Posts

講師： 大同大學資工系 包教授 地點：中華民國資訊軟體協會 教材： https://webhd3.ttu.edu.tw 識別名稱： 20230322課程 Source Code 檢測 針對 C 語言比較有效（Pointer 等） PHP / Java / .NET 比較沒有基本問題（Legacy Function、Library 有問題） 弱點掃描 作業系統版本 網頁伺服器、執行環境版本 安全軟體開發生命週期 SSDLC 登入頁：使用者登入失敗時，顯示「帳號 或 密碼錯誤」 查無帳號時，仍然要紀錄錯誤，可以知道是否正遭受暴力破解 個資最小搜集 Resource: https://sites.google.com/email.nchu.edu.tw/ssdlc https://docs.google.com/spreadsheets/d/1qcTVKOGL1vpUlyfLeA10C8Dq0Gdddl8d4Sluqi_KYI8/ https://www.youtube.com/watch?v=3juFKVhd5Bg STRIDE Spoofing Tempering Repudiation Information Disclosure DoS Elevation of Privilege 實作 安裝 Virtualbox、Kali Linux：https://ithelp.ithome.com.tw/articles/10298620 安裝 Metasploitable 2：https://ithelp.ithome.com.tw/articles/10299666 易卡關： Guest OS 的設定中，啟用 System 中 Processor 分頁內的「Enable PAE/NX」，且 CPU 只能給一個，如果要給多個 CPU，要在 Grub 設定 kernel 啟動時加上 noacpi

Cover Photo: Deploying macOS Upgrades and Updates with Jamf Pro Jamf 簡介 Jamf Pro 是一套訂閱制的大量蘋果裝置管理系統，可以納管 iPad、iPhone、Mac 和 Apple TV 等，官方牌告價每個月 iOS/tvOS 裝置 US$3.33、Mac 裝置 US$7.17。 由於 Jamf Pro 的管理介面不容易靠自學學習、摸透，因此也有相關的課程與證照，透過證照課程與考試，除了協助管理者熟悉系統的操作方式與流程，更重要的是學習整套系統的設計脈絡與精神，一旦理解了這些，對於導入組織裝置管理，才能融會貫通，設計出適合自己組織的裝置管理策略，或是協助組織或客戶導入。 認真上完課考過證照之後，也深刻體悟到，裡面很多精髓很難無師自通，課程中實務經驗的傳授更具價值，或許這也就是最高等級的 Jamf 400 證照，並非單純的證照考試，而是需要經過實際的導入顧問經驗，才能通過。 Jamf 課程 Jamf Certification Courses 大約兩個月會有一場 Mandarin (English workbook)，每次一週，前 4 天線上課程，第 5 天考試。 APAC Remote - GMT +8 (Hong Kong, Singapore, Taiwan) 課程的配合開課單位（某間國外公司）會提供每位學員自己一套測試環境（在 AWS 上），需要自己準備 Mac 或 iOS 裝置，課程中會教導如何手動將設備納管（enroll）進去系統中，進行相關的實機驗證，測試環境中也已經內建有基本的假資料，可以用來練習各種基本的管理情境。 課程教材放在某個線上電子書網站上，只有課程期間可以存取，也無法列印、攜出，不過課程中要自己學會搭配閱讀官方文件，學習官方文件的查閱方式，而教材在考完證照後也沒啥用。 Jamf 認證 完成 Jamf 200 課程後，會接著進行測驗，通過後可以取得 Jamf Certified Tech 認證。

Update, Upgrade, Factory Reset Command-R - Start up macOS Recovery (Update) Option-Command-R - Start up macOS Recovery over the Internet (Upgrade to latest supported) Shift-Option-Command-R - Start up macOS Recovery over the Internet (Shipped version) Startup Security Utility Apple T2 Security Chip 可禁止安裝雙系統開機、禁止外接硬碟開機等。 安裝方式 App Store macOS Recovery createinstallmedia startosinstall MDM 非正規方式（無法驗證、信任） 打包 Image Installing macOS on a Mac in target disk mode FileVault 建議企業統一預設開啟，且不可被關閉。

地點：愛料理（台北市中正區羅斯福路二段9號9F） 講者：永豐金證券 生魚片、GitLab TW Community core member 印章 活動：https://gdg.community.dev/events/details/google-gdg-taipei-presents-jin-rong-tuan-dui-ru-he-liu-chang-dao-ru-cicd-gitops/ 金融團隊如何流暢導入 CI/CD & GitOps 2004 年的換板工具（上傳檔案） 降低人為的操作、減少人為失誤 GitLab stages 包含編譯、佈署與退版 Windows 的 Binary 檔案有 PE Header 導致編譯出來的檔案每次都會不一樣，造成 CI 會視為不同的檔案而全部重新編譯 Artifacts 管理 Shioaji - the most pythonic API for trading the Taiwan and global financial market GitOps 導入 GitLab Ops (醫療環境導入 GitOps) 吳易璋 seal.tw GitLab is a DevOps platform，已經不是單純的 Source Code Management GitOps = IaC + MRs + CI/CD IaC: Ansible, Chef (Omnibus), Terraform, Docker Compose, Kubernetes MRs: Merge Request, PR, GitLab Flow CI/CD: GitLab CI

沒有最好的答案，只有最適合你的答案 https://www.facebook.com/d3consulting.org/posts/2635270836733017 極光 預估極光的狀態：Aurora Forecast 去除地形、天氣、遮蔽物、光害月份等看不到極光的因素，提高看到極光的機率。 北半球 9~10 比 3~4 月更適合。10 月份黃刀鎮通常是上半夜，阿拉斯加下半夜。 2021-09-10 是 Fairbanks 對於美國人的旅遊旺季。非旺季約 USD 100 ~ 130 之間。 加拿大黃刀鎮，從溫哥華進去，星空聯盟加上加拿大航空，或 ANA 里程 95000 哩 阿拉斯加 Fairbanks，亞洲萬里通 155000 里程 易達性：阿拉斯加 >>> 黃刀鎮 >>>>>>>>> 冰島 黃刀鎮只能從溫哥華或芝加哥到 全美很多城市都有飛阿拉斯加 Fairbanks 的 Inn 或 suite 帶有廚房的機率比較高，Extended Stay 幾乎都有廚房。 D3 推薦 Candlewood Suites Fairbanks (IHG)，可以買酒，酒稅低。 不要一個人看，要熬夜很累，需要輪班。 免費早餐不重要，通常不好吃或時間搭不上。 提升等待極光時的品質，降低不舒適的痛苦時間。 機票範例： 一輩子一定要去冰島看極光…？ 可以去其他地方 去冰島不一定只有極光 極光密集度相對低 食物不好吃、東西貴 自炊不方便 住宿費用貴 交通罰單貴 生活不便 航空飛行不便 天氣變化大 光害相對嚴重 沒有冰屋 溝通問題，英文不是母語 不能用歐元 觀光客太多 下輩子也可以去 中國人多 旅行社才有獲利空間 海島 不是海灘，而是需要搭船才能離開的島嶼。

這次參加了為期半年的 TGONext 計畫，從第一次的實體見面會與技術創業組小組會議，到後來幾次的線上小組會議，每次都收穫滿滿，剛好同組組員各自在創業的不同階段，算是各個階段所會遇到的議題都有討論到。 企業持續營運計畫（Business Continuity Planning） 2020 上半年最嚴重的事件莫過於疫情的快速全球肆虐，以及企業受疫情影響而導致的金流斷鏈。因此討論到了企業如何從產品面、財務面、人資面等角度因應這次的衝擊，同時各大企業也陸續發佈企業持續營運計畫（BCP），告訴客戶他們的因應策略。 BCP 的標準是 ISO 22301，另外也可參考 中小企業持續營運教戰手冊 文件。 反脆弱（Anti-fragile） Airbnb 的 CEO 寫了一段話： It Took Us 12 Years to Build, and We Lost Almost Everything in 6 Weeks. 呼應受到疫情影響，許多企業紛紛開始縮減各項開銷以度過寒冬，如果企業有幸度過了寒冬，如何在這次的災情中學習調整企業體質，增加企業的各項營運彈性，來降低遭受到的衝擊增加存活率，這剛好與反脆弱的概念不謀而合。 同時也規劃著寒冬過後所謂「報復性」的需求恢甦，當需求恢復時，企業如何快速恢復以往的產能與供給品質，也是企業經營的一大挑戰。 像是疫情嚴重期間，民眾避免任何出門機會，同時也因待在家太久導致悶壞了，疫情稍稍舒緩後，假期各大景點人滿為患，相關產業如何把握這樣的機會，彌補疫情期間短少的收入。 企業的第二成長曲線（The Second Curve） 如果公司的產品或服務，由於典範轉移、產業升級或需求飽和等因素，造成該產品不再有客戶買單，加上公司如果只有單一個產品或服務，這將會嚴重衝擊公司的營收，勢必面臨衰退的問題。 公司在第一個產品正在成長期即將進入高原期時，需要開始思考不同的產品、服務或商業模式，且要是高度異質性，可能是完全不同的客戶族群，完全不同的使用情境，同時最好可以高度重複利用公司既有資源，除了可以創造公司另一個成長動能，也能降低單一產品受影響時對公司整體造成的衝擊。

背景 開始工作後，開始學著自己買機票出國，除了偶而會買低成本航空（Low Cost Cabin, LCC）的便宜機票，大部分都還是買國泰航空為主，在很久以前朋友幫忙弄到一張馬可波羅綠卡後，每年剛好至少飛一趟國泰，累積了少少的會籍積分，剛好維持著馬可波羅綠卡一直到現在。 接著幾年前決定開始把信用卡回饋改成累積飛行里程，自然而然的選擇了國泰航空的亞洲萬里通，主力信用卡也選國泰世華亞洲萬里通聯名卡或是台新銀行國泰航空聯名卡，試著自己開短程的商務艙哩程票，試著用較低的成本來取得商務艙的機票。 契機 好幾年前就聽過 JGC，也有朋友修行過，東看看規則西看看待遇，但都一直沒成行。就在 2019 年的 1 月 1 日，一大早被電話吵醒，朋友通知說國泰航空有很便宜的頭等艙 bug 票，手忙腳亂開了電腦查了票，很快的就找到 11 月底峴港到紐約以及 12 月中紐約到峴港的頭等艙還有票，但是決定要買 11 個月後的飛機票還真的是有點抖抖的，畢竟不知道 11 個月後人會在哪裡，但看了價錢，頭等艙只需要新台幣 26,101 元，大約是經濟艙的票價，原價通常要 600,000 元以上（天啊！），就算最後不能成行，這損失好像也還可以接受，沒太多猶豫就買下去了！ 會籍與里程 Bug 票買了，接下來就看到網路上有許多飛行常客的大大們開始分析這張票所帶來的里程價值，如果是放在國泰航空，飛完一趟馬上可以取得馬可波羅銀卡，思考了一陣子，覺得一年的馬可波羅銀卡對我來說有點雞肋，除了基本的優先 check in 櫃檯、優先登機、優先行李以及可以進入寰宇一家的商務貴賓室外，實在沒太多價值，而且一年後又會降回到目前持有的馬可波羅綠卡。 也有人提到這張頭等票可以累積在日本航空（Japan Airline, JAL），取得日航的里程及 JAL Miles Bank（JMB）的 Fly-on Point (FOP)，一個日曆年內只需要 50000 FOP 就可以取得 JGC 會籍，除了等同寰宇一家藍寶石會籍資格外，最大的特色就是每年只需要扣除 5000 里程（在日本航空，里程和 FOP 是兩種不同的累積制度），就可以延續 JGC 會籍，這對於主要飛寰宇一家國泰航空的我來說格外誘人，就算平常只會買經濟艙的票，還是可以在上飛機前享用商務艙所擁有的相關待遇，加上國泰航空銀卡甚至金卡實在是太難保級了！於是最後決定把這張國泰頭等艙累積到日本航空 JMB 上，加上年初去北京出差，從國泰航空這邊總共湊出了 29930 FOP。 取得寰宇一家藍寶石以上的會籍資格，主要可以使用商務艙報到櫃檯、進入商務貴賓室及餐廳、優先行李貼條等等主要福利。 規劃 JGC 修行 JGC 有個規定是至少要有一半的 FOP 來自日本航空自家，所以我至少要從日航取得 30000 FOP 才行，也就註定著我至少要累積到 60000 FOP。（雖然最後不小心被壞朋友踹了一腳，卡片就這樣變成黑色的了…）

一直很想把 CI/CD 流程整進去新架設的 Kubernetes 內（透過 GKE 提供的），花了點時間終於搞定了。 建立 Service Account，產生 JSON 格式的 private key，並給予 GCR 及 GKE 權限，分別拿來上傳編譯好的 Docker Image 以及操作 GKE。整個流程大致上如最上面的圖片，其實不難，只是中間如果有東西沒串好，整個流程就不會動。 建立 Kubernetes Role 並綁定 RBAC，這邊設定 extensions/deployments 給予 get/patch/list 權限。 kind: Role apiVersion: rbac.authorization.k8s.io/v1beta1 metadata: namespace: default name: deployment-manager-gitlab rules: - apiGroups: ["extensions"] resources: ["deployments"] verbs: ["get", "patch", "list"] --- kind: RoleBinding apiVersion: rbac.authorization.k8s.io/v1beta1 metadata: name: deployment-manager namespace: default subjects: - kind: User name: "[[前面建立的 IAM 帳號]]" apiGroup: rbac.authorization.k8s.io roleRef: kind: Role name: deployment-manager-gitlab apiGroup: rbac.

SmokePing 是一個網路品質監控的 open source 軟體，可以用來持續監控伺服器到各個網路節點、服務等的網路狀況。SmokePing 主要使用 Perl 撰寫，除了背景有個 daemon 會一直到各個 Targets 去蒐集網路連線狀態外，也有個簡單的 Web 可以看圖表，由於是 Perl 寫的，需要透過 CGI 的方式讓 web server 去讀，這在 Apache 上很容易，但如果是要用 Nginx 來做為 web server，需要透過 spawn-fcgi 來實現（與 Nginx + PHP 的方式類似）。 主要測試的環境為 Ubuntu/Debian Linux，首先安裝 Nginx、SmokePing 以及 Spawn-FCGI 這三個套件。 apt install nginx smokeping spawn-fcgi 建立 Systemd 服務設定檔案 /etc/systemd/system/smokeping-fcgi.service 放入下列內容： [Unit] Description=SmokePing FastCGI Service After=network.target smokeping.service Wants=smokeping.service [Service] StandardOutput=null StandardError=syslog ExecStart=/usr/bin/spawn-fcgi -u smokeping -s /run/smokeping-fcgi.sock -M 600 -n -U www-data -- /usr/share/smokeping/smokeping.

Clair 是一套針對容器 (Container) 進行弱點掃描靜態分析的開源工具，由 CoreOS 提供。 建立需要的目錄 mkdir -p clair-data/clair-config Clair 所需設定檔（參考 https://raw.githubusercontent.com/coreos/clair/master/config.yaml.sample 進行修改），放在 clair-data/clair-config 目錄內，檔名 config.yml clair: database: type: pgsql options: source: host=postgres port=5432 user=clair sslmode=disable statement_timeout=60000 cachesize: 16384 api: addr: "0.0.0.0:6060" healthaddr: "0.0.0.0:6061" timeout: 900s updater: interval: 2h enabledupdaters: - debian - ubuntu - rhel - oracle - alpine - suse docker-compose.yaml 檔案： version: '2.1' services: postgres: image: postgres:9.6 restart: unless-stopped volumes: - ./clair-data/postgres-data/:/var/lib/postgresql/data:rw environment: - POSTGRES_PASSWORD= - POSTGRES_USER=clair - POSTGRES_DB=clair clair: image: quay.