蔡一郎的部落格

Yilang's Blogger

築一個資安的夢

Published by Yi-Lang Tsai under , , , , , , on 4/29/2017 04:08:00 下午
最近從收到 Email 之後幾經考慮,同時也給了自己一個星期時間,好好想想是否要再承接下這個未來需要承擔的角色,也問問自己到底有沒有時間,把這件事做好,雖然是說給自己一個星期,不過這段時間也是在忙碌中度過,每天有許多的會議需要參加,計畫的工作進度討論,跟團隊成員的資安技術研討等等,畢竟目前的工作環境有許多的計畫,也正如火如荼的正在推動,希望能夠發展一些實務上用得著的平台,在最後一天花了些時間,在從北部回台南的高鐵上做了決定,看著飛馳中的嘉南平原,問了自己這個問題:「從投入資安領域的第一天起,到目前我還剩下多少的熱情?能夠不計付出的付出與投入呢?」,正因為對資訊安全領或的熱情,接下了 OWASP Taiwan Chapter ,這是我負責第四個的國際資安組織,卻也是另一個責任的開始。

回想起來,在這將近十年的期間,除了在工作上的需求,也藉由透過國際資安組織的聯繫與合作,加速建立了許多的成果,其中當然大部份的功勞,要歸功於現在帶領的資安團隊能夠一起努力的投入,能夠有共同的目標,可以一同發展與建置這些系統,不論是大尺度誘捕網路的建置、惡意程式知識庫、雲端安全認證的導入以及雲端資安攻防平台等,透過這些資安技術的發展,希望可以在國內扮演著研發平台的角色,能夠應用在許多資安領域的工作上。

成立這些組織,除了TWCSIRT之外,其餘的就都屬於資安社群性質的組織,與現在服務的單位是沒有關聯的,因此能夠取得資源其實是有限的,每年辦理的會議都需要靠各界的支持,還有資安界朋友、產業界、學研界以及政府單位的協助,讓每年的活動可以辦理越來越好。

在這個時間點,自己也回顧一路走來的心路歷程,供有興趣的朋友參考,也許可以找到能夠交流與合作的契機。

2008年台灣分會成立,The Honeynet Project是第一個接觸的國際資安研究組織,從1999年成立至今已算是歷史相當悠久的全球性的資安非營利組織,每年一次的聚會,也是參與的研究人員最期待的,可以面對面的討論資安技術,分享看到的網路安全威脅,或是發展的趨勢,2008年的時候,因為工作上的需求,開始投入時間研究誘捕系統(Honeypot),也接觸到了Honeynet Project這個組織,當時有許多的工具發佈,也實際應用來部署在學術網路上,偵測網路上的攻擊,幾乎試遍所有當時已經發佈的工具,最後也衍生了利用誘捕系統的技術,部署了大尺度的誘捕網路,成為目前資安營運團隊重要的資訊來源,每天收集到的日誌,利用分析平台能夠讓維運中心發掘出許多異常的活動,並配合事件的通報,讓這些異常活動能夠受到重視,並進一步的針對這些有問題的系統進行處置。


2012年台灣分會成立,Cloud Security Alliance 因應雲端服務時代的來臨,在2009年的RSA USA會議中,正式成立一個以雲端服務供應商等相關產業的聯盟,亦為全球性的非營利組織,初期就有Google、Amazon、Microsoft等國際大廠的支持,因為在當時並沒有太多與雲端服務相關的標準可以依循,許多人並不瞭解雲所帶來的真正意涵,因此 CSA 發展了超過20個以上的研究工作小組,從不同的雲端議題,邀集產業界、研究單位以及政府機關共同參考,共同思考如何建立全球性一致標準,以影響的整體雲端產業的發展,在雲端服務開始蓬勃發展之後帶來的最大問題,當然就屬資訊安全最受到關注。在此前提下與國內幾位產業界的朋友,共同籌組了「台灣雲端安全聯盟」,並且在內政部立案,成為正式的協會組織,除了推動雲端安全聯盟的相關業務之外,也與國內其它幾個主要的協會,共同提昇資通訊技術在資安上的發展。



2015年成為FIRST正式會員,TWCSIRT (Taiwan Computer Security Incident Response Team)是在目前服務的單位,正式加入全球最大資安社群 FIRST (Forum of Incident Response and Security Teams),這個組織由全球各國的 CERT (Computer Emergency Response Team)以及企業的 CSIRT (Computer Security Incident Response Team)共同組織,主要是針對資訊安全事件進行通報與應變,另外也對於網路上發掘的資安威脅進行預警通報,希望透過聯防的力量,共同降低資安事件與攻擊威脅對於國家或是企業所帶來的影響,因為目前服務的單位,主要以學研網路為主,而學研網大多數的網路安全政策是偏寬鬆的,因此也經常有許多的資訊安全事件來自於校園網路,因為資訊安全維運中心(SOC, Security Operation Center)的維運,能夠掌握到相當多的資安事件與威脅情資,透過資訊的掌握加上通報與應變,或是進行情資的分析,都能夠確保所保護的資通訊系統,或是網路上的服務,能夠降低資安的風險。



2017年台灣分會重新啟動,OWASP (Open Web Application Security Project) 成立於2001年,以研究與發佈關於網站應用程式安全為主體,同樣屬於全球性的非營利組織,經常被人所提及的,就是每隔一段期間會發佈的 Top 10(前十大)資安威脅,這些也成為許多程式開發者會用來檢測的項目,至少確保所開發出來的應用程式,不能夠出現所列的十大威脅,也降低發生大規模資安風險的機率,也是一個歷史相當悠久的國際資安社群,由近年來啟動的幾個研究計畫,也可以發現不再只局限於網站應用程式安全的議題,也開始涉入行動應用程式安全等相關的領域,而這些擴展開來的研究領域,能夠更全面的涵蓋目前因為新興資訊科技的出現,可能帶來新的資安問題。


從小到大歷經許多的不順利與挫折,也曾經有過人生的低潮,熟識的朋友就知道我一路走來的成長歷程,是相當不一樣的,在忙碌之餘,也經常提醒自己,認真的看待自己的人生,而且認真的過每一天,上天是很公平的,至少在給每一個人的時間上,一天都是24小時,可以消極的工作,過一天算一天,職場上也經常可以發現,許多人因為習慣工作的型態,再加上願意再付出的時間,隨著年紀的增長,已不再保持剛投入職場時的熱忱,對於一些新的事物,基本上就是排斥的心態,工作一段時間,還能夠維持當時剛進入目前工作崗位時的心態,比例上是逐漸下降的。

資安的領域與其它的技術領域,個人覺得最大的不同,在於資安領域技術的發展速度,比起其它的資訊科技的領域而言,是快上許多的,同樣的系統可能每隔一段時間,就會因為系統的設計、程式的開發或是人員管理上的問題,而造成了資安上的威脅,包括系統可能遭到入侵、服務可能遭受到攻擊或是平台上的資料可能遭到竊取,這些不同的資安問題,可能都存在一個相同的系統或是平台上,而駭客攻擊的手法翻新速度,往往比資訊科技成熟的速度來得快,資安的研究人員必須追著資訊科技的發展,才有辦法跟上腳步,而資安技能的養成,又往往來自己對真實事件的經驗,在沒有發生嚴重的問題之外,許多人往往並不會覺得這樣的事件會發生。

在這個世界上,很多事都是從「選擇」開始,我們選擇就讀的學校與科系、選擇從事的工作、選擇希望進入的公司、選擇另一半、選擇住的地方,不過對於「未來」這件事情上,倒是沒有太多的「選擇權」,因為明天的成就,來自於今天當下的努力與投入,願意花時間的地方,也就是容易有成就的地方,也因為這樣的一個起心動念,我選擇了承接下這些國際組織在台灣發展的角色,希望可以做為資安領域的推手,也算是一個對自己的期許,運用這些組織與社群也結識了許多的朋友,這樣的收獲卻是更大的。