新冠病毒出現之前，大部分企業都採用在辦公室工作的上班模式，由於員工都在公司內部網絡工作，受到企業級防火牆及其他安全工具保護，因此遭受網絡攻擊的風險較低。不過，在家工作模式下企業急於採用各種 VPN 及雲端應用服務，如因安全設定不足，便為犯罪分子提供入侵機會，通過釣魚電郵及暴力破解用戶名稱及密碼，長時間潛伏在網絡上進行更大的破壞，例如竊取企業機密資料，或使用勒索軟件加密電腦設備或檔案。要防止黑客入侵，企業必須制定完整的網絡安全政策。 採用多重身份驗證（MFA）：無論是登入虛擬專用網絡（VPN）、遠程桌面協議（RDP）服務或其他雲端應用服務，員工必須使用帳戶名稱及密碼以外的驗證方法，例如驗證應用軟件或 USB 硬件密鑰，不僅可以阻止黑客入侵，還能在對方嘗試登入時接收警報，讓企業知道自己有可能已成為黑客攻擊的目標。 加密數據：對數據進行加密（encryption），便可防止未經授權者讀取檔案的內容，無論檔案存在於內部網絡、雲端儲存庫或員工的電腦，又或在傳輸過程被截取，黑客也無法讀取或修改內容。 及早更新安全檔：與其他應用程式一樣，及早安裝更新檔可以更好地運行雲端應用服務，同時還可堵塞安全漏洞，減少被網絡攻擊的風險。而且愈早更新，愈能阻止黑客入侵。 採用雲安全狀態管理（CSPM）：企業使用的雲端服務愈來愈多，獨立管理或會出現漏洞。使用CSPM工具可以自動地識別和修復圍繞雲中錯誤配置和合規性的潛在安全問題，保護雲基礎設施免受潛在攻擊和數據外洩的影響。 準確設定帳戶權限：雲端服務可能很複雜，但也必須為每個帳戶設定使用權限，令每個員工因應其工作職能，只可接觸指定的檔案或應用服務，可減少其中一個帳戶被竊取所帶來的損失。 持續備份作為應急計劃：一個好的雲安全策略應該包括存儲數據備份和離線存儲，如果發生意外或入侵事故，企業也能使用備份資料恢復運作。 方便員工：企業應該為員工提供最安全的企業雲端服務套件，因為如果它太難用，員工有可能偷偷轉而其他公共雲工具。此問題可能導致公司數據儲存在個人帳戶中，從而產生更大的外洩風險，尤其是在員工的個人帳戶缺乏多重身份驗證或權限控制等安全設定。 企業在享用雲端服務的好處時，亦必須確保擁有安全的雲安全策略，不僅應該使用多重因素身份驗證、加密數據和妥善備份及保護數據等工作，還要考慮員工感受，挑選易於使用及安全的雲端服務，才能吸引員工使用，讓企業上下始終在統一的安全政策下運作。 資料來源：https://zd.net/2VgJPEI

要搵出應用服務的網絡安全漏洞，有時好難全部依賴員工，Bounty 賞金計劃某程度上就令公司獲得大批有經驗的外援。Facebook 作為一間擁有自家賞金計劃的公司，近日為免因內部調查舉報漏洞的時間過長，引起賞金獵人不滿，重新改善賞金制度，調查時愈長，賞金將會愈多，等得耐都抵啦！ Bounty Hunter 賞金獵人是發掘漏洞的好幫手，而且事實亦證明，最熟悉自家應用服務漏洞的人，往往不是自己的員工。以 Apple iOS 為例，揭發得最多嚴重漏洞的人竟然來自 Google 的 Project Zero 安全團隊，而 Apple 亦於去年十月成功將這個最佳 iOS hacker Brandon Azad…

網絡安全公司 Trend Micro 最新公布的研究指，約一半的公司沒有預防或檢測勒索軟件攻擊的技術，並指出許多機構不具防備勒索軟件攻擊所需要的網絡安全能力，包括未能檢測到網絡釣魚電子郵件、遠程桌面協議 (RDP) 入侵或其他攻擊者在部署勒索軟件活動所用到的常用技術。 該報告警告，許多組織苦於檢測出與勒索軟件及相關攻擊的可疑活動，而這些活動其實是網絡犯罪分子已經破壞他們的網絡的早期證據，企業無法識別跨公司網絡的異常橫向移動，或者無法發現未經授權的用戶，存取公司數據。發動勒索軟件攻擊背後的網絡罪犯，存取數據不只將其加密，更會竊取這些數據，並以發布這些盜取得來的數據作為威脅，迫使受害者支付贖金獲取解密密鑰。 研究亦揭示，企業遭到勒索軟件攻擊後，不到一半能快速恢復過來。即使企業在成為勒索軟件的受害者之後，五分之二的企業，或仍難以有效從中學習，避免再成為勒索軟件攻擊的受害者。研究警告，勒索軟件仍有空間成為更大的問題，如果組織在遇到第一次攻擊時準備不足，當遇到第二次和第三次攻擊，也可能同樣準備不充分。在勒索軟件的運作商業模式被破壞前，將仍然是一眾企業需要防禦的持久威脅。 有關研究對來自美國的中至大型組織的 130 名網絡專業人士進行訪問，建議組織應採取三個網絡安全程序，來防止成為勒索軟件和其他網絡攻擊的受害者，分別是多因素身份驗證 (MFA)、經常修補安全漏洞、離線儲存備份。 其中 MFA 能大大提升防禦，即使網絡犯罪分子確實竊取了密碼，MFA 作為額外的保護，也可以提供有效屏障，雖然網絡釣魚仍可能導致憑據受損，但 MFA 減少了隨之而來的影響。 經常修補安全漏洞則降低網絡犯罪分子，利用已知安全漏洞作為攻擊鏈的部分能力，而離線儲存備份提供毋需向網絡犯罪分子支付獲得解密密鑰，仍可回復數據的方法。 恢復網絡可能是一個漫長而繁瑣的過程，因此避免它的最佳方法，是避免成為勒索軟件攻擊的受害者，但研究亦承認，沒有任何網絡安全策略可完全阻止網絡攻擊，但如果組織有應對網絡攻擊而作準備的策略，能令損害受制和恢復更快。…

PDF 的認證簽章 (Certification Signatures) 原本具有確保檔案無法被竄改的功能，但有安全專家就發現，這種認證技術存在安全漏洞，黑客可透過兩種方法去修改 PDF 檔案內容，而不影響簽章的有效性。研究員更發現 26 款 PDF 應用程式中，有 24 款至少存在一種漏洞，當中更包括 Adobe…… PDF 的數碼簽章格式可分為兩種，分別是 Approval Signatures 及 Certification…

用作監視子女或者配偶的應用程式，原來暗藏漏洞！防毒軟件公司 ESET 最近推出研究指，Android 的進蹤應用程式受到漏洞的威脅，並威脅受害者，有可能令受害者的私隱暴露和威脅其安全性。 ESET 研究人員表示，這類應用程式在近年變得相當流行，其開發人員多以可保護兒童作為招徠，但這些監視用的應用程式或會被第三方濫用。作案者會使用這些應用程式來監視受害者，並以之收集 GPS 位置、監視對話、取得瀏覽器歷史記錄、圖像以及儲存在設備上的其他敏感數據。研究人員分析了 86 個 Android 相關應用程式，並在 58 個應用程式中發現了逾 150 個安全漏洞，揭示受害者將面臨其他隱私和安全風險。 ESET 在此分析中，將安裝了應用程式並作遙距監視的人定義為「跟蹤者」，而「受害者」則是指被監察者通過應用程式監視的目標人物。最後，「攻擊者」則是指「跟蹤者」和「受害者」不知道存在的第三方。「攻擊者」可以利用應用程式或其相關監視服務中，所存在的安全性問題或私隱漏洞入侵。 而這個問題可能導致「攻擊者」直接接管操控用作監視「受害者」的設備，也可能上傳虛假證據以威脅受害者。研究人員按照他們為期 90…

有 Apple iPhone 用家投訴，在官方 App Store 上架的加密貨幣錢包 app Trezor 竟然是偷錢app，令用家被盜取約60萬美元bitcoin，揭示 App Store 其中一個安全漏洞，不過條數點計先？ 小編一直都呼籲大家一定要在官方 App Store 下載及安裝軟件，特別是 Android 裝置用家，由於 Google…

企業慘成網絡攻擊受害者，有時都好難只責怪黑客，好似 HP 最新發表的報告就話，Microsoft Office 一個 2017 年高風險兼已推出修補檔的漏洞，依然有好多企業未堵塞，結果有 87% 同類型網絡攻擊都專攻這項弱點，後悔都太遲喇！ 已知的安全漏洞的危險性在於代表相關產品存在缺陷，可讓黑客輕易入侵及執行各種非法行為，例如安裝木馬軟件、盜取個人私隱、開啟 webcam 監控等，但 HP 網絡安全研究員發表的報告就指出，上年 10 月至 12 月期間在使用已知漏洞進行攻擊的個案中，有 87% 均利用…

iOS 其中一款下載次數逾百萬的通話錄音 app 「call recorder」，被安全專家發現竟然存在身份驗證漏洞，開發商儲存於AWS雲端上的用家通話記錄及通話錄音，都可以通過修改 API 指令，被黑客隨意竊取，好兒戲喎！ ClubHouse 語音社交平台早前被爆漏洞，有心人可以闖入不同房間錄音，再將用家對話的語音檔上載網上分享。雖然用家在房間內的公開發言，都會預計有可能被錄音，所以未必有太多機密訊息，但在不知情下被竊聽，感覺始終不太愉快。不過當換轉通話錄音 app 出現安全漏洞，情況就完全不同，因為使用錄音 app 一般都有工作需要，例如記者做電話訪問、同客戶開會等等，當中總涉及一些機密資料。而 PingSafe AI 網絡安全研究員 Anand Prakash 最新發現的安全漏洞，便與 iOS 其中一款下載次數逾百萬的通話錄音…

香港金融管理局 (HKMA) 於去年 11 月推出的加強版網路防衛評估架構「C-RAF 2.0」，特別在產品開發周期上提升了合規要求。全球第七大軟件公司 Micro Focus 夥拍香港系統整合商 Resolve Technology，推出 Fortify 解決方案，可確保金融業將安全性在開發流程中的位置「左移」(shift left)，貫通整個流程，金融業就可放心推出新服務，提升競爭力。 新服務成金融業致勝關鍵 作為亞洲金融中心，香港的金融業均積極引入各種金融科技，同時致力縮短產品開發周期回應市場的需求。不過，企業安全產品代理商 B & Data 總經理…

網絡安全賞金獵人平台 HackerOne 有好消息宣布，旗下其中一位賞金獵人 Cosmin Lordache 所獲得的總賞金衝破 200 萬美元，成為平台排名第一的獵人。最令人振奮的是距離他突破 100 萬美元關卡，僅僅用了 334 日！錢途無限呀！ HackerOne 是一個雲集道德黑客 (ethical hacker) 的集團，專門發掘高科技公司的安全漏洞，而與平台合作的政府機構及高科技企業已達過千間。只要旗下黑客發現到這些企業的安全漏洞，一經核實，機構或企業就會按約定派出賞金，而 HackerOne 旗下的賞金獵人 (Bug…