蔡一郎的部落格

Yilang's Blogger

2018 Bye Bye !

Published by Yi-Lang Tsai under on 12/31/2018 11:30:00 下午
2018真的是一個充滿挑戰的一年,不論在工作上還是在國際上參與的組織皆是如此,套句 Mr. Bartender的話:「人生的劇本要怎麼寫,只有你自己能決定」,雖然手邊的幾個資安計畫都如火如荼的展開,在今年也都開始有了許多的成果,在每次的審查之後,縱然總有一大堆的「建議」,不過有時候想想這些建議真能夠如願達成嗎?又該如何落實呢?如果只是建議而不是命令,那我們是否有更好的作法?但是這樣的作法是否能夠被接受?這個就是一個相當見人見智的問題了,每個人對於所見所聞,再回饋到本身感受與成長,其來源並不是在於個人的學識有多高,而是來自對人生的體認以及經驗的累積,隨著年紀的增長,不論所遭遇到的人、事、物,都是在如何讓自己的人生旅程更加的豐富,畢竟「一言堂」的時代早已過去,目前早已進入另一個「異言堂」的時代。

回顧2018一整年下來,今年過得相當的充實,不論計畫工作上的規劃、例行的進度會議、計畫的執行與績效指標的達成,都算盡如人意能夠讓一起工作的夥伴都有所成就,對於工作的熱忱來自於參與執行工作的過程與結果,能夠讓人感受到付出是有所收穫的,外在的聲音雖然不一定是對的,但是卻也是執行的過程中相當重要的資訊,可以瞭解到有那些可能沒有留意到,而有那些是需要再補足的,今年也是歷年來出差最多的一年,雖然因為會議的關係而無法經常在公司內,還好有許多得力的幫手,可以協助許多計畫的推動。

圖、惡意程式知識庫(owl.nchc.org.tw)

每年在七月份主辦的「國際資訊安全組織高峰會」,雖然有颱風來搗亂,不過還是感謝許多會眾大力的支持,與會的人數持續往上成長,今年也超過650人次,雖然比不上大拜拜型式的會議,但是希望讓大家更加瞭解幾個國際上的資安組織最新的發展,除此之外,也爭取了「The Honeynet Project Annual Workshop 2018」來台北舉辦,提供國內對於誘捕技術有興趣的人,能夠就近參與國際組織年會,其中需要大力的感謝支持此次會議能夠成功的 Keansiong、Henry、Chinghsiung、Faiz、Miguel、Robert等多位好友的協助,在不到兩個月的時間,完成這次的年會規劃與相關的作業,更何況大家都是利用工作之餘的下班時間來協助,經常晚上十點以後的線上討論,就成了大家最忙碌的時間,憑著對資安的熱忱來把今年的會議辦好,也讓許多國際友人前來台灣分享技術與最新的趨勢。

圖、2018國際資安組織台灣高峰會

圖、2018國際資安組織台灣高峰會

在2018當中也出國參加了好幾次的國際會議,有的是公司的差旅行程,有些是私人的學習之旅,包括了FIRST TC Osaka、RSA Conference USA、IoT Asia、FIRST Annual Conference、Blackhat USA、DEFCON、SICW、.Conf等,每次的會議都有新的收獲與心得,可以做為後續在規劃系統、網路或是資訊平台上的參考,正所謂讀萬卷書不如行萬里路,雖然目前網路相當的便利,可以透過搜尋引擎快速的獲得需要的資訊,不過這些片斷的資訊遠不及聽一場對自己有幫助的演講,深化成自己的智識後,再透過許多分享的場合,介紹給想要知道的人。

圖、Panasonic博物館

圖、Panasonic博物館

今年一樣到處分享所學,足跡也走遍了全台灣以及幾個離島,其中許多的場次,有小到一、二十人的,也有四、五百人以上,有點鐘點符合專業講座的標準,也有的是基本的「友情價」,甚至不同的場合,不同的主題,不同的聽眾,對於資安議題的需求也不是不盡相同的,有的想要知道初身的資安威脅,有的想要瞭解企業資安防禦,其中的問題大多是相當的廣泛,畢竟最近這幾年下來,許多人終於對於資安這件事,開始有了共鳴,對於資訊安全這件事,大家的見解大多不同,有的喜歡用打CTF來代表它,有的喜歡做弱點掃瞄、滲透測試等方式來展示它、有的喜歡參加許多的資安社群,讓自己接觸到各式各樣的議題,不過最後是否能夠深入瞭解,這也是見人見智的問題。

2019會是延續資安議題的一年,包括了物聯網、區塊鏈、雲端應用、行動應用、人工智能,甚至量子計算等,這些議題都已注定成為重要的資安議題,從產業的需求到進階的資安研究,許多的議題都仍然圍繞著這些明日之星。


藍隊戰略下的企業資安防禦

Published by Yi-Lang Tsai under , , on 12/13/2018 11:13:00 下午
自從今年在七月份,在國際資訊安全組織高峰會辦了國內第一次針對企業防禦進行的競賽-「HoneyMe資安攻防電競賽」之後,雖然是以邀請賽的方式,邀請國內主要的企業參與,由精誠提供競賽的獎金,新的做法一改過往強調搶旗式(CTF)的競賽思維,而是採取更貼近企業需求的方式,讓國內許多的企業開始思考,如何面對目前重要的資安威脅,在現在駭客主義盛行的時代中,如何因應可能發生的資安攻擊,近幾年來屢見大型的網路攻擊,都以癱瘓企業對外的服務為主,而近來幾次的大型資料外洩事件,例如:國泰航空、萬豪集團等,都已成為使用者關注的社會事件,因為企業的資安防禦出了問題,客戶或是消費者就成了最大的受害者,輕則網路應用服務受到影響,重則客戶的敏感資料外洩,在追蹤幾個資安事件的過程,發現目前企業所面對的資安威脅,除了新型態的攻擊之外,典型的資安攻擊並未停歇,這也是值得大家持續關注的議題。

圖、精誠與台灣數位安全聯盟(原台灣雲端安全聯盟)合辦的藍隊戰略

俗話說:「只要有錢就能解決的都不是大事」,這句話在資安的領域就不一定適用,而且在投入大量的金錢買足防禦的設備之外,仍然可能發生資安事件,只是因為有資源的投入,讓資安事件發生的機率變低,在資訊安全領域最欠缺的是人才,反而資源的投入是讓站在企業防禦第一線的人員,有足夠的武器可以抵禦外來的攻擊,加上近來新興的攻擊手法越來越多樣化,也讓企業面臨到前所未有的資安風險,在發展企業的營運方向之餘,許多新建置的資訊平台,不論對內或是對外的服務,面對來自網路上的威脅,或是因為社交工程的過程中,可能遭遇到APT式的攻擊,這些都足以讓資安人員一刻也不得閒,在最近幾次大型的資安事件中,每一次的受駭規模都屢屢創下新的紀錄,例如:DDoS的攻擊威脅,在幾年前可能超過百Gbps的流量,就足以震撼企業,尤其對於提供網路服務或是需要高可用率的服務而言,因為網路攻擊的事件而影響了服務的提供,所帶來的損失是無法計數的。

圖、資安攻防競賽會場

國內的大型資安會議,HITCON也在今年開始了以藍戰防禦為主的攻防模式,樂見資安的思維已經開始萌芽,對於企業的資訊人員而言,透過競賽活動瞭解最大以及最新的威脅,是最容易接軌資安技術的方式之一,當然透過資安實務課程的培訓,對於在職場上工作的資訊人或是資安人而言,也是一個讓自己持續不斷成長的方式,例如:今年台灣數位安全聯盟(TWCSA)協助經濟部工業局辦理的資安人才培育課程計畫,也順利的開辦了針對金融領域的資安實務課程,透過技能的精進與學習,相信這些學員回到工作崗位後,對於所面對的資安威脅,應該會更容易掌握防禦的技巧。

相關新聞:
精誠揪隊 辦資安電競賽

億元設備模擬企業網路環境,HITCON首度舉辦考驗企業資安防禦能力競賽