Cybersecurity insiders：企業電子訊息安全與治理的推薦實踐

Cybersecurity insiders發佈了一篇企業電子訊息安全與治理的推薦實踐

電子郵件是企業溝通的重要工具，但也是網路攻擊的常見目標。如何確保電子郵件服務的安全性和可信度，特別是當使用第三方服務時，是企業必須面對的挑戰。本文將介紹一些推薦的實踐，幫助企業提升電子郵件安全與管理的水準。

限制代表您發送的人員

企業應該限制能夠代表其官方發送域名發送郵件的人員，以維護電子郵件的聲譽、安全性和管理，並確保其通訊被其他人信任，同時防止未經授權的發送者偽造其身份並破壞其聲譽。行業的建議是將您的官方發送域名的外發郵件限制在一個中繼點。這可以是一個特別配置的安全電子郵件中繼解決方案，或者是一個第三方電子郵件安全解決方案，例如 Microsoft, Mimecast, Proofpoint 等[¹][1]。重要的是，所有的第三方電子郵件合作夥伴都應該通過您配置的安全電子郵件中繼來轉發郵件，這樣可以統一地應用 DKIM, SPF, DMARC 等電子郵件標準（BIMI）。這將提高您在公共電子郵件行業的整體聲譽，並讓您能夠追蹤和修復任何潛在的問題。

有多種安全、流程和業務完整性的原因，使得您不應該將第三方合作夥伴添加到您的 SPF 記錄中。這些原因包括但不限於以下幾點：

管理 SPF 記錄中的多個合作夥伴需要不斷的關注，並有可能遺漏移除或業務方向的變化。
SPF 記錄可能會過大，導致查詢失敗，影響投遞率。
第三方合作夥伴可能無意中以您的域名簽名發送出與您的業務無關或未經授權的郵件。
您無法驗證第三方合作夥伴發送了什麼郵件，以及發送給了誰。這可能導致您被評為垃圾郵件發送者，發送未經請求的郵件。
第三方合作夥伴可能遭受入侵，而這現在成為了您的入侵。您可能會失去客戶的信任，並降低您的郵件打開率。

實施 DKIM, SPF 和 DMARC

這些是防止電子郵件偽造和釣魚攻擊的必要的電子郵件驗證協議。

DKIM (DomainKeys Identified Mail)：使用數字簽名對外發郵件進行簽名，以驗證發送者的域名。
SPF (Sender Policy Framework)：定義哪些 IP 地址被允許代表您的域名發送郵件。
DMARC (Domain-based Message Authentication, Reporting and Conformance)：定義如何處理不符合 DKIM 或 SPF 的郵件，並提供反饋機制。

選擇一個有信譽的代理服務提供商

確保您選擇的第三方代理服務提供商在安全性和可靠性方面有良好的聲譽。選擇那些有著維持高標準的安全合規歷史的提供商。

企業電子郵件安全與管理是一個重要而複雜的議題，需要企業採取有效的措施，以防止潛在的風險和損失。本文介紹了一些推薦的實踐，包括限制代表您發送的人員，實施 DKIM, SPF 和 DMARC，以及選擇一個有信譽的代理服務提供商。希望這些實踐能夠幫助您提升您的企業電子郵件安全與管理的水準，並保護您的通訊資料。

詳情請看：

Cybersecurity insiders發佈了一篇無線可見性：零信任的必備條件

零信任安全（Zero Trust Security）是一種安全模型，它不再假設網絡內部的任何實體（包括用戶、設備和基礎設施組件）是可信的，而是要求所有實體在訪問資源之前進行連續的身份驗證和授權。零信任安全的目標是減少網絡的攻擊面，防止未經授權的訪問和數據洩露，並提高網絡的可見性和可審計性。

零信任安全的核心組成部分之一是無線可見性（Wireless Visibility），即對網絡中的所有無線設備和活動的全面了解。無線可見性是零信任安全的必要條件，因為它可以幫助組織實現以下目標：

識別和分類無線設備：無線設備的數量和多樣性在不斷增加，包括筆記本電腦、智能手機、平板電腦、物聯網（IoT）設備、穿戴式設備等。這些設備可能屬於組織的員工、客戶、合作夥伴或訪客，也可能是未經授權的入侵者或惡意攻擊者。為了實現零信任安全，組織需要能夠識別和分類網絡中的所有無線設備，並根據其屬性和風險水平賦予相應的信任等級。
監測和分析無線活動：無線設備的行為和通信可能暴露出網絡的弱點和威脅，例如未加密的數據傳輸、不安全的網絡連接、異常的流量模式、可疑的命令和控制通道等。為了實現零信任安全，組織需要能夠監測和分析網絡中的所有無線活動，並及時發現和應對任何潛在的安全事件。
實施和強制無線政策：無線設備的訪問和使用需要受到嚴格的控制和管理，以確保符合組織的安全要求和規範。為了實現零信任安全，組織需要能夠實施和強制無線政策，例如最小權限原則（Least Privilege Principle）、多因素身份驗證（Multi-Factor Authentication）、數據加密和隔離等。

總之，無線可見性是零信任安全的必要條件，因為它可以幫助組織對網絡中的所有無線設備和活動進行有效的識別、監測和控制，從而提高網絡的安全性和可靠性。無線可見性的實現需要組織採用先進的無線安全技術和解決方案，例如無線入侵防禦系統（Wireless Intrusion Prevention System）、無線資產管理系統（Wireless Asset Management System）、無線安全分析平台（Wireless Security Analytics Platform）等。這些技術和解決方案可以幫助組織獲得無線網絡的全景視圖，並實現零信任安全的目標。

詳情請看：

Wireless Visibility: The MUST for Zero Trust

Mcafee發佈了一篇社交隱私管理器簡介

社交媒體已經成為我們生活中不可或缺的一部分，我們通過它與親友保持聯繫，分享我們的生活點滴，獲取各種資訊。然而，社交媒體也帶來了一些隱私風險，您的個人資料可能被不良人士利用，造成身份盜用，詐騙，勒索等問題。因此，保護您的社交媒體隱私是非常重要的。

根據 McAfee 的調查，全球有 73% 的社交媒體用戶表示他們對社交媒體平台上的安全和隱私非常關注。對於有青少年子女的家長來說，這種關注更加強烈。皮尤研究中心的最新報告顯示，美國有近 1/5 的青少年表示他們“幾乎一直”在 YouTube 和 TikTok 上。面對這種情況，我們該如何有效地管理我們的社交媒體隱私呢？

為了幫助您解決這個問題，我們推出了 McAfee 的社交隱私管理器。這是一個智能的工具，可以幫助您自動調整您選擇的所有社交媒體帳號的超過 100 項隱私設定。通過這樣做，您可以減少被收集的數據量，並確保您的資訊只對您想要分享的人可見，從而防止您的個人資訊落入錯誤的手中。

如果您想了解更多關於社交隱私管理器的資訊，請繼續閱讀本文，我們將為您介紹它的主要功能和優勢，以及如何使用它來提高您的社交媒體隱私保護水平。

社交隱私管理器的功能和優勢

社交隱私管理器是一個簡單易用的工具，它可以幫助您快速地檢查和調整您的社交媒體隱私設定，無需逐一登入每個平台。它支援 Facebook，Twitter，Instagram，LinkedIn，YouTube，TikTok 等主流的社交媒體平台，並且可以根據您的個人偏好和需求，為您提供不同的隱私設定選項。

社交隱私管理器的主要功能和優勢有以下幾點：

一鍵掃描：您只需點擊一個按鈕，社交隱私管理器就會為您掃描您的所有社交媒體帳號，並顯示出您的隱私狀況，包括您的個人資料，帖子，好友，粉絲，關注等。您可以一目了然地看到哪些資訊是公開的，哪些是私密的，哪些是有風險的。
智能建議：社交隱私管理器會根據您的掃描結果，為您提供智能的隱私建議，讓您可以輕鬆地調整您的隱私設定，以達到您想要的效果。您可以選擇“高隱私”模式，將您的所有資訊設為僅對自己或好友可見；您也可以選擇“低隱私”模式，將您的部分資訊設為對所有人可見；您還可以選擇“自定義”模式，根據您的具體需求，逐項修改您的隱私設定。
定期提醒：社交隱私管理器會定期提醒您檢查和更新您的社交媒體隱私設定，以確保您的隱私保護水平不會下降。您可以設定提醒的頻率和時間，也可以隨時手動啟動掃描。社交隱私管理器會及時反映您的隱私變化，並給予您相應的建議。

如何使用社交隱私管理器

使用社交隱私管理器非常簡單，您只需按照以下幾個步驟，就可以開始享受它帶來的便利和安全：

下載和安裝：您可以在 McAfee 的官方網站或者您的應用商店中下載和安裝社交隱私管理器。它是 McAfee 的一個附加功能，您可以免費使用它，或者升級到 McAfee 的高級套餐，獲得更多的保護功能。
登入和連接：您需要用您的 McAfee 帳號登入社交隱私管理器，然後選擇您想要掃描和管理的社交媒體帳號，並授權社交隱私管理器訪問您的資訊。您可以隨時添加或刪除您的社交媒體帳號，也可以取消授權社交隱私管理器。
掃描和調整：您可以點擊“開始掃描”按鈕，讓社交隱私管理器為您掃描您的所有社交媒體帳號，並顯示出您的隱私狀況和建議。您可以選擇接受或忽略社交隱私管理器的建議，也可以自行修改您的隱私設定。您可以隨時查看和更新您的隱私設定，並查看您的隱私分數。
享受和分享：當您完成了您的隱私設定，您就可以放心地享受您的社交媒體生活，並與您想要分享的人分享您的資訊。您也可以邀請您的親友使用社交隱私管理器，讓他們也能受益於這個工具。

社交媒體隱私是一個我們必須重視和保護的問題，因為它關係到我們的個人資訊，聲譽，安全，甚至財產。使用 McAfee 的社交隱私管理器，您可以輕鬆地控制您的社交媒體隱私設定，並減少您的隱私風險。您不需要花費太多的時間和精力，就可以享受社交媒體帶來的樂趣和便利，同時保持您的隱私安全和自主。

詳情請看：

Introducing Social Privacy Manager

Help net security發佈了一篇學校的網路安全危機

教育部門是網路攻擊的主要目標之一，因為它們處理著敏感的個人資料、學生資料和知識產權資料。根據 Trustwave 的報告，這些攻擊不僅威脅到教師和管理人員的安全，也危及到學生、員工和其他相關實體的隱私。在數百萬學生通過技術進行混合、遠程或現場學習的情況下，設備安全不再是可選的。必須確保一個安全無虞的學習環境。

教育部門面臨的網路安全挑戰

教育部門的網路安全面臨著幾個因素的影響，包括：

BYOD 難題：「自帶設備」的文化帶來了安全挑戰，因為它增加了未管理的設備到網路中，使 IT 資源緊張。
複雜的基礎設施：多樣的設備、分散的 IT 管理和不一致的安全實踐創造了一個龐大的攻擊面，存在著漏洞。
資料寶庫：大量的敏感學生資料吸引了尋求資料洩露和身份盜用的攻擊者，而線上協作和開放的網路訪問更加放大了這一風險。
暴露的系統和服務：公共可訪問的網路設備，如伺服器、建築管理系統、存取系統和攝像頭，缺乏適當的安全措施，增加了風險。
資源匱乏：有限的預算阻礙了對網路安全軟體和人員的投資，使關鍵系統缺乏保護。
遺留風險：過時的 IT 系統由於缺乏更新和安全補丁，仍然容易受到利用。

教育部門面臨的網路安全威脅

教育部門面臨著多種網路安全威脅，從針對學生的假工作機會詐騙，到由於公共應用程式的漏洞而導致的網路設備的關鍵暴露。Trustwave SpiderLabs 的最新研究揭示了威脅組織的攻擊流程，闡明了他們的戰術、技術和程序。以下是一些主要的發現：

學生被虐待，以假工作機會為誘餌，提供高薪和靈活的工作時間。有時，學生會收到一張偽造的支票，並被指示將其存入銀行，並將部分資金轉移到其他地方。
Trustwave SpiderLabs 發現了關鍵系統和設備的重大暴露，例如公共檔案伺服器、印表機、協作系統和存儲敏感資料的系統。這些系統和設備可能被攻擊者利用，以竊取資料、植入惡意程式碼或發動勒索軟體攻擊。
教育部門還需要關注第三方的網路安全風險，例如供應商、合作夥伴和服務提供商。這些第三方可能會因為他們的網路安全控制或資料洩露保護存在未發現或未修復的漏洞，而對教育部門構成嚴重的風險。

教育部門的網路安全建議

為了應對教育部門的網路安全危機，Trustwave 提供了以下一些建議：

建立一個統一的網路安全政策，並定期檢查和更新它，以適應變化的威脅情況和法規要求。
提高學生、教師和員工的網路安全意識，並教育他們如何識別和避免常見的攻擊手法，如釣魚、惡意附件和假網站。
實施強大的身份和存取管理，並使用多因素驗證、最小權限原則和定期密碼變更，以防止未經授權的存取和帳戶劫持。
保護所有的設備，無論是學校提供的還是自帶的，並使用最新的防毒軟體、防火牆和加密技術，以防止惡意程式碼的感染和資料的洩露。
監測和審核網路活動，並使用先進的威脅偵測和回應工具，以及專業的安全服務，以及時發現和應對任何異常或可疑的事件。
管理和減少第三方的網路安全風險，並要求他們遵守相同或更高的安全標準，並定期評估和驗證他們的安全狀況和合規性。

教育部門的網路安全是一個嚴峻的挑戰，但也是一個重要的機會，以提高教育品質和效率，並保護學生和教職員的權益。我們希望這篇文章能夠幫助您了解教育部門的網路安全現狀和建議，並鼓勵您採取適當的措施，以提高您的網路安全水平和防禦能力。

詳情請看：

Cybersecurity crisis in schools

微軟發佈了一篇AI賦能網路營運

電信運營商經營著世界上最複雜和最嚴苛的網路。他們管理著來自各種供應商的數以千計的網路設備，同時要為越來越多的端點提供流量，從手機手機到數十億個由 5G 連接的 IoT 端點。所有這些設備加起來每天會產生以 PB 為單位的數據，格式各異，使得很難輕鬆地識別和解決影響少數端點的問題。人工智能（AI）為解決這些挑戰提供了當今的解決方案。

Azure Operator Insights 是一個基於 AI 的、完全管理的服務，它簡化了從龐大而複雜的分佈式電信網路中收集、轉換和分析數據的過程。它基於一種為性能和成本效益而設計的現代數據網格架構。Operator Insights 專為電信運營商特定的工作負載而設計，幫助運營商了解和處理複雜的網路場景，例如網路的健康狀況和用戶體驗的質量。Operator Insights 平台提供了低延遲的數據收集、轉換和洞察力，並具有 Copilot 功能。這個基礎可以被打包成可組合的單元，稱為數據產品，由數據產品工廠創建。進一步地，這些數據產品可以由運營商和合作夥伴發佈到 Azure Marketplace，這就構成了 Azure Operator Insights 生態系統。結果是，每個運營商都可以創建自己的數據網格，使運營商能夠關聯他們的數據源，並獲得有價值的和可行的網路洞察力。本文的其餘部分將介紹數據產品工廠和 Copilot。

數據產品工廠

數據產品工廠是一個框架，讓合作夥伴能夠輕鬆地為 Azure Operator Insights 平台設計和創建新的數據產品，提供以下好處：

通過“低代碼”技術，加速實現業務價值，允許快速接入來自運營商網路的新數據源。
簡化將本地分析管道遷移到 Azure 的過程。
通過開放和一致的接口，輕鬆地與合作夥伴自己的增值解決方案集成，例如：
- 整合到工作流和票務系統，實現基於 AI 生成的洞察力的自動化。
- 整合到網路範圍的管理解決方案，例如 OSS/NMS 平台。
通過參與 Microsoft 不斷增長的數據產品生態系統，獲得機會。這將是運營商管理其數據資產的首選場所。
通過在 Azure Marketplace 中向多個客戶銷售數據產品，實現數據產品的輕鬆變現。
獨特地定制 Copilot 知識庫和故障排除助理的功能。

Copilot

Copilot 是一個基於 AI 的故障排除助理，它可以幫助運營商快速定位和解決網路問題。它通過以下方式實現：

通過自然語言處理（NLP）技術，理解運營商的查詢，並提供相關的數據產品。
通過數據可視化，展示數據產品的洞察力，並提供交互式的探索功能。
通過知識圖譜，提供上下文相關的建議，並引導運營商進行進一步的分析。
通過自動化腳本，執行常見的網路操作，例如重啟設備或更改配置。
通過持續學習，根據運營商的反饋和行為，優化其性能和準確性。

Copilot 可以通過網頁、移動應用或語音界面訪問，為運營商提供靈活和便捷的方式，以利用 AI 的力量來改善網路運營。

AI 是網路運營的未來。它可以幫助運營商提高網路的效率、可靠性和安全性，同時降低成本和複雜性。Azure Operator Insights 是一個創新的平台，它利用 AI 為運營商提供了一個簡單而強大的方式，來管理他們的數據和網路。通過數據產品工廠和 Copilot，運營商可以創建、發佈和使用定制的數據產品，以獲得深入的網路洞察力，並實現故障排除的自動化。

詳情請看：

AI Enables Network Operations

Cybersecurity insiders發佈了一篇規劃數位化來世：從已故用戶的 Google 帳戶檢索數據

在我們的數位化世界中，管理線上帳號和保留數位遺產已經成為一個重要的考量。當某人過世時，存取和取回他們的 Google 帳號資料可能是一個敏感和複雜的過程。本文旨在提供一個概述，介紹從已故親友的 Google 帳號取回資料的步驟。

了解 Google 的政策

在嘗試取回資料之前，必須先熟悉 Google 針對已故使用者的政策[¹][1]。Google 有特定的程序來處理這種情況，了解這些政策將指引您通過整個過程。

驗證死亡

Google 在提供帳號存取權之前，需要驗證使用者的死亡[¹][1]。這可能涉及提交相關的法律文件，例如死亡證明。請確保您準備好必要的文件，以證明您有權要求存取帳號。

Google 的 Inactive Account Manager

Google 提供了一個工具，叫做「Inactive Account Manager」，讓使用者可以指定在一段不活動的時間後，他們的資料會發生什麼事[¹][1]。如果已故親友設定了這個功能，它可以簡化整個過程。請檢查親友是否啟用了這個工具，並按照指定的指示進行。

聯絡 Google 支援

如果您遇到困難或有特殊的要求，聯絡 Google 支援[²][2] 是一個選擇。請準備好提供必要的文件和資訊，以證明您與已故親友的關係，以及您有權存取帳號。

法律協助

在某些情況下，可能需要獲得法律協助，特別是如果有關於已故親友的數位資產的複雜性或爭議。請諮詢有數位遺產規劃經驗的律師，以了解您的權利和責任。

通知 Google 關於親友的意願

如果已故親友留下了關於他們的數位資產的具體指示，例如授權某個可信任的人存取，請確保將這些資訊告訴 Google。他們可能會在驗證過程中考慮這些指示。

資料取回選項

Google 可能會根據他們的政策和親友的設定，提供資料取回的選項[¹][1]。這可能包括下載特定的資料，轉移某些資產的所有權（例如 Google Drive 檔案），或永久關閉帳號。

尊重隱私

尊重已故親友的隱私和意願是非常重要的。請避免在沒有適當授權的情況下，存取或取回資料，因為這可能違反隱私法律和服務條款。

規劃數位遺產是現代遺產管理的一個重要部分。了解 Google 的程序，準備必要的文件，並尊重親友的意願，是從已故親友的 Google 帳號取回資料的必要步驟。

詳情請看：

Planning for Digital Afterlife: Retrieving Data from a Deceased User’s Google Account

Paloalto發佈了一篇利用 AI 支援的網路安全加速 5G

5G 是一種新一代的無線通訊技術，它能提供更高的速度、更低的延遲、更多的連線數，以及更好的可靠性。5G 的發展將為各行各業帶來創新的機會，例如智慧城市、遠端醫療、自動駕駛、虛擬實境等。然而，5G 也帶來了更多的網路安全挑戰，因為它將增加網路的複雜性、擴大攻擊面、引入新的威脅向量，並要求更高的安全標準。

為了應對 5G 的安全風險，我們需要利用人工智慧 (AI) 的力量，來提升我們的防禦能力。AI 是一種能夠模擬人類智慧的技術，它能夠學習、分析、推理、決策、預測等。AI 在網路安全領域的應用，可以幫助我們做到以下幾點：

增強威脅情報：AI 可以從大量的資料中，提取有用的資訊，並將其轉化為可操作的威脅情報，幫助我們及時發現和應對新興的攻擊手法和趨勢。
提升威脅偵測：AI 可以利用機器學習和深度學習的方法，建立網路行為的基準模型，並持續監測網路流量的異常變化，幫助我們快速識別和隔離惡意活動。
優化威脅回應：AI 可以根據威脅的嚴重程度和影響範圍，自動執行適當的回應措施，例如阻斷連線、隔離裝置、通知管理員等，幫助我們減少損失和恢復正常狀態。
簡化安全管理：AI 可以作為安全團隊的助理，協助我們管理和部署安全策略、配置和更新安全設備、生成和分析安全報告等，幫助我們節省時間和資源，提高工作效率。

總之，5G 與 AI 驅動的網路安全，是一種全新的安全模式，它能夠幫助我們應對 5G 時代的安全挑戰，並創造更多的安全價值。我們需要積極採用和整合 AI 技術，以提升我們的安全能力和水準，並為 5G 的創新應用提供可靠的保障。

詳情請看：

Accelerate 5G with AI-Powered Cybersecurity

Help net security發佈了一篇安全運作是時候放棄 Excel 了

安全運營團隊有一個不為外界所知的尷尬秘密：儘管他們處於技術和安全風險與威脅的最前線，但他們實際的戰略計劃卻是用試算表來管理的。這與大多數人想像的黑暗房間、多屏幕和落下的代碼相去甚遠，也與他們所需要的相差萬里。用試算表來做網路安全？！

Microsoft Excel和Google Sheets非常適合平衡帳目和管理網路安全預算。然而，它們卻不太適合處理實際的安全問題、審計、追蹤、修補和映射資產庫。我們的核心資產難道不值得更好的對待嗎？然而，安全運營團隊卻淹沒在需要不斷手動維護的多個標籤頁中。使用這些試算表需要安全運營團隊追蹤組織中的每個團隊，以獲取有關從映射例外和機器的壽命終止到追蹤硬體和操作系統的所有信息。這是他們收集有關何時、為什麼和如何必須解決某些安全問題或任務所需的信息的唯一方法。難怪，截止日期的欄位通常都是紅色的。

這是一個困擾著甚至是擁有頂尖CISO的跨國企業的行業問題。即使那些有足夠的GRC團隊的企業，也仍然使用Excel來進行即將到來的審計，以驗證補救措施，分配責任並跟蹤合規性認證。

這不是任何人的錯

這個問題為什麼在非安全人員面前隱藏了這麼久？通常，當需要報告時，最不幸的團隊成員負責將他們收集的所有信息整合成一個更容易接受的演示幻燈片。運氣好一點的團隊可能會使用Power BI來做這件事，但這完全取決於IT團隊更新的頻率，而且只適用於本地系統。

安全團隊和領導者使用試算表並不是他們的首選。雖然有一些可用的替代工具，但選擇有限，通常太昂貴，而且需要太多的時間或精力來實施。對於外界來說，這可能聽起來很奇怪，但在大多數情況下，開始一個Excel表格，從安全工具或票務系統中導出所需的信息，並個別追蹤相關的利益相關者，確實是更快和更有效的方法。

4種簡化安全運營的方法

幸運的是，有一些方法可以簡化或至少減少安全團隊對手動Excel工作的依賴。有些方法確實需要一些初始投資，但會帶來巨大的回報。

合規性框架

專門用於合規性框架和相關問題的工具可以通過自動化和管理其高度複雜的工作流程來產生奇跡。它們包括像Regulait、Anecdotes和Vanta這樣的解決方案，它們可以通過無縫地連接票務系統，從各種來源自動管理訪問權限並收集證據。

票務系統

票務系統是安全運營團隊的核心工具之一，它們可以幫助管理和追蹤安全事件、漏洞和修補。然而，並非所有的票務系統都是相同的，有些比其他的更適合安全團隊的需求。例如，Jira和ServiceNow是兩個非常流行的票務系統，但它們都需要大量的自定義和整合，才能與其他安全工具和數據源協同工作。另一方面，像HackerOne和Bugcrowd這樣的平台，則專門針對安全測試和漏洞報告，提供了更多的功能和自動化。

資產管理

資產管理是安全運營團隊的另一個關鍵領域，它涉及到識別、分類和監控組織中的所有資產，包括硬體、軟體、網路和雲端服務。資產管理的目的是確保資產的安全性、完整性和可用性，並及時發現和修復任何潛在的風險或漏洞。資產管理的挑戰在於資產的數量和多樣性，以及它們的快速變化和分散。使用試算表來追蹤資產的狀態和位置是不切實際的，也是不安全的。因此，安全團隊需要一個能夠自動發現、掃描和更新資產的工具，例如Qualys、Rapid7或Axonius。

安全運營平台

安全運營平台是一種新興的解決方案，它旨在為安全團隊提供一個統一的視圖和控制台，以管理他們的所有安全活動和工作流程。安全運營平台可以整合和自動化多個安全工具和數據源，並提供實時的可視化和報告。安全運營平台的優勢在於它們可以幫助安全團隊提高效率、減少錯誤、增加透明度和責任，並改善決策和優先順序。安全運營平台的例子包括Panorays、Cyberpion和CyberProof。

安全運營團隊的工作是艱巨而重要的，他們需要更好的工具來幫助他們應對日益增長的安全挑戰和要求。使用試算表來管理安全運營是一種過時而低效的方法，它會增加錯誤、延遲和風險。安全團隊應該考慮使用一些專門為安全目的而設計的工具，或者一個能夠整合和自動化他們的所有安全工具和數據的平台，以提高他們的安全運營水平。

詳情請看：

It’s time for security operations to ditch Excel

Help net security發佈了一篇Web Check：適用於任何網站的開源情報

網站開源情報（OSINT）是指從公開可用的資源收集和分析網站的相關資訊，例如域名註冊資訊、SSL 憑證、DNS 記錄、頁面地圖、技術棧等。這些資訊可以幫助我們了解一個網站的基礎架構和安全狀況，從而優化和保護我們的線上存在。

然而，要獲取這些資訊並不容易，通常需要結合多種命令行工具和線上服務，並花費大量的時間和精力。有沒有一個簡單而強大的工具，可以一次性提供我們所需的所有網站開源情報呢？

答案是有的，那就是 Web Check。Web Check 是一個免費的線上服務，旨在自動化網站開源情報的收集和分析過程。它可以快速生成一個完整的報告，展示任何指定網站的各種資訊，並以視覺化的方式呈現。Web Check 的特點有：

無需註冊、追蹤、記錄或廣告，只需輸入網站的 URL 即可開始使用。
可以部署自己的 Web Check 實例，方便定製和整合。
提供豐富的網站開源情報，包括 IP 資訊、SSL 鏈、DNS 記錄、Cookie、Header、域名資訊、搜尋爬蟲規則、頁面地圖、伺服器位置、重定向記錄、開放端口、路由追蹤、DNS 安全擴展、網站效能、追蹤器、相關主機名、碳足跡等。
支援多種語言，包括英文、中文、日文、法文、德文、西班牙文等。

Web Check 是一個非常實用的工具，無論是作為 OSINT 調查的起點，還是作為網站管理和安全的輔助，都可以為我們提供有價值的資訊。

詳情請看：

Web Check: Open-source intelligence for any website

Cisco發佈了一篇工業網路的 NIS2 合規性：您準備好了嗎？

歐盟在 2022 年 12 月通過了第二版的網絡與資訊安全（NIS2）指令，這是一項對歐洲經濟韌性至關重要的行業部門提出了嚴格的網絡安全要求的法規。NIS2 指令旨在強制歐盟內的各種行業加強他們的網絡安全實踐，並確保他們的供應商和服務提供商不會給他們的運營帶來任何網絡風險。NIS2 指令涵蓋了能源、交通、製造、水務、醫療等關鍵行業，以及銀行、金融、數字服務等更多行業。根據 NIS2 指令，這些行業的組織根據他們的規模和行業類型，分為「重要」和「基本」兩種類別。這兩種類別的組織都必須遵守相同的安全措施，但重要實體會受到主動監測，並且如果發現不合規，會面臨更高的罰款。

NIS2 指令是一項歐盟指令，因此每個歐盟成員國都有責任將其轉化為本國的法律，並負責執行。雖然關鍵要求是相同的，但各國的法律會定義具體的程序和實施指南，以實現歐盟的共同目標：確保關鍵基礎設施的供應鏈中的組織了解他們面臨的網絡風險，實施網絡安全的最佳實踐，並能夠在非常短的時間內檢測、處理和報告事件。在歐洲組織面臨的網絡攻擊急劇增加和當前的全球地緣政治形勢下，NIS2 是保障歐洲關鍵基礎設施安全的關鍵一步。

本文將詳細介紹 NIS2 的主要要求，以及組織如何利用思科的安全產品組合來實現合規，保護他們的運營，並維持一個強大的網絡安全姿態。

NIS2 指令要求您做什麼？

NIS2 指令的具體措施可以在這份白皮書中找到，但如果您是一個工業組織，您應該關注以下幾個方面，以確保您的運營技術（OT）基礎設施符合要求：

部署認證的 OT 組件。您的 OT 基礎設施的強度取決於它的最薄弱環節。NIS2 要求您確保您部署的 OT 設備不會給您的運營帶來網絡風險。幸運的是，ISA/IEC 62443 第 4-1 部分和第 4-2 部分標準定義了一個安全的 OT 資產是什麼。所有思科產品都是根據一個符合第 4-1 部分認證的生命週期流程開發的。思科的工業交換機已經通過了第 4-2 部分的認證。您應該向您的網絡供應商索取他們的認證證書。
評估和優先處理 OT 網絡風險。許多組織仍然沒有一個詳細的清單，列出了連接到他們的工業網絡的資產。NIS2 要求您對您的 OT 安全狀況有清晰的可視性，以便您推動最佳實踐。思科 Cyber Vision 自動建立一個全面的資產和通信活動的清單。它計算風險分數，幫助您優先處理需要解決的風險。在行業中獨一無二的是，Cyber Vision 還利用思科的漏洞管理分數，根據漏洞是否在現場被積極利用，來優先處理漏洞。
防止和應對 OT 網絡攻擊。NIS2 要求您能夠及時發現和回應任何影響您的 OT 基礎設施的網絡攻擊。您需要部署一個能夠檢測和阻止 OT 網絡威脅的解決方案，並且能夠與您的 IT 安全團隊和工具進行無縫的協作。思科 Cyber Vision 可以提供實時的 OT 網絡威脅情報，並將其與思科的安全產品組合集成，包括思科 Secure Firewall、思科 Secure Endpoint、思科 SecureX 等，以實現端到端的 OT 網絡保護。
報告和管理 OT 網絡事件。NIS2 指令要求您在 24 小時內向您所在國家的監管機構報告任何影響您的 OT 基礎設施的網絡事件。您需要有一個能夠記錄和管理 OT 網絡事件的解決方案，並且能夠提供足夠的細節，以便您的監管機構能夠評估事件的嚴重性和影響。思科 Cyber Vision 可以提供完整的 OT 網絡事件日誌，並且能夠與思科 SecureX 集成，以實現跨 IT 和 OT 的事件管理和報告。

思科為您提供一站式的 OT 網絡安全解決方案

NIS2 指令是一項具有挑戰性的法規，但也是一個提升您的 OT 網絡安全水平的絕佳機會。思科為您提供了一個全面的 OT 網絡安全解決方案，幫助您實現 NIS2 的合規，同時保護您的運營，提高您的效率，並降低您的成本。思科的 OT 網絡安全解決方案包括：

認證的 OT 網絡設備，如思科 IE 交換機，提供高性能的 OT 網絡連接，並支持 OT 協議和標準。
Cyber Vision，一個基於網絡的 OT 資產和威脅管理解決方案，提供 OT 網絡的可視性、風險評估、威脅檢測和事件報告。
Secure Firewall，一個強大的 OT 網絡防火牆，提供 OT 協議的深度包檢測（DPI），並支持 OT 網絡的分段和隔離。
Secure Endpoint，一個領先的端點安全解決方案，提供 OT 設備的防惡意軟件、漏洞修補和安全分析。
SecureX，一個統一的安全平台，提供跨 IT 和 OT 的安全事件管理、自動化和協作。

思科的 OT 網絡安全解決方案不僅幫助您滿足 NIS2 的要求，還幫助您實現以下好處：

提高 OT 網絡的可靠性和效率，通過減少網絡停機和故障，並提供更好的網絡性能和管理。
降低 OT 網絡的總擁有成本（TCO），通過減少網絡維護和升級的成本，並提供更高的運營效率和生產力。
增強 OT 網絡的創新能力，通過支持新的 OT 技術和應用，如物聯網（IoT）、人工智慧（AI）、邊緣計算等，並提供更好的數據分析和洞察力。

NIS2 指令是一項重要的法規，旨在提高歐洲關鍵基礎設施的網絡安全水平，並應對日益嚴峻的網絡威脅。如果您是一個工業組織，您需要準備好在 2024 年 6 月之前遵守 NIS2 的要求，並確保您的 OT 基礎設施不會給您的運營帶來任何網絡風險。

詳情請看：

NIS2 compliance for industrial networks: Are you ready?

Cisco發佈了一篇思科安全存取透過人工智慧、使用者體驗監控和身分智慧加速 SSE 創新

隨著環境的高度分散化，用戶從任何地方訪問各種應用（網絡、SaaS 或私有），這給安全帶來了困難和複雜性。根據調查，43% 的 IT/安全領導者認為遠程/混合工作人員是最大的安全風險。同時，約有 50% 的領導者表示，工作人員對應用訪問感到沮喪。這些問題相互影響，導致了不可接受的風險水平。

客戶需要一種更智能的方式來管理從任何事物到任何地方的連接，同時保護自己免受狡猾、精明的攻擊者的威脅。他們希望廣泛應用零信任原則，以提高細粒度的控制和安全性。他們還希望降低 IT 複雜性，減少安全工具的泛濫。簡而言之，他們希望安全性能夠更適合用戶，更容易為 IT，更安全為所有人。

然而，單靠技術無法充分解決這些持久的挑戰。在現代安全環境中，降低風險還取決於賦予用戶卓越的體驗，並解決 IT 的複雜性和低效率。這就是 Cisco 對 SSE 的新時代方法 - Cisco Secure Access。

Cisco Secure Access 是 Cisco Umbrella Secure Internet Gateway (SIG) 的演進，是我們為安全互聯網訪問提供的領先的雲交付安全解決方案。Cisco 正在開發一個“升級”計劃，讓現有的 SIG 客戶能夠利用擴展的服務，包括新的 ZTNA 和 VPNaaS 功能。

Cisco Secure Access 的優勢是什麼？

Cisco Secure Access 通過集成多個雲原生安全功能，為用戶提供一致的體驗，無論他們訪問的是哪種應用。這些功能包括：

網絡安全：通過 DNS、IP、URL 和文件層級的防護，阻止惡意流量和惡意軟件，並提供安全的網絡連接。
雲安全：通過 CASB 和 DLP，提供對公共 SaaS 應用的可見性、控制和數據保護。
私有應用安全：通過 ZTNA，提供對數據中心和雲端的私有應用的安全訪問，無需 VPN。
VPN 服務：通過 VPNaaS，提供對任何應用的安全訪問，無需客戶端軟件或硬件。
身份智能：通過集成的 Duo Security，提供多因素身份驗證和風險評估，以實現零信任訪問。
用戶體驗監測：通過收集和分析用戶的網絡和應用性能數據，提供用戶體驗的可見性和優化。
人工智慧：通過利用機器學習和自然語言處理，提供智能的安全分析和自動化。

Cisco Secure Access 利用新的高效協議（MASQUE 和 QUIC）和中繼技術。這使得超細粒度的零信任控制、雙向混淆和性能提升成為可能，同時減少資源暴露和保護私有應用的全方位。

Cisco Secure Access 還與 Cisco SecureX 平台無縫集成，提供統一的視圖、工作流和自動化，以簡化安全管理和協作。此外，Cisco Secure Access 還與 Cisco SD-WAN 和 Cisco Meraki 等其他 Cisco 解決方案兼容，為客戶提供更靈活的部署選擇和更好的網絡整合。

詳情請看：

Cisco Secure Access Accelerates SSE Innovation with AI, User Experience Monitoring, and Identity Intelligence

Cisco發佈了一篇網路彈性：加緊努力保護關鍵基礎設施

網絡韌性是指網絡在面對各種威脅和干擾時，能夠保持正常運行和提供服務的能力。隨著網絡技術的發展和應用的擴展，網絡韌性的重要性也日益增加。尤其是對於關鍵基礎設施，如能源、交通、通信、金融、醫療等，網絡韌性的缺失可能會導致嚴重的經濟損失和社會危機。

然而，網絡韌性並不是一個容易實現的目標。網絡韌性需要網絡的各個層面和環節都能夠有效地防範和應對網絡攻擊。而網絡攻擊的手段和策略也在不斷變化和升級，尤其是針對過時和未修補的基礎設施的網絡攻擊，已經成為一種嚴峻的全球性安全威脅。

過時和未修補的基礎設施是指那些已經達到或超過其預期的使用壽命，或者沒有及時更新和安裝安全補丁的網絡設備和軟件。這些基礎設施存在著許多已知或未知的漏洞和弱點，容易被惡意的攻擊者利用，從而獲得網絡的訪問權限、控制權或破壞權。這些攻擊者可能是來自不同國家或地區的黑客、間諜、恐怖分子或其他利益相關者，他們的目的可能是為了竊取敏感信息、破壞網絡功能、影響網絡服務、或者為未來的攻擊做準備。

根據思科塔洛斯（Cisco Talos）的報告，近年來，針對過時和未修補的基礎設施的網絡攻擊的頻率和複雜度都有所增加。這些攻擊通常是由高度專業化和組織化的威脅行為者發起的，他們利用合法的憑證或其他手段獲得網絡的初始訪問，然後通過修改記憶體、重新引入漏洞、更改配置、控制日誌等方式，逐步擴大和深化對網絡的控制。這些攻擊者還會在網絡設備中建立持久的隧道，以便隱藏自己的行為，並在需要時重新啟動攻擊。這些攻擊的目的可能是為了進行網絡間諜活動、竊取核心知識產權、或者對關鍵基礎設施造成破壞。

針對過時和未修補的基礎設施的網絡攻擊不僅對網絡運營商和技術提供商造成威脅，也對全球的經濟和國家安全構成挑戰。因此，提高網絡韌性，保護關鍵基礎設施，需要各方的共同努力和協作。思科作為一個全球領先的網絡技術公司，一直致力於為客戶提供更安全、更可靠、更持久的網絡產品和服務。思科還加入了網絡韌性聯盟（Network Resilience Coalition，NRC），這是一個由技術提供商、安全專家和網絡運營商組成的行業聯盟，旨在提供一個協調的框架，以改善支持我們全球經濟和國家安全的網絡安全。

為了提高網絡韌性，保護關鍵基礎設施，NRC提出了以下幾點建議：

技術提供商需要生產更安全的產品，並且讓客戶更容易地進行補丁更新。
客戶需要投入資源來維護和保護他們的網絡，並及時替換過時和未修補的基礎設施。
技術提供商需要確保足夠的投資、資源和關注度，用於支持他們想要部署的新創新的基礎網絡。
政府應該確保激勵措施與那些面臨最大風險的組織相一致，並制定合理的法規和標準。

網絡韌性是一個需要持續關注和改進的問題，也是一個需要多方合作和責任的問題。我們希望通過加入NRC，與其他行業夥伴和政府領導者共同努力，為網絡韌性的提升和關鍵基礎設施的保護做出貢獻。

詳情請看：

Network Resilience: Accelerating Efforts to Protect Critical Infrastructure

Cisco發佈了一篇關於 ZTNA 和零信任訪問的真實交易

零信任存取（Zero Trust Access，ZTA）是一種安全理念，它認為任何試圖存取網路或應用程式的行為都可能是威脅，因此必須進行嚴格的驗證和授權。零信任網路存取（Zero Trust Network Access，ZTNA）是一種實現 ZTA 的技術方法，它旨在為遠端使用者提供安全的私有應用程式存取。

然而，ZTNA 並沒有完全達到零信任的目標，它還存在許多挑戰和限制。例如，ZTNA 的名稱本身就有問題，因為它仍然涉及到網路層級的存取，而不是基於最小權限原則的應用程式層級的存取。許多傳統的 ZTNA 解決方案無法靈活地提供這種細粒度的控制，導致組織必須維護多種遠端存取方案，並且在大多數情況下，他們仍然授予過於寬泛的網路或網路區段存取。

因此，我們認為應該放棄「網路」這個詞，專注於真正的零信任存取（ZTA）。ZTA 是一種現代化的遠端使用者安全方法，它可以克服 ZTNA 的不足，並提供更好的使用者體驗、更簡單的 IT 管理和更強大的安全性。

ZTNA 的缺點

在實現 ZTNA 或安全遠端存取方面，事實總是比理論困難。當我與 IT 高管討論他們目前的 ZTNA 部署或計劃時，經常會出現一些問題和限制。作為一個群體，他們正在尋找一個雲端或混合解決方案，可以提高使用者體驗，簡化 IT 團隊的部署和維護，並提供靈活和細粒度的安全性，但許多人還沒有達到這個目標。因此，我整理了一些考慮因素，幫助人們評估他們的現狀和期望，在這個技術領域。如果您已經部署了某種形式的 ZTNA 或正在評估這方面的解決方案，請問自己以下這些問題，看看您是否能夠或將能夠滿足真正的零信任遠端存取環境的承諾。

是否有一種方法可以防止多個使用者到應用程式的會話通過一個隧道進行，從而增加嚴重安全漏洞的可能性？
反向代理是否使用下一代協定，並能夠支援每個連線、每個應用程式和每個裝置的隧道，以確保沒有直接的資源存取？
如何完全隱藏您的內部資源，使只有被允許的人可以看到它們？
姿態和身份驗證檢查是在什麼時候進行的？
是否可以支援所有類型的私有應用程式，包括傳統的、現代的和自定義的？
是否可以在不影響使用者體驗的情況下，提供最佳的網路效能和可用性？
是否可以與現有的安全架構和工具集成，並利用統一的政策和可見性？
是否可以根據使用者、裝置、應用程式和內容的上下文，動態地調整存取權限和安全控制？

如果您對這些問題的答案不是肯定的，那麼您可能需要重新考慮您的 ZTNA 選擇，並尋找一個更符合 ZTA 理念的解決方案。

Cisco Secure Access：一種現代化的零信任存取方法

Cisco Secure Access 是 Cisco 的全功能安全服務邊緣（Security Service Edge，SSE）解決方案，它在多個方面超越了傳統的方法。在資源存取方面，我們的雲端交付平台克服了傳統 ZTNA 的限制，並提供了以下優勢：

通過使用 HTTP/3 和 QUIC 協定，為每個使用者、每個裝置和每個應用程式建立獨立的隧道，從而實現真正的最小權限存取。
通過使用隱藏的 DNS 和 IP 位址，以及動態的防火牆規則，完全隱藏內部資源，防止未經授權的存取和攻擊。
通過在存取之前、之中和之後進行持續的姿態和身份驗證檢查，確保使用者和裝置的合規性和安全性。
通過支援所有類型的私有應用程式，包括傳統的、現代的和自定義的，實現一致的存取體驗和安全性。
通過使用最近的雲端節點，並利用 Cisco 的全球網路優化技術，提供最佳的網路效能和可用性。
通過與 Cisco 的其他安全產品和服務集成，實現統一的政策和可見性，並提供更強大的威脅防護和應對能力。
通過根據使用者、裝置、應用程式和內容的上下文，動態地調整存取權限和安全控制，實現智慧的存取決策。

Cisco Secure Access 是一個真正的零信任存取解決方案，它可以幫助您實現現代化的遠端使用者安全，並為您的組織帶來更多的價值和效益。

詳情請看：

The Real Deal About ZTNA and Zero Trust Access

The hacker news發佈了一篇保護您的秘密免受人工智慧事故影響的三個技巧

AI技術的發展和應用，為人類帶來了許多便利和好處，但也帶來了一些安全風險。其中之一就是AI可能會無意中洩露你的機密資訊，例如密碼、個人資料、商業計畫等。這些機密資訊可能會被AI的開發者、使用者、或者惡意的攻擊者所獲取，造成你的隱私或財產的損失。

那麼，我們該如何保護我們的機密免受AI意外洩露呢？

1. 使用安全的AI平台

不是所有的AI平台都是安全的。有些平台可能會將你的輸入或輸出的資料儲存起來，或者與第三方共享。這就增加了你的機密資訊被洩露的可能性。因此，你應該選擇一個可信賴的AI平台，並且查看它的隱私政策和安全措施，確保它不會收集或分享你的敏感資料。

2. 避免在AI上輸入或輸出機密資訊

即使你使用了一個安全的AI平台，你也應該避免在AI上輸入或輸出任何機密資訊。因為AI可能會根據你的輸入或輸出，推斷出你的其他資訊，或者將你的資訊與其他來源的資訊相關聯。例如，如果你在AI上輸入了你的姓名和電子郵件，AI可能會根據這些資訊，找出你的社交媒體帳號、工作單位、興趣愛好等。或者，如果你在AI上輸出了一個商業計畫，AI可能會將這個計畫與其他的競爭者或合作夥伴的計畫相比較，並且暴露你的優勢或弱點。

因此，你應該在使用AI之前，先將你的機密資訊加密或隱藏，或者使用一些無關的假資訊來替代。這樣，即使AI意外洩露了你的資訊，也不會對你造成太大的影響。

3. 監控和審核AI的行為

最後，你也應該監控和審核AI的行為，以確保它沒有做出任何不正常或不合理的事情。例如，你可以檢查AI的輸入和輸出的歷史記錄，看看它是否有洩露或使用你的機密資訊。或者，你可以測試AI的反應，看看它是否能夠正確地處理你的請求，或者是否有被操縱或竄改的跡象。

如果你發現AI有任何可疑或危險的行為，你應該立即停止使用它，並且向相關的負責人或機構報告。這樣，你可以及時地發現和解決問題，並且防止進一步的損失。

AI是一個強大而有用的工具，但也是一個潛在的威脅。我們應該在使用AI的同時，也要注意保護我們的機密免受AI意外洩露。通過使用安全的AI平台，避免在AI上輸入或輸出機密資訊，以及監控和審核AI的行為，我們可以減少這種風險，並且享受AI帶來的好處。

詳情請看：

Three Tips to Protect Your Secrets from AI Accidents

Cisco發佈了一篇推動您的網路安全平台轉型：透過 SSE 引領潮流

網路安全是現今企業面臨的最大挑戰之一。隨著網路環境的複雜化和威脅的多樣化，單一的安全解決方案已經無法滿足企業的需求。企業需要一個整合的安全平台，能夠提供全方位的防護、偵測和回應能力，同時簡化管理和降低成本。

Cisco 的安全服務邊緣 (SSE) 就是一個這樣的安全平台，它將網路和安全功能整合在雲端，提供統一的可見性和控制，以及彈性的部署選項。SSE 可以幫助企業實現以下的目標：

提升效率：SSE 可以減少安全工具的數量和複雜度，讓 IT 和安全團隊可以更快速和簡單地部署、管理和更新安全策略，並減少人力和資源的浪費。
提高安全性：SSE 可以提供端到端的安全防護，從用戶、裝置、應用程式到資料，無論在哪裡、如何連線，都能夠保障安全。SSE 也可以利用人工智慧和機器學習，提升威脅偵測和回應的能力，並自動調整安全策略。
增加靈活性：SSE 可以支援多種網路架構，包括分支機構、遠端工作、雲端服務和物聯網，讓企業可以根據自己的需求和環境，選擇最適合的安全解決方案。SSE 也可以與其他 Cisco 或第三方的安全產品無縫整合，提供更多的選擇和彈性。

SSE 是一個創新的安全平台，它可以幫助企業在瞬息萬變的網路環境中，保持安全和競爭力。

詳情請看：

Drive Your Cybersecurity Platform Transformation: Lead the Way With SSE

bleeping computer網路安全培訓不堅持？如何修正有風險的密碼習慣

網路安全培訓是提高員工和組織的安全意識的一種常見方法，但它真的能有效地改變人們的行為嗎？根據一項由 Specops Software 進行的調查，答案可能是否定的。該調查發現，即使參加過網路安全培訓的人，仍然存在許多危險的密碼習慣，例如使用相同或類似的密碼、使用個人資訊作為密碼、或者不定期更換密碼。這些習慣可能會增加被駭客入侵或盜取資料的風險，尤其是在遠端工作和網路攻擊日益增加的情況下。

那麼，為什麼網路安全培訓不能有效地改變人們的密碼習慣呢？有幾個可能的原因，例如：

培訓內容不足以引起人們的注意或興趣，或者過於抽象或技術性，使人們難以理解或記憶。
培訓頻率不夠，或者沒有持續的跟進或回饋，使人們忘記或忽視所學的知識或技巧。
培訓沒有考慮到人們的心理或行為動機，例如方便性、習慣、或者對風險的認知或態度。
培訓沒有提供足夠的支援或資源，例如密碼管理工具、密碼強度檢測器、或者密碼重置或恢復的流程或指引。

因此，如果想要改善人們的密碼習慣，單靠網路安全培訓是不夠的，還需要採取其他的措施，例如：

設計更有吸引力和實用性的培訓內容，例如使用故事、案例、或者互動的方式，來展示密碼安全的重要性和影響，以及如何創建和使用安全的密碼。
增加培訓的頻率和持續性，例如定期提供新的或更新的資訊、測驗、或者提醒，來鞏固和刷新人們的記憶和注意力。
考慮人們的心理和行為因素，例如提供正向的激勵或獎勵，來鼓勵人們採用安全的密碼習慣，或者提高人們對風險的認知和責任感，來減少人們對不安全的密碼習慣的依賴或偏好。
提供更多的支援和資源，例如推薦或提供密碼管理工具，來幫助人們創建和儲存安全的密碼，或者建立清晰和簡單的密碼重置或恢復的流程或指引，來減少人們對忘記或遺失密碼的恐懼或困擾。

總之，網路安全培訓是提高人們的安全意識的一種手段，但不是一種目的。如果想要真正改變人們的密碼習慣，還需要結合其他的策略和措施，來創造一個更安全和友善的網路環境。

詳情請看：

Cybersecurity Training Not Sticking? How to Fix Risky Password Habits

Help net security發佈了一篇不受管理的第三方存取威脅 OT 環境

OT 系統是指運營技術系統，它們負責控制和監測工業組織的重要基礎設施，例如製造線、水電供應、交通管理等。這些系統對於社會的正常運作至關重要，但也面臨著越來越多的安全風險。

根據 Cyolo 的一項調查[¹][1]，許多工業組織缺乏資源、專業知識和協作流程，以有效地減輕威脅並確保 OT 系統的安全存取。調查發現，有 73% 的組織允許第三方存取 OT 環境，平均每個組織有 77 個第三方獲得這種存取權。這些第三方可能包括供應商、承包商、合作夥伴等，他們通常需要遠端存取 OT 環境以提供服務或支援。

然而，未管理的第三方存取權可能帶來嚴重的安全問題，例如：

防止未經授權的存取：如果第三方的身份驗證或授權機制不夠嚴格，或者沒有適當的監控和審計，那麼他們可能被惡意的攻擊者利用，或者自己成為內部威脅的來源。
對齊 IT 和 OT 的安全優先順序：IT 和 OT 的團隊通常有不同的目標和文化，他們可能對 OT 環境的安全需求和挑戰有不同的看法。如果沒有有效的溝通和協調，那麼可能導致安全策略的不一致或衝突。
控制使用者的特權存取：如果第三方的存取權沒有根據最小權限原則進行限制，或者沒有定期進行審查和更新，那麼他們可能擁有過多的特權，從而增加了 OT 環境的攻擊面。

為了解決這些問題，工業組織需要採取一些措施，例如：

建立一個權威的 OT 資產清單，以了解 OT 環境的組成和狀態，並根據其重要性和敏感性進行分類。
實施一個統一的存取管理平台，以統一和簡化第三方的存取流程，並提供強大的身份驗證、授權、加密、監控和審計功能。
建立一個跨部門的安全委員會，以促進 IT 和 OT 團隊之間的協作和對話，並制定和執行一致的安全政策和標準。
定期對第三方的存取權進行審查和更新，以確保他們只能存取他們需要的資源，並及時撤銷不再需要的存取權。
重新評估和優化在 COVID-19 大流行期間採用的遠端存取工具，以確保它們符合 OT 環境的安全要求，並能夠抵禦新的威脅。

OT 系統安全是一個不容忽視的議題，它不僅關係到工業組織的生產力和競爭力，也關係到社會的安全和穩定。通過採取適當的措施，工業組織可以有效地管理第三方的存取權，並保護 OT 環境免受惡意的攻擊。

詳情請看：

Unmanaged third-party access threatens OT environments

Help net security發佈了一篇克服網路安全新創公司領導力的壓力

網路安全是一個快速變化和競爭激烈的領域，創業者需要具備堅強的領導力和創新能力，才能在市場上脫穎而出。在這篇部落格文章中，我將介紹 Dope Security 的執行長 Kunal Agarwal，他在一次採訪中分享了他的領導理念、建立高素質團隊的過程，以及在科技產業中導航一個新創公司的獨特挑戰。

領導理念

Kunal Agarwal 是一位反執行的擁護者，他認為領導者應該是親力親為的，而不是中層管理者或非技術人員。他認為，如果你不深入了解主題，你將無法與團隊或客戶進行同頻率的對話或決策。他表示，他已經在 Dope Security 中犯過錯誤，所以他現在更加堅持，每個人都應該有熱情，知道自己的工作帶有特殊的簽名，並為此感到自豪。從那裡，他們就可以做任何事情！

團隊建立

Kunal Agarwal 的初始團隊主要是工程師。文化契合度較高，因為他們都與他合作過多年，所以他們已經有了一種很好的工作風格。最重要的是，他們與他在 Forcepoint 和 Symantec 中分享了不眠之夜、改善事物的興趣和細節的關注。當 Dope Security 成立時，每個人都知道是時候聚在一起，做一些大事了。當然，他們都有家庭，所以他花了時間與他們的家人交談，讓他們相信他們的集體信心。他說，他們都是為此而生的，他們的才華不應該在別處！

壓力處理

Kunal Agarwal 承認，領導一個新創公司是一個孤獨的旅程。但他有點幸運，核心團隊與他非常親密，每當他需要跟某人談談的時候，他可以打電話給他們中的任何一個。通常，他會打給負責財務和行銷的 Amar，讓他幫忙分析一個問題或情況。他和 Amar 認識了 20 年，所以很容易坦誠相對。在大多數情況下，他總是試圖克服挑戰，而不是執著於一個問題。如果有問題，他們可以解決並繼續前進。如果有人（例如投資者）過於擔心，他只能盡力管理期望。在某些時候，你必須說「向前」！Aidan（產品經理）總是提醒他，「Kunal，向上看，向下看！」（up with the posies, down with the veggies）

工作與生活的平衡

Kunal Agarwal 說，他沒有結婚/有孩子，所以對他來說，管理生活期望和工作要求比較容易。他已經旅行了幾個星期，所以當然不是「容易」。他有以下幾個建議：

他避免在週末使用筆電，而是花時間與朋友和家人相處。
他每天至少運動一次，無論是跑步、健身房還是瑜伽。
他每天都會閱讀一些非技術的書籍，以拓寬自己的視野和興趣。
他每個月都會花一天的時間去做一些自己喜歡的事情，例如看電影、玩遊戲或學習新的技能。

競爭優勢

Kunal Agarwal 認為，Dope Security 的競爭優勢在於他們的產品和團隊。他們的產品是一個基於雲端的網路安全平台，可以幫助企業預防、偵測和回應各種網路威脅，從惡意軟體到勒索軟體，從釣魚到分散式阻斷服務（DDoS）。他們的平台採用了最先進的人工智慧和機器學習技術，可以自動分析和處理大量的網路數據，並提供即時的警報和建議。他們的團隊則是由網路安全的專家和熱情的創業者組成，他們不斷地改進和創新，以滿足客戶的需求和期望。

創業建議

Kunal Agarwal 給有興趣創立網路安全公司的創業者的建議是：不要害怕失敗，要敢於嘗試。他說，創業是一個學習的過程，你可以從中發現導師、技術、客戶互動和如何建立更好的產品。他還說，要保持對網路安全的熱情和好奇心，因為這是一個不斷變化和挑戰的領域，需要不斷地學習和適應。最後，他說，要找到一個你信任和尊重的團隊，因為他們將是你創業旅程中最重要的夥伴。

詳情請看：

Overcoming the pressures of cybersecurity startup leadership

Help net security發佈了一篇使用人工智慧減少秘密掃描器的誤報

密碼掃描器是一種安全工具，用於在程式碼中尋找可能洩露的敏感資料，例如使用者名稱、密碼、API金鑰、SSH金鑰等。這些資料被稱為密碼，是任何現代應用程式的核心，也是攻擊者的目標。如果這些密碼外洩，後果可能非常嚴重。

然而，密碼掃描器並不完美，它們常常會產生大量的假陽性，也就是將一些無關緊要的資料誤判為密碼。這會造成安全人員的警覺疲勞，降低他們處理真正風險的效率。因此，如何提高密碼掃描器的準確性，減少假陽性的發生，是一個迫切的問題。

本文將探討以下幾個方面：

密碼的種類和風險
目前密碼掃描器的限制
人工智慧和機器學習在密碼掃描器中的應用和效果
密碼安全管理的建議

密碼的種類和風險

密碼在軟體開發的每個階段都扮演重要的角色，從原始碼管理系統到持續整合和持續交付的流程，再到雲端基礎設施。密碼的種類和風險包括：

使用者名稱和密碼：一種經典的驗證方法。如果被攻擊者發現，他們可以用它來訪問其他關鍵系統。
API金鑰：一種唯一的識別碼，用於驗證一個使用者、開發者或呼叫程式對一個API的訪問權限。如果暴露，可能導致未經授權的訪問或濫用它們解鎖的服務。
SSH金鑰：一種數位簽名，用於安全地訪問遠端系統。如果被竊取，也可以導致未經授權的系統訪問和潛在的資安事件。
Git憑證：用於訪問第三方資料庫中的程式碼倉庫。如果曝光，可能發生未經授權的程式碼變更或竊取，影響開發過程或導致嚴重的安全事故。

不是所有的密碼都是系統憑證或特定的程式碼字串。有時，開發者不小心將個人身份資訊（PII），如健康資料、信用卡號碼或銀行帳戶資訊，留在程式碼中。在許多情況下，這是「測試」資料，但如果被暴露，仍然會讓組織面臨資安事件和違反合規的重罰風險。

目前密碼掃描器的限制

保護這些密碼的安全並不容易，因為它們在每個步驟都可能出現在程式碼中。一個常見的密碼洩露的地方是原始碼，因為開發者可能會在公開的平台上分享或儲存他們的程式碼，例如GitHub或GitLab。這些平台上的程式碼是公開可見的，任何人都可以搜尋或下載它們，包括攻擊者。

密碼掃描器的目的是在這些密碼落入惡意手中之前找到它們。它們通常使用正則表達式或其他規則來匹配可能的密碼模式。然而，這種方法有幾個缺點：

規則的數量和複雜度會隨著密碼的種類和變化而增加，導致維護成本高昂。
規則的靈敏度和精確度之間存在權衡。如果規則太寬鬆，會捕捉到更多的潛在密碼，但也會產生更多的假陽性。如果規則太嚴格，會減少假陽性，但也會錯過一些真正的密碼。
規則無法考慮程式碼的語意和上下文。例如，一個字串可能看起來像一個密碼，但實際上是一個程式碼變數、函數呼叫、CSS選擇器等。這些情況會導致不必要的警報。

因此，密碼掃描器的假陽性率通常很高，有時甚至高達90%。這對於安全人員來說是一個巨大的挑戰，因為他們必須花費大量的時間和精力來檢查和驗證每一個警報，而忽略了更重要的威脅。

人工智慧和機器學習在密碼掃描器中的應用和效果

為了解決這個問題，一些密碼掃描器開始採用人工智慧（AI）和機器學習（ML）的技術，以提高密碼的識別和分類的準確性。AI和ML可以幫助密碼掃描器：

學習不同的密碼模式和特徵，而不需要人工定義規則。
分析程式碼的語意和上下文，以區分密碼和其他資料。
適應新的密碼類型和變化，而不需要人工更新。
降低假陽性的發生，提高真陽性的發現。

我們最近的研究發現，使用AI和ML的密碼掃描器可以將假陽性率降低86%，同時保持高度的靈敏度和覆蓋率。這意味著安全人員可以更有效地管理密碼的風險，減少不必要的工作和減少資安事件的風險。

密碼安全管理的建議

使用AI和ML的密碼掃描器是一個有效的方法，可以幫助組織找到和消除程式碼中的密碼。然而，這並不意味著密碼掃描器可以完全取代人工的審查和監督。密碼掃描器只是密碼安全管理的一個工具，而不是一個解決方案。為了確保密碼的安全，組織還需要採取以下一些措施：

建立和執行一個密碼安全政策，規範密碼的生成、儲存、使用和銷毀的標準和流程。
教育和培訓開發者和安全人員，提高他們對密碼安全的意識和責任感，避免在程式碼中硬編碼或暴露密碼。
使用安全的密碼管理工具，如密碼保險庫或密碼管理器，來集中和加密密碼的儲存和訪問，減少密碼的暴露風險。
定期檢查和更新密碼，以防止密碼過期或被破解。使用強大和隨機的密碼，避免使用常見或重複的密碼。
採用多因素驗證（MFA）或單一登入（SSO）等技術，以增加密碼的安全性和便利性，減少密碼的數量和複雜度。

總之，密碼掃描器是一個有用的工具，可以幫助組織發現和消除程式碼中的密碼，提高密碼的安全性和合規性。使用AI和ML的密碼掃描器可以進一步提高密碼掃描器的準確性和效率，減少假陽性的發生，節省安全人員的時間和精力。然而，密碼掃描器並不能完全替代人工的審查和監督，組織還需要建立和執行一個完整的密碼安全管理策略，以確保密碼的安全和可靠。

詳情請看：

Using AI to reduce false positives in secrets scanners

Help net security發佈了一篇NIST CSF 2.0 發布，以幫助所有組織，而不僅僅是關鍵基礎設施中的組織

網路安全是當今社會的重要議題，無論是政府、企業、或個人，都需要有效地管理和降低網路風險。為此，美國國家標準技術研究院（NIST）於2024年2月26日正式發布了新版的網路安全框架（Cybersecurity Framework，簡稱CSF）2.0，以提供給各種組織一個實用的指導方針。

CSF是一個自願性的框架，旨在幫助任何規模、領域、或成熟度的組織，更好地理解、評估、優先、和溝通其網路安全工作。CSF不規定應該如何達成安全目標，而是提供了一個高階的網路安全成果的分類，並連結到其他資源，提供更多關於實踐和控制的指引。

CSF 2.0是在廣泛的公開徵詢和反饋的基礎上，對2018年發布的CSF 1.1版本進行了更新和改進。CSF 2.0的主要新特點包括：

更明確地定義了CSF的用途和適用範圍，強調了CSF是一個靈活的工具，可以根據組織的需求和目標進行客製化和調整。
增加了「治理」（Governance）作為第六個功能構面（Function），與原有的識別、保護、偵測、回應、復原並列，強化了網路安全風險治理的重要性，並提供了相關的類別和子類別。
調整了部分類別和子類別的內容和順序，以反映網路安全領域的最新發展和趨勢，例如增加了關於雲端安全、供應鏈安全、資料安全、身分識別和存取管理等方面的內容。
增強了與其他國際標準或區域性標準的融合性，例如ISO 27001、ISO 31000、GDPR等，並提供了更多的對應關係（Informative References），方便組織選擇適合的資源來實施CSF。
提供了更多的實用資源，例如快速入門指南（Quick Start Guides）、CSF 2.0概念文件（Concept Paper）、CSF 2.0檔案範本（Profile Templates）等，幫助組織快速啟動或改善其網路安全計畫。

CSF 2.0是一個值得關注和參考的網路安全框架，它不僅適用於美國的組織，也適用於全球的組織，尤其是與美國有業務往來的組織。CSF 2.0可以幫助組織建立一個符合其獨特需求和目標的網路安全策略，並與其他相關的標準和法規保持一致。CSF 2.0也可以幫助組織提升其網路安全能力，應對日益嚴峻的網路威脅，並促進網路安全的持續改進和創新。

詳情請看：

NIST CSF 2.0 released, to help all organizations, not just those in critical infrastructure

微軟發佈了一篇如何透過微軟的免費課程學習生成式人工智慧

生成式人工智慧（Generative AI）是一種利用機器學習模型來創造新的數據或內容的技術。例如，生成式人工智慧可以用來創造圖像、音樂、文字、代碼等。生成式人工智慧的應用非常廣泛，從藝術創作、娛樂、教育、醫療、商業到社會問題都有其價值和影響。

如果您對生成式人工智慧感興趣，並且想要學習如何使用這種技術來創造自己的解決方案，那麼微軟的免費課程《生成式人工智慧入門》是一個很好的選擇。這個課程由微軟的雲端倡導者團隊設計，旨在教授您生成式人工智慧的基礎知識和實踐技巧。這個課程包含了12個課程，涵蓋了生成式人工智慧的核心概念、常用的模型和工具、以及一些有趣的項目和挑戰。您可以在 GitHub 上免費獲取這個課程的所有資源，並且可以按照自己的進度和興趣來學習。

在這個課程中，您將學習到以下的內容：

生成式人工智慧的定義、類型和歷史
生成式人工智慧的常見應用和案例
生成式人工智慧的主要挑戰和限制
生成式人工智慧的基本原理和數學基礎
生成式人工智慧的主流模型，如 GPT-4、DALL-E、StyleGAN、CycleGAN 等
生成式人工智慧的開源工具和平台，如 TensorFlow、PyTorch、OpenAI、Azure 等
生成式人工智慧的實戰項目，如生成圖像、生成文本、生成音樂、生成代碼等
生成式人工智慧的創新思維和方法，如如何定義問題、如何收集數據、如何評估結果、如何優化模型等

這個課程適合任何對生成式人工智慧感興趣的人士，無論您是學生、老師、開發者、創業者還是愛好者，都可以從這個課程中獲得知識和靈感。這個課程不需要您有任何的預備知識，只需要您有一顆好奇和探索的心。如果您想要開始您的生成式人工智慧之旅，請點擊這裡來訪問課程的 GitHub 頁面，並且按照說明來開始您的學習。您也可以加入我們的 AI Discord 服務器，來和其他的學習者交流和互助。如果您有一個創新的 AI 項目或想法，您還可以申請微軟的創業者中心，來獲得免費的 OpenAI 積分和高達 15 萬美元的 Azure AI 服務。我們期待您的加入和分享！

詳情請看：

How to Learn Generative AI with Microsoft’s Free Course

The hacker news發佈了一篇新的擁抱臉部漏洞使人工智慧模型面臨供應鏈攻擊

最近，資安公司Lasso Security發現了Hugging Face平台存在一個API漏洞，該漏洞可能導致微軟、Meta和Google等公司的AI模型被黑客非法訪問，甚至可能出現污染訓練數據或窃取、修改AI模型的情況。

Hugging Face是一個受歡迎的協作平台，用於托管預訓練的機器學習模型和數據集，以及構建、部署和訓練它們。該平台的Safetensors格式旨在保護張量的安全性，而不是像pickles那樣可能被惡意利用的格式。Safetensors還提供了一個轉換服務，使用戶可以通過拉取請求將任何PyTorch模型（即pickle）轉換為其Safetensor等效形式。

研究人員的分析發現，理論上攻擊者可以使用惡意的PyTorch二進制文件來劫持托管的轉換服務，並破壞主機系統。此外，與SFConvertbot相關的令牌（這是一個官方設計的機器人，用於生成拉取請求）可能被竊取，以便偽裝成轉換機器人向站點上的任何存儲庫發出惡意拉取請求，從而可能在模型中植入神經後門。

如果用戶嘗試轉換自己的私有存儲庫，攻擊可能導致Hugging Face令牌被竊取，從而存取內部模型和數據集，甚至可能對其進行破壞。此外，攻擊者還可以利用任何用戶都可以為公共存儲庫提交轉換請求的事實，來劫持或更改廣泛使用的模型，從而可能導致重大的供應鏈風險。

總之，儘管Hugging Face的目的是保護機器學習模型，但其轉換服務已被證明是脆弱的，可能導致通過Hugging Face官方服務進行大規模的供應鏈攻擊。

詳情請看：

New Hugging Face Vulnerability Exposes AI Models to Supply Chain Attacks

Cybersecurity insiders發佈了一篇應對網路保險費率上漲的 5 種方法

網路保險是一種保護企業免受網路攻擊和資料外洩所帶來的財務損失的金融保障。然而，隨著網路威脅的日益增加和複雜化，網路保險的費率也在2022年大幅上漲，使得許多企業難以負擔足夠的保險覆蓋範圍。因此，企業必須審慎評估自己的風險暴露程度，並採取有效的策略來降低網路保險的成本，同時確保能獲得合適的保險方案。

本文將介紹五種資訊科技專家可以採用的網路安全策略，以展現對網路安全的堅定承諾，並減少網路保險費率。

1. 主動的風險管理策略

定期進行風險評估可以幫助資訊科技專家發現系統的漏洞，並採取有效的風險緩解措施。例如，全球有98%的組織與遭到入侵的第三方供應商有關聯。為了防止被合作夥伴或供應商的安全漏洞所影響，資訊科技團隊應該了解他們的網路安全規範，並確保他們符合網路安全的最佳實務和標準，防止未經授權的存取敏感資訊。通過嚴格的審核過程，資訊科技團隊可以加強自己的防禦能力，並展現對持續改善網路安全實務和技術的不懈努力。

2. 遵守相關的法規和標準

許多國家和地區都有相關的法規和標準，要求企業保護客戶和員工的個人資料，並及時報告任何網路安全事件。例如，歐盟的一般資料保護規則（GDPR），美國的加州消費者隱私法案（CCPA），以及台灣的個人資料保護法等。違反這些法規和標準可能會導致嚴重的罰款和法律訴訟，進而增加企業的財務風險。因此，資訊科技專家應該熟悉並遵守適用於自己所在地區和行業的法規和標準，並採取必要的措施來保護資料的安全和隱私，以及應對網路安全事件。

3. 提高網路安全意識和教育

人為的錯誤或疏忽是導致網路安全事件的主要原因之一。根據一項調查，有95%的網路安全專家認為，員工的安全意識和教育是提高網路安全的關鍵因素。資訊科技專家應該定期為員工提供網路安全的培訓和測試，教導他們如何識別和避免常見的網路攻擊手法，如釣魚、勒索軟體、社交工程等。此外，資訊科技專家也應該制定和更新網路安全的政策和程序，並確保員工遵守和執行，以減少人為的風險。

4. 採用先進的網路安全技術和工具

隨著網路攻擊的技術和手法不斷進化，資訊科技專家也應該採用先進的網路安全技術和工具，以提高自己的防禦能力和應變能力。例如，資訊科技專家可以使用雲端安全服務，以利用雲端的彈性和可擴展性，並減少自己的基礎設施和維護成本。資訊科技專家也可以使用人工智慧和機器學習，以增強自己的威脅偵測和回應能力，並減少人工的干擾和延遲。資訊科技專家還可以使用加密和身分驗證，以保護資料的完整性和機密性，並防止未經授權的存取和竊取。

5. 與網路保險提供商保持良好的溝通和合作

最後，資訊科技專家應該與網路保險提供商保持良好的溝通和合作，以確保能獲得最適合自己的保險方案。資訊科技專家應該清楚地了解自己的網路安全狀況和需求，並向網路保險提供商展示自己的網路安全策略和成果，以獲得更低的保險費率和更高的保險覆蓋範圍。資訊科技專家也應該定期與網路保險提供商進行回顧和更新，以反映自己的網路安全的變化和進步，並獲得更多的保險優惠和服務。

網路保險是一種有效的風險管理工具，可以幫助企業減輕網路攻擊和資料外洩所帶來的財務損失。然而，網路保險的費率也在不斷上漲，使得企業必須採取有效的策略來降低網路保險的成本，同時確保能獲得合適的保險方案。

詳情請看：

5 Ways to Counteract Increasing Cyber Insurance Rates

Cybersecurity insiders發佈了一篇是時候加強人工智慧/量子未來的防禦了

人工智慧（AI）和量子計算（QC）是當今科技領域最具革命性和創新性的發展之一。它們不僅為各行各業帶來了無限的可能性，也為網路安全帶來了新的挑戰和威脅。在這篇文章中，我將探討 AI 和 QC 對網路安全的影響，以及企業和個人應該如何為這個 AI 量子未來做好準備。

AI 的雙面性

AI 是一種利用大數據和機器學習來模擬人類智慧的技術。AI 可以幫助我們提高效率，解決問題，創造價值，甚至拯救生命。然而，AI 也有其陰暗面，它可以被惡意的黑客或國家行為者利用來進行大規模的網路攻擊，製造虛假的釣魚郵件或內容，或者竊取和破壞敏感的資料。

為了防止 AI 被濫用，我們需要加強對 AI 的監管和規範，確保 AI 的可靠性，多樣性和隱私性。我們也需要提高對 AI 的識別和防禦能力，利用 AI 來增強我們的威脅情報，風險管理，和漏洞修復。

QC 的崛起

QC 是一種利用量子力學原理來進行超高速運算的技術。QC 可以幫助我們解決一些傳統計算機無法解決的難題，例如藥物開發，氣候變化，和加密算法。然而，QC 也有其危險性，它可以被用來破解目前的加密系統，導致我們的通訊和資料暴露在攻擊者的眼中。

為了抵抗 QC 的威脅，我們需要發展和採用量子安全的加密技術，例如量子金鑰分發，量子隨機數生成，和量子抗密碼。我們也需要提前預測和防範 QC 的攻擊，例如竊聽，數據毒化，和漏洞利用。

AI 和 QC 是未來的趨勢，也是網路安全的挑戰。我們不能忽視它們的存在，也不能低估它們的影響。我們需要積極地瞭解和應對這些新興技術，並為我們的網路安全建立一個堅固和靈活的防禦體系。只有這樣，我們才能在這個 AI 量子未來中保持安全和成功。

詳情請看：

It’s time to bolster defenses for an AI / Quantum Future

Trendmicro發佈了一篇探索不斷變化的 SOC 格局

SANS 2023 SOC 報告是全球安全運營中心（SOC）的重要參考指標，它提供了大量的數據驅動的洞察和影響未來網絡安全運營的新興趨勢。本文將從報告中摘取一些關鍵發現和挑戰，並分享 Trend Micro 的專業見解和建議。

預算規劃

根據報告，42% 的 SOC 管理者積極參與預算規劃的輸入，但最終的分配由更高層的決策者決定。相反，只有 13% 的 SOC 管理者表示他們的建議得到了決策者的足夠重視。有趣的是，SOC 預算與組織的行業和規模沒有明顯的相關性，這需要進一步的探索。無論如何，合理分配資金的目標始終不變。

Trend Micro 的建議是，SOC 預算規劃應該基於組織的業務目標和風險評估，並考慮到 SOC 的價值和效益。此外，SOC 預算規劃應該是一個動態的過程，能夠靈活應對網絡安全環境的變化和新的威脅挑戰。

指標運用

報告顯示，88.8% 的 SOC 團隊定期使用指標來衡量和改進他們的運營效能。值得注意的是，只有 11.2% 的 SOC 團隊不提供指標，其中相當一部分來自政府部門。在使用指標的 SOC 團隊中，77% 表示滿意，而 23% 表示不滿意，這需要深入分析原因。

Trend Micro 的建議是，SOC 指標應該是有意義的、可衡量的、可行的、相關的和時限的（SMART），並能夠反映 SOC 的戰略目標和業務價值。此外，SOC 指標應該是多維度的，涵蓋技術、流程、人員和業務等方面，並能夠提供全面和準確的視角。

SOC 價值

報告揭示，56.3% 的 SOC 團隊沒有計算他們的價值，這可能是因為缺乏統一的方法或標準。在嘗試計算價值的 SOC 團隊中，大多數（84%）報告了處理和影響成本的減少，其中 50% 以下的減少占了大多數。另一個常用的指標是事件檢測、解決和恢復時間的縮短，這直接與整體事件成本的降低相關，同時展示了 SOC 的價值。

Trend Micro 的建議是，SOC 價值的計算應該基於實際的數據和事實，並能夠量化 SOC 對組織的貢獻和影響。此外，SOC 價值的計算應該是一個持續的過程，能夠定期檢視和調整 SOC 的策略和優先順序。

人員配置

報告顯示，SOC 團隊的規模在不斷變化，但最常見的規模範圍是 11 到 25 名成員（24.8%）。報告還深入探討了人員需求，強調了在這個不斷發展的領域中，合格人才的重要性。

Trend Micro 的建議是，SOC 人員配置應該基於組織的安全需求和能力，並考慮到人員的技能、角色和職責。此外，SOC 人員配置應該是一個平衡的過程，能夠兼顧人員的招聘、培訓、留存和發展。

主要挑戰

報告還揭示了 SOC 團隊面臨的一些主要挑戰，其中包括：

缺乏上下文：16% 的受訪者表示對他們所看到的內容缺乏上下文感到擔憂，這可能會影響他們的判斷和決策。
缺乏可見性：15.5% 的受訪者表示他們無法看到所有的資產和網絡流量，這可能會導致盲點和漏洞。
缺乏自動化：14.9% 的受訪者表示他們的 SOC 運營缺乏自動化，這可能會增加人為的錯誤和延遲。
缺乏協作：14.4% 的受訪者表示他們的 SOC 團隊與其他部門或組織的協作不足，這可能會降低效率和效果。

Trend Micro 的建議是，SOC 團隊應該採用先進的技術和工具，如人工智慧、機器學習、安全分析、威脅情報、安全編排、自動化和反應（SOAR）等，來提高他們的上下文、可見性、自動化和協作能力，從而提升他們的安全運營水平。

SANS 2023 SOC 報告是一份寶貴的資源，它幫助我們了解 SOC 的現狀和未來，並為我們提供了改進和創新的方向。Trend Micro 作為全球領先的網絡安全解決方案提供商，致力於為 SOC 團隊提供最佳的產品和服務，幫助他們應對新的威脅。

詳情請看：

Exploring Changing SOC Landscapes

Help net security發佈了一篇良好的 API 安全策略的重要性

API（應用程式介面）是現代軟體開發的關鍵組成部分，它可以讓不同的應用程式和服務之間進行交互和整合。根據 Cloudflare 2024 API 安全與管理報告，在 2024 年，API 請求佔了全球動態網路流量的 57%。但隨著 API 的廣泛採用，也帶來了許多安全上的挑戰。在過去兩年中，有 60% 的組織遭受了至少一次涉及 API 的資安事件。這是一個令人警惕的趨勢，需要被有效地解決。

API 安全不足的後果

駭客喜歡利用 API 的原因有很多，但主要是因為 API 可以讓他們繞過安全控制，輕鬆地存取敏感的公司和客戶資料，以及某些功能。最近，一個涉及社群媒體平台 Spoutible 的公開 API 的事件，可能導致攻擊者竊取使用者的 2FA 秘密、加密的密碼重設權杖，以及更多資訊。這類型的事件可能導致客戶和商業夥伴的信任流失，進而造成財務損失和品牌價值下降。API 安全不佳的做法也可能帶來法規和法律上的後果，導致公司營運中斷，甚至造成智慧財產權的盜竊。

API 的攻擊方式

攻擊者可以對 API 發動各種攻擊，例如：

DDoS（分散式阻斷服務攻擊）
暴力破解
代碼注入
中間人攻擊

「API 的性質也使得攻擊更容易執行，並造成更嚴重的影響。與傳統的網路攻擊鏈相比，它由七個階段組成，攻擊者必須通過這些階段才能利用和入侵一個系統，API 的利用卻將攻擊鏈縮短為三個簡單的階段：偵察、武器化和利用。」前 Wib 產品團隊主管 Yonathan Michaeli 說道。「攻擊者無需安裝惡意軟體，控制您的系統，或完成任何活動來利用您的系統；通過 API，攻擊者可以通過發送簡單的請求，獲取大量的敏感資訊。」

規劃策略

一個好的 API 安全策略對於每個想要保護其數位資產和敏感客戶資料的組織都是必不可少的。OWASP 不斷更新其 API 安全威脅的前十名清單。雖然安全從業者不能僅依賴這些資料，但這個清單仍然是規劃一個可靠安全策略的重要工具。遵循 NIST 網路安全框架也是規劃一個好的 API 安全策略的必要步驟。網路安全流程的關鍵階段（識別、保護、偵測、回應和恢復）是處理高優先級風險的通用方法。有了這些基礎，組織需要實施 API 安全的最佳實踐。Check Point 提出了以下幾點：

實施身份驗證和授權
使用 SSL/TLS 加密
實施零信任存取控制
定期進行安全測試和風險評估
及時更新和修補漏洞
持續監測和警示異常活動

將安全內建於 API 中是確保 API 漏洞不會成為安全漏洞的最佳方式。

詳情請看：

The importance of a good API security strategy

The hacker news發佈了一篇簡化 SaaS 身份治理的 6 種方法

SaaS 應用現在已經佔據了組織中員工使用的大部分技術，這意味著身份治理相關的任務需要在眾多的個別 SaaS 應用中進行。這對於中央 IT 團隊來說是一個巨大的挑戰，因為他們最終要負責管理和保護應用的訪問權限，但卻不可能成為數百（或數千）個應用的原生安全設置和訪問控制的專家。即使他們能夠做到，單單任務的數量也會讓他們不堪重負。

現代 IT 團隊需要一種方法來協調和管理 SaaS 身份治理，通過讓業務中的應用擁有者參與其中，因為他們最熟悉工具的使用方式，以及誰需要什麼類型的訪問權限。Nudge Security 是一種 SaaS 安全和治理解決方案，可以幫助您做到這一點，通過自動化的工作流程來節省時間，並使過程在規模上可管理。以下是它的工作原理。

1. 發現組織中任何人使用的所有 SaaS 應用

俗話說，你看不到的東西你就無法保護，所以 SaaS 身份治理的第一步是獲得一個完整的技術清單，實際上是由誰使用的。Nudge Security 可以發現和分類組織中任何人引入的所有 SaaS 應用，並為每個應用提供一個供應商安全檔案，以便 IT 和安全團隊獲得審核新 SaaS 提供商所需的上下文。在他們審核了一個應用後，他們可以分配一個狀態，如「批准」、「可接受」或「不可接受」，以表示是否允許使用。

對於任何被視為「不可接受」的應用，可以在新帳戶出現時觸發自動的提示，將用戶引導到一個類似的、已批准的應用，或者詢問他們為什麼需要使用該特定應用的上下文。

2. 與員工共享已批准應用的目錄

在理想的情況下，IT 團隊希望賦予員工使用那些既能提高生產力，又能保持業務安全和合規的技術的能力。不幸的是，員工往往不知道哪些工具符合業務的要求以及他們自己的需求。Nudge Security 可以讓您輕鬆地創建和共享一個應用目錄與員工，這樣組織中的每個人都可以查看一個符合適當的安全和合規標準的已批准應用的完整列表。員工可以按類別瀏覽列表，並提交訪問請求，這些請求將直接路由到每個應用的技術擁有者，無論該人是否坐在中央 IT 部門。這消除了 IT 成為用戶和應用擁有者之間的「事件轉發器」的需要，同時仍然保持可見性和中央化的治理。

3. 保持應用擁有者的最新狀態

您是否曾經覺得自己在組織中追蹤正確的人，以獲得 SaaS 應用或用戶帳戶的上下文，就像在進行世界上最糟糕的尋寶遊戲？Nudge Security 可以幫助您解決這個問題，通過自動識別和更新每個 SaaS 應用的技術擁有者，並將他們與中央 IT 團隊連接起來。這樣，IT 團隊就可以將身份治理的責任分散到業務中的應用擁有者，同時保持對整個 SaaS 環境的監督和控制。

4. 定期審核用戶帳戶和訪問權限

為了確保 SaaS 應用的安全和合規，IT 團隊需要定期審核用戶帳戶和訪問權限，以確保沒有過期、不必要或不適當的訪問。這是一個非常耗時和重複的過程，如果手動執行，很容易出錯或被忽視。Nudge Security 可以自動化這個過程，通過定期向應用擁有者發送用戶帳戶和訪問權限的清單，並要求他們確認或撤銷訪問。這樣，IT 團隊就可以確保 SaaS 應用的訪問權限始終保持最小化和最新化，同時減少手動工作的負擔。

5. 管理用戶的生命週期

當員工加入、轉換或離開組織時，他們的 SaaS 應用訪問權限也需要相應地變化。這是一個關鍵的安全和合規要求，但也是一個容易出現人為失誤或遺漏的要求。Nudge Security 可以幫助您管理用戶的生命週期，通過與 HR 系統集成，並根據員工的角色、部門和地理位置，自動分配或撤銷 SaaS 應用的訪問權限。這樣，您就可以確保員工在任何時候都只能訪問他們需要的應用，並在他們離開組織時立即終止訪問權限，從而減少安全風險和合規違規。

6. 監測 SaaS 應用的使用情況和風險

除了管理 SaaS 應用的訪問權限外，IT 團隊還需要監測 SaaS 應用的使用情況和風險，以確保員工的行為符合業務的安全和合規政策。Nudge Security 可以幫助您做到這一點，通過收集和分析 SaaS 應用的使用數據，並提供可視化的儀表板和報告，讓您可以快速了解每個應用的使用率、花費、效益和風險。您還可以設置自定義的警報和通知，以便在發生異常或可疑的活動時及時採取行動。
這些功能可以幫助您優化 SaaS 應用的投資回報，並減少不必要的浪費和重複購買。同時，您也可以提高 SaaS 應用的安全性和合規性，並防止數據洩露和權限濫用。

SaaS 身份治理是一個複雜而重要的任務，需要 IT 團隊與業務中的應用擁有者合作，以確保 SaaS 應用的安全和合規。Nudge Security 是一種 SaaS 安全和治理解決方案，可以幫助您簡化 SaaS 身份治理的過程，通過自動化、分散和可視化的方法，讓您可以更有效地管理 SaaS 應用的訪問權限和使用情況。

詳情請看：

6 Ways to Simplify SaaS Identity Governance

The hacker news發佈了一篇醫療保健網路安全 - 診斷威脅情勢並制定恢復解決方案

醫療保健是一個關乎人類生命和健康的領域，但也是一個面臨著日益嚴峻的網路安全挑戰的領域。在 2023 年的感恩節，當許多美國人正在慶祝的時候，美國各地的醫院卻陷入了危機。他們的系統被駭客入侵，發動了勒索軟體攻擊，導致救護車被轉移，護理被影響。這不僅是電腦網路的問題，更是實際的病人護理的問題。

網路罪犯越來越無恥，將目標轉向規模較小的醫療機構，從中獲取巨額贖金。他們不惜攻擊醫療診所、療養院和其他醫療服務提供者，竊取敏感數據，勒索高額贖金，甚至危及病人的安全。中小型醫療機構不幸成為了網路罪犯容易攻擊的目標，尤其是那些服務於小型社區的機構，他們的病人依賴他們作為關鍵護理的第一線和最後一線。

醫療機構如何應對這種威脅，並保護自己和病人的利益呢？本文將介紹醫療保健領域的網路安全現狀，分析主要的攻擊手法和風險因素，並提出一些有效的解決方案和建議。

醫療保健領域的網路安全現狀

根據美國衛生及公共服務部（HHS）的統計，從 2018 年到 2022 年，影響醫療機構的大規模數據洩露事件增加了 93%。在同一時期，涉及勒索軟體的數據洩露事件增加了 278%。這些數字反映了醫療保健領域的網路安全形勢的嚴峻性和複雜性。

醫療機構的數據不僅包含病人的個人資訊，如姓名、地址、身份證號、保險號等，還包含病人的醫療資訊，如診斷、處方、檢驗結果、手術記錄等。這些數據對於網路罪犯來說，是非常有價值的，可以用於身份盜竊、詐騙、勒索、敲詐等不法活動。根據 HIPAA Journal 的報導，醫療資訊的黑市價格是一般個人資訊的 10 倍以上。

醫療機構的系統也不僅僅是電腦和伺服器，還包括各種醫療設備，如心電圖機、血壓計、呼吸機等。這些設備通常連接到網際網路，以便於遠端監測和控制，但也可能成為駭客的入口，造成設備故障或操縱，威脅病人的生命。

醫療機構的員工也是網路安全的一個薄弱環節，他們可能因為疏忽、無知或故意，而導致數據洩露或系統感染。例如，員工可能會打開釣魚郵件，下載惡意附件，使用弱密碼，或者將數據傳輸到不安全的設備或平台上。

醫療保健領域的網路安全解決方案

面對這些威脅和挑戰，醫療機構需要採取一些有效的措施，以提高自己的網路安全水平，並減少潛在的損失和風險。以下是一些可行的解決方案和建議：

建立一個專業的網路安全團隊，負責制定和執行網路安全策略、規範和流程。如果沒有足夠的資源或能力，可以考慮委託外部的網路安全服務提供商，如 Huntress，來幫助醫療機構檢測和防禦網路攻擊，並提供專業的建議和支援。
定期對醫療機構的系統和設備進行風險評估和弱點掃描，以發現和修復任何可能被利用的漏洞。同時，也要對醫療機構的數據進行備份和加密，以防止數據丟失或被竊取。
採用多因素身份驗證（MFA）和最小權限原則（PoLP），以增強醫療機構的存取控制和權限管理。MFA 可以要求使用者提供兩種或以上的身份證明，如密碼、指紋、臉部識別等，以登入系統或設備。
培訓和教育醫療機構的員工，提高他們的網路安全意識和技能，讓他們能夠識別和避免各種網路攻擊，如釣魚、社交工程、惡意軟體等。同時，也要建立一個有效的網路安全文化，鼓勵員工遵守網路安全規則，及時報告任何可疑的活動或事件，並積極參與網路安全的改進和更新。
與其他醫療機構和網路安全組織合作，分享網路安全的最佳實踐和經驗，並建立一個互助的網路安全社群。這樣可以增強醫療機構之間的信任和溝通，並提高他們對網路威脅的警覺和應對能力。

詳情請看：

Cybersecurity for Healthcare—Diagnosing the Threat Landscape and Prescribing Solutions for Recovery

Fortinet發佈了一篇Fortinet 提高了 1,000 多台 ATM 的彈性和營運

在數位時代，方便是王道。今天的消費者認為他們可以隨時隨地存取自己的錢，並獲得完整的服務。然而，對於任何銀行來說，建立一個強大和安全的自動櫃員機（ATM）網路是一項重大的挑戰，尤其是當涉及到在許多惡劣環境下運營數百或數千台機器，例如在商場、體育場、活動或其他偏遠地點的戶外。

更新遠端自動櫃員機網路

對於一家全球性的銀行來說，更新其自動櫃員機網路的時候到了。該組織在北美地區運營了數千台遠端自動櫃員機，其中許多部署在極端惡劣的環境中，從沙漠氣候到一些最寒冷的地區。這些遠端自動櫃員機目前通過即將到期的傳統路由器連接到銀行的網路。因此，銀行需要一個替代方案，通過雙 5G 行動網路連接將其遠端自動櫃員機連接到其數據中心。考慮到許多自動櫃員機運營的惡劣環境，銀行需要一個堅固的解決方案，可以承受極端的天氣條件。此外，該組織還尋求一種方法，將多個網路和安全功能，包括雙 5G 數據機和網路存取控制（NAC）集成在一個平台上。由於每個遠端自動櫃員機都連接到兩個數據中心，因此該平台還必須具有應用 SD-WAN 和服務品質（QoS）規則來適當地引導和保護流量的能力，這是其傳統的點對點路由器無法實現的。

Fortinet 的堅固解決方案

銀行已經在其數據中心部署了 FortiGate 下一代防火牆（NGFW），因此它轉向 Fortinet 來解決其自動櫃員機網路的挑戰。目前，該組織正在部署一個基於 FortiGate Rugged NGFW 的網路解決方案，這是我們專為最苛刻的環境而設計的集成安全網路設備，結合了企業級的威脅防護。新的 FortiGate Rugged 70G NGFW 包括雙 5G 數據機連接、Fortinet Secure SD-WAN 和單一平台的網路安全保護。銀行還將使用 FortiManager 進行集中式網路管理和零觸摸配置，以快速地在其所有遠端自動櫃員機上部署這些堅固的 NGFW。部署後，銀行將使用 FortiAnalyzer 進行集中式日誌記錄、分析和報告，以進一步提高其安全姿態。

在最惡劣的條件下實現可靠和安全的網路

這個解決方案將為銀行帶來幾個好處。最明顯的是，它將提供其自動櫃員機在惡劣條件下運營所需的可靠性和耐用性。此外，它還將實現網路和安全功能的整合，減少複雜性和成本，並提高效能和彈性。同時，它還將保護遠端自動櫃員機免受網路攻擊和惡意軟體的威脅，確保客戶的資金和數據的安全。最後，它還將為銀行提供更好的可見性和控制，使其能夠更有效地管理和監測其自動櫃員機網路的狀態和性能。

Fortinet 用一體化的 5G、SD-WAN 和安全平台保障遠端自動櫃員機的連線和防護，為銀行提供了一個強大和創新的網路解決方案，幫助其滿足數位時代的客戶需求和期望。

詳情請看：

Fortinet Improves Resiliency and Operations to 1,000+ ATMs

Cybersecurity insiders發佈了一篇現今企業面臨的 5 大網路安全風險

現代社會，數位化的生活方式讓我們的溝通、交易、購物和商務更加便利。然而，消費者和企業並不是唯一受益的一方。網路犯罪也隨之蓬勃發展，企業尤其面臨著巨大的風險。數位化的資料非常容易受到攻擊，一旦被竊取或洩漏，可能會造成財務和聲譽上的損失，甚至引發法律和監管的問題。因此，企業必須提高警覺，並採取有效的安全措施，以保護自己的資料、使用者和客戶。那麼，企業目前面臨的最大的網路安全風險有哪些呢？以下是五個值得關注的風險：

內部威脅

網路犯罪並不都是來自外部的陌生人。有時候，威脅可能來自於已經獲得存取權限的內部人員。內部威脅是指由員工、承包商、合作夥伴、供應商等信任的人士所造成的安全風險。當然，並非所有的內部威脅都是故意的。人為的錯誤也可能導致安全漏洞，例如點擊錯誤的連結、使用不安全的網路連線、或是將設備遺留在公共場所，這些都可能讓攻擊者入侵網路。但這也不意味著故意的內部威脅不存在。擁有特權存取權的員工可能會出賣商業機密、將資訊帶到新公司作為升遷的籌碼、或是為了報復而破壞資訊。內部威脅可能存在於任何部門或團隊，無論是意外或故意的。

社交工程

社交工程是指任何以獲得使用者信任為開端的網路犯罪。這可能包括偽裝成可信任的同事或是發送一個看似合理的訊息（包括簡訊或電話），並要求提供資訊。社交工程的常見形式有釣魚（phishing）、鯨魚釣魚（whaling）、魚叉式釣魚（spear phishing）和網路誘騙（baiting）。這些攻擊都是利用使用者的好奇心、貪婪、恐懼或同情心，來誘使他們點擊惡意的連結、附件或是下載檔案，從而安裝惡意軟體或竊取敏感資訊。社交工程的攻擊者通常會做足功課，收集目標的個人或專業資訊，以增加信服力和成功率。

雲端安全

雲端服務已經成為企業的主流選擇，因為它們提供了靈活性、效率和成本節約的優勢。然而，雲端服務也帶來了新的安全挑戰，例如資料的所有權、存取控制、共享責任和第三方風險。企業必須確保他們選擇的雲端服務提供商有足夠的安全標準和協議，並且明確地分清楚雙方的責任範圍。此外，企業也要注意自己的雲端資料的加密、備份和恢復的策略，以防止資料遭到竊取、遺失或損毀。

無線網路

無線網路為企業提供了更多的移動性和便利性，但也增加了安全風險。無線網路的訊號可能被攔截、竊聽或竄改，導致資料的洩漏或竊取。無線網路的安全性取決於其加密和驗證的方式，以及使用者的行為。企業應該選擇最新和最安全的無線網路標準，例如 WPA3，並定期更新其無線網路的設定和密碼。此外，企業也應該教育使用者，避免使用公共或不安全的無線網路，或是在無線網路上傳輸敏感資訊。

物聯網

物聯網（Internet of Things, IoT）是指將各種物件連接到網路上，以收集和交換資料的技術。物聯網的應用範圍很廣，從智慧家庭、智慧城市到智慧工廠等。物聯網為企業帶來了許多好處，例如提高效率、降低成本和增加競爭力。然而，物聯網也帶來了安全風險，因為物聯網的設備通常缺乏足夠的安全防護，並且可能成為攻擊者的跳板或目標。企業應該審慎地評估物聯網的風險和收益，並採取適當的安全措施，例如定期更新物聯網的設備和軟體、使用強大的密碼和加密、以及隔離物聯網的網路和資料。

Top 5 Cybersecurity Risks Facing Businesses Today

Help net security發佈了一篇安全使用 GenAI 模型進行軟體開發的逐步計劃

生成式 AI（GenAI）是一種利用深度學習模型來生成各種類型的內容的技術，例如文本、圖像、音頻、視頻等。近年來，GenAI 在軟件開發領域引起了廣泛的關注，因為它可以協助開發人員完成一些繁瑣或困難的任務，例如內容生成、自動化和分析。例如，ChatGPT 和 Gemini 就是一些流行的大語言模型（LLM），它們可以生成自然語言的文本，並用於各種場景，如對話、翻譯、摘要、代碼等。

然而，GenAI 的發展也帶來了一些風險和挑戰，例如法律、道德、社會、經濟等方面的問題。例如，GenAI 生成的內容的知識產權歸屬是一個有爭議的話題，因為它涉及到人類和機器的創造力和貢獻的比例。此外，GenAI 的發展速度超過了政府對其的監管和規範，這導致了一個法律上的灰色地帶，難以界定其合法性和責任。還有，GenAI 的使用可能會對人類的勞動力市場產生影響，因為它可能會取代一些人類的工作，或者需要人類學習新的技能和知識。

因此，如果我們想要安全地利用 GenAI 進行軟件開發，我們需要制定一個清晰的計劃和策略，以確保我們的行為符合法律、道德和實際的要求。在這篇博客中，我將為您介紹一個分步的計劃，希望對您有所幫助。

步驟一：制定一個關於 GenAI 使用的行為準則

首先，我們需要制定一個關於 GenAI 使用的行為準則，並讓我們的組織和員工都熟悉和遵守它。這個準則應該涵蓋 GenAI 使用的各個方面，例如：

GenAI 可以用於哪些類型的任務，例如內容生成、自動化、分析等。
GenAI 的使用需要哪些類型的許可和授權，例如個人賬戶、組織賬戶、第三方服務等。
GenAI 的使用需要遵守哪些法律和道德規範，例如知識產權、隱私、安全、質量等。
GenAI 的使用需要注意哪些風險和挑戰，例如數據泄露、內容錯誤、人類替代等。
GenAI 的使用需要進行哪些監測和評估，例如性能、效果、影響等。

這個準則的目的是為了確保我們的 GenAI 使用是合理、合法和有益的，並避免一些不必要的問題和後果。我們可以參考一些已有的 GenAI 相關的指南和標準，例如 [OpenAI 的倫理原則]、[Google 的 AI 原則]、[IEEE 的 AI 倫理指南] 等。

步驟二：選擇合適的 GenAI 工具和平台

其次，我們需要選擇合適的 GenAI 工具和平台，以滿足我們的軟件開發需求。這裡的合適不僅指的是功能和性能，還指的是安全和可靠。我們需要考慮以下幾個方面：

GenAI 工具和平台的來源和背景，例如開發者、提供者、用戶等。
GenAI 工具和平台的質量和準確性，例如錯誤率、偏差、一致性等。
GenAI 工具和平台的安全和隱私，例如數據保護、權限控制、加密傳輸等。
GenAI 工具和平台的可用性和可擴展性，例如可訪問性、可定制性、可集成性等。
GenAI 工具和平台的成本和效益，例如費用、效率、收益等。

我們可以通過一些測試和評估的方法，來比較不同的 GenAI 工具和平台，並選擇最適合我們的那一個。例如，我們可以使用一些標準的數據集和任務，來測試 GenAI 工具和平台的性能和準確性，並使用一些指標和指數，來評估 GenAI 工具和平台的安全和隱私。我們也可以參考一些 GenAI 工具和平台的評論和反饋，來了解它們的用戶體驗和滿意度。

步驟三：建立一個 GenAI 的使用流程和監督機制

最後，我們需要建立一個 GenAI 的使用流程和監督機制，以確保我們的 GenAI 使用是有效和可控的。這個流程和機制應該包括以下幾個環節：

GenAI 的使用需求和目標的確定和分析，例如任務的定義、輸入的準備、輸出的期望等。
GenAI 的使用過程和結果的記錄和追蹤，例如參數的設置、內容的生成、數據的存儲等。
GenAI 的使用效果和影響的檢查和評估，例如錯誤的檢測、內容的校對、影響的測量等。
GenAI 的使用反饋和改進的收集和實施，例如問題的報告、建議的提供、更新的安裝等。

這個流程和機制的目的是為了確保我們的 GenAI 使用是符合我們的需求和目標的，並及時發現和解決一些潛在的問題和風險。我們可以使用一些工具和方法，來幫助我們實施這個流程和機制，例如日誌系統、監控系統、評估系統、反饋系統等。

詳情請看：

A step-by-step plan for safe use of GenAI models for software development

訂閱：文章 (Atom)

Cybersecurity insiders發佈了一篇企業電子訊息安全與治理的推薦實踐

限制代表您發送的人員

實施 DKIM, SPF 和 DMARC

選擇一個有信譽的代理服務提供商

Cybersecurity insiders發佈了一篇無線可見性：零信任的必備條件

Mcafee發佈了一篇社交隱私管理器簡介

社交隱私管理器的功能和優勢

如何使用社交隱私管理器

Help net security發佈了一篇學校的網路安全危機

教育部門面臨的網路安全挑戰

教育部門面臨的網路安全威脅

教育部門的網路安全建議

微軟發佈了一篇AI賦能網路營運

數據產品工廠

Copilot

Cybersecurity insiders發佈了一篇規劃數位化來世：從已故用戶的 Google 帳戶檢索數據

了解 Google 的政策

驗證死亡

Google 的 Inactive Account Manager

聯絡 Google 支援

法律協助

通知 Google 關於親友的意願

資料取回選項

尊重隱私

Paloalto發佈了一篇利用 AI 支援的網路安全加速 5G

Help net security發佈了一篇安全運作是時候放棄 Excel 了

Help net security發佈了一篇Web Check：適用於任何網站的開源情報

Cisco發佈了一篇工業網路的 NIS2 合規性：您準備好了嗎？

NIS2 指令要求您做什麼？

思科為您提供一站式的 OT 網絡安全解決方案

Cisco發佈了一篇思科安全存取透過人工智慧、使用者體驗監控和身分智慧加速 SSE 創新

Cisco發佈了一篇網路彈性：加緊努力保護關鍵基礎設施

Cisco發佈了一篇關於 ZTNA 和零信任訪問的真實交易

ZTNA 的缺點

Cisco Secure Access：一種現代化的零信任存取方法

The hacker news發佈了一篇保護您的秘密免受人工智慧事故影響的三個技巧

1. 使用安全的AI平台

2. 避免在AI上輸入或輸出機密資訊

3. 監控和審核AI的行為

Cisco發佈了一篇推動您的網路安全平台轉型：透過 SSE 引領潮流

bleeping computer網路安全培訓不堅持？ 如何修正有風險的密碼習慣

Help net security發佈了一篇不受管理的第三方存取威脅 OT 環境

Help net security發佈了一篇克服網路安全新創公司領導力的壓力

領導理念

團隊建立

壓力處理

工作與生活的平衡

競爭優勢

創業建議

Help net security發佈了一篇使用人工智慧減少秘密掃描器的誤報

密碼的種類和風險

目前密碼掃描器的限制

人工智慧和機器學習在密碼掃描器中的應用和效果

密碼安全管理的建議

Help net security發佈了一篇NIST CSF 2.0 發布，以幫助所有組織，而不僅僅是關鍵基礎設施中的組織

微軟發佈了一篇如何透過微軟的免費課程學習生成式人工智慧

The hacker news發佈了一篇新的擁抱臉部漏洞使人工智慧模型面臨供應鏈攻擊

Cybersecurity insiders發佈了一篇應對網路保險費率上漲的 5 種方法

1. 主動的風險管理策略

2. 遵守相關的法規和標準

3. 提高網路安全意識和教育

4. 採用先進的網路安全技術和工具

5. 與網路保險提供商保持良好的溝通和合作

Cybersecurity insiders發佈了一篇是時候加強人工智慧/量子未來的防禦了

AI 的雙面性

QC 的崛起

Trendmicro發佈了一篇探索不斷變化的 SOC 格局

預算規劃

指標運用

SOC 價值

人員配置

主要挑戰

Help net security發佈了一篇良好的 API 安全策略的重要性

API 安全不足的後果

API 的攻擊方式

規劃策略

The hacker news發佈了一篇簡化 SaaS 身份治理的 6 種方法

1. 發現組織中任何人使用的所有 SaaS 應用

2. 與員工共享已批准應用的目錄

3. 保持應用擁有者的最新狀態

bleeping computer網路安全培訓不堅持？如何修正有風險的密碼習慣