【故事】

銀印是在一個很普通的早上，灼上來的。

沒有儀式，沒有唱名，沒有看台上的喝采。就是一紙通書送到，上面寫著他過了，然後那枚印，在他手背上，安安靜靜地顯形。

銀色的。很淡，但很清楚。

揚恩看著它，看了很久。

他等這枚印，等了兩次長夜，等了一年多的夜，等了七年，從那個被寫成零的編號開始算起，其實不只七年。

而它來的時候，這麼安靜。

他做的第一件事，是去修書鋪，給菲蕾雅看。

菲菲拉過他的手，看了看那枚銀印，點點頭，說：「嗯。」

就一個字。但他認識她七年，他知道那個「嗯」裡面有什麼。

然後他去找史帝凡。史帝凡那陣子在連城打得正起勁，看到他手上那枚印，咧嘴笑了，說了一句很史帝凡的話：「欸不錯喔。來連城啊，這邊更好玩。」

那天他很高興。是那種很實在的、沉到底的高興。

拿到銀印之後，有一段時間，揚恩以為自己的路，大致走到一個位置了。

他是個叩門者了。一個有銀印、能攻下大多數城的叩門者。這已經是七年前那個被寫成零的人，想都不敢想的地方。

可是走著走著，他心裡冒出一個越來越清楚的念頭。

他闖了那麼多城，拆了那麼多牆，漸漸覺得一件事：他很會把一座城打開，卻不太懂一座城該怎麼守。 他能一眼看出哪裡會破，可是如果有人問他「那你會怎麼讓這座城一開始就不破」，他答不太上來。

他發現到，光會攻是不夠的。

你得看得懂，你攻破的那些東西，在守的那一方眼裡，是什麼。

所以後來，他去叩了第二扇門。

那扇門，是律士印。

那是另一個學派的東西，鑄印局。他們不進迷宮，不攻城。他們管的是律法、章程、怎麼把一座城好好地治理起來、守護起來。

律士印要兩式俱全，才算成。

一式，叫守牆之試。

考的是：當真的有敵人來叩你的城，你擋不擋得住、應不應對得了。這一式說穿了，是攻防的本行，只是把揚恩慣常站的位置，從牆外，換到了牆內，他太清楚敵人會怎麼來了，反過來守，對他不難。

另一式，叫立城之試。

這一式，不給你敵人，不給你戰場。它給你一張白紙，然後問你：從零開始，你會怎麼規劃出一座城？

城牆該怎麼砌、哪裡該留門、哪裡該設崗、巡守的規矩怎麼定、萬一哪天出了事、整套該怎麼善後，全部，在敵人還沒出現之前，就得想好、寫清楚、安排妥當。

守牆之試，他一次就過了。

那對他不難。他天天在攻城，城會從哪裡破、敵人會怎麼來，他比誰都清楚。把這些反過來看成「怎麼守」，對他來說只是換個方向，讀同一件事。

立城之試，他第一次，沒過。

因為立城考的，是另一種東西。

不是怎麼去叩開別人的城，那是叩門者的老本行。
也不是等有人來叩你的門時，當場擋住他，那是守牆之試的事。

是在還沒有任何人來叩門之前，你怎麼把一座城，從一張白紙開始，蓋得讓人根本無從叩起。

守牆，是敵人來了才應對。立城，是在敵人還沒上門之前，就把每一道將來可能被叩開的門，先想到、先堵上。

一個是事到臨頭。一個是防範於未然。

揚恩第一次去考立城，考得很挫折。

他明明是個會攻城的人。一座城哪裡會破、哪裡守不住，他一眼就看得出來，他拆過太多了。可是當那張白紙攤在他面前、要他從無到有畫出一座不會破的城的時候，

他卡住了。

他會指出哪裡有洞。他不太會，從一張白紙開始，設計一座打從一開始就沒有那個洞的城。

那一刻他想起很久以前，在第二座城裡學到的一句話，那句他當時覺得「太大了、配不上那件事」的話：

換一座城，就要換一種讀法。

那時候他以為，那句話講的是前兩座城，那座靠物件運作的，和那座靠執事運作的，讀法不同。

現在他才聽懂，那句話真正的分量：攻和守，是兩座完全不同的城。它們要的，是兩種完全不同的讀法。而他，是個讀攻城讀得很好、卻還沒學會讀守城的人。

破城者，學不會治國的語言。

至少，第一次還沒學會。

立城之試，他隔了幾個月，去叩了第二次。

而這一次，他讓那個會攻城的自己，安安靜靜地坐下來，去學那些他本來最不耐煩的東西：怎麼畫一張滴水不漏的城防圖、怎麼立一套能讓城撐過百年的規矩、怎麼在敵人還沒上門之前，就把每一道可能的破口，先一一堵上。

他是帶著銀印去學這些的。

這件事本身就很有意思，一個已經拿到攻城最高試煉的人，回過頭來，像個新手一樣，去學那些他一直有點看不起的「紙上功夫」。

但也正是因為他攻過那麼多城，他這一次讀那些城防圖、那些規矩，讀出了第一次讀不出來的東西。 他開始看懂，那些規矩當初為什麼那樣立、立規矩的人在防的是什麼、他們的難處在哪。

第二次，立城之試，過了。

律士印兩式俱全，顯形。

破城者，終於開始學會，築城的語言。

於是他手上有了兩枚印。

銀印，和律士印。

一枚是攻城的最高試煉，一枚是築城的語言。而兩枚，都是他在最難的那一關摔過一次、又爬起來，才灼上來的。

他看著手上這兩枚印，心裡踏實。

然後他的目光，落到桌上。

桌上有一本書。

那本書，從一開始就在那裡。

從那個木箱送來導典的第一天，它就在桌上。不是攻城的書，不是築城的書，是另一個大陸的文字，一種跟叩門、跟治城都沒有關係的語言。

他學它很多年了。斷斷續續，沒有為了什麼，就是喜歡。他想把那種文字，學到像第二母語那樣，能自在地讀、自在地想。

他也去叩了那扇門。

異言之印。

他準備了，他去考了。

那枚印，沒有顯形。

揚恩坐在桌前，看著那本書。

它還在那裡。位置沒有動過。從第一天到今天，它陪著他度過了每一個夜，陪他讀導典，陪他寫冊子，陪他熬過兩次長夜前的失眠，陪他寫那本厚厚的歸還之書。

它什麼都陪了。

但它是那枚，唯一沒有顯形的印。

銀印顯形了。律士印顯形了。

只有它，沒有。

他伸手，把那本書拿起來，翻了翻。

他沒有挫敗的那種難過。但也不是全然的釋懷，說實話，他還是很想要那枚印。他會再去叩的，他知道。那扇門他還沒放棄，大概還要叩很多次。

可是在「想要那枚印」的旁邊，還有另一個東西，很安靜，但很確定。

他忽然很清楚地明白了一件，菲蕾雅很久以前問過他、他當時答不出來的事。

菲蕾雅曾經問他：「如果考不過，你還會想學嗎？」

那是他剛決定去叩銀印的時候，菲蕾雅問的。他當時答不出來。他想要那枚印，至於印底下的東西，他到底想不想要，他不知道。

這一刻，他看著手上這本沒能換來一枚印的書，有了答案。

這本書，他考不過。但他明天還是會翻開它。

他還是想要那枚印，這一點他很老實，他沒有假裝自己多豁達。他會再去叩，可能叩很多次。

但就算哪天他發現，自己這輩子都叩不開那扇門，他明天，還是會翻開這本書。

因為他就是喜歡這種文字。喜歡到，那枚印給不給，都不影響他明天會不會翻開它。

他想起來了：這本書，從第一天就在桌上。那時候他還沒決定去叩銀印，還沒遇到長夜，還沒有任何一枚印。它就已經在那裡了。

它從來就不是為了一枚印才存在的。

那枚沒有顯形的印，一點都沒有否定它。

反而是它，替揚恩回答了菲菲那個問題，

如果考不過，你還會想學嗎？

會。這本書，就是證明。

而他還會再去叩那扇門，不是因為非那枚印不可，是因為他想要。想要一枚印，和離不開一本書，可以是同一件事的兩面。

那天晚上，他把三樣東西放在一起看。

兩枚顯形的印，在手背上。
一本沒換來印、卻一直在桌上、而且他明天還會翻開的書，在燈下。

他忽然覺得，這三樣東西，各自教了他一件事。

銀印教他：有些門，你得摔一次，才叩得開。
律士印教他：你很會的那件事之外，還有一整座你不懂的城，值得你低下頭去學。
而那本還沒換來印的書教他：有些事，你會一直做下去，不管它給不給你回報。

三樣東西，三堂課。

而他知道，最後那一堂，是最難的，也是最輕的。

最難，因為這世界總在問你「這個有什麼用」。
最輕，因為一旦你有一件「就算沒換到那枚印、也還是會做」的事，你就再也不會，為了別人手上那份名單，活著了。

（還有最後一天。還有一個人，要來敲他的門。Day 30。）

【解咒筆記】從攻到守：

這一篇談走到一定階段，會遇到的事：攻擊的能力，到了某個點，會遇到天花板，而突破那個天花板，要的是一種可能很不擅長的東西。

一、攻和守，是兩種不同的思維

滲透測試、紅隊，這些是攻方的技能。找洞、利用、證明「這裡會破」。

但後來會發現客戶、會發現這個產業，真正要解決的問題，是守：怎麼讓系統一開始就不要有那麼多洞？怎麼規劃一套制度，讓安全不是靠事後補、而是內建在設計裡？

而這兩件事，用的是不同的腦袋：

很會攻的人，不一定會守。 這不是誰比較強的問題，是兩種不同的能力。

二、iPAS 的那兩科

分享一個自己的真實經歷。

今年自己默默地報考 iPAS 資訊安全工程師中級，它分兩科：資訊安全防護實務，和資訊安全規劃實務。

有意思的是，根據官方的通過率，多數人覺得防護實務（技術那科）比較難，它的通過率明顯低於規劃實務。對大部分來考的人來說，攻防技術才是門檻。就考試當天的體感，也的確如此。

但剛好相反。

防護實務那科，一次就過。挺意外的，但也許因為它考的是弱點、攻擊手法、滲透測試、防護應變，那是一直以來在做的事情，所以很多題目用推想的也能知道大概。

規劃實務那科，我第一次，沒過。考的時候明明比較有把握（不知哪來的自信）

不過因為規劃考的是另一種東西：資安管理系統、制度、政策、風險評估、安全架構規劃、法規遵循，那些「在事情發生之前，就該被設計好」的東西。是我轉職後，才真正碰的領域。
所以，當題目問我「會怎麼規劃一套管理制度」的時候，卡住了。

第二次，去請教了我的資安上亦師亦友的資安小魔女，去讀那些不是很熟的治理、規劃、框架。

第二次，規劃實務，過了。

三、為什麼攻方要懂守方

三個理由：

① 報告，是寫給守方看。

Day 28 講過，報告最重要的一節是修補建議。而修補建議，本質上就是守方的語言。你要能告訴客戶「怎麼規劃才不會再破」，你就得懂守方怎麼想。一個完全不懂治理的滲透測試員，寫出來的修補建議會很空。

② 天花板，在守方那一側。

純攻擊的職涯會遇到天花板。往上走，資安顧問、架構、管理，全部需要守方思維。越早理解「怎麼規劃、怎麼治理」，路越寬。

③ 真正理解一個系統，要從兩邊看。

只會攻，對系統的理解是半套的。懂了守方，會變成一個更好的攻方，因為開始能預測「設計者會在哪裡做取捨」，而那些地方，往往就是洞。

四、「換一座城，就要換一種讀法」，這句話的第二層

如果是紅隊出身，要去補籃隊的能力，最大的障礙不是智力，是心態。

太擅長攻了。去學守方，意味著要重新當一個新手，去學那些「紙上作業」、「管理制度」、「開不完的治理會議」。

攻和守，是兩座不同的城。你在攻城累積的一切，到了守城，要重新學一套讀法。過往的經驗有用，但不能用讀攻城的方式去讀守城。

五、最後：承認自己有一整座不懂的城

危險的心態，是「我很會打，所以我很懂資安」。

會打，只是懂資安的一半。 另一半，怎麼守、怎麼規劃、怎麼治理，是一整座你可能還沒認真踏進去的城。

這一行真正的高手，不是「最會打的人」。是「既看得懂怎麼破、也看得懂怎麼守」的人。他們站在兩座城中間，兩邊的語言都會說。

【工會箴言】

銀印教他：有些門，摔一次才叩得開。
律士印教他：你很會的那件事之外，還有一整座你不懂的城。
而那本還沒換來印的書教他：有些事，你會一直做下去，不管它給不給你回報。