新闻链接：
http://www.bnext.com.tw/article/view/id/37221
新闻时间：
2015/08/28
新闻正文：
台湾APT攻击的情况为亚洲最严重，台湾最大资安及骇客技术研讨会台湾骇客年会（Hacks In Taiwan Conference, HITCON），这周以「Security of Things」为年度主轴，展开为期六天的活动。继26 、27日企业场HITCON Enterprise后，28、29日紧接着社群场次HITCON Community登场，在研讨会中深入分享骇客密技，台湾资安专家们认为，唯有了解骇客最新的攻击手法，才知道要怎么去防御自己。

HITCON总召蔡松廷指出，台湾是受到资安攻击很严重的国家，HITCON在社群经营非常有经验，但要改善资安环境的话，只有社群的力量不够，所以即使举办企业场亏钱，也希望能让更多人了解资安，今年更首次邀请行政院副院长张善政演讲，希望政府、企业及社群未来能更紧密合作。
　
HITCON社群场总召集人翁浩正表示，迈入11届的HITCON年会，从2005年的100名参与者，增加至1千名资安人员参与，会中也有来自10个国家的参与者与会。社群场更以物联网资安为题，举办IoT Wargame，每位参与者都拿到一个特制的设备「HITCON nano」，了解嵌入式设备安全的重要，今年也举办「Hack2Own」骇客松竞赛。这次最大的亮点是，去年获得DEF CON世界冠军的PPP战队，其中的天才白帽骇客geohot（George Francis Hotz）也应邀来台，向资安界分享他自己所开发的找漏洞工具。

到底政府和企业遇到资安威胁时，应该怎么办？

1、开放资料反而更安全
26日的「HITCON专家企业资安防御招式座谈会」邀五位资安专家分享，台北市资讯局局长李维斌说，政府的资安预算只占1％，预算十分不足，先前北市府发生骇客攻击偷资料的事件，台北市长柯文哲了解骇客所偷的资料后，发现这些都是公开在网路上的资料，等于骇客做白工，「柯文哲就指示能开放的政府资料就全都开放出来，反而因此也让政府资安比较好管理，因为骇客没什么好偷的！」

2、改变心态，拥抱白帽骇客
翁浩正指出，企业内部发生资安事件的时候，企业往往是各部门互推责任，但资安部门往往夹在中间，又没有权限处理，或是有白帽骇客主动提醒企业的漏洞，企业的反应往往是紧张、害怕，怕对方要来勒索。他说，「把骇客当成你的朋友，拥抱白帽骇客，他们可以帮助你处理漏洞！」例如，近期LINE也提出漏洞奖励计画，鼓励资安研究人员回报漏洞，他认为这才是正向循环。

3、了解最新的攻击手法
台湾骇客年会总召蔡松廷说，Hacking Team最重要的意义是告诉大家资讯战的时代已经来临，可以把它想成数位的军火商，就是提供武器的厂商。在资讯战里面，要如何取得优势和领先？就要购买比别人好的武器。如何在有​​限预算和资源下，应付资讯战？他指出，其实中国的兵法可以参考，当人数和资源少的时候，不一定会居劣势，最重要的是要了解自己。

此外，也要了解敌人，知道他们如何入侵、手上拥有的0day是哪一个、手法为何、利用你网站的哪个漏洞？了解够多的话，比较容易防御攻击，赶快去修补漏洞。 HITCON年会会定期揭露最新的手法和漏洞，持续追踪这些讯息，就知道最新被攻击的领域、手法和技术在哪里，比较容易知道要如何布署安全策略。

4、鼓励企业做漏洞奖励计画
带队参加网路攻防竞赛的HITCON领队李伦铨说，企业漏洞计画里赞助最多钱的企业，大约是每个漏洞五万美元，让研究员协助找漏洞，现在越来越多有热情的研究员和高阶资安人向企业送出漏洞通报，但却找不到通报的管道，打客服电话通常没有反应，或是企业进而怀疑他们，让他们通报的热情化为乌有，这会降低研究员的热情。

李伦铨说，然而就算企业提高资安预算，也比不过地下黑心产业。知名的黑产像是Hacking team跟别人买每个漏洞的金额可达10万美元，他们再转卖漏洞的金额可高达好几千万。相比之下，黑产的金额大得多，这些资安人会选择把漏洞送去哪里呢？也许企业没办法给这么高的回馈，但至少一定要有通报机制和奖金，这才是解决问题的根本，才能真的打破黑产的结构。

5、别只分内外网，要更细致区隔网段
台湾威瑞特技术长邱铭彰（Birdman）也说，「企业或资安公司介入经济活动，是对抗和破坏黑产最好的方法之一。」此外，邱铭彰认为，企业过去保护资安，用隔离内网和外网的方式，但是只分内外网太粗糙，而且对管理员工来说也是不人道的做法，因为员工还是会用手机上网，也有资料交换的需求，到最后反而形成某一台伺服器变成资料交换的集中地。

邱铭彰建议应该更细致、渐层式的区隔网段，让每个网段有不同的层级和责任，例如网管要遥控别人电脑只能用实体线接到某台电脑才能使用，这样才能让员工更遵守政策，更符合人性，真正做好资安管理。

[招生]系统0day安全班，企业级设备固件漏洞挖掘，Linux平台漏洞挖掘！