再講多次，對付勒索軟件，除咗要安裝防毒軟件，做好 endpoint protection，備份真係好重要！一旦有事，都唔需要下下俾贖金！ 近呢一兩年，美國超過 40 個州縣嘅政府部分先後成為勒索軟件（Ransomware）嘅苦主，德州更佔咗大多數。唔好以為多中住嘅地方損失會最慘重，好似佛羅里達州嘅 Lake City，雖然只得 1.2 萬人口，但由於系統無備份，為咗解鎖攞返啲資料，唯有將 46 萬美元贖款轉入黑客戶口，認真無奈。 最新受害者係 Massachusetts 州嘅 New Bedford 市政府，佢哋喺 7 月…

上次邀請了網絡安全保險專家盧子頴，講解這類保險的保障範圍，以及哪一類企業應該盡快考慮投保。不過，原來並非想買就可以買到，因為保險公司會先評估投保人有沒有做足安全措施，除了影響投保成功投保率，更會左右保費。 三大因素影響投保 網絡安全保險供應商智咨詢集團執行董事盧子頴指出，雖然遇到的個案不多，但間中也會有投保人以為只要有錢就可投保，但其實保險公司也需要核保，評估投保人受到網絡攻擊的風險。「如果店鋪連門鎖也沒有，試問怎會有保險公司受保？」他指出保險公司首先會檢查企業現有的網絡安全措施，例如有沒有裝設防火牆、防毒軟件、登入權限管理、升級硬件及軟件韌體的政策、個人私隱保管政策、遙距登入管制等等，「如果企業完全沒有做，保險公司會建議對方先做好基本的網絡安全措施，之後才考慮投保，因為即使轉投其他保險公司，相信也不會成功。」盧子頴補充說，其實投保不能賺錢，只能減少損失，所以如果站在預防被攻擊的立場，企業都應先做好防禦工作。 除了檢查安全措施，盧子頴表示保險公司還會考慮企業的業務性質，如屬於高風險行業，例如涉及加密貨幣交易，又或處理的個人私隱數據太多，就並非所有保險公司就會受保。另外，一些規模較細的保險公司，如投保企業每年的生意額太高，也可能因為承受不到風險而無法接單，這些因素就與投保企業無關。 上述的考慮因素，不單只會左右投保成功率，同時也會影響保費，「因為全部同風險有關，簡單來說，風險愈高的生意，保險公司收取的保費就會愈高。」盧子頴解釋跟傳統保險服務一樣，保費高低還要因應保額、墊底費及保障內容計算，如前文提及的增值保障如勒索贖金、外判商失誤等，便會提高投保費用。記者問如企業內擁有考獲 CISSP、CEH 等證書的網絡安全專家，安全度理應較高，是否可成為減保費的因素？他說理論上是，但同時間代表企業的業務複雜性較高，而且亦可能有較多監管要求，所以保費最終也要視乎實際情況而定。 「雖然保險費用很難有參考價格，但視乎選購的保險計劃，保費可低至每年五六千元。」盧子頴建議企業管理者不用想得太多，如認為業務受到攻擊的風險頗高，應邀請保險公司進行評估，之後再考慮是否購買也不遲。

係囉，錯就要認，知錯就改，咁就抵讚！密碼管理工具 LastPass 被發現有漏洞，用戶有可能俾黑客盜取最近一次嘅登入憑證。LastPass 收到通知，立即回應，火速修復，抵讚！ 密碼管理工具絕對係現代人嘅必備，全靠佢，先可以應付日常海量密碼登入帳號之苦。事關網絡安全專家建議大家唔好重用密碼，以免其中一個帳戶嘅登入資料被盜取，就會波及其他帳戶。不過一個正常人又點記得咁多複雜密碼？為免大家被密碼折磨，網上就出現咗好多密碼管理工具，而 LastPass 就係最受歡迎嘅工具之一。較早前，Google 嘅網絡安全工程師 Tavis Ormandy 發現 LastPass 有一個漏洞，黑客可以利用一個有效嘅 clickjacking 手法，引導用戶利用 LastPass 登入個人帳戶，然後轉移到惡意網站，截取資料。 雖然此漏洞只出現於 Google Chrome 及…

Pentest 滲透測試係發掘網絡系統漏洞嘅好方法，所以唔少政府部門或企業都會外判服務供應商進行測試。但美國就有兩個網絡安全專家喺執行測試時，懷疑殺得性起，做多咗嘗試強行爆入法院大樓，再攻埋其他系統，結果搞到官非纏身！ 上星期三，美國愛荷華州（Iowa）達拉斯縣（Dallas）法院發現有不明人士闖入法院大樓，觸動警報系統，結果警衛拉咗兩個入侵者。兩個入侵者分別係 Justin Wynn 同 Gary Demercurio，被捕時二人即刻話係受到達拉斯縣政府所僱用，目的係測試法院嘅安全系統。起初當局回應話無咁嘅事，但經查明係，證實 State Court Administration（SCA）的確係僱用咗網絡安全公司 Coalfire 為系統進行滲透測試，而 Justin 同 Gary 就係 Coalfire 嘅員工。 雖然證實咗真係派出社員，但…

當網絡安全公司 Check Point 今年三月舉報呢幾間公司嘅手機有漏洞，有兩間好快就推出修補檔，而華為就「計劃」喺下一代手機再修補，Sony 仲勁，直頭回應話已跟足指引毋須改善添，大家買手機識揀啦！ SMS訊息設定手機傳輸 今次 Check Point 安全專家發現嘅漏洞到底係乜嘢嚟？原來係同 OMA CP 訊息有關。OMA CP 即係 Open Mobile Alliance Client Provisioning，係一種俾網絡供應商推送通訊設定嘅單向訊息，等手機可以用嚟發送圖片、電子郵件或傳輸數據，所以每次用新手機接駁網絡供應商，又或有新嘅網絡設定，網絡供應商都有需要發出呢種訊息，一旦黑客可以假扮供應商發出訊息，用家又同意安裝，黑客就可以通過改動手機嘅傳輸設定，將用家嘅電訊、網絡連接引導去惡意伺服器。…

唔少 IT 公司或應用軟件開發商都有自己嘅網絡安全團隊，不過隨住開發時間愈縮愈短，就算行埋 DevOp 甚至 DevSecOp 制，都只可以盡量減少軟件推出後嘅漏洞問題，所以唔少 IT 巨頭好似 Google、Microsoft、Facebook、Tesla 都會推出賞金計劃，鼓勵街外人幫手捉蟲。 作為 Android 作業系統開發者，Google 面對住嘅其中一個大難題，就係 Play Store 上由第三方開發商推出嘅 app 有太多安全問題，根本點睇都睇唔切，…

我好鍾意睇 John McAfee 嘅花邊新聞，呢一秒話俾仇家落毒搞到要留院兩日，下一秒就話要參選下屆美國總統，跟住仲話自己偷咗中美洲國家 Belize 嘅機密文件，所以成日俾人追殺。如果真係俾佢當選美國總統，我諗真係同侵侵有得 fight！ 佢創辦嘅網絡安全公司 McAfee 就正路好多，雖然前年賣咗俾 Intel，但一直以嚟 John McAfee 都經營得有聲有色，作為資安界一份子，每季梗係要讀過佢哋嘅研究報告先安樂，話晒分析晒網絡保安趨勢，唔睇分分鐘俾人話 out！ 2019 年第一季報告啱啱出爐，睇完真係冷汗都標埋，McAfee 研究員指出，平均每分鐘就出現 504 種新嘅網絡威脅，而全季差唔多有成…

成日話免費軟件唔係免費，原因就係咁，因為你喺用嘅同時，其實係付出緊某啲代價，例如要睇廣告、喺社交平台分享資訊等等，更嚴重嘅代價，就係有可能被黑客入侵，盜取個人私隱，Android免費版本嘅應用軟件 CamScanner 就係最佳例子。 CamScanner 第三方供應商偷藏後門 CamScanner 係一隻可以將影相製作 PDF 嘅應用軟件，由於好方便用嚟製作電子書，所以係一隻大受歡迎嘅 app，單係 Android 版本嘅下載量已破億，雖然免費版會有水印，亦唔支援 OCR，但都唔影響佢嘅受歡迎程式。不過，Kaspersky 網絡安全專家發現 Android 版 CamScanner 內藏後門，可以俾黑客暗中遙距安裝惡意軟件，盜取個人私隱或進行網上購物。 Kaspersky 專家話首先發現…

數碼轉型的好處，相信毋須特別多提；不過隨著愈來愈多企業將重要工作或數據轉移雲端，網絡安全的問題亦陸續浮面，例如難以把握的多雲(Multi-Cloud)架構、複雜的存取權限管理，特別是「影子 IT」」（Shadow IT）應用失控，每走一步似乎都可以引發難以預計的洩密風險。既要繼續移雲，但對網絡安全又有大量疑雲，應該如何自處？ 發展過快 監管困難 先來看看現時企業管理者面對的難題，愈趨複雜的多雲架構及存取權限問題都較易理解，但到底「影子IT」應用又是什麼一回事？它其實代表未經企業 IT 部門允許的應用軟件。根據最新發表的一份網絡安全調查顯示，企業管理者認為員工使用的雲端應用軟件數量為 452 種，但實際上卻是 1807 種，足足接近 4 倍之多，完全低估了實際使用情況，這些影子 IT 應用既然未被允許使用，企業 IT 部門所採購的網絡安全設備自然難以洞察及堵塞其漏洞，大大增加黑客潛入的門路。 除了雲端應用「失控」， BYOD（Bring…

網絡安全專家又有新發現，一種被命名為「Warshipping」嘅攻擊手法，已經由 IBM X-Force Red 嘅研究員成功驗證，透過發放呢隻 Warship，黑客可以光明正大咁將爆格工具運入目標公司內，再慢慢截取有用訊號嚟破解，唔使再假扮清潔工人或維修電工嚟偷入公司。 Warshipping用完即棄 IBM 研究員發明嘅 Warship 工具，其實係一個造價大約 100 美元嘅用完即棄手作仔。呢個工具大約得一部手機咁大，可以掃描附近嘅 Wi-Fi 裝置，然後就靜靜等待任何同公司 Wi-Fi 網絡熱點進行「握手」（handshake）嘅訊號，當截取到呢啲數據，Warship 裝置就會經由內置嘅 3G modem…