Choson資安大小事
各位大學生好，優秀的各位未來都是要進入職場的精英，但是在職場上需有許多專業技能，
如果是想進入資訊產業或職位，建議先打好以下基礎：
此文章來至Wentzwu網站QOTD 20111106，文章如下：
-CIA 和 DAD（圖片來源：Thor Pedersen）
資產分類通常根據商業價值確定資產的重要性或優先級，可以從機密性、完整性、可用性、購買/歷史成本、收入損失、機會成本等方面進行評估。分類方案是關鍵工具對資產進行分類。在資產被正確分類後，安全控制的範圍和定制。
這個問題中提到的分類方案（機密性、私人性、敏感性和公共性）是以機密性為中心的，並且在私營部門中普遍使用。鑑於分類方案，洩露機密性的信息是主要關注點。
-分類方案
資料來源： Wentz Wu QOTD-20211106
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
-Kerberos 操作（來源：Fulvio Ricciardi）
第一個 Kerberos 消息是 AS_REQ，如上圖所示。根據維基百科，“客戶端將用戶 ID 的明文消息發送到代表用戶請求服務的 AS（身份驗證服務器）。（注意：密鑰和密碼都不會發送到 AS。）”
Fulvio Ricciardi詳細解釋了 Kerberos 的工作原理。
參考
. Kerberos（協議）
. RFC 4120：Kerberos 網路身份驗證服務 (V5)
. Kerberos（Wireshark 捕獲文件）
. 加密類型
. Kerberos 版本 5 身份驗證協議的工作原理
資料來源： Wentz Wu QOTD-20211103
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
-軟體運行環境
與 JavaScript、C# 和 Java 不同，C 語言提供編程結構來直接控制硬體並調用操作系統提供的服務。例如，“指針（pointer）”用於操作靜態或動態分配的內存。
使用 JavaScript、C# 和 Java 開發的應用程序是託管應用程序，並在運行時環境或沙箱中執行。例如，基於 .NET 框架的 C# 應用程序（編譯為 MSIL）、Java 虛擬機 (JVM) 中的 Java 應用程序以及瀏覽器或 Node.js 運行時中的 JavaScript。
託管應用程序中可能會發生緩衝區溢出。但是，它們通常由運行時或沙箱很好地管理。C 應用程序自己管理內存；它們更容易受到緩衝區溢出攻擊。
資料來源： Wentz Wu QOTD-20211102
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
安全框架(framework)的目的之一是根據安全要求指導控制措施(control)的選擇，以保護資訊系統。 關於安全框架，以下哪項是正確的？ (Wentz QOTD)
A. 框架設定了組織要遵循的標準
B. 框架應盡可能詳盡
C. 框架可能導致強制性實踐
D. 各種框架不應同時採用
One of the security framework’s purposes is to guide the selection of controls based on security requirements to secure information systems. Which of the following is correct about security frameworks? (Wentz QOTD)
A. A framework sets the standard for organizations to follow
B. A framework should be as exhaustive as possible
C. A framework may lead to mandatory practices
D. Various frameworks should not be adopted simultaneously
老師的回覆：
A. A framework sets the standard for organizations to follow => framework是範本/懶人包, 不是標準
B. A framework should be as exhaustive as possible => 應儘量簡單, 易用, 不要太繁索
C. A framework may lead to mandatory practices => framework可能最後會導致/發展出強制性的實務作法
D. Various frameworks should not be adopted simultaneously => 一個組織實際上反而都是導入多個框架, 解決不同需求.
資料來源： Wentz Wu QOTD-20210922
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
感謝EthanSoo老師的教導，資安恩師 Wentz Wu給予機會來學習Scrum，也謝謝 Kaitlyn Peng & Joy Liao &Ray Lin的協助與指導，才能讓我成為Scrum的小白。
According to Bruce Schneier, there are four general types of cryptanalytic attacks, each of which assumes that the cryptanalyst has complete knowledge of the encryption algorithm. Which of the following emphasizes that the cryptanalyst’s job is to recover the plaintext of as many messages as possible, or better yet to deduce the key (or keys) used to encrypt the messages, in order to decrypt other messages encrypted with the same keys? (Wentz QOTD)
A. Ciphertext-only attack
B. Known-plaintext attack
C. Chosen-plaintext attack
D. Chosen-ciphertext attack
根據 Bruce Schneier 的說法，有四種一般類型的密碼分析攻擊，每一種都假設破密分析者完全了解加密算法。 以下哪項強調破碼分析員的工作是盡可能多地恢復消息的明文，或者更好地推斷用於加密消息的密鑰（或多個密鑰），以便解密使用相同密鑰加密的其他消息? (Wentz QOTD)
A. 只有密文攻擊
B. 已知明文攻擊
C. 選擇明文攻擊
D. 選擇密文攻擊
建議答案為A
根據密碼學大學Bruce Schneier的說法, 只有密文攻擊, 已知明文攻擊, 選擇明文攻擊, 及選擇密文攻擊等都可以用來破解Key(即deduce the key), 但有二個是比較特別的:
資料來源：https://wentzwu.com/2022/03/21/cissp-practice-questions-20220321/
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
以下哪個是可路由協議？ (Wentz QOTD)
A. SPX
B. NetBEUI
C. IPv4
D. BGP
我建議的答案是C. IPv4。
Routing跟routed,前者是主動，後者是被動。rip, ospf是routing protocol, 而ip是routed protocol.
資料來源：https://wentzwu.com/2021/09/26/cissp-practice-questions-20210926/
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
目標始於渴望(desire)以及對末來的想像(vision)，是對於想要的成果(desired outcome)的具體描述(statement)。目標可以拆解成具有上、下位關係的大目標(goal)與小目標(objective)；換句話說，目標是有階層的。大目標是上位目標，通常範圍較大、時間較長；小目標是下位目標，範圍較小，時間也愈短。目標的設定必須符合SMART原則，也就是很具體(specific)、可衡量(measurable)、作得到(achievable)、玩真的(realistic)，而且有時間限制(time-bound)；其中頭尾最重要，也就是具體與時間。具體的目標就容易衡量，綁定時間的目標才不會拖延(procrastination)，才會採取行動(執行)往目標前進。執行的階段產出稱為績效(performance)；換句話說，執行的績效就是可衡量的結果。
管理(management)是達成目標的一套有系統的方法；業界最常用的方法是PDCA (Plan-Do-Check-Act)，即規劃、執行、查核與行動(改善)。有效的(effective)管理必須能達成目標，規劃(planning)的首要工作就是確定目標(goal setting)，規劃的結果就是產出計畫書(plan)，以指導活動的執行。計畫書由高階概念開始發展，再逐步發展配套的細部計畫。高階的計畫書又常稱為戰略計畫(strategic plan)或簡稱戰略(strategy)；細部的計畫也常被稱為行動計畫(action plan或paln of action)或戰術(tactical plan或tactic)。空有計畫不足以達標，因為有許多影響目標達成的不確定因素存在；這些影響目標達成的不確定因素我們稱之為風險(risk)。
目標管理是運用系統化方法來達成目標的學問，至少包含了三個議題：戰略管理(strategy management)、風險管理(risk management)及問題解決(problem-solving)。
事件(event)的發生有一定的條件與前提，以及因果關係(cause and effect)。好的事情發生，我們會探討成功因素(success factors)；面對壞的事情，我們會追究根本原因(root cause)。然而，實務世界很難找到一組成功因素(充分, sufficient)可獲致必然成功的結果。也就是說，分析成功的個案、探究關鍵成功因素(CSF, critical success factor)，並且仿效成功個案可以增加成功的機會，但並不一定能獲得同樣的成功。相反的，有些事情則是可預期的必然結果。例如，取得CISSP資格的一定要(必要, necessary)通過CISSP考試；換句話說，沒有CISSP資格的人，我們可以確信他一定沒有通過CISSP考試。
根據Google字典，實體(entity)是實際存在且可以維一識別的獨立個體 (a thing with distinct and independent existence)。一個實體的特質(quality)、特性(property)、特徵(characteristic)或特色(feature)等的描述稱為屬性(attribute)。用來唯一識別一個實體的屬性則稱為身份(Identity)。台灣是一個政治實體(在政治上實際存在的個體)，但我們有許多不同的身份，例如：國名叫中華民國、參加奧運會則是叫中華台北、在WTO則叫作臺澎金馬個別關稅領域。台灣的正名運動，就是讓我們有一個一致、明確、可唯一識別的國家身份。在資訊或資安領域，所有軟硬體相關的東西(其至是使用者)，都可以抽象地稱之為實體；UEBA (User and Entity Behavior Analysis)就是針對使用者與使用者以外的所有實體(東西)來進行分析，以察覺及偵測異常並強化安全性。帳號(account)則是為了方便管理實體的技術手段。
系統(system)是指為了達成特定目的而一起協同運作的一群元素的統稱。相對於系統強調整體，組成該系統的元素則是個體。不論是整體的系統或是個體的元素，它們都可稱為實體，都有唯一識別的身份。一個系統的組要元素及其關係我們稱之為架構(architecture)；例如：企業架構、系統架構、網路架構、軟體架構、資料架構或觀念架構等。資訊系統是指將資料(data)進行處理，並轉換為有用的資訊(information)的系統；其常見的組成元素有資料、電腦系統、作業系統、應用軟體、網路、資料中心、人，以及業務流程等。
工程(engineering)的本質是作東西(acquire and develop)，當作解決方案(solution)來解決利害關係人(stakeholder)的問題(problem)及滿足他們的需求(expectations, needs, and requirements)；也就是運用專業知識把一個東西從無到有作出來，讓它上線、使用它、維運它，一直到它除役的整個生命週期都必須考慮到利害關係人的需求。系統安全工程特別強調發展一套系統必須在整個系統發展生命週期(SDLC, system development life cycle)的每一個階段的每一個活動，都必須考慮到利害關係人的安全需求(安全性)。一個系統的發展不可能一開始就鉅細靡遺，而是從主要的元素及其關係(架構)開始設計。所謂的設計(design)是指書面的解決方案。因此，一個安全的系統必須從生命週期(life cycle)及架構(architecture)的角度來思考安全性，也就是時間都安全、處處都安全的概念。
所有的工程案都是專案(project)。也就是透過一次性的專案投資(investment)，來創造持續性(persistent)的價值(value)。所謂的專案都有開始、有結束、有產出，而且產出必須在範圍內(scope)、時間內(schedule)、成本內(cost)，且兼顧品質(quality)。一個組織要作工程除了必須具備良好的專案管理能力外(又稱為技術管理能力)，還必須具備卓越的技術能力；此外，面對眾多的工程案，一個組織必須具備的跨專案的資源管理能力(也稱為組織的專案致能能力)，以及合約(取得及供應)管理能力(也稱為協議能力)。
資料來源：https://coaches.wuson.org/wuson_glossary/
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文