iT邦幫忙

第 11 屆 iThome 鐵人賽

DAY 23
2
Security

資安戰爭 三十六計系列 第 23

資安戰爭 三十六計之第23計:遠交近攻

  • 分享至 

  • xImage
  •  

/images/emoticon/emoticon06.gif《原文注釋》:「形格勢禁,利從近取,害以遠隔。上火下澤。」

/images/emoticon/emoticon15.gif《原文解析》:

(1) 形格勢禁,利從近取,害以遠隔:地理位置受到限制,形勢發展受到阻礙,攻取較遠的地方就有害,攻取較近的地方就有利。
(2) 上火下澤:見《易經》•睽卦:「上火下澤,睽,君子以同而異。」火焰是向上燃燒的,河水是往低洼處流去的,萬事發展變化皆是如此。

/images/emoticon/emoticon33.gif《出處》:

《史記•范雎蔡澤列使》記載:西元前270年,秦昭王準備興兵伐齊,范雎曰:「王不如遠交而近攻。得寸,則王之寸;得尺,則王之尺也。今舍此而遠攻,不亦謬乎?」並向秦昭王獻上「遠交近攻」的策略。

范雎認為齊國勢力強大,離秦國又很遠,攻打齊國,部隊要經過韓、魏兩國。軍隊派少了,難以取勝;多派軍隊,打勝了也無法占有齊國土地。不如先攻打鄰國韓、魏,逐步推進。

為了防止齊國與韓、魏結盟,秦昭王派使者主動與齊國結盟。其後四十餘年,秦始皇繼續堅持「遠交近攻」之策,遠交齊楚,首先攻下韓、魏,然後又從兩翼進兵,攻破趙、燕,統一北方;攻破楚國,平定南方;最後把齊國也收拾了。秦始皇征戰十年.終於實現了統一中國的願望。

/images/emoticon/emoticon76.gif《資安戰運用實例》:

根據2015年BBC中文網報道,美國的股市交易員與烏克蘭駭客聯手,竊取機密的企業新聞發佈資料,5年來非法獲利多達1億美元。美國政府起訴這9名駭客,他們涉嫌入侵美通社等多家企業新聞通訊公司的電腦,竊取未發佈的企業新聞資訊,再進行股票交易,估計自2010年以來非法獲利3000萬美元。9名被告包括兩名烏克蘭電腦駭客、6名證券交易員及1名地產發展商,被控證券詐騙、電腦欺詐及串謀洗黑錢等罪名,其中5人已被捕。

檢察官指,被告利用800多份竊取未公開的企業新聞資訊,包括財務資料,再利用數小時至3天的時間差進行交易,從中獲利。案情指,被告在過去5年,通過入侵兩家通訊社的電腦系統,獲得數以百計企業的業績報告後,在俄羅斯、烏克蘭,馬耳他、塞浦路斯,法國及美國等地進行股票交易。起訴書列舉一個例子,指不法分子在前年5月,在獲得一間公司的業績後,在36分鐘的交易中,獲利逾51萬美元。此外,由美國證券管理委員會(SEC)偵辦的民事案,將32人列為被告,非法獲利多達1億美元。這是美國檢察官首次對涉及駭客獲取內部資訊的證券詐騙計謀提出刑事起訴。參與本案偵辦的其他機構包括美國證券管理委員會和美國國土安全部等。

原文請參考:
《大公網--美國股市交易員勾結烏克蘭駭客 5年獲利1億美元》:http://news.takungpao.com.hk/world/exclusive/2015-08/3116008.html

/images/emoticon/emoticon13.gif《企業實務上,筆者觀點》

物聯網是由實際物體,如車輛、機器、家用電器等等,經由嵌入式感測器和 API 等裝置,透過網際網路所形成的訊息連結與交換網路。

這就是最簡單的物聯網主要概念,如果要走向物聯網時代,很多產業就會結合再一起,其中某些資訊就得要共享或分享。早在還沒有物聯網這個名詞出現之前,每種產業的上下游就已經有在進行結合與分工,但是上面都有一個主體在主導,例如說Apple、Microsoft等等美國公司在主導,然後再分派給亞洲的公分去代工它們的產品零件,由於這樣細分了之後,很多產業鏈就不容易整合,有些公司在技術上突破較快,因此能快速接單,快速產出,相對的,有些產業為了趕上市佔率,不惜一切的竊取商業機密,這在產業裡面早已司空見慣了。

現在加入「智慧」這個名詞後,所有物聯網就會提升到系統整合階段,沒有整合自然很難有所產出,筆者因為工作需要,過去主要參考櫃買中心的產業價值鏈資訊平台的資訊,畫面與連結如下:

https://ithelp.ithome.com.tw/upload/images/20191009/201074820YwCNY0thI.jpg

連結:https://ic.tpex.org.tw/

大家可以參考裡面的資訊,筆者覺得這個還是要有類似這樣的平台建置,才能讓產業間了解之間的關聯性,有了關聯性之後,就要討論該共享的部分有哪些,透過討論,先做小部分的整合,在觀望下一步驟,很多整合是需要時間的,當然現在還是這種物聯網還是處在戰國時代,很多文章裡面都會說,大家還在遠交近攻的,光整合都是一個大問題了,產出就更難了。然而物聯網的這個方向,還是正確的。

有整合的問題,就會有資安的問題,當中包括會不會有藉整合之名,竊取對方機密,或者被外部駭客在整合時,趁公司最脆弱的狀態底下,趁機攻入,癱瘓系統。又或者假合意,真詐騙,這些都很難去防範,當然,其他的各方面,如法律、會計、製程等等的加入,整個局面會更複雜。

所以很多人都認為,台灣資安都在玩假的,筆者有時也是這樣覺得,很多時候,查核到很多問題,也提供很多建議,但是企業也從來不在乎,或者擱置。很多企業有關數位稽核都是找了幾個人頭出來代表,根本沒有仔細去查,就算查核到問題,公司做的不是著手改革,而是先掩蓋事實,避免懲處或是草草了事,等到事情真的蓋不住之後,被重罰,才開始究責,更奇怪的是,有的居然先懲處發現問題的稽核人員,那麼這樣不管設置資安長、稽核都是空談的。


上一篇
資安戰爭 三十六計之第22計:關門捉賊
下一篇
資安戰之爭 三十六計第24計:假道伐虢
系列文
資安戰爭 三十六計36
圖片
  直播研討會
圖片
{{ item.channelVendor }} {{ item.webinarstarted }} |
{{ formatDate(item.duration) }}
直播中

尚未有邦友留言

立即登入留言