104學習精靈

我今年38歲，本人是體保生，專業是游泳，大學讀的也是體育系。在工作中十之八九也是會有碰到不如意的事情，所以動了轉職的念頭，對於本身從未接觸過網路東西的人來說，可說是非常的艱困。但是...https://supr.link/tHcHd 報名線上講座https://supr.link/wRkkZ

近年『資安』領域成為轉職熱門，本文給入門者或是完全沒概念的轉職者參考，你也能成為備受認可的資安工程師https://www.uuu.com.tw/Public/content/edm/240415_USETR_BC.htm

Web Application Firewall（WAF），即網頁應用防火牆，是一種專門為網站安全設計的保護機制。它像一個站在網站門口的「守門人」，負責檢查所有進入網站的流量，過濾潛在的惡意行為。WAF 通常用於阻擋常見的網站攻擊，包括 SQL 注入、跨站腳本攻擊（XSS）、DDoS 攻擊等。本文將深入解釋 WAF 的功能及其應用情境，並介紹可能被 WAF 擋下的請求類型。 ▮ WAF 是什麼？ WAF（Web Application Firewall）可以想像成網站的「警衛」，它專門保護網站不受惡意攻擊，特別是針對應用層的威脅。WAF 位於用戶請求和網站伺服器之間，通過預設規則來篩選和檢查流量，確保只有合法請求能夠進入網站。它的主要功能包括： 1. 保護網站免受攻擊：WAF 能夠阻擋如 SQL 注入和 XSS 這類常見的網站攻擊，防止攻擊者竊取或破壞數據。 2. 分析與過濾流量：WAF 會根據請求內容、來源和模式來檢查流量的合法性，以確保網站安全性和用戶資料的完整性。 3. 提高用戶體驗：透過自動阻擋惡意流量，WAF 能有效減少網站的宕機或數據洩露的風險，提升整體用戶體驗。 ▮什麼情況下 WAF 會擋下請求？ 1. SQL 查詢語句 - 當用戶提交與資料庫查詢相關的內容時，WAF 可能將其視為試圖訪問後端數據的行為，進而阻擋。 2. 內嵌腳本標籤 - 若用戶提交的內容中包含類似於腳本的標籤符號，WAF 可能判定為惡意程式碼注入，從而阻止請求。 3. 跨站請求偽造操作 - 當 WAF 偵測到某個請求可能誘導用戶執行未授權的動作時（如更改個人資料或密碼），它將攔截該請求。 4. 可疑檔案上傳 - 若用戶上傳的文件包含潛在執行程式或後端代碼，WAF 可能會將其視為威脅並拒絕上傳。 5. 重複大量請求 - 當短時間內出現大量類似請求時（如多次加載同一頁面），WAF 可能將其視為攻擊行為並阻止流量。 6. 文件路徑的變更操作 - 若請求中出現目錄導航字符，WAF 可能會判定為目錄遍歷行為並加以阻擋。 7. URL 參數的變動 - 若用戶試圖更改 URL 中的重要參數，例如修改產品價格或權限設置，WAF 可能將其視為潛在的篡改行為並阻止。 ▮ WAF 的應用價值 WAF 不僅是網站安全的防護措施，也是提升用戶體驗和數據安全的關鍵。它能夠在不影響網站正常運行的情況下，自動化地阻擋潛在威脅。對於產品經理來說，理解 WAF 的運作方式有助於更好地規劃產品開發和安全策略，確保在功能實現與安全防護之間取得平衡。 ▮ 總結 WAF 是網站安全策略中的重要一環，它不僅保護網站免受惡意攻擊，也能提高用戶的信任度和產品的穩定性。通過 WAF 的應用，網站能夠有效地篩選和過濾異常流量，確保產品能夠在安全環境下平穩運行。對於產品經理來說，理解 WAF 的功能與應用情境，能夠在產品開發過程中更有效地保障用戶安全並提升整體體驗。

在網路安全的世界中，機密性、完整性和可用性可謂是被業界廣泛採用的鐵三角（CIA Triad），也是資料保護與安全的三個基本要素。機密性指的是安全地保護資料，以免遭到未經授權的使用者窺看存取；完整性指的是保持資料的整體存在，不會因意外而被變更或竄改。而可用性則是確保資料在業務持續營運的過程中，易於存取且不會中斷服務。 長期以來，企業以備份來確保資料的可用性，然而，隨著數位潮流不斷演變、IT架構越來越複雜，攻擊面也不斷擴大，傳統的資料保護技術已難抵禦現今的攻擊，Acronis大中華區首席技術顧問王榮信認為，以目前的技術來看，傳統的資料保護只能協助企業做到六十分，隨著駭客攻擊手法的推陳出新，尤其是勒索軟體頻頻對企業發動攻擊，甚至利用雙重勒索來威脅企業付款，如何強化相關的防護以確保資料的可用性已成為企業亟需重視的課題。「僅僅依賴備份並不足夠，更好的做法是將資訊安全（Cyber Security）與資料保護（Data Protection）整合，從而提供一個更完整的資料保護方案，以有效保護端點、系統與資料。」 除了勒索軟體攻擊之外，大量資料分散儲存在雲與地正在加劇資料保護的難度，一方面橫跨雲、地的資料管理可能會較為複雜，而且當資料分散時，安全性問題也需要有所考量。而且隨著企業開始將資料上雲，資料的移轉也會成為新的課題，如果涉及到服務的移轉，難度又會大幅攀升。 以備份321最佳保護守則來看，資料要留存三份，一份留在生產系統（Production System），一份留在本地的儲存設備，而另一份可能備份到異地端，不過礙於成本考量，異地端通常只針對重要的關鍵資料，其他的周邊系統只能備上磁帶。不過，磁帶不容易維護，而且機動性不高，因此，企業在近幾年也慢慢地將資料上雲，於是多雲管理與資料移轉也成為討論的議題。企業的另一項挑戰在於，隨著資料量不斷激增，源自於雲端的成本也成為CIO的財務壓力之一，而且若是備份資料須從雲上還原，還原成本也是另一項壓力。 備份資料保存一向是企業的挑戰之一，萬一被有意或無意地不小心刪除備份資料，或是遭遇駭客順藤摸瓜到異地把備份資料刪除，甚至直接鎖定備份主機進行攻擊，無論哪一種情境，都可能因此而造成服務中斷，「雲端環境提供了許多解決方案可以協助克服安全問題，」王榮信認為，雲端的運用是一體兩面，壞處是資料並沒有掌握在企業手上，但好處是，就算管理者的帳密被盜，雲上有許多方案可以協助企業解決，等於多了一道防護機制。 在台設有資料中心的Acronis，也運用雲原生技術打造Acronis Cyber Protect Cloud，而其Advanced Backup套件則可以透過連續資料保護等雲端備份增強功能，有效讓資料及所有備份檔案遠離勒索軟體攻擊，提供近乎為零的RPO和停機時間，防範重要資料遺失時也節省時間，高效保護企業寶貴資料。 為了應對瞬息萬變的威脅，目前普遍的作法是運用多層次防護來強化攻擊者入侵的難度，從網路層開始就提供多層次的管控，惡意軟體必須通過層層的關卡，最後才有機會接觸到資料。一般而言，防禦的機制可分為事前、事中以及事後，事前預防包含了系統上面的漏洞掃描與修補，事中的防護則包含了惡意程式防護、零時差勒索軟體防堵，還有端點偵測及回應以及資料外洩管控。「備份與還原其實是事後回復的一環，包含如何快速的還原、不可刪除竄改的備份，以及提供備份檔掃毒的功能來確保還原的備份資料是乾淨的。」 其中，零時差勒索軟體防堵也與資料保護相關，這項功能主要是運用AI技術來加以識別，由於勒索軟體變種太快，今日採集的攻擊樣本，也許以後都用不到，造成防毒軟體的防護率變低，因此Acronis從行為著手，「不管勒索軟體怎麼變，一定會加密檔案才能進行勒索，因此，一旦AI識別是勒索軟體在加密檔案時，就會加以阻擋，作法上是先踩住勒索軟體並保護還沒有被勒索或加密的資料，然後刪除這個位置的勒索軟體，最後還原先前快取下來的備份檔案。」王榮信說明，由於一開始無法判定資料加密是否為勒索軟體所為，所以一般都會先放行，但是在放行前，會先把資料複製到另外一個快取資料夾中，一旦發現已經有連續兩個檔案都被加密，就會觸發AI引擎，凍結、刪除並且從快取中自動把先前複製的檔案還原回來。 第二種情況在企業端也相當常見。駭客以客製化木馬程式繞過企業防毒軟體，然後依著企業的備份週期，潛藏在備份資料中，等到駭客投毒那天或不小心曝光時，企業動手還原備份檔案，殊不知備份資料早就被污染。 「一般而言，這種針對性的組織攻擊，極有可能近三個月的資料都已經被污染，而這也是企業常常二次感染的原因。」 安心復原功能把防毒功能也融合在一起，每次還原，會先確保備份檔案的資料是否乾淨，如果不乾淨，會告知哪個路徑的檔案有問題，企業可以還原其他乾淨路徑下所需要的檔案，或者選擇更早之前乾淨的備份版本即可。 另外，誤刪對資料保護來說一樣是個缺失，資料的可用性一樣會被破壞，這時就可以透過WORM的機制來避免誤刪，企業可以自行設定14天、30天或60天的期限，只要在這些天數之內，即便是管理者，都無法刪除這個資料。 除此之外，備份技術在近幾年也有新的作法，過往企業要還原1TB的資料量，大概要花上數小時以上的時間，有些情況甚至會超過十小時，換言之，還原的時間多長，企業服務中斷的時間就有多長。但是新的作法可以將備份資料直接掛載（Mount）在VM環境，不論是VMware、Hyper-V環境，只要把數據掛載上來，就可以直接讀取資料，如此企業服務就可以先恢復運作。由於資料並沒有真的還原，效能上還是會有延遲，但服務卻只要幾分鐘就可以先恢復，之後企業可以再慢慢把這些資料抄寫回來即可。 這種作法也可以應用在災難復原（DR）上，以往企業演練的過程因為要把資料還原，因此時間會拉得很長，現在只需要直接把備份資料掛載上來，然後啟動一個新的DR服務，接著讀取這份備份數據、確認服務有啟動，如果都確認沒問題，就表示備份能夠真的還原，而這些過程只需要一個按鍵，演練動作就會自動完成。

資安證照有哪些？該如何選擇？ 🛡️🤔 10大熱門資安證照排行榜 巨匠電腦輔導考照，打穩扎實資安技能！ 💻🏆 隨著科技發展日新月異，資訊安全開始受到業界重視，也增加不少相關的職缺需求. 擁有資安證照不僅能提供最實質的能力證明，未來求職還能幫助提升個人競爭力. 接下來帶您解析資安界的十大熱門證照，幫助你選定合適的方向努力，距離夢想更接近！ 🚀 資安證照有哪些？該如何選擇？ 在了解該考取哪張資安證照前，首先應該要先釐清，在未來的資安職涯中，自己想專精於哪個層面. 如果是初次入門的資安小白，可以先從紅隊、藍隊兩大方向開始發想延伸. 🎓🔴🔵 在資訊安全的世界中，攻擊方（紅隊）會模擬駭客入侵，而守備方（藍隊）則協助加強系統安全. 對應不同紅隊、藍隊職能，資安證照可粗略分成稽核、管理、技術三類別. 先釐清各隊伍所需具備的能力要求，再鎖定發展方向，才能替未來做好準備！ 🎯🛡️💼 🏆 10大熱門資安證照排行榜 🏆 CISSP - 💼💰 #資安專家 適合對象：經驗豐富的安全管理專家 費用：749 美元 難易度：高 CISA - 📊📈 #系統稽核 適合對象：中階系統稽核人員深造 費用：會員 575 美元／非會員 760 美元 難易度：中 Security+ - 🌐🔒 #網路技術 適合對象：職涯初期的網路安全技術員 費用：392 美元 難易度：中低 CEH - 🎓👾 #駭客技能 適合對象：資安紅隊的從業者 費用：1,699 美元 難易度：高 CISM - 🕵️‍♂️💼 #管理職 適合對象：欲轉型管理職的技術人員 費用：會員 575 美元／非會員 760 美元 難易度：中高 GSEC - 📑🌐 #資安專業 適合對象：IT 經理或具備資安背景的管理人員 費用：1,299 美元 難易度：中 SSCP - 👨‍💻🛡️ #安全系統 適合對象：親自使用安全系統的開發者 費用：249 美元 難易度：低 CASP - 🚀🔐 #高階技術 適合對象：高階網路安全技術員 費用：494 美元 難易度：高 GCIH - 🚨🔍 #事件處理 適合對象：想提升事件處理能力的資安管理者 費用：949 美元 難易度：中高 OSCP - 🌐💡 #滲透測試 適合對象：進階安全測試人員 費用：999 美元起 難易度：高 踏入資安領域的第一步就從巨匠電腦開始！資安網管人才培訓班有縝密的課程規劃，並輔導考取入門資安證照（CompTIA Security+），即使是零經驗的資安小白也能輕鬆掌握學習重點！ 🎓💡✨擁有基礎的技術人員也能透過課程精進資安職能，更容易在眾多競爭者中脫穎而出. 藉由證照獲取來增加您的專業可信度，把經歷變成看得見的真・實力. 💼🔒 #資安 #證照 #巨匠電腦 #資訊安全 #技能提升