Posts for: #Tech

梅花肉排->信息安全体系

前些天在东门豪客来享用牛排时,注意到玻璃下压着一张新菜式–梅花肉排的宣传单,其中有一页吸引了我,于是找服务员索要了一张,如图:

我感兴趣的有两部份:

1、食品危害分析和重点管制制度(HACCP) 2、全美食品安全体系中类似的分工合作

食品安全是一个远比信息安全更成熟的行业,他们的体系,是否有可借鉴之处? 从职能上看,似乎“宫保鸡丁”也是一种权力制衡和分工协作?

搜索了一下,HACCP 有七个基本原理,记录备忘,与信息安全也颇有相通之处:

HACCP是对食品加工、运输以至销售整个过程中的各种危害进行分析和控制,从而保证食品达到安全水平。它是一个系统的、连续性的食品卫生预防和控制方法。以HACCP为基础的食品安全体系,是以HACCP的七个远离为基础的。HACCP理论是在不断发展和完善的。1999年食品法典委员会(CAC)在《食品卫生通则》附录《危害分析和关键控制点(HACCP)体系应用准则》中,将HACCP的7个原理确定为:

原理1:危害分析(Hazard Anaylsis–HA)

危害分析与预防控制措施是HACCP原理的基础,也是建立HACCP计划的第一步。企业应根据所掌握的食品中存在的危害以及控制方法,结合工艺特点,进行详细的分析。

原理2:确定关键控制点(Critical Control Point-CCP)

关键控制点(CCP)是能进行有效控制危害的加工点、步骤或程序,通过有效地控制–防止发生、消除危害,使之降低到可接受水平。 CCP或HACCP是产品/加工过程的特异性决定的。如果出现工厂位置、配合、加工过程、仪器设备、配料供方、卫生控制和其他支持性计划、以及用户的改变,CCP都可能改变。

原理3:确定与各CCP相关的关键限值(CL)

关键限值是非常重要的,而且应该合理、适宜、可操作性强、符合实际和实用。如果关键限值过严,即使没有发生影响到食品安全危害,而就要求去采取纠偏措施,,如果过松,又会造成不安全的产品到了用户手中。

原理4:确立CCP的监控程序,应用监控结果来调整及保持生产处于受控

企业应制定监控程序,并执行,以确定产品的性质或加工过程是否符合关键限值

原理5:确立经监控认为关键控制点有失控时,应采取纠正措施(Corrective Actions)

当监控表明,偏离关键限值或不符合关键限值时采取的程序或行动。如有可能,纠正措施一般应是在HACCP计划中提前决定的。纠正措施一般包括两步:

第一步:纠正或消除发生偏离CL的原因,重新加工控制

第二步:确定在偏离期间生产的产品,并决定如何处理。采取纠正措施包括产品的处理情况时应加以记录。

原理6:验证程序(Verification Procedures)

用来确定HACCP体系是否按照HACCP计划运转,或者计划是否需要修改,以及再被确认生效使用的方法、程序、检测及审核手段。

原理7:记录保持程序(Record-keeping Procedures)

企业在实行HACCP体系的全过程中,须有大量的技术文件和日常的监测记录,这些记录应是全面的,记录应包括:体系文件,HACCP体系的记录,HACCP小组的活动记录,HACCP前提条件的执行、监控、检查和纠正记录。

移动设备 OS 的几个数据

2005 年 Q1 各操作系统的装机比率,数据由 Garner 提供。

2005 年 Q3 移动设备厂商的出货量,数据由 IDC 提供。

一直觉得,palm 已经是快要瘦死的骆驼了,但从 IDC 的这个数据来看,他们业绩似乎还不错。当然,前提是 windows mobile 里还有很多中小厂商……

Linux 呢?OSDL 有一个 Mobile Linux Initiative,力图统一标准。一定要跟对老大,可是,谁会是下一个老大呢?

华为 3com 的安全走向中小城市/企业

10月28日上午,温州。

在酒店看到两天前的旧报纸上,有一则华3 的软文,题为《信息化:中小企业也安全》,提出了 SPN(安全渗透网络),号称以 IPS 和 EAD(端点准入防御)整合成的解决方案,产品的定位目标是中小企业。

实际上,华为自身的 SPES,也就是 benjurry 这家伙由 SARS 得来的灵感,用“人民战争”的方式解决企业内部信息安全问题的产品也相当不错。

zhaol 博士在《中国安全市场进入战国时代》中提到华为时说:

让许多硬件公司、软件公司、应用公司、计费公司、集成公司、安全公司都寝食难安的公司。拥有国内最为成熟、完善的质量体系和市场渗透团队。但是现在的问题 是内部资源还没有获得很好的整合,市场上的声音还不够统一、强烈。如果能够整合内部资源,甚至像联想那样分拆这部分业务,将会激发调动管理层和员工的创业 积极性。不管怎样,华为将会是国内安全市场全方位的竞争者和未来的领导者。2004年拿下山东移动安全服务项目曾经让大家一惊。-:)

我的感觉是,华为一直没有把安全当成一个能赚钱的业务来做,毕竟卖设备,包括固网和光网等等的收入才是他们的收入大头,安全只是一个很小的附加值罢了。因此他们在安全方面的投入并不是很如人意,同时有大量的研发资源在重复地发明轮子,就象 SPES 和华3 提到的 EAD。

但是今天居然在温州晚报这样的地方小报上看到华3 的软文,心里还是隐隐一震。

Source quench received

晚上在 ping 两台 HP-UX 的服务器时,发现回应不太一样:

E:>ping 10.153.4.129

Pinging 10.153.4.129 with 32 bytes of data:

Reply from 10.153.4.129: Source quench received. Reply from 10.153.4.129: Source quench received.

Ping statistics for 10.153.4.129: Packets: Sent = 2, Received = 2, Lost = 0 (0% loss), Approximate round trip times in milli-seconds:

志刚查了下资料,说没多大关系,是 HPUX 的一个老特性,只是这个 Interface 上的 ICMP 包到了一定限制,因此返回的拒绝包。在 HP-UX 11.X 上,可以用 ndd 命令查看:

ndd -get /dev/ip ip_send_source_quench

值如果是 1,则表示此功能启用,可以将下面的命令放到:/etc/rc.config.d/nddconf

ndd -set /dev/ip ip_send_source_quench 0

[阅读全文]

Sybase数据库评估指南

安全评估中数据库评估是很重要的一个环节,但国内在 sybase 安全方面的资料极为匮乏,希望这篇文档能够对初学者起到基本指引的作用。

这类文档,事实上就是简单的翻译,估计多数公司都有类似的“粗糙”版本,只是弊帚自珍罢了,其实有价值的 checklist 部份,纯属翻译。

Sybase数据库评估指南

推荐一个虚拟启动软盘工具

这些天出差在外,用小鼻涕的 x40,装了很多软件做测试,甚至包括 Oracle、DB2 和 Sybase,上午觉得机器爆慢,就卸载了一堆乱七八糟的东西,结果可好,机器重启后,非但速度没有提高,反而一个 svchost 起来就占 99% 的 CPU,而且居然网卡属性页只剩下一个“Microsoft 网络客户端”,其它全没了,也安装不上。于是无法改 IP 地址,想要上网,就只能到 linux 下过把瘾。本想这样也好,正好专注把活干完了。

可是到了晚上,想看部电影消遣一下时,痛苦地发现,居然声卡也莫明其妙地启用不了,察看硬件配置一切完好……我现在对这些怪事已经失去追根问底的好奇心了,于是决定将机器 ghost 回来。

但出差时偷懒,没有带 USB 光驱,原来想反正有 linux,用 grub 启动引导到 ghost,虽然麻烦点,还是能恢复的,可随手一搜索,发现了一个 vfloppy 的小工具,是个简单的绿色软件,在 windows 下简单指定映像文件,就可以将该映像模拟为软驱,下次重启的时候可以进入该映像。软件中还附带了如 ghost、dos 7、linux 等系统急救时的可用工具。

所以我的问题就动几下鼠标解决了,感觉这个小工具不错,至少对用超薄笔记本不带光软驱的朋友是有一定用处的。

渗透测试操作实务

渗透测试(Penetration Test)是指安全工程师尽可能完整地模拟黑客使用的漏洞发现技术和攻击手段,对目标网络/系统/主机/应用的安全性作深入的探测,发现系统最脆弱的环节的过程。渗透测试能够直观的让管理人员知道自己网络所面临的问题。

本文用尽量简洁的方式说明网络安全评估中最困难的环节—渗透测试的操作过程,希望读者能够揭开其神秘面纱。能够组织甚至操作一次企业内部的Penetration Testing。

20050926_渗透测试操作实务_wlj_v1.0.pdf

利用 gmail 实现组织/企业漏洞跟踪

很多组织/企业中有大量的 IT 应用,就我目前所服务过、观察过的单位情况来看,绝大多数单位的网络中有多种不同产品提供商提供的设备/应用程序,在这种情况下,要做好漏洞跟踪,工作量会相当大。有些单位甚至组织开发了一些小的 IT 工具来辅助这类应用程序安全跟踪。

王建硕写到过:“专业”的解决问题,往往会花费比实际要高,因为专业人士的视角不够广阔,会忘记了自己所在的时间和空间,忘记了“借力”和“过犹不及”。

实际上,gmail 就是这个“借力”的良好基础。

我们可以订阅诸如 bugtraq、fd、cert alert 等各种邮件列表,并且充分利用 gmail 的标签、星标和邮件过滤功能,普通漏洞邮件贴上该邮件列表标签。假设我们企业中采用了 Cisco 的网络设备,IBM 的 AIX 服务器及 DB2 数据库等等等等……就能够创建过滤器:邮件中如果包含“db2 vulnerability”或“cisco vulnerability”,则贴上“企业内部安全-DB2”或“企业内部安全-CISCO”标签,并且转发到某个常用的电子邮箱(甚至可以创建多条规则,以便转发给运维、安全等不同职能部门的操作者)……

收到这样的邮件后,分析、处理并发送处理结果回 gmail 邮箱,记得内容里要有“过滤器”能够顺利分类的关键字。

这样,漏洞跟踪者的成本很低,但实现了:

1、漏洞的及时跟踪; 2、保证漏洞的及时通告; 3、漏洞数据的有效分类、存档; 4、漏洞处理情况的记录;

推荐有漏洞跟踪需求的组织/企业尝试这种方法。

推荐 i170 的客户端

有兴趣尝试的朋友可以:http://www.i170.com/work/928 下载。 是一个比较好的知识管理工具。