2020 年是一個充滿挑戰的一年，年初開始的全球 COVID-19 大流行，直接對於原本所熟悉的世界帶來不小的衝擊，從三月份的時候一直就考慮今年的大會是否要延期，當然後續也因應疫期發展的考量在11月初辦理完今年的 InfoSec Taiwan，這段期間最常被支持會議的企業夥伴詢問的，就是今年的會議到底是否可以順利舉辦呢？幸好一切都順利的完成，為了辦理今年的會議，我們從原本位於地下室的台大集思會議中心，移到了台北文創會議中心，主要是考量疫期的影響，希望讓會眾有個更為舒適的空間，不過相對的整個場租成本就較去年成長了近 30%，對於非營利性質的聯盟而言，真的是一筆不少的負擔，不過也得感謝今年廠商的熱情贊助，讓今年的活動可以順利完成，因為今年會議日期調整的關係，無法在暑假期間辦理，也讓許多還在學的學生無法參加，在此也代表主辦單位說聲抱歉，這實在是一個不容易的決定，不過 2021 年會議會再度回到七月份舉辦。

過去許多人也經常問我，InfoSec Taiwan 會議與國內其它的資安會議有什麼不同？其實台灣受限於特殊的國際關係，並無法實質參與許多國際上的正式組織，例如：ISO 等，而目前台灣數位安全聯盟扮演著 The Honeynet Porject、Cloud Security Alliance 以及 OWASP 三大國際資安組織在台灣的推手，經常與這些國際組織往來的過程，看到許多全球正在發展中的趨勢，透過這些國際組織的角色，也有機會可以參與全球資安的策略與發展，而這些潛在的動能卻是可能影響國內企業發展的重要機會，因此除了扮演好每個組織台灣分會的角色外，也希望讓國內真正可以接軌國際組織，當然一些熟識的朋友可能會聽到我們談過，為了要保有「Taiwan」這個名字所進行的努力，這些都是目前幾位在聯盟內的成員所堅持的最後一道防線，也許在默默為這塊土地真正做了這些事，也不會大張旗鼓的宣揚，但這些對台灣默默付出的貢獻絕對是值得肯定的，個人也感謝一路走來有這群夥伴的支持。

在今年的年會期間，我們也新增了一個來自歐洲的國際組織 - CSCIS，全名是「Center for Strategic Cyberspace + International Studies」，當然也期待在 2021 年能夠讓它在亞太區越來越活躍，希望有機會讓亞太區總部真正能夠落地台灣，去年在幾位產業朋友的支持下，成立「台灣網際空間與安全策略發展協會」，今年受限於疫期的影響，並無法達到當時大家的目標與期待，不過展望 2021，從全球大環境的發展趨勢，將會是重要契機的一年。 

一天的社群會議加上兩天的主議程，感謝多位專業講師的分享，平時大家分別服務在不同的公司，也在資安領域中各有擅長，透過三天的會議分享，可以提供與會人員從不同的面向來面對資安威脅，也可以透過這些講師們的經驗，找到對於目前資安問題有幫助的解決方案，畢竟 InfoSec Taiwan 國際資安大會主要服務的目標對象就是各行各業，尤其在目前的時代中，資安已成為各領域不可忽視的重要問題。

每年的 InfoSec Taiwan 會議期間，也是台灣數位安全聯盟與精誠資訊辦理企業防禦競賽 Red Alert 2020 的決賽，今年也已邁入第三年了，從三年前一改典型的競賽模式，將參賽的隊伍變成了資安防禦者的角色，而不再是傳統的搶旗賽(CTF)，需求的聲音也來自許多往來的企業，畢竟在職場上的資訊人員或是資安人員，重點都在於如何保護企業的數位邊界，企業需要的資安人才必須熟悉如何運用現有的資源進行資產的保護，因此如何透過研討會、培訓甚至是競賽活動，替企業找到適合的人才，這應該會是後續的重點，畢竟資安是一門綜合技術的學科，必須對於系統安全、網路安全、資安管理系統以及產業應用領域的需求能夠瞭解，才有機會真正幫忙企業解決所遭遇的問題，而具備這些資安技能的人，將成為真正搶手的資安人才。

每年的年度會議，從規劃、籌備到執行，經常都需要花上六個月的準備時間，才有機會把會議辦好，從會前在議程主題的安排、講師徵求、贊助商邀請，進入 60 天的準備期，需要處理好文宣、講師聯繫、行程細節等，最後才能夠在三天的會議期間，將準備到最好一面真實的呈現，其實這幾年以來在台灣數位安全聯盟有限的人力資源下，可以將每年的年度大會辦好，除了不斷的磨練外，就是一份對於資安的熱忱。

最後，感謝今年所有協助 InfoSec Taiwan 2020 國際資安大會的夥伴，有來自 RAT 資安社群與企業的人力支援，不論大家所負責的工作是什麼，都是整個活動中不可或缺的一環，謝謝大家的支持！

謝謝來參加今年的 InfoSec Taiwan，期待在 InfoSec Taiwan 2021 看到您！

「台灣數位安全聯盟」目前已聚集了國際間最知名的三個非營利資安組織，The Honeynet Project、Cloud Security Alliance以及OWASP，同時透過台灣分會的運作，在國內推動許多的資安活動以及培訓課程，而每個資安組織都有其特色，以及擁有各個不同的資安領域所發展出來的成果，這些都需要透過台灣資安社群共同的參與，讓這些國際間的成果能夠接軌到國內的環境，在目前的高度數位化的時代中尤其重要，「數位安全」已成為各個資安科技應用最關心的議題，沒有了可被信任的資安架構，或是單純由技術人員所規劃出來的資安防禦，這些都是不夠完整的，如果一來再好的系統或是平台也都將成為下一個重大資安事件的候選人，在目前這個時代中，沒有人可以是局外人，每一個使用這些平台的使用者或是營運單位，都將成為最大的受害者。

台灣數位安全聯盟

台灣在全球擁有IPv4的數量排名第14名，僅佔整個網路世界的0.8%，不過台灣的資通訊環境的涵蓋率高加上可連網的裝置數多，數位安全的問題已成為政府、企業最關心的問題，不論是電子商務、雲端服務、AI運算主機等與業務營運與推廣有關的資訊系統，都可能發生資訊安全的問題，近年來尤其以資料的外洩事件最為頻繁，近來相當熱門的Collection #1即涵蓋了2,692,818,238筆的電子郵件與密碼的資料，其中有1,160,253,228筆唯一性的電子郵件與密碼組合，有772,904,991筆唯一性的電子郵件以及21,222,975筆唯一性的密碼，這些資料來自於多起資安攻擊下的資料外洩事件。

回想起一個看似再平常不過的傍晚，在一個與 Jack 閒聊中產生的想法，接著將近一個半月的規劃下，我們在許多夥伴的協力下將它實現了，辦理了今年的第一次的全台資安社群聚會，同步在台北、台中、台南邀集資安武林群英共同聚會，除了分享目前幾個國際組織在台灣的發展現況之外，也邀請了幾位講師從不同的角度分享了從事資安工作，或是學習資安技術的心路歷程，再次感謝協助此次活動的講師們，Henry、Wllo、Jack、Stan、彥成、勝翔，有你們的分享以及超過150位資安同好的參與，才能夠此次的活動圓滿結束，不過這只是個開始，往後還是希望資安盟友可以共同參與各個資安組織的活動。

台北場

誘捕技術的運用成為了目前偵測網路異常活動的方法之一，透過誘捕系統的建置，我們可以針對各個不同的應用服務進行異常通訊行為的偵測，並透過通訊之間的互動，進一步的掌握攻擊行為中的所展現的資訊，也能夠瞭解目前的異常攻擊行為的發展趨勢，做為實際進行資訊安全維運上的參考資料，此次由勝翔所分享的建置經驗，透過偵測過程中所掌握的各項資料，都可以做為資安研究所需要的資訊來源，而The Honeynet Project針對各種應用服務所發展的Honeypot，能夠涵蓋目前大多數的資訊服務，甚至目前已有對應到熱門的物聯網安全以及工控系統安全等議題，而大多數的情況下，要完整的建置出Honeypot讓它能夠發揮功能，並且不能夠被類似 Shodan 之類的偵測平台發覺，就是一門需要注意的技巧了，今年後續安排的課程除了建置之外，應該會有更多的需求是建置一個反偵測的Honeypot，才能夠真正的發揮作用。

台南場

從兩年前重新啟動了OWASP台灣分會之後，近來OWASP接連發佈了幾個受到重要關注的OWASP Top 10，如同我們分會的研發長Henry所言，其實OWASP並不是只有一個Top 10，想多瞭解的話，歡迎隨時與台灣分會密切聯繫，目前OWASP已積極的推動了幾個全球重要的計劃，以因應資訊服務的發展需求，透過全球廣大的社群力量，凝聚共識提出許多具有重要參考價值的白皮書，這些都能夠做為在評估應用服務與系統安全上的依據，該如何進行呢？就先賣個關子，請大家多多參與聯盟的活動，一定能夠找到你需要的答案。

台中場

遇到資安事件是許多人最不喜歡的，除了要處理系統之外，往往還需要處理人的問題，尤其在目前網路攻擊的威脅管道已多樣化發展的時代下更是如此，此次Wllo分享過往在TWCERT/CC的心路歷程，這些經驗談是寶貴的經驗，也是不可避免需要面對與處理的問題，下次如果有資安事件的發生，不妨可以求助於TWCERT/CC。

台中場

經驗的傳承在目前的時代中已越形薄弱，可能起因於網路資訊的發達，很多人只注重在網路上找答案，而忘了最佳的導師其實就在身邊，Jack 從社群的發展以及師徒技藝的傳承談到，目前許多的資安學習都輕忽了基本功的重要，因為處理資安的問題，並不如單獨的處理系統或是網路的問題般的簡單，一個攻擊事件可能其中所運用的技術涵蓋了網路、系統、程式甚至是整個資安防禦架構的規劃與設計，這些都是需要經驗的累積才能夠掌握其中的奧妙，透過社群的連結是最好的方式，在一群對資安有興趣的同好之外，彼此學習長處與經驗，除了加速本身的學習之外，也可以在彼此的交流中更加的成長。

台北場

資料庫已是目前許多資訊平台不可或缺的重要角色，透過資料庫的運用，我們可以讓資訊平台有更多的應用以及建置更具結構化的平台，透過前端的應用程式針對資料庫進行存取，其中衍生出許許多多的資安議題需要留意，此次 Stan 針對常見的資料庫以及需要考量的問題，簡短的介紹一些重要的思考方向，可以做為盟友們後續在規劃、評估上的參考，當然如果進行相關的掃瞄與測試，也可以依據這樣的思考模式進行，相信能夠更有收獲。

台南場

手機上的APP安全問題，在目前已成為許多資訊平台的痛，在不得不開放API的潮流下，如何同時考量到資安的因素，這就有賴開發人員的智慧，以及在規劃階段是否已納入資安的考量，此次的活動由彥成所展示的APP安全問題，著實讓現場的盟友感到驚訝，一個簡單的中間人攻擊手法，就可以隨意的操作取得需要的資料，這些都讓我們不斷的思考，在企業追求便利服務的同時，是否真正的考量到資安問題可能帶來的影響，如果考慮不週，其所帶來的影響將是深遠的。

台中場

關切國際間資安的發展，將深切影響國內的資安環境，這些在目前高度數位化的時代中是不可或缺的，其實在過往幾年下來，卻不難發現許多國內創舉所推動的資安制度或是相關的規範，最終都將面臨無法國際化的問題，屆時再想要接軌國際，其實可能已失去了最佳的時機，現在已經不是一個自己高興就好的時代，閉門造車的做法將讓整個資安的環境與世界的潮流與趨勢漸行漸遠，而一再失去建立資安防線的先機。

最後感謝 Sunny 與 Ann (雖然活動期間「碰巧」跑去冰島看極光，這是人生的願望清單之一) 能夠在這麼短的時間完成此次的活動籌辦與行政支援，在一週前還因為成功大學通知活動當天全校停電歲修而必須儘快更換地點，再者每個地點需要處理場地與餐點的問題，在電子郵件或是 Line@ 上需要處理與回應盟友的問題，讓此次的活動順利完成。

台中場-大合照

參考資料：

• 活動議程

2/15台北場

論武時刻	傳授秘笈	武林高手
18:30-18:50	認識您的敵人：資安時代	蔡一郎 (Yi-Lang Tsai)
18:50-19:10	OWASP 專案小組的血淚史	胡辰澔 (Henry Hu)
19:10-19:30	那些年，我在 TWCERT/CC 的日子	羅文翎 (WLLO)
19:30-19:50	中場休息！春酒交流時刻！
19:50-20:10	社群師徒制秘辛	余俊賢 (Jack Yu)
20:10-20:45	比武過招！承先啟後！	英雄好漢
20:45-20:50	期待下次再聚！	蔡一郎 (Yi-Lang Tsai)
20:50~	賦歸

2/16台中場

論武時刻	傳授秘笈	武林高手
13:30-13:50	認識您的敵人：資安時代	蔡一郎 (Yi-Lang Tsai)
13:50-14:10	DB  Party  Are u Ready ?	許清雄 (Stan Hsu)
14:10-14:30	那些年，我在 TWCERT/CC 的日子	羅文翎 (WLLO)
14:30-15:00	中場休息！春酒交流時刻！
15:00-15:20	親眼所見 亦非真實：HTTPS 安全迷思	張彥成
15:20-15:40	OWASP Top 10 秘辛	胡辰澔 (Henry Hu)
15:40-16:15	比武過招！承先啟後！	英雄好漢
16:15-16:20	期待下次再聚！	蔡一郎 (Yi-Lang Tsai)
16:20~	賦歸

2/17台南場

論武時刻	傳授秘笈	武林高手
13:30-13:50	認識您的敵人：資安時代	蔡一郎 (Yi-Lang Tsai)
13:50-14:10	DB  Party  Are u Ready ?	許清雄 (Stan Hsu)
14:10-14:30	那些年，我在 TWCERT/CC 的日子	羅文翎 (WLLO)
14:30-15:00	中場休息！春酒交流時刻！
15:00-15:20	Honeypot V.S. Hacker	許勝翔 (Jack Hsu)
15:20-15:40	OWASP Top 10 秘辛	胡辰澔 (Henry Hu)
15:40-16:15	比武過招！承先啟後！	英雄好漢
16:15-16:20	期待下次再聚！	蔡一郎 (Yi-Lang Tsai)
16:20~	賦歸

• 每個國家擁有的IPv4統計  List of countries by IPv4 address allocation

維基百科的解釋：「發明」是指一種新的事物或技術首度出現，台北國際發明暨技術交易展，正是國內凝聚能量的重要展覽，經常我們可以在媒體上看到台灣在國際上的一些發明展上獲得佳績，這次是中心的資安團隊第二次參與，有了上次的經驗，在這次展示內容的準備上，可以提供更符合需要。

這次的展示作品為台灣惡意程式分析網 TWMAN (TaiWan Malware Analysis Net) ，如往年一樣安排在國科會的展示館，在這也有許多不同的學校與研究單位的作品在此一起展出，目前國內面對國外的競爭，需要投入更多的能量，提高創新的能量，才能夠將研發的成果，實際應用到產業鏈中，這也是技術交易的主要用意，可以將研發的成果，透過授權或技轉的方式，提供國內的產業使用，或是引起國際上的注意。


國科會的展區，吸引了許多的人潮，當然不是只有發表會的時候，平時也是有許多的參觀者到展區中尋找有興趣或相關的主題。


國科會的展區涵蓋了許多學校的研發成果與專利，而且因為太多了主題需要展示，還分成了兩個梯次，前兩天與後兩天的主題是不同的。

到了目前服務的單位，展區也是結合了多個不同中心所發展的成果，其中地震中心所發展的預警系統，對於地震頻傳的台灣將會發揮許多的助益，可以避免災難發生時所造成的人身安全上的遺撼。

這次參展以TWMAN(台灣惡意程式分析網)為主，在會場展覽了兩個主要的系統，第一個是用來分析惡意程式行為的Sandbox，為實體系統的分析架構，當伺服器上放入了由前端Honeynet所收集的惡意程式樣本之後，就能夠自動化的排程與進行惡意程式感染後的行為分析，其中亦包括了對於系統的影響以及產生的網路通訊行為。

四天的展期，安排了研發團隊的同仁在會場進行架構的說明，讓更多的人瞭解TWMAN所具備的惡意程式偵測、惡意程式Sandbox、惡意程式行為知識庫，以及視覺化的展示平台。自動化的惡意程式行為分析，可以大量的節省分析惡意程式所需要的時間，但是發展系統的過程中，需要留意系統的運作以及報告的可信度，以目前釋出的TWMAN v2沙箱測試平台，

團隊歷經三年多的研發，目前已有初步的成果，也整合以往分散的系統，未來將持續建置台灣惡意程式分析網，以結合國內學研界的力量，降低因為資訊安全事件所造成的影響，目前在國內網路上的殭屍網路活動仍然活躍，這也是令人憂心的，期望可以透過資訊安全研究的投入，降低台灣在全球上的網路惡意威脅來源國家的排名。

相關資訊：
2012 台北國際發明暨技術交易展 http://www.inventaipei.com.tw/zh_TW/index.html
TWMAN(台灣惡意程式分析網) http://twman.nchc.org.tw/index.php/tw/
國網中心資訊安全研發服務 http://www.nchc.org.tw/tw/rd/cyber_security/

主講者:CSA(Cloud Security Alliance)雲端安全聯盟台灣分會創辦人暨研究小組召集人

雲端服務成為下一波網路攻擊的目標，新概念的服務導向型態，推動了下一波的資訊科技革命，進階的攻擊手法目前已朝向組織化、精緻化發展，大規模的攻擊行為已不多見，取而代­之的是經過精心設計的網路攻擊，其中利用各種惡意程式感染受害者為當下最常見的手法之一，將針對雲端服務的安全問題進行探討

從雲端安全聯盟(CSA, Cloud Security Alliance)的角度，分析目前常見的資訊的竊取或是大規模的攻擊活動，其中對於惡意程式行為模式的掌握，對於特徵比對的方式進行偵測，變種速度快，系統一旦感染，防­毒軟體不易偵測與清除等特性進行介紹；CSA依據不同的研發主題，已啟動了近二十個工作小組以因應目前雲端服務的發展趨勢，並嘗試從學術、產業、政府部門等角度，針對雲端­服務的安全問題進行研析，雲端服務的平台受到特定的攻擊，造成雲端服務平台的資源耗盡或系統弱點被廣泛的運用，其中所隱藏的風險，將挑戰使用者對於雲端服務平台的信賴程度。

面對此種威脅，透過深入淺出的介紹，帶領與會人員掌握與瞭解雲端服務需要解決的資訊安全威脅與面臨的挑戰。

相關網站
Cloud Security Alliance
Cloud Security Alliance Taiwan Chapter

近幾年不管是不是在IT資訊產業，經常都能夠從媒體報導或是網路上聽到與看到「雲端服務」這幾個字，到底「雲」是什麼呢？從以前到現在真的是眾說紛云，有人說網路服務就是雲端服務，也有人說雲端可以讓企業更具競爭力，但是到底什麼是「雲」，總是沒人可以講得很清楚，雖然「雲端服務」這麼的熱門，不過滿有意思的是，在台灣願意使用雲端服務或是雲端平台的企業真的是少數，可能是民族性或是自我的掌控慾強的關係吧！我們很喜歡「看得到，才心安」這樣的思維，除了個人使用的平台之外，目前願意把「關鍵性應用服務」的系統放上雲端的，或是直接採用雲端服務供應商提供的平台環境的，是一個兩極化的情況，一者是擁有完整的資源，為了企業內部或是資訊系統管理上的需求，想要自己建置「私有雲」的，二者是沒有什麼資源，想要節省開支的中小型企業，或是SOHO工作者，透過雲端服務供應商提供的環境，很快的就能夠擁有以前需要自己購置或是自行營運管理的資訊平台，這可以讓許多的企業專注於發展自我的專長即可，而不需要花費太多的人力、物力投入資訊服務的平台，至於何者為優為劣，這個是一個見仁見智的問題。

此次有機會以Cloud Security Alliance台灣分會創辦人暨研究小組召集人的角色，在CloudSec 2012 Taiwan擔任Keynote的講者，除了正式向國內介紹CSA這個目前在國際上主要推動雲端安全的組織之外，也可以分享一下個人對於雲端安全議題的所見與所聞，是一個相當好的機會，這個會議是由Trend Micro(趨勢科技)主辦，在亞洲地區主要的國家辦理多場次的Cloud Security相關的大型研討會，除了介紹目前的發展主流外，也可以聚集許多的從業人員與研究人員，共同商討與瞭解目前最新的趨勢與相關的成果。此次以「從CSA看雲端服務與資訊安全威脅」為題，介紹了雲端運算、國際資訊安全會議的趨勢與潮流、Cloud Security Alliance(雲端安全聯盟)、CSA的主要研究議題以及如何面對目前新世代的資訊安全威脅，這些都是目前許多人在使用雲端服務時，可能會面臨到的問題，需要正面的瞭解，並且能夠找到解決方案。

此次與會的同業相當的多，幾乎是座無虛席，把六福皇宮的會議廳擠得滿滿的，場外也有許多的贊助廠商，在現場介紹雲端服務安全防護的解決方案，或是介紹目前最新的產品，這些對於許多與會人員而言，都是相當重要的資訊，可以透過這樣大型的會議，一次掌握主流的解決方案與相關的產品資訊。

從這麼多人來參加這個會議，可見目前雲端安全的議題，仍然是大家關心的問題，主要在於如果提高雲端服務使用者的信心，並且能夠信任雲端服務的供應商，才能夠順利的讓雲端服務讓大家所接，這往往是最困難的，因為觀念與認知的改變與教育，並非一朝一夕就能夠達成，而是需要經年累月並且不斷的進行相關的資訊的傳達，才能夠發揮預期的成效。

每次在一些會議或場合，與大家分享個人的所見所聞，就有許多的感慨，目前在台灣，真正的雲端服務平台並不多，大多數的服務型態仍與傳統台灣資訊產業的特長有關，從基礎環境的規劃與建置、進入平台的營運與管理，讓不同的設備與部署方式，可以整合在同一個平台之中，這個是台灣系統整合技術的強項，但這樣的專長卻可能限制了我們的發展，目前台灣的產業面臨的需要轉型的階段，有人提出需要發展「軟實力」，或是投入「文創產業」等，其實這不過是看到國外在這些方向的發展，而急就章的以此為發展的方向，不可否認的台灣有許多的文化資產，也有許多的專業人才，但少了發揮的空間與環境，政府推動的許多計畫，往往都想要立竿見影，投資個一、兩年就想要解決問題，或是取得領先的地位，而所規劃的資源，往往又淪為預算執行率遠勝過其實質的內涵。

台灣的雲端相關產業，可以從以下幾個面向著手：

• 策略 1：聚焦

1. 資安產品製造商聚焦資料保全與存取保護、雲端安全服務及雲端安全軟體之研發。
2. 雲端服務稽核與資料管理、雲端運算平台安全及資通訊基礎設施安全則由服務供應商依據國際標準，整合國內外產品及解決方案來切入。

• 策略 2：發掘新機會

1. 在行動雲端服務、數位匯流服務等新興產業領域尋求新的資安產業發展機會。
2. 積極發展從終端設備、傳輸網路到雲端服務之完整而前瞻的解決方案。

• 策略 3：促進需求

1. 發展可建立中小企業用戶與雲端服務供應商彼此信任的公有雲營運模式與解決方案。
2. 加強中小企業主及一般消費者之資安認知。

• 策略 4：本土紮根、國際接軌

1. 成立專家工作小組，從政府運作及公共服務需求出發，協助制定行動及數位匯流等雲端服務的資安、稽核與認證相關規範。
2. 與國際標準接軌。
3. 投入政府資源，鼓勵產學研開發有效之解決方案，以導引雲端資安產業之發展。

• 策略 5：優化資安人才培育與就業環境

1. 強化產學研合作，改善雲端資安人才培育機制。
2. 營造有利於資安人才職涯發展的產業環境。
3. 改善大型資訊整合、數位鑑識等領域的人才缺口。