將著重於轉化比賽經驗為實際工作技能，強調競賽路途中所學到的技能在資安領域的實用性。通過個人真實的比賽案例，參與者將獲得實用的見解，並能夠更全面地理解資安領域的挑戰與機會。

早期打孔卡作為主要儲存媒體，數位儲存資料就已經一直存在安全的威脅。

現今的不同之處在於，數據已超越單純資訊而具有貨幣一般的流通性，因而成為竊賊覬覦的目標。 人工智慧 ( AI ) 開創了一個海量資料不斷擴充的時代，資料遭到操縱甚至被徹底竊取的風險也越來越大。 

自動駕駛是快速成長且符合邏輯的人工智慧應用，又稱為無人駕駛車輛。「惡意人士」會努力試圖篡改快閃記憶體、「破壞安全金鑰」以取得身份驗證以及從快閃記憶體中全面竊取此類自動駕駛人工智慧資料。 然而，安全的保護策略如：反竄改行動； 阻止密鑰破解； 和防盜技術，可以抵禦上述的威脅。

本次演講旺宏電子將展示人工智慧自動駕駛的程式開發人員如何識別攻擊方法，從而採取必要的步驟來防護這些攻擊。

本次講題將探討產品上線前、測試前的準備以及測試完成後的實務經驗和做法。

首先，將分享我們如何決定上線前資安檢測對產品的必要性，包括內部自主檢測的重要性。

其次，在過程中也會討論，樂天集團在測試資訊要求和細節度上與其他企業有何不同之處。講者將分享在加入樂天集團時，自己對日本風格資安檢測的初次印象，以及與台灣廠商的差異之處。

最後，將探討在測試完成後，我們是如何處理發現的弱點，這是一個涉及風險管理和追蹤的實務。會分享樂天集團的日本風格，特別是在處理修補時限和風險管理方面的獨特做法。希望可以提供聽眾參考，提升資安防護的效能，並促進行業內的合作和經驗分享。

Active Directory 是一個關鍵任務的單點故障。 AD 的重要性使其成為網路犯罪分子極具吸引力的目標。 憑證盜竊使端點安全解決方案毫無用處，這就是為什麼當今 90% 的網路洩漏涉及 AD 等身分系統。

沒有 AD，就沒有 IT 復原。 如果你失去了 AD，你就會失去你的生意。 網路攻擊後的完整 AD 林恢復既複雜又耗時，因為恢復 AD 的過程繁瑣且漫長。 傳統的備份解決方案無法快速、自動且無惡意軟體地還原整個 AD 林。

了解 Semperis 如何幫助您的組織在攻擊之前、期間和之後保護您的 AD，以阻止身分威脅並最大限度地減少對您業務的干擾。

個資法去年修法通過後，已於今年開始施行。修法加重了企業個資外洩罰責，因此只要有保管個資的企業都應注意相關規範。本議程將分享個資法法條解析，以及提供 IT 實務執行建議，讓企業能安全地守護個資，迎向未來的變化與挑戰。

Premiere: 5/15 14:00 - 14:30 

Replays: 5/15 20:00 - 20:30, 5/16 02:00 - 02:30

CHT Security will share findings from incident responses and provide recommendations and countermeasures to enhanace cyber resilience

1. 緣起
2. 國際零信任架構推動概況
3. 政府零信任架構規劃
4. 零信任架構符合性驗證
5. 政府機關導入零信任架構經驗分享
6. 結語

大綱: 

• 人工智慧技術進展分野
• AI Alignment - 人工智慧應用發展的最大挑戰
• 人工智慧風險因應 - AI 治理
• AI 治理的全球趨勢動態 – 法規 與 產業紀律
• AI 治理與安全需求
• AI治理實務運作的洞察

因為各種法規的推行時限導致車用行業最近幾年如火如荼地尋求各種認證流程與安全架構相關的檢驗，在廠商尋找供應商或者嘗試自行成立實驗室解決相關問題的時候，不管是 TARA 還是 VMS 的部分都會遇到一個 "實作" 面才會遇到的問題。我究竟該怎麼正確的設定 Security Boundary? 作為一個無足重要但 ISO 文書與顧問都無法告訴你一個明確的答案的問題，我們將基於過際於產業輔導的經驗歸納出一些基本準則以外，將會使用一些 "貼近真實" 卻不涉及任何廠商機密的架構圖與文件進行現場展示推演。

企業想要強化資安防護不僅依賴於技術和工具，更重要的是依靠人才。然而台灣近七成的企業正面臨資安人才短缺的挑戰。面對這樣的危機，單靠招聘已不足以滿足企業的急迫需求，培養和提升員工的資安能力顯得尤為重要。

安碁學苑憑藉多年在企業客製資安教育的培訓經驗，深刻理解企業面臨的資安危機與人才培養的不易，本次演講將以職能培訓架構為基礎，搭配練才四大招，協助企業量身規劃資安課程方案，培育和提升員工的資安技術與素養，建構符合企業產業特性的資安防護體系。

Premiere: 5/15 14:40 - 15:10 

Replays: 5/15 20:40 - 21:10, 5/16 02:40 - 03:10

In today's digital world, phishing attacks pose a serious threat to security. Our company addresses this challenge with several valuable phishing-resistant multi-factor authentication products.

By adapting biometrics passkeys to multiple verification layers, we fortify web service logins against evolving cyber threats. Our solution seamlessly blends with existing authentication flows, not only ensuring security but also enhancing user friendlines with passwordless login experience.

With our phishing-resistant MFA passkeys, we offer not just a solution, but a shield against the pervasive dangers of phishing attacks, safeguarding the integrity of web service logins and empowering users to navigate the digital realm with confidence and peace of mind.

零信任架構從倡議概念到近年逐漸落地，更多可實際落地的框架及評估方法，讓我們由實踐的角度探討此架構。

在 2023 年執行 30+ 客戶，超過 180+ 個滲透測試標的，從中我們發現了不少有趣的案例，包括 AI chatbot jailbreak、超過 20 年古老 CMS 的內網滲透。在 2023 年中我們主要測試的產業別為：金融, 遊戲, 餐飲。我們平均每個測試專案都可以找到至少 1 High, 1 Medium, 1 Low 的安全風險，我們將探討這其中的風險項目與統計解析。在過程中我們嘗試增進專案的執行速度與優化測試流程，希望可以與同業分享與交流。

目前大部分的網路防禦架構主要仍以偵測南北向的網路封包行為為主。然而，東西橫向的網路流向偵測，一直以來才是讓 IT人員最頭痛的。因而讓駭客可以利用此弱點，輕鬆的在內部網路入侵擴散和找尋重要目標時不易被發現。此議程將分享如何利用網路行為分析及監控，以藍隊思維角度 快速找出駭客攻擊的軌跡與有問題的電腦或設備。

隨著網際網路使用的大幅成長，無論是各種資訊設備、行動裝置或是 IoT 設備，越來越多的服務都使用 Web 提供服務，伴隨著 Web 應用服務大量的被使用，瞭解 Web 應用有哪些問題？這些問題會衍生出甚麼樣的風險？而該如何面對這些風險，都是值得討論的重要議題。

伴隨著 AI 技術的大躍進，助長了網際空間所面臨的威脅。在分秒必爭的攻防戰下，防禦者為了增進資訊安全的能見度 ( Visibility ) 必須收集及整合巨量的資料及紀錄，並且需要各面向領域專業自訂複雜的威脅獵捕規則。因此易於整合、回應的準確性及速度以及巨量資料分析的成本將是傳統 SIEM 無法克服的挑戰，藉由本次議程，我們將介紹次世代 SIEM 平台的功能優勢，並且以實際案例進行展示及分享。

這次的議程中將介紹什麼是 Threat Modeling，為什麼需要 Threat Modeling，如果想進行 Threat modeling 該準備些什麼。且不侷限單一方法論並透過系統性概念的流程，解構每階段該如何做及會有那些該注意的風險， 並輔以漏洞實例說明。提供給想要瞭解、審視或是建立自家系統 Threat Modeling 聽眾的入門參考；無相關經驗聽眾也可將議程中提及的風險帶回各自單位做整體性資安的審視及改善參考。

在白熱化的勒索攻擊與網軍行動下，資安專家經常呼籲企業應「安裝」防毒軟體在組織電腦中以偵測並即時阻擋新型態威脅... 嘿！不過你知道防毒作為「軟體安裝」於系統的後果是，可能過於容易被反安裝嗎？; ) 這場議程中我們將從 Windows 系統觀點作為立基探討現代資安解決方案作為系統「第三方植入的防護層」所產生的問題：當 Windows Update 升級更新時，你的資安產品是否該被關閉以便系統升級呢？我們將從 2021 年野外熱議的新攻擊面說起，駭客如何在遵守 Windows 權限控管模型的前提遊走在特權令牌之間、騙取與偽造自身為系統升級器、並得以在 Windows 11 (23H2) 的版本上將一線中國品牌的防毒之令牌關進沙鄉中運行：使其與網管雲控端斷連、無法偵測與掃描惡意程式、與主動防禦失效——而這類型問題也同樣影響了諸多類似設計的台廠端點防護。

在這場分享中我們將從用戶和業者的角度探討虛擬貨幣交易所的安全性。首先，我們以用戶和業者的角度分析常見的虛擬貨幣資安風險，緊接著從交易所業者的角度分享如何保護用戶資產並分享自身工作經驗，以實際案例說明交易所實務上會如何保護用戶資產的安全。最後，說明使用者可以用哪些方式選擇安全的交易所。

本議程會從企業中所遇到的強固議題進行探討，延伸討論國際法規以及上游稽核延伸出的需求差異。是提供給教育部好厲駭計畫六小時課程的部分議題濃縮版本，希望對部分 iThome 會眾在 Benchmark 時有所幫助。視實際完稿情形可能剔除部分議題以確保其他議題論述完整。

2024 年被譽為歷史上最大的選舉年，有超過 40 億人口參與投票，而借以人工智慧的散佈的假訊息將無所不在。威脅行動者將利用這些事件來操縱全球各地的公眾意見，對選舉的公正性和全球穩定性構成重大挑戰。

在互聯網增長的速度和規模的推動下，假訊息行動已經將社交媒體平臺武裝起來，並破壞了信息環境，以散播不和諧，破壞信任。我們生活在一個日益分裂和極化的社會，接受“另類事實”的存在現在已經成為主流。

本次會議將檢視目前假訊息行動的狀態，以及人工智慧的應用將如何顯著增強和加速其能力和影響力。我們還將提出個人、組織和政府開始應對這一新領域的策略。

關鍵基礎建設的產品資安強健性向來是政府關注的面向，從美國總統拜登發佈的行政命令 (EO 14028) 以及歐盟的 NIS2 Directive 都能夠觀察到政府機構除了重視供應鍊的資安強健性外，同時也關注資產擁有者在資安事件發生時的反應能力。

作為 component vendor，資安標準提供適用於多種場域環境下的七十分目標。但即便 IEC 62443 提供了流程上的成熟度等級，面對企業內部不同世代的產品以及工控領域產品生命週期的特性，我們如何可以怎麼逐步往整體性合格的標準靠攏。

本議程不會說明標準定義的七十分該怎麼做，而是分享我們如何透過 Product Security Incident Response Team (PSIRT) 的活動作為安全產品發展流程的回饋。利用弱點處理活動，檢視產品從需求、設計、實做、測試和驗證的流程，讓流程更趨成熟和完整。

超過一半企業聚焦在用雲來提升企業業務靈活與彈性，卻面臨到架構安全、彈性與成本效益問題。Fortinet ACS 動態雲端安全方案，以Security VPC 協助企業快速上雲、入雲及雲地整合，保持單一彈性擴充架構，簡化管理，提升安全性，同時具備安全可視化化管理、日誌組態稽核標準化與投資效益保障，讓企業維持 ESG 精神提供持續不斷服務。

Fortinet 領導象限安全方案 FortiGate／FortiOS，讓企業商業持續支持從地端延伸到雲端資訊安全架構。同時因應最新的安全威脅，提供最新的人工智慧技術，阻擋各式威脅、惡意程式與服務阻斷等，提供企業網路、應用程式與雲端環境安全可視化監控與防護。

在本場議程中，你可以學習在 Google Cloud 架構 DDoS 彈性架構的設計原則及模式，以保護放在雲端及地端的應用程式以及減緩 DDoS 造成的影響。

面對政府的資安政策及世界的資安趨勢，如何務實導入資安防護，不只有法律遵循的因應策略，更多是實際執行的經驗分享。無論在管理面、策略面、技術面，該如何規劃推動 ?遭遇困難該如何協調解決？演講內容除了站在甲方立場提供資安工作者推動參考，相關採購思維也適合乙方評估，讓團隊理解各項產品導入的重點與困難之處，透過講述實務與經驗分享創造未來雙贏。也將說明本身稽核公務機關與教授資安職能課程的實際案例，讓各行各業了解資通安全實際關注與推動的重點。

透過實際操作來體驗 HENNGE One IdP 如何協助企業管控雲端系統登入滿足零信任原則的多因素驗證、統一帳號＆登入政策管理，並且進一步整合地端系統打造安全又方便的企業系統使用環境。

本議程將分享從 CTF 競賽到紅隊演練的過渡經驗，探討如何將競賽中磨練的技能應用於現實世界的資安挑戰。聽眾將了解到 CTF 和紅隊演練之間的關聯，學習如何將理論知識轉化為實戰能力。

今日，企業面臨著日益複雜和嚴重的安全挑戰，人們會從各種位置、使用各種裝置連上企業網路、雲端資料庫或各項應用程式，同時也造成駭客更加容易偽冒企業員或認證核可的協力廠商，借此進行資料竊取或加密勒索等目標式攻擊。單純仰賴傳統防火牆、VPN 等網絡安全防護，已經無法應對不斷演變的威脅和攻擊，企業再也無法假設預先通過驗證或信任的裝置與使用者身分就是安全的。

面對混雜又經常變動的工作場合，「零信任」是強化關鍵資料與關鍵系統安全的重要策略。相較傳統資安架構，這是一種更先進、更靈活、也更有效的資安方法。越來越多的組織開始轉向零信任安全存取 (Zero Trust Secure Access．ZTSA) 架構。這種架構假設內部和外部網絡都不可信，並採取相應的安全措施以確保資料和資產的安全。

本議程將分享並實作如何利用 Zero Trust Secure Access，依據資安優先次序判斷以及零信任自動化存取控管，幫助企業實現零信任架構並保護其資料和資產。

此場 Lab 將藉由社交工程手法達到執行遠端程式碼攻擊，講師會帶學員一同實作並講授 2024 年最為熱門的 Outlook 2016 漏洞，並且在最後分享企業面對這類攻擊時應該採取的防禦手段和策略。

這場演講深入探討車載網路（IVN）的演進、功能與安全挑戰，重點在於隨著車輛技術進步，特別是網絡和自動化方面，車內通訊安全已成為關鍵議題。我們將從基本原理講解至「CAN Injection」等實際攻擊案例，旨在提升聽眾對車輛內部通訊和安全風險的認識，強調網絡安全在現代車輛設計中的重要性。此演講旨在喚醒聽眾的安全意識，幫助他們更好地理解和應對未來的技術與安全挑戰。

Premiere: 5/15 15:20 - 15:50 

Replays: 5/15 21:20 - 21:50, 5/16 03:20 - 03:50

2024 is a record-breaking year for elections around the globe, with over 60 countries home to roughly half of the world’s population set to hold national elections. On 13 January 2024, Taiwan kicked off this super-election year with its leadership elections. In this session we will discuss some of the ways external forces tried to influence these elections.

想成為一名優秀的資安專業人員嗎？

玉山資安團隊正在尋找有潛力、有熱情、想要挑戰自己的人才加入我們的大家庭。

資安作為公司的免疫系統，我們的資安團隊扮演著「煞車角色」，確保在維持業務發展的重要環節中能免受資安威脅的影響。我們提供完善的培訓體系和良好的工作環境，讓你在資安領域發揮專業技能和創造力，取得更多的成就。

如果你充滿熱情、求知欲和好奇心，歡迎加入我們的資安團隊，一起為金融業、公司和客戶提供更好的安全保障。

透過檢視國際間資安職能的相關指引及報告，期望為會眾帶來幾個幫助 :

1. 企業可以知道該如何進行人才培訓。
2. 期望投入資安產業工作的人能知道後續努力方向。
3. 在職學生可以了解該如何累積能量以利畢業後能投入資安產業。

分享卡巴斯基全球實務經驗，如何從工具、知識與實戰演習三個層面協助高科技、金融甚或國防與政府單位建構安全中心。

1. 資安威脅與人才缺口造成的風險
2. 資安專業人才與技能發展
3. 藍隊演訓實際執行經驗分享

「我的企業真的安全嗎？」一直是企業在紅隊演練後難以回答的問題。企業常僅止於解決短期問題，而難以融入長期的資安策略。在這場演講，我們將透過百場紅隊經驗的觀察，提出企業遇到的困境，反思過去的問題。為此我們也將介紹一個框架化紅隊演練成果的新方法，如同在戰場上畫出格線，幫助企業突破僅能單點式、解決短期問題的窘境，有效發揮紅隊演練的完整效益。進一步更能幫助資安長、資安團隊強化未來資安策略的完整性。

在這次演講中，我們將探討 Security Code Review 的核心概念與目標，同時分享 Synology 如何有系統地檢測程式碼安全性問題。我們將詳細介紹靜態應用程式安全測試 (SAST) 和動態應用程式安全測試 (DAST) 的技術細節，包括文字搜尋、語義搜尋、程式碼分析工具以及模糊測試等多種檢測方法。並且透過實際案例展示這些技術在實際應用中發現漏洞的情境，我們期望這些實例能讓聽眾對檢測技術有更直觀的理解，同時提升聽眾對於程式碼安全性的認識，使其能夠運用所學知識更有效地保障產品及服務的安全性。

台灣由於科技業興起，及政府推動相關的數位化轉型已行之有年。但是在統計中，台灣遭受的資安攻擊在亞台地區仍居亞太之冠，其中以 DDos 最常見，再來是勒索軟體及漏洞入侵跟殭屍網路……等等。

今年起，駭客攻擊的目標已逐漸轉移至製造業及傳統產業，我們應該要有所警愓，我常常說到，資安事件很多發生的因素都是在於人，幾乎起過 90% 的資安事件都是由「人」所引起的。但是如何做好資安防護，我相信這是許多製造業和傳統產業的痛點。

如果銀行都會發生資安事件了，那傳統產業跟製造業是不是更要戰戰兢兢地面對日益增長的網路資安事件呢？

DeFi 的鎖倉價值自 2022 年以來首次突破 1000 億美元，截至目前為止發生過數起知名的安全事件，如： Mixin Network (造成的損失約兩億美元)、Euler Finance (造成的損失約兩億美元)、KyberSwap (造成的損失約四千八百萬美元) 等等，這些 DeFi 安全事件的所造成的損失都相當可觀。

本議題將介紹 DeFi 知名的安全事件，常見的 DeFi 攻擊向量有價格預言機操縱、獎勵操縱、私鑰洩漏、不健全的權限控管以及邏輯錯誤等。本場次希望通過分享區塊鏈安全審計中常遇到的問題以及安全事件的案例分析，提高 Web 3 開發人員和安全從業人員對於區塊鏈安全議題的認識，從而促進更安全的區塊鏈項目建設。

演講探討企業在零信任架構 ( ZTA ) 與進階社交工程中面臨的資安威脅，著重於 CVE-2023-23397 漏洞案例和紅隊攻擊案例分享。分享紅隊實際經驗，揭露藍隊應對 ZTA 的風險。提供防禦建議，強調風險管理和使用者教育的重要性，應對複雜的資安挑戰。期待聽眾深入了解當前安全威脅，並取得實際應對戰略，強化企業的資安防護，Make the World a Better Place。

在當今數位時代，身分安全變得至關重要。過去，安全措施主要著重在系統特權帳號管理和使用權限，但現今廣泛使用的各種應用程式放大了潛在的資安風險範圍，給予工作人員甚至一般員工對敏感資料的存取權限帶來了重大的安全漏洞。駭客可以利用這些漏洞侵入目標系統並取得有價值的資訊，更以終端設備和一般工作人員為目標，因為他們的身分成為駭客入侵企業資源的第一步。在公有雲的幫助下，駭客更可以輕易獲取所需的資源並隱藏自己的活動，以精準瞄準目標。

最近發生的重大資安事件，如 Uber、MGM 和 Okta 的遭受入侵，是駭客利用使用者身分以非法方式進入公司基礎架構的典型案例。這些事件凸顯了傳統網路安全以邊界為基礎的方法在有效防範這些身分攻擊方面有其局限性。

公司必須認知到與工作人員身分和終端設備相關的風險，並落實強固的資安措施，如特權存取管理。CyberArk 站在這一演進的最前線，提供尖端解決方案，保護身分領域的各個方面，能有效減低身分攻擊的風險，確保敏感資料的安全性。

近年來，針對關鍵基礎設施的網路攻擊增加，對受影響國家的穩定和安全構成重大威脅。在本次演講中， TeamT5 將介紹中國駭客組織 TeleBoyi，該組織主要針對關鍵基礎設施進行攻擊，特別是電信產業。他們的目標遍及全球許多國家，包括亞太地區、美洲和歐洲。我們的演講將涵蓋 TeleBoyi 的戰術、技術和程序 ( TTP )，包括他們的武器庫。此外，我們將討論 TeleBoyi 與其他駭客組織重疊的 TTP，我們的研究顯示中國 APT 近年傾向使用共用的武器。最後，我們相信本次演講中介紹的技術和策略可以幫助藍隊更有效地預防、偵測和回應 Teleboyi 的攻擊。

2024 年人們談論最熱燒的議題是甚麼？AI 智能

2024 年全球股市最熱燒的趨勢是甚麼？AI 概念股

2024 年資安防護一定要具備的概念是甚麼？AI 驅動的安全防護

本議程同與會者聊聊資安面臨的新挑戰、威脅經由 AI 武裝化後不斷變種，企業方須善用人工智能，而不是工人智能，以 AI 防禦 AI，讓 AI 成為信任的夥伴，協助企業實現整合的即時防護。

運用 Google Scale and Speed 降低複雜度及執行可靠維運。2024 年，隨著 AI 技術不斷發展，許多人認為網路攻擊會變得更縝密，若沒有最新的資安回應系統，在面對這些攻擊時，可能很難即時回應，包含零日攻擊、供應鏈攻擊及釣魚攻擊等。本環節將但討現有資安維運環境的潛在問題，並帶領大家學習如何透過 Google 的 Modern SecOps 並借助 AI Security 的力量，建立高效率回應及監控環境。

當資安事故發生時，多數企業往往面臨該如何在有限的時間內，精準地匡列標的主機進行調查、掌握確切受駭主機範圍以及快速的阻斷入侵擴散途徑等巨大挑戰。趨勢科技提供一個整合式平台 Vision One，搭配全方位調查工具 Forensic APP 的輔助，可以在事件發生的當下，快速且大量的蒐集主機資訊並保留跡證，搭配趨勢科技 ASRM 風險管理平台整合外部情資資訊或者 IoC，將能夠快速過濾與篩選出有問題的主機，遏止資安事故在企業內部的蔓延趨勢。

郵件備份、Spam 過濾、外洩防護 DLP 三個願望 HENNGE One Email Security 一次滿足體驗 HENNGE One Email Security 如何協助企業打造安全便利的郵件使用環境。

回顧過去一年多生成式人工智慧向世人展現諸多突破性進展後，除了正面的效益也伴隨著許多"不當或具危害性之應用"，其中在資訊安全方面所帶來的影響層面牽涉甚廣。

全球主要資安平台服務供商 Palo Alto Networks 領先業界於早期使用多項前沿技術（ML/DL/LLM）來不斷提升服務品質，並於國際知名組織 MITRE 有實際貢獻（DGA,Evasion C2 research by AI），我們亦將介紹於不同場景中安全平台上的最新應用

當談到資訊安全應用在IoT、AI和伺服器時，基於硬體安全的設計概念變得至關重要。硬體安全晶片是一種專門設計用於保護數據和系統免受惡意攻擊的微型晶片。在IoT應用中，硬體安全晶片可以確保物聯網設備的通信和數據傳輸是安全的，從而保護個人隱私和系統完整性。而在AI應用中，這些晶片可以防止未經授權的訪問和篡改，確保機器學習模型的可靠性和安全性。在伺服器方面，硬體安全晶片可以協助防範惡意軟體攻擊，並提供安全的數據儲存和訪問控制。總體來說，硬體安全晶片在這些領域的應用，為數據安全和系統保護提供了關鍵性的支持，幫助我們建立更可靠和安全的數位生態系統。

利用微軟作業系統漏洞進行散播的惡意程式最駭人聽聞的大概就屬 Wannacry 了，但事實上在 15 年前也出現了一個同樣用漏洞進行傳播的蠕蟲 Conficker，直至今日仍在網路上流竄。2008年11月時 Conficker 同樣利用了當時微軟的 RPC 漏洞進行散播，直至今日野外仍然有裝置正對在公開網路的 SMB 伺服端進行攻擊並散播 Conficker 蠕蟲樣本。

本議程我們將從 honeypot 中發現到的可疑流量出發，解析 Conficker 蠕蟲網路散播行為，並且針對我們收集到的攻擊發起方及其所發出漏洞攻擊負載探究這些類型的攻擊對現今工控場域可能造成的威脅，提出可能的防禦方案。

本演講主要在探討如何從 PM 的角度有效地識別、評估，並應對資訊安全威脅，以確保專案與產品不會成為駭客的目標。演講將涵蓋以下幾個主要部分：

1. 資安與專案管理的交集：將討論目前面臨的資安挑戰，強調 PM 在資安策略的關鍵作用。

2. 親身案例分享，並分析如何避免類似情況。

3. PM 如何學資安：分享商管出生的 PM 如何學習資安概念與相關技術。

本次演講將結合我在專案管理、產品開發與資訊安全領域的豐富經驗，目標是讓 PM 能夠更加自信地處理資安相關的問題，並將這些知識運用於日常的專案工作中。

隨著 Web3 的快速發展，我們正步入一個全新的數位世界，這個世界以去中心化、區塊鏈技術和加密貨幣為基礎，開啟了無限的可能性。然而，這些創新同時也帶來了前所未有的安全挑戰。在這次的演講中，我們將深入探討 Web3 環境中的主要安全問題，包括智能合約的漏洞、去中心化應用 (DApps) 的安全性、以及區塊鏈網路的弱點。

本議程將介紹生成資訊檢索技術結合情資資料庫，建立直觀的對話搜尋引擎。透過自然語言轉換 SQL 技術，分析師能以對話的形式輕鬆查詢所需情資。同時，我們整合多模態模型，以提高情資的深度和準確性。最後，我們導入了問答機器人加速情資獲取，有效協助分析師快速調查資安事件。這項創新的解決方案將使我們能夠更迅速、更有效地應對不斷演變的威脅。

Web shells 經常在網站攻擊中使用，他們能讓攻擊者透過網站存取底層作業系統或是資料庫，進而竊取重要資料，像是使用者密碼，導致作業系統被入侵。web shells 經常隱藏惡意程式碼或是增加登入功能以避免偵測和程式碼分析，這個議程將展示 web shells 以及他們的隱藏技術。

全球頂級的各家防護廠商皆以搭載極高偵測率之 AI 歸因分析引擎的羽量級端點作為解決複雜真實攻擊的根基並以低誤判率而為人所樂道；然而有其不可避免的極限：如何具有可解釋性且低誤判「合理的」惡意行為歸因技術、從明確的惡意系統 API 呼叫順序所生的前後文語義作為自動化偵測依據 ——而如此興盛的 AV/EDR 引擎的歸因技術裡引起了攻擊研究者的好奇，倘若能在羽量級端點之遙測資料早期便有效的混淆系統 API 呼叫的順序或者發起者，是否便能將該攻擊行動被分析引擎錯誤性歸類為誤報 ( False Alert ) 甚至是良性的系統原生正常行為呢 ？我們將從 Defender 2020 年引擎升級後的行為分析技術出發並展示頂級商業滲透工具 Cobalt Strike 針對三種新型態針對掃毒引擎之歸因技術逃逸的手段 —— 如攻擊者能反過來濫用 Windows 10+ 推出的 CFG 防護成為端點防護產品 AI 偵測的盲區，使攻擊行為誤判成為良性系統行為。

藍隊在進行事件應變時，通常會需要進行大量分析，其中雲端事件分析也有大量的 log 分析要進行處理，這場分享主要分享如何利用 Open Source 來架設相對應的工具，來進行分析。其中會提到 SOF-ELK, SANS 利用 elasticsearch 的opensource 鑑識專案、利用 graylog + opensearch 用來分析的 SIEM，以及如何導入別人定義的 Sigma Rules 等藍隊知識 ( Rules ) 來加速對惡意 log 的分析。

資安一直讓人有若有似無的感覺，OT 防禦更是讓許多資安人摸不著頭緒，只能從邊界一刀切，但真的切了就能讓所有人高枕無憂嗎？做好資安，工廠才能持續生產，落實資安，相關的人才能高枕無憂，Fortinet 提供業界最完整的 OT 資安防護方案，協助您了解 OT 防禦、部屬 OT 防禦，以及運維 OT 防禦。

零信任架構下，儘管身份和設備鑑別已有成熟做法，政策決策點（PDP）的信任推斷方法卻未明確。為此，我們提出一個信任推斷成熟度模型，為企業制定靈活而有效的信任推斷策略。而為快速應變網路威脅，我們融合大型語言模型技術，快速生成並調整風險規則，以應對迅速變化的網路威脅，提升整體安全架構的適應性和可解釋性。

強化現有資安防護機制並打造絕佳可視性及優先性。有效的資安策略不僅止步於資安監控部署，更重視專業技術及情資等細節。Mandiant 採取情資導向且多廠商合作的手法，強化現有資安監控機制，並讓 SOC 可改善效率與效能，迅速且大規模地察覺惡意資安事件。

面對日益複雜的資安威脅,如何始終秉持「營造信任、強化韌性、創造價值」的理念,持續優化資安治理,以更前瞻的視角部署防護,守護公司與客戶的數位資產。

本議程將以資安長在董事會的年度資安治理報告為例，聚焦在與公司營運密切相關的資安策略、量化成果、法遵現況、未來藍圖等重點,讓董事會清楚掌握資安工作的脈絡與價值,進而給予支持和資源配置。

內容摘要 : 

1. 安全管理架構 : 建立涵蓋治理、風險、合規的整體架構,奠定資安管理的穩固基礎。
2. 安全管理策略 : 圍繞機密性、完整性、可用性制定策略,並透過意識提升和違例管理,強化人員作為安全防線。
3. 安全成熟度演進 : 藉由資安演練檢視成熟度,並向業界標竿學習,持續提升偵測、應變、預防能力。
4. 安全措施執行成果 : 從源頭管控風險;建立情資驅動的監測和應變機制,快速偵測和回應威脅。
5. 未來關注的安全要點 : 洞悉 AI 等新興科技的資安挑戰,以敏捷思維制定因應方針和指引。

是否看到購買滑鼠時寫著「資安加密全面防護」，卻不知道是什麼意思？本議題將延續 CYBERSEC 2023 時介紹過 Linux 作業系統核心層的藍牙協定漏洞，介紹另一種安全風險：「無線輸入裝置 (HID) 安全性」。

從 2016 年發現的 MouseJack，使不少自行設計無線協定的無線滑鼠鍵盤，陷入可能被進行注入滑鼠、鍵盤操作的風險，其作者又於 2023 年中發現藍牙協定之上的跨平台鍵盤注入漏洞。無線滑鼠、鍵盤，接連出現漏洞，是否代表所有無線滑鼠、鍵盤皆不安全？本議程將深入探討並介紹兩種攻擊模式背後的背景知識，包括後者是如何透過藍牙協定當中的合理行為進行實務上會造成安全風險的攻擊行為、甚至透過展示「有線滑鼠鍵盤亦不安全」的情境，來突顯縱深防禦的重要。本議程亦會分別從組織架構、個人的角度來探討該如何防止或減少此類攻擊帶來的問題。

VPN 是許多企業連接到內部自建伺服器的主要方式之一，然而有報告顯示 VPN 的漏洞成為勒索軟體攻擊的目標，甚至被駭客用作跳板進入企業內網，進行更大規模的攻擊。本議程將分享勒索軟體風險的近況，並提供 HENNGE 的解決方案及實際案例，在保障安全性及提高生產性的同時滿足企業遠端協作的需求。

伴隨著台灣總統大選，中國駭客組織針對台灣的攻擊也變得頻繁。近期，我們調查一起針對政府供應鏈攻擊事件，這次攻擊針對台灣極為常用的文書基本工具，除了政府機關外，在法律、學術單位也大量使用，潛在受害者超過 50 萬。 在這次攻擊，我們也發現許多中國網軍的惡意程式的蹤跡，攻擊者透過攻陷更新伺服器，派送惡意程式到受害端點，並持續潛伏數年。

從這次攻擊事件，我們也回顧過去十年，從 Operation GG 到近年針對金融單位的供應鏈攻擊，並從軟體開發流程、供應鏈服務流程兩個層面，深入分析各種不同的供應鍊攻擊手法，包含：供應鏈軟體漏洞、惡意程式植入正常程式、跳島攻擊及外包商外洩。分析供應鏈事件起因，與防禦機制。此外，我們也會介紹在過去幾年，我們如何利用 AI 協助分析師進行事件調查。

資安事件發生常伴隨著資料外洩風險，尤其個人資料外洩時將造成企業經濟損失及聲譽受損。企業蒐集用戶資料目的，在於提供商品、服務及商業加值，對於其保有的個人資料即負有安全維護義務，安維措施包含組織管理及技術控制措施。本演講場次說明資安治理的要項，以相關法遵及 ISO 資安標準進行詮譯，並就近期發生的資安或個資事件，以案例方式進行對照，提出具體的建議。

了解雲端安全的權威機構 Cloud Security Alliance (CSA) 所提出的 DevSecOps 六大支柱，並且認識最新的 CNCF 沙盤專案 Kubescape 是如何為 K8s 集群帶來更好的安全性和擴展性。此次的分享你將會：

1. 了解 CSA DevSecOps 六大支柱
2. 認識 Kubescape 以及它的效用
3. 了解 Kubescape 實現了六大支柱哪些關鍵要素

儘管現今數位化帶來了無限的便利性，然而也伴隨著日益複雜的地緣政治,普及發達的網路環境，資訊安全面臨前所未有的挑戰。在這個網路戰爭為現在進行式的年代，國家資安戰略實為確保社會穩定運作的不可或缺的重要基石，對於台灣來說更是如此。

本議程將從世界各國的國家資安戰略出發，分析美歐的資安戰略，提出個人見解，並探討國家資安策略與國際網路安全標準ISA/IEC 62443之間的關係， ISA/IEC 62443標準是針對工業自動化和控制系統（IACS）的國際標準，其目標在於提供一套全面的指南，以確保工業自動化和控制系統的網路安全性。

透過實例，議程將探討如何將國家資安戰略延展為可落實的計畫並融入ISA/IEC 62443國際標準的精隨。

本次議程將深度探討如何利用開源工具來有效地識別和處理雲端資安的挑戰。議程中透過實際操作環境與案例研究，揭示開源工具在解決雲端安全問題中的實際效能。同時，也會和傳統資安策略中的應用進行深度對比，讓參與者獲得不同的視角，並了解如何利用這些工具來強化自己的雲端安全策略。 

根據戴夫寇爾統計近一年半數十場的紅隊演練結果中，高達 5 成以上的企業內網存在 Active Directory 憑證服務 ( AD CS ) 相關的設定疏失，導致攻擊者可在僅有任意低權限網域帳號的情況下，在短短幾分鐘之內即取得網域最高控制權。

本場演講將以去識別化的方式呈現各家企業設定疏失的點在哪、攻擊者會如何利用，說明 AD CS 服務應是企業該定期檢核的內網關鍵基礎設施，並說明該如何避免產生錯誤的設定，以及一些特殊情況的緩解方式。

近幾年來發生了非常多的 data breach 事件, 而被偷出去的 data , 也常常在暗網裡被販售. 暗網一直都是一個像是在 Internet 裡的迷霧區一般. 許多人不得其門而入. TOR (The Onion Router) 是目前構成暗網的主要技術. 在本次的 session 中, 我將討亂暗網的運作原理, 並且會 demo 如何在暗網中架設屬於你自己的 hidden service. 同時也會 demo 當你拿到一個 onion url , 如何分析這個 onion url , 以及介紹一些有用的工具來 monitor 你的 data 是否有出現在一些暗網中. 

2023 年也是威脅組織猖獗的一年，主要原因包含了勒索軟體 RaaS 成熟、AI 網路犯罪工具問世 ( 如 WormGPT、FraudGPT ) 等，使得威脅組織更容易取得或製作網路攻擊武器。透過觀察 2023 年發生的事件，從中分析出 2023 年的攻擊趨勢，其中將介紹勒索軟體組織於 2023 年的攻擊趨勢以及攻擊型態、供應鏈妥協造成的問題、country-level 威脅組織的活躍對全球造成的影響。

多數企業大量依賴網域服務 Active Directory (AD) 作為使用者與資產管理、派送軟體更新及相關統一控管機制的骨幹，在 AD 提供了豐富與多樣功能的同時，也衍生了管理者因為方便等因素設定了不當的組態設定，因而直接或間接的產生資安風險，更甚至大型的企業內網架構相對複雜，在偵測機制不齊全的狀況之下，往往很難即時察覺攻擊正在發生。本講題將以藍隊思維出發，分享維繫網域服務核心的認證機制 - Kerberos 協定是如何運作， 與 Kerberos 協定息息相關的攻擊手法，及該如何進行相關攻擊的偵測，以即時有效的防止 攻擊者接管企業網域服務。

智慧車聯網 (IoV) 是近年來發展迅速的一項科技，為汽車產業帶來革命性的變化以及無限的商機。但在這美好的一面之外，隨著 IoV 技術的成熟與應用的普及，所帶來的資安風險也日漸增加。本議程將說明 IoV 的資安威脅，並展示 IoV 相關裝置的資安評估結果、漏洞分析等實務經驗分享、解決方案，以期提升車輛和乘客的安全。

我國在 2022 年發布了「電動車供電設備資訊安全檢測技術規範」，作為聯網之充電設備的基本資通安全要求。然而作為整體充電生態系的一部分，應該要更進一步考慮到維運時的資通安全風險與因應對策。

本演講將從美國 NIST IR 8473 對於電動車快速充電骨幹之資通安全要求開始，介紹美國 NIST 對於整個電動車快速充電生態系參與角色的定義以及考量的資通安全風險，從而聚焦到充電樁，並且去比較從充電設備本身的資通安全到提供充電服務，中間在風險管理上的落差，從而做出建議。

跟隨著那些年講師探索惡意程式軌跡的步伐，從資安的角度出發，課程以分享為主，涵蓋了 Process 分析、Autoruns 分析以及封包分析等重要技術。透過這些技術的學習，學員將能夠深入理解惡意程式分析的核心概念，並學會運用相應的工具和技術應對不斷演進的資安威脅。

在當今充滿威脅的網路環境中，企業需要強大的安全解決方案來保護其端點設備。CrowdStrike 是全球領先的端點安全供應商，提供全面的平台來防禦已知和未知的威脅。

本課程將深入探討 CrowdStrike 的端點安全功能，並重點介紹其威脅獵捕功能。您將了解如何使用 CrowdStrike Falcon Platform 進行威脅偵測和應對，包括：使用 Falcon Insight 進行威脅狩獵、整合威脅情報以提高可見性、自動化事件回應、實施有效的安全策略

Premiere: 5/16 09:30 - 10:00 

Replays: 5/16 15:30 - 16:00, 5/16 21:30 - 22:00

2024 is set to be the biggest election year in history, with more than 4 billion people being asked to cast their votes, and AI-driven disinformation campaigns will be pervasive. Threat actors will exploit these events to manipulate public opinion on a global scale, posing significant challenges to election integrity and global stability.

Powered by the speed and scale of the internet, disinformation operations have weaponized social media platforms and fractured the information environment to sow discord and undermine trust. It is no secret that we live in an increasingly fractured and polarised world, where acceptance of the existence of “alternative facts” is now mainstream.

This session will examine the current state of disinformation operations and how their capabilities and reach will be significantly enhanced and accelerated through application of Artificial Intelligence. We will also present strategies for individuals, organisations and governments to begin to combat on this new frontier.

《後量子資安產業聯盟》以「 晶片研發、 應用 檢測 、 推廣培訓 」為主軸，盼能凝聚國內後量子資安產業研發能量， 透過聯盟整合串聯產業生態，推動產業創新與國際市場拓展，提高我國於量子安全的競爭力

應對複雜的威脅環境，層出不窮的網路安全事件，包含網路釣魚，網路攻擊和資料盜取。

現今的企業需要安全地連接各地的人員、應用程式和網路。 但要如何駕馭複雜性並維持控制呢？

且看 Cloudflare Connectivity Cloud如何幫助您的企業在網路的下一個時代持續領先發展。

Near-RT RIC (RAN 智慧控制器) 是 O-RAN 中的關鍵元件，對於監控和管理 RF 資源以及最佳化網路效能至關重要。 在研究中，我們揭示了惡意/異常 xApp、旨在優化資源分配的子元件以及促進這些元件之間通訊的 RIC 訊息路由器 (RMR) 形式的一些潛在漏洞。

Premiere: 5/16 10:10 - 10:40 

Replays: 5/16 16:10 - 16:40, 5/16 22:10 - 22:40

Security and security evaluations of integrated circuits is becoming a very important component for the overall security of devices and systems and is complex for a number of reasons. First, there is a large number of different regulations and assurance requirements that are continuously being developed. Second, the security of hardware-based solutions depends on the specific solution, and the solutions are fragmented, ranging from highly secure to unprotected in different technologies. Third, attacks and tools for attacks in the hardware area are actively being developed, leading to implementation of countermeasures and increased complexity and costs. Fourth, the developments of cryptography to quantum safe algorithms introduces challenges larger than drop-in replacements.

In this talk, we will first give an introduction to security evaluation of hardware-based security evaluation and its importance for the overall security of devices and systems. Then we will describe the current challenges for manufacturers, security laboratories and certification assessment bodies with focus on (1) the developments in the landscape of regulations and certification schemes, and then (2) the challenges for hardware-based security given the developments of post-quantum cryptography.

展望 ICS（ 工業控制系統 ） 安全性，必須考慮到不斷發展的技術和威脅環境。 在這方面，NIST 提出了CSF 2.0 的框架以及其他新興技術的交互作用至關重要。 CSF 2.0 是一種廣泛應用於 ICS 安全領域的框架，它提供了一套標準和指南，幫助企業組織評估、改進和管理其ICS 安全性。 

CSF 2.0 框架的亮點在於其靈活性和全面性，它可以適用於各種類型的組織和不同行業的 ICS 環境。 然而，隨著科技的發展，新興科技的湧現也為 ICS 安全帶來了新的挑戰與機會。 

例如，物聯網 （ IoT ） 、人工智慧 （ AI ） 、邊界計算、供應鏈、區塊鏈等技術的應用日益廣泛，這些技術為 ICS 系統帶來了更高的智慧化、連接性和效率，但同時也增加 了安全風險。 因此，ICS 安全領域需要不斷地與這些新興技術進行交互，以應對新的威脅並加強系統的安全性。 

勒索軟體犯罪集團鎖定企業勒索，人人自危。勒索事件已成常態，如何在重大危害造成前發現蛛絲馬跡？在勒索軟體真正對企業造成衝擊前一定會有一些前兆，本次議程將帶領大家從藍隊視角，看勒索軟體攻擊的徵兆，在病入膏肓前，及早發現，及早治療。

隱私強化技術 ( PETs ) 是透過最大限度地減少個人資料使用、最大限度地提高資料安全性和增強個人能力來體現基本資料保護原則的技術。 PETs 保護由授權服務或應用的使用者個人資訊的隱私。他們使用技術來最大限度地減少資訊系統對個人資料的擁有，而不會失去功能。然而， PETs 沒有統一的定義來量化隱私，因為目的和場景取決於實際應用。在本次演講中，我們從隱私的動機出發，然後透過現實生活中的事件來說明 PETs 是必要的。進而介紹一些現有隱私解決方案的技術概覽，包括聯邦學習、安全多方計算、同態加密、差分隱私和零知識證明等。

全球企業不論網站、支付交易到基礎建設，受到嚴密保護機制確保資料與系統的安全防護，未來都將被量子電腦一一擊破。美國國家標準與技術研究所 ( NIST ) 最近宣布了支援過渡至量子安全密碼未來的第一份標準草案。Thales 分享量子密碼技術在當前和未來數位安全趨勢中的地位，對整個行業的影響，如何因應「先收穫，後解密」的網路攻擊風險。

使用雲端平台、SaaS 平台以及 CI/CD 平台，最重要的鐵則就是最小權限原則 Principle of Least Privilege (PoLP)，我們總是認為盡可能的設定最小的權限，就能保障系統的安全，但事實真的是如此嗎？本議程將介紹 Github Actions API 的誤用導致權限提升以及劫持 CI/CD 流程、竄改 Repository 的有趣案例。在這個案例中，儘管開發者完全依照了官方 Document 所建議的設定所有權限，符合最小權限原則，但依然導致網站被 Compromise 的弱點利用方式。

本次議程有別於常見到的事前如何設定保留雲端 Log ，事後如何利用 Log 進行 Threat Hunting，而是希望透過資安監控的角度看待 Azure Entra ID與相關雲端服務 Log，整理出在事件發生時可以注意的監控點，提供可監控的方向，應用在日常維運的場景中。同時會舉雲端受攻擊時的案例，分享如何用利監控規則的設計，在企業被入侵時即早發現，即時處理。

在這資安意識高漲的年代，導入各種防護與示警設備已成為顯學，但是，對於告警的後續處理，真的做足了嗎？這場議程將討論未被妥善處理的告警是如何演變成破口，導致組織持續暴露於風險之中。

透過案例解析的模式，將分享從分析攻擊手法到找尋相關線索的過程，進而能夠正確理解當前所面臨的威脅並制定應對措施。

從 2022 年初開始，我們一直在追蹤一個針對全球多個政府單位進行攻擊的駭客行動，其主要針對的地區為東南亞，但也包括歐洲、拉丁美洲和非洲。儘管一開始看起來獨特，最終我們的研究發現這個行動與中國駭客集團 Earth Lusca 有多重關聯，並發現額外的關聯至另外一個中國駭客集團 LuoYu。我們在駭客的伺服器上找到多個檔案，包括樣本、從受害者竊取的數據和配置檔案。這些數據和我們的遙測資料幫助我們清楚地了解到攻擊者感興趣的目標與受害者群體，以及他們經常使用的攻擊手法、後門軟體和後期利用的駭客工具，我們將在這次議程中披露這些最新的資訊。

隨著國際間地緣政治風險升高，企業經營勢必更加關注供應鏈安全。在這種情況下，建立堅固的供應鏈韌性策略至關重要。這包括加強與供應商的合作，並採取更有效的風險管理措施。這樣做不僅可以保護企業降低營運風險，還可以提高供應鏈的彈性和穩定性，確保企業能夠應對各種挑戰，維持業務的持續運營。

本演講主要對象為對供應鏈資安有興趣的人，尤其適合負責規劃供應鏈合作資安風險管控機制的人員，藉由分享國際間的法規發展與不同資安要求架構案例，提供企業在規劃建立供應鏈韌性時的參考依據。

準備好搭上 Cloudflare 的 AI 快車了嗎？

在這個數據驅動的時代，人工智能技術正在重新定義無數行業的運作方式，網路安全和性能優化領域亦是如此。

從自動化威脅偵測到開發平台，你將看到 AI 如何成為 Cloudflare 最佳的得力助手。

層出不窮的資安風險限制了物聯網的潛力。從最安全的硬體、軟體和作業系統解決方案中結合各自的優勢，創建一個環環相扣的安全生態系統是解決這個問題的根本之道。 

熵碼科技 ( PUFsecurity ) 以獨家專利物理不可複製功能 ( PUF ) 為基礎，創建一系列晶片級的硬體安全解決方案，包括討論火熱的硬體信任根、以及不可或缺的加密協處理器等。我們以 PUF 產生的獨特密碼，發展出縝密的密鑰管理、加解密、認證、以及抗攻擊等技術，並整合成易於導入及使用的整合型 IP，從最底層的硬體層面保護和串連整個生態系統的安全運作。

本次演講我們將逐步說明硬體安全、也就是晶片安全，在整個資安信任鏈中扮演的角色，再透過我們解決方案在 AIoT 領域應用的實例，講解硬體資安的技術、運作、與抗攻擊的關鍵點。

Premiere: 5/16 10:50 - 11:20 

Replays: 5/16 16:50 - 17:20, 5/16 22:50 - 23:20

在當今全球網路安全框架下，軟體物料清單 （ SBOM ） 已成企業關注焦點。本演講將剖析 SBOM 的實際應用、技術挑戰與產業洞察，涉及流程管理、部門協作及供應鏈整合。透過案例分享，揭示 SBOM 在軟體管理、組件追踪及漏洞評估的重要性，強調自動化與手動審核的平衡。深入探討 SBOM 作為全面安全策略一環的角色，提供避免常見誤區並採取最佳實踐的策略，並介紹 SPDX 國際標準的最新規範，以提升軟體安全性和管理效能。

這場議程將深入探討工業控制系統 ( OT ) 與企業網路之間的資安挑戰及應對策略。我們將剖析工業控制系統與企業網路的交界處所帶來的資安漏洞，以及可能面臨的威脅，如勒索軟體、遠端入侵等。透過實際案例分享和專家講解，您將對工控資安問題有更深入的了解，並學習到如何建立健全的工控資安防護策略，保障企業生產網路的穩定與安全。這場議程旨在提高與會者對工業控制系統資安威脅的識別度，並提供實用的應對方案，讓他們能夠更有效地應對日益嚴峻的資安挑戰，保障企業資產和運營的安全。

在 2023年，我們識別出一個名為 Earth Estries 的新型網路間諜活動，顯示自至少2020年以來一直存在。值得注意的是，Earth Estries 的戰術與先進持久性威脅（APT）組織 FamousSparrow 之間出現了相似之處。使用的工具和技術表明涉及高度熟練的威脅行為者，他們運用先進的資源，大量使用後門和駭客工具，有力地針對位於菲律賓、台灣、馬來西亞、南非、德國和美國的政府和科技行業的組織。在這個主題中，我們將討論我們的詳細發現和技術分析，包括有關 Earth Estries 及其動機、攻擊方法和工具、C＆C 基礎設施、受害者範圍和歸因的一些背景資料。