今早港鐵測試新訊號系統，導致兩架地鐵相撞，荃灣線金鐘至中環路段全線封閉搶修，港鐵方面全面叫停系統測試，指必須調查清楚訊號系統出事原因，方可繼續測試計劃。常用於訊號系統管理的 SCADA/ICS 系統，被廣泛應用於基建設施或工業運作的監控介面上。南韓網絡保安專家表示，原來 SCADA/ICS 亦是黑客喜愛攻擊的目標之一，試想像電力、供水、核電設施的控制系統可以被隨意玩弄，引發的災難，就絕不止列車「輕微」碰䃥那麼簡單。 今晨港鐵測試系統訊號卻發生意外，導致兩列地鐵發生碰撞，車廂嚴重變形，同時令兩名車長受傷。（互聯網圖片） 今晨港鐵測試系統訊號卻發生意外，導致兩列地鐵發生碰撞，車廂嚴重變形，同時令兩名車長受傷。（互聯網圖片） 黑客攻擊 SCADA/ICS 製造大停電 今次港鐵意外是訊號系統故障所致，並非黑客所為，但其實最近就有一次黑客攻擊 SCADA（Supervisory Control and Data Acquisition, 資料採集與監控）/ ICS （Industrial Control…

升級轉型過程中，中小企最缺乏嘅當然唔係愛，係錢呀！所以中小企應該要善用政府資源，最常被忽略嘅資源，就是「科技券」。 政府科技券計劃於 2016 年 11 月先導形式出台，原本旨在資助本地中小企使用科技服務和方案，以提高生產力或升級轉型。政府於 2018 年初更放寬申請資格，本港有實質業務運作可以少於 1 年，涵蓋所有企業規模（上市企業除外），而非只限於中小企。 剛在 2019 年 2 月 27 日被納入為創新及科技基金下一個恆常的資助計劃，申請資格進一步放寬，如資助上限由二十萬元增加至四十萬元、可獲批項目數目的上限由三個增加至四個等，大家必須善用。常見問題如下： 1) 申請資格 符合以下條件的企業均可提出申請：a.…

眾多網絡攻擊點之中，端點是最令 IT 人員頭痛的，因為實在太多，而且越來越多，如何管理呢？所以要有 UEM（Unified endpoint management）。我地請教 IBM 香港資訊安全業務經理 Ricky Ho，為大家講講 UEM 嘅精髓。 了解隱藏成本是第一步 端點管理需要面對很多難題，Ricky Ho 指出，這些難題導致管理成本高昂，而且延伸更多隱藏成本。「首先是太多工具，有些機構甚至用上 20 個端點管理工具。然後是能見度問題，試問有幾多個 IT 能清楚知道公司總共有幾多個端點裝置？更枉論用緊哪個…

每逢有網絡保安事故，本地傳媒都會即時搵保安專家評論事件。這些被行家視為「傳媒好友」的專家不多，因為解答不單要快，意見亦要準確簡短，才能幫助記者搶先報導事件。如果言論能再帶有一點幽默感，自然更易成為傳媒寵兒。香港互聯網協會網絡保安及私隱小組召集人楊和生就是其中之一，原來當初他踏入電腦界全因為懶，誰不知現在卻是最忙的職業。 輸在起跑線 早於 1990 年讀大專一年級時，楊和生已開始接觸電腦，「那時讀電腦工程，喜歡寫電腦程式只因為懶，因為發現有很多重複性的工作毋須人手處理，例如要處理一大堆文件檔案的排版，其實只須編寫簡單的程式，就可交由電腦自動執行。」令他沉迷鑽研電腦程式的原因，除了他宅宅的沒有其他嗜好，還與他的電腦設備輸在起跑線有關，「以前無錢，所以第一部電腦的硬件配備比同學差很多，例如別人的電腦用 386 （Intel 處理器型號）、1MB RAM，我就只用 286 及 640KB RAM，連電腦屏幕也只得黑白。」眼見朋友的電腦可以做到很多東西，楊和生亦想試試自己那部弱弱的電腦可否做出接近的效果，所以便花了很多時間練習寫程式，蒲深水埗黃金電腦商場買書自學一些破解技術，「當時完全無黑客的概念，只是有興趣試試修改程式，例如修改電腦遊戲內的生命值、武器防具等，雖然自己完全沒有打機的嗜好……」 後來有朋友移民美國，楊和生為了保持通訊而連上互聯網，才從不同渠道認識黑客這回事，「不過那年代接觸的黑客技術並非以破壞為目的，只是大家互相分享一些程式的漏洞，例如當時互聯網供應商使用的 FreeBSD 作業系統，就有各式各樣的破解玩意，雖然有些成功有些失敗，但我已可讀取到其他用家的電郵地址及內容。」掌握到這些個人私隱，有心人其實已可利用來進行社交工程（Social Engineering）攻擊，楊和生則笑說可能自己沒有犯罪基因，所以即使讀取到伺服器內的電郵內容，也僅僅是滿足了自己的成功感，未能發現偉大的「錢途」。 大專時經常蒲黃金的結果，就讓楊和生認識了一班「砌機佬」，後來其中一個相熟的店員在商場內另起爐灶，順理成章便邀請他一同開檔。「那時賣電腦很好賺，一套電腦可賺取四成利潤，有時講價可以減到幾百蚊，不似現在只賺到百多元，想平幾蚊都難。」賣電腦的好處，就是可以接觸最新的電腦資訊，同時以平價入貨，「所以第二部電腦已是當時頂級的 486，一下子由最慢變成最快。」無論上學或兼職都與電腦有關，讓他打穩了電腦編程的根基，所以出來工作後，編寫程式的技術及速度亦較人高及快。 隱密攻擊…

以為資料庫保安好嚴密？其實盲點處處！去年資安事故中不乏大公司資料外洩，除證明黑客攻擊越趨嚴重，更證明「人類總要重複同樣的錯誤」，再大嘅團隊都有盲點。其實，不少資安事故屬於可避免的，本文內容節錄自與 IBM 香港資訊安全業務經理 Ricky Ho 嘅訪問，教你認清 5 大資料庫保安盲點，Ricky 更就 5 大盲點提供相關建議，協助大家防患於未然，學嘢喇。 5 大資料庫保安盲點。 盲點一：安全方案訊息七國咁亂 不少企業 IT 都面對一個典型狀況：IT 環境及訊息不斷變動及擴展，今日出個 App，聽日又話搞 IoT，後日就來…

GandCrab 勒索軟件自從喺上年一月出現，即刻成為網絡罪犯嘅至愛，不停利用佢發動攻擊，將受害者電腦入面嘅檔案加密，再勒索對方用達世幣（DASH）交贖款。 香港亦有唔少網民中招，時不時會有人喺討論區上跪求解鎖方法。 雖然由歐洲刑警組織等機構創立嘅 「拒絕勒索軟體」（NOMORERANSOM) 計劃已經喺上年十月推出解救方法；不過魔高一丈， 黑客又將 GandCrab 升級，先後推出 5.04 至 5.1 版本，再次吹熄受害者嘅希望之光。 而家有好消息， NOMORERANSOM 啱啱推出 update 版，不單可以解救各種勒索軟件，就連 GandCrab 最新版本都可以破解埋，如果有巴絲打不幸中伏，就要快快上…

小米米家電動滑板車以「自由穿行，一路美景」、「簡約幾何設計，1 分鐘輕鬆上手」、「30 公里超長續航」、「雙重剎車系統」、「便攜折疊」為賣點，售價 1,999 人仔，非常吸引。這款平靚正電動滑板車亦廣受用家愛戴，國內外米粉以此自由穿行，一路美景。 不過，《The Hacker News》收到手機安全公司 Zimperium 的報告，發現小米米家電動滑板車 M365 存漏洞，可讓黑客輕易控制電動滑板車，危害駕駛者性命。 隨 M365 電動滑板車使用的手機程式「智能管家」可以通過藍芽連接，化為儀表板，對當前騎行速度、剩餘電量等進行實時查看，對滑板車進行固件升級。手機程式亦可設定密碼、反偷車，更可發出指令，匹配設定的速度，作定速巡航。 「智能管家」可以通過藍芽連接電動滑板車，化為儀表板。 不過，研究員發現密碼設定只在手機程式端有效，而滑板車端並不作憑證狀態追蹤。如電動滑板車密碼設定不當，可讓黑客於 100 米範圍以藍芽發出未受權的指令。如黑客心懷不軌，可以發出非常危險的指令，令電動滑板車突然鎖車、加速、剎車，亦可載入惡意程式完全控制電動滑板車。 Zimperium…

駭客攻擊固然可惡，但人為的低級錯誤也本應可以避免，預防爆發一些顯而易見的危機。面對外憂內患，企業又應該如何做好資料保護措施，保障用戶個資免受駭客盜取，同時保全公司免觸犯 GDPR 而被開罰？ 一、定期更新軟體 最基本的就是定期更新軟體。駭客技術雖然日新月異，但 antivirus（防護軟體）或其他軟體同樣與時並進。每次韌體更新除了一般除錯外，也有很多是為了填補已存在的資安漏洞或防禦新型病毒而進行的。 二、加入多重身份認證或生物認證 Broken authentication 是網路資安問題的第二大主因，而要做好身份認證這一步驟，除了傳統輸入密碼以外，現時已經有很多加強保安的驗證方式，比如雙重認證 (Two-factor Authentication, 2FA) 讓用戶輸入密碼後需要加上第二重認證步驟，常見的工具有： TOTP (Time-Based One Time Password)：透過時間因素產生不一樣的一次性密碼，像是 Google…

最近在不同的電車站，都看到「為香港・搏到盡」幾個剛勁有力的大字，原來這是阿里巴巴集團旗下的雲計算平台阿里雲最新的宣傳主題。公司自 2014 年以來已在本港設立兩個數據中心，多年來大力推動香港企業數碼化轉型，這輯宣傳展示了幾個本地知名企業的應用實例 ，包括英皇金融集團及香港快運航空。 「在我們看來，金融跟物流業是支撐香港經濟的中流砥柱，在全球也處於領先地位，這兩家香港本地企業，在各自領域都做得非常出色，而同樣都選用了阿里雲的安全產品。阿里雲亦希望通過我們的雲端和 AI技術為行業客戶帶來業務裨益。」 安全不僅僅是針對雲端，而是整個業務流程 劉彬星指出，現時大部份客戶採用雲端跟 AI 技術時，都非常關注技術的安全性。「安全不僅僅是針對雲端技術，而是不同企業本身的整個業務流程，有沒有安全可控的解決方案。」阿里雲服務範疇涉獵甚廣，從網絡、服務器、應用、業務安全到安全管理服務一應俱全，為企業提供 Anti-DDoS、WAF （網頁應用系統防火牆）等解決方案，同時亦有團隊專責進行全面的滲透測試，更在全球多個地區設立大流量的 DDoS 雲清洗中心，服務極之全面。「其實概念很簡單，上雲就等於你把錢放在銀行的保險箱，我們的防衛能力一定比客戶自己構建的更牢固、更可靠，才能讓客戶信任我們。 」 劉彬星，阿里雲港澳及韓國區總經理：阿里平台每天都抵禦非常多的網絡攻擊， 確保幾億消費者放心愉悅地使用服務，所以說「十年攻防，一朝成盾」。阿里雲將阿里巴巴集團內的最佳實踐方案，商業化推送至客戶。 十年攻防，一朝成盾 「以英皇金融為例，作為一個交易網站，講求的是彈性擴充的能力，我們的 Elastic…

最近看到網絡媒體報道有一個知名國產電子產品製造商，所開發的一個應用程式，會過度收集手機使用者個人資料， 據報自 2016 年 12 月發佈以來，已在谷歌商店上被下載逾 1,000 萬次。 其實電話程式出現係幫助電話使用者獲得更理想嘅使用體驗，而收集一些輔助性資料以作出更貼身的資訊服務配套，是再好不過的事情。 但魔鬼的細節就此出現了，因為使用該有關程式而收集到的個人資訊，是否單純作為其所聲稱的唯一用途，卻是無從確實。因為由資料被收集的那一刻（可能你也沒有察覺，有關程式何時開始收集及哪些資料正在被收集），到資料被作相關用途之後，資料被存放到哪裡？會存放多久？哪些人可以取存？多久之後會被刪除？期間有關資料是否有合理的保護（如加密）？相關資料是否以安全的方式被傳送？這一切一切都是我們需要知道及有權利知道的重點，否則盲目允許這些程式收集個人資訊，就等於將這些資料無條件雙手奉上予不知名的人士或機構。 套用香港借貸廣告中的標語 — 咪比料中介。手機程式可能只係中介，將你嘅資料轉發畀第三方，從而獲得金錢或其他利益。