目前看，腾讯，移动，百度，盛大各个公司都非常重视这块的人材，大家机会大大的 ：）。

时代华纳.PS.的奥巴马获奖图片。链接

前言

斯大林说过：“……数量也是一种质量……”。个人对这句话的理解是，有些时候我们不妨跳出定势去思考问题。其实在很多领域，这都是相通的。在国内，不能说大家不重视创新，没有下力气创新，不过在某些时候，也许我们首先要理解的是，什么是创新？也许创新这个概念的外延，远比日常认识到的，大得多。

A、模仿就是一种创新。

B、速度就是一种创新。

C、迎合就是一种创新。

ZARA的商业理念(详见百度知道)

　　ZARA有近400名设计师，这些设计师是典型的空中飞人，他们经常坐飞机穿梭于各种时装发布会之间或者出入各种时尚场所。通常，一些顶级品牌的最新设计刚摆上柜台，ZARA就会迅速发布和这些设计非常相似的时装。这样的设计方式能保证ZARA紧跟时尚潮流。据悉，在欧洲，每年ZARA都要向那些顶级品牌支付几千万欧元的侵权罚款。ZARA并没有因此放弃这种设计模式，显然从中赚取的利润要比被罚款的数额高得多。

模仿：创新的天敌是--模仿？抄袭？山寨？学习好的东西，并加以适当的调整，就是一种创新。如果说有什么值得惭愧的，个人看法就是，山寨的功力不够吧,把“虎”山寨成“猫”的多，把“猫”山寨成“虎”的少。

　　ZARA花巨资一体化设计自己的灵敏供应链。生产基地设在西班牙，只有最基本款式的20服装在亚洲等低成本地区生产。ZARA自己设立了20个高度自动化的染色、剪裁中心，而把人力密集型的工作外包给周边500家小工厂甚至家庭作坊，而把这20个染色、裁剪中心与周边小工厂连接起来的物流系统堪称一绝。在西班牙方圆200英里的生产基地，集中了 20家布料剪裁和印染中心，500家代工的终端厂。ZARA把这200英里的地下都挖空，架设地下传送带网络。每天根据新订单，把最时兴的布料准时送达终端厂，保证了总体上的前导时间要求。建设这样一个生产基地，需要投资达几十亿欧元。许多品牌服装想模仿ZARA，可是却没有这样巨额投资的生产基地。成品服装在欧洲用卡车两天内可以保证到达，而对于美国和日本市场，ZARA甚至不惜成本采用空运以提高速度。这种大生产思维，使得ZARA品牌一骑绝尘。

速度：速度就是创新，很多场景，大家期盼的创新其实很朴素--只要能快一点，就好……。互联网:资料片发布的再快一点？网页打开快一点？电子产品：最新的IPhone到手的时间再快点？手机按键的响应再快点？日常生活：上菜再快点？等车再快点？……太多的场景，只要能让用户感觉快点了，那就是莫大的创新和贡献了。

就像一个球场上口渴的孩子，他不需要等上30分钟从操场跑到超市，买来一个又大又甜的冰镇西瓜，他最需要的是在2-3秒内，能喝上一大杯解渴的自来水。

　　ZARA的零售只设专卖店，那是ZARA的窗口与眼睛，不搞特许经营。专卖店每周根据销售情况下订单两次，这就减少了需要打折处理存货的机率，也降低了库存成本。款式更新更快增加了新鲜感，吸引消费者不断重复光顾。快速更新店面里的货品，也确保了它们能符合顾客的品味，从而能被销售出去。现在中国只有香港与上海两家专卖店，许多中国女性都翘首期盼北京专卖店开业，以便尽早享受ZARA带来的时尚与福利。

　　“品种少，批量大”是传统制造业的天条，而在“长尾市场”中，“款多量小”却成为当红的商业模式。ZARA以其灵敏供应链，创造了长尾市场的新样板。
　　

ZARA的灵敏供应链系统，大大提高了ZARA的前导时间。前导时间是从设计到把成衣摆在柜台上出售的时间。中国服装业一般为6～9个月，国际名牌一般可到120天，而ZARA最厉害时最短只有7天，一般为12天。这是具有决定意义的12天。ZARA之灵敏供应链所展现出来的韵律，使得有“世界工厂”之称的中国相形见绌。

　　ZARA一年中大约推出12000种时装，而每一款时装的量一般不大。即使是畅销款式，ZARA也只供应有限的数量，常常在一家专卖店中一个款式只有两件，卖完了也不补货。一如邮票的限量发行提升了集邮品的价值，ZARA通过这种“制造短缺”的方式，培养了一大批忠实的追随者。“多款式、小批量”， ZARA实现了经济规模的突破。

一般分析ZARA成功的原因大致是：顾客导向；垂直一体化；高效的组织管理；强调生产的速度和灵活性；不做广告不打折的独特营销价格策略等。

迎合：迎合就是一种创新。前文提到的销售供应敏捷，最终只是成功的保障，而不是成功的因素，这些特质都是为了支持核心点“用户导向”。迎合你的用户吧，以人为本是王道。

ZARA简介

ZARA是西班牙Inditex集团旗下的一个子公司，它既是服装品牌，也是专营ZARA品牌服装的连锁零售品牌。Inditex是西班牙排名第一，并于近年超越了美国的GAP、瑞典的H&M成为全球排名第一的服装零售集团，2005年其全球的销售额67.41亿欧元，销售数达4.29亿件，纯利润8.03亿欧元。截至2006年6月它在全球64个国家和地区开设了2899家专卖店，旗下共有8个服装零售品牌，包括ZARA、Pull and Bear、Kiddy’s Class、Massimo Dutti、Bershka、Stradivarius、Oysho、ZARA Home，ZARA是其中最有名的品牌。ZARA创于1975年，目前在全球62个国家拥有917家专卖店（自营专卖店占90％，其余为合资和特许专卖店）。尽管ZARA品牌的专卖店只占Inditex公司所有分店数的三分之一，但是其销售额却占总销售额的70％左右。

1、平台很重要，平台是保障运营的基础，也是合作的基础。

2、速度很重要，我们建设的安全平台的速度，一定要超过业务发展的速度才能满足公司的需求。这种速度不是靠亡羊补牢式的加班，而是靠前瞻性和规划。

3、视野很重要，高度不够，视野不宽。要意识到自身要用国际化经理人，国际化团队的要求去审视自己，建设自己的团队。看待产品市场，要有高度。（eg. 如何看待经济危机下，互联网产业的崛起？娱乐是一种永不过剩的需求。）

4、全局观很重要，看不清总盘子，东抓一把，西凑一堆，只是会陷于自我陶醉，要能清晰的界定范畴、盲点、战场。（要有前瞻性）

5、信心很重要，做事前最应该准备好的是决心和信心，而不仅仅是技巧。

6、心态很重要，多请教，多学习，学会倾听。少一些争论，多一些思考。用建设性的视角看问题。

上次车上，每个人讲一句话，我说的是“……我是来学习的……”，今年我说的是“……上次我是来学习的，这次我还是来学习的……”。希望后面可以带着一些东西和大家分享，不过我想，学习和反思的心态，要永远保持下去，无论在何时，何地面对何人。

1、谈事情要有全局观，整体意识，不能根据自己的喜好和专长谈问题。

2、做事情要考虑的远一点，不要光盯住眼前。急功近利会导致没有规划，没有基础平台，使团队失去成就感和动力。沉心做事，厚积薄发。

3、做事情要想的是如何共赢，应该多想怎么帮助他人，为他人创造便利；而不是挑刺，利用规章流程制造困难和低效。如果是“走自己的路，让别人无路可走。”的作风，多半要走入歧途。

4、首先要敢于想象，其次要敢于做一些别人不敢想的事情。

5、带团队要主次分明，长短清晰。长线的事情要多关心，多支持。

6、平台很重要。

-----------------------------------------------------------------------------------------------------------------------------------

很久没更新blog，主要是团队和几个安全平台的事情牵扯了太多的精力，现在有些眉目了，轻松了了很多。这段时间会连续有3个大平台上线，其中一个在QQ和7月份的一个重点产品上已经集成，目前已经集成到7个公司产品中，这也是我们TST第一次把安全技术集成到公司产品特性，这种感觉很自豪。

2、海量数据和网络通信。

3、0day攻击代码+未公开后门。

安全团队应该如何应对？令人头痛，也很有挑战，看似无解，但是探索这个答案的过程，并非完全没有意义。至少可以让人离真理近一点。

2009腾讯安全技术峰会

也不赘述了，会场有速记妹妹，基本都记录下来了。有兴趣的同学可以去看如下的链接。

http://tech.qq.com/zt/2009/informations/index.htm

第一天，几位专家的演讲非常精彩，非常感谢参会的各位兄弟，拜谢，拜谢。

第二天，沙龙大家的讨论也很有收获，讨论了很多务实的方法，很坦诚也很开放，互联网安全方面就是需要这种开放和交流。

一些变化

1、会务。这次是整个安全架构线主办的，更兵强马壮。08年的峰会很多工作量集中在了TST的几位MM身上，非常辛苦。这次有系统支持，游刃有余的多了。

2、议题。议题更加集中到1-2个领域，而不是向08年比较发散。议题方向会尽量向业务维度思考和靠拢，不再是纯粹的技术层面。

3、嘉宾。08-09年认识了非常多的业界同行，此次峰会广邀互联网安全同行，百度、阿里巴巴、巨人、迅雷、盛大、网易、新浪、搜狐游戏、yahoo、51.com、支付宝、网龙、微软、大成、知道创宇等公司安全专家和民间安全专家

4、形式。议题缩短了讲解的时间，增加了沙龙讨论的环节。

5、其他。会议结束后，带着很多同行一起去公司看了一下工作的环境，也演示了一些建设成果。感觉08年走过了，TST真的又大了一岁，希望团队能继续成长，共同努力，继续进步。 ：）

互联网产品都有的痛。账户安全、虚拟财产安全、垃圾广告、网络诈骗是非常主流的几大行为，今天碰巧在自己的msn上，看到了微软也在经历腾讯曾经经历的痛。

发现当时做业务安全时，一个我很钦佩的老大聊过的一个问题，正在应验。“……我们经历的其他人也必将经历，那时候安全将会成为我们产品和应用的一个核心竞争力。……”

这种类型的垃圾消息，说明孖号和盗号行为已经开始了，一旦绑定了虚拟财产交易，会有一次更大规模的激增。IM帐户体系的问题，会直接导致产品价值链的崩溃，用户粘性的直线下降。

地下产业链在和前期交手的公司对抗几年后，明显成熟。后续接入对抗的相关公司，产品和业务安全人员，着实要花上很多金钱和时间，才能形成一个有效博弈的平台和团队。

相信安全将来也是互联网应用的一个准入门槛。

如果从事游戏行业的同行，这方面在建设之初，还是要在IDC架构和体系方面就有所规划，掌握这种对抗的主动权。

一些心得

1、同时针对不同种类的DDOS手段，采取灵活的方法比较重要，否则昂贵的设备和部署成本，是企业感觉比较吃力的。

2、防御DDOS攻击的各个环节分开建设，不同环节成本不同，建设周期不同。

3、防御解决只是一个环节，前期数据是解决问题的钥匙。

4、为极端情况预留足够的设备和人力资源。

5、利用资源掌握快速定位能力，会让防御工作更为主动。

6、防御策略根据业务维度制定，会达到效果最大化。

7、应用层和第三方问题。黑客如果构造足够精巧的攻击方式，针对一些不为人关注的第三方和应用层BUG（特别是逻辑BUG），会达到放大数倍的攻击效果。

1、业界。谁能提高生产力谁就是伟大的公司，比如Google，微软，他们都为人类生产力的提高，贡献了巨大的力量。现在国内的公司，腾讯、盛大等还是比较偏休闲娱乐，要慢慢改变。

现在这种现象不能说是个错误，这几个公司的老板都是非常有眼光和睿智的人。也许现在恰恰是走向这个目标的一个过程。这个改变是需要物质基础的，只能是有钱后才能投入研究，做出更大的成功。

霸主。未来腾讯也许就是中国互联网的微软，那么谁会成为中国的Google呢？阿里？百度？盛大？……已经看到了阿里和盛大的开放平台战略，也许不需要很远，我们就能看到一个新巨头的出现。

2、团队。要有一种长远的眼光去看待自己和团队。团队的成长经历，长远看是一个职业生涯的标记。要意识到团队的荣辱，未来会刻在自己的胸前。是选择享受荣誉还是背负沉重，我们是有主动权的。

做互联网的人无不对Google、微软这些公司和团队产生向往，也许对于大多数人，与其临渊慕鱼，不如退而结网。

3、个体。个人发展融入到公司发展中，才能获得最好的效果。这是职业规划的立足之本。下策是闭门修炼，中策是同公司共同发展，上策是同业界和公司共同发展。感觉身处互联网行业，目前都有经历上策的机会，挺幸运的。

1. Do you filter employee internet access?
2. Do you filter inbound/outbound email attachments or content?
3. Do you have a control preventing employees from emailing sensitive information to their home email accounts?
4. Do you limit usage of USB, CD/DVD burners and all other removable media to authorized users only?
5. Do you have a control to prevent connection of unathorized devices to your network?
6. Do you require 2 factor authentication for remote access?
7. Can you produce documentation in the next 15 minutes that lists every server in your environment including test and development?
8. Can you produce documentation in the next 15 minutes that proves every server and PC in your environment is patched?
9. Can you produce documentation in the next 15 minutes that proves every server and PC in your environment is running up to date anti-virus?
10. Can you produce a diagram in the next 15 minutes that shows every internet facing device in your environment?
11. Can you produce individual diagrams in the next 15 minutes that detail every business critical application in your environment?
12. Can you produce a penetration testing report in the next 15 minutes that lists all internal and external vulnerabilities and was performed in the last 30 days?
14. Can you produce documentation in the next 15 minutes that shows all details on the past 5 changes to production systems including meeting minutes with IT and business process owners?
Can you produce documentation in the next 15 minutes detailing a single violation of any security policy or control violation in the past 30 days?
15. If you lost power to your main building right now and the outage duration lasted 3 days, would you be able to resume critical business operations with core staffing at a remote location with access to all critical systems within 2 hours of the initial power loss?
If you answered "No" to any questions above or were unable to produce the requested documentation, your program does not have a solid foundation and you are at a high risk level for data loss and loss of business operations. If you are able to produce the information...but not in 15 minutes...your incident reponse is either non-existent or not well defined.

If you are in charge of an information security program, it is your responsibility to make sure the information above is readily available at your finger tips.

If you answered "yes" to all questions above and were able to produce the documentation, you are performing some critical minimum requirements well...which is a strong indicator that the rest of your program is on track.

If you are a board member or CEO, print out this page and hand it to the person responsible for your information security program and see how long it takes them to gather the information.

-Matt Roedell

www.mattroedell.com

Get a complimentary Risk Assessment Template for taking part in a survey available on my site. The purpose of the survey is to compare products that you have already purchased or are going to purchase and determine if you obtained them before or after doing a risk assessment and if the reults of a risk assessment drive your purchases.

一、背景

十一届全国人大常委会，第七次会议 2月28日上午，十一届全国人大常委会第七次会议在北京人民大会堂举行闭幕会，以161票赞成、4票弃权表决通过《中华人民共和国刑法修正案(七)》。


会议经表决，通过了食品安全法、刑法修正案（七）和修订后的保险法，国家主席胡锦涛分别签署并予以公布。刑法修正案（七）自公布之日起施行。令人关注的是，对于惩治网络“黑客”的违法犯罪行为，刑法增加了相关条款。这意味着，今后惩处网络“黑客”有法可依。

二、分析

    此前，刑法第２８５条规定，违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。（详见备注）

1、问题   

    近年来，计算机犯罪的特点已经超越了刑法285和286标注的范围。主要是通过，技术手段非法侵入法律规定以外的计算机信息系统，窃取他人账号、密码、虚拟财产（如 游戏装备）等信息，或者对大范围的他人计算机实施非法控制（如 僵尸网络）。

这些犯罪行为，都超出了285和286条管辖的范围，刑法原有的规定使司法机关在打击“黑客”犯罪时面临法律困扰。

2、解决

    鉴于上述情况，刑法修正案（七）在刑法第２８５条中增加两款（第二款、第三款）：

“违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。”

“提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依照前款的规定处罚。”

总结

此次修订带来的变化如下。

1、范畴变化。对于军事、金融、政府以外的计算机系统，发生的计算机犯罪进行了界定，尤其是明确刑罚的内容。对于保护商业企业的计算机信息系统，尤为重要。

2、刑罚变化。对于计算机犯罪的惩处量刑出现变化，比以前实施更大的惩罚力度。（……处三年以上七年以下有期徒刑……）

3、内容变化。

    A、在内容上与时俱进，兼顾了对新型计算机犯罪行为的界定和内容描述。（如 增加非法控制他人计算机的部分）。关注点从以前的关注入侵（“……对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统……”），转到新型犯罪行为的描述（……获取该计算机信息系统中存储、处理或者传输的数据……，此处对虚拟财产犯罪行为的定罪，有非常积极的意义）。

     B、对提供黑客工具，编写黑客工具行为，界定为违法行为。（“……提供程序、工具，情节严重的，依照前款的规定处罚。……”）

总体看这次刑法的变更，解决了长期以来“计算机（互联网）犯罪成本”的问题，为行政司法处罚提供了依据。

当然这不仅仅对黑客产业造成影响，这种犯罪成本的变化，必然会带来挂马、盗号等产业链的规模性变化。相信对于安全公司、互联网企业的工作内容和范畴，都会带来深远影响。

三、备注

计算机犯罪涉及到刑罚的法律，主要是中华人民共和国刑法285-287条。

　　(1979年7月1日第五届全国人民代表大会第二次会议通过　1997年3月14日第八届全国人民代表大会第五次会议修订 自1997年10月1日起施行)
　　

第二百八十五条 违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。

第二百八十六条 违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。
　　违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。
　　故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。

第二百八十七条 利用计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚。

蒙牛关于OMP牛奶的回应

……

蒙牛关于OMP牛奶的回应

　　1.OMP与IGF-1是两种完全不一样的物质。

　　OMP是以牛乳为原料，经脱脂、膜过滤等工艺制成的牛奶碱性蛋白混合物，主要成分为乳铁蛋白、乳过氧化物酶等。是蒙牛与新西兰乳品研发机构TATUA公司共用引进和研究的，在美国、欧洲、日本、韩国、台湾等国家和地区使用多年的碱性牛奶蛋白，在日本和美国被称之为MBP(英文全称为Milk Basic Protein)。

　　经检测，特仑苏OMP牛奶中IGF-1的含量，与普通牛奶一样。IGF-1自然存在于所有牛奶中。

　　2.OMP就是国际上研究和使用多年的牛奶碱性蛋白MBP，其安全性受到了FDA等国际权威机构的认可。

　　MBP获得了包括美国FDA(Food and Drug Administration：美国食品医药品局)的GRAS(Generally Recognized As Safe)认证、新西兰农业及林业局食品安全认证等多项权威认证。在FDA的“安全物质表”中(截至2007年6月29日)的认证号为GRN No196。FDA规定：MBP可以使用在食品中，并且对其用量不做任何限制。

　　蒙牛的OMP原料均从新西兰TATUA公司进口，所有原料均经过了海关和进出口检验检疫部门严格检查。TATUA公司提交的文件证明：OMP就是牛奶碱性蛋白MBP。TATUA公司从牛奶中提取、并在全世界销售这些基础蛋白质也已有20多年历史，专家认为，这些基础牛奶蛋白质的安全性是有保障的。

　　内蒙古质监局实地考察后的报告明确指出，“能够证明OMP牛奶产品质量安全性和未添加IGF-1”。

　　内蒙古蒙牛乳业(集团)股份有限公司

……

人民网的文章《蒙牛OMP牛奶为中国乳业展示新方向》

蒙牛OMP牛奶为中国乳业展示新方向

	2006年04月05日15:21

第一个由中国人命名的乳业技术通过鉴定，第一款中国企业自主研发的世界领先牛奶产品问世——OMP技术和蒙牛特仑苏OMP牛奶研发的成功，实现了中国乳业在多个层面上的成功创新，为中国乳业展示出了突围与升级的新方向以科技创新实现产业突围—— 蒙牛OMP牛奶研发成功为中国乳业展示新方向当前我国乳品市场竞争日益激烈、产品严重同质化，整个行业面临着原料上涨和价格战的双重压力，企业利润空间已经越来越小。中国乳业向哪里突围？如何才能避免价格战等低水平竞争？乳业科技自主创新取得重要突破 　　2006年3月29日上午，国家信息中心的会议大厅里气氛热烈。由中国公众营养与发展中心授予蒙牛乳业的“改善国人骨健康”的科研攻关课题取得了可喜的成果。蒙牛乳业集团通过对国内外技术的深入研究，终于发现了造骨牛奶蛋白OMP的独特作用机理，并正式通过了专家组的鉴定，同时，蒙牛乳业集团所独立研发出的国内第一款OMP牛奶——“特仑苏OMP牛奶”也正式上市。国家公众营养与发展中心主任于小冬主任在鉴定会上指出：发现OMP造骨牛奶蛋白对人体骨密度提高和促进骨量增加的独特机理，是中国科学家和乳业企业联手对公众营养尤其是钙质增强方面完成的独创性研究，将会对改善中国公众中普遍存在的钙摄入与吸收不足的问题做出重大贡献。 　　 　……

OMP？My God!