從底層網路訊號觀察台灣通訊韌性：一個尚待驗證的民防監測構想
能否辨識灰色地帶行動升高的前哨徵候？
摘要
現代民防的討論，通常集中於避難、物資準備、通訊備援與戰時應變。這些工作多半在危機已進入公共可見階段後啟動，例如政府發布警報、媒體開始報導，或軍事行動已能明確辨識。
台灣目前面對的安全環境，並不是由和平突然跳到戰爭的二元狀態。網路攻擊、認知作戰、通訊干擾、軍事演習，以及其他灰色地帶行動早已持續發生。第一個敵意訊號其實早就出現了。現在值得研究的，是這些長期存在的行動何時開始改變強度、目標、協調方式與實際影響。
本文提出一項尚待驗證的假說：中國對台灰色地帶行動若逐步朝封鎖或正式武力衝突升高，部分變化可能先在網路路由、國際連線、海底電纜、DNS、電信服務、身分驗證及其他數位基礎設施留下可觀測的徵候。
單一異常無法證明局勢正在升高。若能建立長期正常基準，持續比較不同政治事件、軍事演習與既有網路攻擊期間的技術狀態，再觀察多個彼此獨立的領域是否同步偏離常態，民間或許能建立有限但具有價值的數位態勢感知能力。
這套構想可以在現有灰色地帶環境中逐步接受檢驗。它能否在真正的封鎖或戰爭發生前提供額外準備時間，目前仍沒有答案。這是一項尚待證明，也不希望有機會完成最終驗證的延伸假說。
一、台灣面對的並非單純和平狀態
對一般民眾而言，戰爭往往從公共警報、新聞快訊、軍事畫面或政府宣布開始。
準備軍事行動的一方，通常早在更前面的階段展開相關作業。大規模軍事行動需要情報更新、通訊規劃、後勤部署、電子作戰、網路作戰與關鍵目標確認。外界尚未看見正式武力行動時，相關單位可能已進入不同程度的準備狀態。
台灣目前也不是處於完全沒有敵意行動的環境。網路攻擊、認知作戰、軍機與軍艦活動、海警施壓，以及其他低於正式戰爭門檻的行動，已成為長期存在的背景。
研究工作必須從這個現實出發。等待「第一個攻擊」並沒有意義，因為攻擊早已持續發生。真正需要建立的是長期觀測能力，用來辨識既有壓力是否正在改變：
- 攻擊頻率是否顯著升高？
- 攻擊目標是否由象徵性網站轉向關鍵基礎設施？
- 原本分散的事件是否開始在時間上互相配合？
- 干擾是否由短暫展示轉為實際服務降級？
- 備援與復原能力是否也開始受到影響？
這些攻擊型態與行為模式的變化，可能比單純增加事件數量更具有戰略意義。
二、研究目標：辨識灰色地帶行動的行為模式變化
若將所有觀測資料壓縮成一個「攻台機率」，模型很容易製造超出證據能力的精確感。
台海缺乏足夠的戰爭歷史樣本，無法利用大量重複事件校準預測結果。政治決策、軍事命令、外交協商與內部情報，也無法由民間直接觀察。
本文不試圖預測戰爭何時發生。研究範圍限於幾個可以逐步檢驗的問題：
- 台灣的數位通訊環境是否明顯偏離長期基準？
- 已知軍事演習、外交事件或政治活動期間，底層技術訊號是否出現一致變化？
- 攻擊目標是否由一般網站轉向電信、金融、交通、身分驗證與其他關鍵服務？
- 多個彼此獨立的技術領域，是否在相近時間同步出現異常？
- 技術異常是否已開始造成實際服務影響？
- 主要系統恢復後，備援與復原能力是否仍然受阻？
這些問題聚焦於灰色地帶行動的行為模式如何改變，以及台灣的數位韌性是否正在下降。底層網路異常只能作為觀測材料，不能直接解讀為戰爭徵候。
系統可以長期記錄日常狀態，並比較一般時期、小型軍事演習、大型環台軍事演習、重大政治事件與已知資安攻擊期間的差異。這些現實事件已能提供初步驗證材料，不必等待正式戰爭發生。
這項假說也必須允許被否定。
假如長期資料顯示，軍事演習、重大政治事件與灰色地帶行動升高期間，底層技術指標沒有出現可重複的變化；或是這些變化與一般設備故障、電信事故及網路設定錯誤無法區分，那麼公開技術訊號可能不足以支撐這項監測構想。
沒有發現可用訊號，本身也是具有研究價值的結果。
三、從攻擊者任務反推觀測面
若監測項目只依照哪些公開 API 容易取得來決定，最後可能得到一個資料豐富、戰略意義卻不明確的儀表板。
監測範圍應從防禦性的攻擊者任務模型出發。
假設中國正在提高對台灰色地帶施壓，或準備將既有行動推向封鎖與正式軍事行動，資訊與通訊層面可能需要完成哪些任務？這些任務又可能留下哪些可由外界觀察的現象？
以下只整理可能的作戰目的，不涉及具體攻擊程序。
1. 維持或重新確認關鍵系統的存取能力
具有戰略價值的網路行動，可能在危機發生前很久便已展開。攻擊者可能長期試圖進入電信、能源、交通、政府、資料中心、代管服務商、遠端管理平台或重要供應鏈。
接近較高強度行動時，攻擊者可能重新確認既有存取權，掌握最新的網路拓樸、管理權限、備援位置與共同依賴服務。
民間監測系統通常看不到組織內部的入侵活動，但仍可觀察部分外部變化：
- 針對台灣重要網路範圍的掃描型態是否改變。
- 注意力是否從一般網站轉向電信、路由、身分驗證與遠端管理服務。
- 多個關鍵產業是否在相近時間受到類似探測。
- 關鍵邊界設備出現重大漏洞後，相關網路活動是否異常增加。
- 攻擊是否由大量、廣泛的嘗試，轉為集中於少數高價值目標。
這些現象可以協助辨識攻擊型態的改變，卻無法單獨證明軍事行動迫近。
2. 降低台灣與外界的通訊能力
封鎖與軍事行動可能伴隨對外通訊降級。攻擊者未必需要一次完全切斷台灣網路，也可能逐步造成連線不穩、頻寬不足、路由集中或通訊可靠性下降。
可能值得觀察的現象包括：
- 多條不同路徑的國際海底電纜在短時間內發生事故。
- 海纜事故跨越不同登陸站或不同國際方向。
- 國際連線延遲、封包遺失與可用頻寬同步惡化。
- 多個台灣網路前綴從境外觀測點消失。
- 國際路由突然集中於少數剩餘出口。
- 台灣境內可達、境外不可達，或出現相反方向的不對稱故障。
- 微波、衛星或其他備援通訊提前啟用。
- 備援通訊本身也出現不尋常的干擾或效能下降。
單一海纜事故的辨識力有限。海纜、路由、實際連線品質與備援狀態同時出現異常，才具有較高的觀測價值。
3. 使通訊與公共服務失去可靠性
現代社會依賴大量彼此連動的服務。某個系統即使沒有完全停機，間歇性失效、反覆恢復或狀態不一致，也可能造成重大混亂。
值得觀察的領域包括：
- 固網與行動網路是否同時降級。
- 語音、簡訊與行動上網是否出現不同的故障型態。
- DNS、NTP、數位憑證與身分驗證服務是否成為共同故障點。
- 多家金融機構是否同時出現登入、交易或驗證問題。
- 交通、物流與公共通訊系統是否出現同步異常。
- 服務恢復後是否反覆中斷。
- 主要系統與備援系統是否依序失效。
- 多個看似無關的服務，是否因共同供應商或共同基礎設施而同時受影響。
攻擊若以削弱台灣的復原能力為目的，恢復過程本身也應納入監測。
4. 製造誤判與告警疲勞
長期灰色地帶行動也可能包含大量低強度事件，用來消耗監控資源、試探反應機制，並削弱警報的可信度。
監測系統若在每次 DNS 延遲、海纜事故或政府網站遭受阻斷服務攻擊時，都升高戰爭風險，使用者很快就會產生告警疲勞。
系統除了辨識異常，也必須觀察攻擊型態與目標分布：
- 是否長期維持在低強度？
- 是否只針對象徵性目標？
- 目標比例是否逐步轉向關鍵基礎設施？
- 是否開始跨越多個技術領域？
- 是否造成持續且可觀察的實際影響？
告警節制本身就是模型設計的一部分。
四、從日常施壓到軍事升高
灰色地帶行動與正式戰爭之間，很難畫出一道清楚的界線。較合適的觀察方式，是把局勢視為可能逐步升高的連續過程。
一個簡化的分析架構，可以區分為以下階段。
日常背景施壓
網路掃描、阻斷服務攻擊、認知作戰及軍事侵擾持續存在，但強度、目標分布與行為模式大致符合長期基準，未造成重大服務影響。
事件驅動升高
選舉、外交訪問、國際聲明或軍事演習期間，攻擊數量與宣傳活動增加，但仍以象徵性、短暫性的干擾為主。
多領域協同行動
網路攻擊、通訊異常、軍事演習與其他壓力手段在相近時間出現。原本各自發生的事件開始呈現一致的時間分布，目標也逐漸集中於電信、金融、交通或政府運作。
關鍵服務受到實際影響
攻擊型態由展示性干擾轉為持續性的服務降級，影響電信、金融、交通、身分驗證或國際連線能力。
復原能力受到干擾
主要服務恢復後反覆中斷，備援系統也受到影響，或多個機構因共同依賴的服務而無法恢復。
封鎖或正式武力衝突
灰色地帶行動與公開軍事行動結合，通訊與關鍵服務異常成為整體軍事行動的一部分。
民間監測系統較有機會觀察前五個階段。第六階段是最極端的結果，不宜成為系統唯一的驗證點。
這項研究需要檢查各階段之間是否存在可重複觀察的行為模式變化。等到最後一個階段才判斷模型是否有效，研究上已經太遲。
五、單一徵候的判斷限制
所有底層異常都可能有非軍事原因。
海底電纜可能因船錨、漁撈、地震或設備問題中斷；BGP 可能因設定錯誤或路由洩漏而異常；DNS 可能因維護或服務商故障失效；金融與電信服務也可能受到軟體更新、雲端事故或電力問題影響。
異常只能證明某種技術狀態偏離常態。敵意、行動者與戰略目的，仍需額外證據。
這套構想因此必須依賴跨領域關聯，不能依靠單一事件下結論。
若只有一條海底電纜故障，應先視為一般通訊事故。
如果同一時間出現以下現象：
- 多條海底電纜在不同方向發生事故。
- 多個台灣自治系統的境外可見度下降。
- 國際延遲與封包遺失增加。
- 固網與行動網路同時降級。
- 備援通訊提前啟用，或也受到影響。
- 同期另有大型軍事演習或其他灰色地帶行動升高。
系統才有條件建立以下假說：
台灣的對外通訊能力正在異常下降，且事件可能具有較高的戰略意義。
這項假說沒有完成敵意歸因。它只表示多個技術領域出現一致變化，值得提高觀測密度並交由人工進一步判讀。
六、觀測、推論、可信度與歸因
監測系統應明確區分四個層次：已觀測事實、系統推論、判斷可信度，以及行動者與意圖歸因。
已觀測事實
例如：
- 三個境外節點無法連接某些台灣網路。
- DNS 失敗率在二十分鐘內上升。
- 多個網路前綴的全球可見度下降。
- 固網與行動網路同時無法連外。
這類陳述由資料直接支持。
系統推論
例如：
- 國際連線能力可能正在下降。
- 異常可能位於共同上游，不只影響個別網站。
- 台灣某一國際方向的通訊可能受到影響。
- 事件可能具有跨領域關聯。
- 灰色地帶行動的強度、攻擊型態或目標分布可能已經改變。
這類陳述建立於多項觀測之上，仍必須保留不確定性。
判斷可信度
系統應說明判斷依據的完整程度，避免只提供單一結論。
例如：
- 低可信度：只有單一來源或短暫異常。
- 中度可信度：多個來源出現一致結果，但仍有合理的非敵意解釋。
- 高度可信度：多個獨立領域持續異常，且故障範圍與影響已被交叉確認。
可信度代表證據對技術判斷的支持程度，不代表行動者或意圖已獲確認。
行動者與意圖歸因
例如：
- 事件由中國國家支持的行動者造成。
- 異常是為封鎖或軍事行動預先準備。
- 事件代表戰爭即將開始。
公開的民間監測系統通常沒有足夠資料可靠完成這一層。缺乏其他可信證據時，系統應明確標示為「尚未確認」。
事件的嚴重程度不能取代歸因證據。技術影響再大，也不表示行動者與意圖已經明朗。
七、和平時期已經存在的驗證材料
這項研究無法用傳統實驗方式驗證最終的戰爭警示能力，但現有灰色地帶行動已提供部分可研究材料。
可以逐步檢查的問題包括：
事件對應
已知大型軍事演習、外交事件、選舉或重要政治活動發生時，底層網路訊號是否出現一致變化？
強度差異
一般時期、小型軍事演習與大型環台軍事演習期間，攻擊頻率、目標組合、服務可達性與國際連線品質，是否存在可辨識的差異？
目標轉移
攻擊目標的比例分布，是否長期集中於政府網站與媒體？電信、金融、交通、身分驗證與復原系統所占的比例，是否逐步增加？
時間順序
某些類型的偵察、阻斷服務攻擊、通訊異常與軍事演習，是否反覆出現相似的先後順序？
事件結束後的恢復
軍事演習或政治事件結束後，技術異常是否回到原有基準？如果沒有恢復，攻擊型態或行為模式是否已經改變？
這些問題可以利用長期資料及過去事件逐步檢驗。系統若能穩定辨識灰色地帶壓力的變化，就已具備獨立的研究價值。
長期觀測若始終無法區分一般事故與政治、軍事事件期間的技術狀態，也應據實承認公開訊號的辨識能力有限。
至於正式封鎖或戰爭發生前能否提供額外準備時間，仍屬更高層、尚未證實的假說。
八、民間監測的資料邊界
國防、警政與情報單位可能同時觀察社群媒體、通訊內容、假訊息流動、網軍活動及其他非公開資料。個人或小型民間團隊不具備相同的資料權限、人力與法律基礎。
大規模社群監控也涉及個人隱私、平台服務條款、資料保存與研究倫理。
第一階段應設定明確的資料邊界：
僅使用民間可合法、公開、持續取得，並可由其他研究者重新觀測的技術資料。
可能的資料來源包括：
- 公開路由資料。
- 公開 DNS 與服務可達性測量。
- 公開的網路中斷與 RPKI 資料。
- 海底電纜及電信業者的公開公告。
- 政府公開發布的通訊與交通資訊。
- 自有節點產生的網路測量結果。
PTT、Threads 或其他公開社群平台雖可提供部分公共討論資料，仍存在平台政策變更、資料完整性、個人隱私、語意判讀與自動化存取限制。
社群資料可以另行研究，但不宜在第一版核心模型中與底層技術遙測混合。這項邊界反映民間研究的實際能力，也兼顧合法性與可重現要求。
九、以使用者所在位置建立分層觀測
民防監測除了觀察台灣整體通訊狀態，也必須回答個人面臨的實際問題：
異常發生在自己的設備、最後一哩、電信業者、台灣境內，還是國際出口？
觀測架構可分為以下層級。
本地層
觀察區域網路、閘道器、DNS、IPv4、IPv6、Wi-Fi、交換器、重要設備與備援電力。
本地層必須能在完全斷網時持續運作。
電信業者層
觀察最後一哩、ISP 閘道、固網與行動網路差異、路由變化與公共 DNS 可達性。
此層用來區分家庭設備故障與電信業者問題。
台灣境內層
利用不同地區、不同 ISP 及不同連線技術的節點交叉比較，辨識區域性、單一電信業者或較大範圍的異常。
境外層
由日本、新加坡、美國或其他地區的節點，從外部觀察台灣網路、DNS 與主要服務是否仍然可達。
公共觀測層
整合全球路由、RPKI、網路中斷及其他公共資料來源，補足自有節點的觀測範圍。
各層不應完全依賴中央主機。每個節點都需要獨立保存觀測結果，待網路恢復後補傳，再依原始時間重建事件經過。
這項設計可以提高系統韌性，也能避免中央主機失聯時整套監測系統同時失去歷史紀錄。
十、態勢呈現與警報
民防態勢感知與戰爭警報具有不同責任。
態勢感知持續呈現環境狀態、資料缺口與異常關聯，協助使用者形成判斷。戰爭警報涉及事件性質確認與行動建議，需要更高的證據標準。
第一版系統應優先呈現故障邊界與證據鏈。
例如：
- 本地區域網路正常。
- 固網無法連線。
- 行動網路正常。
- 台灣其他節點正常。
- 境外仍可連接台灣主要服務。
- 公共路由資料未顯示大規模異常。
這組證據較支持最後一哩或區域性電信故障。
另一種情況可能是：
- 固網與行動網路皆無法連外。
- 台灣異地節點同步出現國際連線品質下降。
- 多個境外方向無法連接台灣主要網路。
- 公共路由及網路中斷資料也出現一致異常。
- 部分備援通訊開始啟用。
- 同期灰色地帶軍事活動明顯升高。
這組證據較支持台灣國際通訊發生重大異常，也具有較高的戰略觀測價值。事件原因仍應標示為未知。
態勢感知的價值，在於說明目前可以確定什麼、仍有哪些未知，以及哪些觀測能力已經失效。
它的功能是估計目前的環境狀態，不負責預測戰爭日期或發生機率。
十一、告警治理
過度敏感的監測器，可能長期消耗使用者的注意力。
一般事故若經常被解讀為戰爭前兆，使用者容易持續處於緊張狀態，也可能在真正重要的事件出現時失去反應。
系統應區分三種對外行為：
- 僅記錄：保存事件，不主動通知。
- 摘要通知：於固定時間整理低嚴重度異常。
- 中斷式警報：只在異常跨越多個獨立來源、持續一定時間、影響範圍明確，且符合預先定義的必要條件時發出。
警報內容應描述：
- 哪些系統受到影響。
- 哪些資料來源支持判定。
- 異常持續多久。
- 哪些領域仍然正常。
- 是否同時存在其他灰色地帶行動。
- 原因是否已知。
- 行動者是否已確認。
- 目前有哪些觀測盲區。
「戰爭即將開始」這類陳述，通常超出公開技術觀測能夠支持的範圍。
系統應報告實際看見的狀態，不能以戲劇化語言補足它無法知道的部分。
十二、研究限制與可能失敗的情境
這項構想存在數項根本限制。
首先，公開觀測看不到最敏感的內部滲透。攻擊者可能已長期進入重要系統，但在啟動前沒有產生任何外部異常。
其次，民間無法取得完整的社群、電信、政府與軍事情報。公開資料無法取代正式情報體系，也不應被包裝成具有同等能力。
第三，國際網路完全中斷時，本地節點只能知道自己失去了哪些通訊能力，無法即時得知境外如何觀察台灣。境外節點雖可持續工作，資料也可能暫時無法傳回。
第四，所有技術異常都有非敵意解釋。跨領域關聯可以增加警戒價值，仍不足以自動完成歸因。
第五，監測系統本身可能成為攻擊、欺騙與資料污染的目標。公開節點位置、測試清單與判定門檻，都可能降低系統安全，甚至讓攻擊者刻意製造誤導性訊號。
第六，公共資料來源可能中止服務、改變介面、限制查詢，或因自身故障而產生錯誤資訊。依賴單一資料提供者的監測系統，很容易把資料來源失效誤判為外部環境異常。
第七，測站分布若過度集中於特定地區、電信業者或雲端服務商，觀測結果可能無法代表台灣整體狀態。
第八，對方可能在沒有明顯網路準備活動的情況下發動軍事行動，或利用早已建立的存取能力，在極短時間內造成影響。此時，民間監測系統可能完全沒有提前警示時間。
第九，系統也可能只觀察到事件造成的結果，無法辨識前置準備。路由改變、DNS 異常、海纜事故與服務降級，多半已屬影響階段的訊號，未必屬於早期意圖證據。
最後，現有灰色地帶事件可以用來檢驗系統對攻擊強度、目標分布、協調方式與實際影響的辨識能力，但無法完整證明它在正式戰爭發生前一定能提供有效警示。
這段推論距離必須明確保留。
十三、結論：觀察既有壓力的行為模式如何改變
台灣的數位環境早已承受持續性的灰色地帶壓力。研究工作不需要等待第一個敵意訊號出現，戰爭爆發也不該成為唯一的驗證點。
較實際的做法，是建立長期基準，持續觀察既有行動在強度、攻擊型態、目標分布、協調方式與實際影響上出現哪些變化。
民間可以研究：
- 網路攻擊是否在特定事件期間升高。
- 攻擊目標是否轉向關鍵基礎設施。
- 攻擊目標的比例分布是否發生變化。
- 多個技術領域是否開始同步異常。
- 通訊與公共服務是否受到持續影響。
- 備援與復原能力是否也開始受阻。
- 灰色地帶行動是否逐步呈現接近封鎖或正式軍事行動的行為模式。
這些問題已經可以利用現實事件、歷史資料與長期觀測逐步檢驗。
本文提出的民防監測構想，應先證明自己能掌握台灣數位韌性的日常變化與灰色地帶壓力。系統具備穩定的正常基準、清楚的故障邊界、可追溯的證據鏈與克制的告警規則之後，才適合進一步討論更高層的戰前警示用途。
戰爭是否存在可由民間公開技術訊號辨識的前哨徵候，目前仍無法確定。
台灣早已存在可供研究的敵意活動。真正需要捕捉的，可能是攻擊強度、目標分布、協調方式與實際影響開始同步改變的時刻。這些變化未必伴隨明確宣告，也可能先出現在幾個原本看似互不相關的技術領域之中。
