近月本港企業及機構接二連三遭受網絡攻擊，導致資料外洩，網絡安全成為熱話。Google Cloud 旗下的網絡安全解決方案供應商 Mandiant，公布最新網絡攻擊報告《M-Trends 2024》，透過前線網絡攻擊調查，分析 2023 年網絡攻擊者及活動，發現全球網絡攻擊停留時間（Dwell Time）中位數，下降至有紀錄以來新低，而金融服務業則繼續成為頭號攻擊目標。 想知最新科技新聞？立即免費訂閱！ 網絡攻擊停留時間是指攻擊者有目標環境內，未被偵測到的時間。《M-Trends》指出企業偵測到入侵時間，由 2022 年的 16 天下降至 2023 年的 10 天，而內部威脅偵測攻擊事件亦提升至 46%，比起 2022…

SEO，全稱搜索引擎優化（Search Engine Optimization），是一種通過優化網站的結構和內容，提高網站在搜索引擎中的排名，進而提升網站流量的有效方式。搜索引擎使用複雜的演算法來確定網頁的排名，其中一個重要的因素是反向連結（Backlink），也就是其他網站指向您網站的連結。搜索引擎認為，如果眾多高權威的網站（如政府、大型機構網站）連結到您的網站，那麼您的網站可能提供有價值的內容，因此應該在搜索結果中獲得較高的排名。 想睇更多專家見解？立即免費訂閱！ 然而，有些網站經營者為了追求短期的排名提升，不惜採用黑帽 SEO 的手法。黑帽 SEO 利用搜索引擎的排名原理，通過增加指向特定網頁的反向連結數量來誤導搜索引擎，試圖製造出一種該網頁內容具有高度重要性和權威性的假像。其中，黑帽連結便是一種重要的黑帽 SEO 手段。 而入侵網站是常見的手段去建立黑帽連結。黑客會從高排名的網站中尋找安全性漏洞，通過這些漏洞入侵網站，並在其中植入指向目標網站的連結，從而短期內帶來網站排名的顯著提升。這種做法不僅違反了搜索引擎的規則，而且會對被入侵網站的聲譽和用戶體驗造成嚴重影響。 為確保網站的安全和正常運行，網站經營者需要定期進行網站文件和代碼的檢查。在檢查過程中，要特別留意網站伺服器是否有未知的文件或代碼片段存在，這些很可能是網站被入侵留下的痕跡。此外，手動檢查每個頁面，尤其是那些具有高流量的頁面。通過仔細檢查，我們可以發現並清除任何隱藏的連結或不尋常的內容，從而確保網站的清潔和安全。 同時，學習尋找網站漏洞並及時發現與修補可能存在的安全問題也十分重要，以避免因網站存在漏洞而被人利用。欲想學習更多有關尋找網站漏洞的發掘技術，歡迎報讀由香港資訊科技學院（HKIIT）舉辦的網頁程式滲透測試證書課程，由業界專家教授學員實戰技術，詳細講解不同的攻擊工具與識別網站的漏洞，助學員成為市場炙手可熱的道德白帽黑客（Ethical Hacking）人才。 作者：Kinsey NG香港資訊科技學院（HKIIT）網絡安全中心講師、研究範圍包括黑客攻擊技術、黑色產業。並透過模擬各種企業攻擊場景，提供校內與企業網絡安全培訓。 唔想成為下一個騙案受害人？ 網絡安全公司Green Radar聯同…

近來香港多間機構連環遭受攻擊者入侵，令本地企業管理層深深感受到危機已迫在眉睫，開始積極部署更多網絡安全工具。不過，亂石投林式的添置安全工具，對提升防禦力是否真的有幫助？早前 DICT 數智通訊服務供應商中信國際電訊 CPC（以下簡稱 CPC）與網絡安全服務供應商 Fortinet，便特別舉辦人工智能攻防戰「卡牌盛會」，破格地以卡牌遊戲形式，展示完美安全防護所需具備的靈活解決方案組合，以及最重要的全面佈局思維，讓參與今次盛會的企業IT領導專員及業界專家，日後能夠將整套思維融入企業的防禦架構之中。 香港電腦保安事故協調中心 Otto 透露正跟其他地區的 CERT 合作，建構一個可提升偵測網絡釣魚域名的 AI 模型，以緩解企業面對最多的網絡攻擊問題。 人工智能提升黑客攻擊力 全新思維扭轉防禦劣勢 開始卡牌模擬實戰前，香港電腦保安事故協調中心主管Otto Lee 首先跟參與者分析了現時香港的網絡安全狀況。他指出從近年本地發生的多宗安全事件可見，黑客均加大力度運用AI，令各種網絡攻擊來得更快更具針對性。以企業接獲得最多的釣魚電郵為例，黑客可借助 AI 更快地產生出高質素的詐騙內容，令收到信件的企業員工更難防範，再配合深度偽冒（Deepfake）AI…

近年 AI（人工智能）的應用百花齊放，不少企業已開始嘗試為業務引入各種 AI 應用，改善營運效率及客戶體驗，以免在同業中失去競爭力。早前 DICT 數智通訊服務供應商中信國際電訊 CPC（以下簡稱 CPC）便舉辦了「AI is a Double-edged Sword」研討會，邀請多間創意企業分享其成功借助 AI 在同業中突圍而出的心得，並由 CPC 及 Palo Alto Networks 安全專家，為企業介紹…

香港科技大學一直致力開拓創新教學新模式，早於數年前便將 AI 融入傳統主修課程，更於去年成為香港首家在教研上有系統地採用生成式 AI 的學府。為支援校內使用 AI 等需要，在香港電訊（HKT）的協助下，最近決定採用 思科的解決方案，不但降低管理難度，更為整個資料中心網絡增加可見性。思科指相比現有 InfiniBand（IB）技術下每個連接埠的成本，新解決方案足足降低了 40 至 50%。 今次科大在本身已有的 AI 數據中心之上，需要擴大其網絡設施，建構一個達 HPCIC 級的資料中心，要具備高性能計算和創新技術，以支援相關 AI 課堂、大型語言模型（LLM）訓練等需要。 未來擴充時可應用同一套系統…

網站作為企業與外界溝通交流的重要橋樑，承載著大量的敏感資訊和使用者資料。然而，與此同時，網路安全威脅也層出不窮，資料洩露事件時有發生，給企業和個人帶來了巨大的風險和潛在損失。本文將介紹兩種快速檢查網站資料洩露風險的方法，包括檢查網站後門檔案、查看伺服器日誌異常記錄。這些方法能夠幫助網站管理員及時發現並應對潛在的安全風險。 想睇更多專家見解？立即免費訂閱！ 方法一：檢查網站是否存在後門檔案 後門檔案通常是黑客為了再次入侵或控制網站而留下的文件。您可以通過檢查網站伺服器上的目錄，例如查看網站根目錄、主題目錄、外掛程式目錄等地方，查找是否存在異常的檔案或程式碼。您可以使用網站管理後台進行查看和對比原始版本的網站源碼。如果發現可疑檔案，建議立即進行審查並刪除。 方法二：檢查伺服器日誌是否存在異常記錄 伺服器日誌記錄了網站運行的各種資訊，包括使用者連接、系統錯誤、安全事件等。通過查看伺服器日誌，您可以發現是否有異常的連接或攻擊記錄。透過查看安全相關的日誌，如訪問日誌、錯誤日誌和安全性記錄檔。舉例說，如果發現大量來自同一 IP 位址的請求、或是從未知 IP 的未授權訪問或異常的錯誤資訊，可能意味著網站遭受了攻擊或存在資料洩露的風險。 網站程式會因業務需要存放大量資料。敏感資料外泄因而很多時候與網站漏洞有關，檢查這些漏洞並修復它們，對於保障網站資料安全至關重要。但要注意的是，這些方法只能提供初步的資料洩露風險檢查，並不能完全保證網站的安全性。為確保網站資料的安全，建議定期進行全面的安全檢測和風險評估，並學習發現與修復網站漏洞。 此外，為了進一步提升網站的安全性，建議採取以下措施： 1. 定期更新和升級網站及伺服器軟件，確保使用最新版本，以修復已知的安全性漏洞。 2. 使用複雜的密碼，並定期更換密碼，避免使用容易猜測的密碼。 3. 限制對網站敏感區域的存取權限，確保只有授權的用戶才能訪問敏感性資料和功能。 4. 部署防火牆和安全防護軟硬件，阻止惡意攻擊。…

遙距工作日益盛行，網絡安全解決方案供應商 Sophos 報告顯示，黑客持續濫用 Windows 系統上用於建立遙距數據存取的遙距桌面通訊協定 （RDP），而相關事故佔整體攻擊案例九成，創下 Sophos 於 2021 年的紀錄新高。 想知最新科技新聞？立即免費訂閱！ 當中，黑客最常見的初始入侵網路途徑為經外界接入的遙距連接服務 （如 RDP），而相關事故則佔 2023 年 Sophos 的事故回應案例達 65%。自 Sophos…

越來越多注重安全的企業會採用 HSM（Hardware Security Module，硬件安全模組）以保護交易、身分及應用程式。領先全球的數據保護解決方案供應商 Thales，宣布其專為保護加密密鑰生命週期而設計的 Thales Luna 7 系列 HSMs，成為業界首款通過國際級 FIPS 140-3 三級審查認證的產品，代表 Thales Luna HSMs 在安全性方面達到行業最高標準，能為客戶資料安全提供最高級保護，並滿足合規與監管需求。 最新國際標準安全認證 FIPS 140（聯邦信息處理標準）是由美國國家標準與技術研究院（NIST）定義的一套加密模組安全要求，由國家授權的實驗室進行功能測試及結構化程式碼審查，以確認產品符合該安全等級。…

科技巨頭 Cisco 發出安全警告，指一個國家級黑客組織 UAT4356，一直在利用公司旗下的 ASA 及 Firepower Threat Firewall 網上管理介面的兩個零日漏洞，以潛入其客戶如各國政府組織的內部，刺探軍情。現時 Cisco 已為兩個漏洞推出安全更新，企業 IT 管理員要即時行動。 想知最新科技新聞？立即免費訂閱！ 入侵活動早於去年七月展開 UAT4356 黑客組織（微軟稱為 STORM-1849）在 2023…

網站程式在商業世界扮演著重要角色，從網上商店到公司內部系統都離不開開發網站。然而，隨著針對網站的攻擊不斷湧現，單純的網站開發技能，已不足以應對日益複雜的安全挑戰。因此，近年越來越多公司聘請專家，為自家網站作漏洞測試。 網站漏洞測試是通過模擬黑客攻擊，來識別系統的缺陷，與網站開發相比，漏洞發掘更側重於對網站各組成部分的深入理解。測試員需要深入剖析網站的運作原理，從細微之處發掘潛在的安全隱患。擁有網站開發經驗的程式員，在理解和識別系統脆弱性方面具備天然優勢。為進入網站滲透測試領域奠定了堅實的基礎。 想睇更多專家見解？立即免費訂閱！ 尋找漏洞需要深入學習網站常見的安全性問題，如 SQL 注入、跨站腳本（XSS）等。透過並瞭解網站漏洞的成因、並擴展知識領域至資料庫管理、網絡基礎以及互聯網協定，將有助於更好地理解資料傳輸機制以及其潛在的攻擊手段。 同時，熟悉 Linux 作業系統與其命令行操作模式，也是關鍵技能，因為大多數測試工具和網站伺服器都基於 Linux 平台。日常 Linux 上的操作如查看系統日誌、伺服器參數、管理使用者許可權等操作，在滲透測試過程中同樣需要，透過學習相關知識能更深入地瞭解系統的運行機制和潛在的安全風險。 如想淺嘗如何發掘網站漏洞，在 Hack The Box、TryHackMe 等平台，有不同的漏洞模擬系統可用作學習，並透過接觸不同類型的漏洞掌握滲透測試技能。 持續進修是轉型過程中不可或缺的一部分。欲想學習更多有關尋找網站漏洞的發掘技術，歡迎報讀由香港資訊科技學院（HKIIT）舉辦的網頁程式滲透測試證書課程，由業界專家教授學員實戰技術，詳細講解不同的攻擊工具與識別網站的漏洞，助學員成為市場炙手可熱的道德白帽黑客（Ethical Hacking）人才。…