多得網絡安全研究人員的努力，經常對網站及應用服務的潛在漏洞保持好奇心，才可減少用家的損失，好像智能運動產品Fitbit的應用程式市場Fitbit Gallery，竟可讓有心人將惡意app上載，在未獲審批前以官方連結分享出來，用家好易中招。 上年Google宣布收購 Fitbit 大計，令品牌大受市場關注，不過礙於反壟斷法關係，交易暫時仍在美國、歐洲及澳洲等地審核中。Fitbit 的智能連動手錶由於設計精美，上班運動兩相宜，所以在港也有不少捧場客。今次 Immersive Labs 的 Cyber Threat Research 總監 Kev Breen，就對 Fitbit Gallery 的運作感到興趣，深入調查有關第三方 app 開發者在上載新…

防火牆都可以減肥瘦身，清除多餘設置，運行得更順暢？你沒有看錯，只要用超強神器 FireMon ，就可以作「全身檢查」並快速為防火牆「減肥」，同時解決 compliance、orchestration 以及 vulnerability management 的管理問題，現在還有一次免費檢查機會，立即往下看了解 FireMon 的服務特色！ FireMon 為業界最頂尖嘅網絡安全策略管理工具，協助大型機構管理複雜網絡結構，在防火牆管理上，是業界表表者，主要有三大強項包括： 一、持續合規。能協助機構有效監管網絡運作，尤其是防火牆管理，最重要是能幫助機構持續達到金管局的審核要求，為企業內部審計做好準備。另外，FireMon 亦具備充足靈活性，可客製化審核評估，對於做 HKMA 報告以及通過 PCI、NIST、CIS 等法規尤其關鍵。 二、Policy orchestration。FireMon…

網絡攻擊愈趨複雜及精密，加上銀行業又是公認的攻擊對象，面對如此高危的環境，香港金融管理局 (HKMA) 於2016年公布網絡安全防衛計劃 (Cybersecurity Fortification Initiative， CFI)，通過三方面提升金融業的網絡攻擊防禦力。其中之一的網路防衛評估架構（Cyber Resilience Assessment Framework， C-RAF）是一套以風險為基礎的評估框架，內裏的評估項目多達400多項，主要分為三個部分。 首先是自身固有風險 (Inherent Risk Level) ，評估標準會根據銀行採用的科技、服務渠道、以往被攻擊的記錄等因素作評級(High、Medium、Low) ；其次會通過審核現有的安全措施，包括監管、偵測機制、保護工具、危機管理及應對政策，以釐定網絡安全成熟度 (Advanced、Intermediate、Baseline) 。如果審核評分未能達到固有風險評估的相對要求，銀行就要按照金管局建議的改善措施提升安全成熟度，直至合符相應的要求。如果金融業的固有風險達到中至高程度，就必須實施網絡攻擊模擬測試iCAST (Intelligence-led…

網絡安全研究人員披露常見防毒解決方案中，所發現的漏洞，竟然提升了黑客特權，令惡意軟件能夠在入侵系統後橫行！CyberArk Labs 一份報告指出，高特權經常與反惡意軟件產品有關聯，使它們更易受檔案攻擊，繼而令惡意軟件在系統上獲得更高權限。這些受影響的防病毒解決方案，來自 Kaspersky、McAfee、Symantec、Fortinet、Check Point、Trend Micro、Avira 和 Microsoft Defende，現時每個解決方案均已由各自的供應商修復。 這些漏洞中最嚴重的是黑客能在隨意在不同位置刪除系統中的檔案，或者造成檔案損毁。根據 CyberArk 研究，這些錯誤是由 Windows 的「C：\ ProgramData」文件夾的默認 DACL（Discretionary Access Control Lists）所造成，令用戶在程序存取數據，無需其他權限。所以當每個用戶都有在基本目錄（Base level…

千萬不要低估一張相的威力，原來早在今年春季之前，Instagram用家的手機，只要經任何途徑例如電郵、社交平台、即時通訊程式收到一張「加工」相片，不單只可以被奪取帳戶，更可控制你的手機成為監察工具，而且iOS及Android裝置同樣受影響，認真脆弱。 先旨聲明， Facebook 在收到及確認 Check Point 專家 Gal Elbaz 的發現後，已經在今年春季為Instagram推出修補檔案，所以現時大家已不會再因這漏洞遭殃。而出事原因，在於 Instagram 採用的第三方 JPEG 解碼器 Mozjpeg 存有緩衝區溢出（heap buffer overflow）漏洞，當手機相簿內儲存了黑客的特製相片， Instagram 用家又準備上載新相而於…

遙距工作可謂推動將工作文件放在雲端，是疫情下的新常態。除了方便工作之外，網絡安全技術公司Centrify 早前訪問英國200名企業決策者，當中有過半受訪企業在疫情爆發初期，因採用雲端系統，而令公司不至於倒閉，能維持正常運作。受訪的決策者中，有6成人更指將會在雲端科技基建中，大大地投放資金發展。 英國三月時因應疫情推出封鎖措施，要求企業關閉辦公室以及准許員工在家工作。為防公司停擺，許多企業即轉用雲端服務，讓員工可以輕鬆登入公司系統及使用日常辦公資源。不過，當所有東西放上雲端，意味著網絡危機亦會隨之而增，39%受訪者表示疫情暴露了公司網絡安全的巨大漏洞，更有超過一半人認為在家工作難以判斷冒充員工的黑客。 Centify 的副總裁Andy Heather 表示，要解決使用雲端系統工作的安全問題，應將雲端使用權限縮到最小，並只准許員工以剛剛好的權限取用企業在雲端上的資源並完成工作。現時對訪問權限的控制，讓企業能夠在雲端環境中進行遠程操作，同時可標記內部威脅，再加以阻止和消除。 資料來源：https://bit.ly/30dqaW1

資安需求日益增加，企業資源分配越見重要，尤其疫情之下，Budget 緊絀。剛過去的 Gartner Security ＆ Risk Management Summit 2020 上，其 Senior Director Analyst Brian Reed 指出，很多企業都用過多時間追求不存在的徹底方案，因此忽略基礎工作。綜合與會專家意見，得出以下 10 個重點 Projects，供各資安主管參考，編入 2021…

遙距工作意味著員工需用自己的網絡處理文件，脫離公司的防火牆或網絡安全系統，存在不能計算風險。但為了下屬的健康減少聚集，公司不得不准許員工在家工作。網絡安全服務供應商Netwrix進行調查，發現有85%受訪資安主管承認，為實施Work From Home有放棄網絡安全措施。在公司內部文件安全脫離掌握的情況下，相信不少高層大為頭痕。 調查亦發現，有四分一企業認為在疫情爆發期間，公司運作暴露在危險當中，這裏當中有63%企業指這段期間的網絡攻擊次數有增加，60%企業發現在遙距工作期間，有新的網絡安全漏洞。 一項在6月進行、訪問超過900名IT業界的專業人士的調查，發現最常見的安全威脅，多屬於人為因素，其中48%屬釣魚攻擊，27%為行政失誤，亦有26%是員工分享資訊不合規。同時，有四分一人表示，在疫症爆發的首三個月，遭受勒索軟件或惡意軟件的侵擾，反映網絡安全在這段時間切實受到影響。而供應鏈相關的漏洞情況似乎更嚴重，有超過一半人指需時數天甚至一整個月才能標記出相關事件，呼應了資安主管們的放寬網絡安全措施的結果。 Netwrix行政總裁 Steve Dickson 表示，疫情令很多公司除了將業務由辦公室轉換成在家工作之外，企業亦將服務置於網絡安全之上。他提醒，在大家都適應這個新常態的情況下，IT主管應重新檢視他們對資安措施的決定，以縮減安全漏洞，包括識別敏感資訊，並減少其曝光情況，提高對用戶活動的可見程度等，以確保快速發現網絡安全事故。 資料來源：https://bit.ly/3cCdmO5

Mozilla為Firefox推出版本79，加強了用戶瀏覽網頁時的反追蹤功能，以及讓用戶自訂不會被指定網站追蹤，提升私隱保護。不過，就算你並不太注重瀏覽私隱而又屬於Android用戶，也一定要盡快更新Firefox瀏覽器，否則只要你加入任何有黑客置身其中的Wi-Fi無線熱點，黑客便可以騎勢你的手機版Firefox，開啟釣魚網站騙取帳戶登入資料或安裝惡意軟件！ Firefox舊版本手機瀏覽器的漏洞由澳洲安全研究員Chris Moberly發現，出事的地方是Firefox的SSDP(Simple Service Discovery Protocol)組件。SSDP的作用在於讓新裝置通知內部網絡控制點的它的存在，同時亦可快捷地搜尋內部網絡所提供的服務。應用在Firefox上，它就會搜尋同一網絡內的裝置以便分享內容，例如將影片分享至智能電視等；而每當發現新裝置，它會自動獲取一個關於該裝置設定的XML檔案，預先為分享檔案做好準備。 不過，Moberly發現舊版本的Android Firefox瀏覽器存在漏洞，黑客可在XML內藏入執行動作的指令，只要手機用戶在這個內部網絡例如Starbucks的公共Wi-Fi使用Firefox，同時又有黑客在同一網絡，Firefox便會自動執行該裝置的XML指令，打開虛假帳戶登入版面，或指示用戶安裝惡意程式，如果用戶信以為真就很易中招。即使是公司Wi-Fi網絡亦未見安全，黑客亦可使用Wi-Fi router已知漏洞入侵，而且在公司網被要求輸入公司帳戶資料更能讓人掉以輕心。 現時漏洞已在最新版本Firefox 79上被堵塞，建議大家要盡快更新，保護自己之餘，也可享用新的反網頁追蹤服務，一舉兩得。 資料來源：https://bit.ly/3kA9rUw

一份最新的調查報告發現，本港一些運用 5G 物聯網技術的日常用品，如心臟監測儀、智能手表、水壺和健身單車等，可以輕鬆連接企業網絡，而且連接量近年大幅增加，有資案專家認為，普遍香港企業對這些用品連接公司網絡，未有採取足夠保安措施，已形成被黑客攻擊的漏洞。 調查機構訪問來自亞洲、歐洲、中東和北美 14 個國家或地區，合共 1,350 名擁有 1,000 名員工或以上組織的IT業務管理層。當中有九成(91%) 的香港受訪者表示，去年連接到企業網絡的物聯網設備有所增加，當中不乏日常用品。有三成 (31%) 的受訪者反映他們需要大幅改善其企業的物聯網保安措施，逾三分之一 (37%) 受訪者更表示需要徹底的改進，整體接近七成，反映企業對此情況表示憂慮，擔心日常物聯網設備會成為黑客入侵途徑。 網絡安全企業Palo Alto Networks香港及澳門董事總經理馮志剛表示：「員工無意識地連接到企業網絡的IoT設備通常缺乏保安考量，有機會成為輕易存取到公司機密資料和系統的缺口。」他認為應對這種威脅，安全團隊需要能夠識別新設備，迅速評估其風險，並採用安全策略。 另外，報告還發現有五分之一 (20%)…