黑客/信息安全会议类型及如何从中获得更多价值

受到 Twitter 上 InfoJanitor 的启发，我重新整理了这篇文章。当被问及博客主题建议时，他提出了“透过镜头：五个月内的五个会议”，而我心想“五个月五个会议？真希望我有这么宽松的日程”。2018 年，我参加了 22 场会议并录制了其中 19 场。可以说，我参加的信息安全/黑客会议比大多数人都多，有些是以演讲者身份，更多是以摄像师身份。我知道唯一可能比我拥有更多会议徽章的人只有 Jack Daniel 或 Jayson Street。我以此表明我在信息安全/黑客会议方面具有一定的权威性。在我看来，黑客/信息安全会议大致可分为五种类型：

• 爱好者派对型黑客会议
• 爱好者/专业型信息安全/黑客会议
• 商业型信息安全/黑客会议
• 供应商会议
• 意识提升/关怀型会议

现在，为了解释我的观点，让我回顾一下早期的“会议历史”。我最初参加的会议之一是在我曾就读的大学举办的“意识提升/关怀型会议”。大约在 2005 年，我在会上发表了关于密码破解等内容的演讲。我第一个真正的黑客会议是 2005 年的 PhreakNIC，在那里我体验到了会议生活的滋味。当时许多与会者都比较年轻，没有太多钱，为了节省开支，五个人挤一个房间。反正除非你在研究某些加密或硬件挑战，否则也不会在房间里待太久。第二年，我在克利夫兰的 Notacon 上做了一个演讲，研究内容差点让我被解雇，随后又在 PhreakNIC 上分享了“创建用于系统恢复和渗透测试的 Windows Live CD”。有几年时间，IU 的 CACR、PhreakNIC 和 Notacon 几乎是我参加的唯一会议，直到我加入了当地的 ISSA。他们已经运营路易斯维尔信息安全会议几年了，我记得在 2008 年，我询问是否可以录制主轨道内容。我为我的网站获得了联系人和内容，他们则获得了宣传。后来，我开始抱怨 Skydog 迟迟没有上传 Phreaknic 的视频，于是他们给了我 DVD，让我可以自己 rip 并发布。当时我在大学工作，这意味着我比大多数人钱少但时间和带宽更多。这导致我来到 Outerz0ne，并在录制完成后立即 rip DVD。在之后的 Outerz0ne 中，我学会了如何使用 AVISynth 实现画中画，人们开始请我帮忙录制他们的会议。在路易斯维尔 ISSA Metasploit 课程成功后，Martin、Dave、Erin、Alex 以及另外几个人和我一起筹办了 Derbycon，我当然被委以录制任务。由于我最可能使用设备，我留下了视频设备来录制其他多轨道会议。之后，我参与了许多会议。目前，我每年录制超过 20 场会议。让我定义上面列出的子类型。请记住，很少有会议完全属于其中某一类别，而我真正喜欢的会议有很多交叉点。

爱好者派对型黑客会议

我的印象是 DEFCON 过去就是这样，现在在某种程度上仍然如此，但由于我的第一届 DEFCON 是 2009 年，我的视角有限。这绝对是我所说的 PhreakNIC 和 Skydogcon，也许在某种程度上也包括 NolaCon。一群热爱信息安全/突破限制等的人，但也许也过于热爱损害他们的肝脏。许多会议都有这方面的特点。

关于爱好者派对型黑客会议的一个有趣之处是，它们有时会吸引那些对黑客技术本身不如对场景感兴趣的人。他们可能略有兴趣，但主要是为了聚会或只是为了露脸。例如，在 DEFCON 你会比在其他会议上看到更多这样的人，因为拉斯维加斯对许多人来说是一个好玩的地方，即使你对黑客不感兴趣。我这不是在侮辱 DEFCON，这只是因为在拉斯维加斯的性质。我有点惊讶 NolaCon 没有遇到更多这种情况，因为新奥尔良是一个玩乐的好地方。不过，NolaCon 较新可能限制了这一点，因为人们可能不知道它（很棒的会议，好内容，而且在新奥尔良从未吃过糟糕的饭）。

爱好者/专业型信息安全/黑客会议

这就是像 Derbycon、Shmoocon、NolaCon 和许多 BSides 这样的会议的归属。参加的人仍然是爱好者，但他们似乎也在该领域工作或希望进入该领域。有很多聚会，但人们也确实是为了工作学习东西而来的。我会说 Defcon 几乎属于这一类，但 Dark Tangent 似乎抵制了拥有传统赞助商（我将在不同类别中区分出售黑客商品的供应商和纯粹为了赚钱的赞助商）的冲动。在较大的会议上，你可以建立良好的联系，既找到工作也招聘人员。Cleared Jobs 甚至在一些会议上分发腕带，以标识你是想招聘还是求职，这可能有助于与他人交流。像许多 BSides 这样的小型活动似乎更适合获取人才，而不是为咨询公司招揽业务，因为大多数与会者似乎是爱好者/从业者，而不是经理。周末举行的会议（更多爱好者）和工作日举行的会议（更多经理）也可以这样说。

商业型信息安全/黑客会议

这将是像 BlackHat 和 Hacker Halted 这样的活动。承诺大概是：我们将向你展示地下世界在做什么，但我们会提供更好的食物，而且是在工作日，所以你可以请假。有些会议比其他会议更能兑现这一承诺。说实话，有些会议介于这一类和我所说的“爱好者/专业型信息安全/黑客会议”之间，例如 ShowMeCon 经常在工作日举行，吸引想要离开办公室的信息安全专业人士，但它是由一群真正热爱黑客和一般极客文化的爱好者/从业者运营的。好处是提供食物，缺点是这可能大大增加门票成本。

供应商会议

这些完全是关于销售东西的。人们在那里 plainly and simply 地推销工具、设备和服务。大多数 ISSA 活动在某种程度上都是这样，据我了解 RSA 也是如此（从未去过，所以可能是在胡说）。我听说 RSA 被称为是关于信息安全业务的会议，而不是关于信息安全本身的会议。我被告知一些 BSides 可能属于这一领域，但这很大程度上取决于运营者。虽然演讲可能旨在进行供应商推销，但它们可能有助于建立联系以被雇佣或招揽业务。

意识提升/关怀型会议

这些通常是小规模的活动，面向有限的受众。我已经给出了前面提到的“印第安纳大学应用网络安全研究中心”会议的例子。大多数情况下，这些是在组织内部为可能不直接涉及安全的人员举行的会议。核心思想似乎是“提高意识”/“表明我们认真对待安全”，因此很多时候演讲主题广泛但技术深度不够。也许它们有帮助，也许没有？

那么，除了我在上述描述中给出的一点信息之外，我对各种会议有什么看法？

DEFCON

为什么不涵盖 DEFCON，它是黑客会议中的巨无霸。显然，它在 2017 年吸引了接近 25,000 名与会者，美国没有其他会议能与之匹敌。我只从 2009 年开始参加，但我主要将其归为“爱好者派对型黑客会议”。看过视频并听过过去几年的恶作剧故事后，它似乎已经温和了很多，这是可以预期的，因为 90 后的孩子长大了，有了抵押贷款和孩子。DEFCON 在拉斯维加斯的大型会议空间中多次搬迁，并不断增长以填满无论在哪里举行的空间。你几乎可以预期要排队参加知名演讲。在人群中很容易错过你知道在那里的人。我有点喜欢拉斯维加斯，但大约一周后我就准备回家了。

Blackhat

我只作为演讲者参加过 Blackhat DC，并作为培训助手参加过拉斯维加斯的 Blackhat USA。高昂的出席费用使许多爱好者望而却步，而且说实话，许多演讲似乎在全国更实惠的 BSides 活动中都有呈现。培训在我看来是参加的主要吸引力，获得一些实践知识和 CPEs。如果工作会支付费用，我推荐它。如果你刚进入这个行业，最好参加驾车距离内的会议。

Derbycon

显然是最好的会议，因为摄像师惊人的英俊，Derbycon 在路易斯维尔 ISSA Metasploit 课程为 Hackers For Charity 取得巨大成功后兴起。没有人关注课程的报名表，突然我们有了比预期多得多的人报名，迫使我們更换场地。Dave、Martin 和我想“一天课程就有这么多人，为什么不举办一个会议”？我们选择了 Derbycon 这个名字，因为路易斯维尔只以三件事闻名：赛马、棒球棒和炸鸡。由于 derby 也是一种帽子，并且存在黑/灰/白帽黑客的 meme，Derbycon 似乎是一个合适的名字。我们的目标是提供良好的技术内容但保持可负担性。路易斯维尔还有一个优势，即 within a 5 hour drive of many large cities in the midwest and south。事情通常不会像一些大型会议那样疯狂，但你会看到人们 calmly 啜饮波本威士忌，在大厅展示项目，同时与朋友交流。可悲的是，Derbycon 9 计划是最后一届，因为人们的戏剧性事件（是的，是戏剧性事件，如果你不明白，也许你不应该相信你在 twitter 上读到的一切。Twitter 就像“传话游戏”，人们传播听错的信息错误，并教会我许多信息安全人员非常不擅长归因）。计划正在制定中，以举办另一个中西部/南部边境的替代会议。

Shmoocon

我最喜欢的会议之一，Bruce 和 Heidi 每年做的“Own the Con”演讲在我们计划 Derbycon 时很有用。我从 2010 年到 2016 年参加了每一届 Shmoocon。虽然有很多聚会，但我会说这个会议 firmly 属于“爱好者/专业型信息安全/黑客会议”领域。玩得开心，见见朋友，学点东西，和招聘人员聊聊。被选为演讲者是一个相当大的荣誉，而且不容易。由于他们将出席人数限制在略低于 2000 人，并且会议如此受欢迎，要获得门票你可能不得不玩 F5 奥运会。我认为它如此受欢迎的原因之一是它在华盛顿特区举行，所以许多来自联邦政府的信息安全人员会出来。每年人们都抱怨门票难买，但人们也不希望会议规模扩大，你不能两全其美。显然，在 DC 获得更大酒店的物流很困难。

BSides 活动

每一个都因地点和运营者而异。它们可以落入我上面给出的任何松散类别。因为它们价格实惠，通常费用不超过 20 美元甚至免费，对于试图进入该领域的人来说是参加第一次会议的好选择。一定要提交 CFP 以让你的名字为人所知并获得一些演讲经验。我个人最喜欢的发生在纳什维尔、克利夫兰、底特律、哥伦布、费城、巴尔的摩和坦帕，但世界各地已经涌现出许多。

在会议上做什么？

• 演讲：是的，这是主要宣传的功能之一。人们来看、听和见某些知名演讲者。你可以通过这种方式获得很多好信息，但现在这么多演讲被录制，人们花时间在“走廊/大厅会议”上。总是提前询问是否有任何演讲不会被录制，以便你可以参加那些。 also look for talks where you would want to be in the audience to ask questions.
• 比赛：有些会议有比赛，如夺旗赛、开锁比赛和加密挑战。如果你整个会议都埋头屏幕，可能不是见人的最佳方式，但对于吹嘘权利和展示技能有好处。
• 走廊/大厅会议：人们叫它不同的东西。由于大多数演讲被录制，你可以稍后观看，但走廊会议更难替代。没有什么比在小团体中与人交谈更能建立联系和学习东西，了解谁擅长什么，并追踪潜在的工作线索。建立那种个人联系。我听到有些人抱怨小团体，但我发现如果你友好，人们也会友好。如果你像许多科技界人士一样内向，你可能想通过社交媒体联系一些你知道会在那里的人，以帮助你介绍给他人。
• 演讲：在会议上演讲是让你的名字为人所知的好方法。我知道很多人害怕公开演讲，但拥有大量演讲经验对简历有好处。 also, if you are not good at striking up conversations, people will come up to you to ask questions after your talk.
• 志愿者：考虑在会议上做志愿者。这是结识他人并让人们知道你可靠的好方法，同时获得免费门票。也有管理职位或自己公司的会议组织者会注意到可靠的志愿者，并 known to hire them。较老的 established 会议可能由老手填满志愿者位置，所以结识一些老手并 worm your way into volunteering.
• 最后，记住 Trevor Hearn 的说法：每天至少三小时睡眠，两顿饭，和一次淋浴。

感谢 @InfoJanitor、@vajkat、@jack_daniel、@thesl3ep 和 @InfoSecSherpa 提供了一些补充建议。