【獨家專訪】Fortinet搞Cyber Range 一日提升網絡安全戰鬥力
Nick sir強調Cyber Range不同於workshop，因為除了會教參加者如何使用網絡安全工具，最重要的部分是要參加者思考在不同情況下應如何使用，非常用腦。
近年網絡安全界經常舉辦 Capture The Flag（CTF）奪旗賽，一方面希望能夠提升業界的技術水平，另一方面亦希望從參賽者中找出有能之士，彌補業界專才不足的窘境。不過，正所謂遠水救不了近火，企業在嚴重「缺人」的情況下，應該如何提升現職員工的網絡安全水平？Cyber Range 網絡攻防訓練營，正好可以讓員工進行密集式特訓，Fortinet香港、澳門及蒙古區網絡安全方案經理吳維穎（Nick sir）說相比起奪旗賽的技術較量，Cyber Range 則更重視分析及改善安全觀念，而且更可以增加非 IT 部門員工的網絡安全思維。他更透露，有香港紀律部隊參加過後，表示有興趣買起 Fortinet 整套 Cyber Range 系統作日常訓練，只是因為「武器庫」內藏有真的病毒，殺傷力太大，所以 Fortinet 只能婉拒。
「密室」環境安心攻防
Cyber Range 網絡攻防訓練營，Nick sir 說其起源可上溯至黑客大會上的奪旗賽，例如 Black Hat、DEF CON、HITCON 等等，主辦單位會模擬現實環境，開出各種網絡安全難題供黑客破解 。「不過，不論是哪一種奪旗賽，均只重視各隊的攻防技術較量，或鬥快解答題目取分，即使有其他解答方法，又或技巧有改進空間也不重要，因為比賽純粹為了分勝負，賽後亦不用進行分析或檢討。」換言之，即使勝出了比賽，也未必能從中學到新東西。
常言道「知己知彼」，才能百戰百勝，套用在網絡攻防上，負責網絡安全的員工，必須讓自己「進入」黑客的思維，才能全方位發掘出可被利用的漏洞。奪旗賽的訓練，是其中一個讓自己進入黑客思維的途徑。不過，Nick sir 指並非所有人也有能力參加賽事，另外在現實生活中，也難有空間供他們演練各種攻防技術；Cyber Range 的出現，便是為有需要人士提供一個絕對安全兼有齊全防禦工具的虛擬訓練場，「我們在 2018 年設計的第一代 Cyber Range 可說是重型版，內裏藏有 Fortinet 各種網絡防禦工具，同時亦有各式各樣的網絡攻擊及病毒。」他說可以根據企業的要求，打造出一個封閉的 war game 場地，讓 IT 部門員工嘗試各種攻防方法，亦可提升員工運用防禦工具的熟練度。過程中亦會跟參加者進行檢討，建議其他可行方法，讓參加者可從多角度思考問題所在，不是完事就算。
非IT員工更應訓練
「雖然重型版的『兵器』非常齊全，不過亦因為內藏太多工具，令受訓者較難掌握，所以我們在去年初又設計了一個輕量版 Cyber Range，主要將跟網絡及電郵有關的網絡攻擊及防禦工具放進去，訓練時間亦有兩日縮減至一日，結果這個輕量版很受企業客戶歡迎。」Nick sir 說 Fortinet 作為站於最前線的網絡安全服務供應商，平日最常從客戶口中聽到的問題，就是員工的防護意識不足。的而且確，不少網絡安全調查報告均指出，人為因素是造成企業機密外洩的主要原因之一，他笑說即使企業已聘用網絡安全專家、設有完善的網絡安全框架及最先進的軟硬件配套，但如佔最大多數的一般員工沒有安全觀念，企業一樣有極大可能被入侵，例如人事部門員工隨便打開可疑的求職電郵附件，又或者員工隨便點擊來歷不明的網站連結，都可讓中門大開，所以 Cyber Range 並不單單為 IT 員工而設，而應覆蓋大部分職員。事實上，他說通過實際演練，即使非 IT 員工也能投入參與，不會聽過就算。
Nick sir 說團隊已應企業客戶要求，舉辦了多次 Cyber Range，反應良好，而團隊亦希望能升級這系統，再加入一些跟 Web、Cloud、AI 等相關嘅攻防題目，但首先要解決人手嚴重不足問題，「雖然現時系統已放了上雲端，減輕了搬運大量硬件的壓力；不過，其實每次團隊出動都勞師動眾，再加上這計劃並非收費服務，目的只為提升公眾的網絡安全意識，所以必須在工餘時間才能進行。」到底 Fortinet Cyber Range 何時會升級為 3.0 版本？曾參加過訓練的人，不妨多寫幾張感謝卡給 Nick sir，相信有望加快開發進程。
相關文章：【零散整合】Fortinet保安纖維服務 助電子支付Yedpay一個月上雲
