Search Results: CTF (7)

    Nick sir強調Cyber Range不同於workshop,因為除了會教參加者如何使用網絡安全工具,最重要的部分是要參加者思考在不同情況下應如何使用,非常用腦。 分享FacebookTwitterEmail 近年網絡安全界經常舉辦 Capture The Flag(CTF)奪旗賽,一方面希望能夠提升業界的技術水平,另一方面亦希望從參賽者中找出有能之士,彌補業界專才不足的窘境。不過,正所謂遠水救不了近火,企業在嚴重「缺人」的情況下,應該如何提升現職員工的網絡安全水平?Cyber Range 網絡攻防訓練營,正好可以讓員工進行密集式特訓,Fortinet香港、澳門及蒙古區網絡安全方案經理吳維穎(Nick sir)說相比起奪旗賽的技術較量,Cyber Range 則更重視分析及改善安全觀念,而且更可以增加非 IT 部門員工的網絡安全思維。他更透露,有香港紀律部隊參加過後,表示有興趣買起 Fortinet 整套 Cyber Range 系統作日常訓練,只是因為「武器庫」內藏有真的病毒,殺傷力太大,所以…

    還有不足一個月,香港首個全公開的 Capture The Flag(CTF)奪旗賽即將在 10 月 19 日舉行。這個由香港奪旗賽協會舉辦的黑客大賽,與過往在香港舉辦的 CTF 賽事有很大分別,該會的 COO 梁國基(Frankie)表示,他們今次將會同時舉辦學生組及公開組,而不再各有各玩,「雖然賽事定位會影響部分贊助商的決定,例如賽事有學生組會減低商業性;但我們認為不應這麼極端,既然要推廣 CTF,就應讓全部人一齊參與。」為何要在此時此刻在香港力推 CTF 賽事,就由綽號「資安長老」的 Frankie,拉下神秘面紗為大家講解。 形式進化更講策略 CTF 奪旗賽,牽涉到很多不同類型的賽事,例如戶外運動、wall game 等等,但在網絡安全界別,就是一種讓黑客比併電腦技術的活動。Frankie…

    上兩集同大家介紹過 HKUSPACE 的資訊保安皇牌課程,以及香港科技專上書院舉辦的全港第一個 CyberSecurity 網絡保安(榮譽)理學士課程,回想以往未有這兩個課程前,要在網絡安全行業中突圍而出,考取國際資訊保安專業證書,便是成為資訊保安顧問的唯一出路。而在芸芸眾多的資訊保安專業認證書中,CISSP 可以說是 Best of the Best,因為它是資訊保安行業首個符合 ISO/IEC 17024 國際標準的認證。 CISSP 歷史悠久 CISSP 的全名是 Certified Information Systems…

    從事資訊安全工作多年,曾在不同場合的講座中,被不少中學生和老師問我如何入行?要成為資安顧問,有何學歷要求? 資安顧問是否「黑客」? 應該考取哪些資安課程證書會較實際?甚至打爛沙盆問到篤,追問資安顧問的收入及發展前途。當然除了學生之外,還有其他行業人士有興趣「中途轉機」,可見普羅大眾對資安行業的資訊還是比較陌生,更遑論要成為資安 新人王 。 著重實戰經驗 其實資訊安全行業絕不神秘,跟其他行業一樣,也有很多相關證書可以考取,晉升階梯亦算清晰。接下來筆者將會撰寫一系列資安入行秘笈,分享在業內快人一步上位的正確途徑。 毋容置疑,擁有資安證書會較容易入行,但如果你有使用和安裝網絡安全產品 (如防火墻)的經驗,又或有 PKI 密碼學和電子證書使用和配置的經驗,甚至乎你已考取了相關的國際資安證書,很多公司都會願意聘請成為資安顧問。不過,最穩打穩紮的途徑,還是修讀香港各大教育機構開辦的課程。 VTC 資安 新人王 速成班 香港專業教育學院(VTC)開辦的資訊及網絡安全兩年制高級文憑 (Diploma)全日制課程,可算是本地課程的表表者。課程旨在訓練學生學習及應用資安知識,去分析、設計及實現安全的網絡及電腦系統。課程的內容緊貼市場,還著重通識教育、語文訓練、全人發展,亦為學生提供實習機會,有助加强學生的解難能力和熟習職場運作,往往一畢業就能快速受聘並跟職場環境磨合,屬於實戰型課程。本港不少公營機構及私營企業,包括跨國公司等,都樂意提供實習機會給這課程的學生。 入學門檻並不算高,只要於香港中學文憑考試 (Hong Kong Diploma of Secondary Education Examination, DSE)其中五科成績考獲第二級或以上(包括英國語文及中國語文);或擁有 VTC 基礎(級別三)/基礎課程文憑、中專教育文憑/職專文憑、毅進文憑或同等學歷,即可申請。不過,這課程屬 VTC 的熱門學科,每年招收約 90 個學生,但入學申請卻多達數百,競爭頗為激烈。…

    上兩期都是環繞着「白帽黑客」(White Hat)這個題目,心想如果在港可以舉辦一個較大型的黑客 CTF 大賽,讓多一點本地及鄰近地區的「白帽黑客」能夠參賽及交流,那倒是一個不錯的做法。 發現樂趣,創造奇蹟 過去十年,黑客的意義有所改變,但是精神是一樣的。黑客們的共通點,是想知道和理解事物如何運作,在深層次研究後,他們可以創造超乎想像的奇蹟,並在其中發現樂趣。然而黑客並沒有想像中的恐怖,如果黑客發現某軟件存在漏洞並報告給相關企業,那麼企業對其進行快速修補,便會避免此漏洞帶來的危害。 「我們的」黑客大賽,培育本地人才 DEFCON 是國際知名的黑客 CTF 大賽,被譽為黑客界的「奧斯卡」,堪稱是殿堂級的安全盛會,黑客和安全專家都會慕名從世界各地趕來參加,去年參加人數更超過兩萬。我們也決定試一試,暫定於今年 10 月,在港舉行由我們公司主辦的首屆黑客大賽,希望培養業界人士對發掘網絡安全漏洞的興趣,從而提升本地的網絡安全水平。 高手相助,同場切磋 舉辦黑客大賽,我們還缺乏經驗。所以近月我也忙於跟參與過黑客 CTF 大賽的高手們請教。一提到舉辦黑客大賽這個構思,一班高手們非常樂意出手相助,運用他們過往的參賽經驗,為我們籌備一個高水平的大賽。初步構思是先舉辦初賽,給本地參賽者在線上比併。在初賽勝出的前三名會進入精英賽,再與鄰近區域的高手一起在現場一較高下。 美國取經,10 月見 雖然有高手幫忙籌劃,我亦不敢怠慢,並計劃在…

    上一期講過甚麼是「白帽黑客」(White Hat),是指在完全合法的情況下對系統進行攻擊,以求找出安全漏洞,令對方作出修補的黑客。我上個月剛與一位國寶級的白帽黑客見過面,並對網絡安全作深入交流。 這位高手是來自北京的陳宇森,現年只是 26 歲,臉上還有一點稚氣,但跟他溝通,卻感覺到他是非常成熟和有目標的。他除了近年在中國區的各類黑客大賽勇奪各項大獎之外,在 2016 年的全球 DEFCON CTF 黑客大賽獲得第二名,以及在 2017 年另一個全球大型黑客大賽 Pwn2Own,獲得世界第三名。年紀輕輕已在國際大賽打響名堂,實在殊不簡單。但他跟我說:往後應不會再參與同類型的比賽了。畢竟已獲過獎項,可以說是得到業界對他技術能力的肯定。 最令我欣賞的是這位年輕白帽黑客,在 2014 年已成立了安全技術公司,運用自身的專長,開發了一些高端安全產品,來應付日益複雜的黑客攻擊,並獲得一些在中國的大企業所採用。所謂「知己知彼、百戰百勝」,以黑客的思維制訂安全方案去對付黑客攻擊,從邏輯來說,應會更有效。 除了安全產品外,陳宇森也有一套獨特的技術人員培訓計劃,可以說是比較實戰型。點解?一般網絡安全培訓機構都比較學術性,市場上的安全證書如 CISSP、CISM 等,也比較着重理論。但陳宇森所提供的是一套「網絡攻防實訓平台」,內裡包括模擬訓練、線上比賽、線下實訓等。在快速多變的網絡安全領域裏,我個人也認同實戰比證書更重要,也正考慮如何把這套實戰平台引入,來提升本地網絡安全人才應對網絡攻擊的能力。

    講到「黑客」這個名詞,一般都畀人感覺唔係咁正面,並會聯想到「網絡攻擊」、「網絡詐騙」、「資料盜竊」等負面行為。 其實黑客也大致分為三類,分別為「白帽黑客」(White Hat)、「灰帽黑客」(Grey Hat)及「黑帽黑客」(Black Hat)。白帽黑客以「改善」為目標,破解某個程序,令對方作出安全漏洞修補;灰帽黑客以「展現」為目標,透過破解、入侵去炫耀其擁有高超的技術,或者宣揚某種理念;黑帽黑客以「利慾」為目標,透過破解、入侵去獲取不法利益,或者發洩負面情緒。 白帽黑客是在這十年最熱門的職業之一,但不要以為是一件容易的工作,你必須對電腦系統、編寫程式、操作系統、網絡等有深刻的認識。白帽黑客大多是電腦保安公司的僱員,並在完全合法的情況下攻擊系統,以求找出安全漏洞。另外,也有很多大企業會聘請白帽黑客來保護其系統和訊息,薪酬也非常可觀呢。 至於電腦廠商方面,為鼓勵找出安全漏洞,也會付出豐厚獎金(Bounty Program)給予找出安全漏洞的舉報者。這個做法推至近年火熱的 ICO 市場,以進一步加強系統安全性。對白帽黑客來講,又多了一個收入來源。 再且,近年在網絡安全市場也興起黑客 Pwn 或 CTF 比賽,獎金也愈來愈吸引,勝出者亦可名利雙收。Pwn 一般讀作 Pone,自從「own」這個字引申出來的,意思是玩家在整個對戰中處在勝利的優勢,主要用於嘲笑競爭對手在整個遊戲對戰中已經完全被擊敗(例如:You just got pwned!)。CTF…