Search Results: DEFCON (10)

    DEFCON 網絡安全大會,每年都吸引到好多業內高手或黑客出席;所以如果你所屬組織長期需要呢一方面嘅專家,呢類型嘅黑客大會就係最佳揀蟀機會。好似喺今次大會,就連美國國防部人員都到場,目的就係說服有識之士為國家效力! 五角大樓長期缺人 今次 DEFCON 其中一個亮點,就係將成間醫院嘅設備搬咗入 BioHacking Village 俾大家試 hack。但同一時間,喺今屆首設嘅 Aviation Village 入面,亦放咗部 F-35 戰機駕駛模擬器喺度俾入場人士了解下。喺啲咁嘅場合,美國國防部有人喺度絕對合理,但呢個剛啱喺今年 4 月上任嘅 Defense Digital Service(DDS)https://dds.mil/…

    作為資安界一分子,每年都會特別留意幾個關於網絡安全嘅全球盛事,DefCon 自然喺名單之上,呢個喺 1993 年由「黑客之神」Jeff Moss 搞嘅大會,嚟到今年已經係第 27 屆,每年都會喺拉斯維加斯舉行,吸引全球黑客高手參加。大會高手如雲,上年更有個 11 歲小朋友,只用咗 10 分鐘就成功入侵美國選舉網站,成為一時熱話。 今屆大會啱啱喺美國時間星期四(8月8號)開鑼,而焦點就落喺 BioHacking Village 身上。其實 BioHacking Village 唔係新嘢,過往幾屆都有搞,但通常都好細規模,可能一張細枱放幾部醫療儀器俾人 hack…

    疫境下全球失業率急升,但有幾個行業不受影響,如常運作,其中一個就係協助堵塞網絡保安漏洞嘅白帽黑客。 講到黑客,好似一定犯法,其實不然。有道德嘅一班高手,選擇向網絡保安服務商舉報漏洞,以前可能當響朵贏得一官半職,隨著網絡安全得到重視,賞金平台 HackerOne 開張大吉,一班白帽黑客就可以靠賞金過活。係咪好想知點樣入行?賞金行情?由曾黑入美國政府嘅 Tommy DeVoss、由程式員轉職嘅 Cosmin、HackerOne 首位累計過百萬美元賞金嘅 Santiago Lopez,三位全職賞金獵人向大家披露入行心得。小編將之總結成以下 5 大重點。 實質工作流程係點先? 要睇大量文件、熟用 Burp、Sublist3r、dnscan,亦要開發個人工具、不斷吸收最新網絡保安資訊、寫報告、搵出自己擅長嘅保安範疇與策略等。技巧方面,唔可以只參考一個黑客嘅工作方式,要喺唔同人身上偷師,融會貫通,建立個人風格。呢份工好花時間,有時埋門一腳會被人截糊,第 2 名係一蚊都分唔到,所以唔好以為真係篤吓電腦就有錢袋咁 naive,真係要有興趣「捉蟲」,保持好奇心,享受破解嘅快感,唔好下下用錢衡量付出。 收入有幾多? 一個有料嘅白帽,每星期做…

    ASUS、Huawei、Intel、NVIDIA、GIGABYTE、ASRock、MSI、Toshiba……講明先唔係大清算,只係合共廿幾個電腦硬件品牌嘅驅動程式被發現有漏洞,可以俾黑客攞到 Ring 0 最高權限,快啲睇下自己有無份先。 DEFCON 網絡安全大會嘅好玩之處,係過程中有好多黑客會發表獨家調查報告,而且仲會好詳細咁分析保安事故發生嘅原因,有時呢啲錯誤真係低級到難以置信會發生喺一啲大企業身上,所以特別適合花生友睇。 電腦安全公司 Eclypsium 研究員今年就喺 DEFCON 上發表報告,佢哋研究咗各大電腦硬件公司推出嘅硬件驅動程式(drivers),當中發現有廿幾個品牌、40 個驅動程式存在高危級別漏洞,黑客可以通過呢啲漏洞,將登入 Windows 作業系統嘅權限由 Ring 3 一口氣提升至最高嘅 Ring 0,令到黑客可以喺電腦內為所欲為,例如整死部電腦、安裝後門等惡意軟件、盜取資料等等。而最大嘅問題係,呢啲 drivers…

    唔單只牙線唔可以交換用,就連手機充電線都唔得,因為都有可能引發病毒感染㗎! 近排搭車成日碌手機睇新聞睇片,搞到部 iPhone 好快無電,相信唔少 iPhone 用家都會喺公司擺多條 Lightning 線駁電腦充電。但你有無諗過,插住果條線好可能係鬼線,只要你開著電腦做嘢,隨時可以俾黑客偷走資料? 手機充電線內藏病毒 其實好多手機用家對充電線都無乜戒心,基本上有需要時就會四圍問人借線充電。理解嘅,因為咁細條充電線,可以惡得去邊丫?有黑客為咗提高公眾對充電線嘅安全意識,特別整咗條像真度高達 100 % 嘅 Lightning 線出嚟,但就內置 Wi-Fi 接收器同惡意軟件,只要目標人物將呢條線插入電腦,黑客就可以透過 Wi-Fi 訊號發出指令,指示惡意軟件執行特別任務,例如引導瀏覽器去釣魚網站,又或將電腦進入鎖定模式,強制要用家輸入登入資料,從而盜取登入系統權限。當然,職位愈高,帳戶可接觸嘅公司資料都愈機密。 製作呢條古惑…

    今年 25 歲嘅網絡安全研究員 Marcus Hutchins,兩年前俾 FBI 拘捕,指控佢曾經開發過兩隻銀行木馬病毒,將偷嚟嘅帳戶資料出售。不過,法官最後裁定 Marcus 唔使坐監,只係輕判佢接受釋後監管一年。原因好簡單,佢對社會嘅貢獻絕對足以將功補過! 意外阻止 WannaCry Marcus 之所以獲輕判,全因佢兩年前阻止過勒索軟件 WannaCry 嘅爆發。據專家估計,WannaCry 曾經感染 150 個國家嘅 23 萬部電腦,隨時可以令呢啲電腦上鎖。不過,當時…

    上兩集同大家介紹過 HKUSPACE 的資訊保安皇牌課程,以及香港科技專上書院舉辦的全港第一個 CyberSecurity 網絡保安(榮譽)理學士課程,回想以往未有這兩個課程前,要在網絡安全行業中突圍而出,考取國際資訊保安專業證書,便是成為資訊保安顧問的唯一出路。而在芸芸眾多的資訊保安專業認證書中,CISSP 可以說是 Best of the Best,因為它是資訊保安行業首個符合 ISO/IEC 17024 國際標準的認證。 CISSP 歷史悠久 CISSP 的全名是 Certified Information Systems…

    近年 IT 行業人材短缺,Cyber Security 網絡安全就更是重災區,人手極度不足;修讀相關課程的畢業生突然變得搶手,不少準畢業生表示將學歷放上 LinkedIn 等職場社交平台,很快就有人力資源顧問公司找上門。不過,所謂搶手實屬虛火,因為僱主最著重求職者的實際工作能力,要成功受聘,或加入心儀的大公司,還得先展示自己的實力。問題來了,對一個即將畢業的學生來說,如何憑空變出實力證明?參加黑客大賽,就是一個最佳捷徑。 貼地難題取材現實 一畢業就加入全球四大會計師事務所工作,相信是不少準大學畢業生的夢想。三位來自香港中文大學計算機科學與工程學系、信息工程學系和數學系的學生梁成悅(Jason)、湯湛飛(Chris)、陳兆俊 (Erwin),就於去年畢業後獲羅兵咸永道會計師事務所(PricewaterhouseCoopers, PwC)聘用,成為網絡安全部門的職員。能夠有這項令人葡萄不已的待遇,全因他們去年於「HackaDay 2018」黑客大賽勝出,展示了卓越的網絡安全工作能力。PwC 合伙人顏國定說公司在擬定賽事的題目時,內容非常貼地,都是客戶日常都會面對的網絡安全問題,所以能夠勝出賽事,代表優勝隊伍都非常熟悉相關問題,比起一般面試更能掌握求職者的實力,所以公司會向優勝隊伍提供實習或優先面試的機會。換言之拿著這張直通車票,如無意外都可成為 PwC 的一員,毋須再經人事部篩選,過五關斬六將。 Erwin(右二)、Jason(中)及Chris(左二)去完奪得 HackaDay 2018 賽事冠軍,當時也沒想到真的可以加入 PwC。…

    上兩期都是環繞着「白帽黑客」(White Hat)這個題目,心想如果在港可以舉辦一個較大型的黑客 CTF 大賽,讓多一點本地及鄰近地區的「白帽黑客」能夠參賽及交流,那倒是一個不錯的做法。 發現樂趣,創造奇蹟 過去十年,黑客的意義有所改變,但是精神是一樣的。黑客們的共通點,是想知道和理解事物如何運作,在深層次研究後,他們可以創造超乎想像的奇蹟,並在其中發現樂趣。然而黑客並沒有想像中的恐怖,如果黑客發現某軟件存在漏洞並報告給相關企業,那麼企業對其進行快速修補,便會避免此漏洞帶來的危害。 「我們的」黑客大賽,培育本地人才 DEFCON 是國際知名的黑客 CTF 大賽,被譽為黑客界的「奧斯卡」,堪稱是殿堂級的安全盛會,黑客和安全專家都會慕名從世界各地趕來參加,去年參加人數更超過兩萬。我們也決定試一試,暫定於今年 10 月,在港舉行由我們公司主辦的首屆黑客大賽,希望培養業界人士對發掘網絡安全漏洞的興趣,從而提升本地的網絡安全水平。 高手相助,同場切磋 舉辦黑客大賽,我們還缺乏經驗。所以近月我也忙於跟參與過黑客 CTF 大賽的高手們請教。一提到舉辦黑客大賽這個構思,一班高手們非常樂意出手相助,運用他們過往的參賽經驗,為我們籌備一個高水平的大賽。初步構思是先舉辦初賽,給本地參賽者在線上比併。在初賽勝出的前三名會進入精英賽,再與鄰近區域的高手一起在現場一較高下。 美國取經,10 月見 雖然有高手幫忙籌劃,我亦不敢怠慢,並計劃在…

    上一期講過甚麼是「白帽黑客」(White Hat),是指在完全合法的情況下對系統進行攻擊,以求找出安全漏洞,令對方作出修補的黑客。我上個月剛與一位國寶級的白帽黑客見過面,並對網絡安全作深入交流。 這位高手是來自北京的陳宇森,現年只是 26 歲,臉上還有一點稚氣,但跟他溝通,卻感覺到他是非常成熟和有目標的。他除了近年在中國區的各類黑客大賽勇奪各項大獎之外,在 2016 年的全球 DEFCON CTF 黑客大賽獲得第二名,以及在 2017 年另一個全球大型黑客大賽 Pwn2Own,獲得世界第三名。年紀輕輕已在國際大賽打響名堂,實在殊不簡單。但他跟我說:往後應不會再參與同類型的比賽了。畢竟已獲過獎項,可以說是得到業界對他技術能力的肯定。 最令我欣賞的是這位年輕白帽黑客,在 2014 年已成立了安全技術公司,運用自身的專長,開發了一些高端安全產品,來應付日益複雜的黑客攻擊,並獲得一些在中國的大企業所採用。所謂「知己知彼、百戰百勝」,以黑客的思維制訂安全方案去對付黑客攻擊,從邏輯來說,應會更有效。 除了安全產品外,陳宇森也有一套獨特的技術人員培訓計劃,可以說是比較實戰型。點解?一般網絡安全培訓機構都比較學術性,市場上的安全證書如 CISSP、CISM 等,也比較着重理論。但陳宇森所提供的是一套「網絡攻防實訓平台」,內裡包括模擬訓練、線上比賽、線下實訓等。在快速多變的網絡安全領域裏,我個人也認同實戰比證書更重要,也正考慮如何把這套實戰平台引入,來提升本地網絡安全人才應對網絡攻擊的能力。