網絡安全公司Aqua Security最新發現，GitHub旗下的 npm 開源軟體註冊中心服務存在時差缺陷，黑客可利用搜尋時差得悉套件名稱是否已被私人註冊，從而在公開資料庫中上載名稱幾乎一樣的惡意套件，令軟件開發者被誤導下載使用。GitHub 已表明無法修正缺陷，開發者只能自保。 npm ( Node Package Manager ) 是跟 NodeJS 一起安裝的管理工具，它可讓軟件或網站開發者借用其他開源軟件時，更容易解決 NodeJS 編碼的部署問題。由於在現時開發軟件或網站時，為加速開發流程及減少不必要的開發過程，幾乎所有軟件開發者都會引用開源軟件，因此 npm 亦成為黑客目標，通過上載藏有惡意功能的軟件，感染其他開發者的軟件或網站，替黑客進行公司機密或信用卡資料盜竊的行為。要達成這種供應鏈攻擊 ( supply chain…

Microsoft 香港非常高興今日（9 月 30 日）與 LSCM R&D Centre 一同發佈「LSCM x Microsoft」科技平台，為本地物流及供應鏈業界提供創新技術諮詢及資源，以及 AI、區塊鏈、大數據 及 IoT 等科技，期望以創新科技，提升他們效率及生產力。 想了解平台提供的服務，請瀏覽︰https://aka.ms/AAi8j2q （資料及圖片來自 Microsoft ）

黑客集團為求成功攻擊目標會出盡法寶，Group-IB 安全研究員早前便捕捉到中國黑客集團 APT41 (又稱 Winnti)，在去年攻擊的 80 間機構中，至少成功入侵 13 間。採用的其中一個迂迴手法是將 Cobalt Strike 斬件為 154 份再加密，然後細水長流式導入目標電腦設備，非常有耐性。 Group-IB 安全研究員長時間追蹤中國國家級黑客集團 APT41 的活動，並指出過去一年是中國黑客異常活躍的一年。研究員說 APT41 主要的攻擊目標包括美國的軟件開發商及醫療機構、印度的航空公司、台灣政府機構、製造業及傳媒等，當中連國內的軟件代理亦不放過。而為了令攻擊可以更順利實行，APT41…

Synopsys Black Duck 用於管理在應用程式和容器中使用的 open source 所產生的安全性、許可合規性和代碼質量的風險。 Black Duck 被 Forrester 評為軟件組合分析 (software composition analysis, SCA) 領域的領導者，提供第三方代碼可見性，能用於整個軟件供應鏈和整個應用程式生命週期。 Black Duck 結合多功能開源風險管理與深度二進制檢查，提供出色的…

再有網絡安全公司發現，第三方軟件倉上存在多個內藏惡意功能的 Python packages，這些 packages 包括 loglib-modules、pyg-modules、pygrata、pygrata-utils 及 hyg-sol-utils，全部都可用於盜取開發者的 Amazon AWS 帳戶登入憑證。貪方便直接使用開源資源？好易誤中地雷。 為了加速應用服務開發，不少開發者都會使用軟件倉庫上的開源套件，直接將其功能加入自己的應用服務內。不過，在使用這些套件時卻未有審視內裏有否可疑功能，因此很容易將惡意功能加入自己的應用服務內，推出後更會波及用家。而這次被 Sonatype 安全研究員 Ax Sharma 發現的上述套件，便會在使用時將開發者的 AWS 帳戶憑證及環境變數等資料，一併上傳至黑客控制的伺服器，變相令黑客可以進入帳戶盜取公司的機密資料，甚至進行更多惡意行為如安裝挖礦程式、執行勒索軟件等。 更嚴重的是，研究員發現黑客控制的伺服器上存在數以百計帳戶憑證，而且全部伺服器對外開放，所收集的帳戶憑證亦只以…

千祈唔好以為黑客只針對大型企業，無論是甚麼規模的企業，一樣要做好網絡安全的措施，即使是小型企業，一樣有方法避免中伏。 網絡攻擊對於小型企業來說，可能並非首要考慮的事情，網絡犯罪分子貌似多數只針對具規模、有利可圖的目標；然而事實是小型企業同樣會成為黑客和網絡犯罪分子的目標，因為小型企業同樣手握各種機密數據，例如個人資料、信用卡資料、密碼等，黑客一樣會虎視眈眈。但相對中型企業或大型企業，小型企業的資訊安全意識及保護措施相對較弱，尤其是在沒有專業網絡安全員工的情況下，致使危險度也增加。 小型企業成為供應鏈攻擊的一部分，主要是黑客能透過他們獲得大公司的存取權：從入侵可能是大型機構供應商的小型企業，攻擊者可以利用存取權滲透網絡，攻擊其商業夥伴。 小型企業遭遇無論是網絡釣魚、勒索軟件、惡意軟件，還是攻擊者擁有存取權和篡改數據權限的任何其他類型的惡意活動，其所導致的結果都可以是極具毀滅性，甚至有網絡攻擊受害者因此而永久關閉。 以下是 ZDNet 提供的自保招式，提醒小型企業如何避免墮入一些基本網絡安全陷阱。 1.不要使用弱密碼來保護線上帳戶 網絡犯罪分子並不一定具備超強技能，才能入侵企業電子郵件帳戶和其他應用程式，因為很多時他們能夠進入企業系統，純粹是因為帳戶擁有者使用弱密碼或容易猜測的密碼；同時使用雲端辦公應用程式和遙距工作模式的轉變，也為網絡犯罪分子提供了更多攻擊機會。 記住許多不同的密碼可能很困難，因此不少人在多個帳戶中使用簡單的密碼，導致帳戶和企業易受網絡攻擊，特別是如果網絡犯罪分子使用暴力攻擊以常用或簡單密碼列表作嘗試。另外，也不應該將密碼設定為易於發現的訊息，例如最喜歡的球隊或寵物名字，因為社交媒體上的資料，或成為密碼線索。 國家網絡安全中心 (NCSC) 建議使用由三個隨機單詞組成的密碼，並指這個策略能令密碼難以猜測。另外，應該使用不同的密碼來保護每個帳戶，使用密碼管理器可以幫助用戶消除記住每個密碼的煩惱。 2.不要忽略使用多因素身份驗證（MFA） 即使已採用強密碼，密碼仍有可能落入壞人手中。網絡犯罪分子可以使用網絡釣魚攻擊等方式，來竊取用戶的登入資料。多因素身份驗證會要求用戶響應警報，來確認是他們本人嘗試登入帳戶，讓入侵帳戶增添障礙：即使網絡犯罪分子擁有正確的密碼，他們也無法在沒有帳戶擁有者批准之下，使用該帳戶。如果用戶收到意外警報，提示有人正嘗試登入其帳戶，他們應向其 IT 或安全團隊報告，並立即重置密碼，避免網絡犯罪分子繼續嘗試利用被盜密碼。 儘管使用多因素身份驗證或雙因素身份驗證 (2FA)，已是最常建議採用的網絡安全措施之一，但許多企業仍沒使用，令人憂心。 3.…

隨著疫情持續發展，不少企業都加快實行混合及遙距工作，而網絡安全這一環亦越來越受到各大企業重視。作為大中華區領先的電信中立網絡服務供應商，第一線 DYXnet （NEOLINK互聯科技成員）具備穩定可靠的強大IDC基礎，能提供包括 MPLS、SD-WAN 等場景化網絡連接解決方案，助力客戶靈活組網，為客戶做充足的上雲支持。 第一線相信持續發展創新，才能滿足客戶不斷增長的市場需求，因此與領先網絡安全解決方案提供商 Check Point 攜手合作，推出 DYXnet CloudShield 全方位雲端網絡防護解決方案。結合第一線逾 20 多年大中華區的企業網絡服務經驗，針對香港及亞太區大型企業的網絡需求以及 Check Point 在網絡安全方面的深厚經驗，「強強聯手」，令整個方案更為完善。 第一線與Check Point攜手合作，打造更安全的網絡環境 隨著人工智能、大數據、物聯網、雲計算等資訊技術不斷發展，企業數碼轉型已成為各行業加強競爭、呼應市場需求的必經之路。而第一線和…

即使不少企業已轉用雲端處理數據資料，但仍有很多企業沿用數據中心；因此企業儲存大量數據機密的數據中心，一直是黑客攻擊目標之一，一起來看看專家教路提升安全的方法。 為了幫助保護數據中心以及儲存在內的數據，國家網絡安全中心 (National Cyber Security Centre, NCSC) 和國家基礎設施保護中心 (Centre for the Protection of National Infrastructure, CPNI) 就為數據中心營運商和用戶提供安全指引。NCSC 技術總監 Ian Levy…

疫情放緩，政府的運動中心也相繼開放，與校友在打高爾夫打球時吹水，在疫情期間健康問題自然成為閒談的熱門話題——年紀大、機器壞是不能避免的。閒談間也講到職業與壽命的關係，校友說他的大學同學剛剛蒙主寵召，死者是一名著名的心臟病醫生，但能醫不自醫，死於心臟病。其實在資訊保安界也是一樣，愈是著名的資訊保安公司，愈是受到黑客的攻擊，應驗一句老話：「不經人黑是庸才！」。 疫情中眾多的資訊保安事件中，FireEyes 的 Solar Strom事件最為人關注，因為黑客利用 SolarWinds 產品的漏洞，對 FireEyes 公司作針對性 APT 攻擊。在 SolarWinds 供應鏈攻擊期間，Microsoft 和 Malwarebytes 兩家公司均遭到黑客的攻擊。網絡保安公司 CrowdStrike 表示，黑客以 SolarWinds 的用戶為目標，但攻擊 Microsoft 和 Malwarebytes 的事件並未成功。 但在 2021 年…

香港生產力促進局（生產力局）轄下的香港電腦保安事故協調中心（HKCERT）總結 2021 年香港資訊保安狀況，並發布 2022 年保安預測。HKCERT 總結 2021 年香港資訊保安狀況，指中心去年共處理 7,725 宗保安事故，當中最主要事故為網絡釣魚（3,737宗，佔48％），較 2020 年增加 7%，連續四年上升並創新高，當中逾七成事故涉及網上購物或網上銀行。而第二主要事故為殭屍網絡（3,479宗，佔45％），當中約半屬 Avalanche 殭屍網絡，事故較去年下跌 16%，主因相信是 2020 年 35 個地區聯手成功摧毀全球最大的殭屍網絡之一的…