McAfee:Cookie 盜竊:如何防止網絡犯罪分子侵入您的帳戶

 McAfee發佈了一篇Cookie 盜竊:如何防止網絡犯罪分子侵入您的帳戶

瀏覽器 Cookie 是一種每當您訪問一個網站時,您的網路瀏覽器就會儲存的一小段資料。這些資料可以讓您更快速地再次登入該網站,或者讓該網站根據您的喜好提供客製化的建議。然而,這些 Cookie 也可能成為網路罪犯的目標,如果他們能夠竊取您的 Cookie,就可能進入您的各種線上帳戶,並盜取您的個人和財務資訊。因此,了解 Cookie 被竊取的方式和原因,以及如何防止惡意軟體入侵您的裝置,是保護您的線上隱私和安全的重要一步。

Cookie 被竊取的方式和原因

Cookie 竊取者通常是出於金錢上的動機,想要闖入人們的線上帳戶。銀行、社交媒體和線上購物等帳戶都充滿了有價值的個人和財務細節,網路罪犯可以將這些資訊出售於暗網,或者利用這些資訊冒充您並盜取您的身份。惡意軟體通常是網路罪犯用來竊取 Cookie 的工具。一旦惡意軟體進入了一個裝置,該軟體就會複製新 Cookie 的資料並將其傳送給網路罪犯。然後,網路罪犯就可以從他們自己的機器上輸入該資料,並以被竊取者的身份開始一個新的會話。有幾年的時間,Cookie 竊取者專門針對 YouTube 上知名度高的影響者,通過假冒合作協議和加密貨幣詐騙來傳播惡意軟體。他們的目標是竊取 Cookie 以潛入 YouTube 帳戶的後台,並更改密碼、恢復電子郵件和電話號碼,並繞過雙重驗證,將影響者鎖在帳戶外。但是,即使您沒有一個有價值的社交媒體帳戶,也可能引起網路罪犯的注意。

如何防止 Cookie 被竊取

要保護您的瀏覽器 Cookie 不被罪犯竊取,必須培養安全的瀏覽習慣。以下四個提示將有助於保持您的帳戶不受 Cookie 竊取者的侵害,並保持您的裝置免受惡意軟體的影響:

  • 定期清理您的 Cookie 和快取。這可以防止您在訪問某些網站時留下過多的痕跡,也可以提高您的裝置的速度和效能。您可以在您的瀏覽器設定中找到清理 Cookie 和快取的選項,或者使用一些專業的清理工具來幫助您完成這項任務。
  • 使用多因素驗證(MFA)。MFA 是一種登入線上帳戶的方式,它需要除了用戶名和密碼之外的其他形式的身份識別。它可能需要生物識別(如面部或指紋掃描)、安全問題或一次性代碼。使用 MFA 可以增加您帳戶的安全性,即使您的 Cookie 被竊取,網路罪犯也無法通過第二層驗證。
  • 避免在公共或不受信任的裝置上登入您的帳戶。這些裝置可能已經被惡意軟體感染,或者被設置為記錄您的鍵盤輸入。如果您必須使用這些裝置,請務必在完成操作後登出您的帳戶,並清理瀏覽器歷史記錄和 Cookie。
  • 安裝並更新可靠的安全軟體。安全軟體可以幫助您掃描和移除任何可能威脅您的 Cookie 和帳戶安全的惡意軟體。請確保您選擇一個值得信賴且效果良好的安全軟體,並定期更新它以保持其功能。

Cookie 是一種方便且實用的網路技術,但也可能帶來風險。如果您不注意保護您的 Cookie,就可能讓網路罪犯有機可乘,侵入您的線上帳戶並盜取您的資訊。因此,請遵循上述提示,保持良好的瀏覽習慣,並使用有效的安全軟體來防止 Cookie 被竊取。這樣,您就可以享受網路帶來的便利,而不必擔心您的隱私和安全。

詳情請看:

Cookie Theft: How to Keep Cybercriminals Out of Your Accounts

Posted in  on 11月 29, 2024 by Kevin |  

The Hacker news:這 6 個問題將幫助您選擇最佳的攻擊面管理平台

 The Hacker news發佈了一篇這 6 個問題將幫助您選擇最佳的攻擊面管理平台

  • 你的平台有能力發現未知嗎?
  • 如何防止警報疲勞、確定警報的優先級並消除誤報?
  • 您可以跟踪攻擊面隨時間的變化嗎?
  • 您計劃如何發展該平台?
  • 你們提供哪些與 ASM 相關的服務?
  • 我們可以演示或測試運行該平台嗎?

詳情請看:

These 6 Questions Will Help You Choose the Best Attack Surface Management Platform

Posted in  on 11月 29, 2024 by Kevin |  

Geekflare:帳號接管攻擊是什麼?如何防範和減輕?

 Geekflare發佈了一篇帳號接管攻擊是什麼?如何防範和減輕?

帳號接管攻擊(ATO)是一種網路安全威脅,目的是竊取使用者的線上帳號,並利用該帳號進行各種非法活動,例如竊取數據、傳播惡意軟體、或濫用帳號的權限和存取能力。

ATO攻擊的主要手段是盜取帳號的認證資訊,例如使用者名稱和密碼。攻擊者可以通過以下方法獲得這些資訊:

  • 社交工程:利用心理手段或偽裝成合法的人員,誘使使用者透露自己的登入資訊。這可以通過假冒技術支援或製造緊急情況,讓使用者沒有時間理性思考。
  • 憑證填充:使用機器人自動嘗試使用常見或被洩露的密碼登入使用者帳號。這種攻擊之所以可能發生,是因為許多使用者帳號使用了弱或重複的密碼,這是一個嚴重的安全問題。
  • 惡意軟體:在使用者的電腦上安裝危險的不必要的程式,可以以各種方式竊取密碼。這包括從瀏覽器或系統密碼快取中提取認證資訊,或記錄使用者在登入帳號時的按鍵。
  • 網路釣魚:最常見的網路攻擊形式,通常以惡意連結引導使用者到一個偽造的登入頁面,讓攻擊者收集其登入資訊,為未來的ATO攻擊鋪路。
  • 中間人攻擊:一個技術高超的黑客可以“監聽”使用者的進出網路流量。所有的資訊,包括使用者輸入的使用者名稱和密碼,都會暴露給惡意的第三方。
  • 應用程式漏洞:使用者不是組織系統和網路上唯一有帳號的實體。應用程式也有帳號,攻擊者可以利用這些帳號的漏洞來利用其存取能力。
  • 竊取Cookie:存儲在使用者電腦上的Cookie可以存儲有關其登入會話的資訊,允許不需要密碼就可以存取帳號。如果攻擊者能夠存取這些Cookie,他們就可以接管使用者的會話。
  • 硬編碼密碼:應用程式通常需要存取各種線上帳號和服務來執行其角色。有時,這些帳號的密碼會存儲在應用程式代碼或配置文件中,這些文件可能會暴露在GitHub或其他地方。
  • 竊取API金鑰:API金鑰和其他認證權杖是設計用來讓應用程式通過API存取線上帳號和服務的。如果這些金鑰被意外上傳到GitHub存儲庫或以其他方式洩露,它們就可以提供存取組織帳號的能力。
  • 網路流量竊聽:雖然大部分的網路流量都是加密和安全的,但有些設備仍然使用不安全的協定,例如Telnet。如果攻擊者可以查看這些未加密的網路流量,他們就可以從中提取登入資訊。

ATO攻擊的影響

一個成功的ATO攻擊可以讓攻擊者獲得與合法帳號擁有者相同的存取和權限。有了這種存取,攻擊者可以採取各種行動,例如:

  • 數據竊取:ATO攻擊可以導致大量敏感、機密或受保護類別的數據(如信用卡號或個人身份資訊)被侵入和外泄。
  • 傳播惡意軟體:ATO攻擊可以讓攻擊者利用被接管的帳號向其他使用者或系統發送惡意軟體,例如勒索軟體或間諜軟體。
  • 濫用權限:ATO攻擊可以讓攻擊者利用被接管的帳號執行一些正常使用者無法做到的事情,例如修改系統設定、刪除數據、或轉移資金。
  • 損害聲譽:ATO攻擊可以讓攻擊者利用被接管的帳號發布不當或冒犯性的內容,例如在社交媒體上發送種族歧視或政治敏感的信息,從而影響使用者或組織的聲譽。

如何防範和減輕ATO攻擊?

作為一個企業主,有一些方法可以防範和減輕ATO攻擊對你的使用者或員工的影響。以下是一些建議:

  • 強制使用強密碼:弱或重複的密碼是ATO攻擊最容易利用的漏洞之一。要求使用者創建強密碼,並定期更改密碼,可以減少被盜用的風險。
  • 啟用多因素認證:多因素認證(MFA)是一種在登入時要求使用者提供兩種或更多類型的認證資訊(例如密碼和手機驗證碼)的安全措施。這可以防止僅靠密碼就能存取帳號。
  • 監測異常登入:異常登入是ATO攻擊的一個明顯跡象,例如來自不同IP地址、地理位置、設備或瀏覽器代理的重複登入嘗試。通過監測這些異常行為,並及時通知使用者或管理員,可以及早發現和阻止ATO

詳情請看:

How to Detect, Prevent, & Mitigate an Account Takeover Attack (ATO)

Posted in  on 11月 27, 2024 by Kevin |  

Cybersecurity insiders:增強業務彈性:強烈威脅感知的重要性

 Cybersecurity insiders發佈了一篇增強業務彈性:強烈威脅感知的重要性

在當今的數字化時代,企業面臨著各種來自網絡空間的威脅,如勒索軟件、釣魚攻擊、資料洩露等。這些威脅不僅會對企業的資產、聲譽和客戶造成損害,還可能影響企業的業務連續性和恢復能力。因此,企業需要提高自己的抵抗力,即在面對危機時能夠快速應對和恢復正常運作的能力。

要提高企業的抵抗力,首先需要有一個強大的威脅感知能力,即能夠及時發現、分析和評估網絡空間中存在的各種威脅,並根據其嚴重程度和影響範圍制定相應的對策。威脅感知能力包括以下幾個方面:

  • - 威脅情報收集:通過各種渠道和工具收集有關網絡威脅的信息,如威脅情報平台、社交媒體、開源情報等。
  • - 威脅情報分析:對收集到的威脅情報進行篩選、整理、驗證和解讀,以確定其真實性、可信度和相關性。
  • - 威脅情報共享:將分析後的威脅情報及時分享給相關的利益相關者,如內部部門、合作夥伴、行業組織等,以提高整體的安全意識和防禦能力。
  • - 威脅情報應用:根據威脅情報制定和調整安全策略、措施和計劃,以預防或減少威脅造成的損失。

通過建立一個強大的威脅感知能力,企業可以提前發現和預測網絡空間中可能發生的攻擊,並及時採取適當的防護措施,從而降低風險,提高抵抗力。同時,企業也需要不斷完善自己的安全管理體系,建立一個有效的應急響應機制,並定期進行安全演練和審計,以確保在發生安全事件時能夠快速恢復正常運作。

詳情請看:

Enhancing Business Resilience: The Importance of Strong Threat Perception

Posted in  on 11月 27, 2024 by Kevin |  

Fortinet:投資全域零信任網路存取(Universal ZTNA)的要點

 Fortinet發佈了一篇投資全域零信任網路存取(Universal ZTNA)的要點

全域零信任網路存取(Universal ZTNA)是一種新興的網路安全技術,它可以統一遠端和本地的使用者存取控制,並提供更安全和一致的使用者體驗。本報告將介紹Universal ZTNA的概念、優勢、挑戰和建議。

  • Universal ZTNA的概念:Universal ZTNA是一種基於身份和設備的存取控制技術,它可以在使用者存取企業系統之前進行身份、設備和安全姿態的驗證,並根據最小權限原則分配適當的資源。Universal ZTNA不區分使用者的位置,無論他們是在辦公室還是在家工作,都適用同一套政策。
  • Universal ZTNA的優勢:Universal ZTNA可以提供以下幾方面的好處:
    • 提高安全性:Universal ZTNA可以減少攻擊面,防止未經授權的存取,並阻止惡意軟體和資料外洩。
    • 增強效率:Universal ZTNA可以簡化存取控制和政策管理,減少配置和維護的複雜性和成本。
    • 改善體驗:Universal ZTNA可以提供更流暢和一致的使用者體驗,無論使用者在哪裡工作,都不需要切換不同的工具或登入方式。
  • Universal ZTNA的挑戰:Universal ZTNA雖然有許多優勢,但也面臨一些挑戰,主要有以下幾點:
    • 需要跨部門合作:Universal ZTNA涉及到IT和安全團隊的協調和整合,需要打破傳統的孤島式運作模式,建立共同的目標和視野。
    • 需要選擇合適的方案:Universal ZTNA有多種不同的實現方式,例如基於代理、基於SD-WAN或基於SASE等。不同的方案有各自的優缺點,需要根據組織的規模、需求和預算進行評估和選擇。
    • 需要進行漸進式轉型:Universal ZTNA是一種顛覆性的技術變革,需要逐步推進,不能一蹴而就。需要先從最關鍵或最敏感的資源開始,然後逐漸擴展到其他資源。同時,需要考慮與現有系統的兼容性和穩定性。
  • Universal ZTNA的建議:根據Gartner®在其《2023年零信任網路技術熱度曲線》報告中對Universal ZTNA等19種最相關和最熱門的零信任技術的分析和建議,本報告提出以下幾點建議:
    • 選擇一個全面且靈活的Universal ZTNA方案,可以支援多種存取類型,例如網頁、應用程式、桌面、檔案等。
    • 選擇一個與其他安全元件無縫整合的Universal ZTNA方案,可以實現端到端的安全保護,例如防火牆、入侵偵測和防禦、端點安全等。
    • 選擇一個具有良好可視化和自動化能力的Universal ZTNA方案,可以提供即時的存取監控和報告,並根據使用者行為和風險環境自動調整存取權限。

詳情請看:

So, You’re Ready to Invest in Universal ZTNA. Here’s What You Should Know.

Posted in  on 11月 25, 2024 by Kevin |  

Help net security:CISO 面臨壓力:在員工流動率高的時代保護敏感信息

 Help net security發佈了一篇CISO 面臨壓力:在員工流動率高的時代保護敏感信息

資訊安全是現今企業面臨的重要挑戰,而資訊安全主管(CISO)則是負責規劃和執行資安策略的關鍵角色。然而,CISO的工作並不容易,他們需要在技術、業務和人員之間取得平衡,同時應對不斷變化的威脅和規範。CISO應該具備以下幾項能力:

  • - 能夠溝通和教育:CISO需要與各級管理層和員工溝通資安的重要性和風險,並提供適當的培訓和指導。
  • - 能夠領導和協調:CISO需要建立一個有效的資安團隊,並與其他部門和外部夥伴合作,共同構建資安文化和架構。
  • - 能夠分析和創新:CISO需要持續監測和評估資安狀況,並採用最新的技術和方法來防禦和回應威脅。
  • - 能夠規劃和執行:CISO需要制定清晰的資安目標和計劃,並確保有足夠的資源和支持來實現它們。

CISO不僅是技術專家,也是業務領導者。他們需要不斷學習和適應,並以積極的態度面對挑戰。“資安是一場永無止境的戰爭,而CISO是我們的指揮官。”

詳情請看:

CISOs under pressure: Protecting sensitive information in the age of high employee turnover

Posted in  on 11月 25, 2024 by Kevin |  

Help net security:平衡預算與系統安全:風險承受方法

 Help net security發佈了一篇平衡預算與系統安全:風險承受方法

網路風險管理是一種評估和降低網路威脅的過程,它涉及到瞭解組織的資產、威脅、漏洞和控制措施,並根據風險的可能性和影響來制定相應的策略。網路風險管理不僅是一種技術問題,也是一種商業問題,因為它關係到組織的聲譽、合規性、競爭力和財務表現。

為了建立有效的網路風險管理方法,組織需要遵循以下幾個步驟:

  • 確定資產:資產是組織的任何有價值的資源,包括硬體、軟體、數據、人員、流程等。組織需要識別和分類其資產,並確定其重要性和敏感性。
  • 識別威脅:威脅是任何可能對資產造成損害或影響的事件或情況,例如黑客攻擊、自然災害、人為錯誤等。組織需要分析其所面臨的各種威脅,並評估其發生的可能性和來源。
  • 分析漏洞:漏洞是資產存在的任何弱點或缺陷,使其容易受到威脅的利用。組織需要掃描和測試其資產,以發現和修復任何漏洞。
  • 評估風險:風險是威脅利用漏洞對資產造成損害或影響的可能性和程度。組織需要根據威脅的可能性和資產的重要性來計算和排序風險,並與預先設定的風險容忍度進行比較。
  • 處理風險:風險處理是針對不同等級的風險採取相應的措施,以降低或消除其對資產的影響。組織可以選擇接受、轉移、減少或避免風險,並實施相關的控制措施,例如防火牆、加密、備份、教育等。
  • 監測和審核:監測和審核是持續地收集和分析有關資產、威脅、漏洞和控制措施的數據,以評估其效果和效率,並識別任何變化或新出現的風險。組織需要定期進行監測和審核,並根據結果調整其網路風險管理方法。

詳情請看:

Balancing budget and system security: Approaches to risk tolerance

Posted in  on 11月 23, 2024 by Kevin |  

Cybersecurity insiders:常見的 ISO/IEC 27001 陷阱以及如何避免它們

 Cybersecurity insiders發佈了一篇常見的 ISO/IEC 27001 陷阱以及如何避免它們

ISO/IEC 27001 是一個國際標準,規定了資訊安全管理系統(ISMS)的要求。ISMS 是一個系統化的方法,用於管理組織的資訊安全風險、資產、程序和人員。通過獲得 ISO/IEC 27001 的認證,組織可以向利益相關者證明其對資訊安全的承諾和能力。

然而,實施和維護 ISMS 並不是一件容易的事情,需要投入大量的時間、資源和專業知識。在這個過程中,可能會遇到一些常見的陷阱,影響 ISMS 的效果和效率。以下是一些例子:

  • - 缺乏高層領導的支持和參與。ISMS 需要高層領導的承諾和責任,以確保其符合組織的目標、策略和文化。高層領導應該定期審查 ISMS 的表現,提供必要的資源和指導,並促進組織內部和外部的溝通和合作。
  • - 缺乏風險評估和風險處理計劃。風險評估是 ISMS 的核心活動,用於識別、分析和評估組織面臨的資訊安全風險。風險處理計劃是根據風險評估的結果,制定的一系列措施,用於減少、轉移或接受風險。缺乏這兩個步驟,會導致 ISMS 缺乏方向和依據,無法有效地保護資訊資產。
  • - 缺乏持續改進的機制。ISMS 不是一次性的項目,而是一個持續的循環過程。組織應該定期監測、測量、審核和改進 ISMS 的效能,並根據內外部的變化和需求,調整 ISMS 的範圍、目標和控制措施。缺乏持續改進的機制,會使 ISMS 變得陳舊和落後,無法滿足當前的資訊安全挑戰。

要避免這些陷阱,組織需要有一個清晰的視野和目標,以及一個合適的方法和工具,來實施和維護 ISMS。此外,組織也需要有一個合格的團隊,具備足夠的知識、技能和經驗,來執行 ISMS 的各個方面。最後,組織也需要與其他利益相關者保持良好的關係,包括客戶、供應商、監管機構等,以確保 ISMS 的符合性和可信度。

詳情請看:

Common ISO/IEC 27001 Pitfalls and How to Avoid Them

Posted in  on 11月 23, 2024 by Kevin |  

Help net security:安全性問題和中斷將可觀察性從 IT 領域提升為業務必需品

 Help net security發佈了一篇安全性問題和中斷將可觀察性從 IT 領域提升為業務必需品

觀察性是一種能夠看到影響客戶體驗的技術堆棧中的所有事物的能力。根據SolarWinds的報告,利用觀察性的企業可以提高運營效率和增加收入。該報告探討了企業如何主動地利用觀察性的優勢,將最佳實踐整合到實施中,並減輕常見的採用挑戰。該報告還發現,實施觀察性的公司在運營效率、創新速度和整體業務成果方面都有所改善。觀察性領導者——那些遵循最佳實踐來利用觀察性並因此獲得更好的業務和IT成果的人——有三倍的可能性說他們的組織在增加收入方面做得非常好,有兩倍多的可能性說他們在運營效率方面做得非常好,並且有2.5倍的可能性說他們在創新速度方面表現出色。觀察性領導者還給他們組織的員工體驗打出了更高的評分,包括報告的員工倦怠水平更低和團隊技能差距更少。

這些結論在當前的關鍵時刻提出,因為IT和應用環境越來越向複雜的、基於雲的微服務轉變,而公司因此面臨更多挑戰,無法有效地解決IT問題。根據調查結果,典型的企業每月平均遭受九次停機或降級事件,每次持續約十二小時,平均每年造成1370萬美元的損失。觀察性已經成為一種解決方案,不僅可以預先檢測異常和潛在問題,防止它們升級為全面停機,而且可以主動地解決這些問題的根本原因,防止未來發生停機。

“停機和安全問題不再只是IT問題,觀察性也不再只是IT解決方案。”SolarWinds現場首席技術官兼全球解決方案工程副總裁Jeff Stewart說。“觀察性領導者在業務、創新和技術成果方面取得的更好成果證明了它對每個層級、部門和員工的好處。今年報告的發現應該作為一種迫切的行動呼籲,對於那些認為他們無法負擔投資觀察性工具的商業領導者——當事實是我們迅速進入一種景象,在這種景象中,公司根本無法承受沒有這些工具的風險。”Stewart補充說。

觀察性領導者的趨勢

該調查還突出了觀察性領導者的趨勢,他們在其生態系統中報告了更少和更不頻繁的挑戰,發現大多數人都在:

  • 投資於重點優先事項:數據顯示,組織使用觀察性解決方案來支持他們的增長和成功最關鍵的優先事項:改善客戶體驗(96%)、加快創新(71%)、減少解決問題的時間(71%)、減少檢測問題的時間(60%)和提高運營效率(55%)。
  • 採用最佳實踐:觀察性領導者採用了一些最佳實踐,以確保他們能夠充分利用觀察性的好處,例如:定期檢查他們的觀察性工具是否正確配置(87%)、定期更新他們的觀察性工具(86%)、定期培訓員工使用觀察性工具(85%)和定期評估他們的觀察性工具是否符合業務需求(84%)。
  • 面對挑戰:儘管觀察性領導者在利用觀察性方面取得了成功,但他們仍然面臨一些挑戰,例如:缺乏統一的數據源(46%)、缺乏可視化或儀表板的統一(45%)、缺乏足夠的技能或知識來使用觀察性工具(43%)和缺乏足夠的預算來購買或升級觀察性工具(42%)。

詳情請看:

Security concerns and outages elevate observability from IT niche to business essential

Posted in  on 11月 21, 2024 by Kevin |  

McAfee:網路隱私保護的十個提示

 McAfee發佈了一篇網路隱私保護的十個提示

網路隱私是指個人在網路上的資訊和活動不被未經授權的人或組織收集、使用或洩露的權利。網路隱私保護是一個重要的議題,因為網路上有許多潛在的威脅,例如黑客、間諜、詐騙、監控等,可能會侵犯個人的隱私和安全。因此,我們需要採取一些措施來保護我們的網路隱私。

  • 1. 使用強大且不同的密碼。密碼是保護我們在網路上的帳號和資料的第一道防線,所以我們應該選擇一些包含大小寫字母、數字和符號的密碼,並且不要在不同的網站或服務上重複使用相同的密碼。
  • 2. 使用雙重驗證。雙重驗證是指在登入某些帳號或服務時,除了輸入密碼外,還需要輸入另一個由手機或其他裝置發送的驗證碼。這樣可以增加登入的安全性,防止他人冒用我們的身份。
  • 3. 使用虛擬私人網路(VPN)。VPN是一種可以讓我們在網路上匿名和加密的技術,可以阻止第三方追蹤我們的瀏覽歷史、位置和敏感資訊。我們可以使用VPN來訪問一些受限制或被封鎖的網站或服務,例如Netflix、YouTube等。
  • 4. 使用安全和可信賴的瀏覽器。瀏覽器是我們在網路上的窗口,所以我們應該選擇一些有良好隱私政策和功能的瀏覽器,例如Firefox、Chrome等。我們也應該定期清除瀏覽器的暫存檔案、Cookie和歷史記錄,以免留下任何可以被利用的痕跡。
  • 5. 使用安全和可信賴的電子郵件服務。電子郵件是我們在網路上溝通和傳遞資訊的主要方式之一,所以我們應該選擇一些有良好隱私政策和功能的電子郵件服務,例如Gmail、Outlook等。我們也應該避免打開來自陌生人或可疑來源的電子郵件或附件,以免中招惡意軟體或釣魚攻擊。
  • 6. 使用安全和可信賴的社交媒體平台。社交媒體平台是我們在網路上分享和互動的主要方式之一,所以我們應該選擇一些有良好隱私政策和功能的社交媒體平台,例如Facebook、Twitter等。我們也應該設定好我們的隱私權限,控制誰可以看到我們的個人資訊和貼文,並且不要隨意添加或接受陌生人的好友請求。
  • 7. 使用安全和可信賴的雲端儲存服務。雲端儲存服務是一種可以讓我們在網路上備份和存取我們的檔案和資料的技術,可以節省我們的硬碟空間和方便我們的資料管理。我們應該選擇一些有良好隱私政策和功能的雲端儲存服務,例如Dropbox、Google Drive等。我們也應該對我們的重要或敏感的檔案和資料進行加密,以免被他人竊取或洩露。
  • 8. 使用安全和可信賴的線上支付服務。線上支付服務是一種可以讓我們在網路上進行交易和付款的技術,可以節省我們的時間和金錢。我們應該選擇一些有良好隱私政策和功能的線上支付服務,例如PayPal、Apple Pay等。我們也應該確認我們的交易對象和網站的可靠性,並且不要在公共或不安全的網路或裝置上進行線上支付。
  • 9. 使用安全和可信賴的防毒軟體。防毒軟體是一種可以保護我們的裝置和資料免受惡意軟體、病毒、木馬等攻擊的技術,可以提升我們的網路安全。我們應該選擇一些有良好隱私政策和功能的防毒軟體,例如McAfee、Norton等。我們也應該定期更新和掃描我們的裝置和資料,以免被感染或竊取。
  • 10. 使用常識和判斷力。最後,但也是最重要的一點,是使用常識和判斷力來保護我們的網路隱私。我們應該注意我們在網路上的行為和言論,不要透露過多或不必要的個人資訊,不要相信任何看起來太好或太壞的訊息或優惠,不要參與任何違法或不道德的活動,並且尊重他人的隱私權利。

詳情請看:

10 Tips to Keep Your Data Private Online

Posted in  on 11月 21, 2024 by Kevin |  

Help net security:金融科技與銀行合作的關鍵:強大的合規管理

 Help net security發佈了一篇金融科技與銀行合作的關鍵:強大的合規管理

金融科技(fintech)與銀行的合作越來越多,因為銀行和信用合作社希望通過金融科技來簡化業務流程、改善客戶體驗、提高盈利能力,以及管理風險和合規事務。然而,這些合作也帶來了風險,尤其是在第三方數據洩露和網絡安全方面。因此,銀行和信用合作社在評估金融科技時,將合規作為首要標準,佔比達到72%,其次是網絡安全(62%)、投資回報(46.3%)和聲譽(44.4%)。

根據Ncontracts的調查,80%的金融機構表示,他們評估過的金融科技對監管要求、第三方供應商管理、網絡安全等關鍵因素有充分的了解。這並不一定意味著大多數金融科技都展示出了良好的合規和風險管理能力,而是說明金融機構只考慮那些在這方面表現出色的金融科技。對於那些在合規方面欠缺的金融科技,這就是一個挑戰。

Ncontracts的行業參與高級副總裁兼前美國貨幣監督辦公室(OCC)銀行檢查員Rafael DeLeon表示:“你不能低估一個金融科技合作夥伴的合規姿態。如果一個金融科技不能證明它有一個強大的合規管理計劃,沒有任何一家銀行或信用合作社會想要接觸它。風險太高了,可能會導致消費者受到傷害,而且操作問題可能會導致更多的合規成本和監管麻煩。誰需要這種麻煩呢?”

因此,對於金融科技來說,建立一個強大的合規管理計劃是獲得銀行和信用合作社合作夥伴關係的關鍵。同時,聯邦機構也越來越重視第三方風險管理。今年6月,美國聯邦儲備理事會、聯邦存款保險公司(FDIC)和美國貨幣監督辦公室(OCC)發布了《第三方關係:風險管理》的聯邦指引。該指引旨在促進評估第三方風險的標準化,並描述了在制定和實施第三方風險管理實踐時的健全風險管理原則。

Ncontracts的首席執行官Michael Berman說:“金融機構在評估金融科技合作夥伴時更加關注風險,這是有原因的。他們面臨的風險更大,不僅會招致監管機構的審查,還會危及他們的聲譽。”

詳情請看:

Strong compliance management is crucial for fintech-bank partnerships

Posted in  on 11月 19, 2024 by Kevin |  

Kaspersky:到Threads還是不到Threads? 這就是隱私問題

Kaspersky發佈了一篇到Threads還是不到Threads? 這就是隱私問題

Threads是一款由Instagram推出的社交應用,它讓用戶可以與自己的密友列表進行更緊密的聯繫,通過發送照片、視頻、消息和故事。Threads還有一個特殊的功能,就是自動狀態,它可以根據用戶的位置、移動速度、電池剩餘量等信息,自動更新用戶的狀態,讓密友知道他們正在做什麼。

雖然Threads聲稱它是一款注重隱私的社交應用,但它也引發了一些隱私問題。例如,用戶是否真的想讓自己的密友知道自己的一舉一動?用戶是否清楚自己的數據會被Instagram如何使用和共享?用戶是否有足夠的控制權來管理自己的隱私設置?用戶是否能夠承受因為使用Threads而可能帶來的風險和後果?

為了保護自己的隱私,用戶在使用Threads之前,應該仔細閱讀其隱私政策和使用條款,並且定期檢查和調整自己的隱私設置。此外,用戶也應該審慎選擇自己的密友列表,並且避免發送敏感或不恰當的內容。最後,用戶也可以選擇不使用Threads,或者只在必要時使用它,以減少自己的數據暴露。

詳情請看:

To Threads or Not to Threads? That is the privacy question

Posted in  on 11月 19, 2024 by Kevin |  

Help net security:企業如何掌握自己的網路安全

 Help net security發佈了一篇企業如何掌握自己的網路安全

網路安全是現今企業面臨的重要挑戰,隨著網路攻擊的方法和目標不斷變化,企業需要有有效的策略和技能來應對。在這篇訪談中,Reciproc-IT 的執行長 Baya Lonqueux 分享了他對網路安全風險管理的看法和建議。

Lonqueux 指出,過去網路安全被視為一個純技術性的領域,因此教育和培訓主要提供技術性的資源。然而,現在需要補足的是組織、治理和管理網路安全風險的技能,這些技能需要在企業中普及。他認為,企業需要將網路安全視為一個商業議題,而不是一個 IT 議題。

Lonqueux 也強調了採取主動行動來減輕網路安全風險的重要性。他建議企業應該執行以下幾個步驟:

  • 確保企業清楚自己的安全需求,並透過涉及業務管理者來明確定義它們:這個行動的主要目的是找出需要保護的資產。
  • 根據這個需求,驗證合規性水準:已經實施的安全措施是否符合這個需求?這就涉及到對資訊系統進行差距分析,以確定已經實施措施的成熟度。這些措施是否符合最佳實務、企業標準(法規或內部)?
  • 根據這些結果,模擬風險,以檢查企業是否可能受到攻擊。定義風險情境和它們發生的機率。對最有可能發生的情境進行優先排序,並採取糾正行動。

Lonqueux 還表示,合規性是一個堅實的網路安全策略的推動力之一。企業必須不斷地檢視自己是否符合安全標準,並根據變化做出調整。他認為,合規性不僅是一種法律義務,也是一種商業責任。

詳情請看:

How companies can take control of their cybersecurity

Posted in  on 11月 17, 2024 by Kevin |  

Help net security:僅基礎設施升級並不能保證強大的安全性

 Help net security發佈了一篇僅基礎設施升級並不能保證強大的安全性

安全基礎設施是保護組織免受網絡攻擊的關鍵。然而,許多組織仍然使用過時或不兼容的安全技術,導致安全漏洞和效能問題。因此,安全基礎設施升級是必要的,但也面臨著一些挑戰。

根據一項調查,有超過八成的安全專家認為安全基礎設施升級對於提高安全性和效率是至關重要的。升級的好處包括:

  • - 提高安全性:升級可以修復已知的漏洞,增加新的防護措施,並適應新的威脅情景。
  • - 提高效率:升級可以減少管理和維護的負擔,提高系統和應用的性能,並減少停機和故障的風險。
  • - 提高合規性:升級可以幫助組織符合法規和標準的要求,避免罰款和法律問題。

然而,安全基礎設施升級也面臨著一些挑戰,例如:

  • - 缺乏預算:升級需要投入資金和資源,但許多組織在安全方面的預算有限或不足。
  • - 缺乏人才:升級需要有專業和經驗的人員來規劃、執行和監測,但許多組織缺乏足夠的安全人才或無法留住他們。
  • - 缺乏支持:升級需要得到組織內部和外部的支持和合作,但許多組織面臨著文化、政治或技術上的阻力或衝突。

因此,安全基礎設施升級是一項既重要又困難的任務。組織需要制定清晰的目標、策略和計劃,並動員所有相關方的參與和貢獻,才能成功地完成升級並享受其帶來的好處。

詳情請看:

Infrastructure upgrades alone won’t guarantee strong security

Posted in  on 11月 17, 2024 by Kevin |  

The Hacker news:網路安全合規基本指南

 The Hacker news發佈了一篇網路安全合規基本指南

網路安全合規是指企業遵守一套關於保護敏感資訊和客戶資料的規則。這些規則可能是由法律、監管機構、行業協會或行業團體制定的。例如,歐盟的一般資料保護規則(GDPR)是一項涵蓋範圍廣泛的法律,規範了所有在其範圍內的企業如何收集和儲存歐盟公民的私人資料。違反合規的罰款很高,而且歐盟不會對執法手段手軟。

不同的行業有不同的網路安全需求和規範。處理敏感個人資訊的行業,如醫療和金融,是高度受到監管的。在某些情況下,網路安全規範可能會在不同行業之間重疊。例如,如果您是一個在歐盟經營信用卡付款的企業,那麼您需要同時遵守信用卡和銀行卡規範(PCI DSS)和GDPR。

介紹幾種最常見的合規標準,它們適用於處理數位資料的初創公司和SaaS企業。

  • GDPR:歐盟的一般資料保護規則(GDPR)是一項涵蓋範圍廣泛的法律,規範了所有在其範圍內的企業如何收集和儲存歐盟公民的私人資料。私人資訊或「個人資料」包括從姓名和出生日期到地理資訊、IP位址、Cookie識別碼、健康資料和付款資訊等等。因此,如果您與歐盟居民有業務往來,無論他們去哪裡或在哪裡線上購物,您都需要遵守GDPR。
  • SOC 2:SOC 2是一種由美國會計師協會(AICPA)制定的審計標準,用於評估服務組織如何管理客戶資料。SOC 2報告可以幫助客戶了解服務組織是否符合五個信任服務準則:安全性、可用性、處理完整性、機密性和隱私性。
  • ISO 27001:ISO 27001是一種自願性(但具有國際認可)的資訊安全管理系統(ISMS)標準,由國際標準化組織(ISO)制定。ISO 27001要求企業建立、實施、維護和持續改進其ISMS,並定期進行風險評估和內部審計。
  • HIPAA:HIPAA是美國衛生保險可攜性與責任法案(Health Insurance Portability and Accountability Act)的簡稱,它是一項旨在保護醫療資訊隱私和安全的法律。HIPAA要求醫療服務提供者、保險公司和其他涉及個人健康資訊(PHI)的實體,採取適當的技術、管理和物理措施,以防止PHI的未經授權的使用或披露。
  • Cyber Essentials:Cyber Essentials是一種由英國政府推出的網路安全認證計劃,旨在幫助組織保護自己免受常見的網路威脅。Cyber Essentials要求組織遵守五個基本的技術控制項:防火牆、安全配置、使用者存取控制、惡意軟體防護和補丁管理。

網路安全合規不僅是法律義務,也是商業競爭力的一部分。客戶越來越期待合規帶來的保障,因為資料洩露和資料披露將影響他們的業務、收入和聲譽。因此,企業應該選擇適合自己的合規標準,並採取有效的網路安全措施,如弱點管理、事件回應計劃和持續監測,以減少風險並提高信任。

詳情請看:

Essential Guide to Cybersecurity Compliance

Posted in  on 11月 15, 2024 by Kevin |  

McAfee:分享並不總是關心:幫助保護您的在線隱私的提示

 McAfee發佈了一篇分享並不總是關心:幫助保護您的在線隱私的提示

網路上有許多資訊和服務可以讓我們分享和交流,但也可能帶來隱私的風險。如果我們不注意保護自己的個人資料,可能會遭到盜用、洩露或濫用。因此,我們需要採取一些措施來保護我們的線上隱私。

  • 首先,我們要選擇可信賴的網站和應用程式,並閱讀其隱私政策,了解它們如何收集、使用和分享我們的資料。我們也要注意授權給它們的權限,例如存取我們的相機、麥克風或位置等。如果有不必要的權限,我們可以拒絕或關閉。
  • 其次,我們要設定強而安全的密碼,並定期更換。我們也可以使用密碼管理器來幫助我們記住和生成不同的密碼。此外,我們也要開啟雙重驗證,以增加帳號的安全性。
  • 第三,我們要小心分享自己的個人資訊,例如姓名、生日、地址、電話號碼、銀行帳號等。這些資訊可能被用來偽造我們的身分或進行詐騙。我們也要避免在公共網路或電腦上登入或傳送敏感的資訊。
  • 最後,我們要使用安全和更新的瀏覽器和防毒軟體,並清除瀏覽器的歷史記錄和暫存檔案。我們也可以使用虛擬私人網路(VPN)來加密我們的網路連線,防止被竊聽或追蹤。

總之,保護線上隱私是我們每個人的責任。只要我們採取以上的措施,就可以減少隱私被侵犯的風險,並享受網路帶來的便利和樂趣。

詳情請看:

Sharing Isn’t Always Caring: Tips to Help Protect Your Online Privacy

Posted in  on 11月 15, 2024 by Kevin |  

如何用 Wazuh 保護您的 IT 基礎設施:開源安全平台

 如何用 Wazuh 保護您的 IT 基礎設施:開源安全平台

在今天的商業環境中,企業面臨著各種安全挑戰,如網絡攻擊、合規要求和端點安全管理。威脅景觀不斷變化,對於企業來說,跟上最新的安全趨勢可能是一件令人難以應付的事情。安全團隊使用流程和安全解決方案來應對這些挑戰。這些解決方案包括防火牆、防毒軟體、資料遺失預防服務和 XDR(延伸偵測與回應)。

Wazuh 是一個免費且開源的安全平台,它統一了 XDR 和 SIEM(系統資訊與事件管理)的功能。它由一個通用的安全代理組成,用於從各種來源收集事件資料,以及用於事件分析、相關性和警報的中央元件。中央元件包括 Wazuh 伺服器、儀表板和索引器。Wazuh 提供了一套模組,能夠為本地和雲端工作負載提供延伸的威脅偵測和回應。在本文中,我們強調 Wazuh 的功能,這些功能對您組織的安全需求有益。

威脅情報

Wazuh 包含了 MITRE ATT&CK 模組,該模組提供了預先定義的威脅偵測規則。MITRE ATT&CK 模組提供了讓威脅獵人能夠識別對手策略、技術和程序(TTP)的詳細資訊。這些資訊包括威脅群組、軟體和緩解措施等細節。您可以使用這些資訊來篩選您環境中的威脅或受感染的端點。Wazuh 的威脅偵測規則與其對應的 MITRE ATT&CK ID 進行了映射。

Wazuh 可以無縫地與第三方威脅情報解決方案集成,如 VirusTotal、MISP、URLHaus 和 YARA。這些整合使得可以將檔案雜湊值、IP 位址和 URL 與已知的惡意指示器(IOC)進行比對。Wazuh 與這些解決方案的整合可以通過提供有關潛在威脅、惡意活動和 IOC 的額外見解來改善您企業的整體安全姿態。

漏洞是指可以被威脅利用來在電腦系統中執行惡意活動的安全弱點或缺陷。Wazuh 提供了漏洞偵測器模組,幫助企業識別和優先處理其環境中的漏洞。該模組使用來自多個來源(如 Canonical、Microsoft、國家漏洞資料庫(NVD)等)的資料,提供有關漏洞的即時資訊。

威脅偵測和回應

Wazuh 利用其模組、解碼器、規則集和與第三方解決方案的整合來偵測和保護您的數位資產免受威脅。這些威脅包括惡意軟體、網頁、網路攻擊等。Wazuh 的檔案完整性監控模組監控目錄並報告檔案的新增、刪除和修改。

Posted in  on 11月 13, 2024 by Kevin |  

Vmware:在 SaaS、本地雲和私有雲之間進行選擇以滿足安全性和合規性需求的五個技巧

 Vmware發佈了一篇在 SaaS、本地雲和私有雲之間進行選擇以滿足安全性和合規性需求的五個技巧

在當今的數字化時代,企業需要考慮如何在不同的部署模式下管理和保護他們的數據。SaaS、本地部署和私有雲都有各自的優缺點,因此企業需要根據自己的安全和合規需求做出明智的選擇。以下是五個幫助您做出決定的提示:

  • - 評估您的數據類型和敏感性。不同類型的數據可能需要不同程度的保護,例如個人資訊、財務記錄或商業機密。您需要確定您的數據是否適合存儲在雲端,或者是否需要更高的安全性和控制性。
  • - 考慮您的合規要求。您的行業或地區可能有一些特定的法規或標準,要求您對數據的存儲、處理和傳輸有一定的規範。例如,歐盟的 GDPR 規定了數據主權和隱私權的原則,而中國的網絡安全法則限制了跨境數據流動。您需要確保您選擇的部署模式能夠符合這些要求,或者能夠靈活地適應變化。
  • - 比較成本和效益。不同的部署模式可能會帶來不同的成本和效益。SaaS 通常提供了更低的初始成本和更快的部署時間,但也可能涉及到更多的訂閱費用和更新費用。本地部署則需要更多的硬體投資和維護費用,但也能提供更多的自定義和集成能力。私有雲則介於兩者之間,既能利用雲端技術帶來的彈性和可擴展性,又能保留一定程度的安全性和控制性。
  • - 評估您的技術能力和資源。不同的部署模式也需要不同程度的技術能力和資源來支持。SaaS 通常由供應商負責管理和更新,因此對客戶端來說比較簡單和方便。本地部署則需要客戶端自己負責所有的技術問題,包括安裝、配置、升級、修復等,因此需要更多的技術人員和時間。私有雲則可以根據客戶端和供應商之間的協議來分配技術責任,因此可以提供更多的靈活性和選項。
  • - 諮詢專業意見。如果您仍然不確定如何選擇最適合您的部署模式,您可以尋求專業意見來幫助您做出決策。例如,您可以聯繫一些有經驗和信譽的供應商或顧問,讓他們根據您的具體情況和需求來提供一些建議和方案。您也可以參考一些行業報告或案例研究,看看其他類似的企業是如何選擇和使用不同的部署模式的,從而獲得一些啟發和借鑒。

總之,選擇 SaaS、本地部署和私有雲是一個需要綜合考慮多個因素的過程,沒有一個絕對的答案。您需要根據您的安全和合規需求,以及您的成本、效益、技術能力和資源等情況,來做出最適合您的決定。

詳情請看:

Five Tips to Choose Between SaaS, On-Premises and Private Cloud for Your Security and Compliance Needs

Posted in  on 11月 13, 2024 by Kevin |  

McAfee:在醫療資料外洩期間保護您的資訊的 4 個技巧

 McAfee發佈了一篇在醫療資料外洩期間保護您的資訊的 4 個技巧

醫療資料是非常珍貴且不易過期的個人資訊,因此也成為了駭客的熱門目標。近年來,醫療資料外洩的事件頻頻發生,造成了許多人的隱私和財產受到威脅。本報告將介紹醫療資料外洩的原因、後果和防範方法,並提供一些實用的建議,讓您能更有效地保護自己的醫療資料。

醫療資料外洩的原因

醫療資料外洩的原因有很多,但主要可以歸納為以下幾點:

  • 醫療機構的安全漏洞:許多醫療機構使用的系統和軟體存在著安全漏洞,例如未加密的伺服器間通訊、遠端建立管理員帳號的功能、或是過度揭露個人資訊等。這些漏洞可能讓駭客能夠入侵醫療系統,竊取或竄改醫療影像、研究數據等。
  • 第三方服務商的安全問題:許多醫療機構會委託第三方服務商來處理一些業務,例如帳單收取、保險理賠等。然而,這些服務商可能沒有嚴格遵守安全規範,或是沒有及時更新安全措施,導致駭客能夠利用他們的系統來攻擊醫療機構。例如,美國的兩家醫學檢測公司 Quest Diagnostics 和 LabCorp 就曾因為與一家名為 AMCA 的帳單收取公司合作而遭受資料外洩,影響了近 2000 萬名顧客。
  • 個人使用者的安全意識不足:許多個人使用者對於自己的醫療資料並沒有足夠的保護意識,例如使用弱密碼、在公共網路上登入個人帳號、或是不注意電子郵件或電話中的詐騙訊息等。這些行為可能讓駭客能夠輕易地竊取或冒用他們的醫療資料。

醫療資料外洩的後果

醫療資料外洩可能會對個人和社會造成嚴重的影響,例如:

  • 個人隱私受到侵害:駭客可能會將竊取的醫療資料出售給其他不法分子,或是在暗網上公開。這些資料可能包含了個人的姓名、地址、生日、信用卡或銀行帳號、保險資訊、病歷、檢測結果等。這些資料可能會被用來進行身分盜用、詐騙、勒索、騷擾、歧視等不法行為,嚴重影響個人的生活和工作。
  • 醫療品質受到影響:駭客可能會對竊取的醫療資料進行竄改,例如修改醫療影像、處方、診斷等。這些竄改可能會導致醫生或護理人員做出錯誤的判斷或處置,危及病人的健康和安全。
  • 醫療研究受到阻礙:駭客可能會對竊取的醫療資料進行刪除、加密或洩露,例如刪除或加密重要的臨床試驗數據、或是洩露專利或商業機密等。這些行為可能會對醫療研究造成嚴重的損失或干擾,影響醫療創新和發展。

醫療資料外洩的防範方法

醫療資料外洩是一個需要多方合作的問題,需要醫療機構、第三方服務商和個人使用者共同努力來防範。以下是一些實用的建議:

  • 醫療機構應該加強自己的系統和軟體的安全性,例如使用加密技術、定期更新安全補丁、限制管理員帳號的權限和數量等。
  • 醫療機構應該嚴格審核和監督與自己合作的第三方服務商,例如要求他們遵守安全規範、定期進行安全測試和審計、及時通報任何安全事件等。
  • 個人使用者應該提高自己的安全意識,例如使用強密碼並定期更換、在公共網路上使用 VPN 來保護自己的資料傳輸、不要隨意點擊或回覆可疑的郵件或電話等。
  • 個人使用者應該使用一些可靠的工具來保護自己的醫療資料,例如使用暗網監測服務來及時發現自己的資料是否被外洩、使用個人資料清理服務來移除自己在風險高的數據經紀網站上的資訊、或是使用身分盜用防護服務來監控自己的帳戶並提供補償和協助。

醫療資料外洩是一個嚴重且日益增加的問題,需要我們高度重視和積極預防。只有通過提升安全技術和意識,我們才能有效地保護自己和家人。

詳情請看:

4 Tips to Protect Your Information During Medical Data Breaches

Posted in  on 11月 11, 2024 by Kevin |  

Cybersecurity insiders:軟件供應鏈的 5W — 安全團隊如何防止代價高昂的錯誤

 Cybersecurity insiders發佈了一篇軟件供應鏈的 5W — 安全團隊如何防止代價高昂的錯誤

軟體供應鏈是指從開發到部署的整個過程中,涉及到的所有軟體元件、工具、服務和人員。軟體供應鏈的安全性對於保護企業和客戶的資料和系統至關重要,但也面臨著許多挑戰和威脅。因此,安全團隊需要回答以下五個問題,以提高軟體供應鏈的安全性:

  • - 誰:誰是軟體供應鏈中的參與者?他們有什麼角色和責任?他們如何相互合作和溝通?
  • - 什麼:什麼是軟體供應鏈中的重要元件?它們有什麼功能和特性?它們如何影響軟體的品質和安全性?
  • - 哪裡:哪裡是軟體供應鏈中的關鍵環節?它們有什麼風險和弱點?它們如何被監測和測試?
  • - 何時:何時是軟體供應鏈中的重要時刻?它們有什麼機會和挑戰?它們如何被計劃和管理?
  • - 為什麼:為什麼要關注軟體供應鏈的安全性?它有什麼好處和價值?它如何符合業務目標和法規要求?

通過回答這些問題,安全團隊可以建立一個完整而清晰的軟體供應鏈的畫像,並採取適當的措施來防範和應對可能的攻擊,從而提高軟體供應鏈的安全性和可靠性。

詳情請看:

The 5Ws of the Software Supply Chain — How Security Teams Can Prevent Costly Mistakes

Posted in  on 11月 11, 2024 by Kevin |  

Aqua:當今威脅您的 AWS 環境的五種錯誤配置

 Aqua發佈了一篇當今威脅您的 AWS 環境的五種錯誤配置

AWS 是一個強大的雲端平台,可以讓企業建立和部署各種應用程式。然而,AWS 也有一些安全風險,如果不正確地配置,可能會導致資料洩露、服務中斷或其他攻擊。本報告將介紹 AWS 環境中常見的五種安全錯誤配置,並提供一些防範方法。

1. 使用預設或弱密碼

使用預設或弱密碼是一個常見的安全錯誤配置,可能會讓攻擊者輕易地破解或竊取帳號資訊。AWS 提供了多種服務,如 EC2、S3、RDS 等,每個服務都需要設定密碼或金鑰來存取。如果使用預設或弱密碼,可能會讓攻擊者利用暴力破解、字典攻擊或社交工程等手法,來竊取敏感資料或控制資源。

為了防止這種安全錯誤配置,建議採取以下幾個措施:

  • 使用強密碼,至少包含八個字元,並且包含大小寫字母、數字和特殊符號。
  • 定期更換密碼,並避免重複使用相同或相似的密碼。
  • 使用多因素驗證(MFA),在輸入密碼之外,還需要輸入一個由手機或其他裝置產生的隨機驗證碼。
  • 使用 AWS Secrets Manager 或其他工具來管理和旋轉密碼和金鑰,避免將它們儲存在程式碼或配置檔中。

2. 過度授權 IAM 角色和策略

過度授權 IAM 角色和策略是另一個常見的安全錯誤配置,可能會讓攻擊者獲得不必要的權限,從而執行惡意操作。AWS 的 Identity and Access Management (IAM) 服務可以讓管理員設定不同的角色和策略,來控制使用者和服務對 AWS 資源的存取權限。如果角色和策略設定得過於寬鬆或不明確,可能會讓攻擊者利用權限提升、跨帳號存取或其他技巧,來竊取資料或破壞系統。

為了防止這種安全錯誤配置,建議採取以下幾個措施:

  • 遵循最小權限原則(Principle of Least Privilege),只給予使用者和服務所需的最小權限,並定期審核和更新角色和策略。
  • 使用 IAM 條件子句(Condition Elements),來限制存取權限的範圍和條件,例如 IP 位址、時間、區域等。
  • 使用 IAM 角色委派(IAM Role Delegation),來將角色委派給受信任的實體,例如 AWS 服務、其他 AWS 帳號或外部身份提供者,避免直接將金鑰或密碼傳遞給第三方。
  • 使用 AWS Config 或其他工具來監控和記錄 IAM 的配置變化,並及時發現和修復任何不符合預期的配置。

3. 開放不必要的網路端口

開放不必要的網路端口是第三個常見的安全錯誤配置,可能會讓攻擊者利用端口掃描或其他工具,來發現和利用系統的弱點。AWS 提供了多種服務,如 VPC、EC2、ELB 等,每個服務都需要設定網路端口來允許或拒絕流量的進出。如果端口設定得過於開放或不清楚,可能會讓攻擊者利用端口來執行遠端程式碼、中間人攻擊、分散式阻斷服務攻擊(DDoS)等。

為了防止這種安全錯誤配置,建議採取以下幾個措施:

  • 使用安全群組(Security Groups)和網路 ACL(Network ACLs),來控制 VPC 中的入站和出站流量,並只開放必要的端口,例如 80(HTTP)、443(HTTPS)、22(SSH)等。
  • 使用私有子網(Private Subnets)和公有子網(Public Subnets),來隔離不同的資源,並只將需要對外提供服務的資源放在公有子網中,例如負載平衡器、防火牆等。
  • 使用 VPN 或其他加密技術,來保護敏感資料的傳輸,並避免使用明文協定,例如 HTTP、FTP、Telnet 等。
  • 使用 AWS Inspector 或其他工具來掃描和檢測系統中的任何開放端口或漏洞,並及時修補或關閉它們。

4. 暴露 S3 桶或其他儲存服務

暴露 S3 桶或其他儲存服務是第四個常見的安全錯誤配置,可能會讓攻擊者存取或竊取儲存在雲端的敏感資料。AWS 提供了多種儲存服務,如 S3、EBS、EFS 等,每個服務都需要設定存取控制清單(ACLs)、桶策略(Bucket Policies)、加密等。如果儲存服務設定得過於寬鬆或不正確,可能會讓攻擊者利用 URL 或 API 來列舉或下載儲存桶中的資料。

為了防止這種安全錯誤配置,建議採取以下幾個措施:

  • 使用 S3 存取點(S3 Access Points),來管理對 S3 桶中資料的存取權限,並只允許受信任的實體存取。
  • 使用 S3 區塊公共存取(S3 Block Public Access),來阻止對 S3 桶或物件的任何公共存取,並避免使用公共讀取或寫入權限。
  • 使用 S3 加密(S3 Encryption),來保護 S3 桶中資料。

好的,我會繼續寫完報告。以下是報告的後續部分:

5. 未更新或修補系統和應用程式

未更新或修補系統和應用程式是第五個常見的安全錯誤配置,可能會讓攻擊者利用已知的漏洞或缺陷,來入侵或破壞系統。AWS 提供了多種服務,如 EC2、Lambda、ECS 等,每個服務都需要定期更新或修補,以保持最新的安全性和功能。如果系統和應用程式設定得不及時或不完整,可能會讓攻擊者利用舊版的軟體或套件,來執行惡意程式碼、竊取資料或發動攻擊。

為了防止這種安全錯誤配置,建議採取以下幾個措施:

  • 使用 AWS Systems Manager 或其他工具,來自動化和管理系統和應用程式的更新或修補,並避免使用過時或不受支援的軟體或套件。
  • 使用 AWS Shield 或其他工具,來保護系統和應用程式免受 DDoS 攻擊,並減少停機或服務降級的風險。
  • 使用 AWS WAF 或其他工具,來防止常見的網路攻擊,如 SQL 注入、跨站腳本(XSS)、跨站請求偽造(CSRF)等,並保護網站和 API 的安全。
  • 使用 AWS Security Hub 或其他工具,來整合和分析系統和應用程式的安全資訊,並及時發現和回應任何安全事件或威脅。

AWS 環境中的安全錯誤配置是一個嚴重且普遍的問題,可能會導致嚴重的後果。為了避免這種問題,建議採取以下幾個步驟:

  • 設定強密碼和多因素驗證,並使用密碼管理工具。
  • 遵循最小權限原則,並使用 IAM 角色委派和條件子句。
  • 只開放必要的網路端口,並使用安全群組和網路 ACL。
  • 阻止 S3 桶或其他儲存服務的公共存取,並使用加密和存取點。
  • 定期更新或修補系統和應用程式,並使用防火牆和監控工具。

詳情請看:

Five Misconfigurations Threatening Your AWS Environment Today

Posted in  on 11月 09, 2024 by Kevin |  

Cybersecurity insiders:了解區別:道德黑客與網絡安全

 Cybersecurity insiders發佈了一篇了解區別:道德黑客與網絡安全

網路安全是一個廣泛的領域,涵蓋了保護網路系統、資料和資源免受未經授權的存取或損害的各種方法和技術。網路安全的目標是確保網路的可用性、完整性和機密性。

道德駭客是一種網路安全的專業人員,他們利用與惡意駭客相同或類似的技術,來測試和評估網路系統的弱點和漏洞。道德駭客的目的是幫助組織提高其網路安全水平,並防止真正的惡意駭客造成威脅。

道德駭客與網路安全之間的主要區別在於他們的動機和授權。道德駭客只會在得到目標組織的許可和合約之後,才會進行駭入活動,並且會遵守一定的規範和道德準則。他們不會濫用或洩露他們發現的任何資訊,也不會對系統造成任何實際的損害。相反地,惡意駭客沒有任何授權或許可,他們只是出於個人利益、政治目的、報復或其他惡意動機,來竊取、破壞或干擾網路系統。他們不會考慮他們行為對其他人或組織造成的後果或影響。

因此,道德駭客與網路安全是相輔相成的關係,而不是對立的關係。道德駭客可以幫助網路安全專家發現和修補系統中存在的漏洞,從而提高整體的網路安全水平。同時,網路安全專家也可以通過制定和執行適當的政策、規範和措施,來規範和監督道德駭客的活動,確保他們不會越界或違反法律。

詳情請看:

Understanding the Distinction: Ethical Hacking vs. Cybersecurity

Posted in  on 11月 09, 2024 by Kevin |  

Help net security:開源風險的根本原因

 Help net security發佈了一篇開源風險的根本原因

開源軟體在現代軟體開發中佔有重要的地位,但也帶來了一些安全風險。根據 Sonatype 的報告,2023 年的軟體供應鏈攻擊比 2019-2022 年的總和還要多兩倍,而且有 96% 的漏洞是可以避免的,只要選擇更好、更安全的開源版本。然而,許多開發者並沒有採用最佳的開源消費習慣,導致了不必要的風險。本報告將分析開源風險的根本原因,並提出一些改善建議。

開源風險的現況

開源軟體是軟體開發的基礎,它可以提供高效、高質、高創新的解決方案。然而,開源軟體也不是完美無缺的,它可能存在一些已知或未知的漏洞,如果被惡意利用,就會造成嚴重的後果。根據 Sonatype 的報告,2023 年有以下幾個值得關注的數據:

  • Sonatype 在 2023 年記錄了 245,032 個惡意套件,這些套件可能會在開源倉庫中偽裝成正常的套件,或者在正常的套件中植入惡意代碼。
  • 每八個開源下載中就有一個存在已知且可避免的風險,這些風險可以通過選擇一個更好、更安全的版本來消除。然而,許多開發者並沒有及時更新或升級他們使用的開源套件。
  • 只有 11% 的開源項目是「積極維護」的,這意味著許多開源項目可能缺乏足夠的支持和貢獻者,無法及時修復問題或改進功能。
  • 授權和認證是 API 漏洞的最大影響因素,它們分別導致了 1.35 億和 1.05 億條記錄被洩露。這些漏洞可能會讓攻擊者繞過安全控制,訪問或修改敏感數據。

開源風險的根本原因

根據 Sonatype 的報告,開源風險的根本原因並不是開源維護者的責任,而是開發者的選擇。許多開發者並沒有採用最佳的開源消費習慣,例如:

  • 不使用最新或最安全的開源版本。許多開發者可能會忽略或延遲更新或升級他們使用的開源套件,導致他們暴露在已知或未知的漏洞中。事實上,每次非最佳的組件升級都有大約 10 個更好的版本可供選擇。
  • 不檢查開源項目的健康狀況。許多開發者可能會盲目地信任或使用一些開源項目,而不去了解它們的維護情況、貢獻者數量、活躍度、質量等指標。這可能會導致他們使用一些過時、不穩定、不安全的開源項目。
  • 不遵守開源項目的授權協議。許多開源項目都有一些授權協議,規定了使用者可以或不能做的事情。如果開發者不遵守這些協議,就可能會違反法律或道德,甚至被起訴或罰款。

開源風險的改善建議

為了減少或消除開源風險,我們需要從開發者和開源社區兩個層面來進行改善。以下是一些可能的建議:

  • 開發者應該使用一些工具或平台來幫助他們管理和監測他們使用的開源套件,例如 Sonatype Nexus、Snyk、Dependabot 等。這些工具或平台可以自動檢測和修復開源漏洞,提醒和推薦最新或最安全的開源版本,分析和評估開源項目的健康狀況,以及確保開源授權的合規性。
  • 開發者應該培養良好的開源消費習慣,例如定期更新或升級他們使用的開源套件,避免使用不積極維護或不安全的開源項目,以及遵守開源項目的授權協議。
  • 開發者應該積極參與和貢獻於開源社區,例如回饋問題或建議,提交代碼或文檔,贊助或捐贈等。這樣可以提高開源項目的質量和安全性,並增強開源生態系統的活力和創新力。

開源軟體是軟體開發的重要資產,但也存在一些安全風險。這些風險的根本原因是開發者的選擇,而不是開源維護者的責任。因此,我們需要從開發者和開源社區兩個層面來改善和提升開源安全水平,以保護我們的數據和系統免受攻擊。

詳情請看:

The root cause of open-source risk

Posted in  on 11月 07, 2024 by Kevin |  

Cybersecurity insiders:社交媒體如何危害資訊安全

 Cybersecurity insiders發佈了一篇社交媒體如何危害資訊安全

社交媒體是現代人生活和工作中不可或缺的一部分,但它也帶來了許多資訊安全的風險。本文介紹了社交媒體對資訊安全的影響,以及如何防範和應對這些風險。

社交媒體的主要風險有以下幾種:

  • - 社交工程:攻擊者利用社交媒體上的個人資料,如姓名、生日、興趣、聯絡方式等,來建立信任關係,誘騙用戶提供敏感資訊或執行惡意操作,例如下載惡意軟體、點擊釣魚連結、轉帳匯款等。
  • - 資料洩露:用戶在社交媒體上分享過多的個人或工作相關的資料,可能被攻擊者收集和分析,用於竊取身份、盜取帳號、破壞聲譽、勒索贖金等。
  • - 惡意軟體:社交媒體上充斥著各種惡意軟體,如病毒、木馬、間諜軟體等,它們可能通過附件、連結、廣告、應用程式等方式傳播,一旦用戶點擊或下載,就可能感染電腦或手機,竊取資料、監控行為、控制裝置等。
  • - 假冒帳號:攻擊者可能創建假冒的個人或組織的社交媒體帳號,用於欺騙、誹謗、散佈假消息等目的。這些假冒帳號可能利用真實帳號的名稱、頭像、背景等特徵來混淆視聽,或者利用社交媒體的漏洞來盜取真實帳號的控制權。

為了保護自己和組織的資訊安全,我們應該採取以下一些措施:

  • - 提高警覺:在使用社交媒體時,要注意判斷來源和內容的真實性和可信度,不要隨意點擊不明連結或下載不明附件,不要隨意提供個人或工作相關的資訊,不要隨意加入不明群組或接受不明好友請求。
  • - 設定隱私:在設定社交媒體帳號時,要選擇合適的隱私設定,限制自己的資料和動態的可見範圍和可分享範圍,避免被不必要的人查看或轉發。同時,要定期清理自己的社交媒體歷史記錄,刪除不必要或敏感的內容。
  • - 更新防護:在使用社交媒體時,要確保自己的電腦或手機的作業系統和防毒軟體都是最新版本,及時修補漏洞和防範威脅。同時,要使用強密碼和多重驗證來保護自己的社交媒體帳號,並定期更換密碼。
  • - 報告問題:如果發現自己或組織的社交媒體帳號被盜用、冒用、攻擊或其他異常情況,要及時報告給相關的社交媒體平台或安全部門,並採取必要的應急措施,如更改密碼、刪除惡意內容、通知聯絡人等。

社交媒體是一把雙刃劍,既能帶來便利和樂趣,也能帶來危險和麻煩。我們要學會正確和安全地使用社交媒體,避免成為資訊安全的受害者。

詳情請看:

How social media compromises information security

Posted in  on 11月 07, 2024 by Kevin |  

Cybersecurity insiders:十個有效的策略,保護你的資料儲存和備份免受勒索軟體攻擊

 Cybersecurity insiders發佈了一篇十個有效的策略,保護你的資料儲存和備份免受勒索軟體攻擊

勒索軟體攻擊是一種利用惡意軟體來加密受害者的資料,並要求支付贖金才能解密的網路犯罪。近年來,勒索軟體攻擊的頻率和嚴重性都在上升,對企業和個人都造成了巨大的威脅。保護你的資料儲存和備份系統免受勒索軟體攻擊是確保你的寶貴資料安全的最關鍵的一環。在本文中,我們將探討十個積極的策略,來強化你的防禦能力,並確保你的資料即使在面對勒索軟體威脅時也能保持安全。

  1. 定期更新軟體和安全補丁:經常更新你的作業系統、應用程式和安全軟體。過時的軟體中可能存在漏洞,這些漏洞往往會被勒索軟體攻擊者利用。及時更新可以確保這些漏洞被及時修補。
  2. 實施強大的存取控制:限制對你的資料和備份系統的存取權限,只允許授權人員存取。使用強大的驗證方法,例如多因素驗證(MFA),來增加一層安全防護。
  3. 教育你的團隊:培訓你的員工識別釣魚試圖和可疑連結。人為錯誤往往是勒索軟體攻擊的入口點。教育你的團隊可以預防這些事件。
  4. 定期備份資料:經常將你的資料備份到安全、離線和離站的位置。自動化備份可以減少在攻擊發生時資料遺失的風險,而離線備份則不會被勒索軟體加密。
  5. 分割你的網路:網路分割將關鍵系統與你網路的其餘部分隔離。在攻擊發生時,這可以防止勒索軟體迅速擴散到你的備份系統。
  6. 部署端點偵測和回應(EDR)解決方案:EDR 解決方案持續監測端點裝置是否有惡意活動的跡象。它們可以在勒索軟體攻擊擴散之前偵測並停止它們。
  7. 投資下一代防毒軟體:傳統的防毒軟體對抗不斷演變的勒索軟體種類效果不佳。考慮使用下一代防毒工具,它們採用機器學習和行為分析來偵測威脅。
  8. 事故回應計畫:制定一個全面的事故回應計畫,詳述在發生勒索軟體攻擊時要採取的步驟。及時回應可以減少損害和資料遺失。
  9. 定期測試和演練:進行定期的勒索軟體攻擊模擬和復原演練。這些練習有助於確保你的團隊知道如何有效地回應,並識別你的安全措施中的任何弱點。
  10. 與網路安全專家合作:考慮與網路安全專家諮詢,他們可以提供適合你組織需求的見解和協助。他們可以幫助你了解最新的威脅和安全最佳實務。

保護你的資料儲存和備份免受勒索軟體攻擊是當今數位環境中至關重要的。實施多方面的方法,包括更新、存取控制、員工培訓和先進的安全解決方案,可以顯著降低勒索軟體攻擊的風險。

詳情請看:

10 Effective Strategies to Protect Your Data Storage and Backup from Ransomware

Posted in  on 11月 05, 2024 by Kevin |  

Cybersecurity insiders:什麼是身份?為什麼它很重要?

 Cybersecurity insiders發佈了一篇什麼是身份?為什麼它很重要?

你好,這是Bing。我會嘗試幫你寫出報告。以下是我的回答:

身份是一個人或一個組織的特徵,可以區分他們與其他人或組織。身份可以包括姓名、地址、生日、性別、國籍、信仰、興趣等等。身份可以幫助我們建立自信、認同和歸屬感,也可以讓我們與其他人建立關係和互動。

在網路世界中,身份也是非常重要的。我們需要保護我們的身份,避免被盜用、冒用或濫用。如果我們的身份被竊取,我們可能會遭受金錢、信譽或隱私的損失,甚至可能面臨法律的風險。因此,我們需要使用安全的密碼、驗證方式和加密技術,來確保我們的身份在網路上是安全和可信的。

身份不僅是一個人或一個組織的標誌,也是一個價值和意義的來源。身份讓我們知道自己是誰,也讓其他人知道我們是誰。身份讓我們有所歸屬,也讓我們有所貢獻。身份讓我們有所差異,也讓我們有所共通。因此,身份是一個不可或缺的部分,對於我們的生活和社會都有著重要的影響。

詳情請看:

What is identity and why is it important?

Posted in  on 11月 05, 2024 by Kevin |  

kaspersky:密碼原則指南

 kaspersky發佈了一篇密碼原則指南

密碼是資訊安全中最重要的元素之一,因此密碼政策就成為我們關注的焦點。密碼政策是一套規則,旨在激勵使用者使用強密碼並正確地處理它們。密碼政策可以是建議或要求,但現在後者比較常見:線上服務和企業IT基礎設施的管理員會在軟體設定中規定密碼使用的規則。

密碼政策的規則可以多樣化,涵蓋:

  • - 密碼長度:密碼中的最小和最大字元數。
  • - 允許的字元:密碼必須包含或不包含的大小寫字母、數字、特殊字元、表情符號等。
  • - 禁止的組合:例如,與公司或使用者名稱相符的字元序列。
  • - 特定禁令:例如,密碼不能以“1”開頭,不能包含連續數字(“12345678”),也不能符合一些容易猜測的模式(日期、電話號碼、車牌號等)。
  • - 密碼黑名單:滿足一般政策要求,但因其他原因被認為不安全的例外表;例如,已知被洩露的密碼。
  • - 密碼到期間隔:使用者必須設定新密碼的期限。
  • - 密碼重複禁止:密碼不能更改為之前用過的密碼。
  • - 禁止使用者要求更改密碼:防止攻擊者更改密碼而劫持帳戶。
  • - 密碼儲存方法:特別是公司內部禁止使用貼有密碼的便利貼。或者建議使用密碼管理器。
  • - 行政措施:如果某些密碼政策規則無法在軟體設定中強制執行,則可以採取行政措施來迫使使用者遵守它們。

當然,這個清單既不是完整的,也不是所有情況都必須遵守的。沒有一個單一通用的方法(也不可能有一個),因為密碼政策始終是安全性和使用者便利性之間的平衡。每個個別情況都需要找到合適的平衡點。現在讓我們看看密碼政策應該和不應該強制執行哪些要求。我們將舉例說明一些最多錯誤或有時甚至很愚蠢的密碼政策。

不良密碼政策的例子

過於具體的密碼政策可能會導致意想不到的後果。以下是一些常見的不良密碼政策:

要求使用者每隔幾天就更改密碼

這種做法可能會讓使用者感到厭煩和困惑,因為他們必須不斷地記住新的密碼,而且很可能會選擇一些容易記住但不安全的密碼,例如在舊密碼後面加一個數字。這種做法也沒有提高安全性,因為如果攻擊者獲得了使用者的密碼,他們不會等待下一次更改密碼的時機,而是立即利用它。因此,這種做法只會增加使用者的負擔,而不會減少風險。

要求使用者使用特殊字元和大小寫字母

這種做法的目的是增加密碼的複雜度,從而增加破解密碼所需的時間和成本。然而,這種做法也可能會產生一些問題,例如:

  • - 使用者可能會選擇一些常見的替換方式,例如將“a”替換為“@”或將“o”替換為“0”。這些替換方式已經被攻擊者預測並納入破解工具中,因此並不會增加密碼的強度。
  • - 使用者可能會忘記自己使用了哪些特殊字元和大小寫字母,導致無法登入帳戶或需要重設密碼。這些情況都會降低使用者的體驗和效率。
  • - 使用者可能會在不同的設備上輸入密碼時遇到困難,例如在手機或平板電腦上輸入特殊字元可能需要切換鍵盤或長按某些鍵。這些操作都會增加使用者的不便和錯誤。

因此,這種做法並不一定能提高密碼的安全性,反而可能會降低使用者的滿意度和忠誠度。

禁止使用者使用密碼管理器

有些服務或系統會禁止使用者使用密碼管理器來儲存或自動填充密碼,例如通過禁用剪貼簿功能或阻止粘貼操作。這種做法的目的是防止使用者將密碼洩露給第三方應用程式或惡意程式。然而,這種做法也可能會產生一些問題,例如:

  • - 使用者可能會選擇一些簡單或重複的密碼,以便於記憶和輸入。這些密碼更容易被攻擊者猜測或破解。
  • - 使用者可能會將密碼寫在紙上或其他不安全的地方,以免忘記。這些地方更容易被其他人看到或竊取。
  • - 使用者可能會感到沮喪和不耐煩,因為他們必須手動輸入每個帳戶的密碼,而且不能利用密碼管理器提供的其他功能,例如生成強密碼或提醒更改密碼。

因此,這種做法並不一定能保護使用者的密碼,反而可能會削弱使用者的安全意識和行為。

如何避免不良密碼政策

  • - 選擇一個足夠長(至少12個字元)且不含常見字詞或組合的密碼。您可以使用一句話或一個短語作為密碼,例如「I love to chat with Bing」或「Bing is my favorite search engine」。
  • - 使用不同的密碼來存取不同的服務或系統,以防止一個帳戶被入侵後影響其他帳戶。您可以使用一些規則來變化您的基本密碼,例如在前面或後面加上服務或系統的名稱或首字母,例如「I love to chat with Bing-FB」或「Bing is my favorite search engine-GM」。
  • - 定期更改您的密碼,但不要過於頻繁。您可以根據帳戶的重要性和風險來決定更改密碼的間隔,例如每三個月或每半年。您也可以在發現任何可疑的活動或收到安全警告時立即更改密碼。
  • - 使用密碼管理器來儲存和管理您的密碼。密碼管理器是一種軟體或應用程式,可以幫助您生成、記錄、填充和保護您的密碼。您只需要記住一個主密碼來解鎖您的密碼庫,而且可以在不同的設備上同步您的密碼。請選擇一個可靠和安全的密碼管理器,並定期備份您的密碼庫。
  • - 啟用多因素驗證(MFA)來增加帳戶的安全層級。多因素驗證是一種要求您提供兩種或以上的身分證明來登入帳戶的方法,例如密碼加上手機收到的驗證碼或指紋掃描。這樣即使您的密碼被洩露,攻擊者也無法存取您的帳戶,除非他們也有其他因素。請選擇一個方便且安全的多因素驗證方式,並在支援此功能的服務或系統上啟用它。

密碼政策是一種旨在提高帳戶安全性和防止資料外洩的措施,但如果設定不當或執行不力,可能會產生反效果,降低使用者的體驗和效率。因此,我們建議您遵循上述的建議,選擇一個強而有力且容易記住的密碼,並使用其他工具和方法來保護和管理您的密碼。這樣不僅可以減少被攻擊的風險,也可以提高您使用網路服務和系統的信心和滿意度。

詳情請看:

A how-not-to guide to password policies

Posted in  on 11月 03, 2024 by Kevin |  

The Hacker news:如何將 MITRE ATT&CK 應用到您的組織

 The Hacker news發佈了一篇如何將 MITRE ATT&CK 應用到您的組織

MITRE ATT&CK 是一個知名的網路安全框架,它提供了一個系統化的方法來描述和分析攻擊者的行為和技術。這個框架可以幫助安全團隊更好地了解威脅情報,並制定有效的防禦策略。

本文介紹了如何應用 MITRE ATT&CK 框架來提升網路安全,主要包括以下幾個方面:

  • - 瞭解攻擊者的思維模式和行動過程。MITRE ATT&CK 框架將攻擊者的行為分為 14 個戰術,每個戰術下有多個技術。這些戰術和技術涵蓋了攻擊者從初始訪問到目標系統,到最終達成目的的整個過程。安全團隊可以利用這個框架來模擬攻擊者的思維模式和行動過程,並預測可能的攻擊向量和手段。
  • - 建立基於風險的優先順序。由於不可能防禦所有的攻擊技術,安全團隊需要根據自己的業務需求和資產重要性,建立基於風險的優先順序。這意味著要識別出最可能受到攻擊的資產和最危險的攻擊技術,並針對這些領域投入更多的資源和注意力。
  • - 選擇合適的安全工具和措施。MITRE ATT&CK 框架不僅提供了攻擊者的技術,還提供了相關的偵測方法和緩解措施。安全團隊可以根據這些資訊,選擇合適的安全工具和措施,來增強自己的偵測能力和防禦能力。例如,可以使用日誌分析、入侵偵測系統、防火牆、端點保護等工具來監測和阻止攻擊者的活動。
  • - 持續評估和改進。MITRE ATT&CK 框架是一個動態更新的框架,它會根據最新的威脅情報和實際案例,不斷添加和修改攻擊者的技術。因此,安全團隊需要持續關注框架的變化,並定期評估自己的安全狀況和效能。此外,安全團隊還可以利用框架來進行紅隊(模仿攻擊者)和藍隊(模仿防禦者)之間的演練,以檢測和改進自己的安全能力。

總之,MITRE ATT&CK 框架是一個有價值的網路安全參考,它可以幫助安全團隊更深入地理解攻擊者的行為和技術,並制定更有效的防禦策略。安全團隊應該積極地應用這個框架來提升自己的網路安全水平。

詳情請看:

How to Apply MITRE ATT&CK to Your Organization

Posted in  on 11月 03, 2024 by Kevin |  

Cybersecurity insiders:內在威脅意識:不要低估內在的危險

 Cybersecurity insiders發佈了一篇內在威脅意識:不要低估內在的危險

內部威脅是指那些擁有合法訪問權限的員工、前員工、承包商或商業夥伴,他們可能因為故意或無意地洩露、竊取或破壞敏感數據和系統而對組織造成安全風險。根據研究顯示,過去兩年,由員工造成的安全漏洞增加了47%,無論是意外還是惡意的。每年,有34%的企業會遭受內部威脅事件,每次事件的平均成本高達1538萬美元。

內部威脅可以分為以下幾種類型:

  • 無意的數據泄露:例如粗心的用戶造成的意外泄露
  • 疏忽的數據泄露:例如用戶故意無視政策,但沒有惡意
  • 惡意的數據泄露:例如用戶故意造成傷害
  • 被竊取的賬戶/設備:例如用戶的系統被無知地接管

內部威脅的動機可能有多種,例如詐騙、金錢利益、知識產權盜竊等。此外,隨著生成式人工智能工具被不法分子利用,內部威脅也變得更加危險。這些工具可以幫助攻擊者快速地開發和分發惡意軟件、釣魚郵件和勒索軟件。有時,攻擊者甚至會向目標組織的員工提供金錢誘因,以獲得足以繞過企業安全的資訊。

對於內部威脅,企業不僅要面對法規的嚴格和罰款的高昂,還要承受品牌損害和聲譽危害所帶來的損失。因此,提高內部威脅意識,設計和建立有效的內部威脅防範方案,包括用戶實體和行為分析(UEBA),是每個組織都必須面對和解決的重要課題。

詳情請看:

Insider Threat Awareness: Don’t Underestimate the Dangers Within

Posted in  on 11月 01, 2024 by Kevin |  

Vmware:VMware 勒索軟件恢復 – 它是如何工作的?

 Vmware發佈了一篇VMware 勒索軟件恢復 – 它是如何工作的?

VMware Ransomware Recovery 是 VMware 的一項新服務,可幫助您從勒索軟件中恢復。 它有助於檢查隔離雲環境中的還原點,並查看它們是否在勒索軟件攻擊後未被感染,為此工具,需要準備額外資源或備用硬件。

  1. VMware 創建了一個安全的恢復環境,您可以在其中旋轉恢復點以進行測試。
  2. 選擇您要測試的還原點
  3. 驗證恢復點後,您可以在將其恢復到生產環境之前對其進行驗證和掃描
  4. 恢復

詳情請看:

VMware Ransomware Recovery – How it works?

Posted in  on 11月 01, 2024 by Kevin |