漏洞或弱點是因為程式設計不周全，大概分成幾個：第一個是作業系統，所以系統的核心設計不良，或收到壞封包造成系統的當機；另外一個常用的系統，就像一個utility這部分，像Front Page、IIS ida/idq、ISAPI filter、Buffer Overflow
…。另外一個應用系統，像SQL injection。前面兩個大概不用我解釋，大家應該比我清楚，那第三個就是說，它系統在設計的時候，他利用SQL Server，在做check input pattern的時候，如果pattern check不完整的時候，會有產生問題。另外是網路傳輸協定先天的缺失，像在傳輸埠的控制，這是個兩難，在你的方便性跟安全性的兩難，那當初在TCP/IP的用意是說，在做的時候非常方便，可是方便，問題就變成在，容易在安全性上面顧慮不到。另外，資訊系統運作的安全缺失：防護設施不足、系統設定及使用權限問題，像是網路芳鄰。這網路芳鄰是我們碰到非常大的問題，一般學校單位網路芳鄰很多，因為它方便，你看我的我看你的，看嘛，那一有問題就很容易傳染；還有一個最大問題是，使用者名稱及密碼設定問題，大概這兩個問題佔了所有問的的70%，這個網路和密碼問題。那依照我們以前的經驗就是說，密碼有時候就是幾個原因，例如：記了很容易猜，有的根本就沒有設密碼，有的是，你從電腦公司買了一部電腦回來用，他替你設定你就沒有去改，那常常電腦公司在幫你裝的時候，他為了他的方便，用一個非常簡單或是一式通用，結果他走了就走了。現在有一些remote，遠端的來幫你看，那更糟糕，他遠端進去的時候，對他來講，幾乎所有他的客戶都用同一個密碼，
他方便嘛，他容易記，他不用說你是誰，再記這個。一般來講，他都用這個，那你這個問題就很容易發生。
另外這個資訊系統或網路環境實體保護不足，最顯然的一個現象是上次一兩年前不是那個颱風嗎？娜莉颱風一來，原來有些備源的設備，它主機在南港，備源在東興街，結果那兩地都淹水，結果它都沒有辦法做，那也算資訊安全事件，因為它沒有辦法使用。從那次事件以後，因為在這個之前，以前我們說電，那電腦不是問題，是發電機，電腦不是問題，發電機有問題。以前電腦在大樓裡面，發電機都放在地下室，因為它會吵，重量。一來，那發電機整個都…兩邊都一樣，南港那邊也是發電機放下面，那淹水發電機都不能動，上面都沒有用。另外一個是資訊安全管理不善，那等一下我們會提到什麼是資安的管理。另外是相關法律的不足，那最大的問題是說，舉個例講，我被當跳板來去破壞連老師的東西，那我該不該有責任？現在目前是還沒有責任。那像上次那個總統府，建中學生去篡改網頁，在他那時候政府沒有辦法去起訴他，但是最近可以了。那主要問題是說，以前我們在做的時候，破壞的意思，篡改的意思，偷竊的意思，以前法律是把它比喻成一個物品，我把這椅子偷走了，原來的東西已經不見了；可是這資訊我 偷走了，我把你copy一份了，這東西仍然還在，所以原來的法律就不能用，大家了解我意思呴。那篡改也一樣，我篡改了以後，如果說以前我把它破壞，可是破壞了以後我把電腦一打開又可以用啦，所以他沒有破壞到不堪使用的地步，那你就不能講破壞。這以往的法律是這樣子，大家如果對法律…年紀越大一點對法律…了解我意思呴。那現在就可以了，現在對破壞的話，罪還滿重的，三年到五年，如果你故意要去寫駭客程式的話，罪比較重一點。
另外這個惡意程式，電腦病毒、電腦蠕蟲、木馬程式、後門程式…現在統稱都叫做惡意程式。大家應該都知道什麼教病毒吧？病毒跟蠕蟲的區別有沒有不知道？這是引用從醫學方便，病毒它本身不是一個活的東西，病毒是從正常的細胞經過什麼改的把它變成不正常，病毒去感染就變得不正常，像這個SARS就是…一個正常的東西把它變得不正常。那蠕蟲的話就像蛔蟲一樣，它本身就是一個有毒的，像這個肺結核菌啦，肺結核它本身就是細菌，bacteria，有時候他不用worm，用bacteria，細菌本身就是活的東西。這兩個本身是不一樣，不過現在慢慢慢慢有些混在一起了，那還有就是木馬程式、後門程式。另外就是駭客入侵，就是有些是用password cracking，就是剛才講的這個，password去猜，用猛力的猜，那另外一個就是系統漏洞或弱點。還有分散阻絕的服務，最近舉個例子來講，比如說我把你的信箱暴滿，一直送一直送…送到你信箱暴滿，你就沒有辦法做，你就被中斷，這是一個資訊安全事件。另外還有一個具名的是TCP/IP，它有個一個header tracking的時候，他來跟你要，說我要跟你傳輸命令，跟你講了，你就趕快去allocate你的一些space來handle這個header data運作output，結果這個外來者他就停住不做了，不做他就等啊，等了一陣子了以後，他才把它撤銷掉，可是這次數太多了，有時候它還來不及等的時候，就把裡面這些要處理的space給佔光掉了。那欺騙主機，信任關係騙你，那騙來騙去要怎麼去截取，這是比較複雜的問題。另外像連線截取，實體破壞，就是說我把你電腦打壞。另外一個很大的來源，現在大概是50%，是內部人員。因為外賓要來猜你的電腦還不是那麼容易的事情，內部是非常容易的，如果內部員工對你不滿意，那這個是很容易。這個是搜集的一些，像是流光啊，冰河啊，藍色火焰，後門程式，破密軟體…現在的攻擊工具都簡單表格只要填幾個，比如說你要攻擊的是誰啊，填幾個字你就可以攻了，packet就可以攻的很快。
那這個列表大概是有一些病毒感染，下載啦，電子郵件，系統漏洞與弱點，木馬程式、後門程式，信號竊聽或攔截，內部人員，實體破壞，駭客入侵…等。
那一般駭客入侵的流程大概是這樣：第一個是勘察，那勘察，就好像是一個小偷要去偷人家一樣，先看看哪一個是他中意的目標，那他就到處去找資料。第二個是他的探測掃瞄，就像，喔，我鎖定兩三個目標，那我再看看這兩三個目標裡面，他可能用什麼方法來敲他，對系統目標送出特定的封包，藉由回應和特定的知識來看看說，你的弱點有沒有去補啦，他這型號是不是可以攻擊啦，類似這方面。再來就是入侵，利用弱點操控系統，或是竊取資料，或是阻絕服務，那這些方面剛才大概都提過了。再來是維持存取，這時候是最大問題，他會安裝後門或遠端管理程式以利再次進入系統；另外是安裝竊聽軟體，那這主要是說，別人來log in的時候，他可以竊聽到這password還有user account；另外就是讀取或破壞資訊，像去年那個大陸駭客事件他就是…讀這資訊，那讀了以後，他就當作跳板嘛，他既然被犧牲掉，被compromise，他就注意去找，資料先讀回來，讀回來完就全部打包完再送回去。另外第五個是cover the track，就是軌跡把它覆蓋掉。
資安事件一般來講，以往它是跨地區，也沒有行業別，也沒有政府或民間的區別，也沒有軍事、政治、社會、民生的區別，道德性的定義也不易，像現在很多這個，到底這樣做對或錯，有的是有政治的因素，他是說，喔，我來攻擊你，有時候像是中美駭客，或像是總統大選啦，雙十節啦，那我們技術中心就要加強戒備，他就要防大陸那邊來破壞這個網頁啦，諸如此類的。對我們來講是不對，對他們來講是對的，像上次那個李登輝要做正名運動啊，喔…我們就很緊張啊，那時候九月份、十月份我們就很緊張，他不是要遊行嗎？他要遊行，我們就要全員戒備，怕他來攻擊。另外，越來這個方便性和安全性，取捨之間這個…你管的越多就越不方便，可是比較安全。另外剛提到這個犯罪工具容易取得，也很難去追，這個偵九隊，內政部警政署偵九隊要追要花很多的時間去追，如果比較高超的技巧，他一進去就把log清掉，那你就很難去追。去年大陸駭客那次，我們是看在他們有些比較嫩，他們有些軌跡讓我們看到，比較高級的有些log都看不到。所以他們有些log會定期抄到一些不容易去…另外去做一個copy再送回去。還有一些相關的法律還在發展，剛才提到，有些法令陸陸續續…我們舉剛才那個DDoS，這是一個實際的案子，就是政府單位被DDoS，然後請中華電信公司去看，結果發現到說這個，他借用一般hinet用戶當跳板來攻擊，結果反過頭來中華電信，花很多力氣把這些用戶找出來，回過頭來叫這些用戶把木馬拿掉，嘿，他就不肯，用戶不肯你也沒有這個權責叫他把它拿掉。這個法律面…你說我會害你，我說我不會啊…他沒有這個強制法條你一定要去簽，這個問題都有。
那在資安事件的預防跟處理，我們大概做三件事情。第一個是防護，再來是確保，第三個是服務。在針對這個事件發生前、發生中，還有發生後去做，那這是一個cycle。那發生前就是，我們有一些資安事件的預警、使用資安合格的資訊產、資訊環境及設定、異地資料備分或系統備援、資安管理、發生前我們盡量把一些該做的事情都做好。那發生中的話，入侵偵測，那做啊，測測測，入侵偵測跟監控；還有應變作業流程，這個應該有碰到吧，現在很多一個問題是說，入侵偵測…眼睜睜攻進來，來不及反應，你知道說有人要攻我了，可是你來不及把他擋掉，你要關門都來不及關，像諸如此類的就比較麻煩。阻絕後續的攻擊行為，現在他們還在做，就是說比較preventive，不像有一些是detective，有一些這方面的做法。我們常在講，一個是avoidance，避免；一個是prevention，一個是protection…我個人是這樣分，avoidance危險的，你就乾脆不要來用，譬如說，坐飛機，怕會有空難，那我就乾脆不要坐；prevention就是說，用什麼方法，你這個飛機坐之前有經過多少的檢驗啊，多少的測試啊，降低這個…prevention；那protection是說我坐了之後，事情就發生，那已經坐了，我就趕快防水衣啦，什麼什麼器啦都戴好好的，這個protection。所以說在資安事件來講，一般都是先prevent，發生之後你再去protect。那事件發生後就要趕快做系統的復原和事件的通報，事件通報是比較麻煩一點，政府單位…。像一般學校被入侵啊，都覺得很沒有面子，不願意去跟人家講。第一個是很沒有面子，第二個是聲譽，對他們的信用有問題，舉例講，民間銀行，你現在去銀行，它被入侵了，被攻擊了，那你對這銀行就沒有信心，會影響到它的聲譽，這個部份是滿麻煩的。所以說現在你credit card 被洩露的話，你就…。所以有關它信譽的就比較麻煩。那再來這個事件終的話，就要判斷，分析，鑑別攻擊方法及來源。另外就是說，我要怎麼去做改善，人家攻我是怎麼攻，我哪個地方有漏洞，我可以去做改善。那改善可以分成兩個層面，一個是技術層面，另一個是管理層面。技術層面像是說，我防火牆哪個地方設錯啦，或是說…諸如此類的；那管理層面就是說，這個地方因為疏忽沒有經由哪一個人的管理…所以叫他進來，這個疏忽兩個層面。所以事件發生後的主要目的是趕快讓這個系統恢復正常，那終的話就是事件層級啦，怎麼來啦，你要怎麼去做改進、改善的作業。那在資安單位會比較偏重在防護的技術和設備這個部份，那確保的話是在程序的評鑑及相關的證據，這個地方是說你怎麼做的更好，資安服務的話是幫忙做漏洞掃描、安全評估跟入侵偵測這方面。
在資安防護這方面大概可以分成幾個，第一個是資料保護，從內到外，有個加解密，還有資料備份，這是該要做的；另外是傳輸保護，是用VPR，virtual private network，現在政府單位大概都是建議在用VPN，照理講VPN是說一個小group之間，你通我通，別人不通。可是現在政府單位這有VPN等於沒有VPN，因為這個，我們兩個之間傳的資料我也知道你也知道他也知道，就變成大家每個都知道，這種VPN等於沒有VPN。另外在系統防護方面，使用安全的資訊產品，用的時候要看看有沒有辦法，這邊是我們最弱的地方，你買了一個防火牆，可是不知道裡面本身有沒有問題；你買一個軟體進來，也不知道這個軟體有沒有問題，這大概是我們現在最怕的地方。另外是掃毒程式，和異地系統備援，那異地系統備援我想這個名字應該很清楚，就是說你資料如果夠嚴重的話，那你這個資料應該在別的地方也要另外有一套，至於這一套是要cold standby，warm standby，hot standby，定義取的都不太一樣，那cold standby有人指的是，電腦啊就一個場地在那邊，如果這個場地有問題了，再趕快去買材料啊，買什麼，再開始run；那warm standby是說我平常就有電腦在那邊動，我平常data都有餵給它，同步的餵，那我這邊有問題了，那邊可以run，因為它已經有現成的data了，可以run；那hot standby，是這邊run，同時一個mirror site是，這邊run那邊run。那入侵偵測有主機型的，網路型的，主機型的就是放在你的主機的前面，網路型的就是放在你的網路的入口，或是幾個重要點，那它判斷方法不太一樣。網路型的大概只是判斷說有人來入侵，但是它不知道是要來入侵誰，那主機型的就是在你重要資訊系統前面，那你就很清楚知道保護自己。這你就要做tradeoff，主機型的話就是要每部主機你都要裝一個，那網路型的就是一個網路環境才要裝一個，所以對整個你要做考量。另外就是存取控制跟入侵防護，譬如說防火牆啊，或是做個身份鑑識。另外再做系統管理，系統管理其實是，政府單位的系統管理是最弱的一部分，你要去看log data，你要去做設定，防火牆該誰進來，該誰不能進來，這個部分是比較麻煩一點。
那在網路的安全上，第一個是方便、可靠的使用者身分識別機制，另外是穩定、可靠的服務平台，第三個是安全的傳輸通道，大概可以分成這幾個部分。
在身份鑑識上，我們可以利用使用者名字account name；另外使用者身份鑑識一般來講有三個方面，比較嚴謹的話可以分成三個方面，第一個就是你”知道什麼”，就是what I know；另外就是”擁有什麼”，就是what I have，一個是你手上拿的，一個是你腦筋記的東西；第三個是what I am，你的生物特徵，像指紋、聲紋、視網膜。你如果到一個比較管控嚴謹的單位，它大概這三個都會要求你。那上次我到宏碁的渴望園區，他們還多增加第四項，第四項就是說我按一個說要進去了，那他那邊我就要給他看一個像，他在遙控室裡看一個…說，喔，這個是你，那就按一個yes，你就可以進來。我是第一次看到。我一進來，像我進來這個比較重要的房間，他不是說我一進去就進去，而是說有一個中間，進去到這個下一個進去之間，他們有一個小的中間的隔離，英文叫做man trap，中文我不曉得要怎麼翻譯。如果你要進去，第一關，看可以了，再進去第二關，這就是我剛提到四個。你有什麼通行碼，或是什麼通行證，或是門禁系統這個卡，另外有個指紋給他看，最後才可以。這三個都是主動，主動給他看，人為來看。另外是使用可靠的使用者身分識別機制，低成本，易於使用，難以偽造，多種方法合併使用提高安全性，一般來講都有多種方法。所以一個，等下我們會提到，考慮這麼多，你還是要看看說，保護的對象值不值得你花這麼多精神，花這麼多錢去管，這時候就牽涉到說你的成本划不划算，不見得每個事情都要花那麼多錢去管，如果這是破鞋子，沒有人管，你也不必把它放到保險箱去，沒有人會要。另外是使用PKI跟CA達成網路身分證的目的，像是數位信封，還有電子數位簽章。