Posts for: #Tech

要让几个技术人员懂风险评估，所以用 Freemind 整理了一下思路，并不想讲得太复杂，通常风险评估的理论什么的一纠缠，很容易让一些踏实做事的技术人员一个头两个大，因此就讲最简单的操作流程。最后讲如何分析结果和写报告。以案例来讲，不空洞。

计划在讲完之后，拿一个小网络让他们做个实际演练，我来“改考卷”，这样应该能快速让他们取得“评估经验”，减少对评估的神秘感。

简单技术型风险评估操作培训

XCON 2005 落幕了，来自五湖四海的好友聚集笑闹然后散去，弟兄们多数一身疲惫但精神亢奋。四年来，焦点峰会这个有趣 Hacker Party，越来越成为信息安全圈内一件好玩的事儿。 这几天没有时间静静地坐下来写些文字，直到离开北京，坐在家中，回想起那三天中看到听到的一些故事，挺有意思，姑且记下几个片断。

1、以书会友

马来西亚 IEEE 的 Cawan 的一位朋友出国，带着的书中有一本 XFOCUS Team 编辑出版的《网络渗透技术》，前言中有段话“从安全界顶级的杂志和会议看来，中国整体的系统与网络安全技术在世界上并不出色……希望以后在 Phrack，Blackhat 和 Defcon 上看到越来越多中国籍专家的身影。”恰好 Cawan 看到这本书，看到这段话，很是认同，便往 Phrack 上投了一篇《Hacking with Embedded Systems》。入选后他很开心的开到，《网络渗透技术》的作者之一 San 也有一篇文章《Hacking Windows CE (pocketpcs & others)》在 Phrack 63 上。于是又到 XFOCUS 论坛找到 San ……

XCON 上，Cawan 带来的议题和信号截获的展示相当精彩。XCON 后，Cawan 给了 XFOCUS Team 一份珍贵的礼物，多谢了！

2、重要的是跟谁一起散步

第一天的忙碌过后，晚上 9 点来钟，哥几个在房间里谈着，觉得有些闷，wollf 就扯着大伙儿出去晒月亮。 一路漫步，一路闲谈。 有人说人生得一知已很难，在 XFOCUS 这个从网络聚起来的小团队中，大家兴趣比较一致，也都比较有思想，在一起的时候，嘻笑怒骂，都有种很对路的感觉，反正就是开心。 小烟小酒弟兄们小有情调地小聚，聊天时，提到了前些时候在邮件列表里讨论到的“捐助失学儿童”的事，峰会后打算就办起来，这样，或许隔个一两年，我们还能借看孩子的机会聚一聚。

在记者招待会上，我说：XFOCUS 这些年来，每个时期都有每个时期的英雄。 六年来，XFOCUS 的道路并不是一帆风顺的，也没有哪个人一直站在聚光灯下。实际上，就象 Adhoc 结构，或者象 p2p 网络那样，XFOCUS 没有核心，任何一个点都有可能成为核心……贡献大的，就能从中获取更多快乐。

3、道德底线与富不过三代

会场外，几个兄弟和来自微软的 Tony 聊着。提到了微软 MSN Search 与 3721 的合作，提到了 3721 的“成功”…… 有些观点：

看看 Google 这几年，是得慨叹一番。 做搜索引擎，凭什么能超越 yahoo ？ 做免费邮箱，无数拦路虎挡在前头，凭什么能后来居上？ 做即时通信，MSN 和 QQ 战了半天，skype 靠 p2p 跟着忽悠，可 google talk 一出，马上又有王者气象。

我们经常说，这玩意儿做的人太多了，再做，没劲了。 仔细想想，Google 凭什么能？我们凭什么不能？

050826 update：昨晚和 glacier & coolc 聊天的时候，glacier 提到，google 玩起来，就象下围棋或者五子棋，招式比较飘逸，几步下来，如果不拦，占了“势”，对手很容易就吃亏了。从搜索引擎到 Email 到 Earth 再到 P2P，Google 正在从各个侧面切入互联网的用户核心，再往下是什么？Google 浏览器吗？

这样一布局，互联网即电脑的大阵势就拉开了，这一场中原逐鹿，Google 已经准备好了。

I170 的“记事本”功能让我看到了网络知识管理工具的一个影子。 几年后，带宽不再是瓶颈，智能手持设备更多地装在人们口袋时，我们需要为这些手持设备做哪些应用？

除了日程管理、通讯录管理之外，知识管理也该走上舞台了。

I170 的朋友们在他们预定的 10 号发布之前，让我先尝试了他们的 PC 客户端，虽然只是雏形（很多他们设想中的功能都还未加入），但总体说来，简单实用，我比较喜欢的几点是：

1、网络日志能够本地编辑修改后同步，一来降低使用门槛，二来再也无须担心数据丢失了； 2、在“RSS阅读”标签中阅读 Blog 时的“导入网页”功能（以及不久会出现的 IE 和 Firefox 插件），能够快速将网页保存到记事本或与好友共享； 3、本地记事本相当于私人日记，“半成品”的思想或隐私资料可以存放于此。

同时，还有一些建议，如下图：

一直对 google 怀有敬畏之心，因为这家公司的聪明地运用着他们的力量。上个月去北京的时候，就有兄弟推荐 google earth 给我，声称极棒。前两天 san 到拉斯维加斯的 Defcon 上演讲前，还流窜到 irc 里跟弟兄们报喜：“那边上有家麦当劳，如果和 ipxodi 接不上头，至少不会饿着。”他就是用 google earth 找到那麦当劳的。

对用惯电脑的人来说，这个工具极其简单，只需要从 http://earth.google.com 下载安装点击运行即可，但为了方便不熟悉的朋友，还是用图片说话吧，它的功能包括：

1、地名搜索，如标示 1 所示，如果找到后，便直接“飞越”到目标地点上空，也就是我们图中标出的 2 。不过，不幸的是，目前软件的中文支持并不好，不支持中文搜索，并且对国内的地名标注也未必准确，因此实用价值打了折扣；而且国内的地图目前还相对模糊，只有北京、上海、深圳等部份大城市相对清晰些； 2、在寻找某地时，可以用 3 中间的方向键进行位置移动，左右上方的按钮可以将地图左右旋转。在需要图像放大缩小时，拖动 4 ，需要改变“视角”的时候，拖动 5 ，而在 3 左右下方的按钮则是重置方向及视角的； 3、找到一个地方，不希望下回再找一遍时，可以鼠标点击 6 进行收藏，收藏后效果如 7 所示，将来访问时，双击即可； 4、8 是打印地图和发送地图选项，后者支持 outlook 和 gmail ；9 提供的道路、建筑、旅馆、餐馆功能暂时在国内基本没用。

玩过 google earth ，顺道看了看他们的主页，觉得：

1、简洁大方，一如 google 本色； 2、产品线齐全完整，甚至有 Google Earth Server； 3、网络营销方式很棒，下载试用后交20美金直接升级，估计他们 Google Earth Plus 销售不少； 4、适当但富诱惑，最重要的是，极其体贴地站在用户角度思考的介绍； 5、适度商务介入，比如适时地出现了 Have a salesperson contact me ……

看完以后，我想改改公司网站了，目前公司网站信息量太小，其实完全可以将安全圈内的事件、我对安全的思考都写下来，相信内容不会是大问题。可目前选择内容管理工具的时候，陷入头痛阶段。我希望的页面简洁如 google ，希望是静态 html 页，有一个方便的操作后台，不知谁有好的开源软件推荐？