Re: [情報] 英國立法禁止DOS攻擊
※ 引述《ilstkevin.bbs@ptt.cc (羽龍)》之銘言：
: ※ 引述《mobilefox (行動狐狸)》之銘言：
: : 哈~ 添源你說的沒錯
: : 其實, 我們研究所 懂IPS的意思的人可能並不多.
: : 不過, 你提到的狀況都是, 對於DoS DDoS的防禦機制,
: : 無論是最古老的防火牆, 後來的IDS, 再後來的IPS 技術上的效力問題
: : 我想討論的法律重點都不是在 "哪種device or system 能否承受住DDoS的攻擊"
: : 事實上你我都能了解, 防火牆不是"無法承受", 而是"根本沒有辦法"用來阻絕DoS,
: : 除非發生狀況後, MIS根據log 去手動 deny 某個 ip range
: : 否則, 防火牆只是policy regulator, 而不是intrusion detection 的概念,
: : 兩者的差異點 我想我們都很清楚.
: : (ps. 但話雖如此, 個人還是覺得如果cisco router的指令會下, 還是有點基本作用)
: : 但我還是覺得用"防火牆" 可能比較容易得到其他人的意見,
: : 原因有二,
: : 第一, 我用意是要突顯刑法第360條, 只處罰結果犯,而不處罰危險犯的缺失
: : (複習刑法概念)
: : 第二, 有幾個法律人知道IPS是什麼東西呢?
: : 得到鼎哥的專業法律見解重要, 還是讓他們懂security的基本概念重要呢?
: : 同樣的道理,
: : 除非是特別針對virus or worm 等等的議題探討,
: : 否則, 若同樣只是研究法律的觀念, 我會選擇以"病毒"一語帶過,
: : 畢竟, 一定要去釐清 virus? worm? trojan? zombie? .... 的差異並沒有實益
: : 所以,我必須以最概括性的"防火牆"來讓法律人知道我想講什麼東西,
: : 大家聽過防火牆, 可是沒人聽過IDS、IPS、port、DMZ.....等等的,
: : 否則, 和法律人討論資訊安全的法律問題, 容易失焦~ 會很累~
: : 所以, 還是要回應一下你說的 -->"更不要說會不夠成第360條的構成要件"
: : 事實上, 這就是詭異的地方,
: : 因為第360條是結果犯, 必須要有 "致生損害於公眾或他人", 才是完整的符合構成要件,
: : 所以, 這就是本法不完備的地方,
: : 同樣的犯意, 甲對A公司, 乙對B公司進行Dos DDoS 攻擊, 姑且不論證據部份,
: : 若A公司有個盡職的MIS, 沒有造成server 死掉, 則甲不夠成刑法第360條,
: : 而B公司MIS 比較差, server 承受不了掛點了, 那乙符合第360條構成要件,
: : 甲乙基於同樣的犯意, 相同的不法行為,
: : 卻因為被害人A的網管技術比較好, 反而罰不到加害人甲,
: : 這並不符合社會正義.
: : 所以, 個人對於你的見解的小小回應就是,
: : 也許刑法還沒修到抽象危險犯, 所以也許沒有完全瞭解我想表達的意思.
: : 防火牆還是IPS哪個有用不重要, 法律方面的疑問才是重點,
: : 我也是法律初學者, 以上也只是小弟的膚淺見解,
: : 對於原先的疑問, 還是歡迎你給我更多的意見喔~~~~
: 你客氣了拉！！
: 不過我想我知道我們的認知差異點了！！
: ”結果犯”一詞在於我們的實體生活中,除有犯意外也造成實體犯行
: 但是在資訊的世界也相同嗎？
: 以你的例子來說,雖然Ａ公司的ＳＥＲＶＥＲ尚未達到完全無法提供服務的狀態,
: 但實際卻已造成部分ＳＥＲＶＥＲ甚至是防火牆以無法提供完全正常之服務,
: 然而第360條所指致生損害於公眾或他人者,小弟認為不可因ＳＥＲＶＥＲ尚未完全喪失
: 服務功能,而斷言其未致生損害,因此只要遭受攻擊（只要有證據證明）即可證明
: 該攻擊者已是結果犯,這是小弟的淺見..
: 另外附帶一提,Cisco指令會下仍無法解決資安問題,依你所指應是指ＡＣＬ指令
: 建議你可以看cisco的操作手冊,你就會瞭解,如有需要小弟可提供你各型號的
: 操作手冊,小弟不才但之前曾參與過竹科一些大廠的建廠網路案,Cisco的設備
: 還摸過一些,供您參考!!
呵呵呵 是ACL指令沒錯
我只是覺得好的網管可以僅透過嚴謹的設定router
可以讓就算發生突發的未知狀況 也可控制在一個損害限度
你對cisco的了解肯定豐富, 有機會希望再跟你請教~~
另外啊,
我還是覺得 第360條 "致生損害於公眾或他人"
應該是要有"實體"損害才行, 而非只要遭受攻擊（只要有證據證明）即可
只要遭受攻擊即可成立的話 應該是引用刑法第358條
"無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系統之漏洞
，而入侵他人之電腦或其相關設備者, 處三年以下有期徒刑、拘役或科或
併科十萬元以下罰金"
只要 "入侵他人之電腦或其相關設備" 這個有log 證明就好,
但問題是如果一定要非常嚴謹的看法條的話, 它的前提是
"無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系統之漏洞"
然後才是
"而入侵他人之電腦或其相關設備者"
這部份對於一個無效的 DDoS 攻擊事件來說, 好像是否符合構成要件,
有點問題.....
個人淺見, 你覺得呢?
--
╭──── Origin:<不良牛牧場> bbs.badcow.com.tw (210.200.247.200)─────╮
│ ↘ Welcome to SimFarm BBS -- From : [210.209.162.76] │
╰◣◣◢ ◢◢《不良牛免費撥接→電話:40586000→帳號:zoo→密碼:zoo》 ◣◣◢ ─╯
討論串 (同標題文章)