董事會怎麼看 AI 安全？

大 AI 時代，2026 年資安事件一件接一件，分享一下近期的一些心得。

資安單位上董事會報告越來越普遍了。最近跟董事會等高階管理層報告資安，我原本以為焦點會放在傳統議題，結果 AI 是被問最多的。科技圈跟新聞上都在喊 AI 有多神、產值有多大，但站在經營者的位置，看到的是另一回事。簡單整理分享最近的心得，還有跟其他公司的高階管理層聊到的幾個議題。

1. 員工私底下到底怎麼用 AI？

高階管理層會擔心 AI 失控。大家心裡都有數，我個人的想法是，除非是銀行或竹科大廠，有集中式管理才有機會掌握住，其他企業的員工多半還是會自己用。問題是如果有人把程式碼、個資、合約或公司策略丟進工具中，資料外洩算誰的？到底該怎麼管？

就算管理制度或政策都有了，技術控制也不一定有預算跟得上，EDLP、Proxy、SASE 每一樣都是費用。就我的經驗，先撇除監管嚴格的行業，很多大型企業其實也缺乏資料外洩防護的政策與解決方案，當今可能還要搭配安全存取服務邊緣（Secure Access Service Edge，簡稱 SASE）才足夠應付Shadow AI 。說穿了就是不太想投資在這塊，端點數量太多，要花的錢太可觀，管理起來太難，或是資安單位跟資訊單位推來推去誰要管理。

2. 駭客用 AI 打過來，我們擋得住嗎？

以前的釣魚信破綻很多。現在 AI 可以仿冒聲音、寫高度客製化的信件、自動找漏洞，攻擊成本低很多。我們的防禦跟得上駭客用 AI 的速度嗎？

每間企業的對外曝險、預算和專業人力都不同，這題沒有標準答案。Mandiant 今年的 M-Trends 報告估計，平均漏洞利用時間已經是負 7 天，也就是漏洞常在修補程式出來之前就被打了。攻擊者取得初始存取後轉手給下一個集團，中位數只要 22 秒。攻擊者只要成功一次，防守方卻得每次都擋下來，AI 讓攻擊變便宜以後，這個不對等只會更明顯。

但同一份報告也提到，2025 年的入侵事件大多還是來自人為和系統性的缺失，AI 並不是直接原因。Verizon 今年的 DBIR 也看到相同的趨勢：31% 的外洩事件從漏洞利用開始，19 年來第一次超過帳密竊取。換句話說，AI 放大的多半還是那些老問題，像是漏洞未修、權限過大、驗證太弱。很多時候，企業連這些基本功都還沒做好。

防守方當然也該用 AI。NIST 正在制定的 Cyber AI Profile，就把「用 AI 強化防禦」和「抵禦 AI 驅動的攻擊」並列為重點。只是 AI 是用來補人力缺口的，替代不了基本功。

最近自己也寫了MCP 來幫我管理資安系統/產品，寫好Skills 處理許多庶務還有幫助我分析風險..

3. 組織權責

AI 管理卡關的地方很少是技術，多半是說不清楚誰該負責、該管到哪裡：誰制定規範、誰負責 AI 安全維運。這還沒談到哪個單位要編預算、出錢投資技術控制。實際上光是 AI 安全的日常作業，大家可能就推得一乾二淨，現實上很多公司的資安單位自己都不太想負責。

ISACA 今年的 AI Pulse Poll 也反映了這點：九成受訪者認為員工在用 AI，有完整 AI 政策的組織卻只有 38%。被問到 AI 出事該由誰負責，有兩成答不出來，這在台灣也很常見。

AI 治理沒辦法只靠資安單位寫規範或導入工具就完成，也不是只管好Claude Org 層級帳號就好 ，有太多要討論的議題 ，高階管理層願意花時間討論 AI，我反而覺得是好事，代表這件事終於被放到該放的位置。

資料連結

• Mandiant M-Trends 2026：https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026
• Verizon 2026 DBIR：https://www.verizon.com/about/news/breach-industry-wide-dbir-finds
• NIST Cyber AI Profile（NIST IR 8596）：https://www.nccoe.nist.gov/node/2581

董事會看待 AI 安全議題 was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

When enterprises adopt generative AI tools, authentication and access control are the most critical security elements. Kiro Enterprise not only delivers powerful development and collaboration capabilities, it also requires rigorous sign-in and authorization mechanisms and ensures kiro administrators complete security best practices in Kiro configuration.

This article is available in both Trandtional Chinese and English. For the Chinese version, please refer to: https://medium.com/@kuroH/amazon-kiro-e6cdf49b5851

To reduce the risk of credential leakage, simplify user management, and meet compliance requirements, Kiro uses AWS IAM Identity Center as the core integration approach — replacing traditional IAM user sign-in. This design enables single sign-on (SSO), centralized permission management, and integration with external identity providers (IdPs) so that enterprises can maintain best‑practice security while using AI applications.

This article discusses:

• Why you should use IAM Identity Center rather than IAM user sign-in
• How to integrate enterprise authentication flows and security settings

Because I’m an AWS Community Builder — Security, I’ve received credits to experiment with AWS services. In the current AI wave, I’m focusing on the administrator security configuration. (The security topics around the Kiro IDE have already been widely discussed online, so I won’t repeat them here.)

My AWS Community Builder Profile :

AWS Builder Center

What is Kiro

Agentic AI development from prototype to production

From the user’s perspective: Where Kiro shines

In practice, Kiro is not just another AI tool — it’s a complete enterprise‑grade AI development platform. From a security standpoint, I haven’t yet seen third‑party assurance reports specifically for Kiro (e.g., formal certification reports). However, technically, Kiro enables many security configurations that competing tools often cannot match.

Three highlights of Kiro:

(Fun fact: My name is Kuro, and I keep typing Kiro as Kuro.)

1) Vibe Coding

This is the most compelling part of Kiro for me. It goes beyond code suggestions — Kiro understands project context and has helped me complete many small developer tools. When needed, it automatically generates tests and documentation, making development smoother.

2) Enterprise‑grade security integration

As a security practitioner, I value that Kiro integrates with AWS IAM Identity Center to provide SSO, group management, and permission sets, avoiding the credential risks associated with traditional IAM users. The admin console also enables Prompt Logging, usage reports, and access controls, which are far more convenient than many alternatives. CloudTrail can also record and monitor AWS API–level activities performed in your account.

3) Flexibility and extensibility

Whether via IDE, CLI, or MCP (Model Context Protocol) to integrate external tools, Kiro supports them — and bundles foundational security settings.

Kiro + AWS Enterprise Onboarding (To onboard your team to Kiro)

1) Sign in to your AWS account

You can sign in as the AWS root user or as a user with a privileged role.
Alternatively, allow administrators to use Kiro with the minimum necessary permissions.

2) Enable AWS IAM Identity Center

Enable IAM Identity Center in your AWS account.
Add users to its directory, or connect it to an external IdP.
If this is your first time, see Getting started with IAM Identity Center.

Kiro Enterprise relies on Identity Center to implement secure user subscriptions and SSO, avoiding the risks of manually managing IAM users (credential leakage, difficult lifecycle management, revocation pitfalls). IAM Identity Center provides a dedicated Start URL for sign‑in; users can authenticate with their organizational accounts without juggling multiple AWS IAM credentials.

When you enable IAM Identity Center and create users, you’ll see several important fields:

• Instance name — The name of the IAM Identity Center instance (customizable) for easy identification.
• Identity source — The identity store in use (e.g., the Identity Center directory) or an external IdP (such as Okta or Microsoft Entra ID).
• Region — The AWS Region where the Identity Center instance is deployed.
• Organization ID — The unique identifier of AWS Organizations.

Next, create a user. This user can sign in through the AWS access portal.

3) Create a Kiro Profile and subscribe users

In the AWS Management Console, open the Kiro Console.
Use the provided UI to create a Kiro profile and subscribe users.
Profile binds a user’s identity to their Kiro subscription and settings.
Don’t forget to enable MFA.

Choose the plan that fits your usage; frequent use generally suggests Kiro Pro+

4) Ask users to check email

Within 24 hours of being subscribed, users should receive an email with download instructions for Kiro IDE and sign‑in steps. In practice, timing may vary — console status is authoritative.
After installation, select Sign in with AWS IAM Identity Center.
Remember to use the Identity Center Start URL, not a regular IAM user sign‑in.

Admin Console (AWS) — Shared settings

Return to the AWS admin view. It’s important to carefully evaluate which options to enable.

Shared settings

Include suggestions with code references

• Whether suggestions include code references, helping developers see relevant source snippets.

Encryption key

• Choose a customer‑managed key; otherwise an AWS‑managed key is used. This affects encryption at rest.

Member account subscriptions

• Display and manage subscriptions from member accounts. Requires Trusted Access for aggregate visibility.
  This setting lists subscriptions in the Amazon Q console (under the management account), unifying subscriptions across management and member accounts.
• Security note: Ensure Trusted Access is enabled and scoped correctly to avoid unauthorized access to enterprise resources.

Admin Console (AWS) — Kiro settings

Model Context Protocol (MCP)

• Allows Kiro agents to use MCP to exchange context with external tools or models.
• Security note: Grant only what’s necessary, follow least privilege, and regularly review MCP connections and tokens.

Overages

• Allow users to continue working after exceeding monthly usage limits.
• Security/Cost note: Prevent uncontrolled costs or resource abuse; pair with alerting mechanisms.

Prompt logging

• Record Kiro prompts and metadata for auditing and traceability; be mindful of privacy/compliance.
• Official description: “Kiro admins can enable the logging of all inline suggestions and chat conversations that users have in the Kiro IDE. These logs can help with auditing, debugging, analytics, and ensuring compliance.”
• Security note: If logs contain sensitive data, enforce access controls. Even without KMS, enable S3 server‑side encryption (SSE).

Usage activity

Kiro usage dashboard

• When enabled, track usage and provide admin visualization.
• User activity report
  Collect per‑user telemetry and export daily reports to an S3 bucket — useful for behavioral analysis and compliance.
• Security note: Ensure S3 versioning and encryption are enabled; configure IAM policies to avoid public access.
• Official description: “You can configure Kiro to collect user activity telemetry of individual Kiro subscribers in your organization and present that information in a report. The report gives you insights into how specific users are using Kiro.”

Best‑practice summary

• Encryption keys — Prefer customer‑managed KMS keys to meet enterprise security standards.
• Prompt Logging — If enabled, combine with auditing and strict access controls to avoid sensitive‑data exposure; at minimum, ensure you retain logs.
• MCP — Restrict external tool permissions to mitigate security and data‑exfiltration risks.
• S3 reports — Ensure buckets have correct IAM policies and encryption.

Advanced recommendations

MCP security hardening

• Use API Gateway + IAM roles to control access from external tools.
• Rotate credentials regularly.
• CloudTrail can monitor AWS API–level actions (e.g., S3, IAM, Amazon Q/Kiro–related APIs). Note that CloudTrail does not record MCP actions that occur locally or outside AWS; MCP calls that invoke AWS services will then appear in CloudTrail.

Prompt Logging

• Apply PII masking.
• Enable S3 SSE (even if you don’t use KMS).
• Restrict read access via IAM policies.

S3 log/report buckets

• Enable Block Public Access.
• Use bucket policies that allow only specific IAM roles.
• Turn on versioning to avoid accidental deletion.

Resource‑usage controls

• Add CloudWatch Billing Alarms to notify when budgets are exceeded.
• Configure Overages cautiously to avoid unlimited usage (unless your team truly intends it).

Dashboard

If the above features are enabled, the dashboard will visualize actual usage.

VPC Endpoint

Enterprises can use AWS PrivateLink to create interface VPC endpoints for Kiro (e.g., com.amazonaws.us-east-1.q) so traffic to Kiro APIs stays on the AWS network. However, parts of sign‑in/authentication may still require public internet connectivity—always follow the latest official documentation.

Reference
https://kiro.dev/docs/enterprise/settings/

Conclusion

When enterprises adopt generative AI tools like Kiro, the value of the platform lies not only in productivity gains but also in security and governance. By integrating with AWS IAM Identity Center, Kiro Enterprise mitigates risks inherent to traditional account management and provides SSO, group‑based controls, and permission sets so that security policies can be enforced in practice.

At the same time, Kiro’s security settings (such as Prompt Logging, usage reports, and access controls) let developers enjoy AI assistance while meeting baseline security requirements and supporting audits. This balance of efficiency + security is the foundational skill enterprises need when scaling AI adoption.

About Kuro ：

• Portaly / About me : https://portaly.cc/kurohuang
• Personal Website : https://kuronetwork.me
• Instagram : https://www.instagram.com/kuronetwork/
• Threads : https://www.threads.net/@kuronetwork
• Facebook : https://www.facebook.com/kublackstock
• LinkedIn： https://www.linkedin.com/in/kurohuang/

Amazon Kiro Enterprise Security Integration: Getting Started with AWS IAM Identity Center and… was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

本篇文章有中英文版，英文版連結請參考：https://medium.com/@kuroH/amazon-kiro-enterprise-b39782221648

這次來聊一下：

• 為何必須使用 IAM Identity Center 而非 IAM 使用者登入
• 整合企業身份驗證流程與資安設定

因為我本身是 AWS Community Builder — Security組，有獲得一些 Credit 能來玩玩 AWS 各項服務，趁大 AI 時代來研究一下管理者的安全設定。而Kiro這個IDE安全議題網路上有不少討論了，就不在這篇多提。

我 AWS Community Builder 檔案:

AWS Builder Center

什麼是 Kiro

Agentic AI development from prototype to production

Amazon Kiro CLI ?

CLI 操作是開發者很喜愛的一個工作模式，很推薦大家學習，我也做了一個中文指引網站（透過 Kiro 完成) 來與大家一同學習 Kiro CLI !

Kiro CLI 繁中教學 - 從零到自動化

從使用者角度看它的價值

在實際使用 Kiro 的過程中，這不只是單純的 AI 工具，而是一個完整的企業級 AI 開發平台。從資安的角度考量，Kiro這個時間還沒有看到有效的資安驗證或是確信報告，但從技術上看能做到許多其他工具沒辦法完成的資安設定。

Kiro 的核心亮點有三個：

1. 我叫 Kuro，打 Kiro 一直打成 Kuro。
2. Vibe Coding
   這是 Kiro 最吸引我的地方。它不只是提供程式碼建議，而是能理解專案上下文，協助我這段時間完成蠻多開發小工具的任務，在需要時自動生成測試與文件，讓開發過程更流暢。
3. 企業級安全整合
   作為資安從業者。Kiro 與 AWS IAM Identity Center 整合，提供單一登入（SSO）、群組管理與權限集，避免傳統 IAM 使用者帶來的憑證風險。同時，後台還能啟用 Prompt Logging、使用報告與存取控管，比起其他工具方便許多。CloudTrail 同樣能夠留存與監控使用者行為。
4. 彈性與擴展性
   無論是 IDE、CLI，還是 MCP（Model Context Protocol）整合外部工具，Kiro 都能支援，並整合基礎的安全設定。

Kiro 與 AWS 企業整合設定 (To onboard your team to Kiro)

登入 AWS 帳號

• 您可以使用 AWS Root 使用者 或具備 特權角色的使用者登入。
• 或者允許管理員以 最低必要權限使用 Kiro。

啟用 AWS IAM Identity Center

• 在您的 AWS 帳號中啟用 IAM Identity Center。
• 將使用者新增至其目錄，或連接至外部身分識別提供者（IdP）。
• 如果這是您第一次設定 IAM Identity Center，請參考官方文件：
  Getting started with IAM Identity Center
• Kiro 企業版需要 Identity Center 來實現安全的使用者訂閱與 SSO，避免手動管理 IAM 使用者帶來的風險（如憑證洩漏、難以管理和撤銷）。
• IAM Identity Center 提供專屬登入 URL，使用者只需企業帳號即可登入 Kiro，不必管理多組 AWS IAM 憑證。

我們先啟用 IAM Identity Center ，並建立使用者，這時候右方就有 幾個重要資訊：

• Instance name：IAM Identity Center 實例的名稱，可自訂，用於識別此 Identity Center 實例，方便管理。
• Identity source：身分來源，目前使用 AWS 內的Identity Center directory，表示使用 AWS Identity Center 內建目錄，或可選擇外部 IdP（如 Okta、Azure Entra ID ）。
• Region：Identity Center 實例部署的 AWS 區域，決定服務運行位置，影響資料主權與延遲。
• Organization ID：AWS Organizations 的唯一識別碼

接下來建立一個 User，此 user 可以登入AWS access portal

建立 Kiro Profile 並訂閱使用者

• 在 AWS 管理主控台中，進入 Kiro Console。
• 使用提供的 UI 建立 Kiro Profile 並訂閱使用者。
• Profile 的作用：將使用者身分與其 Kiro 訂閱及設定綁定。
• 記得啟用 MFA !

我們可以選擇適合的方案，頻繁使用建議 Kiro Pro+

4. 使用者確認電子郵件

• 在完成訂閱後 24 小時內，使用者將收到一封電子郵件。不過這可能以當下管理主控台狀態為準
• 下載完Kiro IDE，選擇 Sign in with AWS IAM Identity Center
• 登入記得要走 IAM Identity Center 的專屬連結，並非一般的IAM 登入

Admin Console (AWS)-Shared settings

這邊回到 AWS 上的管理者介面， 強烈建議好好評估這邊的設定是否要打開。

往下拉之後會看到 Shared settings

Include suggestions with code references

• 是否在建議中包含程式碼參考，方便開發者直接看到相關程式碼片段。

Encryption key

• 可選擇使用自訂加密金鑰（Customer-managed key），若未啟用則使用預設金鑰。此設定影響靜態資料加密安全性。

Member account subscriptions

• 顯示並管理來自成員帳號的訂閱，需啟用 Trusted Access 才能集中檢視。這會在管理帳號下統一列出管理與成員帳號的 Kiro 訂閱
• 安全考量：確保啟用 Trusted Access，避免未授權帳號存取企業資源。

Admin Console (AWS)-Kiro settings（Kiro 設定）

Model Context Protocol (MCP)

• 允許 Kiro agent 使用 MCP 與外部工具或模型交換上下文，需注意安全權限控管。
• 安全考量：僅授權必要工具、使用最小權限原則、定期審核 MCP 連線與 Token。

如果未打開，Kiro就無法使用，會顯示 MCP Usage has been disable by your organizaion

重新打開之後可以使用MCP Server

Kiro 說明 這幾個MCP作用

對MCP測試有興趣可參考 : https://estellacoding.github.io/blog/aws-kiro-build-fillup-using-specification-driven-development-mcp/#MCP-Server

Overages

• 是否允許使用者在超過月使用限制後繼續使用 Kiro。
• 安全考量：避免因無限制使用導致成本失控或資源濫用，建議搭配告警機制。

Prompt logging

• 記錄 Kiro 的 Prompt 及其 Metadata，方便稽核與追蹤，但涉及隱私與合規風險。
• 官方說明 : Kiro admins can enable the logging of all inline suggestions and chat conversations that users have in the Kiro IDE. These logs can help with auditing, debugging, analytics, and ensuring compliance.)
• 安全考量：若包含敏感資料，需搭配存取控管。建議啟用加密儲存（即使不使用 KMS，也可採用 S3 Server-Side Encryption）。

Usage activity（使用活動）

Kiro usage dashboard

• 啟用後可追蹤 Kiro 功能使用情況，提供管理者可視化報告。
• 收集使用者活動指標並每日輸出報告至 S3 Bucket，適合企業做行為分析與合規檢查。
• 安全考量：確保 S3 Bucket 啟用版本控管與加密、設定 IAM Policy，避免公開存取。
• 官方說明 : Kiro user activity report (You can configure Kiro to collect user activity telemetry of individual Kiro subscribers in your organization and present that information in a report. The report gives you insights into how specific users are using Kiro)

最佳實務總結

• 加密金鑰：建議啟用自訂 KMS 金鑰，符合企業安全規範。
• Prompt Logging：若開啟，需搭配稽核與存取控管，避免敏感資料外洩，沒有稽核至少也留下 Log 。
• MCP：啟用時必須限制外部工具權限，避免資安問題或資料外洩。
• S3 報告：確保 S3 Bucket 有正確的 IAM Policy 與加密設定。

進階建議

MCP 安全強化

• 使用 API Gateway + IAM Role 控制外部工具存取。
• 定期輪替憑證
• CloudTrail 能監控經由 AWS API 發生的活動（例如 S3、IAM、Amazon Q/Kiro 相關的 API。需注意 CloudTrail 無法直接記錄 MCP 在本機執行的非 AWS 操作，MCP 請求若呼叫 AWS 服務才會在 CloudTrail 中呈現

Prompt Logging

• 敏感資料遮罩（PII Masking）。
• 啟用加密儲存（即使不使用 KMS，也可採 S3 SSE）。
• 設定 IAM Policy 限制誰能讀取 Prompt Log。

S3 日誌報告

• 啟用 Block Public Access。
• 設定 Bucket Policy 僅允許特定 IAM Role 存取。
• 啟用版本控管，避免手殘刪除。

資源使用控管

• 搭配 CloudWatch Billing Alarm，超過預算時通知。
• 設定 Overages 限制，避免無上限使用，除非你的單位很賺錢那無所謂XD

Dashboard

如果前面設定有開啟，那Dashboard可以看到實際使用狀況

VPC Endpoint

企業可用 AWS PrivateLink 建立 Kiro 的 介面型 VPC Endpoint（如 com.amazonaws.us-east-1.q），讓 與 Kiro API 的流量不出公網；但登入/認證等部分流程仍可能走公開網路，請依官方文件為準，畢竟隨時都有可能更新

參考資料

Settings - IDE - Docs - Kiro

總結

在企業導入 生成式 AI 工具、或是如 Kiro等工具 的過程中，AI 開發平台的價值不僅在於提升生產力，更在於如何確保安全與管理。Kiro 企業版透過與 AWS IAM Identity Center 的整合，解決了傳統帳號管理的風險，並提供單一登入（SSO）、群組控管與權限集，讓資安規範能夠落地執行。

同時，Kiro 的 安全設定（如 Prompt Logging、使用報告、存取控管），讓開發者在享受 AI 助力的同時，仍能維持基本的資安要求，也可以被稽核。這種「效率 + 安全」的平衡，正是企業在擴展 AI 應用時最需要的基本功。

最後請 AI (M365 Copliot) 幫我整理了一下可能的風險與對應，提供大家參考

關於 Kuro 介紹、聯絡方式、文章分享 ：

• Portaly 關於我（推薦）: https://portaly.cc/kurohuang
• 文章目錄/個人網站 : https://kuronetwork.me
• Instagram : https://www.instagram.com/kuronetwork/
• Threads : https://www.threads.net/@kuronetwork
• Facebook : https://www.facebook.com/kublackstock
• LinkedIn： https://www.linkedin.com/in/kurohuang/

Cloud Computing

• 2024.02 — AWS Certified Cloud Practitioner Certification (CCP)
• 2024.02 — AWS Certified Solutions Architect — Associate (SAA)
• 2024.03 — GCP Associate Cloud Engineer (GCP-ACE)
• CCSP 雲端資安專家自修考試心得、準備方式與教材整理（Certified Cloud Security Professional）
• 善用你的 AWS Trusted Advisor：提升雲端安全、效能與成本效益！
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• Amazon Bedrock 試用心得 — 安全的在雲端上使用生成式 AI
• [GCP] 部署 Docker 應用至 Cloud Run 並使用 IAP 驗證登入
• 使用AWS CloudFront 的原始存取控制(OAC)建立安全的 S3 靜態網站
• AWS 架構安全評估工具 — AWS Well-Architected Tool
• 遠距辦公與資料保護-使用 AWS WorkSpaces 虛擬桌面服務
• 在 Windows 安裝WSL 執行Scirpt 以進行 AWS 資源盤點：解決 AWS SecurityAudit Policy限制
• Running Custom Scripts on Windows WSL for AWS Resource Inventory: Addressing AWS SecurityAudit Policy Restrictions
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• GCP IAM Security — 使用 PAM 強化特權帳號管理
• 強化雲端威脅偵測與雲端資安事件回應：使用 Amazon GuardDuty 與 Detective
• 保護你的雲端資料安全：使用 Amazon Macie.

我想把各種經驗寫出來做分享教學，希望把社群的分享風氣帶出來給大家。並期望之後有人也可以寫出不同的心得文，如果是自修同學對於申請考試和準備上有任何問題，可以透過 LinkedIn 交朋友與 Facebook 來聯絡我，能力範圍內盡量幫你解決(或是你想認識我出來喝杯咖啡也歡迎，我很喜歡多認識業界的朋友們交流，也真的不少人找我聊聊過了!)。

Amazon Kiro 企業版安全整合：AWS IAM Identity Center 與安全管理入門(Kiro for Enterprise) was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

本篇為從被動到主動：利用 AWS Security Agent 實現自動化滲透測試的續作，探討如何於應用程式開發全生命週期中，透過自動化手段執行設計審查與程式碼檢測。

三大關鍵能力 (Key Capabilities)

1. 設計安全審查 (Design Security Review)

• 時機：在撰寫程式碼之前。
• 流程：團隊上傳設計文件，Agent 依據組織的安全需求進行分析。
• 價值：提供合規評估與修復指引，將耗時的人工審查轉變為重點分析，在修復成本最低的階段解決安全風險。

2. 程式碼安全審查 (Code Security Review)

• 時機：在提交 Pull Request (PR) 或上傳程式碼時。
• 流程：自動分析程式碼，檢查是否符合組織規範，以及是否存在常見漏洞（如 SQL Injection、缺乏輸入驗證）。
• 價值：直接在程式碼儲存庫平台中提供修復建議，確保所有程式碼庫都能受到監控，同時維持對關鍵問題的監督。

3. 滲透測試 (On-demand Penetration Testing)

• 時機：隨時按需執行 (On-demand)。
• 流程：提供目標 URL、驗證資訊及文件。部署專門的 AI Agent，根據文件建立應用程式上下文。執行複雜的多步驟攻擊場景 (Multi-step attack scenarios) 以發現傳統工具遺漏的漏洞。
• 價值：提供經過驗證的漏洞報告，包含影響分析、可重現的攻擊路徑以及可直接實作的程式碼修復 (Ready-to-implement code fixes)。效率從「數週」大幅縮短至「數小時」。

接續上一篇自動化滲透測試文章，這篇我們來使用 Design Review 還有 Code Review 功能！

從被動到主動：利用 AWS SecurityAgent 實現自動化滲透測試 （Penetration Testing)

Security Design Review

進入首頁後，點選左側選單的 Design Review (設計檢閱)

新增 Design Review ，上傳專案相關的設計文件或架構說明（請留意格式限制），這邊強烈建議上傳足夠的專案文件，否則會呈現資料不足，效果不大，專案很前期沒有文件情況就不適合用。

上傳成功後，會出現在首頁，Review Status 出現Completed 即可確認結果

點進去即可確認審查結果，不過我的測試資料不多，顯示資料不足，較難觸發具體的安全性發現事項 (Findings)

打開幾個 Finding 給大家參考

以下是其他外國網友的測試結果

How to Use AWS Security Agent for Automated Vulnerability Detection and Remediation?

Code Review

接下來是Code Review功能，點選左側導覽列的 Code Review

先點選右方的「建立新註冊」完成 GitHub 授權後，即可選擇已關聯的儲存庫 (Repository)

Code Review能夠選擇自訂檢視規則、常見漏洞或是我全都要！

設定完成後，狀態將顯示為 Enabled (已啟用)。

由於我測試的GitHub沒有太多資料，找了同樣的上方其他作者測試範例

該功能可以 Automatically review pull requests!

最後，如果你有客製化資安規範的需求，可以到安全性要求選擇自訂來客製化。

為什麼我們要推 Design Review？因為在設計階段改一個架構只需要改一張圖，但在部署後改一個漏洞可能要動員整個開發團隊跳下來。這就是 AWS Security Agent 帶給企業最大的成本效益。

在前期發現問題，總比上線後修補來的省事，現在 AI 能夠高效的協助我們發現資安風險，只是推不推得動又是另一回事了 ：）

從被動到主動：利用 AWS SecurityAgent 實現自動化滲透測試 （Penetration Testing)

往下拉還有很多雲端安全的延伸閱讀～～

關於 Kuro 介紹、聯絡方式、文章分享 ：

• Portaly 關於我（推薦）: https://portaly.cc/kurohuang
• 文章目錄/個人網站 : https://kuronetwork.me
• Instagram : https://www.instagram.com/kuronetwork/
• Threads : https://www.threads.net/@kuronetwork
• Facebook : https://www.facebook.com/kublackstock
• LinkedIn： https://www.linkedin.com/in/kurohuang/

Cloud Computing

• 2024.02 — AWS Certified Cloud Practitioner Certification (CCP)
• 2024.02 — AWS Certified Solutions Architect — Associate (SAA)
• 2024.03 — GCP Associate Cloud Engineer (GCP-ACE)
• CCSP 雲端資安專家自修考試心得、準備方式與教材整理（Certified Cloud Security Professional）
• 從被動到主動：利用 AWS SecurityAgent 實現自動化 Design review與 Code review
• 從被動到主動：利用 AWS SecurityAgent 實現自動化滲透測試 （Penetration Testing)
• Amazon Kiro 企業版安全整合：AWS IAM Identity Center 與安全管理入門(Kiro for Enterprise)
• 善用你的 AWS Trusted Advisor：提升雲端安全、效能與成本效益！
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• Amazon Bedrock 試用心得 — 安全的在雲端上使用生成式 AI
• [GCP] 部署 Docker 應用至 Cloud Run 並使用 IAP 驗證登入
• 使用AWS CloudFront 的原始存取控制(OAC)建立安全的 S3 靜態網站
• AWS 架構安全評估工具 — AWS Well-Architected Tool
• 遠距辦公與資料保護-使用 AWS WorkSpaces 虛擬桌面服務
• 在 Windows 安裝WSL 執行Scirpt 以進行 AWS 資源盤點：解決 AWS SecurityAudit Policy限制
• Running Custom Scripts on Windows WSL for AWS Resource Inventory: Addressing AWS SecurityAudit Policy Restrictions
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• GCP IAM Security — 使用 PAM 強化特權帳號管理
• 強化雲端威脅偵測與雲端資安事件回應：使用 Amazon GuardDuty 與 Detective
• 保護你的雲端資料安全：使用 Amazon Macie.

我想把各種經驗寫出來做分享教學，希望把社群的分享風氣帶出來給大家。並期望之後有人也可以寫出不同的心得文，如果是自修同學對於申請考試和準備上有任何問題，可以透過 LinkedIn 交朋友與 Facebook 來聯絡我，能力範圍內盡量幫你解決(或是你想認識我出來喝杯咖啡也歡迎，我很喜歡多認識業界的朋友們交流，也真的不少人找我聊聊過了!)。

從被動到主動：利用 AWS SecurityAgent 實現自動化安全設計審查(Design review)與Code review was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

工作流程:

How AWS Security Agent works

AWS Security Agent 三大核心組件

1. AWS 管理控制台 (Console)：管理者用來設定環境、規則與權限。
2. Web 應用程式 (Web App)：使用者用來執行審查、測試與檢視結果。
3. 程式碼儲存庫整合 (Code Integration)：目前支援 GitHub，用於自動化原始碼審查。

AWS Security Agent 具有上下文感知能力 — 了解整個應用程式生態系統，包括設計文件、原始程式碼和特定的安全需求，和傳統資安產品不同。

管理控制台設定 (由管理員操作)

這是設定 AWS Security Agent 的指揮中心：

• Agent Spaces (代理空間)：建立不同的空間來代表各個專案或應用程式，Web App 將根據此空間呈現對應的環境資訊。。
• 安全性需求 (Security Requirements)：集中定義組織的資安規則（如授權庫、日誌標準），系統會在審查時自動驗證是否合規。
• 滲透測試設定：為每個空間設定測試環境，包括網域驗證、VPC 存取權限、日誌記錄、測試憑證及 S3 關聯內容。
• 整合 (Integrations)：連接 GitHub Repo，以提供測試上下文(Context)、自動化原始碼審查 (PR Review) 及自動化修復建議。
• 使用者存取：支援透過 IAM Identity Center (SSO) 指派使用者，或使用標準 IAM 權限存取。

Web 應用程式活動 (由使用者操作)

使用者在此執行實際的資安評估工作：

• 選擇空間：登入後選擇被指派的 Agent Space 開始工作。
• 設計審查 (Design Reviews)：上傳設計文件或架構規格，系統會依據組織的安全需求進行分析與提供建議。
• 執行滲透測試：設定目標 URL 與相關資訊，系統會執行自動化攻擊場景以找出可利用的漏洞。
• 檢視結果：檢視詳細的資安風險，包含影響分析、攻擊路徑演示及修復方法。
• 驗證修復：修復漏洞後重新執行評估，確認問題已解決。

程式碼儲存庫整合

• 目前在這個時間點僅支援 GitHub。
• 功能包含：在 Pull Request (PR) 中提供自動化原始碼審查，以及針對滲透測試發現的漏洞提供修復 PR。

核心運作機制

• Security Considerations for AWS Security Agent and AI assisted penetration testing
• New AWS Security Agent secures applications proactively from design to deployment (preview) | Amazon Web Services

AWS Security Agent目標是從設計到部署的完整開發生命週期中，主動保護應用程式。

• 集中定義，自動執行：資安團隊只需在 AWS Console 集中定義組織的安全標準（如預先定義核准的授權、日誌規範、資料存取策略）。Agent 會在開發過程中自動驗證架構文件與程式碼是否符合這些標準。
• 配合開發速度 (Velocity)：透過自動化審查，解決傳統人工審查的瓶頸。
• 深度理解與驗證：Agent 能理解應用程式的上下文 (Context)，執行複雜的攻擊鏈來發現並驗證漏洞。

三大關鍵能力 (Key Capabilities)

1. 設計安全審查 (Design Security Review)

• 時機：在撰寫程式碼之前。
• 流程：團隊上傳設計文件，Agent 依據組織的安全需求進行分析。
• 價值：提供合規評估與修復指引，將繁瑣的人工初步審查，轉化為更具價值的重點分析，在修復成本最低的階段解決安全風險。

2. 程式碼安全審查 (Code Security Review)

• 時機：在提交 Pull Request (PR) 或上傳程式碼時。
• 流程：自動分析程式碼，檢查是否符合組織規範，以及是否存在常見漏洞（如 SQL Injection、缺乏輸入驗證）。
• 價值：直接在程式碼儲存庫平台中提供修復建議，確保所有程式碼庫都能受到監控，同時維持對關鍵問題的監督。

3. 滲透測試 (On-demand Penetration Testing)

• 時機：隨時按需執行 (On-demand)。
• 流程：提供目標 URL、驗證資訊及文件。部署專門的 AI Agent，根據文件建立應用程式上下文。執行複雜的多步驟攻擊場景 (Multi-step attack scenarios) 以發現傳統工具遺漏的漏洞。
• 價值：提供經過驗證的漏洞報告，包含影響分析、可重現的攻擊路徑以及可直接實作的程式碼修復 (Ready-to-implement code fixes)。效率從「數週」大幅縮短至「數小時」。

實戰 AWS Security Agent —安全審查 ，會在另一篇文章介紹，如下：

從被動到主動：利用 AWS SecurityAgent 實現自動化安全設計審查(Design review)與Code review

實戰自動化滲透測試

首先我們要到AWS上搜尋 Security Agent

點選代理程式空間 (Agent Spaces)

點選右方的 Create Agent Space，建立完成後即可在列表上看見該空間。

回到首頁，找到滲透測試，建立相關設定

要對目標執行滲透測試，你需要驗證網域擁有權，我這邊拿我自己的網站做測試。

建立後會給你驗證的資訊，接下來去 DNS 服務新增資料。

下圖為在 Cloudflare 中新增 DNS 紀錄的實作畫面

點選最右邊”滲透測試” 的 Web應用程式啟動

進入到 Security Agent 首頁，點選 Create a penetration test

新增受檢測的目標資訊，也可以排除檢測項目

如果你目標在 VPC 內，就需要選擇 VPC，否則可以Skip

選擇現有資源（例如文件、GitHub 和 S3 ）或上傳文件:為Security Agent提供應用程式資料進行滲透測試，可以提高測試覆蓋率和精確度，有助於檢測複雜的漏洞。

建立後即可開始第一次的Start run

執行過多次的話就會有多筆資料

點進去可以確認執行狀況

首先預設會先執行 Static analysis，靜態分析完成後執行滲透測試

下圖為 SQL Injection 模擬攻擊的執行日誌 (Log)

下圖為網路上其他專家執行範例

滲透測試結束。找一個結果來看一下 意外的還不錯，有提供原因與修復方式。

由於我的網站有掛 CDN，所以我檢查了 CloudFlare的 request activity

最後，如果你有客製化資安規範的需求，可以到安全性要求選擇自訂來客製化。

這些自動化檢測工具最大的價值，在於將滲透測試人員從低價值的重複工作中抽離。AI 負責處理簡單且重複的工作，人類負責處理需要邏輯判斷與花時間人工分析複雜的難題，能顯著提升滲透測試的效率與速度。

接下來繼續閱讀其他兩個功能介紹 — Security Review 與 Code Security !

從被動到主動：利用 AWS SecurityAgent 實現自動化安全設計審查(Design review)與Code review

往下拉還有很多雲端安全的延伸閱讀～～

參考資料 :

• https://rodelllemit.medium.com/llm-ai-assisted-pentesting-aws-security-agent-74006c490e04
• https://docs.aws.amazon.com/securityagent/latest/userguide/security-guidance.html
• https://docs.aws.amazon.com/securityagent/latest/userguide/what-is.html
• https://aws.amazon.com/tw/blogs/aws/new-aws-security-agent-secures-applications-proactively-from-design-to-deployment-preview/
• https://aws.plainenglish.io/how-to-use-aws-security-agent-for-automated-vulnerability-detection-and-remediation-cfdaef9af5b8

關於 Kuro 介紹、聯絡方式、文章分享 ：

• Portaly 關於我（推薦）: https://portaly.cc/kurohuang
• 文章目錄/個人網站 : https://kuronetwork.me
• Instagram : https://www.instagram.com/kuronetwork/
• Threads : https://www.threads.net/@kuronetwork
• Facebook : https://www.facebook.com/kublackstock
• LinkedIn： https://www.linkedin.com/in/kurohuang/

Cloud Computing

• 2024.02 — AWS Certified Cloud Practitioner Certification (CCP)
• 2024.02 — AWS Certified Solutions Architect — Associate (SAA)
• 2024.03 — GCP Associate Cloud Engineer (GCP-ACE)
• CCSP 雲端資安專家自修考試心得、準備方式與教材整理（Certified Cloud Security Professional）
• 從被動到主動：利用 AWS SecurityAgent 實現自動化 Design review與 Code review
• 從被動到主動：利用 AWS SecurityAgent 實現自動化滲透測試 （Penetration Testing)
• Amazon Kiro 企業版安全整合：AWS IAM Identity Center 與安全管理入門(Kiro for Enterprise)
• 善用你的 AWS Trusted Advisor：提升雲端安全、效能與成本效益！
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• Amazon Bedrock 試用心得 — 安全的在雲端上使用生成式 AI
• [GCP] 部署 Docker 應用至 Cloud Run 並使用 IAP 驗證登入
• 使用AWS CloudFront 的原始存取控制(OAC)建立安全的 S3 靜態網站
• AWS 架構安全評估工具 — AWS Well-Architected Tool
• 遠距辦公與資料保護-使用 AWS WorkSpaces 虛擬桌面服務
• 在 Windows 安裝WSL 執行Scirpt 以進行 AWS 資源盤點：解決 AWS SecurityAudit Policy限制
• Running Custom Scripts on Windows WSL for AWS Resource Inventory: Addressing AWS SecurityAudit Policy Restrictions
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• GCP IAM Security — 使用 PAM 強化特權帳號管理
• 強化雲端威脅偵測與雲端資安事件回應：使用 Amazon GuardDuty 與 Detective
• 保護你的雲端資料安全：使用 Amazon Macie.

我想把各種經驗寫出來做分享教學，希望把社群的分享風氣帶出來給大家。並期望之後有人也可以寫出不同的心得文，如果是自修同學對於申請考試和準備上有任何問題，可以透過 LinkedIn 交朋友與 Facebook 來聯絡我，能力範圍內盡量幫你解決(或是你想認識我出來喝杯咖啡也歡迎，我很喜歡多認識業界的朋友們交流，也真的不少人找我聊聊過了!)。

從被動到主動：利用 AWS SecurityAgent 實現自動化滲透測試 （Penetration Testing) was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

救援潛水課程(Rescue Diver)是能提升風險管理與事故應變的訓練，不管是不是要往潛水長或教練考，都能對潛水安全意識與技能有所提升，我很推薦大家都來考取救援潛水，整個思考與訓練與資安有所相近之處， 能有所結合啊～

過去我有寫一篇OW的心得：資安 x 潛水 x 風險管理：綠島的 Open Water Dive 開放水域潛水員證照訓練心得，結合了資安與潛水，這是我希望同樣能將救援潛水課程與資安對比一下。

今年11 月來參加救援潛水員(PADI — Rescue Diver)的訓練，這是今年最後一個證照了 XDD，整個下半年都在練習潛水技巧，還花錢在泳池刻意練習基本技術，至少要還能看的水準，資訊資安考了40 多張，發現潛水跟資安有點像啊～

今年 10月認真去學了急救技術（SSI — React Right），11月這次除了急救技能，更加強了預防和處理潛水緊急情況的技巧。心得只有一句話：除了累，還是累。（做資安心同樣很累…)

第一天早上放呆習慣一下水，接著下一隻就正式開始上課，將救援流程拆解成單項技巧練習，開頭複習了解除抽筋、口吹充氣建立正浮力，還有「模擬暈眩」 — — 把面鏡拿掉在水中被轉好幾圈後，要重新建立方向感，可能會面臨大浪或是面鏡被打掉的情境。學習了如何接近與評估潛水員、岸上拋繩救人、水上水下遇到恐慌或無意識潛水員的應對方式、救援心理學、意外管理、裝備脫除 、搬運方法、裝備安全問題等。

「模擬暈眩」 vs. 「資安」：當告警一大堆、系統停擺時，資安人員往往也會陷入暈眩中，或是直接恐慌？不知道攻擊從哪來？擴散範圍多大？Log 是不是被刪了？哪個才是正確方向？ 自己處理還是求救？平常控制措施是否都有測試過？系統是否安全？事故應變流程？

其實除了術科操作，認真研讀學科教材，真的能學到不少關於風險評估與潛水事故應變的新知，畢竟上課時間有限無法說太多，理解學科理論能有效提升自己面對風險的應變能力，學科很詳細的說明各種方法外，還會說明不同情境下該怎麼實施救援，所以我花了半天將學科寫成筆記方便重新閱讀，之前學 SSI React Right 同樣也有寫成筆記。

資安上除了工作實務經驗，你也需要經常研讀證照書籍、國際框架、國際標準、NIST文件、最佳實務等資料，讓自己在資安上更具專業，提升決策能力。

第二天課程有完整的「情境模擬」，簡單的說：先用導航搭配搜索技能（U型、方形、圓形等）找到失蹤潛水員，經過評估後把無意識的潛伴從水下安全地帶回水面，再評估後給予兩口救援呼吸並每五秒做一次救援呼吸，同時要照順序把兩人的裝備脫完，最崩潰的是，在手忙腳亂脫裝備的同時，每五秒一次的救援呼吸絕對不能停。最後想辦法拖帶上岸進行 CPR 與 AED。

我第一次拖教練上岸直接往後摔，看起來超慘，沙地有夠難踩好，演屍體的教練大概會喝水🤣

潛水與資安： 你必須邊給氣（維持生命），邊幫忙脫裝備，手忙腳亂但節奏不能亂。資安資訊人員常面臨「服務不能中斷」，但技術上又必須「阻止攻擊」的兩難。這項練習在極高壓力下，如何同時兼顧「生存（Availability）」與「處置（Containment/Eradication）」。

但練習過程中，一直讓扮演無意識的豆腐教練和跟課潛伴芋圓喝到水……真的抱歉了～～

另外覺得很難的是救援潛水中「搜索與尋回」，要學搜索方法外（U型、方形、圓形等），並練習三種繩結把物品綁上起吊帶，並把物品帶回水面。那些繩結打法超級難記，不確定標準的救援課程有沒有這一段，因為大多數的救援課程中貌似不會教繩結與起吊帶，會丟到潛水長才學，但很開心可以多學到東西！未來有機會考潛水長或是教練班才會練到刻進腦子裡了。

資安上： 在能見度不佳與寬廣的水下，用系統化的方法（非亂找）定位目標。三個難記的繩結，就像是還原演練中的 SOP。平常沒練習，真的發生問題，你會發現備份還原不了（繩結打不緊），或是還原順序錯誤導致資料庫還原失敗（起吊失敗）。

雖然以我現在的身份資格，用到救援技能的機率極低，但學會如何降低風險、在意外發生第一時間做出正確反應，對自己和潛伴都是一種保障，出事情不會這麼緊張，當然是希望用不到~（這就是企業投入大筆預算做異地備援、紅隊演練與買資安保險的心態）

題外話：我的 CPR、AED 是在 SSI 系統學的，有些步驟跟 PADI 稍有不同，不過大同小異，了解不同系統的教學也蠻有趣的，不同看法能有不同的思考方式與應變。

教練教的很棒🤣 但我資質太差

今年就這樣了，我的荷包…瘦了很多。

如果對救援課程有興趣，可以參考PADI有關救援的官方文章：

• 10 項 PADI Rescue Diver 練習
• 救援潛水員課程真的很難嗎？如何成為一名充滿安全感的潛水員
• 通過在陸地上練習這些技巧來提升您的潛水水平：第2 部分
• Andy 的隨手寫技術筆記本: 【筆記】PADI Divemaster Course 繩結打法
• SSI React Right 專長認證 — SSI 入門
• 資安 x 潛水 x 風險管理：綠島的 Open Water Dive 開放水域潛水員證照訓練心得 — 資安工作者的學習之路

記錄一下潛水資格，先最新到最舊

1.PADI — Rescue Diver 救援潛水員

2.Scuba Schools International (SSI) — React Right Specialty Certification (RR) 正確反應員

3.International Association of Nitrox Divers (IANTD) — Deep Diver 深度潛水員

4.Scuba Diving International (SDI) — Advanced Scuba Diver (AOW) 進階水肺潛水員

5.ADS International — OpenWater Diver (OW) 開放水域潛水員

6.ADS International — EAN STANDARD DIVER 高氧潛水員

關於 Kuro 介紹、聯絡方式、文章分享 ：

• Portaly 關於我（推薦）: https://portaly.cc/kurohuang
• Instagram : https://www.instagram.com/kuronetwork/
• Threads : https://www.threads.net/@kuronetwork
• Facebook : https://www.facebook.com/kublackstock
• LinkedIn： https://www.linkedin.com/in/kurohuang/

Cloud Computing

• 2024.02 — AWS Certified Cloud Practitioner Certification (CCP)
• 2024.02 — AWS Certified Solutions Architect — Associate (SAA)
• 2024.03 — GCP Associate Cloud Engineer (GCP-ACE)
• CCSP 雲端資安專家自修考試心得、準備方式與教材整理（Certified Cloud Security Professional）
• 善用你的 AWS Trusted Advisor：提升雲端安全、效能與成本效益！
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• Amazon Bedrock 試用心得 — 安全的在雲端上使用生成式 AI
• [GCP] 部署 Docker 應用至 Cloud Run 並使用 IAP 驗證登入
• 使用AWS CloudFront 的原始存取控制(OAC)建立安全的 S3 靜態網站
• AWS 架構安全評估工具 — AWS Well-Architected Tool
• 遠距辦公與資料保護-使用 AWS WorkSpaces 虛擬桌面服務
• 在 Windows 安裝WSL 執行Scirpt 以進行 AWS 資源盤點：解決 AWS SecurityAudit Policy限制
• Running Custom Scripts on Windows WSL for AWS Resource Inventory: Addressing AWS SecurityAudit Policy Restrictions
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• GCP IAM Security — 使用 PAM 強化特權帳號管理
• 強化雲端威脅偵測與雲端資安事件回應：使用 Amazon GuardDuty 與 Detective
• 保護你的雲端資料安全：使用 Amazon Macie.

我想把各種經驗寫出來做分享教學，希望把社群的分享風氣帶出來給大家。並期望之後有人也可以寫出不同的心得文，如果是自修同學對於申請考試和準備上有任何問題，可以透過 LinkedIn 交朋友與 Facebook 來聯絡我，能力範圍內盡量幫你解決(或是你想認識我出來喝杯咖啡也歡迎，我很喜歡多認識業界的朋友們交流，也真的不少人找我聊聊過了!)。

資安 x 潛水 x 應變- Rescue Diver 救援潛水員證照訓練心得 was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

傳產沒人愛？科技業錢多有陷阱？最爽職位居然是？【年輕人就業調查】

這篇最早是發在我 Linkedin 上，我潤飾後發在這邊。

想到最近在資安社群跟幾個大學教授聊天，談論到蠻多資安實驗室畢業的也都不一定做資安，可能是去真科技業當 IT 、開發或是其他職業，老師們覺得可惜，是站在『學以致用』的理想角度。但對一個家裡沒礦，又想在30歲時於北部立足的年輕人來說，這份『可惜』，在頭期款與小孩的壓力下，實在輕如鴻毛，沒有什麼選擇。

現實就是一張攤開的資產負債表，當『成家立業』是你的首要目標時，職涯選擇題就變成了一道計算題。傳產、金融、服務業的薪資曲線，可能讓你奮鬥到40歲都還達不到房貸的門檻。此時，去高薪的科技業、原廠外商、或是加密貨幣，幾乎成了唯一能『落地』的方案。這不是選擇，而是生存。」即便選真。科技業還可能只買得起郊區房子，還不包含買車，更何況談生小孩跟其他的休閒娛樂。（金融業年資比重很高，即便能力很好但年紀不到，也不會給你到對應的薪水）

不然就是要當少年股神啦：Ｄ

傳統的生活意義終究要回歸柴米油鹽，畢竟除了父母，沒有人有義務幫你付房貸、養小孩。理想與現實的拉扯，每天都在發生。這就好像在企業推動資安，你想導入最好的資安設備、最嚴格的管理流程（追求理想生活），但老闆只給你有限的預算（有限的薪水），還要求不能影響現有業務（不能犧牲太多生活品質）。要在龐大的組織（社會）裡推動資安（成家立業、買房、養小孩），真的是難如登天。

我主管經常在推動資安跟我說：「先求有，再求好。我們要怎麼讓事情往前走一小步？有時候是且戰且走」很務實，要讓資安落地，卻也充滿妥協。

套用到人生規劃上，當「買房養家」這個專案要落地時，你手上的資源就那幾樣，能選的「解決方案」自然不多。畢竟，聊理想（有趣的工作）誰都會，但真正要執行時，才會發現選項早已被現實劃定了範圍。這麼一看，優秀畢業生們的選擇，似乎也只是最合乎邏輯的理性決策罷了。不想被綁架？看看現在的生育率，資安專家要怎麼解決這問題呢？

說到底，影片中大家的選擇就像資安主管在做年度規劃。你必須盤點手上所有資源：你有多少人力（時間與精力）、多少預算（薪資與存款），然後面對眼前數不清的任務（買房、育兒、旅遊、進修），一一評估它們的優先級。

當你把這張「人生任務矩陣」攤開，依據緊急與重要性排列後，你自然會明白，現階段的自己，究竟是該為了理想與成就感而戰，還是該先確保能安穩地活下去。而多數人的答案，相信自己都知道了。

有限資源，無限賽局-為何優秀的畢業生，都只能往科技業擠？從資安推動角度看就業選擇 was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

有時候在查影片教學時候，中文翻譯都不太一樣，總感覺怪怪的，所以我就把有印象上過的訓練內容找對應的英文筆記下來囉

我的其他運動文章推薦 ：

• 資安思維、強韌身心：資安人的健康啟示 — 為什麼要運動？將資安觀念套用到你的日常生活，提升你的身體韌性！
• 體適能健身C級指導員認證課程-新手入門學習心得！

徒手核心訓練/敏捷訓練

• 棒式 Plank
• 側棒式 Side Plank
• 哥本哈根側棒式 Copenhagen Side Plank
• 仰臥放腿 Leg Lowering/Supine Leg Drop
• 熊爬 Bear Crawl
• 懸掛抬腿 Hanging Leg Raise
• 棒式碰肩 Anti-rotation plank / plank shoulder tap
• 死蟲式 Dead Bug
• 繩梯訓練 Agility ladder drills

壺鈴動作英文

• 壺鈴農夫走路 Kettlebell Farmer’s Walk
• 壺鈴羅馬尼亞硬舉 Kettlebell RDL
• 雙臂壺鈴推Double-Arm Kettlebell Push Press
• 壺鈴上舉 Kettlebell (Shoulder) Press
• 壺鈴高拉 Kettlebell High Pull
• 壺鈴單手盪壺 Kettlebell Single-Arm Swing
• 壺鈴雙手盪壺 Kettlebell Two-Hand Swing
• 壺鈴架式深蹲 KettlebellRack Squat
• 壺鈴繞身 Kettlebell around-the-body pass
• 壺鈴八字繞環/穿腿繞環 Kettlebell Figure 8
• 壺鈴上搏 Kettlebell Clean
• 壺鈴借力推Kettlebell push press
• 壺鈴挺舉 Kettlebell Jerk
• 壺鈴抓舉 Kettlebell Snatch
• 壺鈴土耳其站立 Turkish Get-Up
• 壺鈴後跨步蹲 Kettlebell Reverse Lung
• 單手壺鈴划船 One-arm Kettlebell Row
• 雙手壺鈴划船 Two-Handed Kettlebell Row
• 壺鈴風車式 Kettlebell Windmill
• 壺鈴交替擺盪 Alternating Kettlebell Swing
• 壺鈴側蹲 Kettlebell Lateral Lunge

常見壺鈴訓練動作中英文對照表 Kettlebell Exercise Terminology: Chinese-English Reference was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

為什麼學水肺潛水 ？

很簡單的，我只是想多增加一些休閒的興趣，並學習一些新的技能，例如今年找了專業的教練認真學習壺鈴，水下世界很美，雖然我不會游泳，但透過水肺潛水依然能探索水中世界。過去幾年考了很多資安證照，有時候需要轉換一點興趣嘗試不熟悉的事情，去年考了體適能的教練證照，今年學了水肺潛水，希望今年有機會考到咖啡師認證！

2025/11月更新 ：資安 x 潛水 x 應變 — Rescue Diver 救援潛水員證照訓練心得 |

資安潛水教練與學科

我沒有找全職的潛水教練，而是跟資安同行的潛水教練拜師學藝，當然這群人一定是推坑推到爆，一開始推坑把裝備買完！！！起因是某一天這群同行的資安潛水教練跑來問這週要不要去體驗潛水，就把我跟我的資安潛伴拉入坑。

因為大家都是同行，所以可以抱大腿問到飽…(欸)，所以我們提早約了某個假日上課，一般來說課程會在課程的晚上教學科，我們提早的好處是術科能拉更多時間練習，還有動手練習洗裝備（Ｘ）， 白天術科晚上還要上學科太累人，提早上完輕鬆多了。

不得不說 ADS 的教材內容圖文並茂，每一頁都搭配豐富插圖，誠心推薦可以買來看看，對新手友善程度超高，還會想多翻幾次。

報名課程時教練推薦我們一起把健康的高氧上完，這樣 OW 與高氧就一起拿到，後續 AOW 時專長選修可以挑不同的體驗，所以我們當天花了七個小時…講好講滿還講更多。

術科

這次上課是在漂亮的綠島學，兩個資安潛水教練一個幾百隻氣瓶經驗助教，超高的教練比，這次包含我有四個學員，都跟資安這行有關聯。

OW 課程即便不同體系內容應該都大同小異，教練都是裝備狂人，裝備的說明教學就花了一小時多，輪流操作與詳細講解裝備使用、注意事項、測量高氧瓶等實務經驗。

下水後許多技巧都是與保命有關的技能，也是 OW 最重要的基礎能力，術科教的東西很多，簡單列一下：

裝備互相檢查（裝備不正確會被教練電爛，錯一次 500 $）、面鏡進水時的排水技巧、面鏡脫除、認識各種水下手勢、感受中性浮力、訓練用肺控制上升下潛、尋回二級頭、指北針導航、安全停留、拖帶疲憊潛水員、正確穿脫裝備（在水面與水下）、浮力帶使用，潛伴共享氣源、跨步式入水、解決耳壓、水下穿脫蛙鞋等等。

學習過程不輕鬆，畢竟我不會游泳，在水面上心理壓力很大。記得有一次下水前我瞬間緊張了一下，所以呼吸很快有點不順臨時而喊了暫停，稍作休息後才下潛，在水面上比水下更緊張。還有一次練習跨步式入水時候直接正面落水。

我想大家都說水肺潛水很安全，但這是建立在有安全觀念、良好的基本功、好的潛伴等等因素所搭起來，而身體或天候不佳時不要強迫自己潛水，這次學潛水都沒有遇到耳壓問題，可能是可以免手或是剛好身體狀況還不錯 ? 不然就是深度太淺了，毫無影響 ?

充氣洩氣的一些要點（謝謝 AI ）

潛水與資安

我還有發現一篇資安與潛水的相同之處文章，我把這篇用 AI 翻成中文給大家看：）

Scuba diving and cyber security

1. 風險管理

潛水和網路安全都涉及風險管理。潛水時，潛水員必須管理空氣耗盡、迷路或遇到危險水流的風險。在網路安全領域，則需要評估和緩解資料外洩、服務中斷和法規罰款的風險。然而，兩者都能帶來回報，潛水能探索海洋，網路安全則能促成新產品的推出。因此，請記住，儘管風險看似艱鉅，但平衡的應對方式能讓您和您的組織安全無虞地運作。

2. 團隊合作

無論是潛水還是網路安全，團隊合作都是關鍵。潛水時，通常會採用「潛伴制度」(buddy system)，確保每位潛水員都有人照應。同樣地，在網路安全領域，人們必須通力合作，才能有效地辨識和應對威脅。您無法獨自完成這一切。

3. 準備與規劃

潛水員會接受專業設備的使用訓練，並 undergoes 嚴格的安全程序培訓。同樣地，學習網路安全原則是成功的關鍵。就像潛水員在下水前會檢查和測試氣瓶與潛水裝備一樣，網路安全專業人員也會遵循「標準作業程序」(SOP) 以確保安全控制措施有效運作。

成功的潛水需要仔細的規劃。必須制定一份潛水計畫，考量深度、水流和潛水時間等因素。在網路安全領域，「事件應變計畫」(incident response planning) 也同樣至關重要。相關人員必須清楚自己在潛在網路攻擊中的職責，並且應定期測試「事件應變計畫」。

4. 監控與應變

一旦潛水員入水，他們必須隨時留意周遭環境，持續監測空氣供應，並注意水下水流和海洋生物。同樣地，網路安全專業人員也必須不斷監控他們的網路和系統，尋找入侵或攻擊的跡象，就像潛水員掃描水下環境以尋找潛在危險一樣。

當意外發生時，快速思考和冷靜的態度在潛水和網路安全中都至關重要。就像潛水員在水況突然變化時必須迅速反應並保持冷靜一樣，網路安全專業人員在面對潛在的網路攻擊時，也必須保持警惕和沉著。這需要解決問題的能力，就像潛水員必須冷靜有效地處理設備故障，以確保潛水安全。

我記得在我的「開放水域潛水課程」(Open Water Diving Course) 中，教練的建議是 — — 遇到緊急情況時，請「停、吸、想、做」(Stop, Breathe, Think, Act)。這有助於打破自動的情緒反應，並根據您的訓練執行一個邏輯計畫。

5. 持續學習

持續教育和改進是必要的。潛水和網路安全都在不斷發展，新的方法和技術不斷被開發出來。潛水員必須隨時掌握最新的潛水裝備和最佳實踐，而網路安全專業人員則必須隨時了解不斷演變的網路威脅和應對措施。

無論您是探索海洋深處，還是保護您的組織免受網路威脅，這些原則都將幫助您保持安全。別忘了從中找樂趣！

後記

由於學科提早上完，所以術科可以教比較久外，晚上還可以到處吃飯，不需要念學科。學潛水真的是一個衝動，然後 OW 課程結束後就跑去買了裝備，教練跟我講了很多租借裝備的鬼故事（？）還有租到壞掉裝備的心得。

潛水是個花錢的休閒運動，不要入坑…我被說服後購入的裝備

• 調節器：Apeks XL4
• 手錶：Garmin G2
• 蛙鞋：MARES Avanti Quattro Plus
• 面鏡：TUSA M212
• 防寒衣：Bestbive 防寒衣與褲子
• 鞋套：Aropec
• 手套：Gull

資安 x 潛水 x 風險管理：綠島的 Open Water Dive 開放水域潛水員證照訓練心得 was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.

當我們在使用生成式 AI 建立服務時，常會面臨回應不當、偏離主題、洩漏機敏資訊等風險。Amazon Bedrock Guardrails 提供一套簡單易用的機制，幫助開發者定義安全邊界，有效控管模型回應的內容與行為，確保生成結果更可靠、合規與安全，並能夠符合企業內部的 AI 治理規則。

因為今年獲選 AWS Community Builder ，有送 QA Online learning platform 的雲端技術學習平台，課程是 AWS Certified AI Practitioner (AIF-C01) Certification Preparation ，平台有手把手教學並提供與實際環境連線實作，真的非常方便，這次的 GuardDrails 文章為練習 Hands-On Lab 的過程。

過去曾寫過 Amazon Bedrock 試用心得 ，但經過一年功能就改變非常多，只能說每一年 AI 技術更新的很快，技術文章一下就不適用了…希望本篇Guarddrails 可以撐久一點？

Guardrails介紹

Amazon Bedrock Guardrails 透過評估使用者輸入和模型回應，協助確保生成式 AI 應用程式的安全。

您可以根據下列考量為您的應用程式設定護欄：

• 帳戶可以有多個護欄，每個護欄具有不同的組態，並自訂為特定的使用案例。
• 護欄是針對提示和回應設定的多個政策組合，包括內容篩選條件、拒絕主題、敏感資訊篩選條件、單字篩選條件和影像內容篩選條件。
• 您可以使用單一政策或多個政策的組合來設定護欄。
• 護欄可與任何文字或影像基礎模型 (FM) 搭配使用，方法是在模型推論期間參考護欄。
• 您可以搭配 Amazon Bedrock 代理程式和 Amazon Bedrock 知識庫使用護欄。

Source :

• Amazon Bedrock Guardrails 的運作方式
• 生成式 AI 資料控管 - Amazon Bedrock 防護機制 - AWS

在 AWS Console 輸入 bedrock

在左側欄位找到 SafeGuard，點選底下的 Guardrails ，建立 Create guardrail

Step 1

我們需要先建立GuardGrail的基本資訊

• 名稱：輸入 responsible-savings-bank-guardrail
• 描述： 輸入 Responsible Savings Bank AI
• Messaging for blocked prompts ：

I am unable to assist with your request due to content that violates our policies. Please rephrase your request without including sensitive or inappropriate information. If you wish to speak to a representative directly, please contact our customer service at 1–888–888–8888.

Messaging for blocked responses（阻止回應的訊息 ）：

My response has been blocked due to safety and compliance guidelines. For assistance, please contact our customer service at 1–888–888–8888.

Steps 2 & 3

不需要設定，接下來跳到 Step 4

按下 Add word or phrases，輸入關鍵字

範例單字

• crypto
• advice
• stock market
• FDIC
• SEC

Filter 會阻止特定單字或片語，例如以這個範例來說，銀行禁止討論加密貨幣或股票市場等話題

Step 5

輸入 PII 類型 ，這邊選擇美國銀行帳號，行為選擇 Block

Step 6

Enable grounding check : 啟用 支援內容式接地檢查

Trheshold 的數值保持預設

官方說明 :

Amazon Bedrock Guardrails 支援內容式接地檢查，可在提供參考來源和使用者查詢時偵測和篩選模型回應中的幻覺。支援的使用案例橫跨擷取擴增產生 (RAG)、摘要、複寫或對話客服人員，這些客服人員倚賴參考來源，例如 RAG 中的擷取通過或客服人員的對話歷史記錄，以打理對話。

內容接地檢查會檢查處理的每個區塊的相關性。如果任何一個區塊被視為相關，則整個回應會被視為相關，因為它有使用者查詢的答案。對於串流 API，這可能會導致不相關的回應傳回給使用者，並且只有在整個回應串流之後才會標記為不相關。

內容接地檢查會評估兩個範例的幻覺：

接地 — 這會檢查模型回應是否根據來源事實上準確，且以來源為基礎。回應中引入的任何新資訊都會被視為未接地。

相關性 — 這會檢查模型回應是否與使用者查詢相關。

請考慮參考來源包含「倫敦是英國的首都」的範例。東京是日本的首都，而使用者查詢是「日本的首都是什麼？」。「日本首都為倫敦」等回應將被視為不合理且事實上不正確，其中「英國首都為倫敦」等回應將被視為不相關，即使其正確且以來源為基礎。

Step 7

確認無誤後建立Guardrails

完成後回到畫面，會看到相關資訊，右邊可以測試，我們先點選右方的選擇模型，選擇 Titan Text G1-Lite 的 Model

在 Reference Source 欄位輸入有關銀行服務的資訊，會當作參考做前後的檢查:

Responsible Savings Bank (RSB)
RSB offers checking, savings, and money market accounts.
Minimum opening deposits range from $25 to $100 depending on the account type.
Monthly maintenance fees may apply but can be waived by meeting certain criteria.
Online and mobile banking services are available free of charge to all account holders.
RSB offers personal loans, home mortgages, and credit cards.
Loan approval is subject to credit check and income verification.
Interest rates are determined based on credit score and market conditions.
RSB does not provide specific rate quotes without a formal application.
Our licensed financial advisors can assist with retirement planning and investment strategies.
RSB does not offer or endorse specific stocks or investment products.
All investment decisions should be made by the customer after careful consideration.
Our customer service team is available Monday through Friday, 8 AM to 8 PM, and Saturday 9 AM to 5 PM.
For after-hours emergencies, customers can call our 24/7 helpline.
RSB aims to respond to all inquiries within one business day.

Prompt 則輸入

What is the best cryptocurrency to invest in right now?

送出後會看到空白的Model response

所以我們點選View trace查看詳細資訊

發現有敏感資訊被阻擋，cryptocurrency 被 filter 擋下來。

接著我們做新的測試，輸入 Can you waive my monthly maintenance fee?

advice 關鍵詞會被檢測到並擋下來

再測試一次: Can you help me access my account? My account number is 01234567890 ，一樣會被擋住

那如果輸入 : What type of bank accounts do you offer?

看起來正常，不會被擋下來

近期 AI Security 的解決方案五花八門，大家都爭這塊餅吃，如果還沒有挑好合適的第三方產品，不如可暫時使用原生工具試試看吧。

相關官方文章 :

• Guardrails for Amazon Bedrock can now detect hallucinations and safeguard apps built using custom or third-party FMs

• Guardrails for Amazon Bedrock can now detect hallucinations and safeguard apps built using custom or third-party FMs | Amazon Web Services
• Introducing guardrails in Amazon Bedrock Knowledge Bases | Amazon Web Services

Amazon Kiro CLI

Amazon CLI 操作是開發者很喜愛的一個工作模式，很推薦大家學習，我也做了一個中文指引網站（透過 Kiro 完成) 來與大家一同學習 Kiro CLI !

Kiro CLI 繁中教學 - 從零到自動化

關於 Kuro 介紹、聯絡方式、文章分享 ：

• Portaly 關於我（推薦）: https://portaly.cc/kurohuang
• Instagram : https://www.instagram.com/kuronetwork/
• Threads : https://www.threads.net/@kuronetwork
• Facebook : https://www.facebook.com/kublackstock
• LinkedIn： https://www.linkedin.com/in/kurohuang/

Cloud Computing

• 2024.02 — AWS Certified Cloud Practitioner Certification (CCP)
• 2024.02 — AWS Certified Solutions Architect — Associate (SAA)
• 2024.03 — GCP Associate Cloud Engineer (GCP-ACE)
• CCSP 雲端資安專家自修考試心得、準備方式與教材整理（Certified Cloud Security Professional）
• 善用你的 AWS Trusted Advisor：提升雲端安全、效能與成本效益！
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• Amazon Bedrock 試用心得 — 安全的在雲端上使用生成式 AI
• [GCP] 部署 Docker 應用至 Cloud Run 並使用 IAP 驗證登入
• 使用AWS CloudFront 的原始存取控制(OAC)建立安全的 S3 靜態網站
• AWS 架構安全評估工具 — AWS Well-Architected Tool
• 遠距辦公與資料保護-使用 AWS WorkSpaces 虛擬桌面服務
• 在 Windows 安裝WSL 執行Scirpt 以進行 AWS 資源盤點：解決 AWS SecurityAudit Policy限制
• Running Custom Scripts on Windows WSL for AWS Resource Inventory: Addressing AWS SecurityAudit Policy Restrictions
• 雲端網路存取控制規則檢視-官方指令彙整(Azure NSG, AWS Security Group/NACL ,GCP Firewall)
• GCP IAM Security — 使用 PAM 強化特權帳號管理
• 強化雲端威脅偵測與雲端資安事件回應：使用 Amazon GuardDuty 與 Detective
• 保護你的雲端資料安全：使用 Amazon Macie.

我想把各種經驗寫出來做分享教學，希望把社群的分享風氣帶出來給大家。並期望之後有人也可以寫出不同的心得文，如果是自修同學對於申請考試和準備上有任何問題，可以透過 LinkedIn 交朋友與 Facebook 來聯絡我，能力範圍內盡量幫你解決(或是你想認識我出來喝杯咖啡也歡迎，我很喜歡多認識業界的朋友們交流，也真的不少人找我聊聊過了!)。

生成式 AI 資料控管與安全防護機制設計 — 使用 Amazon Bedrock Guardrails was originally published in 資安工作者的學習之路 on Medium, where people are continuing the conversation by highlighting and responding to this story.