今時今日，不少開發者都會使用 Docker images 加快開發效率，不過一份研究報告便發現，不論是 Docker Hub 倉庫上或私人註冊的 Docker images，有接近 8.5% image 都包含了 secrets 密鑰資料，讓黑客有機會利用它存取系統數據，不單影響開發者提供服務的安全性，更造成數據外洩危機。 想知最新科技新聞？立即免費訂閱 ！ Docker images 是創建容器的模組，它包含了運行容器所需的軟件編碼及運行配置，令應用程序更易運行及維護，因此深受開發者歡迎。以往黑客會透過在一些 Docker…

公認有助加快 DevOps 流程的 Container 容器技術，其最受歡迎開發平台 Docker Hub 被驗出含有大量惡意 Images，400 萬個 images 當中超過一半有問題，只要開發團隊隨意下載這些開源 images 使用，隨時無意中成為入侵幫兇…… Docker 虛擬化技術深受應用程式開發者歡迎，因為可將應用程式連同環境製作成不同的 Image，快速移植到各種作業系統之上。雖然 Image 一經封裝，理論上便不可改變，但並不代表 Container…

Aqua Security 研究員發表研究報告，指有使用開源倉庫儲存開發計劃的企業或開發人員，未有慎重處理上傳數據中是否包含容器管理平台的帳戶登入憑證，從研究員發現的二百多個計劃中，竟包括多間財富 500 名單上的企業及兩間區塊鏈公司，如被有心人取得，將會引爆破壞力驚人的供應鏈攻擊，企業不可不防。 想知最新科技新聞？立即免費訂閱 ！ 以 GitHub 的 API 進行搜尋 不少企業現時都有使用容器技術，因為它具備非常高的彈性及可擴充性，讓企業可在本地環境開發各種應用程序之餘，也能輕易轉移至公共雲或混合雲環境，以應付不同的業務需求。由於容器有輕量及可移植特性，因此亦有快速部署或交付的優勢，並能在不同作業環境保有一致的運行表現，減少硬體需求及營運成本。而為了能有效率地管理容器，企業會選用 Kubernetes 等開源容器管理平台，除了有助管理容器化的應用程序，還可獲得一定的安全性及在故障時根據設定自動重啟服務。 不過，今次 Aqua Security 便針對開源倉庫 GitHub…

軟件開發者 Stephen Lacy 最近一份調查發現，開發者經常使用的開源程式碼平台 GitHub 上出現 35,000 個懷疑含惡意功能的專案，它們可以暗中竊取使用者儲存的帳戶驗證資料，其中一條程式碼更可讓黑客遙距執行指令，如經常使用 GitHub 者要留神。 GitHub 是全球最大的開源社群，它可供軟件開發者儲存程式碼專案，亦可讓開發者們之間進行交流，現時 GitHub 上已有超過七千萬會員，會員可以隨意瀏覽或下載其他會員上載的專案，不單有助開發者學習編程，甚至可直接將專案內容套用在自己的軟件內，可說是開發者的必備後台。不過，黑客亦看準 GitHub 的高使用量，因此會用各種方法散播惡意軟件，其中之一是上載有惡意功能的專案，如 GitHub 或其他會員未能發現，便可成功感染下載者的電腦設備。 這次由 Stephen…

以 Linux 系統運作的物件無處不在，更是互聯網基礎設施的核心部分，但低功率的物聯網 (IoT) 設備，原來也稍稍地成為 Linux 惡意軟件的主要目標。隨著數十億聯網設備，如汽車、雪櫃、網絡連線裝置連上互聯網，這些物聯網設備已成為某些惡意軟件活動的主要目標，並以 DDoS 模式作攻擊，以垃圾流量強行令目標離線。 安全服務供應商 CrowdStrike 在一份新報告中表示，2021 年最常見針對 Linux 的惡意軟件系列分別是 XorDDoS、Mirai 和 Mozi，三者加起來佔該年所有針對 Linux 物聯網的惡意軟件共…

一款專門針對 Linux 作業系統的挖礦軟件 (crypto-mining) 被發現有新變種，去年背後的黑客只針對 Docker 容器 (container)，但來到 2021 年就專攻雲端服務例如華為雲。最有趣的是在執行入侵流程時，挖礦軟件會先為目標設備剷除已安裝同行的挖礦軟件，而且還用上其他加密方法保護自己，令其他黑客無法將它剷除。 今次的變種挖礦軟件由網絡安全服務供應商 TrendMicro 的專家發現，指出新的挖礦軟件不單保留了以往的功能，更加入新的功能保護自己可以永續存在。專家解釋整個攻擊流程，當變種挖礦軟件準備落腳雲端服務上的虛擬機時，首先會為系統進行掃描，檢查是否有其他挖礦軟件的存在。如有發現，便會視乎屬於哪一款病毒，決定清洗程序，將虛擬機還原成一部「乾淨」的機器，以便變種挖礦軟件啟動安裝程序。前期準備功夫還包括挖礦軟件會自行銷毁入侵痕跡，增加被發現的難度，然後才開始逐步引入惡意負載 (payload)，完成整個入侵流程。 既然變種挖礦軟件有能力剷除異己，背後的黑客自然有備而來。專家指出挖礦軟件採用了自家的 ssh-RSA 加密金鑰對系統進行修改及將檔案存取權限鎖死，因此即使有其他惡意軟件入侵，也無法將它移除，同時亦無法取得所有控制權限。黑客又利用洋蔥網絡 (Tor) proxy 服務，去保護挖礦軟件及…

移動支付（e-Payment）在疫情爆發前已開始盛行，而在疫後新常態下，為了減少接觸，網購、無現金交易更大行其道，零售商紛紛尋求嶄新移動支付方案，以方便客戶購物，創造商機。科傳零售系統有限公司 （TT Retail Solution Limited） 推出SaaS 移動支付方案，支援 Alipay、WeChat Pay、FPS 及銀聯雲閃付結算服務，滿足使用不同支付方案的客戶。 「方案有助簡化業務營運及資金管理，大幅提升銷售收益」。科傳首席顧問廖浩生先生 簡化業務營運 打造全渠道零售方案 科傳零售系統有限公司是中國最主要的零售信息化管理供應商之一，為大量國內外知名企業提供全面、完善的全渠道零售管理解決方案。科傳首席顧問廖浩生先生分享，憑著多年零售管理與項目實施經驗，科傳 SaaS 移動支付服務融合多種支付模式，協助商戶迅速開通廣大移動支付、技術接口開發、店舖收銀實施改造，營銷活動等全渠道 O2O 生態鏈服務，「方案有助簡化業務營運及資金管理，大幅提升銷售收益」。 科傳首席顧問廖浩生先生表示，科傳SaaS移動支付方案有助客戶應付高交易吞吐量。 科傳…

https://www.youtube.com/embed/0m4w1cO4CsM?wmode=transparent&rel=0&feature=oembed Container（容器）技術是近年 IT 業界的新寵，其輕量化、共用資源、快速部署等優勢，深得開發者歡心。Cloud Native Computing Foundation (“CNCF”) 今年發表的一份調查報告更顯示，在 2019 年已有 84% 業內人士已採用 Container 技術，比 2016 年的 23% 大增三倍有多。雖然是大勢所趨，不過企業或 IT…

https://www.youtube.com/embed/nlS5lBNm9Us?wmode=transparent&rel=0&feature=oembed 上次網絡安全組織 VXRL 成員 Boris So 同大家講解過後門（Backdoor）好難分辨有心定無意，同埋簡單介紹咗後門的種類。今次就用三個實例，分析三種常見嘅後門攻擊手法係點執行，同埋根據呢三個個案嘅攻擊手法，從植入嘅複雜性、可執行嘅權限及隱密性三方面嚟進行評分。 寫死密碼 講緊嘅係 2015 年 Juniper 嘅 Firewall 被發現有後門事件，呢個後門屬於 hard-coded password，只要經 SSH 或 Telnet…

特權帳號管理方案領域上，CyberArk 絕對是龍頭，去年就繼續被 Gartner 欽點評為 Leader 了。最近，CyberArk 特別舉辦了 CyberArk Refresh，從 Endpoint、Cloud、DevOps 等不同角度介紹 CyberArk 強大功能，幫助用戶更好地發揮手中利器。 CyberArk 活動由 Jack Poon 揭開序幕，Jack 指出 Gartner…