光看標題一定是覺得Jason瘋了! 什麼跟什麼嘛! 我必須先說明一下我原本的需求，近期因為公司透過SBIV的補助計劃，和指導教授一起將一個產品給開發出來，主要是以web的方式來設定及操作社交工程演練，而在這種演練模式之下，會將受檢測者分為是開啟電子郵件，還是點擊了裡面的連結，必須依照理狀況記錄到資料庫中，在演練結束時必須將該結果擷錄成為報告交付，因此在這個過程我們發現了一個狀況，有一些受測者，因為有設定了某種層度的電子郵件防護，因此在開啟郵件時沒有記錄，但是卻產生了點擊郵件的記錄...
網路謠言不斷的有，尤其是近來隨著行動通訊軟體的盛行，很多看似好心的訊息，事實上已經造成困擾，尤其是近日Jason不斷的收到各種網路謠言，包括ATM主機有木馬! 還有一個[不要開帶有《女人必看》或《2013年度工資調整方案》的圖片文件 ]，唬唬~!這個就利害了...
這個問題從前文中，就有朋友在詢問，當時是iOS不支援，但是到了現在，Jason為了補捉小丫頭超動態的鏡頭，也跟進了Lumia 920但是，伴隨而來的是之前所設定的登入代碼產生器也失效了，雖然Jason不會在外面的公用電腦去登入自已的帳號，但是還是有不少拿Facebook APP不支援的朋友們只能不斷的換密碼，或者是更消極的被盜了快換密碼，其實Facebook也有提供第三方驗證器可以產生可用的工具喔!
由於近期來又有多人詢問我這個問題，奇怪耶你! 我怎麼不會是這種網路謠言的第一順位攻擊者呢? 還是這種網路謠言會自動略過我的E-Mail呢? 我想，網路上google一下就知道這個訊息是Hoax(網路謠言)，就像是Windows\System32下有一個極可怕的病毒，icon是一隻可愛的小熊! 這種方式主要是為了要達成某種手段，包含有嚇阻的意味! 下列為原文，還有英語能力不錯的人幫忙翻譯了一下，不過，在Jason的眼中看來是破綻百出...
前一篇文章主要是要讓大家了解到現在的驗證機制有多麼的薄弱，接下來要跟大家一起探討的就是如何防護我們的Facebook帳密，最好做到若帳密流出了，至少還有第二線的防護，不會讓自已的FB變成困擾朋友的數位問題，雖然台灣目前沒有因為朋友帳號被駭，造成財務上損失的訴訟事件，但是在國外，已經有這種例子了...
暨MSN詐騙之後，我們近期看到的另一個詐騙手法就是Facebook的可以幫我接收一下簡訊嗎? 唉~!這種手法，真的是老到掉牙的社交工程，而且都是受害者自已出於自願，沒有危機意識的結果！在經過太多人不斷的被詐騙，加上周邊的朋友一而再、再而三的被騙到帳號，加上智慧型手機隨身有！Jason一家三口就有四隻智慧型手機，更別提現在的低頭族，滿山滿谷...
故事的起源來自於一個半月前(約八月底)，Jason的前同事克拉克在偶然的情況下，誤擊了惡意使用者(我不稱這類使的攻擊者為駭客，因為他們不配!!!請看這裡…駭客WIKI)的MSN帳密竊取程式(就像是：Do you see your mother in this picture? )接下來...
完成所有的設定後，Jason透過登入使用者的差異來測試一下，未加入DA_Client群組的使用者，是否可以在外部網路連結到內部網路資源，因此在 DA_Client中僅加入電腦物件My-PC，及使用者物件Jason及Silvia，接下來Jason將設備置放於外面…
接下來就正式的進入到我們開始進入到DirectAccess的設定，這個部份我們就著力在DA-Svr身上了，完成好PKI架構，也經過測試發行撤銷清單，那麼就直接進入到DC上去設定好自動發行測試，包括有建置可透過DirectAccess的群組、開立所有伺服器上防火牆的傳輸規則
DirectAccess最主要的功能來自於CA憑證的驗證，因此在PKI架構的需求會有相當的大量設定值，這個部份可以直接透過下面的範例一步一步的完成。※PS. DirectAccess在DC上新增完成CA的安裝後，才可以將DirectAccess Server加入網域之下。看來本篇開太大了，至少要連載個n篇，不花個兩三個小時來試試看，恐怕很難處理了，當然，我們先把主要的DC環境建置好了之後…
真是不好意思各位，一開始實作Direct Access時，是以微軟所提供的Step by Step lab，但是在實作出來後，覺的它的環境與現在企業的內部環境有著相當大的差異，因此就花了不少時間在建置一個比較貼近現在企業環境，而這個環境我建置了三個實體網路及兩個虛擬網路環境，將用戶端置放於不同的地點來觀查其運作是否正常，經過不斷的測試…
操作安全是一個綜合三個控制類型(實體、科技、行政)的領域，而對於台灣的IT環境，一個MIS同時是Operator也是Administrator也是Security Administrator，有沒有搞錯，這樣玩的話一個人走就變成什麼都帶走了，那麼，在這樣的環境之下，是不是人就成了一個公司服務品質的最大主因，大家還記得嗎?我們在前面有討論到，做職責分割，職務輪調的用意是為了確保防止共謀、相互監控及達成人員的可用度…
Operation Security其中一個很重要的一環就是Change Control Management(變更控制管理)，這個部份讓我不禁將ITIL的內容連結，
在ITIL也就是ISO-20000的Best Practices，其中最難做的就是變更管理(組態管理)，透過ITIL的觀念中，整合商務與IT的變更控制，
是變更管理中應該要注意的部份，導入這個控制重點是在於降低變更或是維護時，造成的風險衝擊，…
對於伺服器在各項Redundant的設計中，尤其是在於power、Disk Array，是針對Operation的可用性提高可用的彈性，
而對磁碟陣列的規劃中，各家想法不同，例如對於檔案伺服器在有限的資金下，希望做到系統高可用度與資料磁碟備援，
以最少的資金規劃，又不希望系統的效能太差，那麼系統碟用2顆硬碟做RAID 1，資料碟則以3顆硬碟做RAID5，若預算夠的話 …
操作安全似乎是一種很抽像的東西，與資訊安全的邊似乎沾不上，但是呢?!因為操作安全最大的鋌主體就是人，
人左右了所有的安全的政策，並且透過教育訓練降低人為的因素，而在於最大的洩密問題就是承載資訊的媒體，
而媒體的管理就成了操作安全中的一個重點，操作安全中，對於媒體安全管理是一個不能間斷的流程 …
啥!Operation 還有啥Security呀! Operations Security可嚴重了，根據統計(好幾年了，還在根據統計)Human-Made佔整個資安事件中的85%，
那您認為人為因素有沒有關係呀!這個領域算是一個綜合領域，跨越了實體、科技、行政三個類型，
而這個章節主要的目的有控制及保護資料處理的資源(像是媒體管理、備份及還原、變更控制)、保護的進入端點控制(避免授權或未經授權的人 …
BCP走到這裡也要接近尾聲了，經過了演練與檢討後，也要開始進收尾善後的步驟了，那麼也要再次強調Recovery及Restoration的不同，
Recovery是整個回復的過程而Restoration是回到原站點的過程，包含有撒離的內容，當撒離完成後，也隨著各項的資料回復，
並將所有業務回到原站點，最經由EOC Team宣布災難結束，並向相關利害關係者宣佈災難結束，並報告整個回復過程中的內容 …
經過一連串的規劃設計，包含備援點的屬性、備援點的選定都只是完成了DRP的回復及BCP的永續的部份，
若這部計劃光說不練，只是規劃好看的，那麼有和沒有又有什麼差別呢?然而一部計劃不是擺好看的，
就有如軍人、警察一般，若沒有平常沒有做演練、演習，那麼在真的遇到兇神惡煞，不要說槍怎麼開 …
前面有討論到相關的備援備援政策及相的程序選擇，但是這備都只能說是做了安全控制，但若無經過確認備份的有效性，
那麼這個備份就等於是沒有做，因為無法確認備份的有效性，那麼再好的備援政策也是空談，那麼最常見的就是應用於off site，
首先在執行一個有效的備份政策後，應該必須經過另一者的確認，以驗證這個備份是有效的，而備份的過程中，有分為幾項程序 …
透過了BIA找到了最Critical Business Process後，定義了RTO, RPO, MTD，針對以上三者設定對映的Continuity and Recovery Strategy，
那這個就算是完成了BCP了嗎?充其量只有完成了DRP，而BCP的部份不可能只是規劃完災難處理方法的映對後就告一個段落，
更重要的是在於計劃的持續改善，接下來還有緊急回應的程序、人員的訓練…一托拉庫的事情要做呢…