本人因為擔任公司資安專責人員，對於相關資安議題皆有興趣進行了解，得知恆逸有針對網路封包分析該專業技能進行開課，故報名參訓。 該課程將教會參訓學員如何使用目前市面上最常見的Wireshark該封包側錄及分析的工具。並且以實際案例進行解說，其中亦包含https該通訊協訂下的封包資訊是如您想像中的安全？是否有其它手段可以使相關的加密封包被成功解密為明文。

該課程會逐項說明目前常見的網路服務之正常與異常封包行為分析（例如:FTP、Telnet、SSH、SMTP、POP3、IMAP、HTTP、HTTPS）。另針對網路芳鄰(CIFS/SMB/NAS)之正常與異常封包行為分析該章簡時，亦會說明該協調的發展歷史，以說明當時的時空背景為何沒有設計必要的資安防護。

而資料庫的部分，則有提及ODBC、MS-SQL、MySQL、PostgreSQL、Oracle等不同資料庫之封包特徵及分析方式。 在說明各類型封包特徵時，亦會舉出各種相關的惡意程式(Malware)、跳板主機與駭客攻擊手法，進而以封包行為分析的角度來教導學員如何進行惡意行為的識別。

該課程最重要的收獲是:

1. 學習WireShark該網路封包擷取工具，並且有舉例資安人員平常維運時可能遇到到的情景，例如：可能大多數的惡意攻擊或惡意軟體都是在下班後的時間進行惡意活動，這時如何設定ＷireShark擷取封包，並過濾不必要的封包，以有效控制擷取封包的檔案大小得以控制，並可設定循環使用擷取封包的檔案，才不會造成磁碟空間不足，進而可能造成系統停擺之狀況。

2. 駭客攻擊的案例分析。例如： hash值是否真的無法被反解出原始明文？若透過多數人的力量，再加上窮舉法，將所有的明文與hash值加以紀錄，並建成一資料庫，理論上是可行的！實際上亦有駭客成功收集到相關的對照表並製成紅隊演練中常用的彩虹表。

3. 指導同學從大量封包中，篩選出那些封包才是要關注的重點，那些封包可在擷取時過濾或是顯示介面中過濾，使其可更觀注在行為上面是否合理，來作為判斷依據。

4. 課程中亦出現小插曲，講師的主機被攻擊並植入惡意程式，並直接用該事件進行機會教育，分享如何分析封包，並找出是那一ip來源，這類實際狀況是屬難得的經驗。

整體而言，收獲很多，但自已仍需時間反覆消化，才能真的將講師所教的東西內化，對於工作上才能發揮最大的效益，非常推薦資安從業人員參加該課程。