Seeker 是交互式應用程式安全測試 (Interactive Application Security Testing, IAST) 解決方案，提供 Web 應用程式安全狀況可見性，並根據合規標準，如 OWASP Top 10、PCI DSS、GDPR、CAPEC 和 CWE/SANS Top 25 等識別漏洞趨勢。 Seeker…

Mirai 殭屍網絡曾於 2016 年造成極大破壞，多間公司被攻擊至癱瘓。一款幾乎與它一樣的殭屍網絡 RapperBot 就在今年 6 月出現，而且它具備更強功能，可以暴力破解 Linux 伺服器的密碼，強行控制設備，如伺服器密碼太弱，是時候要修改。 IoT（物聯網）設備用途廣泛，幾乎各行各業也都需要使用，不過由於生產商質素參差，即使被發現有安全漏洞，也未必會為產品提供安全更新；另一方面，安全程度亦要視乎用家的態度，例如有沒有為產品安裝更新檔案堵塞漏洞，以及會否為帳戶設定高強度密碼等，以上種種因素都有可能為黑客打開入侵的方便之門。 而在今年 6 月中，一款名為 RapperBot 的殭屍網絡惡意軟件首次被發現，專家在分析它的程式碼後，發現它幾乎是將另一著名殭屍網絡惡意軟件 Mirai 的程式碼直搬而來，不過，它的特別之處是 RapperBot 具備暴力破解…

Cyber Security News 報道指，在擁有超過 25,000 名員工的企業環境中，數據洩露的平均成本約為 552 萬美元。目前已有不少知名公司成為網絡攻擊的受害者，他們因沒有採取適當的安全措施，而最終導致數百萬美元用於數據洩露相關的解決費用損失。網絡犯罪分子不單只攻擊大型企業，亦會滲透到各種規模的公司，並尋找可利用的安全漏洞。以下是可能導致企業損失數百萬美元的 3 個常見安全錯誤，以及我們該如何解決這些錯誤。 1. 不安全的第三方存取 IT 部門面臨的最大挑戰之一是要確保第三方無法存取公司網絡。存取應從開放策略轉變為更受限制，即是零信任網絡存取（Zero Trust Network Access, ZTNA）。ZTNA 有效地取代傳統 VPN…

網絡安全專家經常呼籲企業或IT管理者，有漏洞應盡快修補。長氣原因在於相關漏洞一旦曝光，黑客很快就會用作攻擊。Palo Alto Networks 一份最新安全調查報告顯示，最快 15 分鐘後便會有黑客在網上搜尋存在相關漏洞的裝置，其中一個 F5 網絡設備安全漏洞個案更在十小時內被嘗試用於二千多次攻擊，企業修補漏洞流程，真正是生死時速。 通用漏洞揭露計畫 (Common Vulnerabilities and Exposures, CVE) 是由國際非牟利組織 MITRE 所創立，CVE 專門用於收集軟硬件的安全漏洞，一經專家確認，就會為漏洞分配編號，希望有助業內人士或IT從業員翻查資料，提升安全水平。漏洞在舉報後，一般會給予 90 日時間供軟硬件開發商修正，以及待受影響企業或機構安裝修補檔案，才會將漏洞的細節公開，但如在限期內仍未能修正問題，基於漏洞同樣有可能被黑客發現及利用，因此細節亦會公開，提醒用家需注意問題及作出防範。…

隨著企業踏上數據轉型之路，陸續採用更多雲端服務及遙距工作工具，遭受網絡攻擊的層面亦大增。非牟利雲端安全機構 Cloud Security Alliance 早前完成一項相關調查，發現大部分企業都受身份驗證、帳戶權限及密鑰管理等問題困擾，除了引來黑客攻擊，內部員工亦可乘機作反。 新冠疫情開始至今已兩年多，期間不少企業為了讓員工工作，倉卒購入各種雲端遙距工作工具。雖然隨著疫情減褪，大部分企業已安排員工重回辦公室上班，但網絡安全專家指出，在數碼轉型的需求下，企業仍難以避免要採用更多雲端應用服務，因此被入侵的危機仍然會愈來愈高。Cloud Security Alliance 早前完成的一份調查報告一共訪問了安全業界 700 位專家，結果發現業界一致認為要建立一個安全的雲端運算環境，必須解決身份驗證、帳戶權限及密鑰管理等挑戰。 報告內歸結了四個常見的雲安全漏洞，包括：不安全的接口和 API、雲端服務設定錯誤、缺乏雲安全架構和策略、軟件開發環境欠缺安全策略。在不安全的接口和 API 方面，專家指可讓黑客有機會接觸到機密的資料庫，甚至可透過 API 獲取帳戶 token，從而控制帳戶。雲端服務設定錯誤，例如將數據庫資料設定成公開，有可能發生數據外洩問題。此外，缺乏雲安全架構及軟件開發環境欠缺安全策略上，前者可令黑客在取得一個普通帳戶權限下，通過漏洞提升至最高權限及隨意橫向移動，後者則有可能在開發過程取了藏有惡意程式的開源軟件使用。 網絡安全專家建議企業引入零信任 (Zero…

千祈唔好以為黑客只針對大型企業，無論是甚麼規模的企業，一樣要做好網絡安全的措施，即使是小型企業，一樣有方法避免中伏。 網絡攻擊對於小型企業來說，可能並非首要考慮的事情，網絡犯罪分子貌似多數只針對具規模、有利可圖的目標；然而事實是小型企業同樣會成為黑客和網絡犯罪分子的目標，因為小型企業同樣手握各種機密數據，例如個人資料、信用卡資料、密碼等，黑客一樣會虎視眈眈。但相對中型企業或大型企業，小型企業的資訊安全意識及保護措施相對較弱，尤其是在沒有專業網絡安全員工的情況下，致使危險度也增加。 小型企業成為供應鏈攻擊的一部分，主要是黑客能透過他們獲得大公司的存取權：從入侵可能是大型機構供應商的小型企業，攻擊者可以利用存取權滲透網絡，攻擊其商業夥伴。 小型企業遭遇無論是網絡釣魚、勒索軟件、惡意軟件，還是攻擊者擁有存取權和篡改數據權限的任何其他類型的惡意活動，其所導致的結果都可以是極具毀滅性，甚至有網絡攻擊受害者因此而永久關閉。 以下是 ZDNet 提供的自保招式，提醒小型企業如何避免墮入一些基本網絡安全陷阱。 1.不要使用弱密碼來保護線上帳戶 網絡犯罪分子並不一定具備超強技能，才能入侵企業電子郵件帳戶和其他應用程式，因為很多時他們能夠進入企業系統，純粹是因為帳戶擁有者使用弱密碼或容易猜測的密碼；同時使用雲端辦公應用程式和遙距工作模式的轉變，也為網絡犯罪分子提供了更多攻擊機會。 記住許多不同的密碼可能很困難，因此不少人在多個帳戶中使用簡單的密碼，導致帳戶和企業易受網絡攻擊，特別是如果網絡犯罪分子使用暴力攻擊以常用或簡單密碼列表作嘗試。另外，也不應該將密碼設定為易於發現的訊息，例如最喜歡的球隊或寵物名字，因為社交媒體上的資料，或成為密碼線索。 國家網絡安全中心 (NCSC) 建議使用由三個隨機單詞組成的密碼，並指這個策略能令密碼難以猜測。另外，應該使用不同的密碼來保護每個帳戶，使用密碼管理器可以幫助用戶消除記住每個密碼的煩惱。 2.不要忽略使用多因素身份驗證（MFA） 即使已採用強密碼，密碼仍有可能落入壞人手中。網絡犯罪分子可以使用網絡釣魚攻擊等方式，來竊取用戶的登入資料。多因素身份驗證會要求用戶響應警報，來確認是他們本人嘗試登入帳戶，讓入侵帳戶增添障礙：即使網絡犯罪分子擁有正確的密碼，他們也無法在沒有帳戶擁有者批准之下，使用該帳戶。如果用戶收到意外警報，提示有人正嘗試登入其帳戶，他們應向其 IT 或安全團隊報告，並立即重置密碼，避免網絡犯罪分子繼續嘗試利用被盜密碼。 儘管使用多因素身份驗證或雙因素身份驗證 (2FA)，已是最常建議採用的網絡安全措施之一，但許多企業仍沒使用，令人憂心。 3.…

不少企業也會採用 Elasticsearch 分散式搜尋及分析引擎，不過在管理時往往因設定錯誤，令資料庫在毫無保護下面向互聯網。Secureworks Counter Threat Unit 研究員上星期便發現有黑客至少向 1,200 個資料庫發動攻擊，鑑於數據量龐大，研究員認為就算交贖金，受害者亦不太可能取向原始數據…… 資料庫發生數據外洩的情況經常發生，早前有一份調查報告便指出，2021 年共有 308,000 個資料庫發生外洩事故，而當中約 30% 均屬於 Elasticsearch 資料庫。報告同時顯示，系統管理員平均需要 170 日才能發現在設定上出現問題，導致資料庫有很長時間在不安全狀態下面向互聯網，非常容易造成數據外洩。 Secureworks…

新龍國際有限公司（SiS International Limited）與 Elastic 簽訂合作協議，成為 Elastic 香港及澳門區合作夥伴之一。SiS 作為本地領先科技產品分銷商，致力於為地區客戶提供優質產品及專業服務, 憑多年市場經驗及品牌優勢，SiS有信心與Elastic 攜手打造新一代數據搜索、監測、網絡安全（SIEM+EDR）方案。 作為 Elastic Stack（Elasticsearch、Kibana、Beats 和 Logstash）的創造者，Elastic 構建了自我管理和 SaaS 產品，使數據可實時、大規模地用於企業搜索（網站、應用程式、工作場所內容）、可觀測性（日誌記錄、APM、指標）、安全（SIEM、端點、威脅狩獵）、業務分析等等。全球數以千計的組織，包括 Cisco、eBay、Goldman Sachs、Microsoft、紐約時報、維基百科等，都在使用…

IT 託管服務愈來愈受企業歡迎，因為企業毋須自雇團隊及採購軟硬件，而又能達成營運目標。不過，全球多個安全機構如 NCSC、CISA、FBI 在近期連續發出安全警報，指國家級黑客將會瞄準 IT 託管服務供應商發動攻擊，除了供應商要升級防禦力，客戶亦是時候認真研究合約條款。 在全球 The Great Resignation 大辭職潮下，IT 業界專才職缺漸多，網絡安全業界更是重災區。企業管理者為紓緩 IT 人手不足問題，傾向採用各式各樣的 IT 託管服務，借助服務供應商的專業人士及先進科技，確保業務能夠暢順運作之餘，同時提升網絡防禦力。不過，這類託管服務供應商近來開始成為黑客攻擊的對象，因為黑客只要成功入侵，便有機會藉著它們的基建設備滲透至其客戶網絡，進而竊取公司機密資料，甚至執行勒索軟件，真正做到一舉數得。 有見及此，美國、加拿大、澳洲及英國等地政府屬下網絡安全組織，在上星期先後發出安全警告，內容均預計針對託管服務供應商的攻擊將會愈來愈密集，而且有迹象顯示這些攻擊會來自背後有國家支援的黑客集團。官方認為不論是 IaaS (基建即服務)、PaaS (平台即服務)及…

美國國土安全部 (The Department of Homeland Security) 去年啟動 Hack DHS 賞金獵人計劃，以賞金邀請有能之士找到系統的安全盲點。計劃執行近半年，DHS 方面公布已堵塞 122 個安全漏洞，當中有 27 個屬極危險級別，而整體只發放了 12.5 萬美元獎金，可見這類賞金獵人計劃的性價比極高。 針對他國發動網絡攻擊，藉此窒礙敵國的經濟發展或刺探政治軍事機密，有時比起派間諜執行更有效率。作為全球最大影響力的美國政府，單在去年已多次指控俄羅斯政府放任黑客集團攻擊，對美國市民造成能源短缺、大量企業受到勒索軟件攻擊等後果。而為了加強國家網絡安全防禦力，美國聯邦政府曾發出行政指令，要求各政府機關盡快堵塞系統漏洞，並發出指引要求各部門執行。 不過，要找出系統漏洞，單靠部門內的專家未必可行，最有效率的方法是邀請外人調查，過程才能做到不偏不倚，探查能力甚至會更大。有見及此，美國國土安全部便於 2019…