有多少人是因为别人感兴趣而去关注

      感觉太烦人了，所有人都在说一件事件，而且还说明安排了很大的人力物力去搞这些东西，感觉很烦人，有那么多问题等着解决，怎么全国人民全都一起去关注这个了。到底有多少人是真正发自内心感兴趣，还是因为别人感兴趣自己也变的感兴趣？一帮无聊的人搞这些东西，我们还要想办法赚钱吃上口饭，真的没兴趣整天看眼前这些信息污染。
     发出这种非主流的声音是危险的，尤其最近网络评论员加强了活动，网监升级了设备，舆论加强了控制，但心里的想法不说出来，实在不痛快。就象自个儿闷了一罐酱，终究还是要拿出来闻一闻吃上两口，尽管别人不喜欢，自个儿却得了心理满足。坛子摆在这儿，好不好吃都要自己尝两口才知道，早已经厌烦了别人告诉味道，而且还规定不能出现其它味道，否则会如何如何并在现实中可能出现的可怕后果。
     苹果摔烂了，会坏的很快，几个小时就不能吃了，和放了几年的样子一般。希望，什么时候，可以做自己喜欢做的事情，真正没了这些潜规则，法无禁止即合法，那样大家都会快乐许多吧

倒桩练习

http://news.jsyks.com/Info/200705041241018538.html

没有加上后座，但上了车

清晨，驾校的人又打过电话来，让我交上体检表，扯了一通，不由放松警惕，似乎大家都是走这样的过程，显的我有些多虑了，最终决定还是随大流，和其他人一样，找这家便宜又方便的驾校学习。

     前些天看了点儿驾照考试资料，大部分是常识性的东西，看上去没什么难度。做了几道模拟试题，得分还挺高呢。于是，信心膨胀，打算上车一试。换挡起步，也是熟练的和键盘一样，摸上去感觉就来了，也不紧张，非常放松地目视前方，就做完了一套动作。开车真的比吃饭还要简单，只要"放松，按照原则行事"，哪个男人不会开车啊，比自行车还要好学。相当初，学自行车的时候，我还用了一个下午，摔了若干跟头呢。幸亏是农村的土路，摔几下也没事，幸亏有很多草垛挡着，身上才没有很多青肿，现在想想都很辛苦。哪有现在学汽车这般清闲，听完教练说完，松手刹，踩离合，换挡，坐在舒服的驾位沙发上，风吹不着雨淋不着，就那么几个简单动作，一会儿就搞定了。

     抱着小宝宝累的腰疼，一个劲儿感慨，国外许多人向往游艇的时候，我们向往能够有一辆车，可以在拥堵的交通中尽快到达目的地；可以在随时可能疯狂撞过来的宝马车前，有个铁壳保护自己；可以在飞车党背包党或者什么党一类东西抢过来时，尽快逃离；可以无法呼吸的污浊空气中，关上车窗口用空气清新剂欺骗一下感官；可以有个暂时私密的空间，一般不会查暂住证；可以。。。。可以写的东西太多了。搞不懂，为什么两排沙发加个发动机，会值这么多钱；搞不懂，为什么石油不停涨价，干这一行的不停发财，中石油还说自个儿亏损；搞不懂，搞不懂的事情也太多了。

    不管怎么说，比房奴们的生活要强一些，万幸，经过了不懈的努力，至少开始学车，准备买车，过上可以喘一口气的生活了。借用每天晚上聚堆唱歌跳舞，过去幸福退休生活的一帮老年人的话说，感谢党感谢政府

    

别人推荐的书，可惜暂时没时间看

95 江山如此多娇 泥人 武侠 太监 不太监就是100，虽带颜色但已就无法掩盖它的光芒


95 杨叛作品集 杨叛 文集 包括北战，升龙，简5等都是极品，作者是有大才的人

90 长安古意 小椴 武侠 接近完美的作品，小椴的武侠

90 都市妖奇谈 可蕊 特殊 妖怪里的怪胎，可爱的妖怪。还用说么？

90 二次创世 X 魔法 完结 看看现在的玄幻有多大的差距!

90 风姿物语

90 汉风 克劳塞维茨 军事 军事政治极品，禁书

90 江南作品集 江南 文集 含此间的少年等多部，可惜完结的太少

90 九州系列 文集 包含多本，一个世界，多人创作，很值得看

90 乐园

90 亮剑 都梁 军事 如果你看了电视剧，还会怀疑么

90 马伯庸作品集 马伯庸 文集 含多本书，包括风气陇西等慢慢看

90 明 酒徒 历史 "如果细节能有新宋的水平,该给100分的，开头有些差，坚持看！"

90 世界 百里芜虚 奇幻类诗史巨著，含欧洲印度等

90 天变 e_mc2 历史 个人认为三国最好的，看好作者名字，不要搞错了书

90 天行健 真实而残酷的战场

90 微酸学园ABC ftp1976 魔法 "网上写XX魔法学院的东西很多,看了它你不会有兴趣再
看别的了，龟速更新中"

90 武林旧事 武侠 同题目的书有多本，一定要找对(其实都还可以看)

90 悟空传 今何在 低于一定年龄的读者是看不懂的

90 亵渎 世界设定相当完备而富有逻辑性(非理工人士不能领略其乐趣)，开头有些差

90 新宋 阿越 历史 如果能象明那样大气磅礴该给100分的，作者是专业人士

90 血色浪漫 都梁 军事 "亮剑作者都梁作品,不看后悔"

90 药师寺良子 田中芳树 文集 田中大神的书......除了不知道什么时候出下一部就没
什么毛病了

90 英雄志 武侠 有点�嗦，也有点不合情理，但也可能是看的不细，越后面越好看

90 月落 不是忘了，而是实在更新的太慢，好书是没得说的

90 真髓 历史 三国中最好的作品，与天变并列

90 紫川 忘了？不应该呀！虽然有很多缺点，但90分当之无愧

85 大唐行镖 武侠 完结 那大唐的风啊，是那么壮烈

85 地底传奇 魔幻 "除了更新慢，没什么缺点,借用英雄无敌设定的书中数一数二的好书
"

85 风起紫罗峡 荆轲守 仙侠 如果不是更新问题该更高的

85 汉末浮生记 历史 老书，谁有评论可以说说

85 赫氏门徒 同人更新中，女性角色刻画出色

85 幻刃仙缘 游兮 修真 完结 修真顶级作品，第24集完结篇即将推出，请关注

85 火翼与冰鳍的怪奇谈

85 鉴鬼实录 特殊 一本法医的鬼故事，一位很牛的妹妹写的，超恐怖，有喜欢这口的可
以看看，确实经典

85 就是不走寻常路

85 空之战 "近期好书、设定非常有特点,不看后悔"

85 昆仑 凤歌 武侠 完结 不打90是因为作者还不太成熟，前传比正传好看

85 狼群 军事 军事极品，写实，后来貌似江郎才尽的样子

85 烈火疾风

85 乱世铜炉 连载

85 魔盗 蓝晶 魔法 蓝晶大作，四部中最好的了

85 魔法师的日记 魔法 经典中的经典 国内很早翻译的玄幻小说拉

85 魔法学徒 蓝晶大作，我看了很多遍

85 魔染梦土

85 魔武士 魔法 蓝晶大作，比上面两部差些

85 殁世奇侠 已完成不说了，极品

85 七武士 BT大作，看它只有2种后果：1、靠，作者疯了（扔书、砸电脑）；2、那7个
人的变态生活

85 起点 ZZXC 不是网游的那本，龙的天空里有的，作者ZZXC，可惜太监了

85 缺月梧桐 不多说，数精品类，没看的就去看看吧

85 日曜转生 "日曜的感情描写很真挚，很感人，很多情节催人泪故事情节曲折动人,女
主角也没有花瓶之类"

85 三生缘 都市

85 数字生命 科幻 全本 开一阵风潮的份上给85吧

85 死灵法师

85 四面墙 特别 特色小说，精品级别

85 搜神记 树下野狐 仙侠 越往下看越有当年看大唐双龙的那种没耐性读下去的感觉

85 随波逐流一代军师 不须多说，一代经典，当然还有些问题

85 踏歌行 变身小说最杰出者，更新很慢，有时一月才出一章，慢工出细活啊！

85 太虚幻境 单机游戏小说，写的却不是游戏而是善良的人生

85 泰坦穹苍下 史诗级的巨著，不间断更新

85 天下江湖 卫易

85 屠龙者 仙侠 仙侠类的经典，个人认为比飘渺还要略胜一筹

85 网络骑士

85 围棋的故事 小道王 体育 全本。棋类好书，喜欢围棋喜欢棋魂的可以去看看

85 我欲成魔 "醉蝠大大的作品,堪称经典主角个性刻画实在是绝了"

85 无家 残酷冰冷的老兵故事

85 仙楚 树下野狐 奇幻

85 仙路烟尘 仙侠 真正有仙家气质的修仙，情节进展较慢，云淡风轻的感觉

85 星群 懒狮子 科幻 "可以当星界同人看，以星际为舞台的书中,不多的好书"

85 醒狮

85 绚日春秋 鼎鼎当当响 历史 乡村风格

85 妖灵

85 异人傲世录 魔幻 古老的经典，优秀的设定

85 殷商舰队征服史 真正的幽默

85 银色猎手 都市 已完结，都市顶级作品

85 游戏狂想曲 很长时间没更新了，没看过的可以看一下

85 鱼龙变

85 御天者 XINPINGYE 异能 不一样的天使，很不错的书，同时推荐风过明岚，同一作者
作品

85 战国逆风记 "战国小说中受光荣游戏影响较小的,荆柯守作品,不可不看"

85 诛仙 奇幻 如果不是。。。

85 罪恶 大师级的写星际争霸

80 THE END 张远光 科幻 完结 张远光作品，算得上经典，绝对值得一看

80 爱哭巫妖的幸福生活 塞壬的港湾 奇幻 太监 值得推荐的一本书，我也是看了有人推
荐才过去看的

80 暗黑之路 萧鼎早期作品

80 暴风雨中的蝴蝶 "以设定论,比《枪・血玫瑰・Necromancer》的时候有提高,文笔也
有所改善"

80 杯雪 小椴 武侠 小椴武侠，本书精品

80 北斗推理剧场 推理 推理小说，静静的夜晚一个人看，很舒服的。不变态不恶心，动
动脑筋会很有趣。

80 蝉翼剑 何子丘 武侠 完结 平平常常的武侠，不是很出色却没有大的缺陷

80 长风 军事 黑色幽默军体小说

80 超级玩家 网游 本书适合那些看过古金黄等人的所有著作并看过大部分的经典武侠电
影的人

80 楚氏春秋 历史 评价一直很好，回到平行时空类比较好的，作者能力比较强

80 地球非人类联盟 没看，不清楚

80 地狱镇魂歌 "开头非常好,后面不知是太监还是出版了"

80 第五种族 科幻 连载 外星接触类优秀作品，类似THE END

80 电子生涯 太监 程序员（特指老点的，80+那些不算），读到会意处，欣欣然

80 都市老狼 边城雨辰

80 都市魔幻物语 实在是一本被埋没的好书，目标是挑战兄妹恋？

80 断情逐妖记 牵机 仙侠 连载 没话说，牵机大作 ps：牵机还有很多作品可以在他的
个人论坛上看

80 恶魔狂想曲之明日骄阳 我很喜欢，看的人大多不会失望

80 鬼吹灯 特殊 口味比较特别，不过开创新口味的我比较喜欢推荐一下

80 好宝宝系列

80 花开堪折 都市 都市优秀作品，但越来越没意思了

80 花样的年华 都市 都市极品

80 幻想异闻录

80 宦海沉浮 这本写的确实好，人情世故写的很透

80 浣玉芦花歌

80 皇图梦

80 极度诱惑 三津 都市 自我意识强的主角，紧张的节奏，显现极高智商的情节

80 见习魔法师 魔法 读写，差不多和《骑士的沙丘》是同一时代的好书，重点推荐

80 姜成传 X 作者同上为X，3次创始的开始，可以说老猪的紫川开始就是学这个，只不
过水平学的不到而已

80 惊雷逐鹿 金龙鱼 历史 一本糅合了民俗文化的历史书，文笔优秀(也就剩下文笔了)


80 精界转生世界篇

80 精灵

80 精炎战记

80 镜.双城 不知是太监了还是出书了

80 觉者传说

80 卡卡

80 历史的尘埃 文笔较不错，人物刻画也挺鲜明的

80 恋光明 魔幻 魔幻极品，我在地狱仰望天堂

80 烈日东升

80 临兵斗者皆阵列在前

80 灵异新世纪

80 满愿石 魔法 连载 不一样的好书，很长，很耐看，文笔尤其出色

80 梦幻魔界王 原版就已经很不错了，改版以后应该更强吧？改版以后我就没有看过^_
^

80 魔帝傲世行

80 魔法少年的奇遇 魔法

80 魔法世纪 魔法大陆类优秀作品，值得一看。如烟说有一点混乱的感觉

80 魔界英雄传

80 莫问天 经典好书

80 谋杀 小非作，还有几部相关作品

80 南十字星下的神迹 异能 同样说特异功能，但作者能够讲的栩栩如生，很不错

80 你死我活 不错的武侠，对武侠还有兴趣的人可以一看

80 骑士的沙丘 当时我买了书的

80 骑士的战争

80 青蝠酒吧 "妖怪双璧之一，能有人记的,该是托了写的早的福吧"

80 求索 我认为不错的了

80 若星汉的天空 老书，经典

80 三千美娇娘 "比长风好多了,相当有趣的江湖,相当有趣的县令白云航"

80 杀戮者

80 杀手之城 极品好书可惜知道的人不多

80 神�之眼 百里芜虚奇幻类诗史巨著

80 神魔领域

80 石油咽喉保卫战

80 时空妖灵 "蛤蟆新书,延续其一贯风格"

80 食遍天下 很不错，虽然没看完，但很喜欢

80 谁主沉浮

80 朔风飞扬

80 死亡骑士 时间守护者 "西方魔幻经典,非网游"

80 搜神新记 半年多没更新，还有这样的点推

80 太古的盟约 有人说第一部不错，不算经典，算是精品

80 特技者游戏

80 天魔神谭

80 天书奇谭 跳过开头，后面写的好得多

80 天舞・青梅 杜若 "第一部85,第二部60 ,第三部就不推荐了"

80 天下围棋

80 铁血帝国 真有往名著上面靠的确实，就是比起名著太直白了

80 亭长小武 看到上面一个想起来的，这个是汉初亭长，老书完结，经典之作，春雨如
烟一定要看!

80 我们是冠军 "写的早,作者功力还没达到现在的水平"

80 虾蛊

80 仙剑神曲

80 邪樱

80 星云的彼端 已完成，作者还是下了苦功的。

80 血夜凤凰

80 血盏花 很多人说好

80 艳遇编年史 都市极品

80 妖魔之代理人 有点意思

80 一小撮世界

80 医魂 喜欢中医的可以看这本书，惜乎鬼魂部分情节破坏了书的基调

80 遗忘国度之神秘徽章 起点，DND网游的的经典之作

80 异界变身狂想曲 变身小说

80 异能

80 异侠 越写越烂了......

80 银河新世纪 只要不是对星战谋略类极度讨厌的，建议都去看看，好书

80 隐江湖 真实的现代武侠，可惜太监

80 英雄的时代 周哲

80 佣兵天下

80 玉妖－玲珑玉体

80 月是故乡圆

80 再造神州

80 朱雀记 武汉的一定要看，实际上大家都在看吧？优秀作品！

考驾照第一步

        驾照报名，大成群结队的人群，似乎有驾校的人领着过来报名。今天去交警培训中心，里三层外三层，和春节的时候买火车票似的，这场面真是壮观，照这个速度下去，小汽车肯定越来越多，交通肯定越来越堵，污染越来越重，马路杀手越来越多，GDP越来越高，官越当越大。远的不说了，来报名的群众热情高涨，各种的表格传来递去，领队和黄牛党一般呼朋引伴，炽热的气份蔓延到每个人，大家都争先恐后，情绪兴奋。
        来的时候，还担心会不会找错地方，会不会被骗，现在则完全没了顾虑。大家和股市里一样赤搏上阵，最后兴奋一顿到头来都落个被套的下场，但过程还是要参与，跟着大流走，永远有戏看啊。
        回家来，感觉还挺累，洗把脸赶紧睡了。一件事，永远没有自己想像的困难，只要去做了，过程只是简单的和吃饭一样。有了目标，尽快去做吧。
       报了名，到哪儿领教材？啥时机考？何时上车？选驾校的事怎么办？还有几个小问题等着要处理呢。

      明天，还得想办法加个后座，这样就方便多了。

牛人故事：唐翔(转)

 最佩服这样的人，最喜欢这样的故事，最爱看这样的文章

作者：dini


唐翔是我认识的最牛的人。

这句话得好好解释一下：首先，什么叫做认识？认识当然指的是相互关系。
比如说，我的老板姜伯驹和王诗�，一个是两院院士，一个是长江学者，都曾
获得过陈省身数学奖。我当然跟他们彼此认识，甚至可以说熟悉。那他们有没
有唐翔牛呢？窃以为没有。又比如说，我还是见过几位当代一流数学家的：
陈省身、丘成桐、Smale、Atiyah，但他们根本不知道我是何许人，所以他们
不能算我认识的人。那他们有没有唐翔牛呢？我觉得不好比较。

不光是我觉得不好比较，很多人都有类似的感觉。有一次老谢(这是一个
精通数学物理和数论的家伙)说："二十世纪中国最伟大的三位数学家是陈省
身、华罗庚、唐翔。"

"不对！"何旭反驳道。这位几个月后将坐在MIT里研究李群的表示论的
好吃懒做的不敢吃辣的重庆人意味深长地说道："应该是唐翔、陈省身、华罗
庚。"

另外一个需要澄清的概念是"牛"。很多认识唐翔的人都认为，唐翔除了
数学牛以外，再没什么长处了。但我这里说的"牛"是把各个方面：数学、物
理、化学、语文、外语、泡mm、灌水、切星际……都加到一起。在每个领域中
定义一个牛指标，然后把它们生加到一起。我将之称为"综合牛指标"。所谓
某甲比某乙牛，就是说某甲的综合牛指标大于某乙的综合牛指标。容易证明，
我认识的其他人的综合牛指标都是有限数，但唐翔在数学领域的牛指标是趋于
+∞的，而他在别的领域的牛指标至少是非负数，所以唐翔的综合牛指标大于
我认识的其他人的综合牛指标，也就是说唐翔是我认识的最牛的人。证毕。

--

对于一个学数学的人来说，认识唐翔是他的不幸。这个不幸很不幸地降临
在了96级数学系除了唐翔以外的师兄师姐们身上，也降临在了97级数学系大部
分同仁的身上。我的不幸始于大二下学期。那时我们年级好多人都一窝蜂地去
选大三的拓扑课，我也跟着去选，然后就认识了唐翔。唐翔身材魁梧，膀大腰
圆，戴眼镜，坐前排，听讲非常认真。看不出来是一个牛人，因为通常牛人都
是不大听课的，比如我的偶像Smale，据说大学期间常翘课，而且经常坐在台阶
上很深沉地望着夕阳。

我们年级有一位mm也选了拓扑课，也总坐在前排，于是乎就经常向唐翔请
教问题，没想到两年后这位mm会成为唐翔的gf……当然这位mm跟唐翔大概并不
是在拓扑课上认识的，因为他们都担任一定职务，平时可能经常一起开会什么
的。至于其中细节我并不大清楚，所以还是不说的好。但可以肯定的是，唐翔
泡mm的牛指标是一个充分大的正数。

一学期转眼就过去，期末考试的时候，尤承业出题照例很简单，但对于我
这种头脑不灵活的人来说做起来就很是费劲了。考完后出考场，我跟唐翔聊起
试题，说有一小题没做出来。唐翔说："很简单呀，这是书上一道习题，你把
……"三言两语就把做法讲清楚，顿时让我感觉一学期的拓扑课算是白上了。

那时候才发现原来唐翔是个牛人，后来又陆续听到各种有关他的传说。一
个流传很广的说法称，唐翔是一个绝对的完美主义者。有一次他考泛函，一个
地方可能被扣1分，于是痛苦了一下午；还有一次他考测度论，一个地方可能
被扣2分，于是别扭了一整天。通常来说，如果有一次数学考试连唐翔都没有
得满分，那这次考试最后的成绩一定要经过若干次开方乘10的处理。也有人说
唐翔的长处是记忆力好，所以他即使政治考试分数也很高。最后算平均分的时
候，唐翔的各科成绩(包括政治)平均起来超过了95分。


我以前上高中的时候，老师经常跟我们说他以前的某个学生在北大
数学系期间有七门功课是满分，创了北大的纪录。到了北大后，才觉得
他十有八九是在吹牛，因为七门满分不大可能是北大数学系的纪录。不
过我相信唐翔的13门功课满分一定是纪录。有一次我曾很不幸地看到了
唐翔的成绩单的一页，在一堆100分中很刺眼地夹杂着一个90分，仔细
一看，那门课是"Probability Theory"，主讲教师为"Qian Minping".

其实13门专业课满分并不能说明一个人的数学有多牛，充其量只能
说明他很会考试。比如说99级一个师弟现在的专业平均分是99.x，还有
一个师妹的专业平均分是98.x，虽然这样高的分数我考不出来，但光凭
这个也不能让我佩服。因为大一大二的基础课还比较简单，数分高代解
几等课程要拿满分也不算太困难，另外陆果的物理课又纯属是考背书，
所以分数高一点儿并不奇怪。而唐翔的长处就是大一的时候还不很突出，
大二起就习惯于考满分了。

另外，考试考得好跟研究作得好是两回事，这一放之四海而皆准的
真理早已为无数事实所证明。像Smale从小数学成绩就不突出，上大学时
系主任追着要他退学。还有John F. Nash，自小就被目为天才，但他参
加两次普遍特别难的数学竞赛，都没进前五名，备受打击，连Harvard的
offer都不敢要。到如今，谁还记得当年的前五名呢？

所以说虽然唐翔成绩好，但还不能成为让人佩服的理由。打个不太
恰当的比方，就像是中国足球队友谊赛灭了无数强队，但也没人因此把
你当根葱。

大二下学期末的时候，听说周民强金盆洗手，下学期的实变课改由一位
年轻老师教。无庸隐讳，这位年轻老师科研虽然不错，但讲课肯定比不上有
三十多年实变教学经验的强强。那会儿我正感觉前两年虚度时光，所以决心
暑假待在学校，疯狂自学实变，下学期就找老师要求免修。

没日没夜地读书、做题，最后书上的习题大概还剩下不到十题没做出来，
自我感觉非常之好，巨有成就感。那些没做出来的题，每道想的时间都超过
了十个小时，最后不得不放弃。一日从图书馆出来时遇见了唐翔，谈起自己
近日来的活动，不免吹起了牛："大概还剩不到十道题没做出来吧！"唐翔
说："很不错啊！那本书上的习题，我至今还没听说有谁能全部做完的。"

我听后十分得意，顺势拿一道不会做的题，"虚心"向他请教。唐翔听
后，不假思索地说道："我现在记不太清楚了。这种题就用那个什么定理，
Egorov定理吧，找一个函数逼近一下就行了。"我说："Egorov定理是有条
件的，得是有限测度的集合。"唐翔说："你可以取一个□□□(以下略去
若干字)"

锵哉锵哉锵锵哉，一句话惊醒我梦中人！再回到图书馆一做，果然立刻
就搞定了，而且用同样办法又解决了两三道题，另外以前有些我做得很麻烦
的题，现在很简单就能做出来了。真是听唐翔一席话，胜读半月书啊！

后来有什么问题做不出来，要是能碰见唐翔的话，就直接问他了。不过
没敢跟他一起自习，因为怕得神经衰弱。而且好象跟牛人一起自习是mm的习
惯……

按lonekite的说法，96、97级不少人都养成了问唐翔问题的习惯。老谢
曾跟唐翔一起上过黎曼几何，他说唐翔脑子很活，做题时很不少想法。这大
概确是真的吧。一般来说，一道题如果连唐翔都做不出来，那就是真做不出
来了，当然偶尔也有例外，这是后话。

--


唐翔最让人佩服的是他的刻苦。每天早上六点他就起床，到图书馆
自习，晚上11点从三教回来。四年如一日，从不间断。后来图书馆的门
卫都认得他了，所以他不用证件也能进去。他曾告诉flying说自己每天
工作的时间是16小时。

当代数学家里最刻苦的是Erdos，每天工作19个小时，其次就得数
丘成桐这样的人了，但他们年轻时平均每天工作也达不到16个小时。这
样算来，唐翔之刻苦实在是让人瞠目结舌。有一次，我们年级一个到MIT
的家伙突出豪言："我要是有唐翔那么刻苦，早就是博士了！"此言一
出，众人均ft，然后无数臭鸡蛋烂土豆都向那人扔过去了。

flying声称唐翔到图书馆最晚的一次是他离开北大的前一天，那天
早上7:20时flying看见他进入图书馆。不过我怀疑flying弄错了，因为
那段时间我天天早上都在学五看见唐翔，我估计flying看见唐翔是他从
学五吃完早饭后进入图书馆。

让人奇怪的是，尽管唐翔这样没日没夜地学习，但身体还那么好。
中午不睡觉也照样精神奕奕，晚上头一沾枕就能入睡，然后鼾声如雷。
我们这些人要是不午睡，自习或上课的时候必定犯困，看看唐翔，实在
让人既羡且妒。有时跟唐翔比较起自习时间，发现差得实在太远，只好
乘上一个午睡系数什么的，因为要是不午睡的话，学习效率会低得多。

唐翔在国内的时候就决定出去学非交换几何。Noncommutative Geometry
这门学科是近一二十年兴起的，发展得非常热闹，跟弦理论有密切联系。这东
西到底讲什么的我也不清楚，只知道国内搞的人非常少，而Atiyah将它称为
二十一世纪最有前途的两个数学分支之一。

大概算子代数在非交换几何中起到了重要的作用，正如交换代数是代数
几何的基本语言一样。非交换几何领域里的头号牛人 Alain Connes 当初就
因为算子代数方面的工作获得的 Fields 奖。唐翔嫌自己的算子代数水平不
高，就找了一本这方面的专著来读。那可是真正的学术专著，而非一般的入
门教材。书名就特别长，又是"representations"，又是"*-Algebra"，又是
"locally compact groups"的，总之都是正常人没法学懂的东西。

其实如果光是题目吓人倒也没什么，看看那本书吧：共两卷，加起来
一千四百八十余页。这个数字是什么概念呢？G.W.Whitehead 写过一本臭名
昭著的"Elements of Homotopy Theory"，厚七百四十多页，重一公斤。这
书已经被圈内人士认为过于厚重，不适合当教材，只能作为工具书查一查。
而唐翔看的那书，每一卷的厚度都和 Whitehead 的书相当！

据说唐翔把那本两卷的书分成了四个部分，每两个月看一部分，用了将
近一年的时间全部看完。老谢说，每当他在图书馆看见唐翔啃那本书时，他
就流汗。

现在的人过于浮躁，一个个都恨不得两年就把本科课程学完，再用一年
就写出博士论文，很少有人肯下苦功夫练一练基本功的。谁还会花上一年的
时间，啃一本一千四百八十多页的书呢？



唐翔深受钱敏的赏识，后者把唐推荐给了丘成桐。据说发offer的那段
日子，丘成桐不在学校，所以唐翔只被列入了 Harvard 的 waiting list，
尽管是第一位。后来唐翔 waiting 不下去了，就去了 Berkeley，然后
Harvard 的offer就来了……

个人认为，丘成桐没有招到唐翔，是丘的不幸而非唐翔的不幸。唐翔
和丘成桐其实有很多相似之处：两人都有做数学的硬功夫，天资都不能算
是太高，但都以刻苦而闻名。不同的是唐翔比丘成桐更刻苦，但丘比唐更
有名，至少现在是这样。

顺带说一下，在Fields奖得主中，丘成桐的天资不算高，但刻苦程度
绝对没几个人能比得上他。有人曾请陈省身评论几位当代数学家，问到某
人时，陈说："他很用功。"问到另外一人时，陈也说："他很用功。"
但问到丘成桐时陈不说话了，因为丘成桐的用功是出了名的。据说丘吃饭
的时候也要想数学问题，想着想着连饭都吐出来了。丘如今五十多岁，早
已功成名就，但每天仍工作八小时以上，系里所有的数学会议都参加。另
外他对自己的学生也极严格，要求每四天读一篇高质量的论文。可以想象，
要是丘成桐得到了像唐翔这样刻苦的学生，一定会喜极而泣。

唐翔到了 Berkeley，导师是 Weinstein，――也是陈省身的学生和钱
敏的朋友。Weinstein是搞 Poisson几何的，对非交换几何估计肯定不懂，
所以在那里是他教唐翔 Poisson几何，而唐翔教他非交换几何。自然唐翔
的非交换几何是自学的，以他的算子代数功底和刻苦程度，要自学这种东
西肯定是小菜一碟。

唐翔写信回来说，在 Berkeley 几乎人人看过的书都比他多。那是自
然，想来也没有谁会花一年的时间看一本一千多页的书。有那一年的时间，
牛人们肯定至少看完了几十本书了。不过一年看几十本书的只是小牛，唐
翔才是真的大牛。

向魅力十足并掌握老公钱包的杰出女性们致以节日问候

祝美女们：挣钱多的当相公，有才华的当顾问，长的帅的当情人，能顾家的做老公，靠的住的做知己，智商高的当孩他爸。

在三八节来临之际，向长期战斗在试衣间，看韩剧，不做饭，魅力十足并掌握老公钱包的杰出女性们致以节日的问候。祝所有女同胞们：三围魔鬼化，收入白领化，家务甩手化，快乐日常化，爱情持久化，情调小资化，购物疯狂化，情人规模化，老公奴隶化，预祝美女们三八节快乐！

推迟的幸福感终于到来了

      一些事情在做之前觉的很难，但把最容易做的最能带来快乐的事情放后，先解决这些困难又重要的事情，似乎一下子提高了效率，一切变的简单起来，而且心理也感觉非常快乐。这是个好经验。
      小宝宝的湿疹终于好了。原来红肿起来的小脸，又变的光滑亮丽，闪着光泽惹人喜爱。副作用似乎不搭边，小屁股感觉有肉了，一抱起来的时候，感觉肉乎乎的，手感还挺好，呵呵。
      还有10来天百日，小宝宝会说许多曲调的长腔，包含了语气语意，有10来句话是不同意思的，不好容易，需要经常听，才能学会理解。漂亮的眼睛东张西望，有人说话的时候，就认真看着，经常还会喁啊啊的参加意见。大人要是不在眼前，可以自个儿吃手玩一会儿，要是离开的时候长了，就开始哎哎的喊人，充满了快乐的期盼，要是再不瑞身，就开始着急火燎的不乐意了，大喊几声，呵呵。小宝宝的脾气有时很大，只要不惹他，都是快快乐乐的，看到谁都露出可爱的笑容。小宝宝从小就这么有原则呢。

       终于有了自己想要的这种电动车，速度、里程、灵活性、安全性，都非常让人满意。也许买了汽车还是骑这个了，太方便了，在城市里面比汽车快很多。前几天还以为是有刷无齿，最后发现竟然是有齿的，有些喜出望外，象是意外得到了一个赏赐。感谢感谢。到捷安特的店里调了碟刹，现在骑起来非常轻快，接近普通自自车了。下午狂飙了几十里地，竟然用了不到一个电，确实高速又省电。这么好的电机，不知道需不需要维护，记的在哪本书上看到过，最初几个月，需要在齿轮上油？争取好好保护着使用，能够用上几年，有更好更新的产品出来。

      给同事们发了信，表明要自个儿出来干了，一切都明了起来了，也没有犹豫的机会了，就这样吧，一切从头开始，困难虽多，但这是种快乐而又充实的活法，会在以后的日子，变的非常快乐幸福。

散兵游勇

即使有情绪，这帮人实际上搞不出什么事来，顶多也就隐藏在显示器后面，隐藏在网络在另一端，在论坛上发发牢骚。周围尤其不缺我这样的愤青，但现实一如既往，没有丝毫改变。天空或晴或暗，或冷或暧，都受着另一种规则的支配下，按着自己的步骤进行着。我们只是一帮散兵游勇。

   大葱2.8斤了，大蒜便宜到7毛钱，这样的故事不稀罕，每年都是这样，看着大葱贵了，呼拉一下全变种大葱，姜价长了全种大姜。买不到火车票，自个儿找黄牛党；孩子上不学，自个儿找门路；天灾人祸，自个儿扛着；穿过马路，自个儿看着，红绿灯有用吗？任你善于钻营勤于奋斗，上头一纸政令，你还不是照死？500wan几百台彩票机够拉风吧？一个政策下来也得收摊。股市进进出出的上万亿上亿亿的资金够牛吧？来个政策就得让你心服口服。这年头，安全感是自个儿拼出来的。资源再多，大家还是拼了老命地抢吧。要不怎么说，一个中国人是一条龙，一群中国人是一群虫。在人屋檐下，让你是龙就是龙，说你是虫就是虫。制定规则不是我们小老百姓，否则也不用交钱纳税，见了公务员还得低三下四，生怕说错句话，也不用努力了几十年，还窝在原处的生活水平。

    散兵游勇有二大出路。理想的是找到组织，那样心情就美起来了，日子就爽起来了。我有好几个同学就是找到组织的，具体怎么找的就不知道了，反正到了那一步就可以制定规则了，房子车子票子美女忽啦啦一下全来了，让人看着都眼晕不止。当然，组织是要考察的，是有要求的，象我这类愤青没有希望会进入组织，即使进入了，也难以在组织生活中存活，即使有人罩着能存活一段时间，可能也会难过的要命，象丢了灵魂一般变成一头肥猪像。恩，说不定哪天不难受了，也会按照组织生活的规律，变成自己现在所讨厌的人。另外，组织是要审批的，不是随便就能成立的。上学那阵儿我想成立个某某爱好小组，就已经受到合法组织的若干次谈话加批评教育了。所以，想要找到喜欢的组织，还零点是有点儿难度。
     第二个出路，找不到组织，或者想在组织生活之外透透气，怎么办？最快意的莫过于当游侠了。武侠小说总看过吧，幻想自个儿和主人公一样的快意恩仇，顶不济也可以是兵甲兵乙什么的，总之有自由有自尊有自己的目标，总要比现在过的爽快些。不过当游侠，得刀枪剑楫的有一样过的去，不然还不得让官兵抓让强盗劫？大侠没当成，就在乡村小路上丢了性命，可就冤大头了。问题是象咱们这种从小好好学习天天向上，好不容易能赚钱一日三餐，和买部好看的手机了，拿刀拿枪真还不会。而且不用游走江湖，光在自个儿家门口，手机都丢好几部了。找不到出路，感觉真是苦闷啊。
同事问我，为啥整天哼着小曲，有啥乐事呢？我说，闷的发骚了。

推荐的几部英国片子,很不错

Sense and Sensibility 2008
Cranford 2007
North and South 2004
David Copperfield 1999
Great Expectation 1999
Oliver Twist
Doctor Who S1.2.3

远古入侵,克兰莱德

国内安全评估厂家比较

国内网络安全风险评估市场与技术操作 [ December 17, 2007 22:32 | by !4p47hy ]
作者：吴鲁加
版本控制
v0.1 04/01/2004 文档创建，包含大量示例文件内部发布
v0.2 04/19/2004 删除部份敏感信息，增加国内市场分析、BS7799和OCTAVE概述后，对外发布

近两年网络安全风险评估渐渐为人们所重视，不少大型企业尤其是运营商、金融业都请了专业公司进行评估。本文提出作者个人对国内安全风险评估操作的一些评价，并试图阐述作者所理解的，可裁剪、易操作的风险评估方式。由于内容与商业公司有关，因此不可避免会涉及部份商业利益，在文中作者尽量隐去可能产生直接利害关系的文字，并声明所有评价纯属个人观点，如果你有不同意见，欢迎来函探讨。

1. 什么是风险评估

说起风险评估，大家脑海中首先浮现的可能是：风险、资产、影响、威胁、弱点等一连串的术语，这些术语看起来并不难理解，但一旦综合考虑就会象绕口令般组合。比如风险，用ISO/IEC TR 13335-1:1996中的定义可以解释为： 特定威胁利用某个(些)资产的弱点，造成资产损失或破坏的潜在可能性。

为了帮助理解，我们举一个下里巴人的例子：我口袋里有100块钱，因为打瞌睡，被小偷偷走了，搞得晚上没饭吃。

用风险评估的观点来描述这个案例，我们可以对这些概念作如下理解：
Quotation
风险 = 钱被偷走
资产 = 100块钱
影响 = 晚上没饭吃
威胁 = 小偷
弱点 = 打瞌睡

回到阳春白雪来，假设这么个案例：某证券公司的数据库服务器因为存在RPC DCOM的漏洞，遭到入侵者攻击，被迫中断3天。

让我们尝试做一道小学时常做的连线题，把左右两边相对应的内容用线段连接起来：
Quotation

风险 RPC DCOM漏洞
资产 服务器遭到入侵
影响 数据库服务器
威胁 入侵者
弱点 中断三天

如果这道题对你没什么难度，那么恭喜你，你已经和国内大多数风险评估的操作者差不多站在同一个起跑线上了。

2. 国内现有风险评估操作模式

2.1 评估市场和竞争分析

如果按照高、中、低端简单对国内的风险评估市场进行分类，那么我们可以很清晰地看到，几类市场的操作方式完全不同。

国内高端市场主要被如IBM(普华永道)、毕马威这样类型会计师事务所类型的公司占领，往往网络安全评估就涵盖在他们的整个审计体系之下。中端市场上则盘踞着国内外大多数较有实力的网络安全公司，其中包括较早提出安全评估并且在运营商市场有比较好的实践的安氏、有作风稳健但却一步一个脚印打下大片疆土的启明星辰、也有异军突起极具竞争力的绿盟科技……低端厂商则数量庞大，往往只是通过简单的漏洞扫描、病毒查杀等方式操作。

2.2 主要中端厂商的评估模式分析

以下分析中的数据来源为笔者在从事网络安全评估实践时通过各种渠道获得。但由于信息的时效性，未能确认当前文中所进行的表述与分析就代表着各家企业的最新评估发展状态。希望读者自行鉴别。

2.2.1 启明星辰

启明星辰2002年之前始终比较低调，但风险评估项目从最初对某证券公司进行的纯粹漏洞扫描、人工审计、渗透测试这种类型的纯技术操作到套用BS7799到采用OCTAVE方法再到最终形成自己的网络安全风险评估的方法论、操作模型，有很多专业人员付出了大量劳动。下图是启明星辰的幻灯片中摘录的，他们评估发展的历程，在每个台阶上有该阶段所经过的项目名称，出于安全原因隐去。



业务参与性弱、解决方案可操作性差往往也是高要求的用户对风险评估队伍批评较多的地方，但从启明星辰近期在几家大型客户那里的操作来看，较受客户好评。

启明星辰有较多在风险评估中可以应用的工具：

1、天镜评估版：扫描器，有专门用于风险评估的版本。
2、天清：又名SRC，指Security Risk Manage，基于ISO17799的量化、可视化的评估工具。
3、信息库：名称不详，能够直接导入天镜、Nessus、ISS等扫描器的扫描结果并生成报告。据说是较好的安全评估过程辅助工具。
4、本地评估软件包。
我理解的启明星辰风险评估特点为：

1）博采众长

这一方面与启明星辰参与部份安全行业国家标准的制订有关，另一方面则是他们有着较多高学历员工，对高端咨询类型的提炼、深化抓得比较好，对评估要求看得透彻，写得清楚。

2）变化较快

这可以说既是优点，也是缺点。在每次较大的评估项目中他们一般都要求有所突破。这逼着他们去创新，但同时也导致评估的方法论很容易有变动。

2.2.2 绿盟科技

绿盟科技从最初参与中国电信评估项目开始走进安全评估领域，挟其强大的系统研究技术优势进入市场。下图是他们一份讲稿中的评估流程描述：



我对绿盟科技风险评估方法的总体评价是：它是专业的系统和网络安全评估，不是信息安全评估，具体有如下几点：

1）项目可操作性强
2）管理评估存在不足，风险计算方式不够科学
3）技术弱点把握精确

2.2.3 安氏

安氏在国内较早从事网络安全风险评估项目的操作，做过较大的评估项目(包括顾问咨询)有：中国移动CMNET全网网络安全评估项目、天津电力公司安全咨询项目、中国电信IP网安全咨询顾问项目、上海移动boss系统安全咨询顾问项目、深圳华为科技公司安全咨询顾问项目等。

个人理解，2001年前后，IS-ONE的评估在国内较为领先，一方面是他们与国外公司的沟通较密切，另外其高管层对风险评估、BS7799比较重视。但到了2003年，安氏整体战略转型，产品方面一边中止与ISS合作，一面高调宣传做自主产品，SOC大集成成为其主推概念，在风险评估领域的方法论却缺乏创新和突破。安氏的安全风险评估有几大优势：

项目管理较为专业
下图是从安氏给某用户汇报时ppt的摘录，是他们项目管理的过程。



文档体系比较规范
这可能与安氏的部份高管强执行力和国外背景有一定关系。他们较为注重方案、咨询建议等经验的可复用，当然，这同时也容易造成他们考虑问题简单化，对小客户容易用大企业的方案来裁剪套用。就现在他们做过的项目来看，至少有以下标准方案的积累：
Quotation
安全策略评估及建议报告
安全解决方案
本地风险评估报告
远程风险评估报告
网络安全现状报告
网络安全解决方案建议
扫描评估申请报告模版
数据库扫描申请报告
系统扫描申请报告
网络扫描申请报告
……

这里列举一份安氏的售前方案目录，相信内行人能看出一些门道来吧 ;)
Quotation
第 1 章 概述
1.1 项目概述
1.2 项目目标
1.2.4 评估的方式
1.3 评估遵循的原则
1.3.1 保密原则
1.3.2 标准性原则
1.3.3 规范性原则
1.3.4 可控性原则
1.3.5 整体性原则
1.3.6 最小影响原则
1.4 风险评估模型
1.4.1 背景和假设
1.4.2 概述
1.4.3 资产评估
1.4.4 威胁评估
1.4.5 弱点评估
1.4.6 风险评估
1.5 资产识别和赋值
1.5.1 信息资产分类
1.5.2 信息资产赋值
1.6 主要评估方法说明
1.6.1 工具评估
1.6.2 人工评估
1.6.3 安全审计
1.6.4 网络架构分析
1.6.5 策略评估
1.7 项目承诺
1.8 项目组织结构
第 2 章 项目范围和评估内容
第 3 章 项目阶段详述
3.1 第一阶段－项目准备和范围确定
3.2 第二阶段-项目定义和蓝图
3.3 第三阶段-风险评估阶段
3.3.1 集团公司层面评估子项目
3.3.2 省网层面评估子项目
3.3.3 安全信息库开发子项目
3.3.4 安全评估风险规避措施
3.3.5 需要客户配合的工作
3.3.6 安全信息库系统原型概要设计
3.4 第四阶段－综合评估和策略阶段
3.4.1 报告和建议的形成
3.4.2 《XXXX网络安全现状报告》
3.4.3 《XXXX网络安全策略改进建议》
3.4.4 《XXXX网络安全解决方案建议》
3.5 第五阶段－项目评审阶段
3.5.1 验收方法和内容
3.5.2 验收标准和流程
3.6 支持和售后服务
3.6.1 安氏客户服务体系简介
3.6.2 安氏（中国）的客户服务对象
3.6.3 安氏（中国）客户服务中心组织结构
3.6.4 安氏（中国）的服务特点
3.6.5 服务保证体系CRM
3.6.6 在本项目中所提供的支持服务
3.6.7 安全通告服务
第 4 章 项目质量保证和管理
4.1 配置管理
4.2 变更控制管理
4.3 项目沟通
4.4 记录和备忘录
4.5 报告
4.6 项目协调会议
第 5 章 项目质量控制
第 6 章 技术培训
6.1 安全管理培训（ISO 17799）
6.2 评估方法培训
6.3 评估结果及漏洞修补方法培训
6.4 安全信息库系统培训
第 7 章 项目软硬件需求清单

另外，安氏的信息库也能成为他们在风险评估中一项有力的武器。



2.2.4 其它

这里所指的其它公司，大部份是实力较强的企业，如联想之流，介入安全行业并凭借良好的渠道和合作伙伴关系，打开一定的局面者。需要指出的是安络科技，公司不大，但历经风雨，还能够在行业中有一定位置。

但是对于风险评估，则归类到这里的企业多数缺乏自己的风格，甚至评估只是他们很小的"副业"，因此在他们的方案或幻灯片中，常见到的是各种标准的流程、关系图等等，如下面这两副：


几乎在所有企业的的风险评估方案中，我都看到上面的那副安全风险关系图，当然有些公司做了某些修改、美化以强调自己的理解、突出自己评估方法中的核心部份，比如下面这张启明星辰的安全风险关系图：



2.2.4.1 亿阳信通

他们的所有业务流程包括：信息资产的界定、策略文档分析、安全审计、网络结构的评估、业务流程分析、安全技术性弱点的评估、安全威胁的评估、现有安全措施评估、安全弱点综合评估、安全威胁综合分析、综合风险分析。采用的评估方法包括五种：工具远程/本地评估、人工评估、白客测试、安全问卷、顾问访谈。

使我印象深刻的是，他们对方案中大多数项目都有比较严格的过程说明、参与人员说明、主要评估方式、输入、输出、参考规范和标准。比较严谨。

2.2.4.2 亚信科技

有着深厚运营商行业的优势，其曾经的子公司玛赛有过相当不错的成绩。从他们的几个方案中分析，亚信对风险评估的研究并不深入，仅是简单抄了一堆基本风险评估法、详细风险评估法、综合风险评估法等的概念。他们的评估分为六大部份：资产、脆弱性、威胁、影响、安全措施评估、风险评估。风险评估是对前五者的综合，其中的安全措施估计是自己增加的。我理解起来整体思路感觉比较混乱。

2.2.4.3 华为

华为的部份合作风格一直令人左右为难……他们有庞大而有力的销售队伍、运营商方面良好的合作背景，这些都诱惑着其它厂商与之合作。但华为的高速发展和发展过程的调整，却往往令合作伙伴有些进退维谷。仅以防火墙市场为例，华为曾经因为要选择合作伙伴，广邀防火墙厂商进行产品测试，对各种产品的功能、性能指标、技术特点都了如指掌。但2003年华为推出了自己的防火墙产品。

2003年可以说是华为将安全由内部建设转向往外部推动的转折年。原因或许是他们发现他们的主要客户运营商已经把安全门槛提高了，与其很费劲地迈这个门槛，不如在自已的产品和集成基础上造一个高门槛。

华为的评估与其它安全公司的评估侧重点略有不同，更侧重于网络架构和应用评估(可能是他们这方面的人才更多的缘故)。2003年市场上也略有斩获。

2.2.4.4 联想

联想的网络安全事业部和他们网御系列的安全产品一直令我很迷惑──为什么联想投资一方面注资绿盟科技，另一方面却自己力图创立安全产品和服务品牌？从目前的情形来看，网御防火墙已经在市场上取得不错的销售成绩，网御入侵检测也初露头角。但笔者个人测试，这两款安全产品从功能、性能上来说都远离联想的大厂商风范。

安全服务和风险评估方面，联想介入市场比较迟，但由有几位掌握方面论和攻击渗透的安氏员工的加盟(由此也可见安氏的方法论积累很不错;))，他们很快站在前人的基础上号称有了一套自己的标准方法和操作流程。

2.2.4.5 安络科技

安络科技创立伊始，在国内的网络安全界有比较高的知名度。但多年来始终偏安于深圳，失去了飞速增长的机会。因此被从国内安全厂商的第一梯队挤出。

在他们的很多方案中，同时包括了评估建议书和中长期安全规划建议。他们的远程风险评估乏善可陈，本地风险评估分得很细，包括实施安全、平台安全、数据安全、通信安全、应用安全、运行安全、管理安全的评估。但在可操作性方面下的功夫还不够。

2.3 部份低端厂商的评估模式

部份低端评估厂商在市场上不但存在，而且有很大的生存空间。他们的目标客户群体是小型企业。不会为评估花费太多的精力和金钱，安全也只需要简单达到某一基线即可。

通常这些厂商的做法快速简洁：

Quotation
漏洞扫描 -> 远程扫描报告
抽样人工审计 -> 人工审计报告
抽样病毒扫描与查杀 -> 病毒监测报告


之后就可以坐地分金了，这种操作模式仅需要少数技术骨干就能很好地进行。

3. BS7799和OCTAVE

3.1 BS7799的优势和弱点

要初步了解BS7799，我觉得从两个角度入手

了解BS7799的安全管理流程，也就是建立信息安全管理体系的方法和步骤



系统了解BS7799中提到的10类127个控制项的内容

并且能够在此基础上针对不同行业选择(甚至新增)控制项。就如最近移动集团提出的NISS(网络与信息安全标准)一样。

个人感觉BS7799的最大缺陷就在于可操作性不强，如果仅仅按BS7799的要求操作(类似ISO9000的评审)，有可能最终达不到初始的安全目标。这或许也是BS7799和ISO17799呼声很高，但实际应用或者通过评审的企业并不多的原因之一。作为参考，这里给出一份sans提供的BS7799检查列表。

3.2 OCTAVE的有效补充

所谓OCTAVE，实际上是Operationally Critical Threat, Asset, and Vulnerability Evaluation的缩写，指的是可操作的关键威胁、资产和弱点评估。在我的理解中，OCTAVE首先强调的是O，其次是C，也就是说，它最注重可操作性，其次对关键性很关注，把握80/20原则 :)

简单描述我理解OCTAVE的几个重点(实际上在OCTAVE中的每个环节都是不可忽视的，这里所说的几个重点是我认为OCTAVE较好、或者评估过程中比较关键的部份环节)：

1、过程控制(整体)
OCTAVE将整体网络安全风险评估过程分为三个阶段九个环节，分别是：
Quotation
阶段一：建立基于资产的威胁配置文件

01. 标识高层管理知识
02. 标识业务区域知识
03. 标识一般员工知识
04. 建立威胁配置文件

阶段二：标识基础结构的弱点

05. 标识关键资产
06. 评估选定的资产

阶段三：确定安全策略和计划

07. 执行风险分析
8A. 开发保护策略A
8B. 开发保护策略B

下图是CERT在为一家医院进行风险评估时的进程时间表，我们可以作为参考。



2、创建威胁统计(process 4)

这个过程实际上完成两件事，一是对前面三个过程中收集的数据进行整理，使数据分析清晰。二是能够通过分析资产的威胁，创建重要资产及资产面临威胁的全局视图。

从下图我们可以看到，OCTAVE对某一资产的资产、访问、动机、参与者和结果都进行了分析(该图仅是针对一项资产──个人计算机，和一种访问──网络而建立的威胁视图)，这种方式的确有助于我们看清企业内部的威胁情况。



3、识别关键资产(process 5)

也是第一阶段的延续，按OCTAVE的说法，分成两步：标识组件的关键种类和标识要分析的基础结构组件。如果从操作灵活性考虑，我们也可以在阶段一的时候为资产和知识标识出CIA(机密性、完整性和可用性)，通过对CIA的综合运算得出最终结论。

4、进行风险分析(process 7)

与创建威胁统计中的威胁视图相对应，在这里需要标识出威胁可能造成的影响。要注意到的是，风险分析并非仅象下图那样是单一的，而是多种系统之间可能交叉影响，因此这个视图最终完成后将会是很大的一张图表。



4. 中小企业的特点和对OCTAVE的重新评价

4.1 中小型企业和大型企业在评估活动中的异同点

最直接的想法，大型企业和中小型企业对安全的关注要点是否完全相同？又是否完全不同？哪些在大型企业中做过的事是可复用的？我很少看到关于这些方面的讨论，因此也想在这里将问题提出，并给出我的粗浅考虑，希望能够引玉。

1）相同点(可以复用的部份)
Quotation
1. 资产评估

资产调查表格
资产属性和赋值调研表格与方法
关键资产的调查方法

2. 威胁评估(部份中小企业甚至可以不用进行)

BS7799评审表
OCTAVE威胁分析方法和视图
事件分析方法

3. 弱点评估

远程扫描方法和工具
人工审计方法和工具
渗透测试方法和工具

4. 风险分析

现有风险视图提炼方法和报告

2）不同点(需要单独开发调研的部份)
Quotation
1. 资产评估

资产报告(不同行业、规模的企业，关键资产有很大区别)

2. 威胁评估

面临的威胁面比小企业更广

3. 弱点评估

风险规避措施

4. 风险分析

针对组织特点的解决方案
管理制度和策略框架


4.2 重新评价OCTAVE

通过对OCTAVE的初步学习，我们可以认识到它具有许多BS7799的所缺乏的可操作性方面的特点，但离完美还有一定距离，简单谈几点不足：

1、过份强调对大企业的评估活动，评估流程比较繁琐，完整视图建立不易操作，要求组织中多人参与。
2、风险控制行动列表粒度较粗，与企业后续安全建设的实际工作有一定距离。
3、由于强调了操作，执行时所依据的标准就相对简单(可能有主观臆断的因素在内)。
任何事物，就算非常优秀，也都不能全盘照搬，是需要批判接受的，从上面对BS7799和OCTAVE的简单分析，你是否能够提炼出你自己的评估方法？

5. 如何制订最适合您企业的风险评估计划

这里考虑采用一个小企业的评估实例来说明制订适合自身当前状态的企业风险评估的方法。由于暂时没有适合的案例提供，因此留待下一版本完善。

6. 实施过程简述

6.1 定义阶段

实际上是售前工作的延续，即明确项目范围，清晰界定用户的需求。这点看似简单，但实际操作者却需要相当有经验，能够判断自己所拥有的资源;能够在既定时间内完成多少工作;能够与客户有技巧地谈判将其需求控制在最恰当的水平并维持到项目结束。

我们在这里列出了五个模块：前期交流、初步方案、投标方案、答标文档和参考报价。

按照实际项目操作流程，在售前阶段这五个模块的工作应该完整进行一遍。进入项目定义阶段时，实际上用户已经对网络安全风险评估有了一定了解，并且比较清楚自己的网络环境需要评估到什么程度，因此本阶段用户会就投标方案要求厂商进行进一步描述，并且就他们感兴趣的细节进行展开。

6.2 蓝图阶段

双方拟定项目的详细进度计划，建议在计划过程中至少要包含下面几部份内容：问题描述、目标和范围、SWOT分析、工作分解、里程碑和进度计划、双方资源需求、变更控制方法。

在蓝图阶段中需要召开蓝图会议，在会议结束后，必须在双方认可的基础上制订并签署项目蓝图，后续一切工作严格按蓝图进行。

评估项目对客户的知识水平要求较高，通常在项目前期需要就评估方法进行培训，建议在蓝图阶段完成项目的培训工作。

另外需要提醒的是，由于多数企业的资产并没有很好地理顺，因此资产评估的前期协调工作如果能够尽早开始，可以有效地保证项目的时间。

6.3 执行阶段

这是最关键的阶段，绝大多数操作都在这一阶段完成，我们可以再将这一阶段细分为四个环节，分别如下：
Quotation
1、资产评估(可以远程完成)
系统和业务信息收集
资产列表
资产分类与赋值
资产报告

资产评估的内容并不复杂，在这部份工作中，重点在于与客户共同进行资产的分类与赋值。同时需要注意控制资产评估的完成时间，因为明确资产后才能有效进行后续的威胁与弱点评估，否则容易导致事倍功半。

2、威胁评估(本地完成)

Quotation
IDS部署搜集威胁源
收集并评估策略文档
BS7799顾问访谈
事件分析
威胁报告


威胁评估中访谈占了现场工作的最大部份。但由于现阶段业界对于威胁的界定存在多种标准，因此可以说威胁评估是较难操作的一部份。建议在实施前先参考威胁评估报告样例。

如果能够通过访谈获取到较为完整的安全事件信息，则可以考虑将不进行威胁评估，以更能够清晰分析本质的事件分析代替。

3、弱点评估(本地完成)
Quotation
远程扫描
人工审计
渗透测试
弱点报告


弱点评估属于纯技术操作，这里不加详述。

4、风险分析和控制(可以远程完成)
Quotation
数据整理、入库及分析
安全现状报告
安全解决方案


当现场工作结束，基础数据收集完毕后，如何对浩如烟海的信息进行提炼和挖掘，其中也有很多技巧。最终的风险分析需要看得清晰透彻，而且方案的表现形式要比较切合客户需求。解决方案就三个字：可操作。

6.4 报告阶段

在项目报告阶段，所有的现场工作和大部份文档工作已经完成，这时的关键任务是：让用户真正理解并且认可我们的工作成绩。因此这阶段建议需要与用户进行深入细致的沟通(需要面对面交流，以达到最佳效果)。

报告阶段需要注意各种细节调整(有些需要结合项目特点进行考虑)，例如：
Quotation
1.在报告的最前面增加"文档导读"章节;
2.将客户方配合工作人员也写入报告作者;
3.给领导提供一份简洁有力的总结;
4.等等……


6.5 售后服务

按照Octave评估方法的观点，用户在完成一次安全评估之后，相当于获取了其当前风险的快照(Snapshot)，同时也就完成了对其信息安全风险基线的设置。之后，组织必须解决或管理评估过程中标识的优先级最高的风险，并按照开发的解决方案进行风险的控制和消除。

但由于组织的安全状态会随着时间而发生变化，所以必须通过执行另外一次评估定期地为用户重设基线。所以在这里我们可以按照PDCA循环(Plan、Do、Check、Action)来定义一次评估后的工作。

7. 评估中的项目管理

7.1 确定项目管理小组

1）明确项目的组织结构

通常三人以下小项目以非正式结构存在即可。但有相当耗费资源的大型评估项目时，则需要恰当考虑并论证是否采用矩阵结构对项目资源进行合理利用。

2）明确包含的部门和关键人员

通常项目组中会包含商务、评估组、研究部等跨部门的成员，需要提前确定并且明确管理权限和项目成员的工作重心，这可以有效减少后期项目中的障碍。

3）明确项目管理职责选择项目经理、项目监理(至少是文档监理)、子项目经理等岗位人选。如果资源充足，尽量不要资源复用，否则最终可能成为资源瓶颈。

7.2 调度与资源分配

1、优化项目流程
类似统筹，将项目中的所有任务全盘考虑时，可以发现有部份任务可以并行、有部份任务可以提前、有部份任务并不需要很多前置任务……由专人对项目流程进行优化，估测任务的执行时间段。
2、明确项目重点并确定资源优先次序
3、确定关键路径和里程碑

7.3 跟踪、报告和控制

定义数据需求
数据搜集过程中需要对数据进行明确的定义(甚至采用标准工具进行)，这可以保证不同人获取的数据格式、数据描述和测量尺度是一致的。

数据分析和文档生成
交付进度表

7.4 常见陷阱

1、授权模糊

经常项目中的项目经理、项目监理、子项目经理、咨询顾问、技术工程师等往往一人兼任多职，如：项目监理同时兼任几个节点的子项目经理。一人多角的最直接后果就是导致每个角色都没有充当好。

2、需求膨涨

在评估前期，用户对安全乃至评估本身可能缺乏了解，但随着评估的深入，他们逐渐会成为安全领域的"通才"，这时候会提出大量的新需求，对这些新需求的有效控制和引导(成为新项目的引子)相当重要。

3、资源错位

这主要在资源不足的情况下容易发生，举例来说：我们预定由Unix专家A和网络设备专家B共同完成对甲地系统的弱点评估，但在资源不足的情况下，则有可能B正在乙地评估无法抽身，必须由A独立完成所有操作。

4、沟通不足

多数技术型员工技术操作能力很强，但在项目中的沟通相对缺乏。在一次评估项目的收尾阶段，就有用户委婉地指出：你们可真算是"埋头苦干"了！

由于安全评估是一种整体性很强的工作，因此在大型评估项目中有规范的项目管理，才有可能顺利保障团队完成评估任务。

8 参考资料
清华大学出版社 《信息安全管理》
机械工业出版社 《信息安全管理概论》
通过网络获取的各家公司的资料

学困生的期待

------转文,也是我的想法

作者： 蓝眼睛晴空 提交日期：2008-1-29 23:31:36

　　
　　学困生的期待
　　
　　教育是一种培养人的活动。用怎样的教育方式和教育手段，在一种什么样的教育环境中来完成我们的教育内容，才能让每位受教育者都能有所得！教学必须是学生主动参与，教师积极指导，在一种愉快的氛围中完成教育活动。这就要求我们做教师的要关注每一位学生的全面发展。尤其是学困生的发展。
　　每每上课，总有那么几个学生静静地座在教室里，对我的启发提问毫无反应，显得漠不关心，更谈不上学习的热情。从他们"冷漠"的表情中，其实隐藏着一种深深的期待：期待老师的关注和关心，更期待老师鼓励的眼神和爱抚的目光。
　　 记得有一次化学课上，我上课时首先听写了上节课所讲的几个重要的化学方程式，我发现他一个也没有写对，并用手捂着，很不好意思地怕我看见。课中我的提问同学们都争先恐后地积极举手发言，他却一言不发，仿佛课堂与他无关。我问他是不是听不懂？他摇摇头。翻开他的课本，书本上也鲜有记号。我暗想，他可能是一位学困生。可接下来发生的事情却让我目瞪口呆。当我提出"怎样设计实验验证二氧化碳与氢氧化钠溶液确实发生化学反应时。"他在纸上画了画，很快设计出了"瓶吞鸡蛋"的实验。我微笑着向他竖起了大拇指。他的脸上掠过一丝惊喜。不少同学开始举手交流自己的设计方案，他还是不敢举手发言，但却用一种期待的眼神看着我，这是我第一次发现他用这样的眼神看着我。或许这种眼神我以前根本就没有去看！看得出他多么希望我能点他起来回来这个问题。当我问："还有谁愿意和同学们分享你的设计方案？"并且补充一句"再不举手就没机会了！"，这是我将期待的目光转移到他的身上，他才犹犹豫豫地举起手，我面带微笑地点到了他的名字，全班同学用惊讶的目光看着他，他用一种只有周围几个同学听得见的声音说出自己的设计方案，我复述一遍后，发现同学们怀疑的眼神中充满了敬佩。当我宣布他的方案最富有创新意识时，同学们用雷鸣般的掌声来祝贺他。此后，这位同学每节化学课听的都很认真，举手的次数也越来越多了，学习化学的兴趣也很浓，化学成绩也有了大幅度的提高。而且还能主动与我交流。一次，他问我："在吃冰淇淋的时候，不小心掉到了荧光笔写的字上，结果字迹消失了，荧光笔的笔油和冰淇淋是否能发生化学反应？"我告诉他可以先查荧光笔的笔油和冰淇淋的成分。第二天，他将查阅结果给我看，其中冰淇淋的成分中有一种是有机酸，荧光笔的笔油中含有一种碱性物质。并且提出自己的猜想，可能是这两种物质发生化学反应生成的新物质是无色的，而且还将荧光笔写下的字用水冲洗，观察字迹是否消失，结果颜色变浅，并不完全消失。听了孩子的描述我都惊呆了，他比我做的还要好，考虑的还要全面。
　　 有时我在想，教师不应用有色眼镜来一成不变地看待每一个学生，平常我们过多地关注了学习成绩好的学生，给予了他们更多的关爱和表现的机会，也毫不吝啬地给予了他们更多的赞美，反过来却过少地用心来发现和挖掘学困生潜在的优点和闪光点。学困生最怕老师对他另眼看待，最怕老师和学生看不起。一个曾经的学困生，哪怕只是一句关心、赞扬的话，都会令他充满感激，同时感到满足和自豪。所以，我们在教育教学过程中，如果能紧紧地、时时地抓住他们凸现的闪光点，激发学生的进取欲望，并及时给予鼓励、强化，他们就会持之以恒地努力，不断的取得成功，享受成功的喜悦。学生本身就是充满生机活力和个性化的教育对象，这就要求我们教师要用多视角的眼光来看待学生，要多角度全方面地评价学生，多给学生掌声和喝彩，去赏识学生，让每一个学生都感觉到自己的存在。尤其是学困生更需要我们的掌声和喝彩。
　　一次，在探究"空气里氧气含量"的实验时，有些"不听话的学生"（被有色眼镜看成是双差生的孩子）未用老师准备的红磷，而是用自己带来的蜡烛做实验。我看到后不但没有批评他们，反而微笑着鼓励他们按照自己原来的想法认真完成实验，再把观察到的现象和得到的实验结果告诉大家。他们的实验结果失败了。在我的帮助下，让他们找原因。找到原因后，他们重新做实验，这次他们事先在瓶中装上少量氢氧化钠溶液（或石灰水）后，实验结果成功了。我看到这些"不听话的学生"脸上露出了从未看到的"骄傲、自豪"的微笑。（课后，我单独找到他们，希望在以后的探究实验中，我能参加。他们高兴地答应了我的要求，这在平时是难以达到的。我实际是想在安全上给这些"不听话的学生"以指导。）通过这样的方式，不仅提高了同学们学习化学热情，还教会了同学们学习化学时应从多个角度去思考，去探究。
　　在学困生的教育过程中,我们教师要对学困生倾注更多的心血,采取科学有效的方法。教师不仅要有专业理论知识和修养,更要具有爱心、耐心和信心。爱是人类社会持续和发展过程中最崇高、最伟大的情感。师爱不仅仅是母爱，它更博大、更理智，具有更高的境界，发挥着更大的感召力。作为教师对待他们应用热爱作为先导，用"心药"去医治，用温暖去融化他们咫的寒冰。我认为，既要看到后进生身上的种种"劣迹"，又不能放手不管，应采用既是母爱，又高于母爱的教育方法，"随风潜入夜"般的入微体察，"润物细无声"般的循循善诱，使其重新感到生活的乐趣，集体的温暖在平时的教学活动当中。教师要全面了解学困生的特点,因材施教,培养他们的学习兴趣,激发他们的学习动机,使学困生由被动学习变为主动学习。这样才能使学困生不断进步,进而成为社会的有用人才。
　　注重调动学困生的学习积极性，教给学困生学习方法，养成良好自学能力和习惯。
　　总之，学困生的转化不是一朝一夕的事情，在这个过程中可能会出现很多问题，遇到困难、别人嘲笑、坏人拉拢、新的思想、新的习惯不巩固等，都可能使他们出现反复，我们应该认识到学困生身上的缺点错误是长时间形成的，因而要改掉这些问题也是比较难的，需要一个长期的、反复的逐步提高的过程。所以对他们在转化中出现的问题，不能简单急躁，应该细致耐心地帮助分析原因，寻找改进的方法，提出新的要求，促使他们进一步提高。苏霍姆林斯基说过："教育，首先是关怀备至的、深思熟虑的、小心翼翼地去触及年轻的心灵，在这里，谁有细心和耐心谁就能获得成功。"我认为一名教师只要用心，用正确的方法，用持之以恒的行动去对待学困生，就一定会收到可喜的效果。相信在我们的不懈努力下学困生的数量会越来越少！正如印度大诗人泰戈尔所说："花的事业是甜蜜的，果的事业是珍贵的，让我干叶的事业吧，因为叶总是谦逊地垂着她的绿茵！"
　　　　
　　 2008-01-29

在这儿开始撰写每天的新想法

与msn同步更新

http://blog.at.3322.org