Cybersecurity insiders：組織需要由 Gen-AI 提供支援的完全自主的安全性

在現今瞬息萬變的環境中,傳統的安全自動化方法已經無法滿足企業的需求。一方面,網路安全人才短缺的問題越來越嚴重;另一方面,威脅向量也變得越來越複雜。有鑑於此,具備完全自主能力的安全平台對於全球網路安全市場(根據一份網路安全市場報告,到2028年將增長至2985億美元)而言,無疑是一個重大的機遇。

Simbian公司是這個領域的領導者,他們透過深入理解安全自動化的內涵和環境,並運用不斷學習的人工智慧,使系統變得越來越智能和深化。最近,該公司推出了業界首個由通用人工智能(Gen AI)驅動的安全共駕系統,可將安全及智能的AI解決方案整合到不同的IT環境中,以最大程度增加覆蓋範圍,並加速對安全團隊不斷變化需求的響應。

這個共駕系統會持續觀察使用者的操作和環境,並逐漸學習自主執行越來越複雜的任務。Simbian的目標是實現完全自主的安全,將所有戰術性任務委派給值得信賴的AI平台,讓使用者可以專注於策略性的安全目標。

儘管多年來企業在內部自動化和工具上進行了大量投資,以提高安全團隊的工作效率,但他們仍然無法應付每天必須完成的大量操作任務。Simbian讓安全操作員完全掌控安全決策,用戶可與跨供應商的產品進行互動,完成所需的工作。該公司在業內獨一無二地提供了使用大型語言模型(LLM)生成代碼命令的能力,並且基於自然語言用戶界面,讓用戶可以臨機應變地構建Simbian支援的各種操作變體。

Simbian的通用AI驅動平台是業界首個可適應不同IT環境,涵蓋全面安全功能的安全共駕系統。大多數企業同時使用來自多家供應商的軟體和內部自製軟體。每個企業和每個安全團隊成員都有獨特且不斷變化的安全需求。Simbian可以幫助安全團隊中的每個人員,從CISO到一線從業人員,實時解決他們各自的獨特安全需求。用戶只需用自然語言描述目標,Simbian專利擬定的LLM驅動平台就會提供個性化建議,並跨異質環境生成自動化操作 - 提供更好的安全效果、更高的靈活性以應對不斷演變的業務需求和威脅,並降低成本。

安全是一個複雜程度與日俱增的領域。每一次安全事件都會帶來新的變數。Simbian朝著實現完全自主安全平台的願景邁進了一大步。儘管安全廠商越來越多地採用通用AI,但現成的通用AI模型存在許多安全風險,包括產生幻覺、提示注入風險,以及暴露個人身份信息/機密數據等。Simbian透過利用一種專利擬定的加固大型語言模型系統TrustedLLM™,在用戶和通用AI模型之間採用多層安全控制,將這些風險降至最低。

AI驅動的安全解決方案可以大幅改善威脅偵測、加速補救,並降低複雜性。Simbian正在將這一願景化為現實,利用AI自動化安全分析師日常中許多更具挑戰性和頻率較高的安全任務。

詳情請看：

Organizations Need Fully Autonomous Security Powered by Gen-AI

Help net security：零信任策略實施的基本步驟

根據研究機構Gartner的最新調查,全球有63%的組織已完全或部分實施零信任策略。對於實施零信任策略的78%組織而言,這項投資僅佔整體網路安全預算的25%以下。

儘管如此,仍有56%的組織主要是因為零信任被視為業界最佳實踐而追求該策略。然而,Gartner分析師John Watts指出,儘管有此看法,但企業仍不確定零信任實施的最佳做法為何。對大多數組織而言,零信任策略通常只涵蓋環境的一半或更少,並且僅能減輕不到四分之一的整體企業風險。

Gartner概述了為實施零信任策略而提出的三項主要最佳實踐建議,以供安全主管參考:

1. 早期確立零信任策略的範圍

為成功實施零信任,組織需了解涵蓋範圍、哪些領域在範疇之內,以及可減輕的風險程度。

零信任策略的範圍通常不包括組織的所有環境。然而,調查回覆者中有16%表示將涵蓋75%或更多範圍,僅11%認為將涵蓋不到10%的組織環境。

Watts表示:「範圍是零信任策略中最關鍵的決策。企業風險遠比零信任控制的範圍更廣泛,而且只能減輕有限的企業風險。儘管如此,衡量風險減少和改善安全態勢,仍是評估零信任控制成功與否的關鍵指標。」

2. 透過零信任策略和運作指標溝通成果

在已完全或部分實施零信任的組織中,有79%具有策略指標來衡量進度,且其中89%有風險衡量指標。不過,安全主管在溝通這些指標時,也必須考量受眾。調查顯示,59%的零信任倡議由CIO或CEO/總裁/董事會贊助。

Watts解釋:「零信任指標必須根據零信任的可交付成果進行量身打造,而非複製其他領域如終端偵測與應對的指標。零信任的努力可實現特定成果,例如減少惡意程式在網路上的橫向移動,但可能無法由現有的網路安全指標捕捉。」

3. 預期員工編制和成本增加,但不會延誤

有62%的組織預期成本將增加,41%的組織也預期員工需求將因零信任實施而增加。

Watts表示:「採用零信任策略的組織,其預算影響將因部署範圍和零信任策略在規劃過程中的強度而有所不同。零信任倡議本身會影響預算,因為組織採取系統性和逐步方式,使其政策朝向風險為本和自適應控制發展,為組織的持續營運負擔增加開支。」

儘管只有35%的組織表示遇到干擾零信任策略實施的失敗案例,但組織仍應制定零信任策略計劃、確立運作指標,並衡量零信任政策的有效性,以盡量避免延誤。

總的來說,零信任是網路安全發展的大趨勢,許多組織已意識到其重要性並著手實施。然而,無論是規劃、執行或衡量成效,都需要高度的策略性思維,配合企業獨特狀況進行因材施教。唯有如此,零信任策略才能真正發揮價值,提升組織的整體網路防護能力。

詳情請看：

Essential steps for zero-trust strategy implementation

Help net security：讓網路安全對女性更具吸引力，縮小技能差距

誠如本篇專訪所言,網路安全領域一直存在著嚴重的人才短缺問題。造成這種現象的原因很多,其中包括網路威脅與相關法規日益增加,導致對網路安全人員的需求大增;但同時,年輕人對這個領域的興趣不足,供給無法滿足需求。此外,行業內的員工流失率也相當高,有經驗的人員常因工作壓力而選擇轉行或移居他國。

要解決這個問題,我們必須從多方面著手。首先,我們要提高社會大眾對網路安全的認知,尤其是年輕學子,讓他們了解這是一個充滿挑戰且前景廣闊的領域。同時也要改革教育體制,採用更多元化的教學方式,激發學生的學習熱情。

此外,我們也要為業界人才提供更好的職涯發展環境。用人單位應廣開職缺大門,不應限制於特定資歷,而是更重視應徵者的潛力。工作場所也要提供良好支援與導師制度,給予員工足夠的成長空間與情緒管理協助,避免人才因過度壓力而流失。

當然,在提高網路安全領域的性別多元化方面,我們也有很大的努力空間。由於過去這是個男性主導的領域,女性在晉升管理階層的路上往往面臨更多障礙。我們需要提供更多職涯發展與導師資源,並在公司決策層納入女性的聲音,以打造一個兼顧多元且包容的職場環境。

透過多方位的努力,我深信網路安全的發展一定能夠步入更加包容且蓬勃的新紀元。惟有匯聚各方英才,這個領域才能持續進步,為我們的數位世界帶來最可靠有力的防護。讓我們共同為之努力,創造一個更美好的網路安全未來。

詳情請看：

Making cybersecurity more appealing to women, closing the skills gap

Help net security：為什麼雲端漏洞需要 CVE

隨著雲端服務的普及,安全漏洞管理的角色與重點已產生重大轉變。傳統上,漏洞管理團隊的主要任務是修補網路基礎架構中的漏洞。但在雲端環境中,組織無法直接控制底層基礎架構,因此漏洞修補的責任落在雲端服務提供商身上。相對的,漏洞管理團隊的工作重心則轉移到配置管理。

適當的配置管理直接影響組織的風險程度。舉例來說,MongoDB 曾因為預設密碼配置問題而導致大量伺服器受到入侵,這就凸顯了配置管理的重要性。與傳統軟體不同,雲端服務的高度可複製性,使得一個錯誤的配置可能會在整個雲端環境中大規模複製,因此潛在的安全影響更為嚴重。

然而,雲端服務提供商普遍不會為漏洞指派通用漏洞披露(CVE)編號,這使得漏洞管理團隊難以有效追蹤與分析特定的雲端漏洞。缺乏統一的識別機制,漏洞分析師常需耗費大量時間,依賴模糊的警示訊息(如「S3儲存貯體配置錯誤」)來追查並修正雲端配置問題,效率低落。

有鑑於此,業界或許應考慮針對雲端漏洞建立類似CVE的獨特識別碼,例如「Common Cloud Vulnerability Enumeration(CCVE)」。以統一格式定義雲端配置問題(如「CCVE 1-1.2:Amazon S3儲存貯體預設密碼」),可大幅簡化漏洞追蹤與修正的流程。

當前,組織僅能在有限時間內修復少部分的已知漏洞,未解決的漏洞債務年復一年地累積。追根究柢,需要思考如何協助企業有效管理雲端風險,解決漏洞債務的棘手問題。也許業界共同制定雲端漏洞識別機制,將是一個可行的出路。否則,我們勢必面臨漏洞風險失控的危機。

詳情請看：

Why cloud vulnerabilities need CVEs

Cybersecurity insiders：打造嚴密的安全態勢來應對勒索軟體威脅

當代網路威脅無處不在,勒索軟體攻擊已成為個人和組織備受關注的重大隱患。這種惡意攻擊會將寶貴的資料加密,並威脅除非支付贖金否則不予解密,對企業可能造成財務損失和聲譽受損。為了防範此類威脅,採取堅實全面的安全防禦姿態至關重要。以下是構建防禦勒索軟體的嚴密防線的方法:

1.實施多層次安全措施:堅強的防禦始於採用多層次安全方法,包括部署防火牆、入侵偵測系統和防毒軟件,以在多個入口點偵測和預防勒索軟體攻擊。此外,可考慮實施先進的威脅偵測技術,實時識別和緩解新興威脅。

2.定期更新軟硬件系統:過時的軟件和作業系統往往容易受到勒索軟體攻擊。為降低風險,請確保所有軟件應用程序和系統都使用了最新的安全補丁和更新。自動化補丁管理工具可簡化此過程,幫助保持基礎設施安全。

3.教育和培訓員工:人為失誤是勒索軟體攻擊的常見切入點。教育員工認識勒索軟體風險,並提供有關網路安全最佳實踐的培訓,例如識別釣魚企圖、避免可疑鏈接和附件。定期舉辦安全意識培訓課程,可增強員工的警惕性和主動性,共同防範勒索軟體威脅。

4.實施嚴格的密碼策略:弱密碼就等於為網路犯罪分子開了條捷徑。在整個組織實施嚴格的密碼策略,包括要求使用複雜密碼和定期更改密碼。考慮實施多重身份驗證(MFA),增加一層安全防護,有助於防止未經授權訪問敏感系統和資料。

5.定期安全地備份資料:防禦勒索軟體最有效的方法之一是實施堅實的備份策略。定期備份所有關鍵資料,並確保備份安全存儲,最好是離線或存放在獨立的隔離網路中。這樣一來,即使勒索軟體加密了您的主要資料,您仍可從備份中將其還原,無需支付贖金。

6.監控並及時應對威脅:主動監控網路流量和系統活動,有助於及早發現勒索軟體攻擊,從而迅速採取應對和控制措施。制定安全事件應急響應程序,概述一旦發生勒索軟體攻擊應採取的步驟,包括隔離受感染系統、通知相關人員以及啟動恢復程序。

7.與安全專家和合作夥伴聯手:網路安全是一個日新月異的領域,組織要時刻跟上新興威脅的步伐是一大挑戰。可考慮與專注於勒索軟體防禦的網路安全專家或安全服務提供商合作,他們能提供寶貴的洞見、威脅情報,以及在制定和實施有效安全策略方面提供協助。

通過積極主動採取全面的勒索軟體防禦措施,組織可大幅降低風險暴露,最小化勒索軟體攻擊的潛在影響。有了穩健的安全防線,企業就可以專注於核心業務運營,確信自己已充分準備好抵禦勒索軟體的持續威脅。

詳情請看：

Crafting an Airtight Security Posture Against Ransomware Threats

The hacker news：人人都是專家：如何幫助您的員工取得網路安全成功

現今網路安全威脅層出不窮,任何組織都無法倖免於駭客的攻擊。因此,除了部署先進的網路防護系統外,提升員工的網路安全意識也極為重要。傳統的安全意識培訓課程往往乏味無趣、效果不彰,讓69%的員工故意忽視公司的網路安全指引。這不僅浪費了企業的資源,也無法真正提高員工對網路威脅的警覺。

有鑑於此,本文建議企業採用創新有趣的安全意識培訓(SAT)方案,透過專業駭客編寫的生動案例和情節,讓員工在輕鬆有趣的環境中學習網路安全知識。優質的SAT方案應具備以下特點:

1. 課題內容與真實威脅緊密相關,並定期更新反映最新網路犯罪手法。

2. 由資深網路安全專家規劃和管理,不需公司額外投入人力。

3. 採用有趣生動的情節和角色,提高學員的學習興趣和知識保留率。

4. 每月推出新課程,透過隨機模擬釣魚郵件等攻擊情境測試員工反應。

5. 課程時間精簡,不會過度佔用員工工作時間。

6. 與常用軟件如Microsoft 365、Google、Okta等整合,自動同步員工名單。

7. 提供詳盡報表,追蹤員工學習情況及模擬攻擊測試結果,證明合規性。

8. 快速部署,輕鬆擴展服務至整個企業。

優質的SAT方案可以營造重視網路安全的企業文化,建立員工健全的防護習慣,將員工培養成組織的第一道防線。員工能及時識別並應對釣魚郵件、社交工程等常見網路攻擊手法,大大降低公司遭受資安事故的風險,確保企業營運安全。

此外,SAT課程還能滿足公司各項安全合規要求,如HIPAA、PCI、SOC 2、GDPR等,通過內部和外部稽核,避免公司觸犯法規受罰。在網路犯罪日益猖獗的當今,SAT絕對是企業不可或缺的資安保障,比硬體和軟體防護更能發揮關鍵作用。

總括而言,現代化安全意識培訓解決方案不僅創新有趣,而且專業管理一體,是企業提升員工網路安全意識、建立企業資安文化、符合法規要求的利器。培養員工主動防範的習慣,確保公司數據、系統和資產的安全,才是企業永續發展的關鍵基石。

詳情請看：

Everyone's an Expert: How to Empower Your Employees for Cybersecurity Success

Cybersecurity insiders：了解網路安全中的 CAT 文化：協作、意識和培訓

隨著網路環境的不斷變化與威脅的不斷演化,組織機構越來越意識到建立堅實的安全文化對於降低風險、保護敏感數據的重要性。其中一種日益受到關注的方法是實施CAT文化,著重於協作(Collaboration)、意識(Awareness)和培訓(Training),作為增強抵禦網路威脅的根本支柱。

協作:CAT文化的核心在於協作 - 組織內部各利害相關方的共同努力,以集體的方式捍衛網路安全。這意味著打破IT、安全、法務和人資等部門之間的壁壘,促進開放溝通和信息共享。通過加強協作,組織可以更有效地識別漏洞、及時應對安全事故,並實施與業務目標一致的全面安全措施。

協作不僅局限於組織內部,還應擴展至外部夥伴關係,包括同業、政府機構和網路安全專家。參與信息共享計劃、加入威脅情報共享平台,以及開展聯合網安演練,都能增強形勢感知,提升集體防禦能力,應對共同的對手。

意識:在CAT文化中,意識是指培養所有員工(從高層管理到一線員工)的網路安全意識。這包括教育員工了解不斷變化的威脅形勢、常見的攻擊媒介,以及保護措施的最佳實踐。提高意識可以使員工更好地識別可疑活動、報告安全隱患,並遵守相關政策和程序。

網安意識計劃的關鍵要素包括定期的安全培訓、模擬釣魚測試,以及發佈安全建議和警報。此外,營造一個員工可以放心尋求指導、報告安全問題而不必擔心受罰的文化,對於維持警惕的員工隊伍也至關重要。

培訓:全面的培訓計劃對於裝備員工獲得抵禦網路威脅所需的知識、技能和資源至關重要。培訓應針對不同部門和崗位的具體需求量身定制,可包括IT管理人員的專業培訓、非技術人員的安全意識培訓,以及應急響應團隊的事故處理培訓。

此外,持續的培訓和專業發展機會對於跟上新興網安威脅、不斷演變的技術,以及監管要求的步伐至關重要。諸如CISSP、CEH和CompTIA Security+等認證,不僅能驗證專業技能,還彰顯了員工在網安領域持續學習的決心。

總而言之,擁抱CAT文化 - 協作、意識和培訓 - 對於在當今數字時代建立彈性網安態勢至關重要。通過促進協作、提高意識,並投資全面的培訓計劃,組織可以使員工成為抵禦網安威脅的積極參與者,有效適應不斷變化的網安格局。

詳情請看：

Understanding CAT Culture in Cybersecurity: Collaboration, Awareness, and Training

Tenable：透過 SLSA 加強 Nessus 軟體供應鏈

在軟體供應鏈安全性日益受到重視的當下,作為網路安全領域的翹楚,Tenable 公司採用了嚴格的 Supply-chain Levels for Software Artifacts (SLSA) 框架來保護其旗艦產品 Nessus 的軟體供應鏈。本篇文章分享了 Tenable 從 SLSA 新手到專家的歷程,以及實施 SLSA 框架的心得與收穫。

什麼是 SLSA?

SLSA 是由 Google 開發的一套軟體供應鏈安全標準,旨在確保軟體製程的完整性與可靠性。它提供了一系列漸進式的指南,幫助企業在軟體生產的每個環節建立可信任的機制。

SLSA 框架可以被視為食品安全處理的指引,確保每一個成分都是可信的,同樣地,SLSA 也為軟體製作過程的每個步驟提供了安全保證。

Tenable 在實施 SLSA 的初期,主要有以下幾個關鍵體會:

1. 建立明確的信任機制:SLSA 著重於直接控制範圍內的可信任性,如原始碼庫、建置系統、軟體成品和版本控制系統等。

2. 增強供應鏈信心:SLSA 旨在透過驗證每個建置步驟,並防範上游供應鏈攻擊,來強化建置流程的可信度。

3. 需要自主實作:SLSA 只是一個藍圖,並非現成的解決方案,需要手動進行工程和流程變更,以符合 SLSA 的要求。

Tenable 採用 SLSA 的歷程

經過數月的努力,Tenable 首先達成了 SLSA Level 1 的要求,其中包括:

1. 建立腳本化的建置流程:Tenable 的 Nessus 產品建置流程全部由版本控制的管線定義和建置腳本來執行,過程可被完全驗證。

2. 提供建置來源證明:Tenable 記錄並儲存了 Nessus 建置的來源清單(SBOM)和建置過程細節(provenance),以便日後重建。

3. 採用版本控制系統:Nessus 的原始碼受版本控制系統管理,能夠追蹤每個修訂的變更歷史,包括提交者、時間、變更內容等。

在 SLSA Level 1 的驗證過程中,Tenable 也遇到了一個需要特別處理的挑戰 - 防止秘密資訊在 provenance 文件中洩露。他們採用了自動掃描provenance,並以 <Redacted>替換掉任何檢測到的敏感資訊。

接下來是 SLSA Level 2 的實施,其主要包括:

1. 使用受管理的建置服務:Tenable 確保所有建置步驟都在受控的建置服務上執行,而非開發人員的個人電腦上。

2. 驗證 provenance 的真實性:Tenable 確保 provenance 資訊是由專用的建置管線直接產生,而非人工插入或修改。provenance 資訊也經過數位簽章以防止篡改。

3. 驗證建置環境和來源:Tenable 使用 Rego 政策來檢查 provenance,確保建置代理程式的可信度,以及原始碼來源的正確性。

最後,Tenable 達成了 SLSA Level 3 的要求,包括:

1. 永久保留原始碼變更歷史

2. 確保完全隔離的建置環境,每個步驟都在獨立的虛擬機上進行

3. 確保 provenance 資訊的真實性和不可篡改性,由專用的簽章服務簽署

Tenable 在 2023年12月通過第三方安全評估,獲得了 SLSA Level 3 的認證。

結語

Tenable 的 SLSA 實施經驗給其他組織帶來以下啟示:

1. 軟體供應鏈安全是重中之重,需要投入大量資源來建立可信任的機制。

2. SLSA 雖然是一個嚴格的框架,但能有效防範上游的供應鏈攻擊,值得企業認真考慮。

3. 實施 SLSA 需要大量的工程和流程變更,沒有現成的方案,需要自主實作。

4. 在實施過程中,會遇到需要特別處理的挑戰,需要審慎規劃並靈活應對。

Tenable的 SLSA 之路並非一蹴而就,但他們相信這樣的努力最終將為產品和客戶帶來長遠的好處。

詳情請看：

Strengthening the Nessus Software Supply Chain with SLSA

Bleeping computer：如何使您的網路應用程式能夠抵抗社會工程

隨著社交工程攻擊的日益猖獗,保護企業的數字資產(包括外部網絡應用程式)已成為當前的首要任務。社交工程利用用戶的情緒和脆弱性,而非依賴於技術性的黑客攻擊手段,這使得它們特別難以防範。事實上,根據Firewall Times的研究數據顯示,98%的網絡攻擊涉及某種形式的社交工程,而高達90%的惡意數據洩露事件都涉及社交工程攻擊。

面對這樣的嚴峻形勢,我們必須採取一系列具體的策略和最佳實踐來提高網絡應用程式對社交工程的抗性。以下是一些值得參考的做法:

1. 持續的員工培訓和意識宣導:知情的用戶是企業抵禦社交工程攻擊的第一道防線。定期為員工提供培訓,教育他們如何識別網路釣魚、安全處理敏感信息等。對於網絡應用程式,培訓用戶如何驗證網站的真偽、識別安全或不安全的連接,以及理解不重複使用密碼的重要性。但要記住,不能完全將責任推給最終用戶 - 他們需要得到技術上的支持。

2. 遵循最小權限原則:員工應該只擁有完成工作所需的數字資產權限,而不是更多。對於網絡應用程式而言,這可能意味著根據用戶角色限制對敏感數據、功能和管理介面的訪問。儘管要注意,即使是熟練的攻擊者也能提升權限,所以所有帳戶都需要強密碼保護。

3. 部署多因素認證(MFA):MFA並非銀弹,但它通過要求用戶提供兩個或更多驗證因素才能訪問系統,增加了一個額外的安全層。這種額外的保護往往足以阻止攻擊者,即使他們已經通過社交工程戰術獲得了用戶的憑據。

4. 定期進行安全審計和滲透測試:為了在黑客之前發現網絡應用程式中的漏洞,請確保定期進行全面的安全審計和滲透測試。要求滲透測試包括社交工程模擬,以評估團隊的準備程度,並識別(和補救)任何弱點。考慮採用滲透測試即服務(PTaaS)解決方案,它能夠持續監控並及時發現漏洞。

5. 制定事件響應計劃:制定一個強大的事件響應計劃,包括應對社交工程攻擊的程序。計劃應該概述立即採取的措施,以控制和緩解攻擊,以及通知受影響方的溝通計劃。

此外,開發人員和IT專業人員還應該遵循以下最佳實踐:

1. 使用HTTPS和SSL證書:通過使用HTTPS和SSL證書來保護您的網絡應用程式,有助於保護用戶的隱私和安全,確保數據加密,驗證網站身份,維護數據傳輸的完整性。

2. 定期更新和修補系統:為了防範針對已知漏洞的攻擊,請務必定期更新系統和軟件,安裝最新的安全修補程式。保持系統最新是一項基本的安全實踐,可以大大阻止潛在攻擊者通過這些已知漏洞進入網絡。

3. 實施嚴格的數據處理程序:通過嚴格驗證和清理輸入數據,可以防止注入攻擊。驗證輸入(例如,確保電子郵件地址格式正確)並清理輸入(刪除或轉義潛在的有害HTML或SQL元素)。

4. 定期監控和審核網絡應用程式:通過跟踪網絡應用程式的性能和活動,可以及早發現未經授權的訪問、數據洩露或拒絕服務攻擊,從而有機會減輕或阻止其影響。使用專門設計用於檢測和阻擋可疑活動的工具,如網絡分析軟件和網絡應用防火牆軟件。

要全面提高抗社交工程攻擊的能力,需要採取多層面的策略。單一的防護措施並不足以應對這種隱患重重的攻擊手段。通過實施上述各項最佳實踐,企業可以顯著提高外部網絡應用程式的抗性,更好地保護自身免受社交工程攻擊的危害。

詳情請看：

How to make your web apps resistant to social engineering

The hacker news：來自「記得我」複選框的網路威脅

隨著科技的發展,我們在各種線上帳戶登入時,常常會看到「記住我」的選項,讓我們可以在關閉頁面重開後仍保持登入狀態。這個功能確實提升了使用者的便利性,但卻也潛藏著一些安全隱憂。

根據Zen Shield的網路安全研究人員最新發現,如果多人共用同一個裝置,這個看似無害的「記住我」功能就可能會導致嚴重的安全漏洞,讓未經授權的人輕易取得個人資訊、財務數據或其他敏感資料。舉例來說,如果用戶A使用過裝置後,用戶B隨後也取得使用權,只要打開之前登入過的網頁,就能立刻存取所有儲存的資訊。

2024年IBM網路安全情報報告指出,高達95%的安全漏洞源自人為疏失,其中11%更是純粹的疏忽大意所致。為了降低這些風險,使用者可以採取額外的安全措施,例如啟用雙因素驗證(2FA)、使用主密碼的密碼管理工具,或是導入生物特徵驗證等,以增加安全防護層。另一個方法就是干脆不勾選「記住我」,完全避免潛在的安全問題。值得一提的是,儲存在瀏覽器中的Cookie資料也可能成為隱憂,不過那是另一個需要區別考慮的議題。

為了應對不斷變化的網路威脅,許多公司包括線上市集、遊戲平台和電子商務網站,都正在強化自身的安全機制,提供「記住我」功能搭配生物辨識或2FA等雙重驗證選項。

因此,不管是資深網路使用者還是新手,我們都必須時刻保持警覺和知情。透過自身的經驗或未來的網路互動,養成安全意識並付諸實行,才能在這個日益互聯的網路世界中,有效守護我們的數位身分和敏感資訊。

總的來說,「記住我」這個功能的確為使用者帶來便利,但同時也暴露出一些安全隱憂。我們必須謹慎看待,採取必要的安全防護措施,才能在享受網路便利的同時,也確保個人資料的安全。透過教育和提高警覺,相信我們終能在瞬息萬變的網路世界中,安全地保護自己的數位資產。

詳情請看：

Cyber Threat from Remember Me Checkbox

微軟：使用合適的設備改善員工體驗的 5 個步驟

靈活工作模式已成為新常態,要真正重視多樣性並賦予每個人最佳工作環境,關鍵在於能夠跨越實體和數位世界的技術設備。

最基本的就是設備本身 - 它是溝通、協作及創新的媒介。但很多時候,這些設備卻不能完全適應現代工作場所的需求。最近一項IDC的研究指出,隨著大批知識工作者持續遠程工作或採取混合上班模式,他們對個人電腦的要求也發生了變化。

作為IT領導者,在為公司選擇設備時,需要緊貼這些現代工作需求 - 不論是知識工作者還是前線員工,以下5點都值得考慮,確保每個人都可以發揮最佳表現:

1. 以員工體驗為首要

員工體驗是衡量員工參與度的指標,反映員工在職場環境中的互動情況。研究表明,在經濟不確定時期,重視員工參與度的企業在財務表現上的優勢是其他企業的兩倍。一家公司的員工體驗指數可能會因可用技術的品質而上升或下降。要了解員工需求隨工作和位置的變化而變化,因此以員工需求為中心的設備策略可以助您取得成功。

2. 梳理"一天的生活"以了解設備的典型使用情況

識別關鍵的活動節點、環境和工具,深入了解不同崗位員工的需求,為他們建立定制的使用軌跡圖,有助於明確需求,優化設備選擇。

3. 了解設備如何創造自然的效率,並選擇最能支持用戶的設備

有了使用軌跡圖和對典型使用情況的深入瞭解,分析哪些設備功能最能滿足用戶需求。通常,IT領導者可以整合替換多項設備為單一、更多功能的設備。一項最近的IDC研究發現,44%的IT決策者發現採用微軟Surface設備可以取代桌面電腦、筆記本、平板、手機等多種其他設備,簡化了硬件使用,並降低了資本支出和管理成本。

比如,如果用戶需要在一天內在不同地點切換,確保設備能夠無縫恢復工作進度,為他們節省設置時間,讓他們能夠快速回到工作狀態。Surface設備提供對接體驗,可以記住用戶的工作位置。

又或者,如果用戶需要隨時待命,隨時進行行動辦公,設備必須適應這種情況,尤其是電池續航、內置連接和多功能性方面。Surface設備專門為此類靈活工作而設計,提供筆記本電腦、平板電腦或工作室模式等多種形式因素選擇,以及延長的電池續航時間和可選的LTE Advanced或5G連接。

再者,用戶如何進行交流協作也很重要。自2020年2月到2022年2月,平均微軟Teams用戶每週會議時間增加了252%,其中64%為非計劃或即時進行的電話會議。使用Surface設備,用戶可以享受Teams的最佳體驗,無需額外外圍設備。憑借Surface的攝像頭、優化麥克風、沉浸式音效和精心設計的顯示屏,用戶在通話時看起來和聽起來都更出色,隨時待命。

4. 啟發新的生產力水平 - 讓員工以不同方式與設備互動

除了了解員工當前如何與設備互動,我們還應該思考如何激發新的思維模式和效率。

語音交互:用戶可以在保持工作流暢的同時,擺脫鍵盤。無論是協作、移動辦公還是思維激發,Windows 11的語音輸入功能都可以讓用戶以更自然的方式捕捉靈感。

數字筆輸入:隨著近64%的員工表示他們難以有時間和精力完成工作,使用數字筆可能有助於緩解一些壓力。因為手寫已經深植於我們的大腦,Surface Slim Pen這樣的筆式界面可以讓用戶暫時休息一下,避免單純使用鍵盤。通過手寫或繪圖,他們可以利用大腦的不同部位,改變身體姿勢,在模擬和數位世界之間切換,從而獲得更自然、更高效的工作體驗。

5. 最小化對用戶影響的設備管理和安全

選擇合適的新設備可以提高用戶和IT團隊的效率。IDC的研究顯示,搭配微軟365的Surface設備,可以為IT人員帶來顯著的時間節省和效率提升。憑借卓越的設備性能,Surface用戶的技術問題大幅減少,IDC發現幫助台呼叫量減少49%,平均為員工節省5.5小時。Surface硬件與熟悉的軟件完美融合,加上簡化的設備管理和主動的安全防護,確保了出色而不受干擾的使用體驗,同時提高了安全防護。

無論是移動的Surface Pro,還是大屏幕的Microsoft Teams會議室設備Surface Hub3,Surface設備都旨在滿足個人和整個團隊的需求,幫助用戶在多設備間無縫連接,體驗專為未來工作而設計的核心應用。

詳情請看：

5 Steps to Improve Employee Experience with the Right Devices

Help net security：IT 和安全專業人員需要更高的工作場所彈性

隨著遍及工作(Everywhere Work)的概念日益廣泛,涵蓋了專業人員工作的地點、時間和方式,彈性工作模式已成為關鍵的工作場所優先事項,這是根據Ivanti的調查結果。

Ivanti調查了超過7,700位高管、IT和網絡安全專業人員以及辦公室工作者,探討了當僱主讓員工可以在任何地方工作時,所面臨的深層挑戰和機遇。

"尋求吸引頂尖人才的僱主應該把工作場所的靈活性列為重點,因為這有明確的業務優勢,"Ivanti首席執行官Jeff Abbott說。"為了有效實施靈活的工作安排,提供員工必要的資源、支持和安全基礎設施,確保他們的成功至關重要。忽視這些因素可能會導致更高的員工流失率和有價值員工的不滿。"

彈性工作選擇優於遠程工作

根據調查結果,80%的專業人士表示,彈性工作比在任何地方工作(70%)更有價值。但只有25%的專業人士表示,他們的工作提供了很高的靈活性,至少40%的人會為獲得更大的靈活性而改換工作。

36%的女性認為彈性工作是必須的,而只有22%的男性如此認為。此外,28%的女性認為能夠在任何地方工作是必須的,而只有18%的男性如此認為。採取更僵硬方法的組織可能會損害其重要員工群體。

Ivanti的研究清楚地表明,靈活和遠程工作直接影響了IT工作量。56%的IT工作者表示,幫助台票量有所上升 - 這與之前幾年的結果一致 - 78%的人將其歸咎於靈活/遠程工作。推動票量上升的一些具體因素包括軟件部署、網絡可靠性和安全事件。

領導層與IT和安全需求脫節

雖然超過90%的受訪領導者表示,員工擁有在遠程或混合工作環境中保持生產力所需的工具,但IT和安全團隊並非如此。只有46%的人表示,遠程工作時很容易獲取技術工具。這種脫節對僱主有重大影響 - 23%的IT專業人士表示,由於工作倦怠,同事已經辭職。

76%的受訪者表示,人工智能和自動化可以有助於減少票量,提供更好的服務。然而,研究顯示,採用人工智能和自動化解決方案的比率較低。原因是什麼?如果數據不準確,人工智能就無法提供有用的洞見,而長期存在的數據孤島也阻礙了組織大規模部署人工智能和自動化。

如果領導者想要讓員工能夠靈活工作,大規模部署人工智能和自動化,並解決IT和安全需求,那麼首席信息官和首席信息安全官需要調整優先事項。研究顯示,52%的IT和安全專業人士表示,他們的組織內部存在安全數據和IT數據的孤島。

其中84%的人表示,數據孤島對安全產生負面影響,82%的人表示,數據孤島降低了生產力。這會對員工無論何時何地都能安全高效地工作產生連鎖效應。

66%的IT工作者表示,他們使用公開可用的生成式人工智能工具,如ChatGPT,但對這些工具的監管往往缺失或不完善。近三分之一的組織沒有制定應對生成式人工智能風險的具體策略 - 這是一個嚴重的疏漏,因為IT專業人員會與敏感數據和系統打交道。

總而言之,靈活的工作模式是IT和資訊安全專業人員的關鍵需求。組織需要提供必要的資源、支持和安全基礎設施,幫助員工靈活高效地工作。同時,領導層還需要深入了解IT和安全的實際需求,協調優先事項,大規模部署人工智能和自動化,消除數據孤島,為員工創造一個真正靈活、安全的工作環境。

詳情請看：

IT and security professionals demand more workplace flexibility

The hacker news：AI副駕駛：發射創新火箭，但要警惕前方的黑暗

人工智慧(AI)技術在軟體開發領域的應用,正引發一場颶風般的變革。GitHub Copilot就是其中的代表,它能夠根據開發者的輸入建議相關的程式碼片段,大幅提升了軟體開發的效率。然而,這種AI輔助軟體開發的技術,同時也隱含著嚴重的安全隱憂。

Copilot等AI系統的局限性在於它們是基於現有的程式碼訓練而成的,難免會從中繼承一些軟體漏洞。研究顯示,Copilot生成的代碼中,約有40%存在安全隱患,如SQL注入和緩衝區溢出等常見攻擊。這突顯了"垃圾入,垃圾出"(GIGO)的原理:如果訓練資料有問題,輸出的結果也會繼承這些缺陷。

面對AI輔助軟體開發帶來的安全挑戰,我們必須採取多管齊下的方法:

1. 了解漏洞:認識到AI生成的代碼可能容易受到與傳統軟體相同的攻擊。

2. 提升安全編碼實踐:培養開發人員的安全編碼意識和技能,不僅要發現潛在的漏洞,還要理解AI建議代碼片段的機制,以更好地預防和緩解風險。

3. 調整軟體開發生命週期:不僅是技術,流程也需要適應AI帶來的變化。除了關注代碼開發,需求、設計、測試和運維等環節也可受益於大型語言模型(LLM)的輔助。

4. 保持持續警惕和改進:AI系統及其驅動的工具都在不斷進化,保持對最新安全研究的了解、掌握新興漏洞,並相應更新安全實踐至關重要。

具體實施方面,我們可採取以下措施:

1. 嚴格執行輸入驗證:特別是對於處理使用者輸入的功能,應定義明確的輸入規則,創建允許列表,並在處理前確保輸入合法。

2. 安全管理依賴項:Copilot可能會建議添加依賴項,攻擊者可利用此實施供應鏈攻擊。在接納任何建議的庫之前,先檢查其安全狀態,可利用工具自動跟蹤和管理依賴項的安全性。

3. 定期進行安全評估:無論代碼源自AI還是人工,都應進行定期的代碼審查和測試,結合靜態分析、動態分析和軟體成分分析等方法。

4. 循序漸進地使用:先從使用Copilot生成註釋或調試日誌開始,然後再逐步讓它生成更多實際功能的代碼。

5. 審慎評估Copilot的建議:切勿盲目接受Copilot的建議,要時刻保持警惕,並理解預期的代碼結果。

6. 持續實驗探索:嘗試不同的提示,觀察Copilot的表現,並理解其強弱項,以不斷改進合作。

7. 保持學習與教育:持續關注安全領域的最新動態,提高團隊的安全意識和編碼技能。

AI技術的出現既是機遇也是挑戰。我們必須以充分的安全意識來應對,在提升效率的同時,也要確保軟體的安全性。只有這樣,我們才能在光明與黑暗的雙面刃中找到平衡,引領軟體開發步入更加安全可靠的未來。

詳情請看：

AI Copilot: Launching Innovation Rockets, But Beware of the Darkness Ahead

Tenable：應對國防部生產線中 OT 的安全挑戰

隨著運轉技術(OT)的興起,美國國防部(DoD)的製造線正面臨著革新性的變革,提升了物流和供應鏈管理的效率與可靠性。當DoD著手動員軍事力量、捍衛國家安全時,在國防工業基地(DIB)中整合OT是一項關鍵的戰略舉措。然而,OT的廣泛應用也引入了新的安全挑戰。

確保OT系統的安全有助於DoD維持關鍵的作戰效能,這對於軍事行動的動員、部署和可持續性至關重要。然而,傳統系統與新興技術的共存,造就了錯綜複雜、易受攻擊的供應鏈,成為網路攻擊的首要目標。

製造過程中OT的複雜性

DoD的製造流程涉及無數供應商、承包商和複雜的技術網絡。DIB包括研發、以及軍事系統的子系統、零組件或部件。這是一個由10萬家國內外DIB公司提供相關材料和服務的錯綜複雜的體系,涵蓋製造設施、修理庫、物流中心和作戰裝備。

OT深植於DoD的製造線中,推動工業過程自動化(IPA)和製造執行系統(MES)。可編程邏輯控制器(PLC)是現代製造的核心元素。IPA、MES和PLC需要防禦來自內部和外部的威脅。這些系統一旦遭到入侵,可能造成嚴重的運營中斷,影響DoD的備戰和應急能力。

隨著製造系統越來越複雜,它們也變得更加脆弱。製造業近年來受到的攻擊不斷增加。根據IBM X-Force的數據,製造業在2021年成為最常遭受攻擊的行業,佔總攻擊的23.2%。索菲斯2022年的《製造業和生產業的勒索軟件現狀》報告也顯示,66%的受訪企業報告了網路攻擊的複雜度上升,61%報告了攻擊量增加。

DoD製造供應鏈與OT

OT可以幫助DoD革新其製造供應鏈的運作和管理方式。它為提高效率、韌性和備戰能力提供了重要機會,通過自動化流程、預測設備故障和優化能源利用。然而,將OT整合到複雜的DoD生態系統中也帶來了獨特的挑戰,需要周密的規劃和戰略執行。以下是一些應用案例:

自動化供應鏈管理:OT可以實現製造設施供應鏈流程的自動化。傳感器和PLC可用於監測庫存水平,並在需要時自動訂購零件。但是,將這些技術與傳統系統整合需要仔細協調,以避免供應鏈中斷。

預測性維護:先進的OT系統可以在設備故障發生之前對其進行預測,最大限度地減少停機時間。實施此類系統意味著從傳統的維護計劃轉向數據驅動的方法,這對設施來說可能是一個重大的文化和運營變革。

提升質量控制:OT可以利用傳感器和實時數據分析來改善製造現場的質量控制。這種變革需要嚴格的數據管理和分析能力,對缺乏這些能力的設施來說是一個挑戰。

優化能源效率:OT可以優化製造過程中的能源使用,實現節約和減少環境影響。但實現這一目標需要對製造工藝和OT系統都有深入的了解,這可能是一個陡峭的學習曲線。

維護DoD製造線完整性的最佳方法

為確保製造業務的高效、安全和可靠運行,DoD需要一個能夠保護整個OT工藝流程免受網路威脅的解決方案。它應該提供新舊系統之間的兼容性和安全集成,並無縫地實現材料流通以及及時的採購和配送。DoD理想的OT安全解決方案應具備以下功能:

可擴展性和靈活性:該方案必須具有可擴展性,以適應DoD內部不同規模和類型的製造設施。

強大的網路安全性:鑑於DoD業務的敏感性,必須採取堅實的網路安全措施,防範外部和內部威脅。這包括先進的加密、定期的安全更新和入侵檢測系統。

實時監控和控制:實時監控和控制功能可以立即應對運營異常或安全威脅。

全面的數據分析:全面的數據分析工具有助於決策制定、預測性維護和工藝優化。

法規遵從性:該解決方案應有利於遵守所有相關法規和標準。

Tenable OT Security如何增強製造線完整性

Tenable OT Security提供了一個滿足DoD獨特需求的解決方案。它提供了OT和IT資產的集中視圖,這對於整個製造基礎設施的全面監控和管理至關重要。這種可見性和理解有助於更好地發現漏洞和潛在威脅,確保供應鏈的安全和韌性。Tenable的OT安全方法不僅涵蓋技術層面,還防範人為錯誤,確保全方位的網路威脅防禦。

Tenable OT Security可以幫助DoD維護製造線的完整性,確保高效、安全和可靠的運營。

詳情請看：

Navigating Security Challenges Around OT in the DoD’s Manufacturing Lines

Mcafee：您如何管理您的社群媒體隱私？

隨著社交媒體的普及,如何保護個人隱私已成為當前的一大問題。本文作者Alex Merton-McCann提供了一些實用的建議,供讀者參考。

首先,作者強調確保社交媒體帳號的隱私設定處於最高級別的重要性。然而,研究顯示,多達46%的社交媒體用戶並未調整其隱私設定,導致他們實際上是在與整個互聯網分享內容。產生這一問題的主要原因是,多達55%的受訪者表示,他們難以找到社交媒體平台上的隱私設定,或者無法理解它們的運作方式。

為解決這一問題,McAfee公司開發了一款名為「Social Privacy Manager」的軟體。只需簡單地選擇隱私偏好設置,該軟體就能自動調整您選擇的社交媒體帳號的隱私設定。目前,該軟體支持100多個平台,包括LinkedIn、Google、Instagram、YouTube和TikTok,可在Android、iOS、Windows和Mac設備上使用。這款軟體是McAfee+套件的一部分。

除了利用Social Privacy Manager管理社交媒體隱私設置,作者還提出了其他幾點建議:

1.制定一個聰明的密碼策略。每個在線帳戶都應使用唯一的複雜密碼,最好使用密碼管理器來生成和記住這些密碼。

2.確保您的軟件保持最新狀態。過時的軟件會存在漏洞,容易被黑客利用。

3.保持批判性思維。不要輕易相信網上的所有信息,要三思而後行,核實可疑的新聞、交易和建議。

4.謹慎使用公共Wi-Fi。公共Wi-Fi存在安全隱患,最好避免在上面進行任何敏感交易,可考慮使用VPN來保護連接。

總的來說,保護個人online隱私需要投入大量時間和精力,對大多數人來說都是一項艱巨的任務。McAfee的Social Privacy Manager無疑為解決這一問題提供了一個便捷的解決方案,值得用戶試用和使用。

詳情請看：

How Do You Manage Your Social Media Privacy?

Help net security：人工智慧將增強網路安全角色，而不是取代它們

根據這篇Help Net Security的採訪,CSA AI Security Alliance主席Caleb Sima討論了AI如何賦能安全專業人士,強調其在增強技能和生產力方面的作用,而不是取代員工。

AI被視為賦予安全專業人士力量,而非取代他們。您如何預見AI未來將如何改變他們的角色?

雖然AI取代工作的未來仍存在不確定性,但我相信這種情況並不會立即發生。AI是一種可用於賦能而非取代安全專業人士的工具。事實上,CSA最近與Google進行的一項調查-《人工智慧與安全現狀調查報告》發現,大多數組織計劃使用AI來加強他們的團隊,無論是增強他們的技能和知識庫(36%)還是提高檢測時間(26%)和生產力(26%),而不是完全取代員工。

在不久的將來,我們將看到AI被用來自動化各種重複性任務(如報告)。這將釋放目前用於編制管理報告等任務的大量時間,並使這些團隊能夠集中精力於更高優先級的工作。這與調查結果一致,58%的受訪者表示,他們認為AI將增強他們的技能集或總體上支持他們當前的角色。另外24%的人認為AI將取代他們工作的某些部分,讓他們可以專注於其他活動。

例如,安全團隊可以利用AI算法來比人工行動更快速有效地識別和補救威脅。相應地,通過輸入歷史數據,安全團�emi可以使用AI來幫助預測潛在威脅並制定緩解策略,以便在這些威脅升級之前採取行動。無論如何,安全專家都需要學習如何在他們的組織和個人角色中最佳利用AI。

安全專業人士如何看待他們組織在AI整合方面的網路安全成熟度?

集成AI主要涉及應用標準的安全措施。這個過程的一小部分解決了新的AI風險。安全專業人士通常會擔心這個未知領域,直到他們探索自己組織的具體情況。

無論如何,今年對於公司實施AI來說都將是變革性的一年。前述調查發現,超過一半的組織計劃在今年實施通用AI解決方案,這是由高層領導推動的。該調查還發現,超過80%的受訪者認為他們的組織的成熟度在中度到高度之間。但這並不能告訴我們,受訪者的認知是否切合實際。

不管是否已準備就緒,AI都正在來臨。那麼,我建議公司無論在AI之旅的哪個階段,都應該了解他們將會遇到挑戰,無論是將這項技術集成到當前流程中,還是確保員工能夠正確使用這項革命性技術,這都是可以預期的。作為一個雲安全社區,我們將共同學習如何最好地利用這項技術來提升網路安全。

人們對AI被濫用的擔憂很大。組織應如何準備來降低這些風險?

首先,公司需要像對待某個職位上的人一樣對待AI,強調最佳實踐。他們還需要確定AI的功能 - 如果它只是在客戶聊天中提供支持性數據,那麼風險是最小的。但如果它集成並執行操作並訪問內部和客戶數據,那麼嚴格的訪問控制和職責分離就是非常重要的。大多數風險都可以通過現有的控制措施得到緩解;挑戰來自對AI的不熟悉,導致對我們缺乏保護措施的假設。

您如何看待當前AI相關的網路安全培訓現狀,以及如何準備未來的勞動力?

我們已經多年討論安全行業存在技能缺口的問題了,AI將在短期內加深這種缺口。我們正處於學習的起步階段,可以理解培訓還沒有趕上步伐。AI的發展如此迅速,以至於培訓材料很快就會過時。隨著組織日益希望培訓他們的員工如何最好地利用AI,他們應集中精力于穩定的概念,並強調AI安全在很大程度上依賴於當前應用程序和基礎架構的最佳實踐。

隨著74%的組織計劃創建專門的AI治理團隊,您如何看待這些團隊如何塑造網路安全的未來?

鑒於AI不確定的影響,監督AI至關重要。隨著時間的推移,隨著AI識字率的提高以及其融入所有技術,其風險將變得更加清晰,AI治理將從專門的團隊轉變為更廣泛的技術管理。

短期內,創建治理團隊表明公司正在以嚴肅的態度對待AI的整合和管理。這些團隊可能會被授予解決從企業政策制定和道德考慮到風險管理和合規等各方面問題的任務。我們已經看到有關圖像和副本透明度方面的問題在新聞中浮現,這種情況將隨著我們的前進而持續出現。作為社會,我們要求與我們互動的公司和媒體具有一定程度的信任,因此確保這種信任不被破壞至關重要。

詳情請看：

AI set to enhance cybersecurity roles, not replace them

Help net security：5 個免費的紅隊資源可協助您入門

紅隊演習,是指在企業中採取對抗性的角度,評估現有的網路安全防禦措施的有效性。這種方法模擬真實世界中的惡意攻擊者的行為,包括使用社交工程、物理安全漏洞等手段,以找出組織在面對持續性威脅時的弱點。透過紅隊演習,企業可以更清楚地了解自身的防護能力,並優化相應的網路安全策略。

本文介紹了 5 個免費的紅隊演習資源,供企業安全團隊參考使用。以下是對這些資源的詳細分析:

1. Atomic Red Team

Atomic Red Team 是一個開源的工具集,其中包含了許多針對 MITRE ATT&CK 框架的測試案例。這些案例可以幫助安全團隊快速、持續、一致地對環境進行測試。使用時只需直接從命令行運行即可,無需安裝任何額外的軟體。Atomic Red Team 是由社區開發維護的,具有良好的可擴展性和持續更新的特點。

2. Red Team Notes

Red Team Notes 是一個全面的紅隊技術資源,內容涵蓋紅隊技術、Active Directory 安全、紅隊基礎設施等方方面面,並且會持續更新。這個網站為企業安全團隊提供了一個很好的學習和參考平台。

3. Red Teaming Handbook

這是一份由英國國防部設計的紅隊操作手冊,提供了紅隊實踐的簡單建議。雖然內容相對簡單,但對於初次接觸紅隊演習的安全從業者而言,這份手冊無疑是一個很好的入門指南。

4. Red Team Tools

這是一個 GitHub 庫,收集了超過 130 個適用於紅隊活動的工具和資源。其中有一些工具是專門為紅隊設計的,而另一些則是通用性工具,可以在紅隊情境下進行修改使用。

5. Red Teaming Toolkit

這也是一個 GitHub 庫,提供了一系列先進的開源安全工具,可以幫助進行對手模擬和威脅獵捕活動,增強防禦措施。其中包含了以下幾類資源:

- 情報收集

- 初始訪問

- 交付

- 情況感知

- 憑證轉儲

- 權限提升

- 防禦逃逸

- 持久化

- 橫向移動

- 數據外洩

總的來說,這 5 個免費的紅隊演習資源,為企業安全團隊提供了豐富的學習和實踐機會。Atomic Red Team 和 Red Team Tools 等工具集,為紅隊測試提供了便捷的操作方式,而 Red Team Notes 和 Red Teaming Handbook 則為紅隊實踐提供了全面的理論指導。Red Teaming Toolkit 則是一個先進的開源工具集,涵蓋了紅隊活動的各個階段。

通過使用這些資源,企業安全團隊可以全面地評估自身的防禦能力,找出網路安全漏洞,並及時採取有效的補救措施。同時,這些資源也為安全從業者提供了良好的學習和實踐機會,有助於提升整體的網路安全防護水平。

總之,這 5 個免費的紅隊演習資源為企業安全團隊打造了一個很好的起點,值得廣泛應用和推廣。

詳情請看：

5 free red teaming resources to get you started

Help net security：地緣政治緊張局勢加劇 OT 網路攻擊

根據最新的2024年威脅報告,工業控制系統(OT)的網路攻擊事件持續上升,攻擊頻率較去年增加19%。報告分析了這一趨勢背後的關鍵因素,並探討了如何透過防禦性策略應對日益嚴峻的威脅。

地緣政治環境日益緊張影響OT網路攻擊格局

近年來,以政治動機為驅動的駭客攻擊,對物理環境造成影響的事件有所增加。這些攻擊大多與俄羅斯入侵烏克蘭或持續的伊朗-以色列衝突有關。這些攻擊手法雖然通常並不十分複雜,但令人關注新興的大型語言模型AI技術是否會讓駭客的能力得到進一步提升。

同時,國家級攻擊事件也在增加。例如,中國駭客發動了"伏特泰風"行動,破壞了美國50多家電力廠和公用事業公司;俄羅斯則攻擊了丹麥22家大小關鍵基礎設施提供商。"伏特泰風"行動尤其值得關注,因為它採用了"活用已有工具"的技術,這種攻擊手段極難被入侵檢測系統發現和診斷。

勒索軟件 - 攻擊頻率上升的主要推手

2024年威脅報告指出,勒索軟件是導致OT網路攻擊事件持續上升的主要因素。然而,報告也指出,勒索軟件引發的OT後果的年複合增長率低於預期。

這是因為部分勒索軟件犯罪分子似乎已經放棄加密受感染系統的做法,轉而單純勒索贖金以換取不洩露被盜數據的承諾。由於受感染系統被加密、瘫痪的情況減少,因此對OT的影響也相對較少。預計這一趨勢將在今年內趨於穩定,OT攻擊的年複合增長率也將回升到60-100%的歷史水平。

勒索軟件攻擊手法不斷升級

報告提到,如今最為複雜的勒索軟件集團要麼得到了某個國家的支持(例如北韓),要麼有足夠的資金建立起堪比國家級的攻擊工具。這意味著,如今最嚴重的勒索軟件犯罪分子已經具備了相當於國家級的攻擊能力。過去,許多人可能會認為,"我的OT系統並不重要到會成為國家級攻擊的目標",因此只採取有限的網路防禦措施。但如今,無論目標是否重要,都有可能遭到國家級勒索軟件的襲擊。

另一個值得關注的問題是依賴性。勒索軟件攻擊IT網路,加密大量數據,從而癱瘓大量IT伺服器和服務。而OT系統也不得不停止運轉,原因在於其自動化系統依賴一些受到破壞的IT服務。即使勒索軟件從未觸及OT網路,生產也不得不停止,因為關鍵的IT服務已不復存在。這種依賴性問題正在逐步為人所知。OT安全從業者需要審視自己的系統如何依賴IT服務,以及在IT系統遭受攻擊的情況下,停止物理生產是否可以接受。

近 miss 事件分析對增強OT網路安全至關重要

報告提到了關鍵基礎設施行業中的一些"險些發生"的事件。分析這些"近 miss"事件對增強OT網路安全具有重要意義。例如,"伏特泰風"行動之所以重要,是因為它隱藏性強,攻擊者在關鍵基礎設施組織中潛伏了很長時間;而俄羅斯在丹麥的攻擊也很重要,因為它證明了國家級攻擊者正瞄準關鍵基礎設施。

這些"近 miss"事件的分析為我們提供了寶貴的經驗教訓,有助於我們更好地預防和應對未來可能發生的攻擊。

內部威脅不容忽視,需採取多重防範措施

內部人員的不當行為也是OT網路攻擊的重大風險因素。報告指出,為應對內部威脅,組織通常會部署身份和訪問管理、詳細的日誌記錄和取證、入侵檢測以及實施應急響應等措施。

此外,愛達荷國家實驗室提出的"網安融合工程"(CIE)倡議被認為是過去十多年來OT安全領域最有前景的發展。CIE強調OT安全具有"雙向"特徵:一方面要教育工程團隊了解網路威脅和緩解措施,另一方面要鼓勵工程團隊運用強大的工程工具來預防不可接受的後果。

比如,網路工程方法越來越多地應用於後果嚴重的網路邊界,例如單向資訊閘道技術 - 這是一種硬體強制執行的、以工程為導向的預防措施,能夠阻止來自互聯網和IT網路的網路攻擊,甚至是國家級攻擊,進入OT網路。

總的來說,報告強調需要平衡運用IT安全措施和工程級別的緩解手段,以全面、系統地應對OT網路安全面臨的各種威脅。"網安融合工程"倡議為這一方向提供了有益啟發,值得OT運營商深入關注和實踐。

詳情請看：

Geopolitical tensions escalate OT cyber attacks

Help net security：如何保護 IP 監控攝影機免受 Wi-Fi 幹擾

過去,罪犯切斷監視攝影機線路以逃避偵測的日子已經一去不復返。隨著物美價廉的網路連線攝影機的普及,小偷現在必須訴諸於無線網路阻塞攻擊。

阻斷訊號使得攝影機失去作用,並停止家庭和商業監視系統的運作,這是令人擔憂的,因為網路協定 (IP) 攝影機占據了監視市場高達 40% 的份額。

讓我們來探討發生了什麼情況,並考慮用戶如何確保他們的攝影機在面對精通技術的小偷時保持在線。

從類比到數位:監視的簡史

監視的發展已經走了很長的路,從封閉式電視 (CCTV) 攝影機開始。在那個時代,類比系統直接錄製到磁帶上。沒有信號可以欺騙,也沒有無線系統可以混淆。

再往前走幾十年,世界已經變成數位化,監視攝影機也變得更加可負擔和普及。這些設備不需要技術專業知識或昂貴的安裝。相反,它們通常是連接到互聯網的廉價攝影機。因此,通過幾個雲端儲存訂閱和良好定位的設備,家庭和企業可以 24 小時 "看見"。

正如我去年晚些時候在 Help Net Security 上寫的,物聯網中也出現了視頻革命,增加了更多攝影機。如今,在智能家居或辦公室中,很難找不到一個帶有攝影機功能的設備。從智慧烤箱到門鈴,設備越來越多地提供視覺功能作為副功能。不幸的是,這些具有攝影機功能的設備現在也面臨著小偷日益增長的技術能力的威脅。

小偷如何欺騙監視信號

利用 IP 攝影機的弱點是小偷終究會做的事情。

明尼蘇達州警方最近報告了一系列搶劫案,使用 Wi-Fi 干擾器破壞了連網安全攝影機。這些干擾器通過過載無線流量來混淆設備,使真實的流量 (視頻源) 無法通過。然後,在沒有功能性攝影機的情況下,罪犯集團幾乎無人看守地進行了搶劫。

這個故事有幾個地方值得警惕。首先,這不是第一次聽到這種情況發生。在網上搜索,你會發現自本十年初以來就有關於監視攝影機和具有攝影機功能的設備遭受干擾攻擊的報導。

其次,干擾器的價格很便宜,在主要數字分銷商那裡的售價低至 50 美元。是的,它們在技術上是非法的,但這並不能阻止罪犯使用。

第三,大多數入門級攝影機 - 我估計高達 99.9% - 都容易受到這種攻擊。IP 攝影機的魅力在於它的簡單性,但在這種情況下,這也是它的弱點。它們沒有模擬備份或第二傳輸選項。如果 Wi-Fi 信號被阻斷,攝影機就變得毫無用處。

通過這些攝影機定制來反擊

現在是使用者回應這一威脅並保護他們的攝影機的時候了。幸運的是,通過幾個相對簡單的定制,我們可以反擊。

首先,考慮將一些以以太網供電 (PoE) 的攝影機整合到您的安全系統中。顧名思義,這種類型的攝影機通過以太網線纜供電,從而直接將視頻源傳送到目標。由於沒有無線通信,因此也沒有無線欺騙的可能性。

這種解決方案也可以用於通過 SIM 卡與移動網絡通信的攝影機。移動信號要強得多,因此更難被干擾。但請注意,這種選擇可能比以太網供電攝影機更昂貴。

當然,視頻監控發展的一個要素是雲端儲存成本可能會迅速失控,因為需要儲存大量的視頻文件。延遲也可能成為問題。以太網供電解決了這兩個問題,因為它可以本地直接錄製,提供更好的隱私性、較低的儲存成本和更快的數據傳輸速度。

最後,設置您的智能家居系統,以持續檢查攝影機的狀態。這可以通過基於雲端的物聯網設置實現,該設置會定期檢查連接是否"存活"。如果攝影機斷開連接,下一次狀態檢查將失敗,用戶可以收到推送通知並立即進行調查。知道您的攝影機可能受到攻擊並及時做出反應,可能是逮捕罪犯與否的關鍵。

隨著這種監視欺騙行為日益普及,家庭和企業用戶必須保持領先一步。不要讓小偷阻擋您的視線。

詳情請看：

How to protect IP surveillance cameras from Wi-Fi jamming

The hacker news：時機就是一切：即時特權存取在安全演進中的作用

為了降低特殊權限被濫用的風險,特權存取管理(PAM)解決方案市場出現了一種新趨勢 - 實施即時(Just-in-Time, JIT)特殊權限存取。這種特殊身份管理方法旨在減輕長期高級別存取所帶來的風險,通過暫時性地授予權限,而不是提供持續的高級別權限,來達到這一目標。通過採用這種策略,組織可以增強安全性,最小化攻擊者可乘之機,並確保用戶只在必要時才能訪問特殊資源。

什麼是 JIT,為什麼它很重要？

JIT 特殊權限存取配置涉及暫時性地向用戶授予特殊權限,這與最小權限原則相一致。這一原則規定用戶只能獲得完成任務所需的最低級別權限,且只能在完成任務所需的時間內獲得這些權限。

JIT 配置的一大優勢是可以降低權限升級的風險,並最小化基於憑證的攻擊面。通過消除常設權限,即帳戶在未處於活動狀態時所擁有的權限,JIT 配置限制了惡意行為者濫用這些帳戶的時間窗口。JIT 配置干擾了攻擊者的偵查嘗試,因為它只會在發生活動存取請求時才將用戶添加到特殊組中。這可以防止攻擊者識別潛在目標。

如何使用 Safeguard 實施 JIT 配置？

Safeguard 是一款特權存取管理解決方案,它為跨多個平台(包括 Active Directory 和 Linux/Unix 環境)的 JIT 配置提供了強大支持。使用 Safeguard,組織可以在 Active Directory 中創建普通用戶帳戶,無需特殊權限。這些帳戶然後由 Safeguard 進行管理,處於禁用狀態,直到被激活作為存取請求工作流的一部分。

當創建存取請求時,Safeguard 會自動激活用戶帳戶,將其添加到指定的特殊組(如 Domain Admins),並授予必要的訪問權限。一旦存取請求完成,無論是通過配置的超時期間還是用戶登出憑證,用戶帳戶都會從特殊組中刪除並禁用,最大限度地降低了面臨安全威脅的風險。

如何借助 Active Roles 增強 JIT 配置？

當與 One Identity 的市場領先 Active Directory 管理工具 Active Roles ARS 結合使用時,組織可以將其 JIT 配置的安全性和定制性提升到更高的水平。Active Roles 使組織能夠自動化帳戶激活、群組成員管理和 Active Directory 屬性同步等更複雜的 JIT 配置用例。

例如,Safeguard 的存取請求工作流可以觸發 Active Roles 不僅激活用戶帳戶並分配權限,還更新 Active Directory 中的虛擬屬性並跨環境同步這些變更。

結語

即時特殊權限配置是全面特權存取管理策略的關鍵組成部分。通過實施 JIT 配置,組織可以降低特殊權限被濫用的風險,增強安全性,並確保用戶只在必要時才能訪問特殊資源,且只能訪問所需的時間。將 Safeguard 與 Active Roles 相結合,可以使組織實施更健全的 JIT 配置政策,從而增強安全性,降低風險。

詳情請看：

Timing is Everything: The Role of Just-in-Time Privileged Access in Security Evolution

Cybersecurity insiders：如何透過安全意識培訓保護您的資料？

現今網路威脅不僅在頻率上不斷升高,而且越來越複雜,突顯了網絡安全意識對於個人和企業的重要性。隨著網絡犯罪分子採用越來越先進的手段,IT安全意識培訓成為了關鍵的防禦機制。

這種培訓為員工和個人提供了關鍵的知識和技能,以保護自己免受各種數字威脅。此外,它還培養了組織內部的主動安全態度,將潛在的弱點轉變為堅實的防線。

本文將深入探討此類培訓的必要性,並提供切實可行的建議,以提高安全意識計劃的有效性,確保其全面性、吸引力和持續更新,以應對新的網絡挑戰。

網絡安全意識培訓的必要性

為了有效應對網絡威脅,組織必須將網絡安全意識培訓列為首要任務。這一關鍵策略不僅符合法律要求,還可以解決人為脆弱性,並培養安全文化。讓我們深入探討這些組成部分,為堅實的防禦奠定基礎。

法規要求

遵守監管要求對全球企業來說並非可選,而是強制性的。歐洲的《通用數據保護條例》(GDPR)和美國的《加州消費者隱私法》(CCPA)等法律對數據保護制定了嚴格的指引。

這些法規不僅要求組織保護個人數據,還要確保員工接受培訓,學會識別和減輕網絡安全風險。不遵守規定可能會遭受高額罰款,並對公司聲譽造成損害。因此,有效的安全培訓計劃必須解決這些法律要求,並為員工提供導航複雜合規環境的知識。

人為因素

無法忽視人為元素在網絡安全中的脆弱性。如錯誤配置數據庫、使用弱口令或上當受騙等錯誤,都是網絡罪犯的常見切入點。安全意識培訓通過教育員工了解網絡安全的重要性、黑客可能使用的戰術,以及他們在捍衛組織中的關鍵作用,從而降低這些風險。

通過模擬釣魚攻擊和其他真實場景,培訓可以提供實踐經驗,學習如何識別和應對威脅。這種主動方法對於建立能夠充當第一道防線的有抗壓能力的員工隊伍至關重要。

安全文化

在組織內部建立安全文化是提高安全意識培訓效果的另一個關鍵因素。當網絡安全成為企業理念的核心部分時,它就會影響整個組織各層面的行為。

高層管理人員必須以身作則,在行動和溝通中展現對安全實踐的承諾。定期的安全討論、更新和通訊可以將安全放在首位。

此外,鼓勵公開討論安全隱患、從錯誤中學習的文化,也有助於預防未來事故的發生。強大的安全文化可以補充正式的培訓工作,將安全意識融入每個員工的日常工作中。

有效的安全意識培訓的關鍵組成部分

為了有效應對現代網絡威脅,安全意識培訓計劃必須堅實、吸引人、具有適應性,並緊跟最新的網絡安全趨勢。此類計劃的成功關鍵在於幾個關鍵組成部分,它們旨在不僅傳授知識,還賦予員工關鍵的安全技能。

讓我們仔細看看全面和有影響力的網絡安全培訓的特點,以確保組織能夠應對和減輕不斷變化的數字危險。

全面覆蓋

有效的培訓應包括各種主題。從了解釣魚的基本原理、弱密碼的風險,到安全上網的細節,以及社會工程的狡猾性,每個主題都為學員提供了更好地導航網絡環境的準備。

參與技巧

任何培訓計劃的成效都取決於其吸引力。利用互動式元素,如測驗、互動式視頻和基於場景的學習,可以保持參與者的注意力,加強知識的保留和實際應用。

定期更新

網絡威脅在快速變化,培訓計劃也必須如此。組織必須不斷更新培訓材料,涵蓋新的和不斷出現的威脅,確保員工隨時做好充分準備,了解最新情況。

實施成功的培訓計劃

現在,讓我們看看如何實施一個成功的培訓計劃。

需求評估

在推出培訓計劃之前,評估目標受眾的具體需求至關重要。了解他們的基礎知識以及最可能遇到的特定威脅,可以使培訓更加相關和有效。

使用正確的工具

有大量工具可用於網絡安全培訓,從提供各種互動課程的sophisticated電子學習平台,到由安全專業人員主持的簡單內部研討會。選擇合適的工具取決於組織的規模、預算和特定的安全需求。

激勵和gamification

結合gamification元素並提供成功完成培訓的獎勵,可以大大提高參與度和有效性。排行榜、徽章和證書是將學習過程遊戲化並激勵參與者的流行方式。

提高培訓成效的可操作性建議

為確保網絡安全意識培訓的有效性,採用提高參與度和記憶力的策略至關重要。以下是組織可以實施的可操作建議,以優化其培訓計劃,確保其不僅具有信息性,而且對於構建強大的安全態勢至關重要。

持續學習

網絡安全不是一次性的任務,而是一項持續的努力。組織應鼓勵持續學習,定期安排培訓課程和更新。這不僅有助於強化舊概念,還可以介紹新的安全做法和技術。

反饋機制

有效的培訓計劃需要反饋。徵求參與者的意見,可以提供洞見,了解培訓可能存在的不足之處,並突出成功的策略。這個反饋迴圈對於進行必要調整和改進未來課程至關重要。

因工作角色而不同的培訓

組織內部不同的工作角色通常面臨著獨特的威脅,需要特定的知識來有效應對這些挑戰。提供因工作角色而定制的培訓模組,確保每個部門都配備相關技能和知識,以應對其特定職能的需求和風險。

例如,IT staff可能需要網絡安全的高級技術培訓,而HR人員可能需要關注數據隱私和安全處理員工信息。這種有針對性的方法有助於通過與各種角色相關的特定需求和風險相一致,提高整體的網絡安全措施的有效性。

安全意識培訓是任何網絡安全戰略的基本組成部分。通過為個人提供必要的知識和技能,組織可以大大降低網絡威脅的風險。隨著網絡犯罪活動的不斷增加,投資全面、吸引人和持續的安全培訓從未像現在這樣重要。讓我們今天就將網絡安全意識列為優先事項,以保護明天的數據安全。

詳情請看：

How to Safeguard Your Data Through Security Awareness Training?

Mcafee：如何保護您的串流媒體帳戶：Roku 資料外洩的教訓

隨著近期Roku - 一個領先的串流平台,宣布有超過591,000個用戶帳戶受到憑證灌水攻擊的影響,這件事再次凸顯了保護您的線上帳戶免受網路威脅的關鍵重要性。以下就讓我們來了解如何保護自己和您的串流帳戶。

作為一項積極的安全措施,Roku已經重置了所有受影響帳戶的密碼。它也在通知客戶此次數據洩露的情況,並為那些遭受網路罪犯未經授權收費的用戶提供退款或撤銷相關費用。

了解憑證灌水攻擊

憑證灌水攻擊是一種網路攻擊手法,黑客利用從其他數據洩露中獲取的用戶名和密碼列表,試圖非法登入各個平台上的用戶帳戶。在Roku的案例中,黑客就是利用這種方式,成功入侵了超過50萬個帳戶。

攻擊過程如何?

黑客首先會從之前的數據洩露或洩漏中獲取大量的用戶名和密碼。這些憑證通常會在暗網上販售。然後,他們會使用自動化工具,將這些被盜取的憑證輸入到各種網站或服務(包括Roku在內的串流平台)中。一旦被盜取的憑證與現有的Roku帳戶匹配,黑客就能成功入侵並控制該帳戶。

影響有多大?

當網路罪犯取得您的串流帳戶的控制權時,他們可能會做的事情不僅僅是觀看您最喜歡的節目。他們可能會將您的帳戶憑證在暗網上轉賣,利用您的個人信息進行身份盜竊,甚至將您鎖定在自己的帳戶之外。這不僅危及您的隱私,如果您的付款方式與串流帳戶相關聯,也可能使您的財務信息面臨風險。

如何保護自己?

使用強大且獨特的密碼:避免使用容易猜到的密碼,如"password123"或常見的詞語。相反,請使用結合字母、數字和特殊字符的密碼組合。此外,確保為每個帳戶使用不同的密碼,以最大限度地減小一旦遭到侵犯的影響。

啟用雙重身份驗證(2FA):雙重身份驗證通過要求額外的驗證方式(如發送到您手機的驗證碼)來增加安全性,大大降低黑客非法進入您帳戶的可能性。

定期監控您的帳戶:密切關注您帳戶的活動,留意是否有任何可疑或未經授權的登錄嘗試。許多串流平台都提供功能,讓您檢查最近的登錄活動和連接到您帳戶的設備。如果發現任何不熟悉的活動,請立即更改密碼並向平台支援團隊報告。

保持對數據洩露的了解:訂閱可以通知您數據洩露和洩漏的服務。身份監控服務可以在您的電子郵件地址或其他個人信息遭到洩露時向您發出警報,讓您採取主動措施來保護您的帳戶。

獲得強大的在線保護:使用McAfee+,它具備密碼管理器功能,可以為您提供全面的在線安全保護。它可以生成複雜的密碼,將它們安全地存儲,並在您登錄時自動填寫資訊,讓您在各設備上快速登錄。這是一個安全可靠的解決方案,最重要的是,您只需記住一個主密碼。

Roku最近遭受的憑證灌水攻擊,再次敲響了警鐘,提醒我們在日益數字化的世界中,優先考慮保護在線帳戶的重要性。通過採用使用強密碼、啟用雙重身份驗證,並密切關注帳戶活動等最佳實踐,您可以大幅降低成為網路攻擊目標的風險。保護您的串流帳戶不僅關乎您的娛樂偏好,更關乎您的隱私和個人信息安全。立即採取必要的步驟,使用McAfee+來保護您的線上帳戶,盡享更安全的串流體驗。

詳情請看：

How to Protect Your Streaming Accounts: Lessons from Roku’s Data Leak

Bleeping computer：Medium 禁止其付費合作夥伴計畫中人工智慧產生的內容

Medium 平台的宗旨是為人類創作者提供討論和發佈內容的空間,此次禁止 AI 生成內容登入其付費合作夥伴計劃是可以理解的。人工智能技術雖然日新月異,但目前AI生成的內容在創意性、邏輯性、情感性等方面與人類創作仍有一定差距。如果大量 AI 生成內容登陸 Medium,將可能降低平台上內容的整體品質,同時也有違了 Medium 以人類為中心的理念。

再者,AI 生成內容很難確保其真實性和可靠性。隨著 AI 技術的發展,人工智能生成的文本越來越逼真,很容易被誤認為是人類創作。若這些內容沒有明確標註,將可能造成對讀者的欺騙,降低Medium 平台的公信力。因此,Medium 有必要對 AI 生成內容進行管控,確保平台上的內容質量和可信度。

Medium 的 AI 內容政策

根據 Medium 的新政策,完全由 AI 生成的文章將不再受到付費合作夥伴計劃的支持,可能會被取消付費資格。但Medium 並非全面禁止 AI 輔助創作,只要在文章開頭明確標註使用 AI 技術,仍然可以在 Medium 上發表。Medium 還允許用戶在個人博客上發佈 AI 生成內容,只是不會被廣泛推廣。

這樣的政策體現了 Medium 對 AI 創作的審慎態度。一方面,Medium 鼓勵創作者合理利用 AI 技術提高創作效率和質量,但同時也要求透明化,不得隱瞞 AI 的參與。另一方面,Medium 堅持人類創作為本,不希望完全由 AI 生成的內容在其平台上大量流通。這種平衡的政策既維護了 Medium 的核心價值,也給予了創作者適度的空間去探索 AI 技術在創作中的應用。

對於讀者而言,Medium 的政策也提供了一定保護。通過"不喜歡"功能,讀者可以表達對 AI 生成內容的不滿,減少這類內容在平台上的傳播。同時,Medium 要求 AI 生成的圖像必須標註出處,這也有助於提高讀者的警覺性,減少被 AI 生成內容迷惑的風險。

展望未來

隨著人工智能技術的不斷進步,AI 生成內容將會越來越逼真自然,對於內容創作的影響也將愈加深遠。Medium 此次的政策調整無疑為 AI 內容管控開啟了一個新的探索方向。

未來,Medium 可能需要進一步完善其 AI 內容管理機制,比如建立更加明確的審核標準,加強對 AI 生成內容的識別能力,確保平台上內容的真實性和高質量。同時,Medium也可以探索利用 AI 技術來輔助內容創作和推薦,為創作者提供更好的創作工具和閱讀體驗。

總的來說,Medium 此次禁止 AI 生成內容登入付費合作夥伴計劃的舉措,體現了其對內容質量和平台屬性的堅守。隨著科技的發展,Medium 需要不斷調整自身的內容管理政策,以確保其始終保持作為人類創作交流平台的定位和特色。

詳情請看：

Medium bans AI-generated content from its paid Partner Program

Mcafee：社群媒體騷擾的威脅不斷上升。以下是如何保護自己。

近年來,社交媒體上的騷擾行為有愈演愈烈的趨勢,儘管平台方面已經實施了舉報機制、制定了相關政策,甚至利用人工智慧來偵測和移除有害言論,但仍舊難以遏制這一問題。雖然人們無法完全避免社交媒體騷擾,但仍有許多方法可以保護自己免受攻擊。

根據統計數據,2023年有52%的美國成年人表示曾遭受過網絡騷擾,相比2022年的40%有了大幅上升。同年,33%的受訪者表示在過去一年內經歷過此類事件,較2022年增加10個百分點。同樣的趨勢也體現在青少年群體中,2023年有51%的青少年表示在過去一年內遭受過網絡騷擾,相比2022年的36%也有明顯上升。更早前的研究也顯示,2014年至2020年間,美國網絡騷擾的最嚴重形式發生率翻倍甚至接近翻倍。我們在2022年的一項研究也發現,全球60%的兒童表示較前一年更擔心遭受社交媒體騷擾(網絡欺負),而他們的父母則有74%比前一年更擔心孩子會被騷擾。

網絡騷擾給受害者帶來沉重的身心負擔。它可能導致情感創傷、經濟損失,甚至人身安全受到威脅。騷擾行為包括網絡爭吵中的人身攻擊、未經當事人同意洩露其性取向、有意挑釁引發衝突、未經允許公開個人隱私信息、跟蹤監控受害者行蹤、盜用他人賬號冒充對方在網上發言等。根據各州檢察官公布的新聞稿,我們可以看到更多驚人的案例,比如一名受害者遭受長達3年的網絡跟蹤騷擾,牽連到其親友和同事;又或是一名騷擾者利用虛假的LinkedIn檔案企圖誹謗受害者,並公開發佈了價值數百萬美元的該受害者撰寫的源代碼。這些事件提醒我們,網絡騷擾很容易演變成一種刑事犯罪行為。

如何保護自己免受社交媒體騷擾?

不幸的是,我們無法完全阻止網絡騷擾的發生,因為總會有一些人出於各種不可告人的動機而去這樣做。但我們仍有許多措施可以採取,來保護自己免受攻擊,並拒絕提供攻擊者所需的信息。

首先要確保賬戶安全。每個賬號的密碼應該至少12-14位,包含數字、大小寫字母和特殊字符,並開啟雙重驗證。雙重驗證可以有效防止騷擾者盜取你的賬號,利用它發表令人不快的言論,從而損害你的聲譽。

其次要控制關注範圍。社交媒體平台提供了多種方法讓你管控隱私設置,成為一個更"私密"的用戶。我們的社交隱私管理器可以幫助你快速調整100多個隱私設置,確保你的個人信息只對你想分享的人可見。這樣不僅可以阻斷潛在騷擾者獲取你的個人資料,也能保護你的親朋好友。

再者要限制在線分享。不要在社交媒體上發佈過多個人信息,如地址、電話號碼和位置等。這些信息可能被騷擾者用於發送虛假威脅,甚至引發警察出警(所謂"SWATTING"技術)。你也可以利用個人數據清理服務,從數據經紀公司和"人物查找"網站上刪除自己的個人信息。

如果不幸遭受網絡騷擾,應該採取以下步驟:首先要通過社交媒體平台的舉報機制,舉報騷擾行為,不要對騷擾者作出回應。如果情況嚴重,要及時報警求助,提供證據材料。同時也要向信任的家人和朋友求助,尋求他們的支持與幫助。

總的來說,網絡騷擾已經成為一個令人擔憂的社會問題,我們每個人都應該提高警惕,採取必要的保護措施,同時也要關注受害者的處境,給予支持與幫助。只有通過社會各界的共同努力,我們才能根本性地解決這一問題。

詳情請看：

The Rising Threat of Social Media Harassment. Here’s How to Protect Yourself.

Juniper：業界首創：在多節點人工智慧推理乙太網路結構上對LLM進行基準測試

人工智慧(AI)和機器學習(ML)的發展已經有數十年的歷史,但即使在如今快速的進步下,這項技術仍然存在碎片化、定制化和理解不足的問題。在Juniper Networks,我們相信可以通過強大的協作來釋放AI採用的下一個階段,通過降低成本和加快創新來民主化AI基礎設施。這就是為什麼我們最近加入了MLCommons。

MLCommons是一個AI行業聯盟,它建立在開放協作的理念之上,旨在提高AI系統。該聯盟的使命是加速創新以促進社會進步,它通過促進行業領袖和學術界之間的合作,來衡量和改進AI技術的準確性、安全性、速度和效率。通過提供公共數據集、AI最佳實踐、基準測試套件以及可測量的指標和行業標準,MLCommons幫助組織構建和部署能夠滿足複雜的AI/ML工作負載要求的AI系統和解決方案。

開發和部署AI應用程序需要高度優化的基礎設施,包括專用的GPU服務器、強大的AI/ML軟件堆棧和無損、低延遲的網絡結構。訓練AI/ML模型和使用它從新數據中得出結論—一個稱為推理的過程—是兩個不同的過程,需要不同的性能指標,這在構建和調整AI集群中很有價值。為了量化性能和響應時間,MLCommons最近一輪測試MLPerf Inference v4.0旨在測量AI集群在各種AI推理場景中運行AI/ML模型的速度。MLPerf以架構中立、具有代表性和可重現的方式提供行業標準的ML系統性能基準測試,適用於數據中心和邊緣系統。

嚴格的LLM測試

Juniper是第一家提交多節點Llama2推理基準測試的公司,這展示了Juniper在使用乙太網絡將GPU互連在數據中心網絡結構中的開放架構方面的承諾。測試多個節點(在本例中為多個GPU服務器)對於滿足大型語言模型(LLM)不斷增長的規模和複雜性至關重要。許多AI模型,特別是那些用於圖像或語音識別任務的模型,都是極其計算密集的。將推理過程分散到多個節點可提高效率。在處理大量數據、複雜模型或單機無法有效處理的實時決策需求(如電子商務中的實時交易欺詐檢測系統)時,使用多節點是至關重要的。多節點推理使Juniper能夠模擬真實世界的網絡流量模式,並準確評估基礎設施是否能夠處理跨大型網絡處理數據的複雜要求。

Juniper利用並基於NVIDIA的TensorRT-LLM(一個用於優化LLM推理的框架)來對Llama2推理進行基準測試。Llama2是一個擁有700億個參數的模型,是MLPerf Inference基準測試套件中最大的模型,比引入MLPerf Inference v3.1的GPT-J模型大一個數量級。它更準確,但也更複雜,給AI集群基礎設施帶來了更大的挑戰。這是第一次提交基於乙太網絡的多節點AI推理到MLCommons,因此我們認為這也是第一次真正測試AI推理集群的網絡方面。

MLCommons執行董事David Kanter表示:"向MLPerf提交是非常具有挑戰性的,也是一項真正的成就。由於機器學習工作負載的複雜性,每個供應商都必須確保其硬件和軟件堆棧都足夠強大、穩定和高性能,以支持這類ML工作負載。這是一項重大工作,我們祝賀Juniper Networks取得了這一成就,成為第一家提交多節點大型語言模型MLPerf Inference基準測試的公司。"

Juniper AI實驗室

我們在位於Sunnyvale的總部內的AI創新實驗室中進行了這些測試。Juniper於2023年建立了這個實驗室,目的是分析各種AI/ML工作負載及其相關的網絡流量模式。這進一步加強了我們在整個AI基礎設施運營、優化和調整乙太網絡以適應AI/ML工作負載,並最終發布新的Juniper驗證設計(JVD)方面的專業知識。AI創新實驗室配備了NVIDIA的H100和A100 GPU服務器、分布式存儲系統、Juniper QFX和PTX交換機,並由Juniper Apstra™(我們的領先的多供應商數據中心結構管理和自動化解決方案)進行操作。我們調整AI集群和數據中心網絡結構,實現最佳的擁塞管理和負載均衡,以簡化客戶部署並確保即時穩定。

Juniper的AI數據中心解決方案是一個快速部署高性能AI訓練和推理網絡的方法,我們認為這是設計最靈活、管理最簡單的,可以讓有限的企業IT資源獲得最大收益。我們的解決方案具有以下特點:

經過驗證的解決方案性能:端到端的驗證設計確保了產品選擇的信心,縮短了部署時間

簡化的操作:採用以操作為先的設計、部署和故障排除方法,節省時間和成本,需要更少的資源

開放靈活性:使用經過驗證的技術和產品設計網絡,避免供應商鎖定

了解更多

請參加即將舉行的網絡研討會"構建成本高效、高性能的AI/ML數據中心",了解Juniper如何幫助您應對構建和運營數據中心基礎設施以釋放AI對您組織的力量的挑戰。

如果您想了解網絡結構的基本知識,以及它們如何優化您數據中心的性能—無論您是運行AI/ML工作負載還是其他工作負載—請註冊參加我們即將舉行的與Redmond的Coffee Talk:數據中心結構101:它們是什麼、為什麼需要它們以及如何實施它們。

詳情請看：

An Industry First: Benchmarking an LLM on a Multi-Node AI Inference Ethernet Fabric

Cybersecurity insiders：網路攻擊：IT 和董事會層級對風險的了解的必要性

網路攻擊已成為嚴重的企業威脅。根據IBM的數據,2023年全球資料外洩的平均成本高達445萬美元,較三年前上升15%。微軟指出,2020年美國遭受的網路攻擊佔全球46%,是其他國家的兩倍。網路攻擊為IT部門帶來額外挑戰,他們必須將網路風險轉化為營運和業務風險,使高層管理人員也能了解其嚴重性。精通「1與0」的IT人員需要向熟悉「美元與美分」的高層解釋,網路犯罪世界已發展成為一個與企業結構相媲美的多層級業務結構,其組織架構包括:

1.獲取者(Access Broker):專注於尋找存在漏洞的組織、入侵網路,並探索最簡易的進入方式。一旦發現目標,他們會將這些據點打包銷售給網路犯罪團夥。

2.開發者:開發「勒索軟體即服務」(RaaS)工具,出租給其他不法分子使用。

3.前線人員:購買獲取的訪問信息並獲取RaaS工具,這第三方(前線人員)將進入網路,偷取或加密數據,執行勒索軟體攻擊並索要贖金。

根據CyberEdge Group的最新調查,78%遭受勒索軟體攻擊的受害者報告曾遭受多種勒索手段。這些組織良好的網路犯罪集團通常會經歷四個階段的勒索攻擊:

第一階段:攻擊者通常透過釣魚郵件、軟體漏洞或被盜憑證獲取進入。一旦入侵,他們會開始全面、有序地列出系統中的所有項目。接著進行橫向移動到其他設備,直到感染盡可能多的終端設備。此時,他們會部署惡意軟件,導致數據加密或阻止訪問文件。最後,他們會向受害組織提出贖金要求,以換取解密密鑰。

第二階段:在提出贖金要求之前,攻擊者會先將受害組織的數據複製到自己的伺服器。然後發出威脅,要求支付贖金,否則將把被劫持的數據公開發布。一旦洩露,受害組織可能會遭受監管機構的罰款。

第三和第四階段:攻擊者通常會欺負受害組織,威脅要發布第三方數據或發動分散式拒絕服務(DDoS)攻擊,以disrupting伺服器或其周邊基礎設施。

但現在,攻擊者又添加了第五種勒索手段 - 社交媒體攻擊。

社交媒體攻擊:許多,如不是全部的組織,都有社交媒體業務。攻擊者現在不僅要求支付贖金以避免在社交媒體上發布有害內容,還要求支付贖金以取回對社交媒體賬戶的控制權。通過社交媒體造成的損害可能很大:您的品牌聲譽可能會因發布虛假或冒犯性內容而受損;您可能面臨法律後果,如客戶數據洩露;平台管理員可能會暫停或刪除您的賬戶;社交媒體攻擊還可能引發進一步的惡意軟件或釣魚攻擊,感染您組織的追隨者和客戶。所有這些潛在的損害都需要重建信任和恢復成本。

從勒索軟體攻擊中恢復的實際步驟

隨著國際反勒索軟體行動倡議的宣布,犯罪分子的勒索行為將變得更加猖狂。但並非一片黑暗,仍有實際步驟可以降低風險,加快恢復速度:

1.建立健全的網路安全框架

- 保持所有設備、應用程式、網路設備和操作系統的安全修補程式更新

- 實施網路分段,減少橫向移動的可用路徑

- 實施並維護嚴格的訪問控制,遵循最小權限原則,減少被盜數據

- 部署防火牆和入侵檢測/預防系統(IDS/IPS),監控和控制網路流量,阻止惡意流量

2.備份和災難恢復

- 定期備份

- 定期測試所有備份的有效性

3.威脅檢測

- 部署安全資訊事件管理(SIEM)系統,報告可疑活動

- 使用端點檢測和響應(EDR)系統(如微軟防護)監控端點設備的可疑或惡意行為

4.事故響應計劃

- 制定事故響應計劃和補充手冊,詳細說明組織在網路事故發生時的行動

- 明確定義網路事件響應團隊(CIRT)的角色和責任

- 定期測試事故響應計劃,並實施改進措施

5.安全審核和評估

- 定期進行驗證掃描,確保配置基線和安全修補程式得到適當應用

- 與獨立第三方合作,定期進行漏洞評估和滲透測試,發現安全缺陷

6.用戶意識和培訓

- 教育員工識別釣魚郵件、social engineering和可疑附件或鏈接的風險

- 推廣全組織使用多重身份驗證

與高層有效溝通的方法

最有效的知識轉移方式之一是讓高層管理人員經歷模擬網路事件的體驗,以教育他們在攻擊發生時的企業角色和職責。桌面事故響應演習是徹底測試計劃、手冊和團隊的絕佳方式。IT部門與高層密切合作,幫助C-suite了解每個演習,並更好地為最終的黑客攻擊做好準備。這種IT到C-suite的知識轉移包括法務、財務和其他部門以及外部領域專家的投入,以制定無責備的恢復計劃。這種知識轉移至關重要,因為許多C-suite人員並不瞭解網路攻擊的下游影響,例如:

- 由於IT系統癱瘓而造成的業務中斷

- 重新啟動技術系統可能需要數天或數週

- 來自客戶的訴訟抗辯

- 客戶流失

- 行業監管機構的罰款

- 由於上述任何一項或全部原因導致律師或其他員工離職,需要招聘新人員

此外,網路防禦問題不僅僅在於犯罪分子的商業頭腦變得更加老練,還涉及他們不斷改變攻擊策略、技術和程序。平台的發展也助長了網路罪犯,使他們能夠利用其他不法分子的技能和基礎設施來執行受損的操作,這些本來是他們無法單獨完成的。

應對未來勒索軟體的格局

勒索軟體運營商很可能會採取三重和四重勒索策略,以施加更大的壓力迫使受害者付款,從而提高他們的成功率。面對40個國家組成聯盟,簽署不向網路罪犯支付贖金的承諾,以消除他們的財務收入來源,勒索行為將變得更加猖狂。

在2024年,隨著勒索軟體有效負荷的技術能力不斷提升,勒索軟體行動將繼續增加複雜性,允許攻擊者擴大攻擊面,瞄準macOS和Linux等其他操作系統架構。

雖然受害者可能能夠從最初的勒索軟體事件中恢復,但額外的勒索層面旨在施加最大壓力,確保最終支付贖金。為了降低勒索軟體的風險,保持警惕、做好準備和計劃仍是抵禦不法分子的最佳防線。

詳情請看：

Cyber Attacks: The Need For an IT and Board-Level Understanding of the Risks

Fortinet：Fortinet 和 IBM Cloud 合作協助客戶保護其工作負載免受日益增加的網路安全威脅

2023 年資料外洩事件的平均成本已經增加了 15%,達到 4.45 百萬美元。偵測和升級成本更是在同一期間增加了 42%。面對日益複雜的網路安全威脅,企業必須採取一切可能的措施來防範風險。IBM 和 Fortinet 自 2008 年起就一直合作,致力於協助客戶保護雲端網路和工作負載。

我們欣喜地宣布,IBM Cloud 和 Fortinet 現已推出 Fortinet 虛擬 FortiGate 安全設備 (vFSA) 服務。這項新服務整合了 FortiGate 實體防火牆的所有功能,並提供虛擬設備的靈活性和可用性。vFSA 為客戶提供 FortiGate 下一代防火牆 (NGFW) 的安全功能,以保護 IBM Cloud 網路上承載敏感流量和數據的客戶網路,使其保持高度可用性。

vFSA 是一款虛擬安全設備,採用 Fortinet 的 FortiFlex 靈活使用授權方案交付。FortiFlex 能夠幫助組織動態調整服務規模和支出,同時保護雲端和混合環境。IBM Cloud 客戶可以根據需求靈活擴展 vFSA 安全功能。

vFSA 在 IBM Cloud 上提供以下功能特性:

1. 自動部署和簡單遷移,內置於用戶界面的按需和自動升級功能。

2. 部署在 IBM Cloud 專用基礎設施上的虛擬設備,旨在提高客戶設備的可用性,應對安全風險。

3. 客戶管理的安全設備,具有管理員root存取權限,提供即插即用的下一代防火牆功能。

多個行業的客戶都可以從 vFSA on IBM Cloud 中獲益,以支持其安全、性能和韌性需求:

金融服務業:對於部署受監管應用程式工作負載或管理敏感數據的金融機構而言,vFSA 可以監視和過濾網路流量,以達到SOC 2 等合規標準所需的控制水平。

零售業:該 vFSA 產品旨在幫助零售商在混合和多雲環境中保持可見性和安全控制,因為他們繼續將應用程式遷移到雲端,以獲得更大的靈活性、敏捷性和優化的上市時間。

製造業:我們看到製造業客戶將關鍵應用遷移到雲端,這可以支持創新,但也可能帶來新的威脅和挑戰。為了支持客戶的安全目標,Fortinet 虛擬 FortiGate 安全設備旨在監控和過濾遠程訪問和新增設備(如物聯網裝置)的網路流量。

總之,IBM 和 Fortinet 的合作推出了 vFSA on IBM Cloud 服務,為客戶提供了一個強大的安全解決方案,有助於保護他們的雲端工作負載免受日益複雜的網路安全威脅。這項創新產品結合了實體防火牆的功能和虛擬設備的靈活性,幫助客戶維護關鍵應用和數據的可見性、控制和合規性。我們期待看到更多企業受益於這一嶄新的安全部署模式。

詳情請看：

Fortinet and IBM Cloud Collaborate to Help Clients Protect Their Workloads from Increased Cybersecurity Threats

Mcafee：保持網路悟性：智勝網路釣魚詐騙的 5 步驟指南

在如今的數位時代,要分辨出合法的溝通和網路釣魚詐騙,就像是在迷宮裡摸索前進而雙眼被蒙住一樣。網路釣魚是一種欺騙性的伎倆,惡意分子通過虛假的電子郵件、短信或訊息,來騙取個人敏感資訊或誘使受害者點擊惡意連結。更別提它的狡猾兄弟「網路釣魚短信」— — 這種數位戲法的短信版本。

如今大多數品牌甚至政府機構都會透過短信或電子郵件與消費者溝通,要判別一則訊息是否真實,真的很難分辨。比如美國郵政服務,本應該專注於依賴性的包裹投遞,但現在卻經常需要警告民眾不要點擊冒充郵政服務的未經授權訊息中的連結。

許多人擔心他們會不經意地打開一封看似官方的電子郵件或短信,從而成為詐騙的受害者。幸運的是,有一些步驟可以幫助你教育自己,並建立防範網路釣魚和網路釣魚短信的保障措施。

以下是保持網路警覺和防範網路釣魚詐騙的五個步驟:

1.自我教育和教育您的親朋好友: 據Verizon的數據洩露調查報告發現,網路釣魚攻擊呈上升趨勢,現在已佔到總攻擊的36%。然而,許多美國人仍然不知道什麼是網路釣魚,也不知道自己可能會成為目標。請問問您的家人和朋友,他們是否知道什麼是網路釣魚和網路釣魚短信。如果不知道,請跟他們分享您所學到的知識,讓他們也能意識到相關風險。

2.破譯詐騙套路: 避免上當受騙需要認識詐騙的特徵,並將之與合法通信區分開來。對於詐騙分子而言,這些攻擊通常是一場數字遊戲,向盡可能多的人發送大量訊息。許多網路釣魚短信會有語法或拼寫錯誤,甚至可能連您的名字都不會提到。合法的電子郵件通常會以您的名字開頭,並且語法和拼寫都很正確。

3.小心被迫促銷: 由於詐騙分子急於發送盡可能多的訊息並獲得盡可能多的點擊,這些通信通常會聽起來很緊急 - "現在就行動,否則我們將禁用您的帳戶"。請您花時間慢下來,考慮該訊息的緊迫性是否與您通常與該組織或服務提供商的互動相符,再採取任何行動。

4.留意可疑的發件人: 詐騙的另一個跡象通常可以在發件人的電子郵件或電話號碼的不規律中找到。合法的銀行通常會使用一致的5位數號碼發送訊息,而詐騙分子可能會使用完整的10位數電話號碼或在不同號碼之間切換。在電子郵件中,發件人的電子郵件地址可能看起來毫無意義或與聲稱的發件人無關,這可能是潛在詐騙的信號。

5.啟用多重身份驗證: 多重身份驗證(MFA)使用戶能夠"輕鬆地對網絡服務進行身份驗證",通過替代密碼登錄的更安全方式。啟用多重身份驗證意味著,即使詐騙分子盜取了您的密碼,他們也無法登入您的帳戶,因為還需要您的驗證器應用程式或指紋等獨有的第二層驗證。

在一個即使簡單的電子郵件和短信訊息也可能隱藏惡意企圖的世界裡,用知識和警惕來武裝自己是至關重要的。使用多重身份驗證,並學會如何識別詐騙訊息,將有助於您避免上當受騙。如果您需要額外的保護,我們的AI驅動「詐騙防護」可掃描短信並在檢測到詐騙連結時發出警報或過濾掉該短信。該軟體還可以在您不小心點擊電子郵件、短信和社交媒體訊息中的詐騙連結時阻止該連結。識破網路釣魚詐騙並不總是容易的,但我們可以提供一道 – 甚至是第二道 – 保護屏障來提供幫助。

詳情請看：

Stay Cyber Savvy: Your 5-Step Guide to Outsmarting Phishing Scams

Help net security：Graylog：開源日誌管理

Graylog作為一個開源日誌管理解決方案,為團隊提供了集中式的日誌管理功能,使他們能夠收集、存儲和分析數據,從而獲得有關安全性、應用程序和IT基礎設施的答案。這個系統擁有許多強大的功能,值得我們深入探討。

首先,Graylog非常易於安裝,只需標準的技術堆棧即可。它支持各種不同類型的數據輸入,並能夠立即對收集的數據進行搜索。這對於需要快速查找和分析大量日誌數據的用戶來說,無疑是一大優勢。此外,Graylog還支持複雜的查詢功能,並提供自動完成的建議,大大提高了用戶的搜索效率。

另一個值得稱道的功能是Graylog的過濾器設置。用戶可以設置單個或多個輸入參數,快速地對儀表板上的所有內容進行過濾,例如過濾出某個特定用戶或系統的所有活動。這種靈活性讓用戶能夠更好地聚焦和分析感興趣的數據。

Graylog的另一大亮點是它提供了強大的儀表板和數據可視化功能。用戶可以使用各種小部件來創建自定義的儀表板,呈現出不同的外觀。更重要的是,Graylog支持高級的數據聚合功能,允許用戶將不同的數據整合到單個圖表中,實現類似於透視表的體驗。這對於需要深入分析和比較多個數據源的用戶來說,無疑是一大福音。

從技術角度來看,Graylog的服務器應用程序可以兼容多種主流Linux發行版,包括Debian、Ubuntu、Red Hat Enterprise Linux和SUSE Linux Enterprise Server等。對於使用Docker的用戶,也需要使用最新版本的Docker(至少20.10.10)。這些廣泛的系統兼容性,大大擴展了Graylog的適用範圍,使其能夠適應不同的IT環境。

展望未來,Graylog的開源版本的路線圖主要集中在進一步拓展數據收集輸入源,以及提供更多的儀表板和報告選項。這表明Graylog的開發團隊正在不斷努力,提升系統的功能和靈活性,以滿足用戶日益增長的需求。

總的來說,Graylog作為一個開源的日誌管理解決方案,擁有諸多優秀的特性,包括易安裝、支持多種數據輸入、提供強大的搜索和過濾功能,以及出色的數據可視化能力。這些特點都使Graylog成為一個非常有潛力的日誌管理工具。未來隨著開發團隊的持續優化,相信Graylog將會更加完善,為用戶提供更加出色的日誌管理體驗。

詳情請看：

Graylog: Open-source log management

Help net security：利用人工智慧增強合規性和治理

近期 IBRS 顧問 Joseph Sweeney 博士於 Help Net Security 接受採訪,探討將 AI 融入資訊管理系統的潛在風險。他預測未來 AI 驅動的資訊管理工具會有長足進步,其中包括知識圖譜的整合,為分析提供更細緻的洞見。

AI 在資訊管理的運用

組織在將 AI 整合至資訊管理系統時,應採取哪些措施確保資料隱私與安全?

AI 於資訊管理領域有多種應用,每種都有其風險考量。

最大風險在於將 AI 用作搜索和生成工具,讓 AI 去分析整個組織的資訊,讓員工可以向 AI 提問,就像使用 ChatGPT 一樣。看似很棒,但若未能仔細規劃誰可以存取什麼資訊,這類生成式 AI 服務勢必會洩露內部和外部的敏感隱私資訊。換言之,在現有企業內容之上使用生成式 AI,務必嚴格注意資訊敏感性標籤、資訊分類和管治。

第二類 AI 用於了解潛在風險所在。隨著協作的普及,許多組織的資訊散布在不同位置。一次性整合到中央管理的電子文件和記錄管理解決方案已不再可行。新興的較佳做法是使用 AI 掃描多個儲存庫,確定每個位置存有多少敏感或私密資訊,繪製出最緊迫的風險所在。有了這些資訊,資訊管理團隊就可以優先處理最嚴重的資訊洩露風險。

最後,AI 可用於大規模審查和自動分類資訊。但必須考慮這些 AI 服務是如何完成此項任務的:資訊是否送往第三方 AI 服務進行分析?資訊是否被儲存或快取,如果是,則如何和在何處儲存?分析的品質如何?

總之,在讓搜索和生成式 AI 服務接觸您的資訊之前,必須嚴格控制好資訊管治。要為此類 AI 做好大量資訊的準備,您將需要 AI 服務的協助!

企業在管理資訊激增方面面臨的最大挑戰是什麼?AI 如何減緩這些挑戰?

組織已無法單靠人工管理資訊。即使擁有龐大的資訊管理團隊,也難以應對來源太多、格式太雜的海量資訊。

根據 IBRS/EncompaaS 最新研究,唯一的解決之道是借助 AI 閱讀資訊、處理敏感內容、分類並套用治理和訪問規則。AI 可以為資訊管理團隊完成這些基本且關鍵的任務。

此外,AI 還可以發現資訊管治何時需要改進:建議新的分類方式,並向資訊管理專業人員提出問題。

AI 如何為合規性和管治作出貢獻,尤其是在監管壓力不斷加大的情況下?

AI 服務提供了偵測、分類和(在某些專門情況下)遮蔽敏感資訊的可擴展性。這些服務早已達到超越人工手動分類文件的水平。分類觸發自動化流程,確保合規性。

當 AI 被用來評估和在文件生命週期中應用分類,最大的資訊不合規原因就消除了。這是自動化帶來的高合規性和低風險的案例。

請解釋"內容認知"的概念,並探討其對未來資訊管理策略的潛在影響。

自動分類已存在近十年。內容認知在此基礎上進一步發展,利用更強大的 AI 算法提供更準確、更細緻的文件自動分類。但內容認知還能夠進一步提取結構化數據from非結構化文件。

這些應用前景令人振奮。例如,服務公司可以運行一份報告,找出特定地理位置客戶價值超過某個金額的所有合約,並進行合約條款變更的情境分析。將非結構化數據視為結構化數據,將創造全新的商業機會。

內容認知也是組織的數據資產梳理風險的關鍵,使資訊管理者能夠優先處理關鍵問題。同樣地,它還可以確定哪些文件根本無需管理。知道不需要管理的內容,可節省大量成本和時間。

最後,內容認知可以判斷分類方案是否恰當,並向資訊管理部門提供改進建議。

隨著 AI 驅動的資訊管理工具的發展,企業在選擇合適工具時應考慮哪些標準?

有些組織只想要一個 AI 工具,幫助他們從舊有的電子文件和記錄管理系統,以及傳統共享文件夾的混亂中轉移到新的協作平台。在大多數情況下,這是由於 Microsoft 365 平台的使用日益普及而產生的需求。

在這些情況下,內容認知工具可以首先繪製出風險所在(最不合規的文件位於何處)。然後,該工具可以針對特定的資訊來源進行分類,並根據政策將文件移動到新平台的正確位置、存檔或銷毀。AI 可用於遷移到新平台時的資訊整理和合規性。

其他組織則採取更長遠的視野,使用內容認知工具在多個平台上提供"原位管理"體驗。這對於有高合規需求的組織尤其重要。

您預計未來幾年智慧型資訊管理的主要趨勢是什麼,尤其是隨著 AI 技術的持續進步?

儘管機器學習和生成式 AI 為 AI 驅動的資訊管理帶來了顯著的性能和質量提升,催生了內容認知,但另一種 AI 技術 - 知識圖譜 - 將進一步提升性能和質量。

將知識圖譜與其他兩大類 AI 相結合,可以提供更加細緻的分析,不局限於文件本身,還可以考慮文件涉及的人員角色、文件中提及的人員、相關項目或活動等。

這目前還停留在科幻小說的範疇,但鑑於圖譜研究的現狀,我預計未來3-5年內,高度自動化的 AI 驅動資訊管理將會出現重大突破。目前正努力推動內容認知前沿的供應商,很可能會率先採用下一波 AI 技術。

詳情請看：

Leveraging AI for enhanced compliance and governance

Help net security：Google 的 90 天 TLS 憑證有效期限提案將如何影響企業

去年宣布的 Google 提議將 TLS (傳輸層安全性)憑證的有效期從 13 個月縮短到 90 天,這一提案可能會在不久的將來被實施。這無疑將提升安全性並縮小壞意分子利用被冒用或被盜的憑證和私鑰的機會窗口。但遺憾的是,這也將大幅增加管理 TLS 憑證所需的時間和精力。

TLS 憑證更新

對於僅有少量憑證的組織而言,這可能並非大問題。但大多數大型企業組織必須處理成千上萬的 TLS 憑證,用於關鍵的面向互聯網的應用程式和網站。對於這些組織而言,正確管理這些憑證的過程至關重要,否則他們將不可避免地面臨客戶看到網址不安全的警告,以及因憑證過期而導致的昂貴中斷。

因此,Google 提出的新 90 天 TLS 憑證有效期將對企業 IT 的三個領域產生深遠的影響:DevOps、安全和運營。

DevOps:向左轉移的另一個原因

容器化的 Kubernetes 環境正在迅速成為 DevOps 的標準,TLS 憑證在這些環境的安全中扮演著重要角色。它們提供信任和加密交易,使應用程式能夠安全地傳遞並始終可用。如果 TLS 憑證過期,關鍵的面向互聯網的應用程式可能會變得不可用和不受信任。

在管理這些憑證方面,向左轉移的方法是有意義的。開發人員應該在他們的開發工作流程中納入憑證更新提醒。他們還應該擁有符合 PKI 政策的自助服務憑證管理功能,以自動化憑證的發佈和更新。

對於 90 天的有效期,使用手動流程來更新和部署大規模憑證是不可能的。需要自動化來支持 DevOps 團隊在不斷交付新的應用程式和功能時所需的速度和敏捷性。

安全團隊:工作量增加四倍

確保用於公共面向應用程式和網路交易的私有數據的加密和安全性是安全團隊的責任。這將需要制定新的政策,以遵守 TLS 憑證的 90 天有效期,這些憑證是認證過程的核心。安全團隊還必須將執行這些政策的責任分派到開發和運營活動中,並通過定期審計來確保合規性。

為了做好過渡準備,安全團隊必須確保 IT 組織知道需要發生什麼、何時發生,以及存在什麼潛在的漏洞。這將需要培訓和持續的風險評估,涉及到憑證管理。

許多安全團隊在有限的資源下已經面臨著在舊的 13 個月有效期內更新 TLS 憑證的挑戰,尤其是在缺乏提供可見性和自動化工具的情況下。新的 90 天 TLS 憑證有效期將實際上使他們的工作量增加四倍,因為憑證需要每年更新和部署四次,而不是僅一次。

運營:可用性至關重要

運營團隊現在將面臨巨大的壓力,確保 TLS 憑證不會過期。如果發生過期,由此造成的中斷將影響生產力、收入和公司聲譽。

為了避免這些後果,現有的基礎設施必須能夠持續且無錯誤地處理加速的更新週期。這意味著最小化人工干預的需求,並盡可能接近零接觸 TLS 憑證更新和部署流程。

自動化的核心作用

這三個團隊共同的主題是對自動化的需求,自動化可以帶來幾個重要的好處。首先是效率。Google 提出縮短 TLS 有效期將產生大量重複工作,而寶貴的 IT 資源應該用於其他地方。

第二是可擴展性,隨著證書數量的增加,這一點至關重要。

第三是準確性,消除錯配和人為錯誤。與準確性一起來的是組織範圍內僅有政策驅動自動化才能確保的一致性。

最後,提供憑證可見性和跟蹤的自動化解決方案通過消除盲點和漏洞來提高安全性和減少風險。

最佳做法

為了為新的加速 TLS 憑證更新生命週期做準備,可以考慮以下最佳做法:

1. 採用集中的憑證生命週期管理基礎設施,以簡化更新並最小化停機時間。

2. 組建跨職能團隊,包括 DevOps、安全和運營的代表,確保對 Google 90 天 TLS 憑證有效期提案及其影響有共同的理解。

3. 明確各小組如何為共享洞察力做出貢獻並從中獲益,以增強整體安全態勢。

4. 組織聯合戰略會議,並建立定期審查會議,以監控進展、分享見解和調整策略。

5. 輪流負責領導這些會議,以確保各方的參與和問責制。

6. 建立反饋機制,以實現憑證生命週期管理過程的持續學習和改進。

通過強制更頻繁地更新 TLS 憑證,Google 90 天提案將有助於組織降低其遭受攻擊的風險,提高整體安全態勢。代價是增加管理工作量,這是值得付出的,但需要在 DevOps、安全和運營團隊之間制定新的流程和程序,促進自動化策略。

比其他人更早為過渡做好準備可能是實施的最重要最佳做法。

詳情請看：

How Google’s 90-day TLS certificate validity proposal will affect enterprises

Trendmicro：網路間諜組織地球魂盾不斷完善水熊和杜特熊

Earth Hundun是一個以網絡間諜活動為目標的威脅組織,多年來一直活躍於亞太地區,瞄準科技和政府領域。該組織使用了多種工具和技術,包括自2009年起就有10多個版本的Waterbear惡意軟體。

Waterbear以其複雜性著稱,採用了多種規避機制以降低被檢測和分析的可能性。隨著版本的更新,其增強了許多逃逸手段,使得應對更加棘手。

2022年,Earth Hundun開始使用Waterbear的最新版本,也稱為Deuterbear,其中包含了許多改變,如反記憶掃描和解密例程,因此我們將其視為與原版Waterbear不同的惡意軟體實體。

本報告將深入分析Earth Hundun武器庫中這兩種惡意軟體類型。

Waterbear的詳細信息

Waterbear自2009年以來有超過10個版本,版本號直接顯示在配置中。儘管有可用的舊版本解決方案,但其操作者通常會堅持增強感染流程,直到成功入侵。因此,在同一時間框架內,甚至在同一受害者的環境中,通常會發現多個版本共存。

有趣的是,一些Waterbear下載器被發現使用內部IP地址的命令和控制(C&C)伺服器(例如,帶有哈希值6b9a14d4d9230e038ffd9e1f5fd0d3065ff0a78b52ab338644462864740c2241的下載器使用內部IP 192.168.11.2作為其C&C伺服器)。

這表明攻擊者可能對受害者的網絡有深入了解,使用多層跳躍伺服器來規避檢測。這種策略突出了這些攻擊的複雜性,它們旨在偷偷潛入受感染的環境並保持控制。

Waterbear的攻擊鏈和TTPs

對於啟動程序,Waterbear使用合法的可執行文件來加載其自定義的DLL文件。在某些情況下,其操作者會修改合法的可執行文件來修改導入表。這包括在序數0處添加同名的DLL,實現通過DLL旁加載無縫啟動加載器。這種策略使Earth Hundun能夠運行其自定義的DLL加載器,並避免被檢測。

我們觀察到,最近的Waterbear加載器例程通常使用相同的自定義鹽化RC4解密,配合類似的混淆模式來解密下載器。這種方法在0.13、0.16和0.24版本的下載器中保持一致。相比之下,早期版本的Waterbear加載器幾乎沒有混淆,或者根本沒有混淆。

解密例程2

在某些情況下,Waterbear加載器會事先將加密的下載器放在註冊表中,並使用CryptUnprotectData API,使下載器只能在受感染的機器上解密。這種方法受到限制,必須在受感染的機器上操作。但是,它可以防止受害者意識到自己正被攻擊,同時也阻礙事件響應人員在調查期間。

下載器

Earth Hundun一直在逐步改進繞過防病毒軟件的技術,在下載器的開頭和結尾添加大量填充0x00,以避免被檢測。解密後,加載器直接執行shellcode,並檢查調試器模式,啟動Waterbear下載器。

Deuterbear的詳細信息

自2022年以來,基於我們的遙測數據,Deuterbear下載器,即Waterbear下載器的最新版本,一直處於活躍狀態。由於在解密流程和配置結構方面進行了重大更新,我們將此變體分類為與原始Waterbear下載器類別不同的獨立惡意軟體實體。

Deuterbear的攻擊鏈和TTPs

Deuterbear下載器采用HTTPS隧道來保護網路流量,並實現了以下反分析混淆方法:

- 使用jmp打斷函數

- 通過進程時間檢查調試器模式

- 通過API、睡眠等正常操作檢查沙箱環境

- 實現在特定時間(如上午9-11點、下午3-5點)執行

- 實現反內存掃描

反內存掃描

Deuterbear下載器對除解密例程之外的所有函數塊進行加密,並在新的虛擬內存中執行所需的功能,而不是在存儲所有加密函數塊的本地地址中執行。

配置

Deuterbear下載器的配置結構包括了簽名、密鑰、C&C伺服器地址、加密的API調用、函數地址等信息。其中值得注意的是,加密的下載器路徑存儲在註冊表中,解密需要依賴CryptoAPI。

網絡行為

Deuterbear使用RSA公鑰加密和RC4密鑰交換來保護與C&C伺服器的通信,在下載器與C&C伺服器之間建立了HTTPS隧道。

Waterbear和Deuterbear的比較

報告最後對Waterbear和Deuterbear下載器在可執行時間、反內存掃描、下載器解密、C&C通信、流量格式等方面進行了詳細比較。可以看出,Deuterbear在多方面都進行了更新和強化,成為了更加強大的惡意軟體。

結論

自2009年以來,Earth Hundun一直在不斷改進和完善Waterbear後門及其眾多變種和分支。儘管有可用的解決方案,但在感染方法和反分析機制方面的改進,導致了目前最先進的變體 - Deuterbear。Deuterbear下載器採用HTTPS加密保護網絡流量,並在惡意軟體執行、調試器或沙箱檢查、流量協議等方面進行了多方面的更新。

根據我們的遙測數據,Earth Hundun持續滲透亞太地區,Waterbear和Deuterbear的不斷演化給組織防禦帶來了巨大挑戰。因此,Trend Micro將繼續加強監控和檢測方法,以應對這些威脅。

詳情請看：

Cyberespionage Group Earth Hundun's Continuous Refinement of Waterbear and Deuterbear

Cybersecurity insiders：避免雲端漏洞：需要注意的 5 個主要錯誤配置

雲端環境的安全與隱私是每個企業都必須要面對的重要議題。隨著企業越來越多採用雲端運算服務,適當的雲端環境設定與管理變得尤為關鍵。本文作者提出了五大常見的雲端環境設定誤差,值得企業高度重視。

首先是不完善的存取控制。企業若未能建立健全的身份驗證機制,或未能依據最小權限原則嚴格管理使用者權限,將導致未經授權的使用者取得敏感資料。這不僅可能造成資料外洩,也可能被惡意使用者進行未經許可的系統修改。

第二個問題是雲端儲存空間設定不當。例如將儲存桶設定為公開存取,就成了駭客常利用的目標。駭客可以自動化掃描網路上開放的儲存桶,尋找機會竊取資料。一旦發生這種安全漏洞,不僅會導致重大資料外洩,也可能面臨法規罰款的風險。

第三個重點是安全群組與防火牆規則設定錯誤。雲端供應商提供安全群組和防火牆規則,讓企業可以管控進出雲端資源的流量。但若設定過於寬鬆,或是網路政策設定不當,都可能成為駭客滲透的切入點,讓他們得以入侵系統、盜取資料,甚至發動阻斷服務攻擊。

第四項問題則是加密實踐不足。加密是資料安全的基石,但若管理加密金鑰或SSL/TLS憑證有問題,加密效果也會大打折扣。未能對靜態資料及傳輸中資料進行妥善加密,都可能導致資料外洩的風險。

最後一個重點是缺乏持續監控與稽核。隨著雲端環境的不斷變化,持續監控與定期稽核至關重要,才能及時發現並修補安全漏洞。若企業未能建置有效的監控解決方案,或忽略了安全評估,惡意活動便很可能在未經發現的情況下持續進行,最終釀成嚴重的安全事故。

綜上所述,雲端運算無疑為企業帶來了諸多好處,但安全隱患也不容忽視。企業必須正視這五大常見的雲端設定問題,採取全面的雲端安全管理措施,包括完善的存取控制、安全儲存設定、合理的防火牆規則、強大的加密實踐,以及持續的監控稽核。只有這樣,企業才能在享受雲端便利的同時,確保資料安全與隱私不受威脅。畢竟在雲端環境中,安全責任是供應商和客戶共同分擔的,企業必須時刻保持警惕,才能維護雲端資產的完整性。

詳情請看：

Avoiding Cloud Breaches: Top 5 Misconfigurations to Watch For

The hacker news：Google Chrome 新增了 V8 沙箱 - 針對瀏覽器攻擊的新防禦

網路安全是目前電腦科技領域中一個高度重要且持續關注的議題。隨著網路應用不斷發展,瀏覽器也成為網路攻擊的主要目標之一。為了應對這一挑戰,Google 最近宣布在 Chrome 瀏覽器中加入一項名為 V8 沙箱的新功能,旨在解決瀏覽器中的記憶體錯誤問題。

V8 沙箱是一種輕量級的、在程序內部運行的沙箱,專門用於隔離 JavaScript 和 WebAssembly 引擎 V8 的運行環境。它的設計目標是降低 V8 漏洞對整個瀏覽器進程的影響。具體來說,V8 沙箱將 V8 的堆內存限制在一個虛擬地址空間的子集中,並將其與進程的其他部分隔離。這意味著即使 V8 中發生了內存損壞,也無法擴散到進程的其他區域。

這種方法之所以提出,是因為目前應對 V8 漏洞的常規技術,如使用記憶體安全語言 Rust 或硬體記憶體保護方案,在處理 V8 中的微妙邏輯問題時往往效果不佳。相反,V8 沙箱通過限制 V8 的活動範圍,從而在根本上降低了內存損壞造成危害的可能性。

具體來說,V8 沙箱通過用「沙箱兼容」的數據類型取代所有可以訪問沙箱外部內存的數據類型,來實現對 V8 堆內存的隔離。這樣一來,即使攻擊者能夠在 V8 中造成內存損壞,也無法越過沙箱的邊界,訪問進程中的其他內存區域。

Google 的測試結果顯示,在典型工作負載下,V8 沙箱的性能開銷約為1%,因此從 Chrome 123 版本開始,這一安全功能將默認啟用,適用於 Android、ChromeOS、Linux、macOS 和 Windows 等主流平台。不過,V8 沙箱需要 64 位系統支持,因為它需要預留大量的虛擬地址空間(目前為 1 TB)。

需要指出的是,V8 沙箱並非解決 V8 漏洞的銀彈。它只是一種必要的補救措施,因為現有的記憶體安全技術在面對 V8 這類優化過的 JavaScript 引擎時效果並不理想。相比之下,V8 沙箱可以有效阻隔 V8 內部的內存損壞,保護進程的其他部分。因此,它被視為實現 V8 記憶體安全的一個重要步驟。

除了 V8 沙箱,Google 還在 Android 固件安全性方面做出了一些努力。他們利用基於編譯器的內存錯誤檢測工具 Kernel Address Sanitizer (KASan),在測試和模糊測試過程中發現並修復了 40 多個內存錯誤漏洞。Android 團隊表示,使用 KASan 構建的版本有助於在將漏洞引入用戶設備之前,及時發現記憶體損壞漏洞和穩定性問題。

總的來說,Google 在 Chrome 瀏覽器和 Android 系統安全性方面的最新舉措,反映了業界對網路安全的高度重視。V8 沙箱為解決瀏覽器内部的複雜內存問題提供了一個創新的思路,即通過隔離關鍵組件的運行環境來降低攻擊面。而 KASan 的應用則展現了利用編譯器技術增強固件安全性的有效性。這些舉措無疑將為提升整個網路生態系統的安全性作出重要貢獻。

詳情請看：

Google Chrome Adds V8 Sandbox - A New Defense Against Browser Attacks

Mcafee：如何避免報稅季詐騙

在繁忙的報稅季節,防範各種網路詐騙行為非常重要。文章詳細介紹了三種常見的報稅季詐騙手法:語音網路詐騙、電子郵件網路詐騙,以及冒充知名報稅軟體的詐騙。

在語音網路詐騙中,罪犯會假冒國稅局,打電話給受害者並要求立即匯款繳納虛假的稅款。有些罪犯甚至會發送聲稱包含國稅局留言的電子郵件,要求受害者點擊可疑的連結。

在電子郵件詐騙中,罪犯會偽造國稅局的電子郵件,試圖竊取個人和財務資訊,例如使用者名稱和密碼。這些電子郵件通常含有可疑的超連結或附件,可能會下載惡意軟體或病毒。

此外,罪犯也會假冒知名報稅軟體,在 Google 上投放廣告,引導受害者下載被植入惡意軟體的盜版報稅軟體。

為了避免上當受騙,文章提供了以下建議:

1. 盡早申報報稅,以免被罪犯先行申報。

2. 密切關注個人信用報告和身份狀況,以及時發現和防範身份盜竊。

3. 謹慎對待任何要求提供個人或財務資訊的可疑電子郵件、簡訊或社交媒體訊息。

4. 直接在瀏覽器輸入報稅軟體的官方網址,避免依賴搜索引擎的結果。

5. 使用網路安全和身份盜竊保護服務,及時發現和應對潛在威脅。

總的來說,報稅季節是網路犯罪分子瞄準目標的黃金時期。只有提高警惕,採取有效的預防措施,我們才能安全地完成報稅任務,保護個人和財務資訊不被盜用。

詳情請看：

How to Steer Clear of Tax Season Scams

Help net security：曝露管理如何提高網路彈性

網路攻擊者善於找出最具成本效益的攻擊方式,這突顯了組織必須實施資產識別並了解其資產的安全狀況,以應對整體網路環境的重要性。

資安風險管理(exposure management)

組織不應該問「我們是否有曝露的風險?」,而是應該問「我們有多大的曝露風險?」。為了了解這個問題,企業必須實施有計劃且可重複的方法,設身處地思考自己是攻擊者,從敵對的角度看待自己的網路。

網路安全現狀

網路攻擊可能會侵入網路的任何部分。因此,公司實施了多重安全控制措施、工具和流程來保護網路。安全工作通常被劃分為滲透測試、威脅情報管理和漏洞掃描等獨立活動。然而,這種分割方式對於了解組織面臨的全面風險提供有限的見解。

這種情況,加上缺乏全面的風險優先排序,使得組織不知所措,無法確定應該先處理哪些問題。組織需要系統性和一致的策略來衡量自身的曝露程度。這意味著將重點轉移到考慮攻擊者角度和質疑防禦措施以及應對攻擊計劃的關鍵問題上。

了解攻擊者的觀點對於找出漏洞、告知安全團隊首先應該採取何種安全措施以及需要何種額外的安全控制措施至關重要。從攻擊者的角度認識漏洞,可以使組織主動提高自身的安全水平。這是一個基本原則 - 可見性是保護的前提。如果看不到攻擊者如何侵入組織,保護組織就變成一項假設性的任務。

全面的安全方法

現代組織的IT生態系統包括一系列資產,從身份和工作站到雲端服務,每一個都可能成為漏洞和配置錯誤的來源,被利用來損害組織的運營和資產。這種情況在混合環境中尤為突出,在這種環境中雲端和內部資產相互融合,缺乏明確的界限,大大降低了可見性和控制能力。

隨著組織的發展,其攻擊面不可避免地會隨著新的互連資產的整合而擴大,增加了複雜性。這種擴張的複雜性進一步加劇,因為外部威脅環境不斷轉變,包括由人工智能驅動的新興威脅。

另外,還有隱形IT - 未經授權的IT系統和解決方案在中央IT部門之外運行。這不僅增加了業務和合規風險,而且也使安全管理環境更加複雜。

資產的互連性以及不斷發展的威脅,為安全管理人員有效管理組織的安全狀況造成了巨大挑戰。每個未解決的漏洞都可能成為攻擊者進一步渗透的通道,進而危及更多的資產或數據。

攻擊路徑和動態威脅環境

將常見的漏洞、洩露的憑據或配置錯誤的安全設置串聯起來,以穿越整個環境並獲取組織資產的攻擊路徑代表了重大威脅。這些攻擊路徑通常隱藏在複雜的網路生態系統中。因此,安全團隊通常無法全面了解組織面臨的潛在威脅,使他們無法為可能導致勒索軟件部署的混合攻擊做好準備。

面對像勒索軟件這樣的高風險威脅,主動提高組織的安全水平是一項艱鉅的任務,就像是一場無休止的修補漏洞戰役,覆蓋不斷擴大的資產清單。這項複雜的任務超出了簡單的修補管理能力,需要採取戰略方法。

最終,對於優先順序和風險的範圍和理解不足,加上大量的發現,導致組織在處理曝露問題上有太多要做而缺乏指引。這就是為什麼組織需要一種解決「我們有多大的曝露風險?」問題的方法。

什麼是資安風險管理?

資安風險管理承認,組織無法保護其運營的每一個方面。它優先保護關鍵領域,在最需要的地方集中安全工作。

面對數以千計的漏洞需要解決,安全團隊面臨巨大的挑戰,尤其是自動化系統可以比修補系統更快地發現弱點。

此外,組織可能會先略過某些安全措施,以獲得快速收益,但隨後面臨重大風險。這種戰略方法確保資源得到有效分配,重點是保護組織最脆弱和最關鍵的部分。

通過調整優先事項,組織可以回答三個關鍵問題:

1. 從攻擊者的角度看,我的組織是什麼樣子?

2. 我的環境中哪些部分最容易遭到攻擊?

3. 如果攻擊者能夠破壞這些攻擊路徑,會造成什麼影響?

通過回答這三個問題,安全團隊可以更好地確定工作優先順序,立即解決關鍵的安全風險。

資安風險管理的好處

資安風險管理的重點是優化安全措施,以更好地抵禦威脅。其主要目標是強調和加固組織最脆弱的環節,作為首要任務。這個過程對於設定優先順序很關鍵;當無法完全遵守每一項政策或衡量每一個指標時,重點轉向密封攻擊者的潛在切入點。

這個過程通常從評估外部安全狀況開始,包括模擬攻擊者對組織的潛在行動。這可能涉及採用「紅隊」演習,使用攻擊性網路安全戰術來發現安全弱點。

這種方法的一個關鍵好處是,它可以突出可能被利用的攻擊向量,使公司能夠預先解決這些弱點。當資源緊張時,這尤其有價值。

通過最初關注最關鍵的漏洞,公司可以爭取時間,同時開始或繼續奠定全面安全策略的堅實基礎,從一開始就提高組織的防禦能力。

詳情請看：

How exposure management elevates cyber resilience

Kaspersky：觀看（已驗證的）小鳥球，或識別假貨的新方法

近年來,隨著人工智能技術的蓬勃發展,偽造照片和影片的技術也越來越先進,已經超越了人類的視覺辨識能力。無論是政治宣傳、假新聞,或是欺詐性的網路詐騙,都可能利用這些高品質的數位造假來誤導大眾,這無疑是一個嚴重的社會問題。

作者指出,最近一年半以來,我們似乎已經無法完全相信自己的眼睛。PhotoShop 的修圖技術固然已經存在很久,但人工智慧生成的假影像(deepfake)則將此問題提升到了一個全新的層次。2023 年教宗穿著時尚白色羽絨服的 viral 照片可能是最早引起廣泛關注的案例,之後類似的高品質數位造假不計其數。隨著人工智慧技術的進一步發展,我們可以預期將在不久的將來看到更多逼真的假影像和假影片。

這種情況無疑會加劇假新聞和相關圖像的問題。不肖分子可能會用照片來誤導公眾,比如把一個事件的照片斷章取義地說成是另一個事件的。他們還可能把從未謀面的人合成在同一張照片上。

影像和影片造假對網路安全也有直接影響。詐騙分子多年來一直利用假照片和影片來欺騙受害者掏錢。他們可能會發送一張可憐小狗的照片,聲稱需要幫助;或是一張某名人在推崇某項不正當活動的照片;甚至是一張自稱屬於你認識的人的信用卡照片。另外,詐騙分子也會使用人工智慧生成的圖像,在社交媒體和約會網站上冒充他人進行網路釣魚。

最精密的詐騙手段則是利用深度偽造(deepfake)技術製作受害者老闆或親屬的假影片和聲音,來操縱受害者為他們做事。最近就有一名金融機構的員工被騙轉移了2500萬美元給網路罪犯,他們設計了一個與"首席財務官"和"同事"的視訊通話,全都是深度偽造。

那麼,我們如何應對這些深度偽造或一般的數位造假呢?如何檢測它們的真偽?這是一個非常複雜的問題,但是可以通過逐步追蹤圖像的來源來緩解。

首先,並非所有的假圖像都是從頭製作的。有時候,真實的圖像被用在了令人誤解的地方,比如一張戰區的真實照片被說成是另一場衝突的照片,或是一個電影場景被當成紀錄片的畫面。在這種情況下,檢查圖像本身的異常並不太管用,但我們可以嘗試在網上搜索這張圖像的副本。幸運的是,我們有 Google 反向圖像搜索和 TinEye 這樣的工具,可以幫助我們做到這一點。

如果你對某張圖像有任何疑問,只需將其上傳到這些工具中,就能看到它在網上出現的其他場景。你可能會發現,那張被稱為是家庭因火災而流離失所,或是收容所裡的狗狗,又或是其他災難受害者的照片,實際上早就在網上流傳多年了。顺便提一下,除了圖像本身,在假募捐的情況下,還有其他一些值得注意的警示信號。

總的來說,在這個日新月異的數位時代,我們需要不斷提高警惕,培養自己的辨別能力,才能不被假影像和虛假信息所欺騙。除了掌握一些基本的驗證方法,我們還需要提高社會整體的媒體識讀能力,共同維護真相和公平。只有這樣,我們才能在資訊泛濫的時代保持清醒的頭腦,不受虛假信息的蒙蔽。

詳情請看：

Watch the (verified) birdie, or new ways to recognize fakes

Help net security：如果兩位管理員不批准，新的 Google Workspace 功能會阻止敏感的安全性更改

Google宣布為Google Workspace企業客戶推出多方審批的新功能。這是一項重要的安全升級,有助於防範惡意或疏忽導致的敏感性設定變更。

Google Workspace是一款面向企業用戶的雲端生產力與協作工具集。在2023年8月,Google Workspace團隊宣布推出這項可選用的多方審批功能,作為其眾多新功能之一。

啟用多方審批功能後,某些敏感的管理員操作將需要另一名未發起該操作的管理員的批准,從而在理論上阻止因內部人員惡意或外部人員入侵管理員帳戶而導致的意外或未經授權的變更。

具體來說,需要多方審批的敏感管理員操作包括:修改雙重驗證和帳戶恢復政策、變更進階保護和Google會話控制設定、變更帳戶登入(安全)挑戰,以及啟用登入密鑰等。

管理員可在批准或拒絕每項請求前查看其詳細信息。Google表示,這額外的審批層級有助於確保變更操作得當,不會過於廣泛或過於頻繁。此外,這也使管理員工作更加便捷,因為變更操作會在獲得批准後自動執行,申請人無需採取進一步行動。

這項功能默認是關閉的,管理員可在管理控制台中(安全性 > 多方審批設定)開啟。它適用於Google Workspace Enterprise Standard、Enterprise Plus、Education Standard、Education Plus和Cloud Identity Premium等付費版本。

我認為,這項多方審批功能是一項非常有意義的安全加強措施。在當今網絡安全威脅日益嚴峻的背景下,任何有助於降低組織內部和外部的安全風險的措施都是值得肯定的。

尤其是,隨著企業越來越依賴雲端協作工具,系統管理員的密碼和權限成為黑客的主要目標。一旦管理員帳戶被入侵,整個組織的安全就會受到嚴重威脅。因此,要求多名管理員才能進行敏感操作無疑是一個很好的保護機制。

這種多方審批的方式不僅可以防止意外或惡意的變更,還可以提高組織的安全意識。管理員在做出任何重大決定前,都需要先經過其他人的審核和批准,這會促使他們更加謹慎和負責任地行事。

此外,這個功能還可以增強組織的合規性。某些行業或地區可能會有嚴格的安全和隱私合規要求,要求對關鍵系統變更實施多重審批。有了這項功能,Google Workspace客戶就能更好地滿足這些要求。

當然,這種安全機制也可能帶來一些挑戰。比如,如果某個緊急情況下需要快速採取行動,多方審批可能會拖慢反應速度。管理員還需要花費更多時間和精力來處理審批請求。

但從整體來看,我認為多方審批功能無疑是Google Workspace在安全性方面的一大進步。它不僅能加強組織的防護能力,還可以提高合規性和安全意識。相信隨著企業數字化轉型的進一步推進,此類安全增強功能將越來越受到重視和需求。

詳情請看：

New Google Workspace feature prevents sensitive security changes if two admins don’t approve them

Cybersecurity insiders：谷歌工作空間使用人工智慧確保資料安全

近日,Google 宣布對其 Workspace 平台進行重大升級,將前沿的人工智慧(AI)技術整合,以增強會議功能並提升資料安全性。透過這一進步,Google 的 AI 助理 Gemini 將為超過 30 億用戶的日常任務和視頻內容創作帶來革命性的變革。

其中,Google Workspace 的一大亮點是其針對垃圾郵件的加強防護。該平台現在可以減少高達 20% 的垃圾郵件,為用戶提供更乾淨的收件箱體驗。此外,Google Workspace 現在能夠以驚人的 90% 的速度應對與網路釣魚有關的投訴,為存儲在 Google Drive 中的文件提供更高的保護。管理員也獲得了新的功能,包括能夠使用基於 AI 的數據洩露預防控制來對敏感文檔和文件進行分類。

Gemini 不僅提升了安全性,還優化了溝通和生產力。用戶現在可以享受對長篇電子郵件的簡潔摘要,這一功能旨在緩解繁忙的時間安排。此外,對於那些需要與商業聯繫人進行高效溝通的人來說,Gemini 都可以在聊天對話中提供語音到文字的翻譯功能。用戶只需口述信息,Gemini 就能將其無縫轉換為文字格式,從而免除了手動輸入的需求。

然而,儘管這些新功能令人興奮,但一些用戶也遇到了挑戰。有報告稱,一些電子郵件在收件箱中丟失,被轉移到了垃圾郵件文件夾。因此,建議用戶定期檢查垃圾郵件文件夾,尤其是那些重要的電子郵件,包括通過 SendGrid 等自動化電子郵件軟件發送的郵件。Gmail 的過濾算法有時可能會將這些消息錯誤地標記為垃圾郵件。

鑒於這些發展,保持知情並保持警惕至關重要。雖然引入基於 AI 的增強功能帶來了巨大的優勢,但迅速解決任何意料之外的問題並確保用戶體驗順暢仍然至關重要。

Google Workspace 的 AI 升級充分展現了科技企業不斷追求創新的決心。通過集成 AI 技術,Google 在提升電子郵件和文件安全性、增強溝通效率等方面取得了重大進展。特別是 Gemini 的語音轉文字功能,大大提高了用戶的生產力和協作效率。

然而,由於 AI 技術的複雜性和不確定性,在實現這些優勢的同時也出現了一些意料之外的問題,如電子郵件被錯誤標記為垃圾郵件的情況。因此,Google 需要持續關注並解決這些問題,確保用戶體驗不會受到影響。

同時,這一案例也引發了人們對 AI 技術在日常生活中應用的思考。AI 的快速發展為提高工作效率和生活品質帶來了極大的機遇,但同時也凸顯了安全隱私、技術可靠性等方面的挑戰。如何在發揮 AI 技術優勢的同時,兼顧使用者的切身利益,是科技企業和社會必須共同面對的重要課題。

總的來說,Google Workspace 的 AI 升級彰顯了科技創新對提升企業競爭力的重要性。未來,隨著 AI 技術的不斷進步,Google 以及其他科技公司將繼續探索 AI 在生活和工作中的廣泛應用,以期為用戶帶來更多便利和提升。但同時也需要高度重視技術應用的風險和挑戰,確保科技發展與使用者權益的平衡,為社會創造更多長期價值。

詳情請看：

Google workspace to use AI for Data Security

Bleeping computer：使用 Wazuh 實施容器安全最佳實踐

容器的概念已徹底改變了應用程序的部署和管理方式,提供了彈性和可擴展性。這些變化也使得在容器化環境中符合安全標準變得非常重要。

保持對容器主機的可見性、確保遵守最佳實踐以及進行漏洞評估,是確保有效安全的一些關切點。

本文將探討Wazuh如何幫助實施容器化環境的最佳安全實踐。

什麼是容器?它們是輕量級的、可移植的單元,封裝了應用程序及其依賴項,使其能夠在不同的計算環境中保持一致的運行。

容器技術的例子包括Docker、Kubernetes Pods、LXC和Windows容器。

容器安全挑戰

容器化技術的日益普及帶來了一些挑戰,這些挑戰源於容器化工作負載的動態性質和規模。實現容器環境合規性的關鍵問題包括:

容器可見性:達成合規性要求企業對其所有工作負載都有可見性,但理解正在運行哪些容器工作負載、它們在哪裡運行以及它們如何配置可能很有挑戰,尤其是在大規模環境中。在某些環境中,工作負載分佈在公有雲和私有雲中,映像文件也可能來自多個來源。這些問題以及各種配置的差異,使可見性更加困難。

實施細粒度訪問控制:許多監管標準要求企業實施細粒度訪問控制,以防止未經授權訪問敏感數據或系統遭到破壞。例如,PCI DSS要求企業根據最小權限原則限制對信用卡持卡人數據的訪問。這種要求加強了即使在容器化環境中也需要合規性。

管理外部庫和映像文件中的漏洞:從不可信的存儲庫或第三方庫和依賴性中拉取的容器映像文件可能會給容器化環境引入漏洞。企業需要制定一個計劃來減輕這種風險並保持合規性。

Wazuh用於容器安全

Wazuh是一個免費的開源安全平台,提供跨雲端和內部部署工作負載的統一XDR和SIEM功能。Wazuh平台提供日誌數據分析、文件完整性監控、威脅檢測、實時警報和事件響應等功能。

Wazuh通過以下方式幫助滿足監管合規性要求,例如PCI DSS 4.0第10.2.4和10.2.5條款,以及NIST SP 800-190對Docker容器的要求:

文件完整性監控(FIM): Wazuh提供FIM來監控容器映像文件和其他關鍵文件的完整性,確保及時檢測到未授權更改並進行報告。

配置審核: Wazuh審核容器主機配置以符合合規標準,識別錯誤配置,並確保遵循安全標準。

漏洞掃描: Wazuh與漏洞評估工具集成,掃描容器映像文件中的已知漏洞,幫助組織緩解風險並保持與安全標準的合規性。

日誌分析: Wazuh分析容器日誌中的安全事件和異常行為,使組織能夠識別威脅並採取相應行動加以解決。

惡意軟件檢測: Wazuh包括惡意軟件檢測功能,通過識別和緩解來自惡意軟件的威脅,增強容器安全性。

主動響應: Wazuh提供主動響應功能,可以執行像防火牆阻塞或帳戶鎖定等操作,以應對安全事件。Wazuh確保通過迅速解決容器主機上的安全事件並強制執行針對不斷演變的威脅的安全控制來維持合規性。

監控Docker容器

Wazuh通過在Docker伺服器上安裝Wazuh代理程序並啟用Wazuh Docker監聽器,實現了對Docker容器的監控。這種設置允許收集Docker相關的日誌和安全事件,確保了對容器活動的有效監控和事件檢測。

Wazuh主動監控容器化環境中的運行時、應用程序日誌和資源利用情況。例如,當容器的CPU和內存使用率超過預定義的閾值時,Wazuh會提供實時洞察。

這種由Wazuh提供的全面監控,可以迅速解決問題,增強安全性,並優化Docker環境的運營效率。

審計Kubernetes

Wazuh使用設置在Wazuh伺服器上的웹鈎監聽器來監控Kubernetes,接收來自Kubernetes叢集的日誌。使用Wazuh審計Kubernetes可以確保Kubernetes審計日誌的實時監控、存儲和索引。

這提供了數據搜索和分析功能,用於檢測安全威脅。

容器漏洞掃描

Wazuh通過與漏洞評估工具集成,在容器環境中執行漏洞掃描,來實現容器漏洞掃描。這個過程包括通過Wazuh命令功能執行自定義bash腳本,以觸發漏洞評估工具進行掃描。

在Wazuh伺服器上配置了自定義規則,用於監控在端點執行的掃描結果。

Wazuh代理程序監控並轉發漏洞掃描日誌到Wazuh伺服器,使組織能夠及時識別和修復容器環境中的漏洞。

在容器化環境中保持安全合規性對於減輕風險和確保最佳實踐非常重要。

Wazuh通過提供容器安全可見性、威脅檢測和響應,以及各種標準和框架的洞察,來協助這一努力。

Wazuh是一個開源且易於部署的解決方案,簡化了監管合規性,是組織努力保持安全和合規環境的關鍵資產。

遵守容器最佳實踐是一個共享責任,而Wazuh簡化了這個過程,確保企業保持受保護和具有抗壓性。

詳情請看：

Implementing container security best practices using Wazuh

The hacker news：新的網路釣魚活動利用改進的數據竊取惡意軟體瞄準石油和天然氣

新型網絡釣魚活動正在針對油氣行業,利用一種叫Rhadamanthys的進階資訊竊取惡意軟體。Cofense的研究員Dylan Duncan表示,這些釣魚郵件使用了一種獨特的交通事故誘餌,並在感染鏈的後期階段模擬美國聯邦運輸局,在一份PDF文件中提到一筆巨額罰款。

郵件附有一個惡意鏈接,利用一個開放重定向漏洞將收件人引導到一個托管所謂PDF文件的鏈接,但實際上卻是一個下載ZIP歸檔的圖像。這個ZIP歸檔包含了Rhadamanthys這個資訊竊取程式的有效荷載。Rhadamanthys是用C++編寫的,它的目的是與命令與控制(C2)伺服器建立連接,從而從被感染的主機上收集敏感數據。

"這個活動出現在LockBit勒索軟體組織被執法部門打擊之後不久,"Duncan說。"雖然這可能只是巧合,但Trend Micro在2023年8月發現了一個Rhadamanthys變種,它捆綁了一個泄露的LockBit有效荷載,以及一個剪藏器惡意軟體和加密貨幣挖礦程式。"

這表明Rhadamanthys惡意軟體在不斷進化,威脅行為者將信息竊取程式和勒索軟體捆綁在一起,反映了這種惡意軟體的持續進化。

這一發展發生在新型資訊盜竊惡意軟體家族,如Sync-Scheduler和Mighty Stealer不斷湧現的背景下,而現有的惡意軟體如StrelaStealer也在不斷進化,增強了混淆和反分析功能。

這種趨勢也呼應了一起針對印尼的惡意垃圾郵件活動,該活動使用銀行相關的誘餌來傳播Agent Tesla惡意軟體,以盜取登錄憑證、金融數據和個人文件等敏感信息。

Check Point公司稱,2023年11月觀察到的Agent Tesla釣魚活動也瞄準了澳大利亞和美國,並將其歸因於兩名非洲裔威脅行為者,分別是Bignosa(又名Nosakhare Godson和Andrei Ivan)和Gods(又名GODINHO或Kmarshal或Kingsley Fredrick),後者是一名網頁設計師。

Check Point表示,"主要行為者\[Bignosa\]似乎是一個運營惡意軟體和釣魚活動的團夥的一部分,他們瞄準的是組織,這從美國和澳大利亞的電子郵件業務數據庫以及個人可以得到証實。"

這些活動中傳播的Agent Tesla惡意軟體被發現使用Cassandra Protector進行保護,以防止逆向工程或修改。這些郵件是通過一個開源的網絡郵件工具RoundCube發送的。

Check Point表示,"從這些威脅行為者的活動描述來看,開展這種多年來最為常見的惡意軟體家族的網絡犯罪行為並不需要什麼高深的學位,這是因為參與門檻很低,只要有人願意通過垃圾郵件活動來誘導受害者啟動惡意軟體,就可以這樣做。"

總的來說,這些最新的網絡釣魚活動表明,對於油氣行業等關鍵領域,網絡威脅仍在不斷演化和升級。先進的資訊竊取惡意軟體與勒索軟體相結合的手法,以及針對性的社交工程攻擊手段,都給目標行業帶來了嚴重的安全隱患。企業需要持續關注網絡安全動態,加強防禦能力,防範此類威脅。同時,政府和執法部門也應該加大打擊力度,遏制此類網絡犯罪行為的蔓延。

詳情請看：

New Phishing Campaign Targets Oil & Gas with Evolved Data-Stealing Malware

Cisco：有很多方法可以改善網路安全，而無需讓員工返回實體辦公室

隨著疫情促使許多企業採取遠端工作模式,這同時也為企業的網路安全帶來新的課題。如今,許多企業開始要求員工重返實體辦公室,理由包括提高生產力、增進團隊合作以及加強網路安全。然而,這篇文章指出,單純將員工集中在辦公室並不能解決網路安全的問題,反而可能造成一種虛假的安全感。

文章首先提到,作者本人就是不喜歡在實體辦公室工作的員工類型,因此對此議題有自己的偏見。然而,他認為企業將網路安全作為要求員工返回辦公室的藉口,是一種錯誤的做法。他以知名遊戲公司Rockstar為例,該公司要求員工每週回到實體辦公室工作五天,理由是為了提高生產力和網路安全。

Rockstar過去曾遭受多起網路安全事件,包括2022年發生的一起大規模資料外洩事件,導致遊戲《俠盜獵車手VI》的早期遊戲演示和其他敏感資料被洩露。雖然事件最終被歸咎於Lapsus$駭客組織,但Rockstar還是決定透過要求員工返回辦公室來解決網路安全問題。

文章指出,這種做法是缺乏依據的。事實上,遠端工作不但沒有降低網路安全性,反而可能提高員工的警覺性和採取防護措施的意願。一項來自肯特州立大學的2023年研究發現,遠端工作的員工較在職員工更加注意到安全威脅,並採取相應的行動。

此外,文章也指出,辦公室環境並非就一定更加安全。一些企業可能會因為辦公室的環境而產生錯誤的安全感,忽略了遠端工作者設備上的進階安全措施,如開機前認證或加密功能。

因此,文章認為,無論員工在何處工作,企業應該採取一致的安全措施,如廣泛使用多重身份驗證,以及採用密鑰或實體令牌等取代簡單的文字密碼。此外,企業如果真的要求員工返回辦公室,也需要投入更多資金來升級辦公室的安全設施,這也會帶來額外的成本。

值得一提的是,文章還提到了一個新興的網路安全隱患 - 遠端存取工具。自疫情以來,像AnyDesk和TeamViewer這樣的遠端系統管理/桌面存取工具愈發普及。雖然這些工具有合法用途,但惡意行為者也在利用它們進行命令和控制攻擊。最近的一份報告指出,在所有勒索軟體和前期勒索軟體事件中,都觀察到了使用AnyDesk的痕跡,顯示這種工具在攻擊鏈中扮演著重要角色。

綜上所述,文章認為,企業應該採取一致的網路安全措施,而不是單純地將員工集中在辦公室。無論員工身在何處,都應該實施嚴格的身份驗證、加密等安全控制。企業也應該嚴格管控遠端存取工具的使用,避免成為攻擊者的切入點。只有這樣,企業才能真正提高網路安全性,而不是錯誤地將之歸咎於遠端工作模式。

詳情請看：

There are plenty of ways to improve cybersecurity that don’t involve making workers return to a physical office

Redhat：釋放 DevSecOps 的才華：Ansible Lightspeed 透過安全開發生命週期整合飆升

隨著科技的不斷進步,軟體開發的安全性也越來越受到重視。本文介紹了紅帽公司如何將其安全開發生命週期(RH-SDL)的概念融入到Ansible Lightspeed的開發過程中,以確保其軟體的安全性。

首先,文章介紹了Ansible Lightspeed是什麼。它是紅帽公司基於Ansible Automation Platform開發的一款工具,結合了Watson X Code Assistant的人工智能技術,能夠將用戶的提示轉換成基於紅帽最佳實踐的代碼建議,提高自動化開發人員的工作效率。

接著,文章詳細介紹了RH-SDL的各個控制措施,包括安全開發培訓、威脅建模、軟件依賴管理、靜態應用程序安全測試(SAST)、滲透測試、動態應用程序安全測試(DAST)、惡意軟件檢測、安全架構審查以及漏洞管理等,這些措施在Ansible Lightspeed的開發過程中都得到了落實。

在實施過程中,開發團隊和安全團隊之間的密切合作是成功的關鍵。開發團隊需要充分理解安全開發生命週期的重要性,而安全團隊則需要與開發人員緊密合作,解決各種安全問題。通過每日站立會議、威脅建模討論、SAST和DAST結果的審查等方式,雙方實現了良好的協作。

文章還介紹了Ansible Lightspeed在RH-SDL整合過程中遇到的一些具體挑戰,包括依賴關係帶來的變更、兩個重大漏洞的發現等。但是通過團隊的共同努力,這些挑戰最終都得到了有效解決。

最後,文章強調RH-SDL不是一次性的工作,而是需要持續跟蹤的過程。隨著軟件的不斷更新,Ansible Lightspeed團隊也將繼續與安全團隊合作,不斷改善安全控制措施,維護軟件的安全性。

總的來說,本文詳細介紹了Ansible Lightspeed如何利用RH-SDL來提升自身的安全性,並強調了開發團隊和安全團隊之間密切協作的重要性。這對於其他希望提高軟件安全性的公司都具有一定的參考價值。

詳情請看：

Unlocking DevSecOps brilliance: Ansible Lightspeed soars with Secure Development Lifecycle integration

Redhat：Confidential Containers Trustee 簡介：證明服務解決方案概述與使用案例

RATS 架構主要包含以下幾個關鍵元件:

「宣誓者」(Attester)- 提供證據,該證據會被評估和鑑定以決定其可信度(例如,測試它是否有權執行某些操作)。證據可能包括配置數據、測量結果、遙測資料或推論。

「驗證者」(Verifier) - 評估從宣誓者那裡收到的證據的有效性,並產生認證結果,這些結果會發送給依賴方。認證結果通常包括有關宣誓者的資訊,而驗證者則為結果的有效性背書。

「依賴方」(Relying Party) - 依賴從宣誓者那裡獲得的資訊的有效性來可靠地應用某項操作。這些資訊可以直接來自宣誓者,也可以來自驗證者。

「依賴方所有者」(Relying Party Owner) - 有權配置依賴方將使用的評估政策,以接收認證結果(例如管理員)。

「驗證者所有者」(Verifier Owner) - 有權配置驗證者將使用的評估政策以接收證據。

「背書者」(Endorser) - 對於我們而言,是硬體製造商,提供背書,驗證者用它來驗證宣誓者提供的證據。背書是硬體製造商為宣誓者的各種功能完整性做出的安全聲明。

「參考值提供者」(Reference Value Provider) - 對於我們而言,是硬體製造商,提供參考值,驗證者用它來驗證宣誓者記錄的聲明。參考值是黃金測量或公稱值等。

Trustee 專案

Trustee 專案(先前稱為 CoCo KBS)包括部署在可信側並用於驗證遠程工作負載是否在可信執行環境(TEE)中運行的元件。它還會驗證遠程環境是否使用預期的軟體和硬體版本。

Trustee 專案的主要元件包括:

密鑰經紀服務(KBS): 用於遠程認證和管理及傳遞機密。

認證服務(AS): 負責驗證 TEE 證據。

參考值提供服務(RVPS): 負責驗證、存儲和提供參考值。

宣誓代理(AA): 在 TEE 內部運行,連接到 KBS 以執行認證。

機密資料中心(CDH): 提供安全密鑰檢索服務。

用例

本文介紹了幾個利用 Trustee 和客戶端元件的用例:

1. 虛擬機(VM)及其工作負載的認證

2. 機密容器工作負載的認證

3. 檢索容器映像簽名或解密密鑰

4. 發佈應用程序秘密

總結

本文介紹了 RATS 模型及其關鍵組件,並重點介紹了 Trustee 專案及其各個元件。我們還展示了幾個使用 Trustee 和客戶端元件的實際用例。從整體上看,Trustee 專案提供了一個安全可靠的平台,用於驗證遠程工作負載的完整性和可信度,無論是虛擬機、容器還是其他工作負載。這對於確保敏感數據和工作負載的安全性非常重要。接下來我們將深入探討 Trustee 專案的技術細節和實際操作指南。

詳情請看：

Introducing Confidential Containers Trustee: Attestation Services Solution Overview and Use Cases

Mcafee：如何避免日食騙局

2024年4月8日,一場重大的日全蝕正在緩慢進入美國大陸,從德克薩斯州一路向東北延伸。作為這場自然奇觀,不少民眾都期待能夠親身觀賞這一難得的天文奇象。然而,數起假冒商品的詐騙案件也伴隨而來,成為觀賞日全蝕的一大隱憂。

詐騙分子利用民眾對這場日全蝕的高度關注,迅速炮製出大量的假冒觀察眼鏡,並在網路上積極販售。這些假冒品往往外觀與正品無異,但卻無法提供必要的防護效果,反而可能造成觀賞者的視力受損。美國更生業局(BBB)已就此發佈消費者警示,敦促民眾務必慎選正版眼鏡。

為避免不法分子的圈套,筆者整理出以下幾點建議,希望能對想要觀賞這場日全蝕的民眾有所幫助:

第一,務必從知名、合法的零售商購買。這是最基本的防範措施。即使遇到從未聽聞的賣家,也要先研究其信譽狀況,查閱其營業歷史、網站啟用時間,以及網路上的評價。如發現賣家資訊不詳或評價不佳,就要三思而行。

第二,關注網站是否採用https加密通訊協定。這代表該網站具備必要的資料安全機制,有助於防範個人資訊外洩的風險。此外,建議使用信用卡而非扣款卡進行付款,因為信用卡往往能提供更充分的消費保障。

第三,安裝完整的網路安全防護軟體。像是麥卡菲(McAfee)公司的安全整合套裝,不僅能攔截惡意連結,更可管理強大且獨特的密碼,為網上購物增添一道防護屏障。

除了購買安全眼鏡,預訂欣賞日全蝕的觀賞地點也是一大隱憂。近期出現不少涉及假冒租屋詐騙的案件,詐騙分子利用網路發布虛假房源,設法騙取旅客的訂金。為防範此類詐騙,筆者建議民眾務必透過知名租賃平台(如Airbnb和VRBO)進行交易,並確保全程在平台內完成。此外,仔細查看房源的評價,以及照片是否與實際情況相符,也是很好的預防措施。

隨著日全蝕的來臨,不法分子的詐騙手法無疑會層出不窮。但只要保持警覺,多加小心,相信大家都能順利觀賞這場難得一見的天文奇象,並獲得令人難忘的觀賞體驗。畢竟,天文奇觀的出現機會實在太過稀少,我們更應該用最安全的方式好好珍惜。

詳情請看：

How to Avoid Solar Eclipse Scams

Paloalto：人工智慧助理和進階威脅偵測的力量

隨著人工智能(AI)技術的快速發展,AI助理已經成為網路防禦中不可或缺的一部分。本文訪問了Palo Alto Networks的Unit 42部門技術總監Mike Spisak,探討了AI在網路安全領域的潛力和挑戰。

Spisak預見,短期內我們將會看到AI驅動的網路安全"助手"出現,擔任安全分析師的虛擬"共同駕駛",提高威脅偵測和應對的效率。這些AI助手將能夠自動化繁瑣的低級任務,加快關鍵流程,解放安全人員。Spisak估計,高達40%的日常安全運營可以自動化。

展望中長期,Spisak預想這些AI助手將普及到各個行業,每個人都可能擁有專屬的網路安全助手。這些由AI驅動的虛擬助手將無縫融入日常生活,提供及時的指導和警告,降低風險。

Spisak還預測,AI系統將與具有攻擊性的AI進行自主"戰鬥",形成攻擊和防守的循環學習過程。攻擊性AI將從防御策略中獲得洞見,而防御AI系統也將研究攻擊策略。這種AI主導的網路戰爭,將需要創新的方法來維護數字生態系統的安全,同時也凸顯了人類投入和道德監督的重要性。

在探討AI在檢測和防止安全威脅方面的優勢時,Spisak提到了幾個關鍵領域:

1. 拒絕服務(DDoS)攻擊:AI擅長於模式檢測和合成數據生成,能夠準確地區分合法流量和惡意流量,自動採取措施維護服務可用性。

2. 網絡釣魚和社交工程攻擊:AI驅動的電子郵件安全解決方案擅長識別網絡釣魚郵件,並預測受害者的反應。

3. 對抗性攻擊:建立可信賴的AI系統需要評估模型的來源和歷史,並採取網路安全基本措施,如雲安全、數據安全等。同時,需要在AI生命週期中進行早期測試,並持續評估和更新安全控制措施。

在評估AI解決方案的效果時,Spisak建議關注一些關鍵績效指標,如假陽性率、假陰性率、檢測成功率,並理解威脅歸因,考慮成本效益。此外,還應監控模型漂移,並進行對抗性模擬,以識別AI系統的弱點並增強防禦。

總的來說,隨著AI技術在網路安全領域的廣泛應用,AI助手將成為安全分析師的強大夥伴,提高防禦能力。但同時也需要對AI系統進行持續的監控和優化,確保它們能夠有效應對不斷變化的網路威脅。人工智能和網路安全的融合,將為數字世界帶來更加安全可靠的未來。

詳情請看：

The Power of AI Assistants and Advanced Threat Detection

Help net security：安全專家對人工智慧持謹慎樂觀態度

人工智慧(AI)日益在企業的網路安全中扮演重要角色。根據Cloud Security Alliance和Google Cloud的最新調查,有55%的組織計劃在今年內採用通用人工智慧(GenAI)解決方案,顯示GenAI在網路安全領域的整合正快速增加。

本報告綜合了2,486位IT和安全專業人士的調查反饋。報告指出,AI的廣泛採用主要源於高層管理人員的推動(82%的受訪者表示是高層領導在推動)。他們認識到AI在現代商業環境中能帶來的競爭優勢。

報告還發現,將AI整合到網路安全已不再只是概念,而是實際的應用現狀。有67%的受訪者表示,他們已經針對安全目的而測試過AI。在是否有能力利用AI方面,48%的專業人士對所在組織的能力表示有信心,其中28%表示有相當信心,20%表示非常有信心。

考慮到GenAI在這個領域仍處於初期階段,這種程度的信心表明,許多專業人士可能對自身的準備感到樂觀,忽略了AI整合的複雜性。正如Cloud Security Alliance的高級技術總監Hillary Baron所說,「本報告揭示了行業專家如何看待AI在網路安全中的角色並為之做準備,這對於引導AI在這一領域的轉型,確保數字基礎設施的復原力和前瞻性至關重要。」

事實上,AI正在改變網路安全,既帶來令人興奮的機遇,也帶來複雜的挑戰。正如CSA的AI安全計劃主席Caleb Sima所指出,「高層和員工在理解和實施AI方面存在脫節,突顯了需要採取戰略性的、統一的方法來成功整合這項技術。」

Google Cloud的CISO Phil Venables也表示,「這是一代一遇的機會,我們可以進行網路安全的深度轉型,而不僅是增量式的進步。通用AI使我們有潛力將攻擊者的能力提高10倍。雖然我們需要應對攻擊者使用AI的情況,但更重要的是,今天就開始將AI整合到網路防禦中。」

高層管理人員在AI技術知識上超越了員工

調查發現,63%的受訪者相信AI有潛力提高安全措施,尤其是在改善威脅檢測和響應能力方面。然而,34%的人認為AI更有利於安全團隊,31%認為AI對保護者和攻擊者同樣有利,25%的受訪者擔心AI可能更有利於惡意方。

12%的安全專業人士認為AI將完全取代他們的工作。大多數人認為AI將增強他們的技能(30%)、支持他們的工作(28%)或取代他們工作的大部分(24%),從而騰出更多時間做其他事情。

高層管理人員和員工在AI方面的觀點有所不同。高層自我報告的AI技術熟悉度明顯高於員工。此外,高層對潛在的AI用例有更清晰的理解,51%的高層表示對此非常清楚,而僅有14%的員工如此表示。

55%的組織正計劃實施帶有GenAI功能的安全工具和解決方案,並正在探索這些技術的各種用例,其中最常見的是制定規則(21%)、攻擊模擬(19%)和合規違規檢測(19%)。

總的來說,人工智慧正在深刻改變網路安全的格局。組織正在積極採用AI技術以增強自身的防禦能力,但在實施過程中也面臨著管理層與員工之間的認知差距等挑戰。未來,需要採取更加協調一致的方法,充分發揮AI在網路安全領域的潛力,並同時應對AI可能帶來的風險。

詳情請看：

Security pros are cautiously optimistic about AI

Help net security：網路犯罪分子採用瀏覽器指紋識別

瀏覽器指紋追蹤是網路釣魚網站作者用來逃避安全檢查,延長惡意活動壽命的許多手法之一。雖然瀏覽器指紋追蹤已被合法組織用於唯一識別網頁瀏覽器近15年,如今也常被網路犯罪分子利用:最近的一項研究顯示,有四分之一的釣魚網站都使用了某種形式的這種技術。

什麼是瀏覽器指紋追蹤

瀏覽器指紋追蹤利用各種客戶端檢查來確立瀏覽器身分,這些身分可用於檢測機器人或其他不受歡迎的網路流量。指紋追蹤過程可收集的數據包括:時區、語言設定、IP位址、Cookie設定、螢幕解析度、瀏覽器隱私設定、使用者代理字串等。

許多合法供應商都使用瀏覽器指紋追蹤來檢測濫用其服務的機器人和其他可疑活動,但網路釣魚網站作者也意識到了這種技術的好處,並利用它來避開可能將其網站標記為釣魚的自動化系統。通過實施自己的瀏覽器指紋追蹤控制來載入網站內容,威脅者能夠即時隱藏釣魚內容。

例如,Fortra觀察到,威脅者利用瀏覽器指紋追蹤來繞過Google廣告審查過程。因為Google的審查過程是半自動化的,所以實施瀏覽器指紋檢查允許威脅者識別Google何時查看其廣告目的地,而不是普通用戶。如果威脅者懷疑Google存在活動,就會顯示無害內容。這導致了釣魚報告被Google拒絕,因為無法檢測到釣魚內容。

瀏覽器指紋追蹤的實例

Cloudflare的機器人戰鬥模式是合法供應商使用瀏覽器指紋追蹤技術來識別和阻止機器人的一個例子。每次使用Bot Fight Mode載入網站時,下面的JavaScript代碼都會運行並將結果發送回Cloudflare。根據結果,您要么會遇到一個驗證碼,要么會被阻止。

有一個例子展示了在釣魚網站上實施的一個瀏覽器指紋追蹤檢查。在第一次載入時,該網站將執行以下編碼的JavaScript:

解碼後,安全團隊將看到它是經過混淆的,並可以從顯示的字符串推斷它正在請求許多瀏覽器屬性並運行測試以查看結果。

JavaScript運行完成後,它會生成一個指紋並將所有信息發送回釣魚網站,由服務器分析結果。根據分析結果,要么顯示無害內容,要么顯示釣魚網站。

在下面的例子中,大塊文本包含了大量關於訪問頁面的瀏覽器的數據。

這個指紋包含瀏覽器的每個屬性,包括屏幕尺寸、操作系統、GPU硬件、時區等許多其他數據點。所有這些信息集合起來可以很容易地確定瀏覽器是真實的還是模擬器。

以下示例包含的信息指向機器人活動:

A示例:Platform和UserAgent存在矛盾,表示UserAgent已被更改。

B示例:屏幕尺寸存在矛盾,內部值大於外部值。

C示例:時區偏移為0或UTC,表示來自服務器而不是客戶端系統的活動。GPU信息也透露這是一個Linux系統。

分析任何前述示例和信息都可以確定訪客是否為機器人。在上述釣魚網站的情況下,如果收集的數據表明它不是由真正的瀏覽器訪問,則會顯示無害內容。這種檢測可以識別任何現成的瀏覽器模擬,如Curl、Puppeteer、Selenium或無頭Chrome。

過去,爬蟲可以輕易地通過使用代理並更改其UserAgent來避免被檢測。然而,瀏覽器指紋追蹤非常有效地識別了這些自動化系統,允許網站作者根據結果改變網站內容。了解犯罪分子在指紋追蹤時收集的瀏覽器屬性對於安全團隊避免引起威脅者懷疑至關重要。

詳情請看：

Cybercriminal adoption of browser fingerprinting

Cybersecurity insiders：在智慧型手機上尋找間諜軟體的七個技巧

在現今科技高度發展的時代,間諜軟體已成為一個日益嚴重的隱私安全問題。為了保護自己的隱私,以下是七個方法來偵測智慧型手機上是否安裝了間諜軟體:

1.檢查可疑應用程式：仔細檢視手機上安裝的應用程式清單,留意任何不熟悉或可疑的應用程式。間諜軟體常會偽裝成合法的應用程式,因此請注意那些名稱模糊或來源不明的應用程式。

2.監控數據用量：間諜軟體通常會將數據傳送給創建者,這通常會導致手機數據用量的明顯增加。查看手機的數據用量統計,留意是否有任何異常的尖峰或不尋常的模式,特別是在你的使用習慣並未改變的情況下。

3.電池消耗：在後台運行的間諜軟體可能會導致手機電池消耗異常加快。如果你發現電池續航時間突然大幅縮短,這可能是間諜軟體的跡象。

4.異常行為：留意手機上是否出現任何異常行為,例如突然出現的彈出式廣告、奇怪的通知或未經許可的設定變更。這些都可能是間諜軟體活動的指標。

5.使用防間諜軟體掃描：使用可靠的防間諜軟體掃描手機,以偵測和移除任何惡意軟體。Android和iOS設備都有多款可靠的應用程式可供選擇。

6.更新作業系統和應用程式：確保手機的作業系統和所有應用程式都保持最新版本。開發者通常會發佈更新來修補可能被間諜軟體利用的安全漏洞。

7.重置手機：如果你懷疑手機已被間諜軟體感染,但無法找到任何證據,你可以考慮將手機重置為出廠設定。這將刪除所有數據和應用程式,從而有效移除任何可能存在的間諜軟體。不過在進行出廠重置之前,請務必先備份重要的數據。

通過採取這些步驟,你可以幫助保護手機免受間諜軟體的侵害,確保個人資訊的安全。如果在採取這些措施後仍然不確定手機是否感染了間諜軟體,不妨尋求專業的網路安全專家的協助。

詳情請看：

Seven tips to find spyware on a smart phone

The hacker news：CISO 對遵守網路安全法規的看法

在當前日益嚴峻的網路威脅環境下,網路安全法規合規的要求也愈加細緻和繁雜。對於資訊安全長(CISO)及其團隊而言,合規是一個耗時耗力且風險高的過程,除了需要安全專業知識,還需要卓越的組織和溝通能力。

本報告將深入探討CISO如何有效管理資料安全和隱私合規要求。報告中分享了一些具體策略,協助減輕合規過程的痛苦,包括風險管理和利益相關方的協調。希望這些建議能幫助您將合規工作從「必要的惡」轉變為一個有助於評估網路風險、獲得預算和支持,並增強客戶與股東信心的戰略工具。

合規程度因公司規模、地理位置、行業和數據敏感度等因素而有所不同。一般而言,上市公司、政府機構和特定行業(如銀行、醫療等)必須遵守多項法規,並維護風險評估和糾正行動計劃。即便公司不屬於上述類型,也可能需要遵守某些合規規範,例如獲得SOC認證或申請網路安全保險。廣泛的網路安全合規框架,如NIST CSF和ISO,也提供了良好的參考模型。

不過,「合規不等於安全」是CISO們常掛在嘴邊的口號。即使達到合規要求,也不代表網路安全已得到充分保護。成熟的網路安全組織可能將合規視為最低標準,並採取更多措施來保護自身。

CISO需要與法務、隱私官和審計/風險委員會等內部合作夥伴建立良好的合作關係,以了解不斷變化的合規要求,並決定如何應對。有時這些合作夥伴會要求安全團隊實施更嚴格的控制措施,但有時也可能會施加限制。CISO需要與各方利益相關方保持平衡,權衡合規的成本和收益,並做出明智的風險管理決策。

為了提高合規效率,一些公司使用風險登記冊來協調各方,記錄所有風險並按優先順序排列。一些公司還使用GRC系統和持續合規監控工具跟蹤安全活動並彙報結果,以便於向審計人員提供證據。此外,許多公司也依賴第三方進行合規評估,以確保在監管機構來檢查時不會有任何意外。

總的來說,隨著網路威脅持續增加,確保合規將成為CISO工作的重中之重。作為全面網路安全風險管理的關鍵部分,合規不僅可以降低違規的法律和財務風險,還能幫助公司提升客戶和股東的信心。未來CISO需要緊跟新興合規要求,如人工智能安全等,並將合規納入公司的整體網路安全戰略。

詳情請看：

CISO Perspectives on Complying with Cybersecurity Regulations

The hacker news：人工智慧即服務供應商容易受到 PrivEsc 和跨租戶攻擊

近期的研究發現,Hugging Face等人工智能(AI)即服務供應商存在兩大關鍵風險,可能使威脅參與者提升權限,獲取其他客戶模型的跨租戶訪問權限,甚至控制持續集成和持續部署(CI/CD)管道。

Wiz公司的研究人員Shir Tamari和Sagi Tzadik表示,「惡意模型對於AI系統來說是一大風險,尤其是對於AI即服務供應商,因為潛在的攻擊者可能利用這些模型進行跨租戶攻擊。」「攻擊者可能會訪問存儲在AI即服務供應商中的數百萬個私有AI模型和應用程序,這將造成毀滅性的影響。」

隨著機器學習管道成為全新的供應鏈攻擊向量,Hugging Face等代碼庫成為設計對抗性攻擊以竊取敏感信息和訪問目標環境的有吸引力的目標。這些威脅源於共享推理基礎設施的接管和共享CI/CD管道的接管。

這使得攻擊者能夠在服務上運行上傳的不受信任的Pickle格式模型,並利用容器逃逸技術從自身租戶突破,危害整個服務,從而獲得對其他客戶模型的跨租戶訪問權限。

研究人員解釋說,「即便Hugging Face認為這個模型很危險,它仍然會讓用戶在平台基礎設施上進行推理。」這實質上允許攻擊者構造具有任意代碼執行能力的PyTorch(Pickle)模型,並將其與Amazon Elastic Kubernetes Service(EKS)中的配置錯誤相結合,以提升權限並在集群內部橫向移動。

研究人員表示,「我們獲得的秘密可能會對平台造成重大影響,如果落入惡意行為者手中。共享環境中的秘密通常會導致跨租戶訪問和敏感數據洩露。」

為了緩解這一問題,建議啟用具有跳躍限制的IMDSv2,以阻止容器訪問實例元數據服務(IMDS)並獲取集群內節點的身份。

研究還發現,當在Hugging Face Spaces服務上運行應用程序時,可以通過特殊設計的Dockerfile實現遠程代碼執行,並用它來拉取和推送(即覆蓋)內部容器註冊表上可用的所有映像。

Hugging Face在協調披露中表示,已經解決了所有已識別的問題。它還敦促用戶只使用來自可信來源的模型,啟用多因素身份驗證(MFA),並避免在生產環境中使用pickle文件。

研究人員表示,「這項研究表明,使用不受信任的AI模型(特別是基於Pickle的模型)可能會導致嚴重的安全後果。此外,如果您打算讓用戶在環境中使用不受信任的AI模型,確保它們在沙箱環境中運行至關重要。」

這一披露緊隨Lasso Security的另一項研究之後,該研究發現,像OpenAI ChatGPT和Google Gemini這樣的生成式AI模型可以向不警惕的軟件開發人員分發惡意(和不存在的)代碼包。

這意味著,攻擊者可以找到對一個未發布的包的推薦,然後發布一個被感染的包來傳播惡意軟件。這種AI包幻觀突出了在依賴大型語言模型(LLM)進行編碼解決方案時需要謹慎的必要性。

Anthropic公司也詳細介紹了一種名為「多次shots脫困」的新方法,該方法可用於繞過LLM中構建的安全保護,利用模型的上下文窗口來產生對潛在有害查詢的響應。

該公司本週早些時候表示,「輸入越來越多信息的能力對LLM用戶來說顯然有優點,但也伴隨風險:對更長上下文窗口的脫困漏洞。」這種技術基本上是在單個提示中引入大量虛假的人類-AI助手對話,試圖「引導模型行為」,以回答它通常不會回答的查詢(例如「如何製造炸彈?」)。

總而言之,本報告探討了AI即服務供應商面臨的關鍵安全風險,包括特權升級和跨租戶攻擊。報告強調了這些問題的嚴重性,並提出了一些緩解措施,如啟用IMDSv2、避免使用不受信任的模型以及在沙箱環境中運行這些模型。此外,報告還提到了LLM產生惡意代碼包的問題,突出了在依賴這些模型時需要更加謹慎的必要性。整體而言,本報告為AI系統的安全性提供了重要見解,為業界提供了值得關注的安全挑戰和應對方法。

詳情請看：

AI-as-a-Service Providers Vulnerable to PrivEsc and Cross-Tenant Attacks

Cybersecurity insiders：軟體供應鏈攻擊正在以驚人的速度升級

隨著 2024 年的到來,軟體供應鏈攻擊將持續以驚人的速度增長,這可以說是我唯一可以肯定的預測。作為 Phylum 研究部門的負責人,我的團隊的工作就是追蹤整個開源軟體生態系統中的惡意行為者,而 2023 年我們看到了許多令人擔憂的發展。我們在 2023 年第四季度的研究報告揭示,軟體供應鏈是最容易受到攻擊和最受歡迎的攻擊向量之一。因為開源軟體被用在 97% 的專案中,佔超過 70% 的代碼庫,這使得它成為一個易於瞄準的目標。該研究發現,受攻擊的組織數量和攻擊的複雜程度都有顯著增加,尤其是在金融和加密貨幣組織中,以獲取金錢為主要動機。

進入 2024 年,盜取生產系統的憑證和竊取金融資源(如個人身份信息、加密貨幣等)等常見攻擊手法將繼續成為主要威脅。攻擊者還將繼續採用勒索軟件式的攻擊手法 - 利用對客戶數據和資產的訪問權限,並通過威脅洩露被盜信息來勒索組織支付贖金。

意外的數字

這份季度研究報告顯示,與上一個季度相比,發布的軟件包有些許下降。但是,受攻擊組織的數量大幅增加 - 相比 2023 年第三季度增加了 262.63%,而第三季度比第二季度增加了 47%。這清楚地展現了 2023 年直接針對性攻擊不斷增加的趨勢。

儘管發布的軟件包數量低於先前的報告,但更多的包聚焦於特定組織,並顯示了與軟體供應鏈威脅相關的特定方法。

身份誤認

依賴混淆(Dependency Confusion)是一種軟體供應鏈攻擊,它利用了包管理器的一種混淆狀態 - 在檢查私有註冊表之前,首先在公共註冊表中查找命名的軟件包。攻擊者可以在公共註冊表上註冊一個同名的惡意軟件包,希望包管理器會誤把它下載為合法的軟件包。

另一種利用公共註冊表的方法是品牌劫持(Brandsquatting)。在這種方法中,威脅行為者使用流行的品牌名稱來掩蓋他們的惡意代碼,誘導、誤導和欺騙開發者下載惡意軟件包。

攻擊者越隱蠅越能獲得更大收益

在最近的研究中,兩種常見的針對軟體供應鏈的方法浮現出來:盜取生產系統的憑證和竊取金融資源(如銀行帳戶信息、加密貨幣等)。

在一次攻擊中,一個威脅行為者瞄準了一組廣泛使用的雲端服務 SDK。對代碼的審查發現,攻擊者特別對管理和處理憑證的關鍵部分感興趣。這觸發了一個隱蔽的 HTTP POST 請求,將用戶的訪問金鑰和密鑰發送到攻擊者控制的遠程 URL。通過對這些經過修改的軟件包進行輕微修改並在 PyPI 上重新發布,使用相似的名稱,攻擊者巧妙地融入其中,在不被發現的情況下維持了軟件包的預期功能。

這種方法在至少 5 個軟件包中使用,涉及一種簡單而有效的技術來掩蓋遠程 URL,展現了一種精心策劃的方法,以滲透進開發人員工作站和生產基礎設施中受信任的軟件組件。

一些組織採取主動的安全措施

2023 年 12 月,一篇報導披露了另一組非常複雜的軟件包的發現。與其他一些攻擊行為不同,這次攻擊非常有針對性。

這些軟件包包含一個加密組件,只有在特定網絡內的本地機器環境中解密密鑰(即主機名)後才能執行。一旦解密,載荷就會被執行,用戶憑證將在網絡內橫向移動到 Microsoft Teams Webhook。這只留下了幾個可能性:要麼是一個威脅行為者深入滲透了網絡,要麼是一次安全審核,要麼是內部人員的行為。

意識到這些軟件包的特殊目標,我們聯繫了受害組織,警告並緩解了這次攻擊。如果這是一個外部威脅行為者,組織需要在其造成重大損害之前得到通知。

進一步的分析發現,這是一次非常先進和複雜的攻擊,可以媲美其他 APT(Advanced Persistent Threat,高級持續威脅)攻擊行為。

然而,一旦與目標公司取得聯繫,我們發現這實際上是一項廣泛的內部安全評估的一部分,目的是模擬當前最嚴峻的現實世界威脅。被模擬的攻擊旨在複製組織在軟體供應鏈被利用進入其網絡時所看到的行為。

為何組織應將軟體供應鏈安全列為優先事項

在 2024 年,攻擊者將變得更加sophisticate,找到新的方法通過利用軟體供應鏈進入組織的寶貴客戶和公司數據。像依賴混淆和品牌劫持這樣的方法只是一個開始,它們很容易欺騙軟件包管理器和開發人員。

加強對軟體供應鏈的關注應該成為組織安全組合的關鍵組成部分,尤其是金融和加密貨幣行業。

詳情請看：

Software supply chain attacks are escalating at an alarming rate

Mcafee：如何防範二維碼網路釣魚等新型詐騙

隨著行動支付服務如Venmo、PayPal和Apple Pay的普及,以及餐廳普遍採用QR碼點餐,掃描QR碼已經成為人們日常生活中的一件再普通不過的事情。然而,隨之而來的是一種新型的網路詐騙手法,那就是所謂的「QR碼釣魚」。

根據聯邦貿易委員會的警告,詐騙分子正利用QR碼隱藏惡意連結來竊取個人資訊。這種新型的網路釣魚攻擊,突顯了詐騙手法正不斷在更新換代。為了應對這種變化,人工智慧(AI)正變得越來越重要,成為對抗詐騙分子的關鍵力量。

強化防範新型攻擊方式的防線

要保護自己免於遭受網路釣魚攻擊,保持警惕和採取積極的預防措施至關重要。我們必須仔細檢查所有收到的電子郵件、簡訊或社交媒體通訊,留意是否有任何可疑或未經授權的請求,尤其是那些催促立即採取行動或要求提供敏感資訊的。

我們應該避免點擊來歷不明的連結、下載附件或掃描陌生的QR碼。最好通過查看官方資料或直接聯繫該組織來確認發送者的合法性。

在接受QR碼所指向的網址之前,仔細檢查該網址的合法性。留意是否有拼寫錯誤或字元變更,尤其是如果它看起來像是熟悉的網址。

我們還應該定期更新智慧型手機的作業系統,加強線上帳戶的安全性,使用強密碼並啟用多重驗證機制,阻止未經授權的存取。

運用人工智慧對抗新型詐騙手法

隨著詐騙分子不斷更新自己的手法,要區分真假變得越來越困難。不過,我們現在有強大的技術可以用來應對他們的詭計。人工智慧可以實時分析大量數據,發現表明詐騙行為的模式和異常情況。通過不斷從新數據中學習並調整演算法,人工智慧可以保持領先於不斷演化的詐騙手法。

McAfee+的身份與隱私保護套件就利用人工智慧進行身份保護、交易監控、信用監控和主動式詐騙防護,以防範即使是最精密的詐騙企圖。其中的詐騙防護功能使用人工智慧技術阻擋有風險的網站,為意外點擊垃圾郵件連結提供二次防線,即使被騙點擊了,也不會打開詐騙網站。

我們不應該讓數位防禦靠運氣。來看看現在先進的安全技術是什麼樣子吧。

掃描QR碼已經成為現代生活中不可或缺的一部分,無論是行動支付還是點餐,QR碼都發揮著越來越重要的作用。然而,隨之而來的是一種新型的網路詐騙手法 - QR碼釣魚。詐騙分子利用QR碼隱藏惡意連結,企圖竊取用戶的個人資訊,這種手法不斷在更新演化,對使用者的網路安全構成嚴重威脅。

為了應對這種新型詐騙,我們必須時刻保持警惕,仔細檢查所有可疑的電子通訊,避免輕易點擊連結或掃描QR碼。同時,我們也應該加強自己的數位防禦能力,定期更新設備系統,使用強密碼和多重驗證來保護帳戶安全。此外,人工智慧技術也成為對抗詐騙分子的關鍵力量,它可以實時分析海量數據,發現異常情況,阻擋有風險的網站,成為我們的第二道防線。

只有我們時刻保持警惕,並充分利用先進的安全技術,才能真正有效地防範新型的QR碼釣魚詐騙。我們必須主動採取全方位的防範措施,才能在瞬息萬變的網路犯罪中保護好自己的資訊安全。

詳情請看：

How To Protect Against New Types of Scams Like QR Phishing

Mcafee：您是 Deepfake 攻擊的受害者嗎？接下來要做什麼

近年來,隨著人工智能技術的快速發展,deepfake(AI合成媒體)攻擊也日益增多,對個人隱私和財產安全構成嚴重威脅。這種新型攻擊手段利用AI聲音克隆工具,模仿目標人物的聲音,結合一些個人信息,製造出極具說服力的虛假訊息,誘使受害者付款或洩露重要資料。

根據統計,四分之一的人表示自己或其熟人曾遭遇過AI聲音克隆詐騙,造成的經濟損失高達數千至上萬美元。可見,deepfake攻擊不容小覷,我們有必要採取積極有效的措施,保護個人隱私和財產安全。

首先,我們應當審視自己在社交媒體和網路上的個人信息暴露情況,適當提高隱私設置,減少個人敏感信息在公共場合的曝光。另外,及時清除個人信息在各種數據經紀商網站上的蹤跡,堵住deepfake攻擊者獲取信息的管道。此外,定期刪除無用的線上賬戶,減少數據外洩風險。與親友約定口令提示,有助於識別可疑的詐騙訊息。

一旦不幸遭遇deepfake詐騙,首要任務是立即報警處理,收集有關證據線索。接下來聯繫涉及的金融機構和企業,盡快採取措施阻止進一步損失。在美國,可以向聯邦貿易委員會(FTC)舉報,獲取應對指南。無論在哪個國家,都應當主動採取信用凍結等保護措施,避免身份被進一步盜用。最後,投保身份盜竊保險有助於及時尋求專業幫助,盡快恢復正常。

總之,deepfake攻擊是一種新興的網路犯罪手段,給普通民眾的生活帶來了新的風險和挑戰。我們必須提高警惕,積極採取多管齊下的保護措施,嚴防此類犯罪分子盜取個人信息,避免蒙受無辜的經濟損失。同時也呼籲有關部門加大執法力度,從技術和法律層面共同打擊這類新型網路犯罪活動。只有社會各界通力合作,我們才能真正遏制deepfake詐騙的蔓延,維護個人權益,確保網路空間的安全有序。

詳情請看：

Are You a Victim of a Deepfake Attack? Here’s What to Do Next

微軟：安全副駕駛 MDTI 客戶指南

微軟Defender威脅情報(MDTI)是一項強大的情報產品,能讓安全專業人員直接存取、攝取並根據微軟每天數萬億個安全訊號採取行動。作為 Copilot for Security的客戶,我們能無限制地使用這項價值高達5萬美元的情報服務,不需額外付費。

MDTI提供完整的情報報告、威脅文章和情報簡介,涵蓋網路威脅參與者及其工具、戰術和程序的最新動態。其獨特的安全資料集可進行深入調查,揭露惡意基礎設施在全球網路威脅環境中的連結,突顯組織的薄弱環節,並解決網路攻擊中使用的工具和系統。

作為補充,MDTI能與微軟SIEM、XDR和AI解決方案無縫整合,讓Copilot for Security客戶能充分運用生成式AI和MDTI的深度威脅情報,快速了解攻擊的全貌、預測當前行動的下一步,並為組織制定最佳安全方案。我們可直接在 Copilot for Security獨立體驗或 Defender XDR 內嵌體驗中使用MDTI,也可在Defender XDR的「威脅情報」面板中存取MDTI的「分析員工作臺」體驗。

在Copilot for Security中,客戶能透過自然語言存取、操作和整合微軟的原始和完整威脅情報。我們可發出簡單的提示來瞭解威脅參與者、工具、入侵指標(IoC),以及與組織安全事件和警報相關的威脅情報。提示可詢問MDTI資料和內容的重要問題,例如「告訴我更多有關威脅參與者絲綢風暴」。我們還可針對特定安全事件撰寫量身定制的提示集,以獲取相關的應對指南。回覆中會包含來自MDTI的最新威脅情報,包括IoC、大規模收集和分析資料、情報文章、情報簡介(漏洞、威脅參與者、威脅工具)和指導方針。這些及時且相關的關鍵資訊能加強不同安全角色以機器速度和規模進行防禦的能力。

MDTI透過各種威脅情報技能為Copilot for Security賦能,讓客戶能快速檢索指標如IP位址和域名的資訊,並將這些工件與威脅文章和情報簡介等內容相關聯。此外,開箱即用的提示集能將MDTI內容和資料與Defender XDR中的其他安全資訊(例如事件和追蹤活動)相互關聯,協助客戶快速理解攻擊的廣度。這些功能將在Copilot for Security的獨立和嵌入式體驗中提供。

在Defender XDR中,MDTI可簡化安全分析師的分類、事件應對、威脅獵捕和漏洞管理工作流程,並在一個易於使用的介面中匯總和豐富關鍵威脅資訊。Copilot客戶可隨時隨地在Defender XDR內利用MDTI的資料集和內容,以提供額外的上下文並輔助調查工作。

總之,MDTI為Copilot for Security和Defender XDR帶來強大的威脅情報能力,讓我們能夠更有效率地揭露和化解網路威脅。透過自然語言提示和整合式體驗,我們能輕鬆存取、理解和運用MDTI所提供的關鍵情報,為組織防護提供無與倫比的優勢。

詳情請看：

A Copilot for Security Customer’s Guide to MDTI

Cybersecurity insiders：考慮從事治理、風險和合規工作嗎？遵循此路徑

打從網路時代到來後,資訊安全一直是企業和組織必須高度重視的課題。隨著科技不斷進步,網路威脅的類型和手法層出不窮,企業為了確保營運的永續發展,有效管理風險和符合法規要求,實在是至關重要。這就是為什麽治理、風險和合規(GRC)在網路安全領域扮演著舉足輕重的角色。

GRC專業人員的核心任務,是協助企業將資訊科技目標與整體營運目的緊密結合,有效評估潛在的網路風險、制訂相應的風控措施,並確保企業營運符合法律法規以及業界標準。他們負責將不同架構和準則融會貫通,建立周延的風險管理和法規遵循機制,以確保組織營運的透明度、責任制及合規性,達到降低風險暴露的目的。

要成為一名GRC專業人員,除了獲得專業證照,如ISC2主辦的CGRC(註冊GRC專業人士)認證之外,持續的學習和成長也是不可或缺的。畢竟網路威脅的態勢瞬息萬變,單單倚賴既有知識很難與時俱進,因此證照考試合格只是艱辛旅程的開端。專業人員還需透過各種彈性的學習方式,持續充實對新興網路威脅的認識,掌握最新的資訊安全趨勢和應對手法,無時無刻不在精進專業之道。

舉凡以講師帶領的線上授課、自學式的線上課程、針對特定主題的課程證書或是風險管理證書等,都是優質的進修方式。當然最重要的是實戰經驗的累積。據ISC2規定,取得CGRC要有至少兩年在七大領域範圍中的工作經歷。相關實務經驗能使理論知識內化為真知灼見,讓專業技能無往而不利。

總的來說,GRC專業人員所扮演的角色可說是偌大企業裡的關鍵一環,負責降低風險、維護資產、確保營運合規。這不僅是一份重責大任,更代表著對維護網路健康環境的莫大貢獻。只要立足專業,恪盡職守,GRC人員必將在資訊安全領域發光發熱,為社會和企業營運貢獻一份心力。

詳情請看：

Thinking about a Career in Governance, Risk and Compliance? Follow this Path

Help net security：對關鍵基礎設施的網路攻擊展示了先進的策略和新的能力

近年來,隨著地緣政治局勢日趨緊張,針對關鍵基礎設施的網路攻擊數量與手法也呈現攀升趨勢。身為網路安全專家的Marty Edwards表示,這確實應引起我們高度重視。不過,他認為國家層級的攻擊雖然備受矚目,但真正令人憂心的是犯罪份子的勒索軟體入侵,會造成更直接的實質衝擊。

網路攻擊的複雜程度與日俱增,主要原因是關鍵基礎設施系統與外部系統的高度interconnected性。這不僅增加了攻擊面向,更讓攻擊路徑的追蹤變得困難重重。加上勒索軟體服務(RaaS)的興起,使得勒索攻擊門檻大幅降低,任何人只要掌握基本技術,都可對關鍵設施實施破壞。

令人憂心的是,雖然網路威脅與日俱增,但不少企業對於關鍵設施的網路安全卻投資過於薄弱。Edwards直言,許多組織缺乏專職網安人力,甚至連網安預算都沒有,這種狀況若持續下去定將酿成重大危機。他建議,政府與企業應該共同努力,制定出高標準的網安規範,並將資源合理配置到人力與技術兩大領域。

在人力方面,Edwards認為每個營運關鍵基礎設施的企業都應設置專職網安團隊,並優先補實專業人力。在技術層面,則應廣泛部署能提升防護能力與威脅偵測能力的解決方案,以提升整體資安狀況。要解決這個問題,當務之急是培養人才,政府應將資安視為關鍵產業,投入資源補足人力缺口。

最後,他認為政府應與企業共同合作,先區分出關鍵程度最高的基礎設施領域,然後共同制定出切合實況的防護策略,並在執行過程中保持密切協調。唯有攜手合作,方能真正遏止不斷演進的網路威脅,保護關鍵基礎設施的安全。

總括而言,網路威脅與日俱增,勒索軟體更是導火線,關鍵基礎設施遭受破壞可能造成嚴重傷害。當前的挑戰在於過於輕忽這個問題、資源投入不足,以及專業人力嚴重匱乏。若政府與企業持續袖手旁觀,勢必酿下無法挽回的悲劇。我們必須採取積極作為,包括投資關鍵技術、嚴格執行高標準規範、大幅補實專業人力等,唯有如此方能在瞬息萬變的網路威脅前站穩腳步。

詳情請看：

Cyber attacks on critical infrastructure show advanced tactics and new capabilities

Help net security：位置追蹤與數位隱私之戰

隨著科技日新月異,位置追蹤技術已悄然融入我們的日常生活,帶來了種種隱私疑慮。透過分析用戶的位置資料,可以洞悉其醫療服務使用情況、宗教信仰活動、庇護所等敏感資訊,這些令人不安的情況正值得我們正視和深思。

位置資料蒐集無處不在,從手機地圖應用程式到第三方追蹤服務,都在無形中追蹤著我們的一舉一動。儘管這項技術原本的用途是為了方便生活,但卻也讓個人資料外洩的風險倍增。一旦個資落入不肖分子之手,恐將遭受騷擾、跟蹤等威脅,嚴重影響個人隱私和安全。

更令人髮指的是,龐大的位置資料經紀市場正以每年120億美元的規模蓬勃發展,個人的敏感位置資料往往被非法買賣,作為追債或剝奪財產的管道。這不啻是對隱私權的重大侵犯,迫切需要政府立法保護公民。

有鑑於此,我們身為數位公民必須提高警覺,採取各種可行措施,保護自身隱私。首先要審慎使用手機的位置分享功能,只在必要時啟用,並限制第三方應用程式獲取位置資料的權限。其次,我們應選擇重視隱私保護的服務商,詳閱其隱私政策,了解公司如何處理我們的資料。最後,政府也應立法規範位置資料的蒐集和使用,為公民權益把關。

隨著數位生活日益普及,這場爭奪隱私權的戰役勢必將持續發酵。我們都應意識到個人位置資料的敏感度,以維護自身權益,但同時也需要全民共同努力,促使科技與隱私在發展中取得平衡,讓我們能在安全有保障的環境下享受數位生活所帶來的便利。

詳情請看：

Location tracking and the battle for digital privacy

Help net security：Google 規劃如何讓被盜的會話 cookie 對攻擊者毫無價值

Google正在開發的一項新安全功能Device Bound Session Credentials (DBSC),旨在防止攻擊者使用被盜的工作階段cookies來存取使用者帳戶。這項新功能對於提升網路安全有極大的潛力,值得我們重視和瞭解。

網路犯罪分子常常會透過惡意軟體竊取使用者的工作階段cookies,進而能夠繞過雙重驗證機制,進入受害者的帳戶從事illegal活動。由於cookies被視為網路上的「通行證」,一旦遭竊,就等於將重要資訊和資產暴露在危險之中。

Google的DBSC就是要解決這個問題。它的作法是將驗證工作階段綁定到特定裝置。當使用者登入時,瀏覽器會在本機產生一組公私鑰,私鑰將以安全的方式儲存在裝置內無法外洩,如信賴平台模組(TPM)。每次存取需要驗證的資源時,伺服器會檢查裝置是否擁有對應的私鑰,以確保工作階段確實在該裝置上執行。

這種做法的優點是,即使攻擊者竊取到cookies,由於缺乏對應的私鑰,也無法利用被盜cookies冒充使用者存取資源。除非攻擊者能在本機對裝置下手,那麼他們的存在就很容易被偵測到。

DBSC不僅如此,它還融合了保護隱私的考量。它無法被用來追蹤使用者線上活動,因為不同工作階段的金鑰無法被關聯。使用者也可以隨時刪除金鑰。如果使用者關閉cookies,那麼DBSC在該情況下也會停用。

總的來說,DBSC是一種創新的解決方案,有助於遏止惡意份子利用被盜cookies從事犯罪活動。它提供了一種全新的驗證機制,大幅提高了安全性,同時也充分尊重使用者的隱私權。誠如報導所說,這項新技術受到了許多大廠的青睞,有望成為開放的網路標準,廣為採用。

當然,DBSC目前仍在實驗和發展階段,是否能夠真正發揮預期的效用,還有待時間來驗證。但就目前來看,它無疑是網路安全領域的一項重大突破,對於防範駭客入侵至關重要,值得我們高度關注和期待。

詳情請看：

How Google plans to make stolen session cookies worthless for attackers

Help net security：NVD：NIST 正在研究長期解決方案

網絡安全漏洞資料庫(NVD)近期出現了明顯的運作障礙,顯示了其作為關鍵基礎設施的重要性。NVD由美國國家標準與技術研究院(NIST)管理,是一個公開的資料庫,收錄了獲得CVE編號的軟體漏洞,並提供相關的評分、類型、影響平台等詳細資訊。這些資料對自動化漏洞管理至關重要。

NVD目前面臨的問題包括軟體和漏洞數量增加、政府部門支援改變等因素。NIST表示,他們正在優先處理重大漏洞,並與合作夥伴共同增加分析人力,同時也重新分配NIST內部人員支援此項工作。

此一情況引起了網路安全界的關注,不少專業人士連署向國會和商務部長呼籲,要求調查NVD的問題並提供必要資源,以恢復正常運作並改善現有問題。他們指出,許多組織完全依賴NVD的漏洞評分(CVSS)來決定修補優先順序,如果關鍵漏洞的評分延遲,可能會導致關鍵基礎設施運營商對風險曝露缺乏認知。

令人欣慰的是,NIST向外界保證,他們致力於維護和管理NVD,並正在努力尋求長期解決方案,包括成立一個由業界、政府和其他利害關係團體組成的聯盟,以協作研究改善NVD。該聯盟預計將在兩週內投入運作。

在最近的VulnCon大會上,NVD項目經理透露,未來五年NVD計劃進行多項改革,包括改善軟體識別、增強資料可用性,以及尋求自動化部分CVE分析活動的方式等。

總的來說,NVD面臨的困境凸顯了其作為關鍵網路安全基礎設施的重要性,吸引了各界的高度關注。我們應該支持NIST採取的各項措施,並期待聯盟的成立能夠推動NVD的長期改革與優化,以更好地滿足網路安全社群對漏洞資訊的需求。

詳情請看：

NVD: NIST is working on longer-term solutions

The hacker news：攻擊面管理與漏洞管理

在當今數位時代,網路安全已成為企業和個人無法忽視的重要議題。隨著科技的快速發展,網路攻擊手法也越來越精密,企業必須採取積極的防禦措施,保護自身資訊系統及數據的安全。在這份心得報告中,我將探討攻擊面管理(Attack Surface Management,ASM)和漏洞管理(Vulnerability Management,VM)之間的關聯與區別。

漏洞管理是指利用自動化工具來識別、優先排序及報告數位基礎設施中的安全問題和漏洞。它使用自動化掃描器定期對已知IP範圍內的資產進行掃描,以偵測已知和新出現的漏洞,從而讓您能夠修補、移除漏洞或減輕潛在風險。漏洞掃描器通常具有成千上萬種自動化檢查功能,透過探測和收集系統資訊,它們可以識別出可能被攻擊者利用來竊取敏感資訊、獲取未經授權的系統存取權或干擾業務運作的安全缺口。

另一方面,攻擊面管理的範圍更廣。它不僅包括資產探索,還能幫助您找出所有數位資產和服務,並降低或最小化它們遭受攻擊的風險。攻擊面管理從攻擊者的角度,從組織外部檢測所有已知或未知的資產(無論是內部部署、雲端、子公司、第三方或合作夥伴環境)。如果您不知道自己擁有哪些資產,就很難保護它們。

攻擊面管理的重點是減少不必要的服務和資產暴露在互聯網上,從而降低未來可能出現漏洞的風險。為了做到這一點,您首先需要知道有哪些資產存在。攻擊面管理的流程包括發現並繪製所有數位資產、確保可見性並建立存在記錄、進行漏洞掃描以識別任何弱點、自動化以確保每個建立基礎設施的人都可以安全地這樣做,並持續監控新的基礎設施和服務的啟用情況。

雖然攻擊面管理和漏洞管理的目標和範圍不同,但它們並非互不相干。相反,將兩者結合使用,可以創建一個更加全面、健全的網路安全態勢。透過識別資產和漏洞,您可以更有效地優先考慮安全工作,並更好地分配資源,從而降低成功攻擊的可能性和潛在影響。

總的來說,在數位時代,我們都應該時刻提高警惕,竭盡全力保護自身的網路安全。現代的攻擊面管理和漏洞管理解決方案(如Intruder)可以幫助企業檢測影響其組織的漏洞,提高對攻擊面的可見度和控制能力,監控網路變化和SSL/TLS證書到期日期,掌控雲端基礎設施,並且只需為活躍目標付費。讓我們一起努力,構築一個更加安全的數位世界!

詳情請看：

Attack Surface Management vs. Vulnerability Management

Help net security：先進的網路安全策略可提高股東回報

近期一項由Diligent和Bitsight合作發佈的報告,揭示了企業良好的網路安全管理績效,與股東的投資回報率之間存在著顯著的正相關。該報告指出,展現出高級網路安全表現的公司,其股東報酬率比網路安全表現一般的公司高出372%。這項研究結果再次凸顯了企業重視網路安全風險管理的重要性。

網路安全風險成為董事會的當務之急

隨著網路攻擊事件的頻率和嚴重程度不斷升高,網路安全風險已經成為董事會面臨的最主要挑戰之一。有預測指出,到2025年因資料外洩而造成的財務損失可能高達10.5兆美元。在如此龐大的風險下,董事會必須加強對網路安全風險的監督,以保障企業的利益。

不同產業的網路安全表現參差

報告也發現,高度受規管的行業,如醫療保健和金融服務業,擁有最高的網路安全評級。而那些設有專門的風險委員會或審計委員會的公司,其網路安全表現也較沒有這些委員會的公司來得優異。

董事會獨立董事人數與網路安全表現呈正相關

在網路安全表現傑出的公司中,董事會中的獨立董事人數比例約為76%,遠高於表現一般的公司(66%)。這凸顯了獨立董事在監督公司網路安全政策執行上的重要角色。

委員會成員的網路安全專業度是關鍵

僅在董事會擁有網路安全專家是不夠的,這些專家必須直接參與網路安全監督。報告指出,若網路安全專家同時也是風險或審計委員會的成員,公司的平均網路安全評級可達700分;但若該專家僅在董事會任職而未參與相關委員會,公司的評級則僅有580分。

網路安全已不僅是風險管理,更是企業營運的關鍵指標

AKnowledge Partners的CEO Homaira Akbari博士認為,網路安全已不僅是風險規避的問題,更成為企業財務績效的重要指標。企業必須將網路安全視為營運策略的基石,並由董事會給予全力支持。

Bitsight的風險長Derek Vadala也指出,市場領導企業傑出的網路安全表現,源自於將網路安全績效作為關鍵績效指標,並與高階主管和董事會共同分享這些數據。企業的資訊安全長的角色已發生轉變,網路安全風險管理已成為企業營運績效的重要面向。

總括而言,本次報告凸顯了企業重視網路安全管理,對於維護股東權益、財務體質和公司聲譽等方面都有著正面影響。展望未來,網路安全將與企業營運更加緊密結合,成為董事會治理和營運策略的核心課題。

詳情請看：

Advanced cybersecurity strategies boost shareholder returns

Help net security：人工智慧濫用和錯誤訊息活動威脅著金融機構

當代社會,人工智慧(AI)的發展已經無可避免地影響到各行各業,金融業自然也不例外。隨著生成式AI的興起,它為金融機構帶來了許多商業和網路安全上的效益,但同時也存在著一些安全威脅和風險。

首先,網路犯罪分子可能會濫用AI技術進行資料外洩行為。他們可以利用AI自動大量產生具有誘騙性的釣魚郵件,誘使受害者不知不覺洩漏敏感資訊。更有甚者,高手級駭客還可能竄改用於訓練生成式AI模型的大量語料庫數據,從而導致AI輸出受到污染,進而危及金融機構的合法性、聲譽和營運。

此外,即使沒有惡意的威脅,生成式AI模型訓練數據本身也可能存在問題,例如包含了銀行帳戶或信用卡號碼等隱私資訊,或者受到了某些偏見的影響。若金融機構在使用AI輸出時未經適當審核,輕率採信了這些有問題的資訊,也可能失去監管機構、消費者和投資者的信任。

不只網路安全方面,生成式AI也可能被惡意利用於其他方面。隨著新法規的出台實施,網路犯罪分子可能會利用AI技術,武裝勒索軟件攻擊的能力,迫使被攻擊企業在法定揭露期限前就範付贖,以避免敏感資訊被公開。

此外,量子運算和AI的最新進展,對現有的加密技術也帶來了挑戰。金融業應加強研發新型加密方法,以因應未來的變革。供應鏈中的零日漏洞,也可能讓金融業暴露在網路攻擊的威脅下,例如針對交易、支付及後勤作業系統的攻擊。

為了應對種種威脅,金融業必須採取行動,加強網路衛生,確保在遭受攻擊時仍能維持營運。與供應商建立緊急應變管道,要求他們加強網路安全防護,並與整個產業共同分享資訊,緊密合作,勢將是未來的必要之舉。

總的來說,生成式AI無疑為金融業帶來許多好處,但也引發了新的網路安全風險。我們必須審慎評估AI的使用,並制定完善的因應措施,方能在享受AI帶來的紅利的同時,也確保金融業的系統和數據安全,維護整體運作的可信賴性。

詳情請看：

AI abuse and misinformation campaigns threaten financial institutions

Help net security：基於雲端的身份在多大程度上擴大了您的攻擊面？

隨著雲端身分識別供應商(IdP)的使用日漸普及,我們都意識到這樣做會擴大系統遭攻擊的風險面向,但究竟會增加多少呢?答案似乎是難以確定的。

正如籃球巨星邁克爾·喬丹所說:"掌握基本功,你做任何事都會變得更好。"在探討如何安全地運用雲端身分管理之前,我們有必要回到基礎,承認它的風險。

雲端IdP與攻擊面風險擴增

IdP會在雲端伺服器上儲存使用者的網路存取憑證,轉而使用雲端身分管理就意味著有更多途徑讓攻擊者取得系統的"鑰匙"。

首先,您無法完全控制這些憑證。

此外,您的網路更容易遭受各種攻擊,例如勒索軟體。您不僅要擔心自己的使用者,還要擔心平台上數以萬計的其他使用者點選了釣魚連結。

攻擊面會擴大到何種程度?

2023年10月,Okta資安團隊發現有駭客利用竊取的憑證存取公司的支援案例管理系統。駭客藉此進入內部系統,並使用最近支援案例的有效會話權杖存取Okta客戶上傳的檔案。

會話權杖一旦被攻擊者利用,風險就會大增,因為這個分散式存取點可能會發放大量的存取權限給未經授權的使用者。

舉例如下:

會話權杖本身:在這次入侵事件中,攻客取得了管理員的會話權杖,不僅能輕易劫持網路帳號存取權,還可存取透過SAML單一簽入整合的更多商業應用程式。

延伸存取:攻擊者利用從一個客戶竊取的會話權杖,存取了數十個IdP客戶的網路和資料。

橫向移動:一個權杖就讓攻擊者可在平台內的應用程式間游移,並輕易將攻擊範圍擴及雲端的其他區域。

一個已被駭客入侵的使用者帳號,加上會話權杖安全性等各種遭破解的機制,就能打開許多網路滲透的可能性。

解決方案為何?

降低雲端IdP導致的攻擊面擴增風險的第一步,就是承認存在這些風險及潛在的漏洞。

如果您使用雲端IdP,可啟用多重身份驗證(MFA),並針對管理員會話提供透明度的存取控管措施,以提高會話權杖的安全性。

健全的以角色為基礎的存取控管也能協助您阻擋未經授權的存取,即使攻擊者擁有有效憑證。

如果您尚未採用IdP,但組織正計劃朝這個方向邁進,則最好是在轉移之前先規劃風險因應措施。例如,您可以選用不會在雲端儲存使用者網路存取憑證的身分識別供應商。

對於某些組織而言,讓使用者安全地存取雲端資源,同時將身分管理保留在內部部署環境,或許是更好的選擇。

是時候重新思考如何管理雲端身分認證風險了嗎?

IT主管應該為這樣的事實做好準備:我們可能無法完全評估雲端身分認證會擴增多少攻擊面,而且未來也難以確定。這很重要,原因有一個:風險管理。如果不知道風險存在,就很難加以管理。

當資訊安全長官承受了前所未有的壓力,必須證明所有存取點都受到保護時,也許是時候重新評估組織能承擔多少風險了。雖然雲端IdP能提供可擴展的存取管理,但會大幅擴大組織的攻擊面,尤其是涉及會話權杖等分散式存取點的情況下。

這些資安事件可能正是一記醒鐘,讓我們意識到在不完全了解風險的情況下,我們可能是太急於採用雲端身分識別了。

詳情請看：

How much does cloud-based identity expand your attack surface?

Tenable：網路安全快照：美國政府揭露人工智慧對銀行的威脅，NCSC 敦促 OT 團隊保護雲端 SCADA 系統

網絡安全快照觀察到近期有多項重點發展值得關注。首先,美國財政部發布報告,指出人工智能為金融詐騙帶來新風險,提醒銀行等金融機構採取應對措施,包括制定人工智能風險管理框架、審視供應商人工智能應用等。另一方面,英國網絡安全中心亦提醒企業在將監控控制及數據採集(SCADA)系統遷移至雲端時,必須優先考慮網絡安全,因為系統架構及存取控制會有重大改變。

此外,美國網絡安全與基礎設施安全局(CISA)及聯邦調查局亦促請科技公司停止生產含SQL注入漏洞的網絡應用程式,這是一個自2007年已被視為「不可原諒」的軟件缺陷。兩個部門呼籲廠商檢視其產品,若發現SQL注入漏洞須即時修補。針對分佈式阻斷服務(DDoS)攻擊,CISA及聯邦調查局更新了指引文件,將攻擊分為三類並提出預防及應對建議。

從業者問卷調查顯示,大部分已推行持續威脅暴露管理(CTEM),惟成熟度參差。與此同時,谷歌數據指2023年被利用的零日漏洞有所增加,反映網絡攻擊手段日益進化。整體而言,人工智能、雲端科技、網絡安全漏洞等新興威脅與趨勢,凸顯企業必須持續完善網絡防禦,強化風險管理和應變能力。

詳情請看：

Cybersecurity Snapshot: U.S. Gov’t Unpacks AI Threat to Banks, as NCSC Urges OT Teams to Protect Cloud SCADA Systems

Cybersecurity insiders：當有人在網路上竊取您的身分時該怎麼辦？ – 8 個專家提示

隨著網路科技的便利性日益增加,我們的生活也愈來愈依賴線上活動,從購物、工作到社交互動等,透過網路無遠弗屆。然而,這種便利性卻也帶來了一些風險,其中最令人憂心的就是網路身分盜竊的犯罪行為。一旦個人資料遭到盜用,可能造成金錢和信用上的重大損失,影響深遠。

據統計,到2029年,用於保護個人免受身分盜竊的產業預計將成長至280億美元的規模,可見這個問題的嚴重性。即使在目前,每年美國因身分盜竊而遭受的損失高達102億美元,平均每個受害者的損失約為500美元,而且這個數額還在持續上升中。除了金錢上的損失,身分盜竊也會嚴重影響受害者的信用評等,進而影響未來的借貸或就業機會。

面對如此龐大的風險,我們都應該採取積極的防禦措施,提高警覺並制定應變計畫,以防萬一真的發生身分盜竊的情況。首先,我們必須時刻保持高度的網路安全意識,使用複雜密碼、小心釣魚詐騙郵件,並定期檢查個人的信用報告。如果不幸遭到身分盜竊,則必須立即採取行動,控制損失並追查罪犯。

當發現身分遭盜用時,首要工作就是更改所有可能被盜用的帳號密碼,並向銀行、信用卡公司等相關單位報案,凍結可能遭盜用的帳戶。接下來,要試著追蹤身分被盜的來源,是否是郵件釣魚、供應商洩露資料等,以防止再次發生類似事件。同時也要立即聯繫所有可能被冒用身分的單位,釐清事實真相並要求他們撤銷一切未經授權的交易紀錄。

長期來說,最重要的工作是維護自己的信用紀錄。我們可以要求信用機構在報告中註記身分盜竊的情況,並針對任何未經授權開立的帳戶提出異議,確保不會影響個人的信用評等。未來也要持續提高警覺,採取如安裝防毒防火牆軟體等積極的網路安全防護措施,避免再次成為受害者。

身分盜竊犯罪無疑是現代科技發展所帶來的一大隱憂,但我們絕不能因此對網路世界卻步。相反地,我們必須透過自我武裝、提高警覺和制定應變計劃,積極應對這個挑戰。只要採取正確的防護措施,便可大幅降低遭到身分盜竊的風險,並在萬一發生時迅速控制局面,將損失減到最小。讓我們共同努力,確保網路世界的安全,充分享受網路帶來的種種好處。

詳情請看：

What to Do When Someone Steals Your Identity Online? – 8 Expert Tips

Help net security：XZ Utils 後門更新：哪些 Linux 發行版受到影響以及您能做什麼？

近日有關 XZ Utils 被植入後門程式碼的爭議,影響了多個 Linux 發行版本,為開源軟體社群帶來震撼。作為一個常見的解壓縮工具,XZ Utils 竟然遭到可疑維護者的惡意破壞,令人倍感憂心。這起事件凸顯出開源軟體供應鏈安全的重要性,並引發了社群對現有安全防禦措施的反思。

首先,我們必須讚揚發現這一漏洞的微軟工程師 Andres Freund。正是他在測試 Debian sid 時發現異常,並深入調查才揭露了這一陰謀。Freund 的專業素養和對開源事業的熱忱,避免了更嚴重的後果。我們由衷感激像他這樣勇於揭露真相的人。

其次,各大 Linux 發行版團隊在第一時間回應並採取了應對措施,展現了開源社群的力量。Red Hat、openSUSE、Debian 等知名發行版維護者迅速確認受影響版本,並向用戶發出了更新建議。透過社群的共同努力,這一危機很快得到了控制。

然而,這一事件也反映出開源軟體供應鏈存在潛在的風險。即使是廣為流通的程序庫,也可能被惡意行為者滲透和控制。我們必須審視現有的安全防護機制,尋找薄弱環節並加以改進。或許可以考慮引入更嚴格的代碼審查、信任模型等措施,以確保關鍵軟體的完整性。

此外,開發者之間的信任關係受到了動搖。"Jia Tan"這個身份背後的幕後黑手,耗費了多年的心力來贏取社群的信任,其手段之高明令人矚目。而正是對這一假名的盲目信任,導致了程式碼被植入後門。這無疑給開發者之間的合作帶來了陰影,未來或需更審慎對待新加入的貢獻者。

總的來說,這一事件是開源社群一次沈重的教訓。它提醒我們,開放和透明並不意味著可以掉以輕心。我們必須時刻保持警惕,不斷強化開源軟體供應鏈的安全防護。只有社群的共同參與和不懈努力,才能夠避免此類事件在未來重演,維護開源軟體的可信賴性。讓我們從這次事件中吸取教訓,為構建一個更加安全的開源生態貢獻自己的一份力量。

詳情請看：

XZ Utils backdoor update: Which Linux distros are affected and what can you do?

微軟：實現經濟高效的 Azure 監控與日誌分析的四種策略

本篇文章探討了在Azure Monitor和Azure Log Analytics下,運用四大關鍵領域的最佳實踐方式,以達成最佳化的雲端資源管理和成本控制。透過有效的數據攝取考量、明智的數據保留政策、變換資料以精簡內容,以及良好的成本管理實務,企業能夠在確保服務績效和資料完整性的同時,大幅降低監控相關的雲端支出。

第一,審慎規劃數據攝取策略是控制成本的第一道防線。透過在數據收集規則(DCRs)下篩選並只攝取必要資訊,能有效降低每月的攝取費用。舉例來說,對於虛擬機器監控,我們可在DCRs下調整會收集哪些記錄檔或效能計數器、調整收集頻率等,來控制所需攝取的資料量。

其次,設定合理的數據保留政策,能避免不必要地為歷史數據付出過多儲存成本。Azure Log Analytics提供了自動清除超過規定期限資料的選項,並可分別針對不同資料表設置保留期限。另外也可透過匯出資料到Blob儲存體,配合生命周期管理政策來管理成本。

第三,靈活運用Azure Log Analytics中的Kusto查詢語言(KQL),在資料匯入工作區前對數據進行轉換加工,能確保只有有價值的資訊進入儲存。舉例來說,我們可設置轉換規則來刪除不必要的欄位、篩選出指定嚴重性程度的事件紀錄等,進一步降低儲存成本。

最後,透過Azure成本管理與計費工具,我們能掌握Azure資源的使用情形,找出主要成本來源,並據此調整如上所述的攝取、保留、轉換策略。此外,訂定預算與警示、購買資源認購方案等,皆有助於更聰明地管控雲端支出。

總括而言,有效的成本優化需要從數據生命週期的各個環節精心規劃與執行,透過合理取捨,在資料洞見的需求和財務考量間,尋求最佳平衡點。藉由因應企業實際需求調整各項策略,Azure Monitor與Log Analytics的功能方能在符合成本預算下,發揮最大價值。

詳情請看：

Four Strategies for Cost-Effective Azure Monitoring and Log Analytics

訂閱：意見 (Atom)

Blog Archive

Popular Posts

Categories

搜尋此網誌

About