很多人、事、計劃因疫情而流逝，但又有少數事強勢回歸，QR Code 就係好例子。廿年歷史以上的進取企業，相信 Archive 都有至少一份 QR Code Proposal，不過當年瞬間被社交平台與各種無線傳輸技術淹沒，淪為倉管，直到社交距離成為 New Normal，QR Code 重出江湖，擔當企業 Digitization 的一環，讓消費者 Access 餐廳 Menu 或購物 Coupon。眼見 QR…

思科（Cisco）分析上半年最常見嚴重網絡安全威脅遙測數據，發現以無檔案惡意攻擊 (fileless malware) 為最多。所謂無檔案惡意攻擊，即是惡意代碼在裝置記憶體運行，而不是以檔案模式存在於硬盤中。思科將Kovter、Poweliks、Divergent 以及LemonDuck 標示為最常見的無檔案惡意攻擊。 思科指出對端點第二類威脅是常在開發任務和開發後任務 (exploitation and post-exploitation tasks) 中所利用的雙重用途工具，例子包括 PowerShell Empire、Cobalt Strike、Powersploit和Metasploit。思科的研究人員表示，這類型的工具雖然能好好地用在如滲透測試 (penetration test) 的非惡意攻擊活動，但卻常被黑客利用作攻擊用途。而第三類威脅則是如 Mimikatz 的身份驗證和憑據管理系統，惡意攻擊者多數藉這類工具竊取受害者登入資訊。…

疫情似是暫緩，在家工作及遙距學習也暫告一段落，但難保再有下一波疫情， Work From Home必會成為未來大勢。多了時間留在家中，父母與子女同樣需依賴網絡完成各自的任務，甚至促成兩代之間的交流。究竟是怎麼一回事呢？ 年幼子女在家中作遙距學習，需要長期對著電腦，因而亦衍生網絡危機，在美國社區學院 Lake Superior College 擔任網絡安全講師的 Matt McCullough 指出，父母應教導子女關注網絡安全，並指導他們設置達15至20位字形或數字的高防禦強度的密碼，以降低被黑客入侵個人帳戶的機會，甚至採用雙重認證方法，進一步加強防護；同時，McCullough 亦提醒家長，要留意子女有否收到來歷不明的電郵，最好教導他們如何分辨可疑電郵的特點，以防他們誤中釣魚電郵的陷阱，甚或被倦入網絡欺凌。 家長從小已培養子女對網絡安全及道德意識，讓新生代青出於藍。而現今新一代，學生從小已使用電腦完成學校習作，甚至在這年疫情橫行期間，透過網上課堂進行遙距學習，對網絡產品的認識，相比起自己父母，可稱得上是「專家」。有外國調查訪問二千多名青少年，發現他們在過去一年耗時超過29小時，指導父母處理電郵問題，而在過去數月疫情大爆發期間，更有67%人幫助父母設定如 Zoom、Skype meeting 等線上會議系統。 不論是 Work From…

雖說現時Apple的iOS 14及Google的Android 11作業系統，已大大增加應用軟件取用手機功能的權限透明度，甚至可讓用家逐次授予使用權。不過，面對著一些合理地取用全球定位功能、卻不合理地使用資訊的app，如用家未有留意細則或用法，便有可能洩露自己的行蹤。最新的例子是不少港人都有使用的運動記錄app Strava，預設功能可讓擦身而過的用家閱覽你的個人資料及經常出沒的運動地點，遇著立心不良的匪徒，隨時有人身安全危機！ 作為一隻運動記錄應用軟件，Strava在安裝時，要求取得定位權限，合理至極；而且相信絕大部分用家，為免每次使用app時都要重新授權，都會選擇長期開放取用位置權限，減少麻煩。不過，其中一位Strava用家Seward在Twitter上透露，當他完成一次跑步記錄後，竟發現記錄內tag了一位當日曾與他擦身而過的女跑手，Seward甚至可以細閱這位女跑手的Strava帳戶資料及運動記錄。經深入調查後，Seward發現原來Strava app預設的私隱分享功能非常「無私」，個人資料、運動記錄、團體活動等都設定為可供任何人查閱，而當中Flyby功能便是今次事件的元兇，因為開啟後，系統便會與附近的用家分享運動及位置記錄。雖然這功能用在正途上，或可組織該區的運動愛好者一起訓練，但卻同時洩露了過多個人資訊，包括經常出沒位置及所使用的運動手錶等，匪徒便有可能在路上埋伏，又或借助詳細的個人資料，發動社交工程(Social Engineering)攻擊。 事件經報導後，Strava即時出面澄清，並表示會通知所有用家有關修改這項私隱設定的方法。用家如希望關閉這項功能，可登入Strava官網，在設定中點選Privacy Control，於Flyby點選「No One」便可。用家亦可同時修改其他私隱設定，例如只跟朋友分享資訊或運動記錄，減少不必要的危險。 資料來源：https://bit.ly/3361ZL2

資安需求日益增加，企業資源分配越見重要，尤其疫情之下，Budget 緊絀。剛過去的 Gartner Security ＆ Risk Management Summit 2020 上，其 Senior Director Analyst Brian Reed 指出，很多企業都用過多時間追求不存在的徹底方案，因此忽略基礎工作。綜合與會專家意見，得出以下 10 個重點 Projects，供各資安主管參考，編入 2021…

智能家居依賴物聯網（IoT, Internet of Things）運行，每一件裝置都可以裝上晶片，進行指定工作，例如起床想喝咖啡，指令咖啡機運作，還未刷完牙，已可聞到咖啡香氣。方便得很，對吧？但是背後的危機亦早已潛伏，因為影子物聯網設備（”Shadow IoT” device），原來會在安全團隊不知情的情況下，悄悄將資料傳送到網絡。 由Palo Alto Networks所發表的研究論文指出，IoT設備已廣泛連接公司網絡，諸如汽車、醫療設備、健身器材，甚至是玩具，統統都是可能「中伏」家具！而造成這些物品所連繫的網絡易被入侵的原因是，它們沒有完善的網絡安全保護，黑客有機會可循這些裝置再入侵其他系統。 Palo Alto Networks指，如果裝置設有IP Address就能夠被連結，由於它們沒有高防禦的密碼，亦沒有防火牆作保護，所以容易被攻擊。而本身具備連接網絡功能的IoT設備亦因安全漏洞問題，致使黑客輕鬆取得網絡權限，繼而作出入侵。企業宜將IoT設備清晰分類，以找出易被入侵的裝置，防止被黑客利用作出更大規模的攻擊。 資料來源：https://zd.net/33Blkmb

一份最新的調查報告發現，本港一些運用 5G 物聯網技術的日常用品，如心臟監測儀、智能手表、水壺和健身單車等，可以輕鬆連接企業網絡，而且連接量近年大幅增加，有資案專家認為，普遍香港企業對這些用品連接公司網絡，未有採取足夠保安措施，已形成被黑客攻擊的漏洞。 調查機構訪問來自亞洲、歐洲、中東和北美 14 個國家或地區，合共 1,350 名擁有 1,000 名員工或以上組織的IT業務管理層。當中有九成(91%) 的香港受訪者表示，去年連接到企業網絡的物聯網設備有所增加，當中不乏日常用品。有三成 (31%) 的受訪者反映他們需要大幅改善其企業的物聯網保安措施，逾三分之一 (37%) 受訪者更表示需要徹底的改進，整體接近七成，反映企業對此情況表示憂慮，擔心日常物聯網設備會成為黑客入侵途徑。 網絡安全企業Palo Alto Networks香港及澳門董事總經理馮志剛表示：「員工無意識地連接到企業網絡的IoT設備通常缺乏保安考量，有機會成為輕易存取到公司機密資料和系統的缺口。」他認為應對這種威脅，安全團隊需要能夠識別新設備，迅速評估其風險，並採用安全策略。 另外，報告還發現有五分之一 (20%)…

新型冠狀病毒的爆發，令全球營商環境處於不斷變化和面對衝擊的狀態。雖然本港疫情稍見緩和，企業有望逐步重拾原來的營運模式，但始終疫情反覆無常，為了打好這場持久戰，企業便應以最佳狀態回歸。SAP今年再度參加亞洲年度科技界盛事Cloud Expo Asia，便以「Back to Best」 為主題，提供最全面及有效的解決方案，協助企業應對各種挑戰，迎難而上，探索更廣闊的商機。 得數據得天下 受著新冠疫情影響，全球市況每天都在變化，SAP香港總經理Fabian Padilla Crisol認為「Data is Gold」，企業必須將數據轉化為業務價值，才能提高營運效率。「企業應該利用數據發展商業智能，善用實時數據、透徹分析和自動化，以保持創新和智能化的營運。憑藉這些穩健的端到端數據管理解決方案，SAP具備有利條件，引導和支持客戶有效應對業務挑戰，協助他們維持業務未來的增長。」 Fabian Padilla Crisol認為「Data is Gold」，企業必須將數據轉化為業務價值，才能提高營運效率。他提及的解決方案包括： 數據庫和數據管理： 以高性能的內存數據庫SAP HANA技術為核心，可提升企業捕捉、分析及獲取實時數據的能力，輕鬆調度跨組織的數據使用。企業也可在執行快速交易時，同時運行進階分析，以實時數據和業務洞見作出決策。直觀分析：企業可分析數據、簡化存取關鍵資訊的過程，並以直觀的商業情報找到獨特觀點，並以容易理解的形式呈現出來，再透過端到端功能將觀點化為行動，從而推動更理想的業務成果。智能技術：企業可以善用人工智能、機器學習及物聯網（IoT）等智能科技完善業務流程及資源，不斷創新及制定進入市場（go-to-market）模式。 完善供應鏈迎合市場變化 在疫情中，香港市民的消費風氣和購物交易從實體店轉向電子零售平台，實時的數據便有助企業迎合客戶的需要及快速調整營銷策略。企業可運用SAP…

成日都話要加裝新一代電郵防護系統，究竟有幾重要先？答案係因為黑客經常搞新意思，用唔同手法避過傳統電郵防護之餘，減低你嘅警覺性，一唔小心 click 咗入面嘅連結，輸入的帳戶登入資料就好易被偷。好似新一波釣魚攻擊，就直頭喺真嘅官方網站上造假，問你點防備？ 根據 Cofense 最新的釣魚攻擊調查，發現有黑客開始利用一種常見於 Android 手機上、專門用作偷銀行或信用卡資料的疊影﹝overlay﹞技術。黑客首先會假扮成目標人物嘅 IT 部同事，發出電郵指佢嘅郵箱正被隔離，如果唔點擊連結登入，就會喺指定時間刪除所有郵件，令目標人物即刻做嘢阻止慘劇發生。 而當目標人物點擊連結後，就會跳轉去一個同佢相關嘅網頁如公司官網，舉例用緊 Microsoft 電郵，就會去到真正嘅 Microsoft Outlook 版面，再巧妙地喺上面覆蓋一個登入帳戶視窗，同時預先輸入目標人物嘅電郵，大大增加輸入資料嘅可信度。由於網站係原裝正貨，所以就算目標人物識得去檢查網址有無古惑嗰陣，都唔會查到啲乜嘢，結果就會信以為真，乖乖交出登入密碼。 在真網站上疊加假登入帳號視窗 好喇，咁加裝新一代電護防護工具又有乜用呢？我哋請教咗本地電郵安全專家 Green Radar，以旗下的…

藍牙(Bluetooth)通訊技術最近連環被揭發存在漏洞，例如較早前有安全專家指Bluetooth 4.0及5.0版本存在的「BLURtooth」漏洞，可讓黑客竄改兩部裝置配對時所產生的「跨傳輸埠金鑰」(Cross-Transport Key Derivation)，強行與目標裝置進行配對，繼而入侵裝置。而最近被公佈的BLESA(Bluetooth Low Energy Spoofing Attack)漏洞的影響就更大，估計全球正有數以億計支援BLE制式的藍牙裝置，曝露於攻擊之中。 相對於傳統藍牙制式，BLE制式的特點在於耗電量低，適用於須長期保持連接的裝置使用，其中一個最常見的使用例子是現時商場安裝的室內定位器，只要顧客開啟商場的手機應用程式，就可即時掌握所在位置或附近店舖提供的購物優惠。由於這些定位器須長期啟動，而且安裝位置又未必有電源，所以BLE制式便最適合這些裝置採用。 這次由美國Purdue University研究團隊發現的BLESA漏洞，便專門針對在BLE制式下，兩部已進行配對的裝置在重新連接(Reconnection)時，有否進行身份驗證；結果發現，當兩部裝置因超出接收距離或訊號不良而斷線後，在重新連接的過程中不會強制進行身份驗證，可能只需符合相關條件(如裝置名稱、MAC address)便可reconnect。從示範影片可見，研究團隊以電腦假扮一個BLE制式指環，成功與已配對的手機進行連接，並向手機發送兩個互相矛盾的訊息。團隊續指無論是Linux、ios、Android的BLE制式均存在上述漏洞。雖然現時部分作業系統已進行修補，但由於這些BLE裝置大多不支援連線，要逐一拆下來安裝修補檔將會非常痛苦！ 資料來源：https://zd.net/32LFdrP