香港變成芝加哥

梁兆基表示香港必須把握「最後一個10年」,努力擴大本港人民幣業務的平台:「否則香港在10年後,可能就只會變成猶如北美的『多倫多』或者『芝加哥』般的城市,而不會是『紐約』、『倫敦』。」(明報:2009/06/28)

以香港人的短視與自以為是比較中國的進取積極及市場規模,香港實在看不出來有甚麼優勢。香港要變成中國的『芝加哥』,其實是不會讓人奇怪的事情。 Continua a leggere

Pubblicato in Senza categoria

我不是教你使詐

我不是教你詐,
是教你看清世事。
免得你被賣了,
還在幫人數鈔票!

我不是教你詐,
是教你認清人性。
不可因為他們的好,忘了他們的壞;
不要因為他們的惡,忘了他們的善。


劉墉(1949年2月-),原名劉鏞,號夢然。
有關「人生、處世散文」之著作有:
* 《人生的真相》1992年
* 《冷眼看人生》1993年
* 《我不是教你詐》1995年
* 《我不是教你詐②》1996年
* 《我不是教你詐③》1998年
* 《你不可不知的人性》、《面對人生的美麗與哀愁》1999年
* 《你不可不知的人性②》2000年
* 《我不是教你詐④》2001年
* 《那條時光流轉的小巷》2002年
* 《人就這麼一輩子》2003年
* 《點滴在心的處世藝術》2004年
* 《花痴日記》2005年
* 《以詐止詐》2006年
* 《我不是教你詐⑤》2007年

第一次看《我不是教你詐》一書,是在學生時代,那時也剛好是第一本書出刊的時候,看到室友向圖書館借的書,也就一同分享了,看完只是覺得…好黑暗,果然大家都說「學生時代交的朋友,通常能夠永久」,畢竟學生時代還是單純的,且彼此認知與學習環境也相似,因此,對於「人性」仍然是茫懂。後來又接觸了另外一本書《厚黑學》,當時只是覺得不可思議,甚至,感到有些不屑,因為這跟所學完全不同,也是完全不同的思考邏輯,況且,哪時我只堅信「仁者無敵」,唉…當時年紀小。

該回到正題了,網際網路的世界呢?你知道網路上的陷阱嗎?你有嘗試去了解網際網路的黑暗面嗎?網際網路上的黑暗經濟是很盛行與強悍的。如果你是網際網路使用者,你應該多吸收資安訊息,如果你是 IT 從業人員,你得深入剖析,並思考可能因應之道才行。就像《我不是教你詐》這類書籍,也許你可以不用成為那一類的人,但,你應該了解他們的所作所為,並且,避免被牽連或波及的。當身處亂世時,得要有亂世的處世之道才行。

今年,應該說每年,台灣有幾個比較大所謂的資安技術年會或駭客年會,如 HITSyScan,這些大型資安技術活動都在七月份舉辦,而且都在北部,中南部的朋友就會比較辛苦點了;在國外最知名的應該就是 BlackHat / DEFCON 了。你對這類活動抱持甚麼態度或想法呢?

在 BlackHat/DEFCON 中,兩會議性質或許略有差異,參加者大多仍以資安或 IT 廠商、檢警調與軍方、資安研究人員、資安”社群”為大宗。如果在會場上夠活躍,可以認識相當多的同好者,且應該會連打招呼的時間都不夠的,慢慢的也就演變成為一年一度的盛會,也可順便見見一年不見的朋友,或兩三年不見的老友了。彼此談談過去一年的生活點滴、研究心得、威脅轉變、趨勢變化…等等,即便短短數天的會議,除了會議上的議題,還有更多非會議議題上的收穫,這是難能可貴的。

坦白說,我對 Hacking 技術的會議或論壇仍然沒有太多好感,因為這類技術對所謂的防守方或 IT 人員來說,並沒有太大的推廣,更重要的是,也沒有帶來解決方式或防禦措施。另一方面是對於地下經濟而言,這類活動卻像是大補丸一樣,他們會處心積慮的收集各種攻擊技巧、資安觀念、技術學習能力(或用流行話語:山寨能力)…等,而完全不需要自主開發,依樣畫葫蘆就能收到極佳效果了,甚至有的地下團體間,還處於彼此激烈競爭情況。相較於防守方或 IT 人員默默不聞或遮耳閉眼,有著完全相反的心態,防守方並不積極於這方面的知識吸收外,也沒有相對應的資安觀念,更嚴重的是連這方面交流管道都沒有。兩相比拼,一漲一消,高下立判。

對於資安技術年會或駭客年會,你應該有的心態:
1.了解最新的攻擊技術或未來可能的攻擊技術。
要學習最新的攻擊技術,參加會議當然是最直接的方式,對舉辦資安技術年會或駭客年會來說也是最主要的目的,但對你來說,沒有參加也不見得學習不到最新的攻擊技術,因為大部分的會議通常都會提供講師的簡報檔,如果有些門路,通常都可以拿到的。或者,網路上找找,通常也會有些收穫的。另外一個角度想,參加也不見得能完全吸收攻擊技術內容,因為有許多議程,也有需多主題與各方面的技術,很多時候也不見的能完全聽懂,如果不是你所了解、熟悉的技術內容,哪要聽懂也頗困難。至少,你應該要知道有這方面的攻擊技術是可以被利用的,而你的環境中是否會受此影響呢?這是關鍵。

2.攻擊技術是否被惡意利用。
有時資安技術年會或駭客年會也會有講師提出警告,或提出可能如何被利用的新機會,而地下經濟也會透過這類活動學習到新的攻擊技術或手法運用,這也是我對這類活動感冒的地方,因為,你無法控制別人如何拿去利用的。所以,你也必須思考這些攻擊技術或活動,對你的 IT 帶來多大的影響。就像一把手槍一樣,做槍的人沒事,亂開槍的就有事。

3.攻擊趨勢研判。
研判趨勢,說真的,並不容易。但你應該嘗試去研判,因為在做定論前,你會去學習、蒐集、分析、研判…等,而重要的也是這個過程,你會深入了解各種攻擊手法或利用方式,最後才能找出可能趨勢,它重要的是過程而不是結果。對於趨勢的研判,其本身也是很主觀的,且外在威脅變化也頗快,有時說公開的威脅趨勢可能也會導致破局的,所以,大家都有機會去預測的。

4.對於被利用的攻擊技術如何防範。
這點大多在會議中通常不會是重點。所以你得自己消化後,產生出一些防禦想法、抑制方式或偵測措施。或者可以在會場上與講師討論,或者與志同道合的盟友,共商復興大計。

5.交流、交友、交技術。
我認為這是最重要的,當然不一定是要跟講師交朋友的,可以當然是最好,要跟左鄰右舍的交個朋友才是重點,因為,會來參加這活動的,都是同圈子的人,彼此也能技術交流,更重要的是:你多了同圈子的夥伴,而這夥伴可能精通 FW, IDS, IPS, AV, WAF, UTM, Network, System, Coding, Hacking … 等等,其一或更多或特殊稀有專長,做資安如果要單打獨鬥幾乎是不可能的,多認識朋友將會在做資安工作上極大的助力,我認為參加這類活動,你應該有的最基本心態。所以,不要吝嗇跟會場接觸到的人交換名片,因為,這將是你此行最大收穫。
另外,就是會議上的議題,或其他熱門的資安議題,都是打開話匣的題材,或交換彼此工作心得,或分享個人專長密技。這些都可以讓你可以交上朋友的。當日後遇上難解的問題、技術上的迷思、防禦上的困境…等等,你會發現資安路上不是只有你一個人的,多個朋友、夥伴,可以讓你更能得心應手的。 Continua a leggere

Pubblicato in Senza categoria