為咗確保機密情報或系統唔會被黑客偷走,將電腦斷網運作嘅 air-gap 做法,一直被認為係最最最安全。不過,到底係咪真係完全無敵呢?梗係唔係啦!好似近年就多次有研究員、黑客示範,點樣喺 air-gapped 嘅電腦內偷資料,我哋之前亦邀請到本地 Cybersecurity 研究團隊 VXRL 嘅 Boris So 完美示範過;簡單講,就係以一隻靠扮 USB Keyboard 而實質會裝惡意軟件嘅手指,插入斷咗網嘅電腦,再用意想唔同嘅方法將數據外傳,例如 Boris 就將文字轉化成人耳聽唔到嘅超高頻傳送出嚟,再用另一部電腦接收同轉換返。 咁係咪拆咗個 Speaker 就可以維護返斷網電腦嘅無敵傳說呢?咁諗就錯喇。…
Search Results: USB (42)
「Best Buy 感謝閣下多年支持!現在附上本公司50 美元儲值禮物卡,可選購指定商品,商品清單可於 USB 手指內查看。」當你收到附有 Best Buy 禮物卡嘅感謝信,你會唔會想八吓有乜嘢換?除非你無幫襯過 Best Buy,戒心可能會大啲,但如果你又係 Best Buy 常客,真係好易中招㗎喎! 美國 FBI 最近發現,國內正流行一種復古欺詐手法。犯罪集團 FIN7 Gang 利用購物卡,利誘對象將裝有惡意程式嘅…
Apple 近日再為 iOS 升級,最新版本係 13.3,根據 Apple 網站所講,今次升級最大嘅特點,係新作業系統加強咗家長監控功能,可以限制小朋友使用通話、FaceTime 或發送訊息嘅對象。另外一項升級,相信會有更多 iPhone 用家受惠,就係開始支援 NFC、USB 及 Lightning FIDO2 等規格嘅實體安全金鑰,要登入公司帳戶,就可以用呢啲 hardware security key 嚟做近距離雙重驗證,進一步增加安全性啦! 不過,原來今次升級仲有一項…
網絡安全公司同審計公司,喺幫客戶做風險評估嗰陣,都有需要做滲透測試,睇吓員工嘅安全意識夠唔夠高,有無員工要做出嚟重點培訓。由於要試員工嘅安全意識,所以負責測試嘅人有時會特登做啲踩界嘢,例如扮維修員要求插 USB 手指入公司內部電腦系統,又或借用電腦收發電郵,如果員工覺得唔對路,就會拒絕要求或暗中報告上級跟進。不過,唔少調查報告都會話俾大家知,員工本身就係最大嘅安全漏洞,所以未必會意識到咁做可以好大件事,包括紐約警察學校嘅員工在內。 話說上年 10 月,紐約市皇后區一間警察學校因為要裝一個數碼顯示屏,於是就搵咗外判商嚟搞。唔知係咪學校入面嘅人無諗過件事咁嚴重,當外判商要接入內部聯絡做設定時,竟然無人出手阻止對方直接將電腦接駁,結果呢部中咗毒嘅電腦,就透過網絡將病毒感染 23 部指紋追蹤系統。紐約警方喺幾個鐘後就發現有可能出現私隱外洩,即時漏夜熄咗 LiveScan 呢個指紋追蹤系統,同時將受影響嘅 200 部電腦重新安裝,避免病毒透過網絡擴散,最終都成功控制到病毒嘅影響。 外判商喺呢次事件,梗係要負大部分責任,不過,紐約警方經調查後,相信對方都係無心之失,所以未有公布對方嘅公司名及控告對方。據講呢個 LiveScan 系統連接住藏有 700 萬筆資料嘅數據庫,當中更包括較早前被證實非法保存嘅未成年罪犯嘅資料。至於有幾多人受影響? 發言人就回應話受影響嘅只得 0.1%,信唔信就由你決定喇。不過,外來 USB…
喺九月尾,獨立安全研究人員 @axi0mX 表示,發現一個存在於 bootroom 嘅漏洞,呢個取名為 checkm8 嘅漏洞,由於係寫死咗喺 ROM 入面,所以除非更換硬件,否則係修復唔到嘅。受影響嘅 iPhone 包括 iPhone 4S(ARM A5 chip)至 iPhone X(ARM A11 chip),基本上除咗最新出嘅 iPhone…
而家唔好話係商場,就連好多交通工具,好似飛機、巴士、地鐵,喺部分乘客位都會設有 USB 插座,俾大家幫手機補補電。如果大家有充電線喺身,相信都會毫不猶豫咁隊入去叉電。不過,其實咁樣做真係好危險,因為黑客可以透過改裝充電位,入侵連接嘅手機或平板電腦,美國洛杉磯檢察官喺最近更發出呼籲,叫大家唔好亂插公共 USB 充電插位,事態好似好嚴重喎! 通過改裝嘅 USB 充電插位或充電線,入侵或鎖死使用者嘅手機或平板電腦嘅個案,其實都唔係新鮮事,而且仲有埋名叫「juice-jacking」添!雖然呢種攻擊手法已被唔少專家證實咗佢嘅可行性,但有網絡安全研究員就話,無證據顯示被廣泛使用。 事實上,之前我哋都報導過市面上有唔少內置惡意程式嘅 USB 充電線,只要你連接部手機,黑客就可以無線啟動線入面嘅程式,入侵你部手機或攔截你輸入嘅內容,所以即使唔係廣泛被使用,大家都係小心啲好。 美國洛杉磯檢察官 Jackie Lacey 就俾咗少少建議大家,首先係要自備火牛,有需要充電時就搵電源插嚟充電,唔好插 USB 插位;其次就係最好帶備尿袋喺身,要叉電都搵佢嚟叉。除咗以上兩個建議,大家仲可以去購買純充電線材,或另外買一個俗稱 USB Condom 嘅插頭,只要喺自己條充電線上嘅…
做咗資安界咁多年,其中一個印象最深刻嘅場景,就係 2010 年嗰屆 Black Hat 網絡保安大會,研究員 Barnaby Jack 現場示範點樣快速入侵一部提款機,成功令佢嘔晒所有錢出嚟。當部機嘔緊錢,畫面仲要顯示「JACKPOT」老虎機中獎畫面,所以日後呢類型入侵都叫做「jackpotting」。 雖然嗰次示範已經為提款機嘅保安響起警號,但話晒都要有番咁上下技術先做到,加上又未有真實案例出現,所以開頭都唔係咁多人關心。事隔幾年就唔係咁講喇,2017 年德國就開始出事,當地部門發現由 2 月開始到 11 月,總共發生咗至少十單 jackpotting 事件,雖然唔係每單都成功偷到錢,但加加埋埋都令銀行唔見咗 140 萬歐元! 你可能會諗,銀行網絡咁高保安,佢哋係點樣入侵到部提款機嘅呢?其實好簡單,入侵銀行網絡難度咁高,梗係唔係人人咁做,大部分黑客係直情撬開部提款機,將裝咗 jackpotting 程式嘅…
做咗資安界咁耐,問親中小企老闆,普遍都仲係以為自己間公司咁細規模,啲黑客唔會有興趣,但係事實上好多調查及統計報告都話你知絕對係謬誤嚟,好似最新由 Verizon Data 公布嘅調查顯示,43% 嘅黑客攻撃係針對中小企,證明咗黑客搞唔搞你,並唔關公司大定細,而且調查仲話黑客就係睇準中小企疏於防範嘅心理,自然捨難取易。 好喇,中小企老闆呢個時候又會講,我哋真係中小企嚟㗎咋,邊似得大企業咁多資源,可以買咁多軟硬件同埋請人嚟對抗班黑客呢?咁又未必要咁大陣仗嘅,以最近 Barracuda 公布嘅 2019 資安調查報告為例,59% 有毒檔案嚟自文件檔,而中小企每日又要處理無數文件檔,好易中招,所以今次就教大家五招,有效防止喺收到文件時中毒。 有理冇理先解毒 好多公司以為裝咗防毒軟件,就乜都擋到,實情而家啲毒愈整愈複雜,甚至會因應被發現嘅病毒定義而不停變體,唔係咁易搵到佢哋出嚟。最佳方法係用 disarming malware 呢個方法,佢會當所有檔案都係毒,一收到任何檔案就會將佢解體,抽絲剝繭睇吓入面有冇唔屬於呢類型檔案嘅可疑物體,有就立即移走,而且確保移走咗都唔會影響文件原本結構,咁就令你永遠只收到乾淨嘅檔案啦! 網絡電郵靠唔住 據統計,而家全球一日收成 2930 億封電郵,預計到…
從事網絡安全行業,都知道世界上沒有百分百安全的偵測工具,可以完全阻截黑客的攻擊。如果有,就不會出現零時差攻擊(Zero Day Attack)。 RESEC 網絡安全公司的 Executive Chairman Tal Yatsiv 亦明言,網絡安全只是一場攻防戰,防守方往往處於被動,大部分時間只能見招拆招;相反攻擊者由於了解守方的防禦手法,自然更易鑽探漏洞,想出新鮮的攻擊方法,「所以我們認為最佳的防禦策略,並不是偵測而是預防。」他說傳統防禦概念是以不同的工具去偵測哪些檔案藏有病毒,建立白名單,但前設是病毒特徵資料庫必須先有記錄,否則偵測工具便會放行,換言之都有出錯風險,「因此 RESEC 創辦人及 CTO Oren Shnitzer 當年設立 RESEC 時,其宗旨並非為了攔截有問題的檔案,而是視一切檔案都有問題,並提供安全方法讓用家去開啟檔案。」 安全防禦 拒設白名單…
雲端應用雖然已大行其道,不過,不少企業管理者仍然無法信任其安全性。最近一份針對亞太地區企業進行的安全調查報告《Data Security APAC 2019》顯示,發展成熟的企業當中,只得 27% 認為公共雲(Public Cloud)有足夠的網絡安全功能。而整個亞洲區的企業中,有 73% 受訪者認為資料外洩是無可避免,這可能跟超過 75% 企業管理者未能了解如何可安全保護業務有關。 增加攻擊難度 企業要提升公共雲的防禦力,可從設定嚴緊的登入措施及加密數據著手。首先企業管理者要釐清各員工的登入權限,可有效阻止未獲授權的員工接觸重要的文件或作業;不過,如登入帳戶資料被盜取,黑客一樣可以登入雲端應用竊取資料,所以企業亦應考慮採用多重因素認證(Multi-Factor Authentication)機制,例如以 USB、藍牙硬體鎖作為 Security key,員工登入帳戶時必須持有這硬體鎖,這樣即使登入名稱及密碼外洩,黑客亦無法登入帳戶,減少公司機密資料被盜取的風險。 另一方面,雖然公共雲供應商有提供網絡安全措施,但客戶並不能單純依靠對方的防護,因為客戶本身存有分擔責任(shared responsibility),必須採取足夠的手段去保護儲存在雲端的資料,否則亦難以追討賠償。而要確保數據安全,最好便是選用加密技術,例如 tokenisation 或 cyptographic 等工具,將數據亂碼化或以金鑰作保護,即使數據被盜用,或於轉送中褒被攔截,黑客亦難以破解及還原數據的內容。 雖然 MFA 或 Tokenisation 都是非常有效的保護公共雲手段,但在今次調查報告中,企業的採用率都不高,前者少於 50%,後者更少於 20%。隨著全球各地陸續立法管制數據安全,資料外洩已不單只會影響商譽,更有可能為企業帶來災難性的金錢賠償,要避免企業營運陷入困境,由今日開始,就要立即採取措施,守好雲端上的數據。 (article sponsored by Edvance)