Choson資安大小事從事資訊工作二十多年，對資安極具熱情，在 Network Security, Endpoint Security, 及 Mobile Security 等資安領域有超過十年以 上的經驗。曾任職精誠資訊資安產品代理部門技術經理，負責 資安產品之技術支援與大型企業導入專案。此外，他也取得了 ISO 27001 主導稽核員證書及 Check Point 的 CCSA 與 CCSE 等防 火牆產品等專業證照。此外，平常除了喜歡透過ITHelp平台及個人部落格分享文章，亦常擔任社群活動主辦者及志工，連結資安同好聯誼及共好學習，並協助對於CISSP有興趣的同學與同好準備認證考試。
UDDI是統一描述、發現和集成（Universal Description, Discovery, and Integration）的縮寫。它是一個基於XML的跨平台的描述規範，可以使世界範圍內的企業在網際網路上發布自己所提供的服務。
UDDI是OASIS發起的一個開放項目，它使企業在網際網路上可以互相發現並且定義業務之間的交互。UDDI業務註冊包括三個元件：
白頁：有關企業的基本信息，如地址、聯繫方式以及已知的標識；
黃頁：基於標準分類的目錄；
綠頁：與服務相關聯的綁定信息，及指向這些服務所實現的技術規範的引用。
UDDI是核心的Web服務標準之一。它通過簡單對象存取協議進行消息傳輸，用Web服務描述語言描述Web服務及其接口使用。
資料來源：https://zh.wikipedia.org/wiki/UDDI
整合開發環境（Integrated Development Environment，簡稱IDE，也稱為Integration Design Environment、Integration Debugging Environment）是一種輔助程式開發人員開發軟體的應用軟體，在開發工具內部就可以輔助編寫原始碼文字、並編譯打包成為可用的程式，有些甚至可以設計圖形介面。
IDE通常包括程式語言編輯器、自動構建工具、通常還包括除錯器。有些IDE包含編譯器／直譯器，如微軟的Microsoft Visual Studio，有些則不包含，如Eclipse、SharpDevelop等，這些IDE是通過呼叫第三方編譯器來實現代碼的編譯工作的。有時IDE還會包含版本控制系統和一些可以設計圖形使用者介面的工具。許多支援物件導向的現代化IDE還包括了類別瀏覽器、物件檢視器、物件結構圖。雖然目前有一些IDE支援多種程式語言（例如Eclipse、NetBeans、Microsoft Visual Studio），但是一般而言，IDE主要還是針對特定的程式語言而量身打造（例如Visual Basic、Spyder）。
資料來源：https://zh.wikipedia.org/zh-tw/%E9%9B%86%E6%88%90%E5%BC%80%E5%8F%91%E7%8E%AF%E5%A2%83
PS:資料來源為WentzWu,經作者同意分享
CISSP是我考過最有光榮感，也最有儀式性的資安專業認證考試！不像其它認證機構以賺錢為出發點，對於考試的公平性及完整性採取睜一隻眼、閉一隻眼的態度，ISC2是我接觸過最嚴格執行各項考試規範及規則的機構。在ISC2所有會員及CISSP共同努力下，CISSP這個品牌與形象在全球業界受到極高的評價及認可！身為CISSP及WUSON的同學應該一起來維護這個得之不易的成果！
WUSON的考試策略很簡單，只有以下幾個重點：
知識只有行動才能產生力量！因此，既然在準備CISSP的過程中學習了ISC2的道德守則、知識產權及合約條款等符合性(compliance)要求，我們接下來就應該盡最大的力量去實踐。例如：
我們學習的背後都有一定的利益動機，如升官、加薪等。然而，我們的加薪與升官並不是因為學到了知識、拿到了證照，而是我們的行動創造了更多的價值(value)而加薪，以及因為承擔了更多的責任(accountability and responsibilities)而升官。
CISSP在這個資安的大時代將獲得前所未見的重視，成為CISSP將得到更多、更好的職涯機會、獲得更大的組織授權，以及承擔更多的責任。來WUSON上課，我們不只要光榮的通過CISSP考試與取得證照，還要發揮更大的影響力、產生更多的貢獻、促進好的、向上的改變，共創美好的未來！
在CISSP之路，請大家務必認真看待以下ISC2的道德守則，並盡最大的力量去實踐它們！
[WUSON] 商業道德與決策 — 以我的接案經驗為例
改變世界，從我們每一個人自己作起！
讓我們一起成為CISSP! 一起迎接這個人生第二次大學聯考的光榮時刻！
一起為我們國家的資安、美好的家園，以及共同的美好未來而努力！
資料來源：https://wentzwu.medium.com/cissp-%E6%88%91%E5%80%91%E7%9A%84%E5%85%89%E6%A6%AE%E6%99%82%E5%88%BB-b3db21ecc755
PS:此文章經過作者同意刊登
PS:此資料經由作者同意刊登
電腦系統上的存取控制是指：
主體對於客體的存取行為，必須受到安全核心(Security Kernel)的3A管制。
3A是指驗證身份(Authentication)、檢查授權(Authorization)與記錄行為(Accounting)。然而要進行3A管制必須先有身份(idenity)才行。因此，存取控制的口訣為 I+3A。
安全核心是美國國防部橘皮書(TCSEC)的用語，一般人比較不會用這個名詞。簡單的說，安全核心是一台電腦系統中，負責存取控制的元件。值得注意的是，安全核心是一個軟體、韌體及硬體總成的概念，不是單指軟體、韌體或硬體。以下是NIST對於安全核心的定義：
Hardware, firmware, and software elements of a trusted computing base implementing the reference monitor concept. Security kernel must mediate all accesses, be protected from modification, and be verifiable as correct.
WUSON CISSP的課程將零信任(Zero Trust)定位為Access Control 2.0, 也就是：
以資料為中心劃定虛擬邊界，進行更細膩/粒、更動態、更透明的存取控制。
資料來源：https://wentzwu.medium.com/%E5%AD%98%E5%8F%96%E6%8E%A7%E5%88%B6%E7%9A%84-%E5%9F%BA%E6%9C%AC%E7%94%A8%E8%AA%9E-cf9f94d29f28
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
-安全核心
在自主訪問模型 (DAC) 中，數據所有者負責保護委託數據、對其進行分類，並根據需要知道和最小權限原則做出授權決策。
數據保管人負責執行數據所有者做出的授權決定。受信任的計算機系統將授權保存在稱為訪問控制矩陣 (ACM) 的數據結構中。Take-Grant保護模型是操縱ACM的理論之一。
可信計算機系統中的安全核心強制執行訪問控制（身份驗證、授權和記帳）。符合 TCSEC C 部門標準的可信計算機系統支持 DAC，而符合 B 部門標準的可信計算機系統支持 MAC。DAC 系統基於身份並依賴於 ACM。它不會引用對象的安全許可或對象的標籤。
資料來源： Wentz Wu QOTD-20211107
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
各位大學生好，優秀的各位未來都是要進入職場的精英，但是在職場上需有許多專業技能，
如果是想進入資訊產業或職位，建議先打好以下基礎：
此文章來至Wentzwu網站QOTD 20111106，文章如下：
-CIA 和 DAD（圖片來源：Thor Pedersen）
資產分類通常根據商業價值確定資產的重要性或優先級，可以從機密性、完整性、可用性、購買/歷史成本、收入損失、機會成本等方面進行評估。分類方案是關鍵工具對資產進行分類。在資產被正確分類後，安全控制的範圍和定制。
這個問題中提到的分類方案（機密性、私人性、敏感性和公共性）是以機密性為中心的，並且在私營部門中普遍使用。鑑於分類方案，洩露機密性的信息是主要關注點。
-分類方案
資料來源： Wentz Wu QOTD-20211106
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
-Kerberos 操作（來源：Fulvio Ricciardi）
第一個 Kerberos 消息是 AS_REQ，如上圖所示。根據維基百科，“客戶端將用戶 ID 的明文消息發送到代表用戶請求服務的 AS（身份驗證服務器）。（注意：密鑰和密碼都不會發送到 AS。）”
Fulvio Ricciardi詳細解釋了 Kerberos 的工作原理。
參考
. Kerberos（協議）
. RFC 4120：Kerberos 網路身份驗證服務 (V5)
. Kerberos（Wireshark 捕獲文件）
. 加密類型
. Kerberos 版本 5 身份驗證協議的工作原理
資料來源： Wentz Wu QOTD-20211103
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
