zhaol's blog

刚刚注意到，这个博客的访问量超过100万了，心里很惶恐，承蒙这么多同行关心，可是现在由于工作忙的要死，所以博客的更新的频率很慢很慢，维护两个博客就更加艰难了。所以，以后的更新我将主要放在http://sbin.cn/blog那里，并且中英文都放在一起。目的只有一个，减少维护成本，稍微省些时间在内容上。呵呵，希望大家就不要见怪了。

PCI的全称是Payment Card Industry, 是信用卡相关的一项符合性标准。目前我尚不清楚到底有多少个国家实施了这个标准，北美是要求的。这个标准在硬盘里休息了很长时间，今天在飞机上终于有时间将它打开读了起来。我手里的版本是2006年9月份的。 

笼统看，PCI 数据安全标准（DSS）共有6组12大要求，覆盖了从建设、到运营和策略的很多方面。相对于BS7799/ISO7799/ISO27001和CoBiT等，它的要求显得很朴实直接、具有很高的操作性。下面就是那6组12大要求，中英文对照：

5/18 早晨给我们留下了深刻的记忆，由于Symantec公司病毒代码库2007.5.17 rev 18的错误，sav将简体中文版Windows XP的两个关键的系统文件c:\windows\system32目录下的netapi32.dll和lsasrv.dll误报为 backdoor.haxdoor病毒, 并提示用户推荐删除该文件。用户当然服从命令听指挥，系统也就在重起时隔离这两个文件,导致无法正常重起,出现蓝屏。

想大家推荐一篇国外的文章，关于VoIP安全威胁的总结。相关内容参加我的英文博客。

在我的英文博客上，贴上了两篇评论，分别是：

关于使用Skype作为家庭视频监控系统
以及Skypekiller的评论

欢迎批评讨论。

今天2007.4.18 是CCClub 召集的中国信息安全专业人员高峰论坛（北京），地点在北京新世纪日航酒店。我有个简短的发言，发言使用的资料附上，大家如果感兴趣就下载看看，欢迎批评讨论。企业信息安全管理之细节决定成败＃

Check out my post on this conference in my english blog#

联想在购并IBM PCD后，在艰苦的业务重组的背后是艰辛的IT重构。从大的方面看，这些挑战体现在如何重构原来中国的IT平台使之能够支撑全球的业务，如何迁移原来IBM的Legacy应用和系统，将对原有业务和客户的影响降到最小。IT部门付出了巨大的努力，这些努力也得到了非常可观的回报。具体到基础设施，全球骨干网正在紧锣密鼓的建设中，越来越多的海外公司和分支机构正在迁移在新的骨干网和IT平台之上。艰苦的工作在意料之中，没有料到的是其中相当部分的精力时间资源被花在了“manage vendors"上面，一言难尽...

下面转贴一份王敬宜的文章”“二变一”的缠斗：基础篇“， “二变一”的缠斗：迁移篇”

晚上刚刚看到一则新闻，讲的是咱们安全业界鼎鼎大名的人物－ISS公司创始人Christopher Klaus重新创业的故事。大家都知道前不久IBM以13亿美元的价格购并了ISS. 创建的企业卖掉了， 接下去的路应该怎么走？ NetScreen卖掉后又出现了几家新的安全Startup, 可是这次Chris没有，他选择了一条道路“改行” － 做3D游戏了。参见新闻... 大家有什么感想？

我相信不少安全经理们都琢磨过如何使用安全代理来加强互联网出口的安全控制。总结来看，主要的安全威胁，我个人认为，是病毒及其衍生威胁，以及内部的滥用和误用。前者是从基础设施的角度来看，后者是从应用和数据的角度来看。那病毒的威胁又从哪里来呢？病从口入 ！ 互联网绝对是一个不容忽视的威胁来源。控制用户下载文件、使用MSN/QQ/其它P2P/IM软件交换文件、被钓鱼等，更进一步安全经理还想将互联网的访问定位到每个用户，以便计费或者审计。这些都需要强有力的安全代理的支持。可是，代理如何选择呢？ Jason向我推荐了一个网页，我觉得讨论的非常精彩。Thomas Shinder和网友AntiShinder各舒己见，分别为微软ISA软件方案和BlueCoat硬件方案进行了很有说服力的论证。

论战起源于BlueCoat的一个白皮书，总结了BlueCoat的5大优势：

• The ISA firewall cannot be as secure as Blue Coat proxies because it runs on a general purpose server that has ongoing security vulnerabilities
• The ISA firewall is unable to inspect traffic inside an SSL tunnel
• The ISA firewall is unable to inspect and manage peer-to-peer, instant messaging and multimedia connections
• The ISA firewall has limited support for granular access control
• The ISA firewall’s network performance is inferior to Blue Coat’s proxy performance

• 对于喜欢硬件方案的朋友来说，BlueCoat清一色的盒子，安装运行维护都简单，看着清爽，感觉上性能也不错。
• 喜欢软件方案的朋友，觉得可以按照自己企业的Server标准进行按需升级，完全纳入企业的Server运行维护，成本较低，性能可控。

Windows Vista是当前的一个热门话题，我也经常被问到公司什么时候将桌面标准升级到Vista。对于一个小组或者个人，这不是个问题。但是对于一个大型企业，问题就很多了。先不说Vista自身的稳定性，单说当前硬件有多少需要升级，多少桌面计算机需要淘汰，老应用软件有多少兼容，对于不兼容的老应用如何处理，企业当前是否有预算，等等，这些还不仅仅是一个钱的问题，很不容易轻易作出决定。另外，从实际操作上看，Helpdesk和技术支持方面还需要有大量的测试和技术储备，以应付升级过程和升级后的大量可以预见的用户Calls。有没有同行或者其它朋友了解到除了微软外，还有那家大型企业开始了Vista升级行动？

今晚看到一篇Vista的安全指南，没有时间全部看完，觉得写的内容不错。下面有一段官员SpyNet，有些疑惑，不知哪位朋友了解，多介绍几句。先谢过！

转贴下面的这则报导，放松一下。;)

电脑病毒激发网络创作热情 熊猫烧香也遭恶搞
http://www.sina.com.cn 2007年02月13日 07:27 新闻晨报

平时在路边经常能够看到下面这两幅广告，很少见的和网络安全有关的路边、大众媒体广告。今天周末碰巧带着照相机，就把他给拍了下来。
“这就是安全 － 电子信息安全防护系统”   －－－ “这就是安全 － 电子信息保密系统”， －－－ “诚招代理商”， 边上留着风语者公司的联系电话。
我总觉得这两幅广告像是一个探路者，网络安全能否成为大众消费品？反病毒有点像，个人防火墙已经被微软消灭了。这两幅广告或许在告诉我们风语者在探索大众认证和加密产品的接受度。我没有和风语者公司打过交道，也不认识朋友在哪里。不知他们现在的生意如何？
之前，不管是安氏、天融信、启明星辰、绿盟，还是华为、联想网御、东软、亿阳等等都还在企业市场中拼杀，瑞星、江民、金山、冠群金辰等在渠道和联邦店里出活。

风语者，你想作什么？

这个周末，光彩照人的阳光把小朋友们都吸引出家门。在我们家的小朋友的强烈要求下，我们带着小朋友来到北京天文馆，漂亮、充满高科技的外观令人赞叹，各式各样的显示、投影设备放映着太阳、地球、金星、火星、海王星。。。各种主题的资料片。从远处看，每个屏幕上都有各白色的弹出Windows窗口，职业的本能过去仔细一看：

原来是每个屏幕上面都有一个病毒警告，天文馆使用了Symantec的防病毒系统，今天刚刚发现了病毒，这似乎还没有太让人恼火，至少证明天文馆的显示系统服务器上面还是安装了反病毒软件。可是再仔细看，感染的文件名是C:\GameSetup.exe，哦，这看起来怎么是各游戏安装软件呢？ 都是使用的Administrator帐号，并且这个告警出现在了从MTBFQ01 - MTBFQ20+很多显示控制服务器上，这就让人感到有点失望、甚至恼火了。

小朋友们从这个屏幕上能够领会到的意思不会有这么多，但是至少这些警告窗口很是影响资料片的观看，影响北京天文馆的高科技形象。不直接认识天文馆IT系统的管理人员，如果哪位有朋友在哪里，不妨帮助提个醒。

原文

从很久以前，我们人类就开始和垃圾邮件进行着斗争。在某段时间，在各种专业反垃圾邮件技术的支持下，我们做到了关键词、黑名单、自动学习、相当程度的智能识别（其中还包括贝叶斯算法等的使用，;)）等各种技术的综合使用。例如在Gmail中，垃圾邮件的自动识别率已经相当令人满意，并且误杀率也基本接近0。 我们曾经准备宣布人类已经成功的解决了垃圾邮件的问题，但是现在人类又要面对更新的、更强大的垃圾邮件威胁。

1 图片垃圾邮件： 上述技术主要针对文字垃圾邮件。新的垃圾邮件在Subject域并没有显眼的“垃圾”特征，内容却是一幅图片，其中的图片也不具备一些典型的黄色图片特征（即人类皮肤的颜色比例）。而是在技术角度看起来像非常正常的奥运、圣诞图片。
2 僵尸网(BOTNET)：专门为发送垃圾邮件而生成的僵尸网规模已经相当可怕，每天可以放松百万量级的垃圾邮件。下文中报导的SpamThru就是这个目的。
3 股票等金钱驱使：垃圾邮件中的内容是非常严肃的股市分析，劝告你去购买某些、某种股票。百万接收者中有百分之几的相应率就可以对某只股票造成某种程度的人为操纵，然后操纵者乘低买入，乘高卖出。这方面和相当部分的网络欺诈和入侵有些相似。

斗争在进行中...

ComputerWorld的Mary K. Pratt发表了其关于2007年安全技术走向的分析，列举了其看好的五大安全技术。它们是：

1. Identity management systems.
2. Smart cards used to provide secure access to networks.
3. Content and e-mail filtering software.
4. Transparent encryption.
5. Voice-over-IP technology.

看完Mary的分析后，我倒是觉得XML的安全技术实在是比上述五种安全技术的更为基本的技术。XML的分析与控制、基于SAML的认证鉴别、VoiceXML的安全控制等与上述五大安全技术息息相关。