ACW 與 NetApp 在 10 月 13 及 14 日舉辦了一場關於 NetApp Accredited Technical Sales Professional 的研討會，當日講解了 NetApp 產品的特性及功能如何能夠幫助客戶適應新技術趨勢，以及為合作夥伴準備 NetApp 認證技術銷售專家…

因為電郵所用的SMTP協議有不需確認身份的先天缺陷，所以要假冒成任何身份寄送電子郵件其實不難，而這個缺陷往往就被黑客利用及進行詐騙。 BEC 三大類 近年十分猖獗的變臉詐騙攻擊（Business Email Compromise，簡稱 BEC）所帶來的威脅實在不能低估，而攻擊手法大致分為三類： 寄件人偽裝 – 透過假冒而獲取收件人的信任，用不同的藉口來騙取企業相關資料或匯款。連結偽裝 – 以假冒寄件人的身份發出電郵，誘使收件人點擊連結。這亦稱為釣魚信件，讓收件人點選之後即會連結到外部的惡意連結，藉此取得收件人相關資料。附件偽裝 – 也是以假冒寄件人的身份發出電郵，再搭配有病毒的附件。一旦附件被下載及執行，便進行勒索或各式各樣的攻擊，來取得所需利益。 抵禦 BEC 的安全方案 除了一般的電郵安全培訓、員工意識測試、定期更換電郵帳號密碼之外；在選擇電郵安全方案時，除了防病毒、防垃圾電郵功能外， 針對以下一些抵禦 BEC…

一般公司在準備每年 IT Security budget 時，除了行業法規、內部合規及安全架構相關的預算比較容易規劃之外，最難做的就是對新安全技術採用的那一部份。原因是 Security 變化較快，解決方案也五花八門，很難將個plan做得仔細。若碰上突發安全事故，原本 planned 咗嘅項目又會有更改。所以，很多公司會在整年的IT Security Budget 裡，預留固定百分比作新安全技術的花費。 今晚買乜餸 有了這筆預算，花在哪些新的安全技術？有時也挺傷腦筋的，情況就好似今晚買乜餸一樣。在「買餸錢」就只係得咁多嘅情況之下，就是一班 IT Security 同業各出奇謀嘅表演時間，努力去爭取客戶採購佢哋所提供的產品或服務。 諗住買本地肉蟹，變咗買北海道長腳蟹 情況就有如去街市買餸一樣，今天都唔知買乜好？諗住買海鮮，去咗海鮮檔區域，就一大堆海鮮檔擺喺你面前，每檔都話佢啲海鮮最平最靚。原本諗住買本地肉蟹，俾海鮮檔主 sell…

當員工加入一間企業工作，企業便需要安排員工需使用的應用程式登入憑證，但隨著員工的角色轉變加上時間的推移，會用到的應用程式會增多，權限亦會改變。當公司規模擴大，加上疫情驅動企業數碼轉型，人員數量及應用程式的登入憑證量因而倍增；如果要逐項人手審刻，恐需時甚久，甚至加重本來 IT 人手不足的壓力。另一方面員工離職後，如果未有即時處理憑證及權限，更會為黑客提供入侵途徑，造成龐大損失。究竟可以怎樣堵截入侵漏洞？ SailPoint Managing Director Simon Tai分享，其解決方案如何解決本地企業在網絡安全（Cybersecurity）及內部控制（Internal Control）的難點。 「大宅管理員」 按身份安排「進出房間」 身份管理（Identity Management）包括登入資料、在個人或公司的系統中的存取權限等，對企業而言最大的威脅是如果黑客取得登入用戶名稱及密碼，會招致難以預計的損失。而引致憑證洩漏的缺口，就是企業在員工離職後未有及時處理其帳戶及權限。身份認證解決方案專家SailPoint 的服務如同為企業管理一間屋的保安，能決定經身份認證進入系統的人士，可以進入哪些「房間」存取資料，按其職權需要作出分配及管理。 讓企業擁完整身份管理及權限處理循環 Simon 形容，數碼轉型下企業使用的應用程式增加，目前企業面對的挑戰是「房間」愈來愈多，而進入「大屋」的人不只正職員工，合約員工或生意夥伴亦有機會需要權限進入。每一個身份憑證都有機會是黑客的入口，但企業有機會連自己有多少個使用中的應用程式都未能掌握，增加遭受網絡攻擊的可能性。SailPoint 的服務便能為企業安排「Right access to the right person」，並讓企業擁有完整的身份管理及權限處理循環，防止因帳戶資料外洩，令系統曝露於危險當中。 而在內部控制方面，企業需避免員工權限過大的問題。Simon 舉例指，在 90 年代時英國投資銀行霸菱（Barings Bank），就因為在新加坡的交易員權限過大，在公司不知情的情況下，投機失敗導致 14 億美元的損失，更令霸菱倒閉。而現時交易需經多重核准，避免越權問題。SailPoint 的解決方案具有 access review 功能，助 IT 審計人員審視有否存在 toxic…

網絡攻擊日趨嚴峻，香港電腦保安事故協調中心（HKCERT）調查顯示，去年一共處理 7,725 宗保安事故，其中網絡釣魚（Phishing）達 3,737 宗，是連續 4 年上升並創新高。如公司沒有足夠資源應對網絡威脅，有可能招致嚴重損失。 Sangfor 擁有 20 多年網絡保安的經驗，於內地及海外的市場都有逾 60 間分公司。而旗下的戰略性產品「Sangfor Cyber Command」，猶如網絡的閉路電視，令保安防禦性能大大提升。配合 RIPEN 提供網絡安全託管服務，讓客人不用額外聘請網絡安全專才的人手監測，解決企業 IT 人手不足問題。 「AI…

上兩集同大家介紹過 HKUSPACE 的資訊保安皇牌課程，以及香港科技專上書院舉辦的全港第一個 CyberSecurity 網絡保安（榮譽）理學士課程，回想以往未有這兩個課程前，要在網絡安全行業中突圍而出，考取國際資訊保安專業證書，便是成為資訊保安顧問的唯一出路。而在芸芸眾多的資訊保安專業認證書中，CISSP 可以說是 Best of the Best，因為它是資訊保安行業首個符合 ISO/IEC 17024 國際標準的認證。 CISSP 歷史悠久 CISSP 的全名是 Certified Information Systems…

中途轉機的踏腳石 – HKUSPACE 上回講到修讀 VTC 資訊及網絡安全高級文憑(Diploma)課程，是成為資安新人王的捷徑。但對於一些已從事其他行業有一段日子，但又有興趣「中途轉機」、加入資安行業的在職人士，又有哪一個課程是入行踏腳石？ 香港大學專業進修學院（HKU School of Professional and Continuing Education, HKUSPACE）已經辦學60年，其前身是香港大學學外課程，而現在已獨立為一家非牟利擔保有限公司的教育機構。截至2016年，已有282萬人次報讀學院課程，其中有關資訊科技和資訊保安的課程，在這十多年間大受歡迎，每年課程的學額都是供不應求，課程種類繁多，包括資訊保安的深造文憑、理學士、碩士課程，任君選擇。中學畢業人士可申請就讀資訊科技深造文憑課程（Postgraduate Diploma in Information Technology），這兼讀課程的部分學費可以申請CEF（持續進修基金），成功達標者可得到基金資助 80% 學費津貼，而從…

疫情之下，除了現實生活備受病毒傳播影響，網絡上的攻擊亦隨遙距工作而增加，一眾網絡安全專家面對兩邊夾擊，疲於奔命。不少企業開始關注員工身心健康，如他們的身體、心理和情緒健康，壓力水平、倦怠和許多其他健康狀況。此外，大多數行業市場人才競爭激烈，僱主應考慮以其他方式來招聘和留住頂尖人才。安全架構專家 Joshua Goldfarb 向 Security Week 分享在人才短缺的 IT 安全行業，關注員工健康也是一種出路，他提出了以下五種方式： 1. 混合工作或遙距工作模式：Goldfarb 指出，允許員工以混合工作或遙距工作模式有很多好處，例如員工可以節省通勤時間，並可以利用這些時間與家人在一起、與朋友相處、完成額外的工作任務、做義工，或其他與身心健康相關的活動。雖然在辦公室環境中，面對面的社交接觸非常有益，但不需要每個人每天都在辦公室內工作，而這項措施一般會讓員工更具效率工作和更快樂，亦讓安全團隊以同樣的資源，更好地完成維護安全的工作，同時不會對士氣和健康產生負面影響。 2. 臨時工作地點改變：有時員工或需要換個環境工作應對生活所需，Goldfrab 舉例，如一名員工正在考慮搬家，或是想探索其他領域或升學，這些原因可能是員工辭職或請假的原因，或令僱主需花費大量的時間、金錢，並感到挫折和惱怒。但若允許員工在另一個地點臨時工作一兩個月，讓員工能為工作盡力的同時，也讓員工處理個人事務，企業也可以免去人才更迭的麻煩。 3. 多元地域招聘：現時大多數公司都接納以多元化的策略，然而一個經常被忽視的多樣性角度是地理多樣性。居住的地方會在一定程度上影響人們的經歷、處理優先事項的選擇、價值觀，甚至影響他們的思維方式。遙距工作為安全團隊從不同的地點作招聘，發掘新的可能性。從不同地方招聘人才，為安全組織帶來了不同的思維方式、不同的文化、不同的背景和不同的問題解決方法，對於安全團隊和企業的整體安全狀況而言屬好事。 4. 健康日/健康周末：最近不少企業興起健康日和健康周末，即是整個公司在同一天休息，例如在接連的周五至周日，或周五至周一的期間。由於公司的每個人都能同一時間喘口氣，電子郵件的數量急劇減少，讓人們更能專注於健康而非工作。一個成功的健康周末能讓安全團隊可以休息一下，專注於家人、朋友的相處，從事其他讓他們放鬆、減輕壓力和精神煥發的活動。隨著現代工作環境的忙碌節奏，與健康周末實行前相比，健康周能讓安全團隊以充好電的狀態並返回工作。 5.…

企業遭受黑客入侵，為了確保外洩數據繼續被出售，都會採用不同方式解決問題。有外媒從最近美國法庭釋出的文件，推斷去年電訊商 T-Mobile 在發生安全事故後的處理手法，顯示即使受害者僱用專家阻止數據外洩，在付出約 20 萬美元後依然無效，始終在源頭阻截入侵，才是最有效的網絡防禦法。 外國科技網站 Motherboard 早前根據多份解封的法庭文件，重組一宗發生於去年的數據外洩案情。據文件所載，去年八月期間一個專門售賣個人私隱資料的地下網站 RaidForums 用家，在論壇上出售三千多萬筆私隱數據庫，雖然文件未有指名私隱資料來源，但就標註著資料原屬於美國一間主要電訊商。記者翻查資料推斷受害企業應為 T-Mobile，但對方一直未有對查詢作出回應。 法庭文件續透露受害電訊商曾委托第三方購買該資料庫，以免相關資料繼續流傳。受僱方於是假扮為 RaidForums 買家，先以五萬美元向對方購買資料樣本，確認資料屬實，便開價 15 萬美元買斷該資料庫，不過對方在收取合共 20 萬美元後，並未有守諾刪除資料且繼續出售，事件記錄亦到此為止。記者又再翻查資料，從去年 T-Mobile 回應數據外洩事故時的發言，推斷第三方公司應是最近剛被…

於上年 6 月首次被發現的勒索軟件Hive，短短四個月內便令 355 企業或機構成為受害者，晉身 2021 年十大賺錢勒索軟件的第 8 位。不過，南韓國民大學（Kookmin University）研究員在最新發表的報告內指出，他們已成功發現 Hive 的加密漏洞，在毋須黑客的 private key 下，可運算出原本的 master key。安全業界近來經常報捷，莫非對付勒索軟件的經驗值已累積至新高點？ 勒索軟件集團 Hive 跟其他同行一樣，都會為客戶提供「勒索軟件即服務」(RaaS)，集團提供軟件、伺服器、暗網爆料平台…