Search Results: 白帽 (20)

    美國國土安全部 (The Department of Homeland Security) 去年啟動 Hack DHS 賞金獵人計劃,以賞金邀請有能之士找到系統的安全盲點。計劃執行近半年,DHS 方面公布已堵塞 122 個安全漏洞,當中有 27 個屬極危險級別,而整體只發放了 12.5 萬美元獎金,可見這類賞金獵人計劃的性價比極高。 針對他國發動網絡攻擊,藉此窒礙敵國的經濟發展或刺探政治軍事機密,有時比起派間諜執行更有效率。作為全球最大影響力的美國政府,單在去年已多次指控俄羅斯政府放任黑客集團攻擊,對美國市民造成能源短缺、大量企業受到勒索軟件攻擊等後果。而為了加強國家網絡安全防禦力,美國聯邦政府曾發出行政指令,要求各政府機關盡快堵塞系統漏洞,並發出指引要求各部門執行。 不過,要找出系統漏洞,單靠部門內的專家未必可行,最有效率的方法是邀請外人調查,過程才能做到不偏不倚,探查能力甚至會更大。有見及此,美國國土安全部便於 2019…

    自美國 Black Lives Matter 的種族抗議運動,大眾對關乎「黑」的詞語都頓變敏感,其中一資訊界常用術語「Black Hat」(黑帽)亦成為備受熱議的話題。事關早前 Google 工程副總裁 David Kleidermacher 高調宣佈退出原定 8 月舉辦的 Black Hat USA 2020 安全會議,更喺 Twitter 撰文呼籲…

    資料顯示,預計 2022 年因網絡罪案導致嘅經濟損失達 8 萬億美元,每一宗資料外洩令企業損失近 400 萬美元,企業鬥創意鬥效率鬥專業時,仲要鬥安全,呢方面已經成為各行各業共識,所以資安人才相當渴市,搶人難,管理又煩,而一味靠人搵漏洞,係咪 21 世紀最有效手段?再加埋 5G 帶動 IoT 同埋新冠掀起 Work From Home 潮流,未來嘅資安挑戰只會更大。PwC 最近推出 Ethical Hack…

    疫境下全球失業率急升,但有幾個行業不受影響,如常運作,其中一個就係協助堵塞網絡保安漏洞嘅白帽黑客。 講到黑客,好似一定犯法,其實不然。有道德嘅一班高手,選擇向網絡保安服務商舉報漏洞,以前可能當響朵贏得一官半職,隨著網絡安全得到重視,賞金平台 HackerOne 開張大吉,一班白帽黑客就可以靠賞金過活。係咪好想知點樣入行?賞金行情?由曾黑入美國政府嘅 Tommy DeVoss、由程式員轉職嘅 Cosmin、HackerOne 首位累計過百萬美元賞金嘅 Santiago Lopez,三位全職賞金獵人向大家披露入行心得。小編將之總結成以下 5 大重點。 實質工作流程係點先? 要睇大量文件、熟用 Burp、Sublist3r、dnscan,亦要開發個人工具、不斷吸收最新網絡保安資訊、寫報告、搵出自己擅長嘅保安範疇與策略等。技巧方面,唔可以只參考一個黑客嘅工作方式,要喺唔同人身上偷師,融會貫通,建立個人風格。呢份工好花時間,有時埋門一腳會被人截糊,第 2 名係一蚊都分唔到,所以唔好以為真係篤吓電腦就有錢袋咁 naive,真係要有興趣「捉蟲」,保持好奇心,享受破解嘅快感,唔好下下用錢衡量付出。 收入有幾多? 一個有料嘅白帽,每星期做…

    上一期講過甚麼是「白帽黑客」(White Hat),是指在完全合法的情況下對系統進行攻擊,以求找出安全漏洞,令對方作出修補的黑客。我上個月剛與一位國寶級的白帽黑客見過面,並對網絡安全作深入交流。 這位高手是來自北京的陳宇森,現年只是 26 歲,臉上還有一點稚氣,但跟他溝通,卻感覺到他是非常成熟和有目標的。他除了近年在中國區的各類黑客大賽勇奪各項大獎之外,在 2016 年的全球 DEFCON CTF 黑客大賽獲得第二名,以及在 2017 年另一個全球大型黑客大賽 Pwn2Own,獲得世界第三名。年紀輕輕已在國際大賽打響名堂,實在殊不簡單。但他跟我說:往後應不會再參與同類型的比賽了。畢竟已獲過獎項,可以說是得到業界對他技術能力的肯定。 最令我欣賞的是這位年輕白帽黑客,在 2014 年已成立了安全技術公司,運用自身的專長,開發了一些高端安全產品,來應付日益複雜的黑客攻擊,並獲得一些在中國的大企業所採用。所謂「知己知彼、百戰百勝」,以黑客的思維制訂安全方案去對付黑客攻擊,從邏輯來說,應會更有效。 除了安全產品外,陳宇森也有一套獨特的技術人員培訓計劃,可以說是比較實戰型。點解?一般網絡安全培訓機構都比較學術性,市場上的安全證書如 CISSP、CISM 等,也比較着重理論。但陳宇森所提供的是一套「網絡攻防實訓平台」,內裡包括模擬訓練、線上比賽、線下實訓等。在快速多變的網絡安全領域裏,我個人也認同實戰比證書更重要,也正考慮如何把這套實戰平台引入,來提升本地網絡安全人才應對網絡攻擊的能力。

    講到「黑客」這個名詞,一般都畀人感覺唔係咁正面,並會聯想到「網絡攻擊」、「網絡詐騙」、「資料盜竊」等負面行為。 其實黑客也大致分為三類,分別為「白帽黑客」(White Hat)、「灰帽黑客」(Grey Hat)及「黑帽黑客」(Black Hat)。白帽黑客以「改善」為目標,破解某個程序,令對方作出安全漏洞修補;灰帽黑客以「展現」為目標,透過破解、入侵去炫耀其擁有高超的技術,或者宣揚某種理念;黑帽黑客以「利慾」為目標,透過破解、入侵去獲取不法利益,或者發洩負面情緒。 白帽黑客是在這十年最熱門的職業之一,但不要以為是一件容易的工作,你必須對電腦系統、編寫程式、操作系統、網絡等有深刻的認識。白帽黑客大多是電腦保安公司的僱員,並在完全合法的情況下攻擊系統,以求找出安全漏洞。另外,也有很多大企業會聘請白帽黑客來保護其系統和訊息,薪酬也非常可觀呢。 至於電腦廠商方面,為鼓勵找出安全漏洞,也會付出豐厚獎金(Bounty Program)給予找出安全漏洞的舉報者。這個做法推至近年火熱的 ICO 市場,以進一步加強系統安全性。對白帽黑客來講,又多了一個收入來源。 再且,近年在網絡安全市場也興起黑客 Pwn 或 CTF 比賽,獎金也愈來愈吸引,勝出者亦可名利雙收。Pwn 一般讀作 Pone,自從「own」這個字引申出來的,意思是玩家在整個對戰中處在勝利的優勢,主要用於嘲笑競爭對手在整個遊戲對戰中已經完全被擊敗(例如:You just got pwned!)。CTF…

    現今網絡威脅不斷上升,黑客攻擊經常出現,最近攻擊政府機構的勒索事件成為城中熱話。黑客會使用不同的攻擊工具,以識別系統中存在的漏洞,並利用漏洞獲取受害者伺服器的存取或控制權。許多網站的資料泄露主因,是黑客熟用不同的攻擊工具,成功尋找漏洞,並利用漏洞來竊取資料。 想睇更多專家見解?立即免費訂閱! 對於一般中小企而言,公司的網頁平台,不論是公司主頁或是內部系統,很多時都會忽略了安全性檢查,繼而成為攻擊事故中的起始點。多了解最新的黑客技術和工具,對保護網站的安全至關重要。在黑客進行攻擊前,找到網站漏洞並加以修復,使黑客難以利用安全漏洞來保護資產的安全。 以下列出五個知名的網站攻擊工具,所有工具都可以公開下載並已被廣泛使用。 Nmap Nmap 是一款備受歡迎的網絡探索工具,用於搜索網絡上的主機,檢測其提供的服務以及運行的操作系統等。對於每位學習黑客攻擊技術的學員來說,這是必學的工具,因為識別攻擊目標中運行的軟件,是發掘漏洞的第一步。 Metasploit Metasploit 是一個擁有眾多攻擊模組的平台,覆蓋不同的攻擊目標,如網站、檔案分享伺服器、基礎建設設備等。透過其提供簡單易用的設定指令,使攻擊者快捷發動攻擊。 Burpsuite Burpsuite 是一款攔截工具,用於攔截網頁(HTTP)用戶和伺服器之間的網絡流量,其功能為掃描網頁漏洞、了解網站運作機制以及執行自動化攻擊。 Nessus Nessus 是一個圖形化界面的漏洞掃描工具,用於檢測各種操作系統、資料庫和網絡應用程序的漏洞,幫助組織辨識潛在安全威脅。其優點為提供直觀操作,並對目標進行全自動化的漏洞掃瞄,操作上對新手來說也較容易上手。 SQLMap SQLMap 專門用於自動化檢測並利用資料庫注入漏洞。它擁有強大的檢測引擎,支援坊間大部分資料庫系統。安全研究人員和黑客可以使用 SQLMap…

    OpenAI宣布,為了提升網絡安全性,將會推出自家的賞金獵人(bounty hunter)計劃,只要有人向公司舉報安全問題,一經確認即可獲得 200 至 20,000 美元賞金。不過,OpenAI 指明賞金只對應系統存在的安全漏洞,不包括破解版的 ChatGPT。 想知最新科技新聞?立即免費訂閱 ! 自從 OpenAI 去年推出 ChatGPT 人工智能聊天機械人後,隨即引來各界關注,更帶動其他科技公司推出各種 AI 服務,加速業界發展。不過,快並不一定是好事,好似 OpenAI 在推出 ChatGPT…

    「重賞之下必有勇夫」這句說話可謂世界通行,有黑客組織早前就在俄羅斯一個地下討論區,以 11.5 萬美元獎金,邀請有才之士提供針對加密貨幣 (cryptocurrency) 及攻擊相關技術的可行方法,包括挖礦工具、智能合約及非同質化代幣 (NFT) 等等。比賽將於 9 月 1 日結束,不過主辦方現時已收到不少「學術」研究。 集思廣益是其中一個搵出漏洞的最佳方法,白帽黑客界亦有採用這種方式,當中以 HackerOne 賞金獵人 (bug bounty hunter) 平台最有名氣,旗下擁有約 60 萬會員,成員更來自全球 170 個地區。上年其中一個會員…