Browsing: MFA

    美國網絡及基礎設施安全機構 (CISA) 發出非常危險行為注意目錄,呼籲企業或機構必須特別提防及避免讓員工犯錯,今次小編就帶大家一齊睇睇,當中有邊幾個項目要盡快達標。 近年勒索軟件事故頻頻發生,特別是美國企業及機構就經常受到攻擊。雖然近來勒索軟件集團的氣焰稍為放緩,不過美國的 CISA 未有放下戒心,反而全速製作一份高風險行為手冊,讓企業或機構能按著手冊內的重點,重新審視現時採用的安全措施是否足夠,以減少美國企業或機構遭受攻擊的機會。當中有三項行為被列為超高風險: 單因素驗證:即在登入帳戶時,IT 系統只要求員工使用其用戶名稱及對應密碼登入。由於大部分人為了貪方便,都傾向採甪簡單的密碼組合及與其他帳戶共用同一密碼,因此只要黑客使用暴力破解 (bruteforce) 便能輕易入侵;而後者亦容易因員工其中一個帳戶登入資料被外洩,繼而引發公司帳戶被入侵。研究發現,如採用多重因素驗證 (multi-factors authentication) 已可阻止 99% 帳戶入侵事件,因此企業或機構應盡快採用。 弱密碼:基本上比起採用單因素驗證更高風險,因為員工如自設的密碼夠強,例如採用無意義的英文字串,加插大小楷及數字符號,黑客要暴力破解也不容易。但如員工採用 password、12345678 或偶像英文名作為密碼,黑客便能瞬間破解。解決辦法是鼓勵企業採用多重因素驗證之餘,可讓員工使用密碼管理器,這樣員工才不會因要記住複雜密碼而頭痛,亦可令他們更易接受為每個帳戶採用不同密碼。 過期軟硬件:又一嚴重危險行為,如企業所使用的軟硬件已停止生產,而製造商或開發商亦停止繼續為產品提供支援,屆時如被發現安全漏洞,企業也不會得到任何保護,而黑客便可利用漏洞大舉入侵。企業應盡早做好升級準備方案,如已知悉產品將被停止支援,便應即時跟進。 資料來源:https://zd.net/3jDVvLA

    新冠病毒出現之前,大部分企業都採用在辦公室工作的上班模式,由於員工都在公司內部網絡工作,受到企業級防火牆及其他安全工具保護,因此遭受網絡攻擊的風險較低。不過,在家工作模式下企業急於採用各種 VPN 及雲端應用服務,如因安全設定不足,便為犯罪分子提供入侵機會,通過釣魚電郵及暴力破解用戶名稱及密碼,長時間潛伏在網絡上進行更大的破壞,例如竊取企業機密資料,或使用勒索軟件加密電腦設備或檔案。要防止黑客入侵,企業必須制定完整的網絡安全政策。 採用多重身份驗證(MFA):無論是登入虛擬專用網絡(VPN)、遠程桌面協議(RDP)服務或其他雲端應用服務,員工必須使用帳戶名稱及密碼以外的驗證方法,例如驗證應用軟件或 USB 硬件密鑰,不僅可以阻止黑客入侵,還能在對方嘗試登入時接收警報,讓企業知道自己有可能已成為黑客攻擊的目標。 加密數據:對數據進行加密(encryption),便可防止未經授權者讀取檔案的內容,無論檔案存在於內部網絡、雲端儲存庫或員工的電腦,又或在傳輸過程被截取,黑客也無法讀取或修改內容。 及早更新安全檔:與其他應用程式一樣,及早安裝更新檔可以更好地運行雲端應用服務,同時還可堵塞安全漏洞,減少被網絡攻擊的風險。而且愈早更新,愈能阻止黑客入侵。 採用雲安全狀態管理(CSPM):企業使用的雲端服務愈來愈多,獨立管理或會出現漏洞。使用CSPM工具可以自動地識別和修復圍繞雲中錯誤配置和合規性的潛在安全問題,保護雲基礎設施免受潛在攻擊和數據外洩的影響。 準確設定帳戶權限:雲端服務可能很複雜,但也必須為每個帳戶設定使用權限,令每個員工因應其工作職能,只可接觸指定的檔案或應用服務,可減少其中一個帳戶被竊取所帶來的損失。 持續備份作為應急計劃:一個好的雲安全策略應該包括存儲數據備份和離線存儲,如果發生意外或入侵事故,企業也能使用備份資料恢復運作。 方便員工:企業應該為員工提供最安全的企業雲端服務套件,因為如果它太難用,員工有可能偷偷轉而其他公共雲工具。此問題可能導致公司數據儲存在個人帳戶中,從而產生更大的外洩風險,尤其是在員工的個人帳戶缺乏多重身份驗證或權限控制等安全設定。 企業在享用雲端服務的好處時,亦必須確保擁有安全的雲安全策略,不僅應該使用多重因素身份驗證、加密數據和妥善備份及保護數據等工作,還要考慮員工感受,挑選易於使用及安全的雲端服務,才能吸引員工使用,讓企業上下始終在統一的安全政策下運作。 資料來源:https://zd.net/2VgJPEI

    網絡安全公司 Trend Micro 最新公布的研究指,約一半的公司沒有預防或檢測勒索軟件攻擊的技術,並指出許多機構不具防備勒索軟件攻擊所需要的網絡安全能力,包括未能檢測到網絡釣魚電子郵件、遠程桌面協議 (RDP) 入侵或其他攻擊者在部署勒索軟件活動所用到的常用技術。 該報告警告,許多組織苦於檢測出與勒索軟件及相關攻擊的可疑活動,而這些活動其實是網絡犯罪分子已經破壞他們的網絡的早期證據,企業無法識別跨公司網絡的異常橫向移動,或者無法發現未經授權的用戶,存取公司數據。發動勒索軟件攻擊背後的網絡罪犯,存取數據不只將其加密,更會竊取這些數據,並以發布這些盜取得來的數據作為威脅,迫使受害者支付贖金獲取解密密鑰。 研究亦揭示,企業遭到勒索軟件攻擊後,不到一半能快速恢復過來。即使企業在成為勒索軟件的受害者之後,五分之二的企業,或仍難以有效從中學習,避免再成為勒索軟件攻擊的受害者。研究警告,勒索軟件仍有空間成為更大的問題,如果組織在遇到第一次攻擊時準備不足,當遇到第二次和第三次攻擊,也可能同樣準備不充分。在勒索軟件的運作商業模式被破壞前,將仍然是一眾企業需要防禦的持久威脅。 有關研究對來自美國的中至大型組織的 130 名網絡專業人士進行訪問,建議組織應採取三個網絡安全程序,來防止成為勒索軟件和其他網絡攻擊的受害者,分別是多因素身份驗證 (MFA)、經常修補安全漏洞、離線儲存備份。 其中 MFA 能大大提升防禦,即使網絡犯罪分子確實竊取了密碼,MFA 作為額外的保護,也可以提供有效屏障,雖然網絡釣魚仍可能導致憑據受損,但 MFA 減少了隨之而來的影響。 經常修補安全漏洞則降低網絡犯罪分子,利用已知安全漏洞作為攻擊鏈的部分能力,而離線儲存備份提供毋需向網絡犯罪分子支付獲得解密密鑰,仍可回復數據的方法。 恢復網絡可能是一個漫長而繁瑣的過程,因此避免它的最佳方法,是避免成為勒索軟件攻擊的受害者,但研究亦承認,沒有任何網絡安全策略可完全阻止網絡攻擊,但如果組織有應對網絡攻擊而作準備的策略,能令損害受制和恢復更快。…

    近日全球各地發生多宗數碼災難,有保險公司旗下牽涉多國的客戶數據資料遭公開,更接連有基建,包括能源公司、醫院、軟件公司等遭受勒索軟件威脅的事故,牽連甚廣,影響民生。面對黑客頻繁出動,企業必須找出現行系統存在的漏洞,加以防範。在疫情之下,遙距辦公或為企業保安系統打開缺口,在員工脫離公司網絡保護下,企業應當如何自保,做好把關呢? 企業日常營運需使用多個不同的系統,諸如財務系統、公司內聯網、雲端數據庫等,使用愈多的系統,便需要記住愈多的密碼,如果偷懶全部用上同一組密碼,一旦遭黑客盜入等同把不同的夾萬之門打開任人竊取財物。Thales 大中華及韓國雲數據保護與軟件授權區域銷售經理任兆雄(Tommy)指出,無論是數據洩漏,抑或是勒索軟件攻擊,其導致原因都有機會是企業大門把關出現問題,太多進入系統的入口,自然甩漏也會更多,被攻擊的機會亦因此增加。企業要修補漏洞,便需監察好每個入口,「加多把鎖匙」,鎖好每一道門。 Thales 大中華及韓國雲數據保護與軟件授權區域銷售經理任兆雄(Tommy)表示,無論是數據洩漏或勒索軟件攻擊,其導致原因都有機會是企業大門把關出現問題。 免卻記密碼及繁複登入步驟 那麼到底如何為系統加設鎖匙?Tommy 解釋,黑客會假裝是企業的員工,使用其登入資料進入系統,而採用多因素驗證方法(Multi-factor Authentication, MFA),就是最佳方法:在用戶登入系統時,除了需輸入帳戶名稱及密碼,需要再作多一次的驗證,例如輸入傳輸至用戶手機的驗證碼,或是再用如指紋、面部特徵等生物特徵作身份確認。坊間有網站提供免費的 MFA 工具,例如會創建一個獨有的 QR Code,作為身份驗證;不過如果有人從其他途徑獲得相關QR code,就有風險被盜用身份,所以使用 MFA 作為身份驗證保安工具時,應檢查所有「大門」,避免遭黑客有機可乘。Thales IAMaaS 解決方案是作為「鎖匙保管者」的存在,讓企業安心阻擋非員工人士進入機密系統,免卻需要記下多個密碼的煩惱,同時也能擁有嚴密的保安措施。 Tommy 笑稱Thales「鎖匙佬」,「一條龍」做好企業系統的所有把關,包括配合客戶需求、客戶服務、維修等,全方位支援客戶需要。而 Thales IAM 雲端方案是一個管理用戶所有登入憑證的服務,方便 end-user 操作,省卻登入須多次輸入密碼的麻煩,登入只需作一次身份確認,即使稍後要進入其他系統,亦毋須不斷輸入帳戶名稱及密碼。 Thales IAM 雲端服務設有三條防線:第一條防線是在輸入帳戶名稱及密碼後,加設多一個驗證因素,以;第二條防線是 Smart Single Sign-on (SSO),即智能單點登錄功能;第三條防線是以零信任 (zero-trust)的機制。 三條防線 智能分析異常用戶行為 Thales IAM 雲端服務設有三條防線:第一條防線是在輸入帳戶名稱及密碼後,加設多一個驗證因素,以作身份確認;第二條防線是 Smart…

    Microsoft 專家警告,依然採用舊式驗證 (legacy authentication) 技術管理 Exchange Online 的企業,即使啟用多重因素驗證 (MFA) 服務,都有可能被黑客入侵帳戶,最近就有一宗商業電郵詐騙 (BEC) 案例,就是因為上述原因而出事…… 根據 Microsoft 的官方描述,舊式驗證指的是使用基本驗證的通訊協定,而採用相關驗證為基礎的應用程式包括舊版 Microsoft Office 應用程式及使用 POP、IMAP、SMTP 等郵件通訊協定的應用程式。由於舊式驗證無法強制執行多重因素驗證…

    今時今日,打仗未必一定要先出動飛機大炮,單是網絡攻擊,已經可以癱瘓一個國家的運作及情報網絡,掃除進擊的障礙物。例如美國佛羅里達州一個市鎮的輸水系統最近就被黑客入侵,黑客試圖將用作調節食水酸鹼度的化學物混合量,調高約 110 倍,如果無及時阻止,15,000 個市民就大件事喇…… 工業控制系統(Industrial Control System, ICS)掌管國家命脈,以發電網、輸水系統、運輸網絡、核電廠等設施為例,背後都必須有 ICS 管理,所以這些重要設施自然會成為攻擊目標,只要斷水斷電,國家就會陷入一片混亂及恐慌,例如烏克蘭 2016 年全國大停電 7 日,據外界估計就是受到俄羅斯國家級黑客襲擊。而今次發生在佛羅里達州 Oldsmar 市輸水廠的入侵事件,暫時未知黑客的身份及意圖,只知道黑客嘗試將混入食水調節酸鹼度的化學物氫氧化鈉的份量,由每 100 萬單位含 100,調升至 11,100,足足達…

    英國國家網絡安全中心最近分享一個警世故事,有企業被勒索軟件攻擊後選擇交付數百萬美元贖金換取解密金鑰,修復後但未有檢討根本問題,結果兩星期後,又再被同一黑客組織以相同招數入侵。雖然故事主角的遭遇非常悲慘,但的確好難忍笑…… 根據區塊鏈分析公司 Chainalysis 最新公布的一份調查顯示,2020 年勒索軟件 (ransomware) 黑客組織至少賺取了 3.5 億美元贖金,較 2019 年大增 311%。雖然不少企業管理已認清勒索軟件問題的嚴重性,但仍然心存僥倖,以為自己未必會成為目標,結果中招後只能乖乖交付贖金。英國國家網絡安全中心最近一篇貼文就顯示,即使企業不幸中招,都不會痛定思痛找出被入侵的根本問題。 安全專家指出,受害企業在第一次被勒索軟件攻擊後,由於未有做好數據備份及修復工作,結果決定交付約 650 萬美元贖金,冒險從黑客組織手上換取解密金鑰。幸好黑客組織提供的金鑰有效,否則企業便會白交贖金。不過,專家說該企業解鎖系統及檔案後卻未有認真找出漏洞所在,似乎認為業務營運已回復正常,結果同一黑客組織再度上門,以相同手法將企業的系統及檔案再度上鎖,而由於該企業未有汲取教訓,所以專家相信對方只能再次交付贖金。 相信這次事件不單只花生友覺得不可思議,就連該勒索軟件黑客組織應該都有相同感覺,因為錢實在太過易賺喇!而英國國家網絡安全中心專家就呼籲受害企業如不想再被同一招數打垮,必須盡快找出漏洞所在,並將各種作業系統、軟硬件的韌體保持在最新版本,同時引入雙重 (2FA) 或多重身份驗證 (MFA) 工具,便可第一時間堵塞漏洞,而且被取得帳戶登入資料時亦不易成功登入系統。另外亦要加密儲存的數據,做好數據備份及回復準備,即使被黑客盜取數據及加密系統,也不用考慮再交贖金,因為對方無法以公開數據進行二次勒索,自己亦可完全復原數據,便毋須屈服於對於的淫威之下!…

    為了確保帳戶不被盜用,啟動雙重因素 (two factor) 或多重因素安全驗證 (multi-factor authentication) 機制一向被視為較安全的做法,特別是硬體安全鑰 (hardware security keys) 就更保險。不過,Google Titan 及 YubiKey 系列產品卻被發現可被黑客複製,雖然手續比較麻煩…… 雙重或多重因素安全驗證,一般來說指的是除密碼以外,登入帳戶還須配合其他因素如生物特徵、額外安全編碼等。現時最多人採用的方法以後者居多,而額外安全編碼也可分為透過電郵或短訊接收,或硬體安全鑰認證兩種。早前已有網絡安全專家指出,以電郵或短訊接收安全驗證碼會有危險,因為只要上網裝置如電腦、手機已被黑客入侵,他們就可偷偷安裝惡意軟件,盜取帳戶登入資料並截取安全驗證碼。相反硬體安全鑰則必須在登入帳戶時,插入裝置或以藍牙技術近距離連結,所以安全性會較高。 不過,法國網絡安全研究員 Victor Lomne 及…

    公司日常運作很多時候要用上不同的應用程式及系統,而遊走各個數據庫,存取資料頻繁,都有機會令數據洩漏的風險增大,而密碼管理也是令企業頭痛的問題。CyberArk Idaptive 方案提供以雲端為本的 IDaaS (identity-as-a-service) 服務,集安全性、簡單性和易於管理及控制的特性於一身, 一個平台便可管理所有帳戶和裝置,對現時遙距工作 BYOD 的情況下,更為合用。是次Webinar 將探討由CyberArk 提供的擴展安全方案、使用 SSO (Single Sign-on) 簡化用戶登入應用程式存取,以及根據裝置內容的 MFA (Multi-Factor Authentication)應用程式存取等。 名額有限,立即報名! 主題:Workforce Access Security Solution日期:2020 年 12 月 17 日(星期四)時間:3:30pm – 4:30pm語言:廣東話(含英文術語)網上留位:https://bit.ly/3geQJ3R

    「疫情下企業節省資源」這句開埸白,全球和應,因為任何部門主管的 2021 Proposal 主題(其實 2020 下半年已經如是)都係開源節流,最好即日見效,而科技往往是關鍵。In House IT 團隊寧舍忙,既要好好制定自己的 Proposal,亦要擔任其他部門的技術顧問,雙重角色相當吃力。加上疫情間遠程工作,員工由使用統一企業設備變成私人家居設備,遠程 IT 支援就更考人,故科技對應的解決方案如 Self-Service Password Reset(SSPR),最近變成中小企 IT 群組熱話。 疫情下另一個歇後語係「每個部門都有難唸的經」,科技革命周期越來越短,員工的 IT 知識拉闊,醒目的更獨立,落後的更依賴 IT 技術支援。疫情間遠程工作,支援方式由面授轉為視像,更需時耗心力,部門主管不得不審視工作,重新規劃人手資源分配。根據資安研究團隊 Gartner Group and…