央视百家讲坛于丹教授讲了一个故事：一个人看见有人在工地干活，就上前问了三个工人你们在干什么，第一个 的回答是在干苦力/第二个的回答是在砌墙/第三个的回答是在修一座教堂，于丹教授讲第一种人是悲观主义者，第二种人是职业主义者，第三种人是理想主义者； 第一种人把任何安排给自己的工作都当成一种负担，为了生计或者基本的需求去工作；第二种人按部就班的从职业的角度去考虑问题去完成自己的使命，基本上没有 创新的思想，完成分内之事就达到要求，也不关心自己最后去哪里；第三种人则是明白自己要去哪里，明白自己现在做得工作的意义所在，这一类人是孔子认为君子 应该有的品质；
引文：http://bbs.cisps.org/viewtopic.php?t=8367&postdays=0&postorder=asc&start=45
阅读全文...
引文：电信网通证实台湾地震影响内地访问国际网站
今天早上上班后就感觉网络有点问题，很多网站都打不开，偶然间从国内的网站上了解到昨天台湾地震影响到了中国互联网的国际出口，中国国际海底光缆网络如下图所示：
如果这次互联网事件发生在2008年奥运会，那会是什么样的情况呢？后果不堪设想，北京奥运会将是奥运会史上最失败的一次，在中国的外国记者无法通过互联网与总部通信，无法完成正常的工作，国外奥运迷们无法即时了解北京奥运会的状况。随之而来，中国的国际名声将受到前所未有的挑战。
我们试问，中国互联网做好了2008年奥运会抵抗自然灾害的准备了吗，业务连续性真正的做到位了吗，在一次不大不小的地震面前，中国国际网络如此不堪一击。具了解，作为2008北京奥运会赞助商之一的中国网通正在积极建设从青岛到美国的网络出口，似问，这一出口似乎也会受这次地震的影响，因为这一条光缆和已经存在的光缆是那么的接近。
中国国际网络出口是否做好了应对这种物理安全的准备，相应的业务连续性和应急计划是否达到我们所期望的目标，似乎还有很多工作需要完成，我们期待2008北京奥运会成功举行。
参考：中国网通铺设新海底光缆 拟建独立国际出口
阅读全文...
各种威胁对网络安全的影响指数
请估计以下安全威胁对您企业网络安全造成的影响？
特洛伊木马、病毒、蠕虫以及恶意代码(无关源程序) ………… 50%
间谍软件 ………… 45%
垃圾软件 ………… 44%
员工失误(无心的) ………… 39%
应用程序漏洞 ………… 37%
数据被员工或商业合作伙伴窃取 ………… 27%
黑客 ………… 36%
内部人员蓄意损坏 ………… 30%
无线LANs ………… 30%
新技术的部署(如无线LANs，远程访问) ………… 27%
商业合作伙伴的失误(无心的) ………… 24%
不属竞争对手和网络恐怖主义范畴的无意入侵者、员工或合作伙伴 ………… 20%
网络恐怖主义 ………… 19%
不能遵循政府调整命令 ………… 16%
竞争者派来的间谍 ………… 15%
查看全文
阅读全文...
2000年左右，工商银行开始建设全国数据大集中系统；2002年10月份，其数据集中到南、北两大中心；2004年10 月份又集中到了上海一个中心，所谓的全国数据大集中真正形成。从全国统一布局来看，工商银行的IT战略是逐步形成数据中心集中系统运营，和一级分行分控区 域管理的扁平化运维体系。从战略定位来讲，其最终目的是实现端对端的一体化管理、集约化管理。而要安全、稳定地运行如此庞大的集中式系统，原有的运维管理 方法和经验俨然已经无法适应。
2003年，工商银行开始尝试把国际领先的ITIL理念引入IT运维，并购买了一套IT工具作为运维管理的技术支持平台。
随后，结合ITIL的问题管理、变更管理、事件管理、容量管理等流程，吕仲涛又带领IT部门进行了大量二次开发，终于打造出工商银行独具特色的ECC（企业总控中心）管理平台。
在 过去，如果一级分行（省分行）发生系统故障，总行一般要通过分行文件或电话上报才能了解；总行对问题的严重程度和处置意见，往往无法及时了解和协调回复； 有时甚至媒体公开报道了，总行还不甚了解。现在，通过ECC管理平台，总行就能及时监控系统的问题，并主动通过问题管理流程和变更管理流程协调问题的及时 解决。
目前工商银行的IT运维实现了分级管理、全网监控。据介绍，数据中心有很多集中监控系统，一旦有问题，系统就自动报警，并标识出是什么问题，以便及时处理。
目前工商银行所有的计算机资源都可以在系统中看到。每台设备都有一个编号，当要查看该设备的配置情况时，只用输入其编号，立刻就会弹出一个界面，清晰地标明该设备的购买日期、合同号、具体位置、使用情况、各项配置等。
一旦需要进行系统变更，主办部门首先要在系统中提交一个变更请求，该变更请求自动提交给有关人员并等待审批，审批完毕，如果同意，即可变更。
系统还能显示哪些问题已经得到处理。对于处理过的问题，还能以报表形式进行统计分析和显示。每个月，工商银行通过这个系统会统计出全行所有的问题。如果想查看某个问题，只用在系统中点击问题单，就可以看到详细内容。
目前，多数企业的IT部门无法有效管理分散在各业务部门的IT系统，因此，经常发生IT部门和业务部门在IT运维服务责任和质量上的矛盾，工商银行目前怎样解决这个问题？
这种情况在工商银行同样存在，但通过这几年的努力，情况已有了根本性转变，主要是通过强化专业化IT管理来实现的。
具体来说，一方面通过系统的整合和集中，将原先分散在业务部门的IT系统集中到 IT运行中心管理。另一方面，提供明确的服务管理流程、标准规范作为IT运维的保障，为业务部门提供及时可*IT服务。目前工商银行已经有一本厚厚的运行制度手册。
ITIL的一个核心理念是强调流程管理。但是，如果好的流程得不到执行，就没有意义。流程的执行面临着诸多挑战，比如习惯。
为了落实流程的全面执行，工行信息科技部采取铁腕政策，取消了大量的书面审批程序，决策数据直接让系统的统计数据产生，如果系统报表出了错误，就一定要找到具体的责任人，让他付出成本，最后逼着他们做正确。
除此之外，通过每天的各中心集体参加生产运行电视例会和每月的全行信息系统运行通报和考核，统一各级科技人员IT运维的管理思想，使大家最终达成共识并自觉按管理流程办事。所幸的是，经过很长时间的推动和努力，员工已经逐渐习惯用这个系统。
IT服务管理，简称ITSM（Information Technology Service Management）。它是一种以流程为导向、以客户为中心的方法，它通过整和IT服务与组织业务，提高组织IT服务提供和服务支持的能力及水平。
它的核心思想是，IT组织，不管它是企业内部的还是外部的，都是IT服务提供者，其主要工作就是提供低成本、高质量的IT服务。
由于服务的无形性、不可分离性、易变性和随时间消失性等特性使得服务难于被标准化。因此，IT服务管理虽然很早就有人提出，但没有人重视。直到人们采用“最佳实践”的方法，它才得到很大发展。“最佳实践”就是指业界认可的、有效的做事方式，每个企业都可以发、开发自己的最佳实践。英国商务部 开发的ITIL最被业界认可，它是最佳实践的结晶。
ITIL与ITSM的关系：
1、先有ITSM，后有ITIL；
2、因为有了ITIL，ITSM才得以发展；
3、ITSM的发展，不仅仅需要ITIL。
综合众位网友的意见和建议，整理了一部分基本概念，希望这些会对大家阅读相关文章与浏览本站信息有所帮助。
转自http://www.simaone.org/forum/dispbbs.asp?boardID=19&ID=78&page=1
根据目前流行的P2DR安全模型，安全技术覆盖三个方面，Protection（保护）、Detection（监测）、Response（响应）
安全管理包括两个方面，一是Policy（策略），另外一个是信息安全活动的生命周期闭循环，如何来进行这个循环，可能要就要借助于风险管理。
个人认为这个模型是最简洁，其它很多模型都是在这个模型的基础上演化来的。
阅读全文...
ISO27000系列标准于2005年正式推出，初步考虑制定将近10个标准全面规范信息安全管理体系（ISMS），下面把截止到目前已经发布或正在计划中的7个标准列出来，供大家分享。
ISO27000——Information security management system fundamentals and vocabulary(NP)：通过整合改写13335得到的，主要用于阐述ISMS的基本原理和词汇，预计2008年11月发布。
ISO/IEC 27001——Information security management systems——Requirements(信息安全管理体系要求)：源于BS7799-2，主要提出ISMS的基本要求，于2005年10月15日正式发布。
ISO27002（ISO/IEC17799）——Code of practice for information security management(信息安全管理实用规则)：源于ISO/IEC 17799：2005，给出了11个安全域39个安全控制目标和133个安全控制措施，于2005年6月15日正式发布了。
ISO27003——Information security management systems implementation guidance(信息安全管理系统实施指南)，目前还在开发中，预计2007年发布。
ISO27004——Information security management measurements(信息安全管理度量)：阐述信息安全管理的过程度量和控制度量，预计2007年发布。
ISO27005——Information security risk management(信息安全风险管理)：主要阐述风险评估和风险处置，以2005 年底刚刚推出的BS7799-3（基于ISO/IEC 13335-2）为蓝本，预计2007年发布。
ISO27006——Information security management certification & authentication(信息安全管理认可认证)。
ISO27007——27009为其它可能的信息安全管理标准预留。
注：该文通过研讨会上的专家发言整理而成，进一步了解请参见官方网站：www.iso.org
阅读全文...
提交的CISSP申请书第二次被打了回来，真是郁闷死了
第一次是要求提交Plain Text类型的邮件，而我提交了一个压缩包
第二次是RESUME里的工作年限不够（要求4年，我只有3年多），还要求我提交学位证书，以便可以弥补1年的时间，可是我的证书现在还在济南，想想真是不顺
这也不能怪我，谁叫ISC2的邮件不说清楚呢
不过吃亏的还是自己，还是想办法先回一趟济南，把事情都搞定再说吧，真是受不了！
阅读全文...
问：什么是可信服务器规范?
答：定义一个可信服务器的体系结构,以及这些服务器怎么样被创建、管理和维护。规范也为可信服务器和客户端进行通信提供了蓝图。
问：在有可信客户端规范后,为什么还需要可信服务器规范?
答： TCG的目标是构建端到端的可信计算。目前已经有1500万可信客户端在使用，在未来的几年中，这一数字还将不断增加。有必须为开发者提供一个补充规范来保护服务器，并允许服务器客户端进行可信通信。
问：该规范覆盖了哪种类型的服务器?
答： 正如所有TCG规范一样，服务器规范被创建用来支持各种类型的平台和架构，包括X85和Itanium、MIPs、Sparc、Power和其他。
问：可信服务器支持塔式服务器吗?
答： 本规范允许可信服务器以任何形式存在，包括塔式服务器。
问：TPM和可信服务器规范是怎样的关系?这些服务器需要TPM吗?
答： 可信服务器要求包括符合TPM规范1.1b或1.2的功能。
该规范作为TPM规范的一个补充，定义了可信服务器的操作和要求。
问：服务器的TPM与PC的有什么不同?TCG怎么界定它们?
答： 目前，可信服务器可能使用与可信客户端相同的TPM。今后,TCP可能为服务器运行或管理能力提供额外的TPM命令。
问：服务器中的TPM做什么样的工作?
答： 服务器中的TPM提供的功能与可信客户端是相同的：存储和保护数字密钥、密码和证书。建立在可信服务器上的应用将与在客户端上的是不一样的。
问： 可信服务器的性能会受到影响吗?
答： 这依赖于部署在新的可信服务器中应用的特性。假设早期的应用程序将不依赖TPM来提高性能,但是,一段时间之后,随着TPM性能的提高,更多的操作可能由TPM来完成,这就要求平台提供商提供解决方案来减小这种影响.
问：对服务器来说,规范要求什么?把可信计算融入到将来的服务器中,需要重新的设计吗?
答： 该规范给出了基本的要求,为服务器厂商提供了从服务器到可信服务器设计的说明.同时,也为从可信客户端设计到可信服务器设计进行转换提供了说明.在可信客户端所做的工作大部分都可以移植到X86可信服务器的设计当中,只需要很小的改动.
问：符合服务器规范的产品什么时候出来?
答： 预计可信服务器将在2006年出来.
问：符合可信服务器规范的服务器很贵吗?额外的成本是多少?
答： 可信服务器的定价还不清楚,但是额外的成本应该很少,这要看可信客户端的环境.
问：可信服务器需要新的或者其他管理工具和服务吗?可信服务器与现在的应用兼容吗?
答： 将有新的工作来管理可信服务器的安全功能.虽然采用了很多新的安全特性,很可能更新应用程序,但是可信服务器将与当前的应用保持兼容。
问：IT管理者可以把可信和不可信服务器部署在一起吗?
答： 可以.就像可信客户端一样,我们期望大多数组织配置新的可信服务器来逐渐取代旧的系统。
问： 可信服务器有哪些用途?
答： TCG可信服务器规范可以使用的案例包括：
* 资产管理
* 配置管理
* 数据移植和备份
* 分布可信计算
* 文档管理
* 金融事务处理
* 端点完整性和网络访问控制管理
* 用户和平台认证
问：这些用途的示例是什么?
答： 保证可信客户端连接到目的服务器。该规范同时也提供了一个使用模型，这要求在被允许执行敏感事务之前，服务器被校验符合最小标准。另外一个例子是：保证存储在服务器中的数据是经过封装的（使用基于1.2规范的TPM）来防止被非授权访问。
阅读全文...
Web2.0是表述新一代网络应用的新鲜术语。Start.com,Google maps,Writely以及MySpace.com都是使用Web2.0的范例。技术水平的不断进步，推动了web2.0应用的发展。在网络服务方面， 它加强了服务端的核心技术组件，而在客户端方面，AJAX和丰富网络应用(RIA)则改进了浏览器中的客户端用户接口。
XML语言对表示层和传输层（HTTP/HTTPS）有巨大的影响。SOAP成为基于XML的传输机制的特别选择后，从某种程度上说，XML在表示层上取代了HTML语言。
Web2.0关注点——重整行业
技术变革带来了新的安全关注点和新的攻击向量。Yamanner,Samy以及Spaceflash这些典型蠕虫正在攻击包含保密信息的AJAX架构的客户端，它们提供攻击途径。
在 服务器端，基于XML的网络服务正在取代一部分的关键功能。它提供可通过网络服务接口来访问的分布式应用。用户可以从浏览器端远程激活基于GET, POST或者SOAP的方法，这项能力给各种应用带来新的缺陷。另一方面，使用XML,XUL, Flash,Applets和JAVAScripts的RIA框架增加了更多可用的攻击向量。RIA,AJAX以及网络服务给网络应用安全增加了新的维 度。
下面是10个攻击向量的列表以及简短介绍：
1.AJAX中的跨站点脚本
前 几个月，人们发现了多种跨站点的脚本攻击。在此类攻击中，受害者的包含信息的浏览器上会运行来自特定网站的恶意JAVA脚本代码。Yamanner蠕虫就 是一个最近的范例，它利用Yahoo邮件的AJAX调用中的跨站点脚本机会来攻击受害者。另一个近期的范例就是Samy蠕虫，它利用 MySpace.com的跨站点脚本漏洞来攻击。AJAX在客户端上运行，它允许错误书写的脚本被攻击者利用。攻击者能够编写恶意链接来哄骗那些没有准备 的用户，让他们用浏览器去访问特定的网页。传统应用中也存在这样的弱点，但AJAX给它添加了更多可能的漏洞。
2.XML中毒
很 多Web2.0应用中，XML传输在服务器和浏览器之间往复。网络应用接收来自AJAX客户端的XML块。这XML块很可能染毒。多次将递归负载应用到产 出相似的XML节点,这样的技术还并不普遍。如果机器的处理能力较弱，这将导致服务器拒绝服务。很多攻击者还制作结构错误的XML文档，这些文档会扰乱服 务器上所使用的依赖剖析机制的逻辑。服务器端的剖析机制有两种类型，它们是SAX和 DOM。网络服务也使用相同的攻击向量，这是因为网络服务接收SOAP消息，而SOAP就是XML消息。在应用层大范围地使用XMLs使攻击者有更多的机 会利用这个新的攻击向量。
XML外部实体参照是能被攻击者伪造的一个XML的属性。这会使攻击者能够利用人意的文件或者TCP连接的缺陷。XML schema中毒是另一个XML中毒的攻击向量，它能够改变执行的流程。这个漏洞能帮助攻击者获得机密信息。
3.恶意AJAX代码的执行
AJAX 调用非常不易察觉，终端用户无法确定浏览器是否正在用XMLHTTP请求对象发出无记载的调用。浏览器发出AJAX调用给任意网站的时候，该网站会对每个 请求回应以cookies。这将导致出现泄漏的潜在可能性。例如，约翰已经登陆了他的银行，并且通过了服务器认证。完成认证过程后，他会得到一个会话 cookie。银行的页面中包含了很多关键信息。现在，他去浏览器他网页，并同时仍然保持银行账户的登陆状态。他可能会刚好访问一个攻击者的网页，在这个 网页上攻击者写了不易被察觉的AJAX 代码，这个代码不用经过约翰的同意，就能够发出后台调用给约翰的银行网页，因而能够从银行页面取得关键信息并且把这些信息发送到攻击者的网站。这将导致机 密信息的泄漏甚至引发安全突破。
4.RSS/Atom 注入
这 是一项新的web2.0攻击。RSS反馈是人们在门户网站或者网络应用中共享信息的常用手段。网络应用接受这些反馈然后发送给客户端的浏览器。人们可以在 该RSS反馈中插入文本的JavaScript来产生对用户浏览器的攻击。访问特定网站的终端用户加载了带有该RSS反馈的网页，这个脚本就会运行起来 ——它能够往用户的电脑中安装软件或者窃取cookies信息。这就是一个致命的客户端攻击。更糟糕的是，它可以变异。随着RSS和ATOM反馈成为网络 应用中整合的组件，在服务器端将数据发布给终端用户之前，过滤特定字符是非常必要的。
5.WSDL扫描和enumeration
WSDL （网络服务界定语言）是网络服务的一个接口。该文件提供了技术，开放方法，创新形式等等的关键信息。这是非常敏感信息，而且能够帮助人们决定利用什么弱点 来攻击。如果将不必要的功能或者方法一直开着，这会为网络服务造成潜在的灾难。保护 WSDL文件或者限定对其的访问是非常重要的。在实际情况中，很有可能找到一些使用WSDL扫描的一些漏洞。
6.AJAX常规程序中客户端的确认
基 于web2.0的应用使用AJAX常规程序来在客户端上进行很多操作，比如客户端数据类型的确认，内容检查，数据域等等。正常情况下，服务端也应该备份这 些客户端检查信息。大部分开发者都没有这么做;他们这样做的理由是，他们假设这样的确认是由AJAX常规程序来负责的。避开基于AJAX的确认和直接发送 POST或者GET请求给那些应用——这些应用是诸如SQL注入,LDAP注入等类随确认进入的攻击主要来源，它们能够攻击网络应用的关键资源——都是可 以做到的。这都增加了能够为攻击者所利用的潜在攻击向量的数量。
7.网络服务路由问题
网 络服务安全协议包括WS-Routing服务。WS-Routing允许SOAP消息在互联网上各种各样不同的节点中的特别序列中传输。通常加密的信息在 这些节点来回传送。交互的节点中的任意一个被攻击都将致使攻击者能够访问到在两个端点之间传输的SOAP消息。这将造成SOAP消息的严重的安全泄漏。随 着网络应用开始被网络服务框架所采用，攻击者们开始转而利用这些新协议和新的攻击向量。
8.修改SOAP参数
网 络服务接收信息和来自SOAP消息的变量。修改这些变量是很可能的。例如，“10”是 SOAP消息中多个节点中的一个。攻击者可以修改点，并且尝试不同种的注入攻击——比如，SQL,LDAP,XPATH,命令行解释器——并且探索能被他 用来掌握及其内部信息的攻击向量。网络服务代码中错误的或者不够完备的输入确认使网络服务应用易于发生泄漏.这是一个目标指向网络服务所带的网络应用的一 项新的攻击向量。
9.SOAP消息中的XPATH注入
XPATH 是一种用来查询XML文档的语言，它跟SQL语句很类似：我们提供某些信息（参数）然后从数据库中得到查询结果。很多语言都支持XPATH 解析的功能。网络应用接收大型XML文档，很多时候这些应用从终端用户和XPATH语句中取得输入量。这些代码的段落对XPATH注入没有什么防御能力。 如果XPATH执行成功，攻击者能够绕过认证机制或者造成机密信息的一些损失。现在人们只知道很少部分的能够被攻击者利用的XPATH的漏洞。阻止这个攻 击向量的唯一方法就是在给XPATH语句传递变量值的时候提供适当的输入确认。
10. RIA瘦客户端二进制的伪造
丰 富网络应用（RIA）使用非常丰富的UI要素比如Flash,ActiveX控件或者 Applets，它使用这些要素作为网络应用的基本接口。这个框架存在几个安全问题。其中最主要的一个就是关于会话管理。它是在浏览器中运行的，并且共享 相同的会话。同时，由于客户端将下载整个二进制元件到自己的主机，攻击者就可以颠倒工程的那个二进制文件并且反编译代码。把这些二进制串打包并绕过一些包 含在代码中的认证逻辑是有可能实现的。这是WEB2.0框架下的另一个有趣的攻击向量。
结论
AJAX, RIA以及网络服务是WEB2.0应用空间的三项重要的技术向量。这些技术很有前景，它们带给桌面新的程式，加强了网络应用的整体效率和效用。随着这些新 技术而来的是新的安全问题，忽略这些问题将会导致整个世界发生巨大的灾难。本文中，我们只讨论了10种攻击。但是实际上还有很多其他的攻击向量。对这些新 的攻击向量的最好的防御方法是增加WEB2.0的安全意识，提高代码操作的安全性以及配置的安全性。
原文出处:http://java.csdn.net/n/20061018/96382.html
