台灣資安人才培育現況

＃台灣資安人才培育現況
＃講師：台灣科技大學 鄭欣明助理教授 & 台灣大學 蕭旭君助理教授
＃HITCON CTF Conference

Transcript

1. 鄭欣明（國⽴立台灣科技⼤大學 ） 蕭旭君（國⽴立台灣⼤大學）
2. § Shortage of Cybersecurity professionals over the world § Jobs within the cybersecurity field requiring a broad range of knowledge, skills and abilities 2
3. 專題/ 論⽂文研究* 課程* 社群/ 社團 (HITCON) 競賽 企業實習 學 產 ⺠民間／社群 產學合作／贊助研 究與委託研究 學⽣生修習課程 培養研究興趣 3
4. 專題/ 論⽂文研究* 課程* 社群/ 社團 (HITCON) 競賽 企業實習 學 產 ⺠民間／社群 產學合作／贊助研 究與委託研究 學⽣生修習課程 培養研究興趣 4 官
5. 1.  How to attract students to cybersecurity industry? 2.  What courses can universities offer? 3.  What else can universities do to improve overall security in Taiwan? 5
7. §  台⼤大資訊系 必修課+計算機安全選修課學⽣生 33名 (兩⾨門課加起來約120⼈人左右) §  問卷形式⽐比較隨性，僅有三個開放式問題，並且⿎鼓勵同學⽤用⼝口語作答 §  存活者偏差: 對資安較無興趣的同學可能就不會回答，所以取樣到的同學應該都是對資 安⽐比較有興趣的⼈人。 三個問題： § 駭客對你來說是什麼？ § 在⼤大學四年內會想要選修資安相關課程嗎？（修過了的話還會 想再多修幾⾨門嗎？） § 畢業以後，會想要從事資安相關⼯工作或進修資安相關的學位嗎？ 7
8. §  帥！宅！可是我喜歡ㄎ>////< §  酷斃了 §  很帥氣的geek，很厲害的coding skill，不 需要google的real programmer! §  寫程式神⼿手 §  很懂電腦的⼈人，可以出現在電影裡? §  很棒，⼈人怪怪的，有點反社會，但是有著 ⼀一顆善良的⼼心，不會做壞事 §  ⼊入侵政府官員銀⾏行帳號，調查是否有不法 ⿊黑⾦金交易，洗錢。 §  很酷⼜又很神秘的群體，利⽤用(or 濫⽤用)電腦 的天才。 §  攻擊討厭的⼈人的電腦 §  很了解電腦網路解構，會盜取他⼈人在網路上 的資訊，做不當的利⽤用。 §  偷看別⼈人的秘密 §  感覺可以做很多壞事？XD §  可以竄改紅綠燈號誌的⼈人 §  很聰明的⼈人才當得了…破壞⼤大家的遊戲體驗 §  很棒，⼈人怪怪的，有點反社會，但是有著⼀一 顆善良的⼼心，不會做壞事 §  不能吃。 很強的⼈人們。 8
9. §  會動⼿手實作的⼈人(不限於程式，軟體、硬體、做家具、Food Hacking都算) §  hacker 就...⾃自⼰己也很想當阿，遠⼤大的造福⼈人類呢(笑 cracker 也...很想當啦xDDD每個⼈人⼼心 中都有壞蛋的天賦嘛xD §  a hacker is someone who seeks and exploits weaknesses in a computer system or computer network. §  使喚電腦讓⼈人類變得更懶（喂 §  它們用Kali Linux嗎? 9
10. § 擁有勇於發現和解決問題的態度的⼀一群⼈人 § 是技術很好，對資安了解透徹的⼈人 § 促進社會進步的⼒力量 § 有研究精神，可以⾃自⼰己獨⽴立作業，通常對於資安攻擊與防護都很厲害 的⼯工程師。 § 駭客＝堅持到底，永不放棄 § 駭客是隨⼼心所欲 但是是⽤用在良善的⽤用途 10
11. §  32 out of 33 said YES §  會。感覺學好資安之後，就可以保障⾃自⼰己在網路上的安全，知道網路上存在哪些⾵風險， 並加以解決。 §  會想修密碼學以及網路安全相關課程 §  會的，希望會有更多的實作課程 §  當然會，雖然現在進⾏行的研究跟資安沒有直接關係，但還是⾮非常有興趣繼續接觸 §  想，資安包羅萬象，可藉此學習到各⽅方⾯面的知識 §  會，希望能有進階的計算機安全課繼續深⼊入研究資安相關議題。 §  會，想修更多，想修進階的，想懂駭客技巧及其相對應的防護，因為⾃自⼰己在寫前端， App，Server的code，都會需要相關的安全防護概念。 11
12. YES §  會，如果有機會希望能從 事資訊安全相關⼯工作 §  會喔 因為跟現在的研究領 域接近 §  會！懂得還是太少，之前 在架站的時候各種漏洞 O_O⾃自⼰己如果有⼼心的話早 就打爆⾃自⼰己的作品" NO §  不會，這聽起來好像責任很 ⼤大，要是誰的資料洩出去， 就要付很⼤大的後果 §  可能不會。了解這些東⻄西有 趣，但去研究太困難了 §  不會 雖然覺得很重要 可是 應該會拿來當作⼀一個技能 MAYBE §  會，如果有機會會想要試看看， 不過可能也還是會看公司和$$吧 §  嗯…是有考慮過，只是台灣對這 塊好像沒有很好的待遇（應該吧 §  沒接觸過資安，但覺得趨勢科技 是不錯的⼯工作地點，之前就業博 覽會時很親切 §  有機會的話會想要。還沒上過詳 細的內容，還不知道有沒有興趣。 12
13. § 對駭客印象⼤大致正⾯面 § 好現象，有助推廣相關活動 § 也有很多同學和社會⼤大眾的印象相符（正反都有） § 有興趣修資安課程的⾮非常多 § 好現象，若IT⼈人員都具備基礎的資安概念，能減輕專業資安⼈人員的需求 § 有意願投⼊入資安產業的⼤大幅減少 § Gap: 如何能進⼀一步吸引有興趣的學⽣生選擇投⼊入資安產業？ 13
15. § 基礎資安課程 § 如 密碼學、資訊安全、軟體安全、網路安全、數位鑑識… § 進階實務課程 § 弭平學⽤用落差、加強實務操作能⼒力 § 專業學程、學位 § 全⽅方位訓練 § 完整配套 career path 15
16. § Advanced Information Security Summer School (AIS3) 新型態資安暑期課程 § 台⼤大–台科 資安實務課程 16
23. 23 ……
24. § 師資難尋 §  從事資安教學與研究的教授們其實不多 §  雖然⼤大家都很熱⼼心，願意拿微薄的薪資、犧牲⾃自⼰己的時間主動幫忙，但⾮非⻑⾧長久之計 § 教材取得不易 §  講師各有專精，但⺫⽬目前⽐比較像各個分散的單元，缺乏系統性的介紹 §  多數內容須⾃自⾏行編寫，較敏感的技術也不適合公開分享 § Problem oriented learning §  Gamification的學習⽅方式（如CTF）提升學⽣生學習動機 §  解題、競賽導向的課程 較缺乏整體脈絡 應多花點時間設計課程的roadmap 24
25. §  CMU, MS in Information Technology - Information Security (MSIT-IS) §  Georgia tech, MS in Information Security §  Dakota State University, PhD in cybersecurity §  UCL, MSc Information Security §  TU Darmstadt, MS in IT Security §  KAIST, Graduate School of Information Security §  韓國 BoB (Best of the Best) §  上海交⼤大, 信息安全學院 §  … 25
27. § 法律與倫理的規範 § Vulnerability Disclosure Policy 27
28. § “2019年成⽴立資通電軍司令部，2024年滿編6000⼈人，軍⽂文各半， 訓練軍職⼈人員從事基礎網⾴頁管理與病毒防禦技術，使其退伍時， 具備繼續從事通資產業就業能⼒力。實務運作上，網路攻防等駭 客專業，交由⽂文職⼈人員從事。但駭⼊入與否，由具備指揮權的主 官依戰術需求決定。” § 對資安⼈人員的培育必須趁早開始整體規劃，幾乎是現在就必須 開始。 28
29. § 以往的資安漏洞測試往往是⼯工程師經驗的累積 § 如今的趨勢則是利⽤用⾃自動化、利⽤用電腦來做為尋找漏洞的主⼒力 § ⾃自動化程式分析牽涉到許多理論和實務的知識 § DARPA Cyber Grand Challenge 29
30. § 駭客的精神即為⼀一種求知的精神，不分男⼥女⽼老少 § DEFCON有專⾨門舉辦給兒童的活動，如DEFCON for kids § Security is as strong as the weakest link 30
31. Thank You Q&A? smcheng@mail.ntust.edu.tw hchsiao@csie.ntu.edu.tw 31