COVID-19 改寫人類歷史，展望 2021 年，企業預算肯定縮減，實務卻有增無減，最近電視廣告不斷輪迴「請一個人出七份糧做十個人嘅嘢」，到底點實行？在 Juniper Network 任職 Global Security Strategy Director 的 Laurence Pitt 在《Security Week》分享經驗，效果沒有如此誇張，但亦相當值得參考。 疫情前全球整體經濟向好，管理層習慣預算年年加 10％，2021 年此情不再，企業在後疫情下重整業務架構，視乎性質部門有不同分配資源優先權，但各行各業 IT…

公司日常運作很多時候要用上不同的應用程式及系統，而遊走各個數據庫，存取資料頻繁，都有機會令數據洩漏的風險增大，而密碼管理也是令企業頭痛的問題。CyberArk Idaptive 方案提供以雲端為本的 IDaaS （identity-as-a-service） 服務，集安全性、簡單性和易於管理及控制的特性於一身， 一個平台便可管理所有帳戶和裝置，對現時遙距工作 BYOD 的情況下，更為合用。是次Webinar 將探討由CyberArk 提供的擴展安全方案、使用 SSO (Single Sign-on) 簡化用戶登入應用程式存取，以及根據裝置內容的 MFA (Multi-Factor Authentication)應用程式存取等。 名額有限，立即報名！ 主題：Workforce Access Security Solution日期：2020 年 12 月 17 日（星期四）時間：3:30pm – 4:30pm語言：廣東話（含英文術語）網上留位：https://bit.ly/3geQJ3R

企業的管理層不單只人工高，就連他們的電郵帳戶亦特別值錢，事關黑客可以從中了解公司運作、客戶資訊，更可以用來「命令」下屬匯款，進行商業詐騙攻擊（Business Email Compromise，簡稱 BEC）。俄羅斯就有黑客在暗網上出售相關帳戶登入資料，包括CEO、CFO、公司主席、總裁等等，開價由 100 美元至 1,500 美元，都算收得平喎！ BEC攻擊主要是透過假冒身份而獲取收件人的信任，用不同的藉口來騙取企業相關資訊或指示員工匯款，或打開惡意軟件等行為。其厲害之處，是可以借助上司的權威，令下屬不敢怠慢，務求盡快幫上司解決問題，例如即使對匯款指示有懷疑亦不敢求證。何解話 100 美元至 1,500 美元都算平？先來看看下列兩宗新聞。 1.香港警務處網絡安全及科技罪案調查科發表的 2020 年首季行動報告，就指出曾發生 153 宗商業電郵騙案，其中一宗更成功令公司員工將 1,800 萬港元匯出。 2. 去年 9…

勒索軟件 (Ransomware) 集團恐嚇受害企業交贖金的手段，愈來愈猖狂及無賴，不但開設網站公開部分盜取的資料，最新手法更是入侵無辜人士的社交平台帳戶，再用其帳戶刊登廣告，公開受害企業的私隱外洩詳情；至於廣告費，當然是由後者埋單。 網絡安全網站 KrebsonSecurity 上星期出文，分析最近一宗社交平台帳戶被黑客集團 Ragnar Locker Team 入侵，並盜用帳戶刊登威脅廣告的事件。受害帳戶是一個名為 Hodson Event Entertainment 的 Facebook 專頁，由一位芝加哥的 DJ Chris Hodson 所持有。Ragnar…

殭屍網絡 (Botnet) 一向令人頭痛，因為黑客可以利用它發動多種攻擊，例如 DDoS 網站或應用服務、發送垃圾電郵、挖礦 (cryptocurrency)，黑客更可入侵中招的電子設備偷取資料。不過，擁有人工智能的蜂巢網絡 (Hivenet) 就更令人頭大，除了擁有殭屍網絡功能，其分散式運作更難以被一舉殲滅，甚至懂得自動感染其他電子設備…… 殭屍網絡已在網上橫行多年，但自從 IoT (Internet of Thing, 物聯網) 產品被廣泛採用，就令到黑客可操控的電子設備暴增，根據歐洲網絡安全公司 ENISA 最新研究報告估計，現時平均每日都有 770 萬個 IoT 設備連上互聯網，但當中只得…

美國總統大選在即，Trump 雖然經常抨擊對手 Biden 低智商，但今次 Biden 終於可以盡情恥笑 Trump，事關侵侵的 Twitter 帳戶最近被踢爆無用 2FA(two-factors authentication) 之餘，更有安全專家在5次機會內猜出他的帳戶登入密碼，發圖證明自己成功進入侵侵帳戶，認真無面。 成日用 Twitter 發表自己政見的侵侵，帳戶有八千幾萬人關注，影響力非常大。早前侵侵的帳戶未有成為 Twitter 加密貨幣欺詐事件受害者，等大家以為他及 Twitter 在保護帳戶上做好功夫，不過，四年前曾成功進入侵侵帳戶的荷蘭安全專家 Victor…

資安需求日益增加，企業資源分配越見重要，尤其疫情之下，Budget 緊絀。剛過去的 Gartner Security ＆ Risk Management Summit 2020 上，其 Senior Director Analyst Brian Reed 指出，很多企業都用過多時間追求不存在的徹底方案，因此忽略基礎工作。綜合與會專家意見，得出以下 10 個重點 Projects，供各資安主管參考，編入 2021…

從事資訊安全工作十幾年，成日遇到企業客戶問應該如何避免數據外洩。其實不少調查報告都顯示，超過三成的商業機密外洩來自內部威脅（Insider Threat），無論有心或無意，都有可能對企業帶來重大影響。最重要的是這種情況並不是無法避免，而且也不是太難做添。一齊睇吓這個 to do list，大大減低機密外洩的風險！ 育成安全意識 話明是 insider threat，首先要做的當然是提高老闆和員工的資訊安全警覺性！撇除專門偷資料的個案，其實好多時洩密者只是無意之下觸發事件，例如遺留無密碼保護的公司手提電腦在的士、在公共 Wi-Fi 下做公司事，又或是隨意打開有問題的檔案或連結，這些行為好明顯都是因爲缺乏安全意識。所以企業必須定期推出安全培訓，將有可能洩密的行為及後果清楚解釋，而不只是貼張禁止清單出嚟，大家先會上心。 限制存取權限 成間公司入面有多個部門，所需接觸的數據自然不一樣，例如銷售部不應該接觸人事部的檔案，IT 部門亦未必需要接觸報價單或財務報表，雖然開放了所有存取權限的確做少好多事，但就要犧牲數據安全性。最理想的做法自然是做好 data segmentation 或 privilege account management，分隔好不同的數據，以及為每位員工設定存取權限，就算其中一位員工的帳戶被盜取，都不會令全公司的檔案失守。當然為帳戶登入安裝多重因素驗證（Multi-Factor…

上月多個名人如 Bill Gates、Elon Musk 嘅 Twitter 帳戶被黑客入侵，於平台騙取 Bitcoin，成功騙取約11萬美元 Bitcoin。的而且確，奪取到原帳戶再向受害人身邊嘅親友落手，成功率會較高，但複製帳戶呢種極度簡單嘅方法，都會有人上釣。曾因利用社交工程（Social Engineering）手法進行詐騙而入獄，後來改邪歸正嘅網絡安全專家 Jake Moore 就親身示範，只須複製目標人物嘅帳戶，都可令對方嘅朋友信以為真，乖乖過數！ Jake 原本嘅 Instagram 帳戶有 1,611 個 posts，同時有…

相信好多 Startup 都面對住同一問題，就係唔夠錢呀！你叫間公司一開始就投入大量資源嚟買網絡安全工具？梗係睬你都傻啦。不過又唔可以完全乜都唔做㗎喎，最緊要係應使得使，例如花少少錢做好最基本嘅電郵防護同埋落實以下措施，先至唔會咁易俾黑客入侵。 電郵防護服務 好多人會揀商用 Gmail 作為公司電郵，以為 Google 已經有足夠防禦力。不過，Gmail 只係採用統一嘅保護政策，企業有需要深入研究保護政策同改 settings 先可增加攔截成功率同效率，點都唔及幫襯電郵防護服務咁簡單，以 Startup 嚟計，員工人數少，服務收費亦唔會貴得去邊，加上而家九成網絡攻擊都以電郵發動，所以呢啲錢真係唔好慳。 多重驗證 如果用緊嘅服務例如電郵提供多重驗證（Multi-Factor Authentication），就一定要啟動，Google 本身就可以用手機嚟做驗證工具，但如果想更穩陣，可以買實體保安匙，例如 Yubikeys 就有…