好消息，防毒軟件公司 Kaspersky 發表的新報告顯示，DDoS 攻擊在 2020 年第四季下跌 31%！不過當中原因只是黑客集團將 botnet 資源調去挖礦，而且香港始終是全球第三大被 DDoS 攻擊的地區，企業必須趁著挖礦熱加強 DDoS 防護，以免熱潮一過會成被回馬槍攻擊。 Kaspersky 最新發表的 2020 年第四季 DDoS (分散阻斷式服務)攻擊報告，有幾項數據特別值得關注。首先是 DDoS…

最近網絡安全公司頻頻失事，繼 Solarwind 事件後，今次主角輪到法國防火牆龍頭安全公司 StormShield，公司發言人指工單處理系統 (ticket system) 被入侵，同時黑客亦盜取了旗下網絡防火牆工具 Stormshield Network Security Firewall 的原始碼！系統潛在漏洞隨時被發現，引爆另一場供應鏈攻擊災難。 Solarwind 被黑客入侵後釀成大災難，不少全球知名科技公司、政府機構、醫療企業，全部因 Solarwind 本身的漏洞而被入侵，令供應鏈攻擊 (supply chain attack) 這種攻擊手法再度被重視。StormShield…

新加坡政府一向希望取代香港的亞洲金融中心地位，而在維護網絡安全政策方面，反應更比港府敏捷得多。最新動作是修改了金融業的科技風險管理指引，強調行業必須加強對第三方服務供應商的規管，相信跟近年頻頻發生的供應鏈攻擊 (supply chain attack) 有絕大關係，例如令人聞風喪膽的 SolarWinds 事件…… 現時金融業在發展網上業務時，傾向與第三方服務供應商合作，例如 IT 管理工具、數據備份及災難復原服務等，雖然金融業本身有嚴格的網絡安全法規要遵守，但在第三方服務供應商上卻難以監管，黑客組織自然會捨難取易，選擇向這些服務供應商發動攻擊，從而入侵金融機構。最近 SolarWinds 火燒連環船事件就可看出，如果能成功入侵第三方服務供應商，成效有可能更大。 而今次新加坡金融管理局修訂的科技風險管理指引，明顯針對供應鏈攻擊而來，因為在新指引下，金融業必須嚴格監督第三方服務供應商，同時亦就任命第三方供應商及高級 IT 管理人員方面提供建議，例如必須嚴格監管對方員工是否有足夠的技能或證書，而在聘用 CIO 或 CISO 等職位時，亦要考慮對方是否持有相關的認證。在兩方面配合下，便能確保服務供應商有高規格安全標準之餘，金融機構內部亦有懂得如何監管服務供應商的能力。 此外，新加坡金管局亦規定金融業界必須確立網絡威脅情報分享平台，交換彼此收集到的網絡威脅資訊，以供業界定期進行內部滲透測試，堵塞可被入侵的漏洞。在這方面，雖然香港金管局推出的網絡安全防衛計劃…

威脅模型分析（Threat Modeling）是尋找系統潛在威脅，按風險評估，擬定對抗策略，再分配資源建立防禦系統。守護機密資料係所有資安團隊的終極目標，法規與監管有助企業尋找數據化年代的營運方式，資安風險層出不窮，風險不一，Threat Modeling 以系統性方法，偵測系統的潛在威脅，堵塞漏洞守護系統。 現時的 Therat Modeling 大致歸納為 3 類，第一種是軟體導向（Software-Centric Approach），以系統的設計方式與運作目的為基礎，尋找對此系統或其內部模組相關類型的攻擊方式，Microsoft Security Development Lifecycle 便是利用此方式；第 2 種是資產導向（Asset-Centric Approach），以系統管理的資訊為基礎，分析資訊敏感度再作部署，資安專家會建立 Attack Trees…

騙子發疫症財不是新鮮事，但是疫情一日未完，只怕不法分子仍然會利用群眾的恐慌，繼續製造謠言呃錢。最近承著疫苗推出，英國出現不少與疫苗有關的電郵，誘騙民眾輸入個人資料，身在香港的我們，也要留神會否有相同情況出現，下文將介紹各種隨疫症而出現的虛假訊息。 早於去年 12 月，國際刑警組織已發出警告指，未來幾個月內將出現大量與 COVID-19 相關的欺詐和網絡罪案，呼籲執法機構作好準備，該組織秘書長 Jürgen Stock 提到，這些不法分子會利用虛假網站和虛假療法，瞄準毫無戒心的民眾，結果或對他們的健康、甚至生命造成重大威脅。而發出警告後的四星期，民眾與及疫苗供應鏈首當其衝成為罪犯的目標。 假冒產品 有假冒疫苗正在網上發售，令人最為擔憂。Check Point研究人員發現與 Dark Web 相連的論壇帖文中，包含「冠狀病毒疫苗」和「冠狀病毒療法」字眼，內有供應商聲稱可以使用未標明品牌的 COVID-19 疫苗，索價達 300 美元的加密貨幣。Check Point…

SolarWinds 網絡監測產品 Orion Platform 早前報稱被「國家級黑客」以供應鏈攻擊(Supply Chain Attack) 入侵，涉及 1.8 萬客戶，當中不乏知名品牌。事件曝光後，涉事企業均稱已立即採取即時措施，未發現產品有被明顯入侵跡象。事緣美國網絡安全公司 FireEye 自爆被黑客入侵，偷走滲透測試工具後，疑黑客以供應鏈攻擊(Supply Chain Attack) 入侵 SolarWinds Orion 的自動更新功能，將已加入木馬程式的更新檔案發送到其客戶的設備上，感染 1.8 萬客戶。SolarWinds…

數據洩漏事故現時在香港未有立法規管必須通報，並無一個完善的通報機制，除了會造成大眾關注度不足和輕視問題的嚴重性，同時也意味著很多事故隱藏在黑暗中。不要以為數據資料洩漏與自己無關，因為那些被洩漏的資料，分分鐘就是你的信用卡資料、住址、電話；香港過往也曾發生幾宗震撼全城的洩漏相關事故，包括航空公司洩漏 940 萬乘客私隱，選舉事務處遺失載有約 378 萬地方選區選民的資料的電腦，所引發的潛在資料外洩危機等，全都令人擔心企業或政府部門有沒有足夠措施及防護策略，保護客戶、市民的隱私。如果要妥善保護資料，採用由專業的數據保護方案，便能輕鬆管理資料及為資料加密，並設置資料讀取權限，即使遙距工作，也不怕資料外洩。 數據加密零停機 效率保護性兼備 Thales公司的資料保護平台（CipherTrust Data Security Platform, CDSP），為全球各地政府、跨國企業、金融機構所採用，在香港的用戶就包括政府、金融監管機構、發鈔銀行、公用事業及上市企業。Thales公司是數據保護、加密及安全交易的權威，其提供的數據加密方案，能有效保障用戶的個人私隱及交易資料，不會外洩。 其中CipherTrust Transparent Encryption （CTE）方案的透明加密資料設置，可保護結構化及非結構化資料庫，加密內部系統、雲端環境，甚至在大數據和容器內的資料，同時保持存儲數據的效率，在部署時毋須更改應用程式或工作流程，使對業務及作業程序的影響減至最少。 透過Live Data Transformation （免停機背景加密）方案，能在零停機的情況下加密資料，期間不需中斷應用程式或工作流程，在加密過程中，使用者和處理程序可如常繼續存取資料庫或檔案系統，將加密過程對使用者的影響降到最低。另外，平台亦設最低權限使用者存取規則，保護資料免受外來攻擊，以及遭特權使用者誤用。 不少製造商及電子商貿公司亦採用 Thales…

無錯！在大家腦海中即時浮現的數字串「123456」，再次成為年度最多人用又最廢的密碼，可謂毫無懸念地登上冠軍寶座。今年排行榜照舊熟口熟面，不過都有後起之秀，雖然都一樣保護性欠奉就是了⋯⋯唔講咁多，立即去榜！ 即使大家都知道，一個簡單易記又順序的密碼，無錯的確是方便自己使用，但這個所謂的密碼鎖是形同虛設，黑客可以不費吹灰之力，瞬間進入這類帳戶，肆意偷取個人資料。知名密碼管理商 NordPass 上周發布報告，公布 2020 年最常見的密碼，再一次不厭其煩提醒各位，如何設立安全的密碼，保障私隱。該研究亦指出，使用一系列連續數字受歡迎程度屹立不倒的原因，是因為它們易於記憶和鍵入，同樣道理，以在鍵盤上順序的qwerty鍵的字母作為密碼，也廣為人用。 根據 NordPass 的報告，今年 200 個最常用的密碼中，「123456」又一次毫無懸念地當上第一，一共有 250 萬人使用，而因使用這個密碼所引發的數據洩露次數，更超過 2,300 萬次。位居第二的同樣是一連串順序的數字「 123456789」，共有超過 961,000人使用，並且引起 780 萬次以上的洩漏。緊隨其後排在第三位的是「picture1」，是首次入榜的新密碼，由於混合了數字與英文字母，所以安全性算是比較高，雖然也只是一點點而已。第四名是密碼本尊：「password」，第五是「 12345678」，第六至九位順序是「111111」、「123123」、「12345」、「1234567890」，而排第十位的也是密碼本尊，只是換了另一種語言：葡萄牙話版密碼「senha」。…

企業推動數碼轉型的進程，在疫情下步伐更見加速。透過雲端科技及各項人工智能，在企業推行遙距工作期間，仍能快速獲取數據，並提升工作效率；但與此同時對網絡安全的需求也相應增加，以保障資料機密並確保運作不受網絡威脅影響，令終端用戶在操控平台及儲取企業數據時更得心應手。科技巨頭 Microsoft 舉辦網絡安全峰會，夥同其他業界知名品牌：PwC Hong Kong、EY Hong Kong 及 Amidas，分享前瞻遠見。 今次網上峰會為第二年舉辦，去年吸引超過 200 來自不同界別的參加者。而今年的峰會冀讓來自不同行業的企業組織，在數小時內快速掌握後疫情時代下，如何做好有關資安的預備，了解如何應對安全威脅，同時了解最新的科技及趨勢，為2021年的來臨做好準備。有別於一般的網絡研討會，參加者更能獲得與網絡安全專家 1 對 1 的商談環節，雙向交流探討最新的資安趨勢和新興技術，交流創新意念及實踐方法，聯手阻止網絡攻擊，在 New Normal 下一起迎難而上。 活動分上下午兩節進行，並有來自 Microsoft 總部網絡安全部門的專家分享主講，包括 Ann Johnson (Corporate Vice President, Business Development – Security, Compliance & Identity, Microsoft) 分享後疫症時期世界網絡安全和合規性；Minoru…

University of Texas 與 University of Oklahoma 最近聯合發表論文 “Zoom on the Keystrokes: Exploiting Video Calls for Keystroke Inference Attacks.”，團隊運用自行研發程式，可以透過 Zoom…