主题
安全自动化
在主题维度下，安全自动化主题情报把围绕同一具体议题、信号焦点或监测主题的 BTW.MEDIA 文章串联起来。页面为读者提供更完整的阅读路径，涵盖相关报道、证据来源、市场参与者和基础设施影响，并给出足够背景，帮助理解该主题为何在公司动态、治理决策、区域影响和运营风险中值得关注。读者可以比较反复出现的信号、受影响组织、公开证据、市场背景、服务连续性、采购、竞争、合规和战略规划等问题，而不是只看一份单薄的相关文章列表。页面还会说明该主题涵盖什么、涉及哪些基础设施参与方或政策、有哪些证据支撑报道，以及该主题对运营商、客户、投资者和关注政策的读者为何重要。
案例档案
BGP 出口由谁决定：LOCAL_PREF 背后的本地权力
一条更短的路径未必得到更多流量。LOCAL_PREF 把网络经营者的选择写进路由排序，却不会替经营者证明这项选择安全、经济或已经生效。真正需要审视的，是谁能赋值、授权到哪里，以及数据包是否走到了承诺的出口。
互联网历史
网站递来自己的证明，谁来作证？OCSP stapling 的权力边界
验证一个网站时，客户端竟可以从这个网站手里接过关于它自身证书的状态证明。OCSP stapling 之所以成立，不是因为网站值得额外信任，而是因为签署、递送与验收本来就可以由不同的主体完成。
全球云服务
DDoS 清洗合同必须说明谁来交付“干净的 1 Gbps”
DDoS 清洗平台可以吸收以太比特计的攻击流量，但单个客户的正常流量仍要经过带宽更窄的线路、隧道与路由器。采购者真正要买的，不只是供应商能够丢弃多少恶意流量，而是整条交付链必须把多少净化后的正常流量送到客户、在何处计量，以及平台正常而业务仍然受损时如何补救。
全球云服务趋势
证书透明度回执，不等于浏览器已经接受
证书签发系统拿到多个有效 SCT，只能证明日志作出了可验证承诺。真正影响用户能否连接的，是浏览器当时采用的政策、日志清单、运营方分散度和客户端版本。
全球云服务
GitHub 制品证明验证的是构建路径，而非二进制文件是否安全
有效签名能够说明二进制文件从何而来，却不能替部署系统作出放行决定。只有当使用方把证明中记录的构建路径与明确的信任策略逐项比对时，GitHub 制品证明才真正成为安全控制。
全球云服务趋势
从 200 天到 47 天：TLS 续期正在变成生产运行状态
公开 TLS 证书的有效期正在缩短。真正重要的变化不是日历上多了几次续期，而是授权、签发、部署与外部验证必须成为一套持续可观测的生产系统。
互联网历史
必须记住上一次握手的握手：TLS 重新协商
一条 TLS 连接可以始终保持加密，却仍让服务器误判最初几段数据是谁发送的。2009 年暴露的重新协商缺陷说明，新的握手不仅要证明自己的密钥，还要证明它延续的是哪一次握手、哪一段应用会话。
全球区域 ISP 趋势
RPKI 的恢复路径正在成为路由控制面
ROA 并不会因为“已经存在”就自然发挥作用。真正的运行结果还取决于仓库和验证器如何从增量切换到快照、再切换到备用传输，以及主路径失效后它们愿意信任上一份有效视图多久。
互联网历史
为保护用户而过期的地址：IPv6 临时地址的历史
同一台主机在日志里变成多个地址，既可能是排障负担，也可能正是隐私机制在按设计工作。关键不在地址是否改变，而在它何时不再承接新连接、何时才真正失效。
ICANN
公开查询如何变成私人获客机器：Register.com 诉 Verio 案
每日新增域名清单本是公共基础设施的一部分。Verio 把它接上自动化 WHOIS 查询和快速营销之后，单次公开查询被组合成了一条私人获客流水线。本案真正值得复盘的不是一句“网页条款是否有效”，而是公开义务、机器访问、数据再利用与违约救济分别由谁授权。
号码资源协会
密码重置不能恢复昨日的权限
账户仍属于同一个人，不代表这个人过去拥有的代表、版主或管理员权限今天仍然有效。安全的恢复流程应先恢复身份认证能力，再依据当前的会员和角色记录重新授权，而不是照搬旧会话或缓存中的权限。
案例档案
证书没有过期：Chrome 对 Entrust 的截止线如何把“信任”变成运营许可
一张 TLS 证书是否还能在 Chrome 中工作，决定因素不再只是证书里写着的到期日，还包括它何时被写入证书透明度日志，以及浏览器在那个时点是否仍认可签发它的根。
北美云服务趋势
只有每个边缘节点都证明旧决策已消失，回滚才算完成
Fastly 控制面可以很快重新激活旧版本，但业务恢复的终点不是 API 回执，而是所有关键 POP 的请求都不再执行被撤回的规则，并且证据覆盖了仍可能服务流量的人群。
案例档案
编号还是 256，含义却已经换了：IPFIX 观察域能证明什么
导出器重新连上后，采集器又看见 Template ID 256。它沿用上一条传输会话缓存的字段定义，把新字节切成一组看似合理的计数。仪表盘没有报错，解析器也很满意，错的是每个数字旁边的名称。256 从未承诺自己是一份全球通用的格式。
案例档案
TXT 记录完全正确，供应商仍不等于域名所有者：ACME DNS-01 与委托验证的权限边界
供应商的员工账号、CI 密钥和证书库权限都已撤销，`_acme-challenge` 却仍委托到它管理的验证区。供应商用尚存的 ACME 账户申请通配符证书，正确的 TXT 摘要随即出现，验证全部通过。协议没有出错；漏项发生在只画到应用层的离场清单里。
案例档案
边界不是过滤器：BGP 最大前缀数如何把容量预算变成断会话权限
多一条路由，为什么可能导致此前已经正常承载流量的整组路由一起撤走？答案不在那条新路由是否“有问题”，而在最大前缀数策略把计数结果绑定了什么动作。只有把计数口径、保护对象、合理余量、执行后果和转发证据写清楚，这个看似简单的上限才是一项可治理的网络控制。
案例档案
DNS 回答安全，不等于主机选择正确：SSHFP 指纹的权限边界
运维人员输入 `ssh db`。网络下发的搜索后缀把短名补成了另一个完整域名；该名称的 SSHFP 通过 DNSSEC Secure 验证，服务器给出的主机密钥也与指纹完全一致。所有密码学证明都成立——只是成立于客户端选中的主机，而非操作者心中那台数据库。
案例档案
签名通过了，From 地址却不是签名者：DKIM 域签名的权力边界
邮件把 `bank.example` 显示为 From 域，DKIM 结果为 pass；真正完成签名的却是攻击者控制的 `receipt-alert.example`。密码学没有出错，系统只是把一个域的证明送给了另一个域。
案例档案
摘要完全吻合，发送者仍然未知：HTTP `Content-Digest` 与校验和的权力边界
那份策略文件没有在传输途中损坏。它从一开始就是恶意内容，而且附带了计算完全正确的 `Content-Digest`。服务显示“已验证”，随即执行文件。攻击者没有破解哈希算法；他只是同时选择了正文和摘要。
案例档案
请求头写着“客户端”，但对端地址并不认同：HTTP `Forwarded` 与代理链的授权边界
一台源站按设计只应接收两层反向代理转来的请求，却仍可从公网直达。攻击者直接连上源站，把管理员白名单地址放进 `X-Forwarded-For` 最左端，IP 规则随即放行。解析器没有读错字符；真正的错误，是让一个未经授权的网络对端替更早的节点作证。