IoT 設備嘅種類極多，上淘寶隨便搵一下，好似 監控鏡頭 、智能門鎖、智能溫度計等等，平到二百幾蚊已有交易，碌下碌下見得意就會買返嚟玩下。不過，最近其中一款用於 IoT 產品嘅軟件 iLnkP2P ，就被發現存在極大漏洞，專家唯一嘅建議，竟然係買過部新嘅先得！ iLnkP2P 呢款軟件係由深圳一間叫做 Yunni Technology 所開發，網絡安全研究員 Paul Marrapese 指出呢款軟件被多間公司採用為旗下具備 監控鏡頭 嘅操作介面，包括 HiChip、 TENVIS…

雲轉移 是現時工商界的熱話，特別是起步較遲的中小企，或多或少都會考慮選用哪種雲端服務，以提升競爭力及降低營運成本。不過，網絡保安專家提醒管理層在決定選購某一種雲服務前，必定要做好風險評估，同時認清所需服務的內容，避免採購後才發現不適合公司使用，最後只會徒然浪費金錢，同時亦達不到預期效果。 雲轉移 不簡單 「從事網絡保安工作接近二十年，最常見的情況是管理層在選購科技應用產品時，通常不會想到要聽取公司內部的 IT 或 網絡保安人員的意見，而是參考現時同業愛採用那一款產品，然後便要求技術人員配合使用。」網絡安全產品供應商 eWalker 首席顧問楊思聰 （Ricci）指出，欠缺溝通的情況除了是思慮不足，很多時還因為採購準則以價格為優先，管理層又不熟悉產品的技術規格，以致選用的產品難以與公司使用的系統順利磨合，「例如以現時雲端數據轉移為例，即使 IT 同事發現產品不合，由於已沒有轉圜的餘地，便要夾硬將數據放上雲端，但轉移及運作過程中出現的問題卻以解決。」 服務與需求偏差 造成這種現實與預想出現割裂的原因，Ricci 說主要跟管理層輕視了雲轉移的問題有關，「他們以為雲轉移就是將數據放上雲，用什麼方法、有什麼風險，在事前均沒有詳細檢討。以經營網上購票為例，有客人選用了伺服器設於美國的大型票務系統供應商，以為一定穩陣，卻沒有考慮到強如 Google、Facebook 也會有 down 機的時候，所以如果連接美國的線路或遠在美國的供應商系統出現問題，他們便無法做生意，就只能被動地等待問題被解決。」他說如果管理層在一開始已向技術人員了解所需的服務細節，就可減少出現以上的問題。…

分享FacebookTwitterWhatsAppEmailLinkedinTelegram 2018年資安事故歷歷在目，這邊廂航空公司資料外洩、那邊廂酒店集團被黑客入侵，網絡攻擊無日無之，手法日新月異，要減低被攻擊的風險，網絡威脅情報的收集及分析成為關鍵。處理海量和運用網絡威脅情報去偵測已經是個艱巨的任務，要及時作出回應更是一項挑戰。解決方法其實好簡單：利用HKT「網絡威脅情資平台Cyber Threat Intelligence（CTI）」以及「資訊安全威脅管理服務Threat Management Services（TMS）」。 HKT CTI 可減低遭受新型網絡攻擊的風險 網絡威脅情資平台Cyber Threat Intelligence（CTI）有如大腦，負責收集及分析各種網絡威脅情報，CTI 匯聚網絡安全專家、情報及最新技術，可大幅縮短調查及分析時間，減低企業遭受新型網絡攻擊的風險。 網絡威脅情資平台Cyber Threat Intelligence（CTI）收集及分析各種網絡威脅情報。 過濾環球及本地超過 1,000 億個原始日誌 網絡威脅情報的質量是…

眾多黑客攻擊中，勒索軟件（ransomware）絕對是任何人都聞風色變的一種，因為其破壞力快且狠，一中招即時會將電腦內的檔案加密上鎖；受害者即使肯交贖金，也未必能從黑客手上換回解鎖法。勒索軟件能夠如此肆虐，有專家指全因加密貨幣（cryptocurrency）的興起，讓黑客找到安全的經營模式，減少被逮捕的風險。 加密貨幣 收贖金難追蹤 根據資訊安全研究機構 CyberSecurity Venture 估計，2019 年期間，每 14 秒就會有一個機構成為勒索軟件的受害者。看似誇張，但踏入 2019 年後其實已多次發生勒索軟件事件，例如美國加州橙郡的政務機關、挪威全球最大鋁業公司之一海德魯公司（Norsk Hydro）先後中招。「近兩三年來勒索軟件個案的確大增，相信是黑客看中交易難以被追查的加密貨幣，可保障他們順利收到贖金，再加上要求的技術很低，甚至可在暗網以百多元購得勒索程式，成本低效率高，所以才會有這麼多勒索軟件攻擊出現。」本地著名研究團隊VXRL的成員 Boris So說，以往黑客都愛用 Bitcoin 收贖金，但由於現在已有可能追查出收款人錢包地址，所以黑客便轉而用 Monero（門羅幣）或 ZCash。Boris 說通常不會建議受害者交贖金，因為部分黑客根本沒有打算提供解鎖方法，例如…

網絡保安世界，範疇可以好大，Zetta Ke 就行學院路線，專門研究行業經濟及政策，是一個博士，亦是道德黑客。未知是否可以稱之為「學院派黑客」？ 文武兼備的黑客 「我大學主修 Information System，其實屬於商學院的科目。與 Computer Science 不同，我修讀的不太著重演算、程式的技術研究，而是較著重 Business Application，如電腦系統的管理、電子商貿研究，乃至區塊鏈技術應用等。」Zetta 從大學學士直讀至博士，現於科大既教且學。而 Zetta 的另一個身份，是研究團隊 VXRL 成員，曾經發現過 windows 漏洞，絕對是又 talk…

今早港鐵測試新訊號系統，導致兩架地鐵相撞，荃灣線金鐘至中環路段全線封閉搶修，港鐵方面全面叫停系統測試，指必須調查清楚訊號系統出事原因，方可繼續測試計劃。常用於訊號系統管理的 SCADA/ICS 系統，被廣泛應用於基建設施或工業運作的監控介面上。南韓網絡保安專家表示，原來 SCADA/ICS 亦是黑客喜愛攻擊的目標之一，試想像電力、供水、核電設施的控制系統可以被隨意玩弄，引發的災難，就絕不止列車「輕微」碰䃥那麼簡單。 今晨港鐵測試系統訊號卻發生意外，導致兩列地鐵發生碰撞，車廂嚴重變形，同時令兩名車長受傷。（互聯網圖片） 今晨港鐵測試系統訊號卻發生意外，導致兩列地鐵發生碰撞，車廂嚴重變形，同時令兩名車長受傷。（互聯網圖片） 黑客攻擊 SCADA/ICS 製造大停電 今次港鐵意外是訊號系統故障所致，並非黑客所為，但其實最近就有一次黑客攻擊 SCADA（Supervisory Control and Data Acquisition, 資料採集與監控）/ ICS （Industrial Control…

每逢有網絡保安事故，本地傳媒都會即時搵保安專家評論事件。這些被行家視為「傳媒好友」的專家不多，因為解答不單要快，意見亦要準確簡短，才能幫助記者搶先報導事件。如果言論能再帶有一點幽默感，自然更易成為傳媒寵兒。香港互聯網協會網絡保安及私隱小組召集人楊和生就是其中之一，原來當初他踏入電腦界全因為懶，誰不知現在卻是最忙的職業。 輸在起跑線 早於 1990 年讀大專一年級時，楊和生已開始接觸電腦，「那時讀電腦工程，喜歡寫電腦程式只因為懶，因為發現有很多重複性的工作毋須人手處理，例如要處理一大堆文件檔案的排版，其實只須編寫簡單的程式，就可交由電腦自動執行。」令他沉迷鑽研電腦程式的原因，除了他宅宅的沒有其他嗜好，還與他的電腦設備輸在起跑線有關，「以前無錢，所以第一部電腦的硬件配備比同學差很多，例如別人的電腦用 386 （Intel 處理器型號）、1MB RAM，我就只用 286 及 640KB RAM，連電腦屏幕也只得黑白。」眼見朋友的電腦可以做到很多東西，楊和生亦想試試自己那部弱弱的電腦可否做出接近的效果，所以便花了很多時間練習寫程式，蒲深水埗黃金電腦商場買書自學一些破解技術，「當時完全無黑客的概念，只是有興趣試試修改程式，例如修改電腦遊戲內的生命值、武器防具等，雖然自己完全沒有打機的嗜好……」 後來有朋友移民美國，楊和生為了保持通訊而連上互聯網，才從不同渠道認識黑客這回事，「不過那年代接觸的黑客技術並非以破壞為目的，只是大家互相分享一些程式的漏洞，例如當時互聯網供應商使用的 FreeBSD 作業系統，就有各式各樣的破解玩意，雖然有些成功有些失敗，但我已可讀取到其他用家的電郵地址及內容。」掌握到這些個人私隱，有心人其實已可利用來進行社交工程（Social Engineering）攻擊，楊和生則笑說可能自己沒有犯罪基因，所以即使讀取到伺服器內的電郵內容，也僅僅是滿足了自己的成功感，未能發現偉大的「錢途」。 大專時經常蒲黃金的結果，就讓楊和生認識了一班「砌機佬」，後來其中一個相熟的店員在商場內另起爐灶，順理成章便邀請他一同開檔。「那時賣電腦很好賺，一套電腦可賺取四成利潤，有時講價可以減到幾百蚊，不似現在只賺到百多元，想平幾蚊都難。」賣電腦的好處，就是可以接觸最新的電腦資訊，同時以平價入貨，「所以第二部電腦已是當時頂級的 486，一下子由最慢變成最快。」無論上學或兼職都與電腦有關，讓他打穩了電腦編程的根基，所以出來工作後，編寫程式的技術及速度亦較人高及快。 隱密攻擊…

三月初，一個黑客組織向以色列網站發動大規模網絡攻擊，原本呢次攻擊嘅最佳估算係將勒索軟件植入過百萬個網站之上，逼使中招者俾贖金。不過，一個錯誤嘅指令竟搞到成件事失敗收場…… 今次代號為 #OpJerusalem 嘅網絡攻擊，原定嘅劇本係透過攻擊一個為視障人士提供訪問權限嘅 nagich.com 插件服務，改寫其中嘅代碼，當瀏覽有使用呢個插件嘅網站時，就會自動跳去一個寫住 “#OpJerusalem, Jerusalem is the capital of Palestine” 嘅頁面，同時彈出要用戶安裝 “flashplayer_install.exe” 嘅通知，從而下載勒索軟件。不過，呢次攻擊最終只係按劇本嘅前半部分進行，黑客最期待嘅畫面竟然無出現。 事後據網絡保安專家嘅分析，原來黑客喺編寫惡意程式嘅時候，選擇咗向 Windows 系統用家攻擊，只要程式檢測到係 Windows…

資料外洩事故頻繁，就算自己明明盡力把關，奈何第三方又唔生性外洩資料，究竟自己個密碼有否被黑？一般都要靠 HaveIBeenPwned.com 之類查詢網站，Google 推出官方擴充功能 Password Checkup，可在用戶帳號密碼外洩時，主動通知用戶，必更受用戶愛戴。 Google 官方日前推出新擴充功能 Password Checkup，啟動之後，用戶於任何網站登入，只要輸入的使用者名稱和密碼，Password Checkup 都自動與 Google 超過 40 億個已知的外洩資料作對比，一但發現安全疑慮，即會傳送警示通知用戶更改密碼。 當然，第一個疑問就係：咁 Google 咪知我個密碼囉？咁又點保障呢？Google 方面解釋，設計…

駭客攻擊固然可惡，但人為的低級錯誤也本應可以避免，預防爆發一些顯而易見的危機。面對外憂內患，企業又應該如何做好資料保護措施，保障用戶個資免受駭客盜取，同時保全公司免觸犯 GDPR 而被開罰？ 一、定期更新軟體 最基本的就是定期更新軟體。駭客技術雖然日新月異，但 antivirus（防護軟體）或其他軟體同樣與時並進。每次韌體更新除了一般除錯外，也有很多是為了填補已存在的資安漏洞或防禦新型病毒而進行的。 二、加入多重身份認證或生物認證 Broken authentication 是網路資安問題的第二大主因，而要做好身份認證這一步驟，除了傳統輸入密碼以外，現時已經有很多加強保安的驗證方式，比如雙重認證 (Two-factor Authentication, 2FA) 讓用戶輸入密碼後需要加上第二重認證步驟，常見的工具有： TOTP (Time-Based One Time Password)：透過時間因素產生不一樣的一次性密碼，像是 Google…