一个人的闲言碎语

dr0v

blog.drov.com.cn
一个人碎碎念。
About Me
A lazy security employee.

2018年12月27日星期四


  • 金融科技时代下的商业银行智能安全体系建设在杭州顺利举办。来自江苏银行、宁波银行、泰隆银行、杭州银行、浙商银行、中国银行、浙江省农信等多家商业银行界的安全专家参会并就自身实践进行了探讨。
    攻击欺诈以解决攻防不对成问题(看不懂的安全)
    吐槽:甲方安全,尤其是金融安全有很强的业务属性且全面。
  • 安全设计视角解读 BeyondCorp 项目——BeyondCorp实际上是抛弃了对本地内网的信任,进而提出了一个新的方案,取代基于网络边界构筑安全体系的传统做法。
    用户需:
    1. 使用由公司提供的“受管理设备”;
    2. 通过用户身份认证;
    3. 且符合“访问控制引擎”中的策略要求;
    4. 通过专门的“访问代理”,不可绕过。
      服务端需:
    5. 准确识别设备,每台设备颁发唯一数字证书,通过“设备库存数据库”维护设备清单;
    6. 准确识别用户,每个用户分配唯一身份ID,通过“用户/组数据库”维护用户身份清单;
    7. 通过面向互联网的访问代理提供内部应用(每个应用都分配域名)和工作流;
    8. 实现基于已知设备和用户的访问控制,并动态更新设备和用户信息。
      吐槽:Google虽然安全做的不那么好(效果),但是安全架构设计做的贼好,值得学习
  • 白话物联网安全系列文章
    • (一)什么是物联网的信息安全?
    • 从三个方向去谈了IoT设备的安全,物理,近场和远程,现在市面上的安全设备,针对IoT的防御很多都只是把IoT上的承载的功能系统作为纯互联网设备进行防御(而且缺乏大量规则库),面对近场和物理的防御,现阶段没有一个好的解决办法.
      吐槽:物理安全永远是难点
  • 该次攻击是一次精心准备的针对驱动人生公司的定向攻击活动,攻击者掌握了众多该公司的相关内部信息,如驱动人生公司内部人员的姓名、职位信息;跳板机的帐号密码(未知渠道泄漏);升级服务器配置策略;甚至包括公司的团建计划。攻击者在内网潜伏长达1个月后,在驱动人生公司相关技术人员出国团建时,发起攻击行动:修改配置文件,下发木马程序。
    吐槽:本质上还是相信驱动不会做这么蠢的事,但是内网被渗透这么久还没发现,也是想想就恐怖。
  • RMF描述了保护、授权和管理IT系统所必须遵循的过程:
    1. 信息系统分类
    2. 安全控制选择
    3. 安全控制措施实现
    4. 安全控制措施评估
    5. 信息系统授权
    6. 安全控制监视
      吐槽:安全标准适用于企业、政府。
  • AMSI(Antimalware Scan Interface)反恶意软件扫描接口,可以用来检测并禁用powershell攻击命令。文中做了很多攻防测试,最终给了安全建议,可以看看。
    吐槽:攻防对抗真心无法枚举完。
  • McAfee发现了一个疑似Lazarus组织的APT攻击——此次黑客攻击活动被称为“神枪手(Sharpshooter)”行动,在短短两个月(2018年10月和11月)的时间内影响了全球至少87个实体组织,主要目标位于美国。该行动其他目标行业包括金融、政府、医疗保健、电信部门等。
    吐槽:国家与国家之间的对抗……
  • SamSam勒索病毒作为最活跃的勒索病毒之一,在2015-2018年期间,造成了至少3000万美元的社会损失,据调查这款勒索软件至少勒索了价值一千万美元以上的比特币,此前SamSam勒索病毒的两位作者已经被FBI指控,分别为现居住在伊朗的27岁的Mohammad Mehdi Shah Mansour和34岁的Faramarz Shahi Savandi。
    吐槽:根据钱包地址定位犯罪团伙
  • 文章描述了暗网的诞生和访问模式,可作为科普文看看。
    吐槽:VPN的解释图我真的服了。
  • 深信服EDR安全团队,综合了2018年一整年的数据(感染案例,实际数据会更多),得出这位最终的勒索届年度海王为:GandCrab勒索病毒,中文外号咸水国巨蟹。
    吐槽:只谈覆盖面,不谈感染量,这个图……
  • 疑似欧盟网络通信被中国监控,多年。
    吐槽:恩,没啥证据。期待爆料。
  • 深信服EDR安全团队捕获到一个伪装成激活软件WindowsLoader的病毒样本。经分析,该样本并没有激活功能,其主要功能是安装广告软件以及挖矿程序。
    吐槽:激活软件、网赚工具,只要是可传播的,第三方论坛,应该基本都沦陷了。
  • 火绒安全团队发现某商业公司制作的流量劫持病毒”FakeExtent”(产品名为”天馨气象”),正通过”WIN7之家”等下载站中的多款激活工具大范围传播。该病毒入侵电脑后,会释放多个恶意插件,篡改系统配置、劫持流量。 通过”火绒威胁情报系统”监测和评估,已有数十万台电脑被该病毒感染。
    吐槽:早前浏览器也是网址劫持,PC端的流量战真的厉害啦。
  • iOS上不限制对schemes名称的命名,但同一个设备上仅支持一个URL Schemes,iOS系统判定URL Schemes优先级顺序与 Bundle ID 有关(一个 Bundle ID 对应一个应用),如果有人精心伪造 Bundle ID,iOS 就会调用恶意 App 的 URL Schemes 去接收相应的 URL Schemes 请求,这就导致了可以被劫持。
    吐槽:劫持虽然简单,利用却很难。
  • BabySploit是一款由Python编写的渗透测试框架。该框架旨在帮助初学者轻松的学习并掌握其它更为复杂强大的渗透测试框架,如Metasploit。
    项目地址:BabySploit
    吐槽:集成平台越来越多,但实用工具却没见多少增长
  • “驱魔”病毒家族传播渠道多样,传播周期较长,从我们的监控数据分析看,其高峰时期全网感染用户预估累计超过500万,一直属于境内近年活跃僵尸网络中的佼佼者。早期变种利用系统服务、系统驱动劫持等方式实现常驻隐蔽,后续大多借助”流氓软件”外壳寄生实现注入系统进程,通过多层解密和内存加载释放和傀儡进程注入来躲避安全软件查杀,并且暗刷配置和暗刷插件都是云端配置,控制灵活、扩展性和兼容性好。从其最新变种分析中,已发现主页劫持插件和针对天猫、斗鱼、搜狗、虎扑APP、zaker、百度糯米、秒针广告、凹凸租车、hao123导航等站点的暗刷插件超过70+,支持劫持国内主流浏览器,并且可模拟PC、iOS和Android等多系统平台流量。
    吐槽:构建僵尸网络只是第一步,如何变现才是核心。目前来看,PC端变现手段依然集中在广告劫持方面,向挖矿转化的不太多。(可持续问题?算力问题?)
  • 360安全大脑提供的网络监控数据和360网络安全研究院提供的数据显示,此前曾大范围影响国内网络的HTTPS劫匪木马再次活跃传播,单日攻击高达190万次,多家新闻、娱乐甚至购物网站遭殃。
    木马通过导入虚假证书进行中间人攻击的方式突破HTTPS加密连接,用“移花接木”的方式篡改各大网站的广告内容和指向链接,利用用户对大型网站的信任心理获利。
    吐槽:又是色情传播,大众还没吃够亏? 另外劫持还会引流到微博、头条?背后的利益链居然不做一下分析。

2018年12月22日星期六

正版<富爸爸穷爸爸>书籍阅读,共耗时6小时14分,实质有效内容占比不超过20%.

<富爸爸穷爸爸>读书笔记

最终还是读了正版的<富爸爸穷爸爸>,书中内容不多,讲述的核心思想由于在’伪富爸爸’中已经了解过,所以带来的新观点、知识会比较少一点;当然,原书对于财富、金钱的观点阐述更为精炼、深刻一些——生活不会和你说什么,它只是推着你转,每一次推,它都像是说:’喂,醒一醒,我要让你学点东西。’

全书概述

<富爸爸穷爸爸>通过作者年幼时的经历和成年后碰到的一些缺乏理财知识却希望学习理财的朋友的故事,主要向读者们表达了如下一些观点(夹带作者一些私货):
  • 不要为钱工作,而要让钱为你工作
  • 穷人和中产阶级容易陷入’老鼠赛跑’的陷进中
  • 财务知识的教授十分重要,要明白资产和负债的区别。(作者十分推崇财商教育,以及夹带私货的推荐其现金流游戏101&202)
  • 你的资产项才是你的事业,而工作只是你的职业。应该专注发展你的事业。
  • 学习会计、投资、市场、法律的相关知识可以提高自身财商
  • 财商有助于控制和应对风险,而投资必然存在风险
  • 学会先支付自己:保障资产项的投入。(资产包括:不需我到场就可以正常运作的业务;股票;债券;共同基金;能产生收入的房地产;票据;版税;)
关于私货,cash flow 的财商训练游戏,油管上有中国台湾的up主做了分享,大家可以看看:基本入門說明-單人遊戲模式多人遊戲模式股票买卖
游戏不同于现实,但一定程度上可以帮大家理清现实中关于现金流、资产、负债、投资风险等的认知。

章节/金句摘要

全书结构清晰明了,主文分为三大部分:课程、开端、开始行动,重点在于课程上,对于如何开始则较为简略的做了一些说明。
我们依然按照目录结构做一些各章节的总结和金句摘抄:
  • 序言 这就是你所需要的
    对于想要学习财务/理财知识 或者 想要教授孩子学习理财的人,这本书正是他所需要的:通过接受教育唤醒你和你孩子的理财天赋,从而更聪明的理财。
    金句摘抄:
    • 安全的理财,或是通过接受教育唤醒你和你孩子的理财天赋,从而更聪明的理财。
      吐槽:序言说明了著书的背景和书的目标读者与内容,算是很优秀的序言了。
  • 第一部分 课程
    • 第一章 富爸爸,穷爸爸
      介绍了两位爸爸对待金钱的不同观念,侧面说明了家庭教育对于财商的重要性。
      金句摘抄:
      • 钱是一种力量,但更有力量的是财商教育
        吐槽:恩,这个就是我说的比较有私货的地方了。
    • 第二章 第一课 富人不为钱工作
      通过小时候富爸爸给孩子们身体力行的教育说明了富人不为钱工作,富人战胜对于钱的恐惧、拒绝超额消费的欲望,人们应该学会思维控制情感而非情感控制思维。
      金句摘抄:
      • 大多数时候,生活不会和你说什么,它只是推着你转,每一次推,它都像是在说:’喂,醒一醒,我要让你学点东西’
      • (大部分人)他们把一生中最好的年华用来挣钱,却不明白到底是为了什么而工作。
      • 别拿你的问题来责备我 (责备他人总比自省容易)
      • 穷人和中产阶级为钱而工作
      • 给他们的钱越多,他们欠的债也就越多
      • 没钱的恐惧会促使他们努力工作,得到报酬后,贪婪或欲望又让他们想拥有所有用钱能买到的好东西。于是就形成了一种模式……起床,上班,付账,再起床,再上班,再付账……给他们更多的钱,他们就会以更高的开支重复这种循环……’老鼠赛跑’
      • 发财并不能解决问题
      • 促使他每天去上班挣钱的恐惧也使得他热衷于让你去上学
      • 恐惧把你推出门外,欲望又开始召唤你,诱惑你去触礁
        吐槽:老鼠赛跑是当前社会普罗大众最为熟悉的生活状态了——涨工资不就是为了买自己以前想买而买不起的东西么?(手动狗头)
    • 第三章 第二课 为什么要教授财务知识
      阐述了财务知识对于现代人的重要性,和当前社会的匮乏程度(很高)。说明人们应该了解资产和负债的关系,了解财富的真正含义。
      金句摘抄:
      • 你必须明白资产和负债的区别,并且购买资产
      • 富人获得资产,而穷人和中产阶级获得负债,只不过他们以为那些负债就是资产
      • 财富就是支撑一个人生存多长时间的能力,或者说,如果我今天停止工作,我还能活多久
      • 流入资产项的钱越多,资产增加的就越快;资产增加的越快,现金流进来的就越多
      • 富人买入资产;穷人只有支出;中产阶级购买自以为是资产的负债
        吐槽:掺杂了一些个人私货进去的一章,不过依然被说服了:财商教育很重要。
    • 第四章 第三课 关注自己的事业
      你的事业即是你的资产项,如何增加你的资产项应该是你关注的重点;投入资产项的钱可以当做自己的雇员,它会24小时为你工作,不应该轻易解雇你的’雇员’。
      金句摘抄:
      • 麦当劳今天已经是世界上最大的独立房地产商了,它拥有的房地产甚至比天主教会还多
      • 从事你所学的专业的可怕后果在于,它会让你忘记关注自己的事业。人们耗尽一生去关注别人的事业并使他人致富。
      • 事业的重心是你的资产项,而不是你的收入项。
      • (资产:你的事业;收入:为雇主工作;支出:为政府工作;负债:为银行工作)
      • 不需我到场就可以正常运作的业务;股票;债券;共同基金;能产生收入的房地产;票据;版税;其他。
      • 建立自己牢固的资产——一旦把1美元投入资产项,就不要让它出来——它成为了你的雇员
      • 富人和穷人一个重要的区别就是:富人最后才买奢侈品,而穷人和中产阶级会先买下诸如大房子、珠宝、皮衣、宝石、游艇……让自己看上去很富有……
      • 用贷款买奢侈品,结果迟早会让人们放弃那些东西,因为接下的债是个沉重的负担
        吐槽:钱会24小时为你工作——股市休市、商场休息怎么算?(强行杠)。
    • 第五章 第四课 税收的历史和公司的力量
      税收实质上损害的是中产阶级尤其是收入高的中产阶级的利益;富人更有能力和想法来规避不必要的税收。
      金句摘抄:
      • 事实上富人并未被征税,是中产阶级尤其是受过良好教育的高收入的中产阶级在为穷人支付税金。
      • 他们雇佣聪明的律师和会计师,说服政客们改变法律,钻法律的漏洞,他们有能力扭转乾坤。
      • 被扣掉的税款是如此之多,而且我越努力工作,扣的就越多。
      • 财商是由四个方面的专门知识构成的:会计(财务知识)、投资(钱生钱)、了解市场、法律
        吐槽:有钱真好,可以雇比你聪明的人帮你做事。
    • 第六章 第五课 富人的投资
      再次说明财商教育的重要性,尤其是在实际投资中的重要性;投资确实有风险,而富人由于拥有财务知识,能够驾驭风险,所以能让自己的投资获得稳定的高收益。
      金句摘抄:
      • 为什么要去冒险?为什么必须永不停止的提高自己的财商?为什么必须懂得财务知识?……就是为了获得更多的选择机会。
      • 这是我生命中最快乐的事情,我更喜欢变化而不是害怕变化,我更喜欢能挣到数百万美元而不是去担心能不能升职
      • 通过增加资产项上的月现金流量,使你的月现金流量超过每月支出的金额,进而达到财富的增长……’老鼠赛道’……’快车道’
      • 未经训练的头脑通过教给自己的家庭不正确的理财方式,将会使子孙后代继续这种极度贫困的生活
      • 你的财商越高,你就越容易分清一项交易是好还是坏
      • 把’种子’播在我的资产项下……从小额资金开始播种,有些种子长成了参天大树,有些则没有。
      • 如果你清楚自己在做什么,就不是在赌博;如果你把钱投进一笔交易然后只是祈祷,才是赌博
      • 风险总是存在的,但你的财商可以提高你应付意外的能力
      • 风险总是无处不在,要学会驾驭风险,而别总想着回避风险
        吐槽:有点避重就轻,投资风险很大,而所谓财商高就可以应对风险,预计光这一点,很多人要交大额的学费。
    • 第七章 第六课 学会不为钱工作
      本章指出,当前社会,越专于某一个专业则你可选择的机会会越少;人们应该学习财商方方面面的技能,扩充自己的技能树,才能不为钱工作,获得更多的财富。
      金句摘抄:
      • 他们只有一项技能,所以挣不到大钱
      • 穷爸爸……工作的稳定就是一切;……富爸爸……不断学习才是一切
      • 工作(JOB)一词就是’比破产强一点(Just Over Broke)’
      • 工人付出最大努力以免于被解雇,而雇主提供最低工资以防止工人辞职
      • 世界上到处都是有才华的穷人
      • 成功所必需的管理技能包括:对现金流的管理、对系统(包括你本人、时间及家庭)的管理、对人员的管理
      • 最重要的金钱法则——给予,然后获得。
        吐槽:做安全体会 尤其深刻,你越在安全这行甚至某个方面做的深,你出路就越少。
  • 第二部分 开端
    • 第八章 克服困难
      本章列举了想要开始学习财务知识、进行投资理财将会碰到的困难,大部分都是来自于自身的一些知识障碍、心理障碍、’坏’习惯等,我们应该像锻炼肌肉一样,锻炼自己的资金项,让自己成为一个’强壮’的人。
      金句摘抄:
      • 不能积累丰厚的资产项……原因有:对可能亏钱的恐惧心理;愤世嫉俗的心理;懒惰;习惯;傲慢(自大和无知的结合体)
      • 因为太害怕失败,所以才会失败。
      • 人人都想上天堂,却没有人想死
      • 把你大部分的鸡蛋放在较少的篮子里,别像穷人和中产阶级那样:把很少的鸡蛋放在许多篮子里
      • 我能接受的最低收益率为16%,可那些疑虑重重的人却愿意接受5%的收益率。怀疑的代价真是太高昂了
      • 未经证实的怀疑和恐惧会使人们成为愤世嫉俗者。愤世者抱怨现实,而成功者分析现实。
      • 忙碌的人常常是最懒惰的人
      • 学会先支付自己,就会在财务和精神上更强壮;(像锻炼肌肉一样锻炼自己的资产项)
      • 每当我自高自大时,我就认为我不知道的东西并不重要
        吐槽:反正我确实看着挺忙的。
  • 第三部分 开始行动
    • 开始行动
      通过一些例子说明了开始投资应该注意的一些潜在力量或动力:目标、选择、关系、学习、自律、无私、偶像等,都是一些比较行知有效的意见,对于实践有一定的辅助指导作用。
      金句摘抄:
      • 金矿到处都是,但大部分人没有经过相应的培训,所以发现不了它们
      • 需要一个超现实的理由——精神的力量
      • 每天做出自己的选择——选择的力量……从理财的角度,我们每挣到一美元,就得到了一次选择自己是成为富人、穷人还是中产阶级的机会
      • 慎重地选择朋友——关系的力量……保持一种开放的心态,因为两种说法都有合理的地方……大部分穷人只听从’小鸡’式的观点
      • 在积累财富的过程中,最困难的事情莫过于坚持自己的选择而不盲目从众
      • 越早得到信息,获利的机会就越大,风险也会越小,这就是朋友的作用
      • 掌握一种模式,然后学习一种新的模式——快速学习的力量……为金钱工作是人类在穴居时代产生的模式,它早已过时了。
      • 首先支付自己——自律的力量……能否自律是将富人、穷人和中产阶级区分开来的首要因素
      • 生活之所以能推着你转,不是因为生活的力量很强大,而是因为你缺乏自律
      • 富人知道储蓄只能用于创造更多的收入,而不是用来支付账单。(首先支付自己→坚决捍卫资产)
      • 跟你的经纪人以优厚的报酬——好建议的力量……真正的技能是在某些技术领域能够管理比你聪明的人并给他们提供优厚的报酬
      • 做一个’印第安给予者’——无私的力量……明智的投资者不只看到投资回报率,而且还能看到,一旦收回投资,就能额外得到资产。
      • 用资产来购买奢侈品——专注的力量……如果你不如金钱精明,你就将为它工作一生
      • 对英雄的崇拜——神话的力量……通过偶像的模范作用,我们挖掘出自身的巨大潜能
      • 先予后取——给予的力量……慷慨一些,反过来,那些人也会慷慨的对你
        吐槽:好多建议文不对题的感觉,甚至是反着的。(无私的力量讲的是投资者追求的是额外收益)
    • 还想要更多吗?这里有一些要做的事情
      主要说明实践比思考更有用,也介绍了一些实践的经验——寻找市场然后寻找商品、聚合资金做大生意等。
      金句摘抄:
      • 先停下来,评估一下你的做法中哪些有效、哪些无效
      • 首先寻找想买进的人,然后采取找想卖出的人
      • 零售商喜欢提供数量折扣,就是因为大部分商人都喜欢大额购买的人
      • 行动的人总会击败不行动的人
        吐槽:时刻提醒自己——整理过往,重新出发
  • 结束语 怎样用7000美元支付孩子的大学费用
    列举了一个用7000美金购买一个房产然后不断置换更好的资产的例子来说明财商的重要性。(注意是资产,每月能带来收益)
    金句摘抄:无
    吐槽:这章所述如果真实,那就是啪一下把钱砸你脸上告诉你,我就是能赚到钱,你试试?

总评

<富爸爸穷爸爸>的正规版本(紫色封面可作为一个识别特征),主要说明了财商教育的重要性,并实际教授了一些财务知识,让人很受用;同时也举例说明了一些投资实践的方法和理论。当然,不排除鸡汤、假大空等嫌疑,但远比李鬼版高明多了。
评价
内容理论知识偏多,也会结合实际经历作证自身观点。
内核引导读者建立正确的金钱、财富观念,教导人们摆脱穷人思维和老鼠赛道。
结构分段进阶式阐述,从理论课程到实践指导,反复说明自身观点并冲击已有观念。
文笔文笔普通,译文不做评价
总评推荐多次阅读;观点或理论需要反复理解并结合实践做调整

2018年12月20日星期四