Help net security：Pktstat：開源乙太網路介面流量監控器

首先,我對於開源軟體的概念非常欣賞。開源軟體不僅免費,而且讓各界人士都能夠查看和修改它的原始碼,促進知識的傳播與分享。Pktstat作為一款開源工具,讓使用者無需付費便能享有強大的網路流量監控功能,這對於小型企業或個人來說無疑是一大福音。

再者,Pktstat具有跨平台的優勢,能在Linux、Darwin等不同的Unix系統上運行,擴大了其使用範圍。它通過適當的技術選擇(Linux系統使用AF_PACKET,其他系統使用PCAP),確保了在不同環境下的高效執行。這種設計思維值得讚賞,讓Pktstat不會被特定平台所限制。

此外,Pktstat提供了詳細的網路流量統計資訊,包括每個IP地址、通訊協定(IPv4、IPv6、TCP、UDP等)的資料流量、分組數量,以及對應的源目的IP端口組合。這些數據之詳盡程度遠超一般的網路監控工具,對於故障排查和網路優化來說是莫大的助力。

最後,我想談談Pktstat的高性能設計。作者Dinko Korunic先生為了不失去性能而捨棄了最大相容性,專門為Linux系統設計了基於eBPF的高效模組,能做到線速分析。這種高效能和低資源佔用無疑將Pktstat推向更高層次。

總的來說,Pktstat無論是從設計理念還是實際功能來看,都展現了開發者的用心與努力。作為一個開源、跨平台、高性能的網路流量監控工具,它絕對值得網路管理人員和相關從業人員使用和關注。我期待Pktstat能持續發展,為網路監控領域帶來更多創新。

詳情請看：

Pktstat: Open-source ethernet interface traffic monitor

Help net security：安全工具無法為高階主管轉化風險

現今組織正面臨著內部溝通障礙的挑戰,這阻礙了他們有效應對網路安全威脅的能力。根據Dynatrace的調查報告顯示,資訊安全長(CISOs)在協調安全團隊與高層主管之間存在重大困難,導致組織對於網路風險的認知存有落差。因此,在人工智慧(AI)驅動的攻擊日益增加之際,企業反而更容易遭受先進的網路威脅。

該報告是根據對1,300名資訊安全長以及10名來自員工人數超過1,000人的企業的CEO和CFO所做的訪談而得出。調查結果揭示了資訊安全長在組織內部所面臨的挑戰。

資訊安全長與高階主管之間存在組織層面挑戰

高達87%的資訊安全長表示,應用程式安全對於CEO和董事會而言是一個盲點。然而,訪談中有7成的高階主管則指出,安全團隊往往只用技術術語描述,缺乏商業背景說明。不過,75%的資訊安全長則強調,問題的根源在於目前的安全工具無法產生高階主管和董事會能夠理解的商業風險和威脅洞見。

隨著AI驅動攻擊和網路威脅的日益增加,解決這種技術和溝通差距變得更加重要,因為它們大幅增加了企業的風險。在這種背景下,72%的資訊安全長表示,他們的組織在過去兩年內曾遭遇過應用程式安全事件。這些事件帶來重大風險,其中47%的資訊安全長指出已經影響收入,36%被處以監管罰款,28%導致市場份額流失。

Dynatrace技術長Bernd Greifeneder表示:"網路安全事件對組織及其客戶可能造成毀滅性影響,因此這個問題理所當然地已成為董事會關注的重要議題。然而,由於無法將對話從位元組提升到特定的商業風險層面,許多資訊安全長都在努力推動安全團隊與高層主管之間的協調一致。資訊安全長迫切需要找到一種方式來克服這一障礙,並建立共同分擔網路安全責任的文化。這對於提高他們有效應對安全事件的能力並降低風險曝露至關重要。"

資訊安全長強調DevSecOps自動化在風險緩解措施中的重要性

隨著AI的興起,推動安全團隊與高層主管之間更緊密的聯繫變得更加重要,因為AI為組織帶來了額外的風險。52%的資訊安全長擔心AI可能使網路犯罪分子更快創建新的漏洞並在更大範圍內執行;另有45%的資訊安全長則擔心AI可能使開發人員加快軟體交付速度而缺乏適當監督,從而帶來更多漏洞。

為了尋求解決方案,83%的資訊安全長表示,DevSecOps自動化對於管理AI帶來的漏洞風險至關重要。此外,71%的資訊安全長認為DevSecOps自動化對於確保採取合理措施來盡量降低應用程式安全風險至關重要。

再者,77%的資訊安全長表示,目前的XDR和SIEM等工具由於缺乏推動大規模自動化所需的智慧,因此無法管理雲端複雜性。另外70%的資訊安全長認為,需要多種應用程式安全工具會因為必須整合不同數據源而導致操作效率低落。

Greifeneder總結道:"AI的日益使用是一把雙刃劍,為數位創新者和試圖入侵防禦者創造了效率提升。一方面,開發人員透過AI生成的代碼在未經充分測試的情況下更容易引入漏洞;另一方面,網路犯罪分子可以開發出更自動化和先進的攻擊來利用這些漏洞。另外,組織還必須遵守新出台的法規,例如證券交易委員會的規定,要求他們在四天內識別和報告攻擊的影響。組織迫切需要現代化其安全工具和實踐,以保護其應用程式和數據免受當代先進的網路威脅。最有效的方法將建基於統一平台,推動成熟的DevSecOps自動化,並利用AI來處理任何規模的分佈式數據。這些平台將提供整個企業都可以團結一致並用於證明符合嚴格法規的洞見。"

Next DLP的資訊安全長Chris Denbigh-White向Help Net Security表示:"資訊安全長對技術細節的關注可能會掩蓋了更廣泛的業務策略和風險管理背景。相反,高層主管往往將網路安全只視為眾多營運事務中的一個。資訊安全長需要全面理解網路安全對於支持組織的業務目標(如收益創造)的重要性,而不是在一種假設下運作,認為業務需要支持一個網路安全議程。事實並非如此!高層主管和資訊安全長都必須超越自己的觀點,了解網路安全在更廣泛的業務環境中所扮演的角色。只有這樣,才能在任何有意義的層面上取得進展。"

總的來說,本文闡述了目前組織內部存在溝通鴻溝,使得資訊安全長和高層主管對於網路風險有著認知落差的困境。隨著AI威脅的日益增加,這種落差將進一步加劇組織的風險曝露程度。報告建議透過DevSecOps自動化、智能化安全平台等措施來加強協調合作,提升組織的應對能力。資訊安全長和高層主管雙方都需要展現更高的認知共識,方能真正達成網路安全防護的目標。

詳情請看：

Security tools fail to translate risks for executives

Cybersecurity insiders：勒索軟體駭客透過孩子的手機號碼打電話給父母

近期有一種令人髮指的新型網路犯罪手法受到關注,它暴露了勒索軟體駭客為獲取贖金,竟然沒有底線可言。谷歌旗下網路安全公司Mandiant執行長Charles Carmakal,在最近的RSA網路安全會議上指出了一個令人不安的狀況。

根據Carmakal的說法,網路犯罪分子開始鎖定兒童的手機號碼,透過SIM卡交換的手法,非法將受害者的手機號碼轉移到新的SIM卡上。接著,駭客就能利用這個被竊取的手機號碼,打電話給受害兒童的父母,並以各種威脅的手段勒索贖金。

這無疑是一種心理操作的犯罪手法,目的就是想盡辦法逼迫受害人就範。有些特別卑劣的個案中,駭客甚至會冒充受害者子女的身分,打電話給企業高階主管,若不立即支付贖金,就威脅要對子女不利。這種詐騙手法被稱為"來電顯示偽造(Caller ID Spoofing)"。

想像一下,你正在開重要會議時,孩子的手機號碼突然打了過來,你一定會感到非常焦慮。駭客往往會編造令人信服的故事情節來威嚇受害者,藉由切身利害關係來增加付贖的可能性,通常要求用加密貨幣支付贖金。

一般針對行動裝置的勒索軟體攻擊,駭客會竊取通訊錄內容並威脅公開個人照片、訊息和聯絡人資料,除非你支付贖金。但若針對企業環境,那麼公司高層主管就會成為駭客鎖定的主要目標。除了被加密的資料庫帶來的風險,遭駭客洩漏機密資訊的危險同樣存在。

面對如此嚴峻的網路威脅,尋求執法單位協助並聽從網路安全專家的建議,盡量減低風險,似乎是現階段最可行的因應之道。我們有必要提高警覺,認清勒索軟體犯罪分子無所不用其極的犯罪手段,同時也呼籲業界團結一致,共同遏止這類肆無忌憚的犯罪行為,遏阻它們在網路世界中蔓延。

詳情請看：

Ransomware hackers calling parents from their Children mobile phone numbers

Cybersecurity insiders：保護您的家庭：實現資料安全的策略

在這個數位化時代,資訊科技無所不在,確保我們家庭資料的安全變得至關重要。從個人財務到敏感文件,再到珍貴的回憶,數位世界裡充斥著寶貴的資產,這些資產都需要受到適當的保護。

為了有效地保障我們家庭的資料安全,並減少網路威脅所帶來的風險,我提出以下可行的策略,希望能為大家樹立一個安全的數位生活環境。

首先,資訊安全教育是奠基的第一步。我們每個人都需要了解網路安全的重要性,熟悉釣魚詐騙的手法,並瞭解強密碼的重要性。只有將風險意識深植人心,我們才能真正地防患於未然。

其次,密碼管理是另一個不可或缺的關鍵。我們應該為每個線上帳號設置獨一無二的強式密碼,並考慮使用可靠的密碼管理器來生成和儲存複雜的密碼。此外,在任何可能的情況下,都應啟用雙重認證機制,為帳號增加額外的防護層。

除此之外,我們也要確保所有設備(包括電腦、手機和平板電腦)都已安裝最新的系統更新和防毒軟體,並啟用裝置加密功能,以防止資料在遺失或被盜的情況下外洩。同時,生物識別認證(如指紋或臉部辨識)也是一種值得考慮的安全措施。

上網時,我們必須格外小心謹慎。教育家人避免點擊可疑連結或從未知來源下載附件檔案。安裝廣告攔截器和針對隱私權的瀏覽器擴充元件,以降低接觸到惡意內容的風險。

家中無線網路的安全性也不容忽視。我們應該為Wi-Fi網路設置一個強大且獨特的密碼,並啟用WPA2或WPA3加密協定。考慮為訪客設置獨立的客人網路,以防範未經授權的訪問。此外,定期更新路由器的韌體也很重要,以修補安全漏洞。

資料備份策略對於防止資料遺失至關重要,無論是因為硬體故障、失竊還是網路攻擊。我們應該同時利用本地和雲端備份解決方案,以確保備份的冗餘性。定期測試備份的完整性和可靠性也是非常必要的。

在網路世界中,我們必須精心管理個人資訊的分享程度,特別是在社交媒體平台上。避免過度分享個人詳細資訊,如出生日期、地址和財務資訊,因為這些資訊極易被網路犯罪分子利用。

對於家中較年輕的成員,我們更應密切監控他們的網路活動。安裝家長控制軟體可以限制不當內容的訪問,並監控他們的上網模式。同時,教育孩子們網路安全意識,讓他們了解與陌生人在線互動的潛在風險。

此外,我們有必要時刻關注新興的網路威脅和趨勢。訂閱值得信賴的網路安全部落格、電子報和新聞媒體,以獲取及時的更新和安全建議。在家人之間保持坦誠的溝通,積極討論任何安全顧慮或事件。

最後,制定一個完善的應急響應計劃也是必要的。該計劃應明確在發生安全入侵或資料外洩時應採取的步驟,分配家人的角色和責任,並進行演練,確保每個人在緊急情況下都能夠及時有效地採取行動。

透過實施這些積極主動的措施,我們就能顯著提高家庭的資料安全防護水準,將網路威脅帶來的風險降至最低。但請記住,資料安全是一個持續不斷的過程,需要全家人的共同努力和警惕。保護今天的數位資產,就是守護明日家庭的未來。

詳情請看：

Safeguarding Your Family: Strategies for Achieving Data Security

Help net security：ExtraHop 發布 AI 工具以自動化 SOC 工作流程

信息科技的迅猛發展為我們的生活帶來了前所未有的便利,但同時也帶來了新的風險和挑戰。網絡安全無疑是當前最為棘手的問題之一。隨著網絡攻擊的規模和複雜性不斷增加,傳統的安全運營中心(SOC)模式已經無法滿足現代化企業的需求。

ExtraHop最近推出的一系列AI工具正是針對這一問題而設計的創新之作。這些工具植根於RevealX平台,旨在自動化SOC工作流程,緩解分析師的工作強度,提高效率。

其中最引人注目的莫過於生成式AI搜索助手。這一工具能夠讓SOC分析師通過自然語言界面進行威脅搜尋,快速發現攻擊指標。不僅如此,它還能根據企業環境的具體情況,智能地推薦相關查詢,幫助分析師全面檢視攻擊面。這一功能無疑大大簡化了威脅獵捕的流程,使分析師能夠高效地識別出潛在的安全隱患。

另一項值得關注的創新是"智能調查"功能。它利用ExtraHop領先的機器學習架構,通過相關聯高風險攻擊模式中的檢測結果,自動生成調查報告。基於實時網絡數據,這一功能能夠優先處理最為緊迫的威脅,加快調查和響應速度,確保企業運營的持續性。

總的來說,ExtraHop的這些AI工具都是將人工智能技術深度融入SOC運營的有力實踐。它們旨在自動化一些耗時且枯燥的任務,如威脅獵捕、警報相關性分析和優先級排序等,從而釋放分析師的精力,將更多資源集中於應對關鍵性威脅上,全面提升企業的網絡安全防護能力。

當前,採用AI和機器學習技術來管控網絡風險已經成為許多安全決策者的當務之急。根據2024年《全球網絡安全信心指數》的調查結果,38%的受訪者將之列為本年度首要任務。這反映出傳統安全運營模式正面臨著前所未有的挑戰,AI無疑是突破困境的關鍵所在。

ExtraHop推出的這一系列AI工具,是業界對這一趨勢的積極回應。它們汲取了ExtraHop長期以來在AI和機器學習領域的研究積累,展現出創新的產品理念和技術實力。相信在不久的將來,這種結合人工智能的SOC運營模式必將成為行業新的發展方向。

從更長遠來看,安全運營中心正在經歷著一場根本性變革。AI不僅在提高運營效率方面大有可為,更可能從根本上重塑威脅檢測、調查和響應的全流程。我們有理由期待,在AI的驅動下,網絡安全防護將邁向一個全新的里程碑。

詳情請看：

ExtraHop releases AI tools to automate SOC workflows

Help net security：紅帽推出 RHEL AI 以簡化 GenAI 模型測試和部署

紅帽公司推出RHEL AI平台,旨在簡化生成式AI模型的測試和部署流程,這是一項令人振奮的創舉。RHEL AI融合了多項創新技術,包括IBM研究院開發的開源Granite大型語言模型家族、基於LAB(Large-scale Alignment for chatBots)方法的InstructLab模型對齊工具,以及以社群驅動的方式推動模型發展的InstructLab專案。

這套完整解決方案被打包成一個經過優化的可開機RHEL映像檔,可在混合雲端環境中於個別伺服器上部署;它同時也是紅帽混合機器學習操作(MLOps)平台OpenShift AI的一部分,可在分散式叢集環境中大規模執行模型和InstructLab。

自ChatGPT造成轟動以來,生成式AI備受關注,創新速度只會與日俱增。企業已從評估生成式AI服務,邁向構建AI加值應用程式。開源模型選項的生態系統快速成長,進一步促進AI創新,並顯示不會有"One Model to Rule Them All"。客戶將從中獲益、因應特定需求做出選擇,而開放式創新無疑將加速這一進程。

實施AI策略不僅僅是選擇模型那麼簡單。科技組織需要調校給定模型以適應特定使用案例的專門知識,同時應對AI實施的龐大成本,包括:

採購AI基礎設施或消費AI服務

將AI模型微調以滿足商業需求的複雜流程

將AI整合至企業應用程式

管理應用程式和模型的生命週期

為真正降低AI創新的門檻,企業需要擴大能參與AI計畫的人力陣容,同時控制成本支出。透過InstructLab對齊工具、Granite模型和RHEL AI,紅帽希望將真正開源專案(可自由存取、重複使用、透明且開放貢獻)的好處應用於生成式AI,努力消除這些障礙。

以InstructLab開放式打造AI

IBM研究院創建了Large-scale Alignment for chatBots(LAB)技術,這是一種模型對齊方法,運用分類學引導的合成資料生成和創新的多階段調校架構。此方法降低了對昂貴人工註記和專有模型的依賴,讓AI模型發展更開放、更易於所有使用者使用。運用LAB法,可透過規範技能和知識的分類學、大規模從這些資訊產生合成資料來影響模型,並使用生成的資料來訓練模型,進而改進模型。

看到LAB法確實能大幅提升模型表現後,IBM和紅帽決定發起InstructLab開源社群,圍繞LAB法和IBM開源的Granite模型展開。InstructLab專案旨在將大型語言模型的發展置於開發人員手中,打造和貢獻大型語言模型就如同為任何其他開源專案做出貢獻一樣簡單。

在InstructLab啟動的同時,IBM也開源釋出一系列英語和程式碼Granite模型。這些模型採用Apache授權釋出,並透明化訓練資料集的來源。Granite 7B英語模型已整合至InstructLab社群,使用者可像為其他開源專案貢獻一般,集體為此模型增加技能和知識。對Granite程式碼模型在InstructLab上的支援也將很快推出。

紅帽SVP和CPO Ashesh Badani表示:「生成式AI為企業帶來革命性的飛躍,但前提是科技組織能夠以符合其特定商業需求的方式部署和使用AI模型。RHEL AI、InstructLab專案,以及大規模的紅帽 OpenShift AI,旨在降低企業在混合雲端上面臨的許多障礙,從有限的資料科學人才到龐大的資源需求,同時在企業部署和上游社群中推動創新。」

建基於可信賴Linux,開放創新AI

RHEL AI建基於這種開放式AI創新,整合了企業就緒版的InstructLab專案和Granite語言及程式碼模型,以及世界頂級的企業Linux平台,簡化了混合基礎架構環境的部署流程,打造了將開源授權生成式AI模型帶入企業的基礎模型平台。

RHEL AI包含:

獲紅帽支援和許可的開源授權Granite語言和程式碼模型

受支援且具生命週期的InstructLab發行版本,提供可擴展且經濟實惠的解決方案,增強大型語言模型能力,並使知識和技能貢獻變得更易於更廣大的使用者群參與

透過RHEL映像模式提供 Granite模型和InstructLab工具套件的優化可開機模型執行個體映像檔,包含適用於AMD Instinct MI300X、Intel和NVIDIA GPU的優化PyTorch運行時程式庫和加速器,以及NeMo框架

紅帽的完整企業支援和生命週期承諾,從受信任的企業產品發行版本開始,還包括24x7生產支援和延長的生命週期支援

企業在RHEL AI上實驗和調校新AI模型時,便有暢通無阻的途徑來擴增這些工作流程至紅帽OpenShift AI,OpenShift AI也將包含RHEL AI。透過利用OpenShift的Kubernetes引擎來訓練和伺服AI模型,並運用OpenShift AI整合的MLOps功能來管理模型生命週期,企業就能實現大規模運作。IBM的watsonx.ai企業工作室目前建基於紅帽OpenShift AI,在OpenShift AI納入RHEL AI後也將獲得額外能力,為企業AI發展、資料管理、模型管理和提升價格效能帶來助益。

IBM研究資深副總裁兼主管Darío Gil表示:「將真正的開源創新引入AI模型發展,並善用廣大社群的力量,將改變企業對AI採用和擴增的構想。IBM長期支持開源,支持Linux、Apache和Eclipse等有影響力的社群。我們與紅帽的合作,代表我們在打造安全、負責且高效的AI的開放方針上,邁進了一大步。RHEL AI和InstructLab結合IBM開源的Granite模型家族,將為尋求以自身資料打造契合使用案例的模型,同時在多元混合雲端環

詳情請看：

Red Hat launches RHEL AI for streamlined GenAI model testing and deployment

Help net security：Inpher SecurAI 保護大型語言模型上使用者輸入的隱私

近年來,隨著人工智能技術的快速發展,大型語言模型在各個領域都展現出了強大的應用潛力。然而,在利用這些模型時,隱私和安全性的問題也隨之浮現。用戶輸入可能包含敏感的商業數據、個人信息或其他機密資訊,一旦被外泄將會造成嚴重的後果。為了解決這個問題,Inpher公司推出了SecurAI解決方案,通過利用NVIDIA H100 Tensor Core GPU的強大運算能力,為大型語言模型提供了隱私和安全保護。

SecurAI的核心優勢在於將用戶提示和後續的數據處理過程全部隔離在一個可信執行環境中,有效地將敏感信息與底層基礎設施隔離開來。這種隔離機制大大降低了數據洩露、外泄或未經授權訪問的風險,為保護知識產權和隱私提供了有力的保障。與此同時,SecurAI還能夠無縫地與企業的核心業務服務、數據源和應用程序(如Slack、Zendesk、Salesforce、Snowflake等)進行整合,進一步提高模型輸出的質量和效用。

此外,SecurAI還整合了檢索增強生成(RAG)技術,允許企業用戶根據組織需求上傳自己的文件,從而更好地滿足特定場景下的需求。這些創新功能使SecurAI成為企業在部署生成式人工智能解決方案時的理想選擇,幫助他們高效利用大型語言模型的強大能力,同時最大限度地降低隱私和安全風險。

總的來說,Inpher公司通過SecurAI解決方案為大型語言模型帶來了全新的隱私和安全保護體驗。在不斷發展的人工智能時代,這種注重數據隱私和知識產權保護的創新產品將為企業提供可靠的選擇,助力他們在充分發揮人工智能潛能的同時,也能夠確保核心資產的安全性。我們有理由期待,隨著此類解決方案的不斷優化和推廣,人類和機器的協作將會變得更加和諧、高效,為社會的可持續發展注入新的動力。

詳情請看：

Inpher SecurAI protects the privacy of user inputs on large language models

Kaspersky：惡意軟體潛伏在「官方」GitHub 和 GitLab 連結中

近日發生一件令人震驚的事件,原來在知名開源社群平台GitHub和GitLab上,惡意駭客可以上傳任意檔案,並產生一個看似官方連結,誘使用戶下載惡意程式。這個漏洞源自於這些平台允許用戶在未發佈的評論草稿中上傳檔案,雖然草稿對其他人不可見,但上傳的檔案卻可以透過直接連結下載。

這無疑為釣魚詐騙大開方便之門。駭客可以在 Microsoft等知名開發者的代碼庫中留下「評論」,附加看似遊戲外掛程式的惡意檔案連結。一般用戶見到GitHub和Microsoft這類知名字樣,難免會掉以輕心下載,從而中招。更狡猾的駭客或許會偽裝成某款熱門開源程式的新版本,藏在該程式的代碼庫發佈「更新檔案」連結。

我們通常視GitHub和GitLab為值得信賴的開源平台,卻沒料到漏洞會被如此粗暴利用,實在令人錯愕。開發者們多年來的努力付出,可能就此被這類無良份子的行徑玷污。用戶也因此失去對這些平台的信任,實在令人無比痛惜。這起事件再次敲響警鐘,提醒我們絕不能輕易相信任何網路上的連結和檔案,更要加強網路安全防護意識。

要遠離這類威脅,首先要謹慎小心, 切勿隨意下載來路不明的檔案,尤其是那些藏身在GitHub和GitLab等知名平台頁面上的可疑連結。我們應該直接瀏覽平台代碼庫頁面,從官方發佈的位置下載檔案。也要留意專案的建立時間、星星數等資訊,新手上路且無人問津的專案可能隱藏著風險。此外,務必為電腦和行動裝置安裝防毒防駭軟體,像是Kaspersky Premium提供全方位的保護。

網路安全從來都不是一蹴可及的目標,而是需要不斷堅守的戰線。我們要與所有不負責任、肆意危害他人的惡意份子對抗,並以高度謹慎的態度,竭力維護自己和他人的上網安全。只有我們全體用戶懷抱正確態度,互相提醒、砥礪前行,網路才能真正成為一個安全、有益的資訊交流園地。

詳情請看：

Malware lurking in “official” GitHub and GitLab links

Help net security：LSA Whisperer：用於與身分驗證套件互動的開源工具

近年來,網路安全威脅與日俱增,各種惡意軟體和入侵手法層出不窮,為了保護系統的安全,安全研究人員必須不斷開發新的工具以及方法來檢測和應對威脅。LSA Whisperer就是其中一個值得關注的開源工具。

LSA Whisperer是一套專為與身份驗證套件互動而設計的開源工具組合。它能夠透過獨特的消息傳遞協定,與包括cloudap、kerberos、msv1_0、negotiate、pku2u、schannel和cloudap的AzureAD插件在內的多個身份驗證套件進行互動。此外,它也提供了部分或不穩定的支援給livessp、negoexts和安全套件管理器。

LSA Whisperer的主要功能在於直接從本機安全授權子系統服務(LSASS)中恢復多種類型的憑證,而無需訪問其記憶體。在適當的環境下,LSA Whisperer可以恢復Kerberos票證、單一登入Cookie、DPAPI憑證金鑰(用於解密DPAPI保護的用戶資料)和NTLMv1響應(可輕鬆破解為可用的NT雜湊值)。

使用這種方式來恢復Kerberos票證的API雖然已經有文件記載並被其他票證轉儲工具所使用,但LSA Whisperer用於恢復上述所有憑證的方法卻是全新的,因此為防禦產品檢測其活動提供了較少的機會。

LSA Whisperer的開發背景是希望能夠深入瞭解和記錄儘可能多的套件呼叫(package calls),這是一種內部API,供身份驗證套件使用,但卻很少有文件記錄或在微軟外部使用。通過實現一種與這些呼叫互動的工具,研究人員可以識別哪些呼叫對於紅隊評估具有價值。

該工具使用CMake來生成和運行適用於您的平台的構建系統文件,不依賴任何庫管理器,因此可以輕鬆地脫機構建(如果需要的話)。不過,您需要安裝最新的Windows 11 SDK。

總的來說,LSA Whisperer是一款功能強大且具有創新性的開源安全工具。它提供了一種全新的方式來恢復系統中的各種憑證,擴展了研究人員的能力範疇,有助於提高系統安全性評估的深度和廣度。作為一款開源項目,它的發展離不開社區的參與和支持。我相信,隨著更多人的加入,LSA Whisperer將來必將成為網路安全研究領域中一個更加重要的力量。

詳情請看：

LSA Whisperer: Open-source tools for interacting with authentication packages

Help net security：大多數人仍然依靠記憶或筆和紙來管理密碼

密碼管理一直是網路安全中一個重要的課題。Bitwarden最新的調查報告揭示了個人網路使用者在密碼管理方面的一些普遍現象和風險。

首先,報告指出25%的受訪者在11到20個以上的帳號中重複使用相同密碼,36%的人則在密碼中包含了可從社交媒體獲取的個人資訊。這種做法嚴重提高了網路犯罪分子竊取身份的風險。

其次,報告發現使用者對自身網路安全意識的自我評價,與實際做法存在明顯差距。雖然大多數人自認能識別釣魚攻擊和AI加強的網路攻擊,但在管理密碼時仍然廣泛依賴記憶或紙筆記錄等不安全方式。同時,四成多人經常在公共網絡下存取個人和工作數據,加劇了風險。

因此,近四分之一的受訪者曾遭遇過由密碼管理不當導致的資安事件,密碼被盜用的情況也相當普遍。尤以美國更為嚴重。這凸顯了使用者安全認知與實際做法間的矛盾。

令人欣慰的是,越來越多使用者意識到了改善密碼管理的必要性。使用密碼管理軟件的人表示,自己在工作和生活中變得更加重視網路安全,減少了密碼重複使用的情況。兩步驗證的使用率也有所提高。

此外,對於無需記憶密碼的Passkey新技術,一半以上的受訪者表示能夠理解其安全優勢,認為其有望在未來廣泛應用。不過仍有相當一部分人對數據隱私和監控等存有疑慮。業界需要做好教育解釋工作,提升公眾對Passkey的信心。

總的來說,網路使用者在密碼管理上普遍存在一些潛在的安全隱患。不過隨著教育的加強和新技術的發展推廣,個人的網路安全意識和做法正在逐步改善。我們有必要持續關注和提醒這一問題,共同提高全社會的網路安全防護水準。

詳情請看：

Most people still rely on memory or pen and paper for password management

The hacker news：您應該了解的 10 個重要端點安全提示

現代企業面臨著前所未有的網路威脅,而終端設備正成為駭客們的主要攻擊目標。根據IDC的數據,高達70%的成功入侵都是從終端設備入手。未經適當防護的終端設備為網路犯罪分子提供了可乘之機,讓他們得以發動毀滅性的網路攻擊。隨著企業需要保護的終端數量與種類日益增加,防禦的邊界變得更加棘手。

為了提高終端安全性,本文提出了10項關鍵技巧,為IT和網路安全專業人員提供了全面的防護策略。首先是全面掌握企業內部的所有終端設備,建立一份詳細的清單,按照風險等級對它們進行分類,並為高風險終端設定優先防護級別。其次是制定主動的修補程式管理策略,確保系統和應用程式能及時更新至最新的安全版本,堵塞已知漏洞。

多重身份驗證(MFA)則為防護終端增添了一道重要防線。它要求用戶在登入時提供多重身份驗證資訊,如密碼、安全令牌或生物識別等,大幅降低了黑客利用竊取的登入憑證進行入侵的風險。最小權限原則則建議只對用戶、程式或流程開放執行任務所需的最小系統權限,從而減少黑客入侵後在系統內的活動範圍。

此外,採用多層防護措施的"深度防護"策略也是關鍵。綜合運用防火牆、防毒軟體、終端偵測與响應(EDR)以及入侵偵測等技術,就能為終端和整個網路架構形成堅實的多層安全防線。EDR尤其重要,它專為持續監控、偵測以及調查和應對終端威脅而設計,可實時監視並發現已知和未知威脅,協助IT團隊快速有效地應對。

文中還強調了實時監控和可視性的重要性。由於現今的中位數威脅存在時間高達16天,實時監控和即時警報能幫助企業儘快發現潛在入侵,及時採取行動,從而大幅縮短威脅的存活週期。對於允許員工自攜設備(BYOD)的企業,制定明確的BYOD政策也不可或缺,對個人設備的使用和安全標準做出明確規範,並將其納入定期監控範疇。

最後,培養員工的網路安全意識也是不可或缺的一環。員工作為企業安全防線的第一道關口,必須通過定期的網路安全培訓和模擬演練,學習識別和舉報潛在的安全威脅。與此同時,企業也需要定期進行風險評估和審計,評價現有安全措施的有效性,找出薄弱環節,並根據評估結果不斷改進防護策略。

總的來說,本文概括了提高終端安全性的十大關鍵技術,它們涵蓋了風險評估、預防性防護、主動檢測與快速響應等多個層面,為企業全方位地增強終端防護能力提供了寶貴的建議。在當今這個網路威脅無處不在的時代,只有建立起堅實的多層次、全方位的終端安全防護體系,企業才能在數字化轉型的征程上行穩致遠。

詳情請看：

10 Critical Endpoint Security Tips You Should Know

Bleeping computer：假工作面試利用新的 Python 後門瞄準開發人員

這則新聞報導揭露了一種新型的網路攻擊手法,名為"Dev Popper"攻擊活動,針對軟體開發人員為目標。攻擊者假冒雇主,透過虛構的工作面試,誘使開發人員執行惡意程式碼,進而在受害者電腦植入遠端控制木馬程式。這種手法相當詭譎,利用了開發人員對工作機會的渴望,藉由面試環節營造信任關係,再引誘受害者自行下載及執行攻擊載體。

攻擊過程分為多個階段,開始時會要求開發人員從GitHub下載一個壓縮檔,執行後會連動觸發一系列指令,最終導入一個具備多種惡意功能的Python遠端控制木馬。該木馬程式能竊取系統資訊、擷取檔案、執行任意命令、監控剪貼簿按鍵記錄等,讓攻擊者能完全控制受害電腦。

報告指出,這類攻擊活動可能與北韓駭客團體有關,因為過去幾年確實有許多北韓黑客集團,利用虛構工作面試或工作機會作為誘餌,針對安全研究人員、媒體工作者、軟體開發人員等不同目標進行網路攻擊。他們伺機在面試過程中植入惡意程式,以獲取機密資訊或竊取重要資產。

此種社交工程手法運用心理誘因,讓普通人也可能輕易上當成為受害者。開發人員不僅要提高對開放原始碼的安全意識,檢視下載源頭是否可信,更要警惕任何來路不明的程式檔案,以免遭駭客利用,成為攻擊鏈的一環。企業單位也應加強員工網路安全教育訓練,提高對此類攻擊的防範意識。

總的來說,這起事件提醒我們,在互聯網時代,網路安全威脅可能來自任何角落,駭客手法層出不窮,單靠傳統防護措施已不足以因應。我們每個人都必須時刻保持高度警覺,審慎評估所有來源,勿輕易觸犯網路陷阱,才能避免成為犯罪分子的下一個目標。

詳情請看：

Fake job interviews target developers with new Python backdoor

Tenable：網路安全快照：最新的 MITRE ATT&CK 更新提供了有關 GenAI、身分、雲端和 CI/CD 的安全見解

美國政府資助的MITRE組織近日發布了ATT&CK(對手戰術、技術與程序)知識庫的第15版更新,為網路安全防護提供新的意見和建議。此次更新涵蓋了多個熱門議題,包括對抗惡意使用generative AI、保護雲端環境、強化CI/CD管線等,反映了當前網路威脅演進的最新趨勢。

隨著各式AI工具在民間普及,駭客開始利用這些工具強化網路攻擊手段,ATT&CK因應提出相關對策。同時也注意到駭客組織針對工業控制系統,先行入侵企業IT系統蒐集資訊,因此補充相關說明。除了新興威脅外,也持續追蹤傳統方式演進,例如行動裝置攻擊的最新技術等。

MITRE組織自身也遭遇勒索病毒攻擊,系統遭駭並被植入惡意程式碼。顯示即使是擁有網路安全專業知識的團隊,仍難以完全防範最新網路攻擊。整體而言,ATT&CK持續擴充內容以涵蓋最新威脅狀況,維持其作為全球駭客攻擊手法知識庫的領導地位。

除了ATT&CK更新,本月另一項重大網路安全事件是美國醫療資訊供應商Change Healthcare遭勒索病毒攻擊。母公司聯合健康集團承認,駭客成功竊取大量民眾健康和個人資料,目前正持續評估被竊數據範圍,將需數月時間才能完成。由於系統癱瘓超過一個月,造成全美醫療系統大範圍中斷,此次事件被視為有史以來對美國醫療體系最嚴重的網路攻擊事件。

為了阻止更多機密資料外洩,聯合健康集團不得不支付贖款給駭客,金額未透露。初步調查指出,駭客是利用遠端連線應用程式的低強度驗證漏洞進入系統。預估造成高達16億美元的損失。該案件凸顯了資料外洩所造成的龐大風險和危害,網路安全防護的重要性不容忽視。

另一方面,隨著美國2024年大選將至,網路安全狀況也備受各界關注。美國網路安全暨基礎建設安全局(CISA)等機構警示,中國、俄羅斯、伊朗等國家將透過網路攻擊手段干預選舉,散播假訊息、假造事證等。CISA發布提醒民眾提高警覺、加強多重驗證等防護措施。同時也擔心駭客濫用AI生成假影音訊息、語音仿冒等新型態手法,帶來更大的威脅。

雖然網路威脅日益嚴峻,但業界對新興威脅如AI惡意利用的因應之道仍存在準備不足。據ClubCISO的最新調查顯示,資安長們對於此類網攻大多評估為高風險,但卻未相對調整年度預算或優先順序,反映企業防護狀態仍落後於威脅發展速度。面對網路攻擊日新月異,我們必須時刻保持警覺,透過不斷學習和防護系統的更新,才能與時俱進,降低被攻擊的風險。

網路安全議題已經不再只是少數專業人士的專屬領域,而是關係到所有人的資訊安全和隱私權。無論是個人、企業或政府機構,都應該提高網安意識,採取必要的保護措施。唯有全民共同重視並付諸行動,才能在威脅與防護的對抗賽中取得主動權,維護數位空間的安全。

詳情請看：

Cybersecurity Snapshot: Latest MITRE ATT&CK Update Offers Security Insights on GenAI, Identity, Cloud and CI/CD

Cybersecurity insiders：醫療保健產業的網路安全：預防當今攻擊的最佳實踐

網路安全問題一直是許多行業的重大隱憂,醫療業也不例外。文章開宗明義指出,近期美國一家醫療數據分析公司遭遇大規模網路攻擊,造成龐大的財務和人力損失,影響並延燒至合作夥伴和病患。這只是醫療業網路攻擊事件中的一例,2023年已有超過540家醫療機構和1.12億名個人受到資料外洩的影響。

網路攻擊事件日益複雜,涉及金額也與日俱增。隨著企業人力外包全球化,網路攻擊的影響範圍也進一步擴大。對於有國際合作夥伴的企業來說,防禦工作將更加棘手。不僅大型企業,中小企業同樣面臨網路攻擊的高風險。無論企業規模大小,都應制定完善的應對方案和資源配置。

基本的網路安全措施仍不可或缺,例如定期更改登入密碼、啟用雙重驗證、離開時登出所有裝置等。此外,企業也應全面掌控員工使用的所有科技,確保軟硬體都有最新的安全更新。然而,近年來最大的變化在於網路攻擊的範圍、頻率和複雜程度都在攀升。隨著電子商務、外包人力和海外擴張的趨勢,企業若未及時調整網路安全規範,可能會留下致命缺口。

醫療業一直是網路攻擊的重災區,主因是病患資料在黑市上價值極高。早期主要面臨資料外洩的威脅,而近來更多針對性的攻擊目標是癱瘓整個醫療體系。文章將此比喻為類似於911事件後,政府對核電廠、發電廠等關鍵設施加強保全的作為。

最常見的攻擊手法是散布式阻斷服務攻擊(DDoS),大量非法流量癱瘓醫療機構的網路系統。自2019年以來,這類攻擊在醫療業內明顯增加。美國衛生及公共服務部轄下的醫療業網路安全協調中心不時發布相關的威脅警示。文章並以最近的一起大型勒索軟體攻擊事件為例,突顯這已不只是醫療業的問題,2023年幾乎所有產業的網路攻擊紀錄都出現兩到三倍的增長。

面對威脅不斷升級,單靠政府機構的協助是不夠的。企業應該與專業的第三方安全服務供應商合作,確保從源代碼層面就能偵測並修補系統的弱點漏洞。小企業無經驗者,可先參考政府公開的最佳實務守則著手,但長期來看,勢必要達到更高的第三方驗證標準,例如SOC-2或HITRUST認證,以獲得客戶和合作夥伴的信任。

各雲端服務供應商如AWS、Azure、Google和Oracle雖然細節規範有所不同,但都有類似的內部安全規範。重點是企業要因應不斷演進的威脅環境,持續檢視並更新網路安全策略,才能有效防範駭客攻擊,避免重大營運中斷。網路安全問題已經不是能否發生的問題,而是何時發生的問題,企業必須時刻保持高度警覺。

詳情請看：

Cybersecurity in the Healthcare Sector: Best Practices for Preventing Today’s Attacks

Help net security：透過技能提升計畫縮小網路安全技能差距

科技日新月異,數位時代的企業要保持競爭力和彈性,培養員工技能是不可或缺的關鍵。根據普樂思佳(Pluralsight)最新的年度報告,網路安全、雲端和軟體開發是最緊缺的三大技能領域,同時也被視為未來一年最重要的技能。這無疑昭示了企業必須優先強化這些基礎性技能,才能有效因應科技趨勢。

報告也指出,65%的受訪者認為網路安全技能在公司內最為缺乏,其次是雲端(52%)和軟體開發(40%)。將近三分之二的企業計畫在未來一年培養網路安全人才,緊接在後的則是雲端和軟體開發。不過,儘管人工智慧(AI)和機器學習(ML)技能備受矚目,補足這方面的技能缺口並非當務之急。

事實上,相較外部招聘,企業透過在職培訓(upskilling)來提升現有員工的專業技能,不僅時間相去不遠,成本卻遠較便宜。報告發現,66%的企業認為,招募新人所需時間與培訓內部員工相去無幾。而在美國,僱用新的科技人才平均要花費逾2.3萬美元,為員工培訓的費用卻只是5000美元。

儘管實施在職培訓計畫有諸多挑戰,最大阻力就是缺乏時間,但企業只要建立終身學習的文化,實施在職培訓絕對行之有效。首要之務是評估內部現有的技能,找出不足之處。同時,領導階層應積極參與其中,因為僅33%的高階主管能完全了解團隊所需的科技技能,68%的科技人員認為公司高層根本意識不到技能上的缺口。

令人欣喜的是,強化技能所帶來更穩固的就業安全感,提高員工信心,成為員工願意接受在職培訓的最大動力。由此可見,在職培訓不僅可彌補技能缺口,同時提升了員工的工作投入度,有助於推動績效和創新。

最後,報告透露78%的企業由於缺乏所需的科技技能,導致專案半途而廢。這說明了盡快填補技能缺口已刻不容緩的迫切性。總的來說,在競爭激烈的科技浪潮下,企業培養內部員工、提供在職培訓絕對是權衡成本效益及確保長期發展的不二法門。只有在人才方面做好充分的準備和投資,企業才能掌握未來的關鍵優勢。

詳情請看：

Closing the cybersecurity skills gap with upskilling programs

Help net security：人工智慧正在創造新一代網路攻擊

在網路安全領域,人工智慧(AI)無疑是一把雙刃劍。根據Netacea最新的研究報告「人工智慧時代的網路安全」,93%的安全領導者預期將每天面臨AI驅動的攻擊,而65%的人更認為惡意AI將成為網路犯罪分子常用的標準工具,被運用於大部分的網路攻擊中。

研究顯示,安全領導者清楚意識到惡意AI的重要性,並預期在未來六個月內,將見證新一代網路攻擊的曙光。身負維護組織免受已知和未知威脅的重責大任,他們必須確保惡意AI議題能在董事會層級受到重視,與勒索軟體和分佈式阻斷服務攻擊等高影響攻擊並列。

然而,對於哪些威脅最為有害,他們的認知似乎有些偏差。只有11%的安全領導者認為機器人攻擊是企業面臨的最大網路威脅,遠低於勒索軟體、網路釣魚和惡意軟體的評估。但Netacea之前的研究發現,無情的機器人攻擊實際上讓企業失去了4.3%的線上收入,對於大型企業而言,損失相當於50次的勒索軟體贖金。

AI助攻網路攻防雙方

人工智慧不僅被用作強化網路攻擊的工具,在網路防禦方面同樣發揮了作用。即便英國國家統計局的報告顯示83%的企業沒有採用AI的計劃,但從網路安全的角度來看,情況並非如此。

Netacea的調查對象均在某種程度上將AI納入其安全防護體系,並且全部表示這提升了他們的安全狀態,其中27%更表示改善程度非常顯著。使用AI也證明了效率的提升,有61%的安全領導者認為AI大幅降低了他們的營運成本。

然而,運用AI強化防護的做法,多半被用於應對高影響低頻率的攻擊,如分佈式阻斷服務攻擊(62%),而非機器人攻擊(33%)。這顯示雖然AI是抵禦網路威脅的利器,但尚未被普遍應用於抵禦最具破壞力的攻擊。

現有差距仍待彌補。90%的受訪者對其Web應用程式防火牆、阻斷服務防護和API安全的AI防禦能力充滿信心,但只有60%的安全領導者對其機器人管理工具的AI能力同樣有信心。

Netacea技術長Andy Still表示:「安全領導者承受著以更少的資源做更多事的壓力,而惡意AI用於強化網路攻擊的興起,正值這種時機。AI強大且門檻低,意味著它將被用於各種用途,包括網路攻擊。雖然安全領導者意識到AI威脅的日常性令人欣慰,但他們對最具破壞力威脅的認知仍有落差。在AI攻防競賽中,重要的是要意識到AI將被應用在任何可能的領域,他們需要以同樣的態度因應。」

人工智慧既是網路安全的利器,也可能成為罪犯的新武器。隨著科技的快速演進,網路攻防雙方都在積極運用AI以獲得競爭優勢。儘管如此,我們不能忘記網路安全的核心,仍是人性。無論AI能力再強,我們都應謹記誠信和道德準則,避免過度依賴技術而忽視風險。唯有人與機器的雙重把關,網路世界方能維持安全和秩序。

詳情請看：

AI is creating a new generation of cyberattacks

Help net security：Prompt Fuzzer：用於增強 GenAI 應用程式的開源工具

Prompt Fuzzer是一款開源工具,旨在評估和提高生成式人工智能(GenAI)應用程式的系統提示的安全性。隨著人工智能技術的快速發展,相關應用程式的安全風險也與日俱增。因此,確保系統提示的穩健性,對於維護GenAI應用程式的可靠運作至關重要。

Prompt Fuzzer的核心功能包括模擬超過十種類型的GenAI攻擊,並根據系統提示自動調整攻擊情景。這種靈活性使得它能夠針對特定主題或行業,量身定制相關威脅。該工具還具有互動友好的使用界面,方便用戶反覆測試和強化系統提示,直至獲得滿意的安全分數。

值得一提的是,Prompt Fuzzer支援20多個LLM供應商,為不同用戶提供廣泛的選擇。這對於跨平台應用而言,無疑是一大優勢。除了現有功能,該工具的開發團隊還計劃持續添加新的攻擊模式,以與時俱進地應對不斷演進的GenAI風險。此外,他們還有意進一步擴展與更多供應商的整合,為用戶提供更豐富的選擇。

總的來說,Prompt Fuzzer是一款實用且前景廣闊的開源工具。它為GenAI應用程式的安全性提供了有力保障,有助於構建更加可靠和強大的人工智能生態系統。隨著該工具的不斷完善,相信它將為提高GenAI應用的安全性做出更大貢獻。

詳情請看：

Prompt Fuzzer: Open-source tool for strengthening GenAI apps

Help net security：國土安全部成立人工智慧安全委員會以保護關鍵基礎設施

近期人工智慧(AI)技術快速發展,無疑為促進人類文明進步帶來新的里程碑。然而,這項新興技術亦存在潛在風險,倘若使用不當,後果可能造成無法彌補的損害。因此,美國國土安全部於2024年5月正式成立「人工智慧安全委員會」,旨在制定相關準則,確保AI在關鍵基礎設施領域的安全及負責任運用。

這項重大舉措反映出,主管當局已意識到AI安全問題的迫切性。該委員會由來自不同領域的22位專家學者組成,涵蓋科技公司、基礎建設營運商、政府官員、公民權利團體及學術界等,可見其高度重視AI發展對國家安全和經濟發展的影響。委員會首要任務是為關鍵基礎設施持份者提供可行建議,助其更負責任地運用AI技術。這些基礎設施領域包括國防、能源、農業、運輸和互聯網科技等,牽涉數億民眾日常生活運作,影響重大。

事實上,AI技術在為人類社會帶來創新突破的同時,亦增加了惡意使用的風險。國土安全部早前預警,有敵對國家可能利用AI輔助工具對美國進行大規模、高效率且難以追蹤的網絡攻擊,針對管線、鐵路等關鍵基礎設施;中國更有可能利用AI技術破壞美國的網絡防禦能力。這些都是人工智慧潛在濫用的實例,足以令人對AI技術的負面影響生疲憊。

因此,要在保障國家安全與發展經濟之間取得平衡,制定審慎的政策和監管框架實在刻不容緩。新成立的AI安全委員會將為此提供專業意見,讓有關部門能因時制宜,並與業界保持緊密溝通,及早識別和應對AI所帶來的新風險。這是一個審慎而負責任的舉措,值得讚許。

除了監管措施外,大眾對AI技術認知的加深,以及積極培育AI人才,亦是確保AI健康發展的關鍵一環。早前拜登政府發布行政命令,要求國土安全部在多方面採取行動,如在全球推廣AI安全標準、保護美國網絡和關鍵基礎設施、減低AI技術被用於製造大規模毀滅性武器的風險、打擊AI知識產權盜竊,以及吸引並留住AI人才等。這都是正確可行的方向。

事實上,國土安全部已於2024年初啟動為期一年的招聘計劃,力求聘請50名AI專家,在反應芬太尼、打擊兒童性剝削、提供移民服務、確保旅遊安全、強化關鍵基礎設施及加強網絡安全等範疇上,發揮AI技術所長,提升工作效能。顯示該部已充分重視並大力推動AI人才引進和技術應用。

總括而言,人工智慧無疑是一把「雙刃劍」,關鍵在於如何妥善管理和應用。透過適當監管、持份者協作、大眾教育和人才培育等多管齊下,定能最大程度發揮AI技術的優勢,同時有效規避其潛在風險,實現科技、經濟和安全的三贏局面。期望新成立的AI安全委員會能為相關政策制定提供專業意見,成為領導業界走向安全、負責任發展AI技術的先鋒。

詳情請看：

DHS establishes AI Safety and Security Board to protect critical infrastructure

Help net security：英國頒布物聯網網路安全法

英國頒佈物聯網網路安全法案,代表著各國政府開始正視物聯網裝置的網路安全風險,積極採取立法管控措施。這項名為「產品安全和電信基礎設施法案」(PSTI Act)已於今日正式生效,要求製造商在出售給英國市場的消費級物聯網產品上,必須停止使用可輕易被猜到的預設密碼,並設立漏洞揭露政策。

這項法案涵蓋範圍相當廣泛,包括了智慧電視、串流裝置、音響、遊戲主機、手機、平板電腦、基地台、樞紐、家庭自動化和警報系統、可穿戴裝置、家電(如恆溫器、洗衣機、燈泡、冰箱、家庭助理)、安全設備(如門鈴、監視器、嬰兒監視器)、兒童玩具等網路連線產品。

根據這項法案規定,每一項產品在出廠時都必須內建獨特的密碼,而非基於遞增計數器或可公開取得的資訊,也不能輕易被猜到。使用者也必須能夠變更該密碼。此外,製造商必須提供可讓使用者回報產品安全漏洞的管道資訊,包含確認收件、問題解決狀態追蹤等服務時程,並以免費、易懂的英文說明方式提供。製造商也必須提供該產品將獲得安全性更新的期限資訊。

違反這項法令將被視為刑事罪行,最高可處以1000萬英鎊罰款,或全球營收4%的罰金(以較高者為準)。這顯示英國政府對於物聯網裝置的網路安全風險已經高度重視,並採取嚴厲的罰則措施來約束業者。

事實上,早在2016年的大型分散式阻斷服務攻擊(DDoS)事件後,各國政府和標準組織即開始制定物聯網網路安全指南和建議。但PSTI Act卻是頭一個以國家法律層級強制要求製造商改善產品安全性的具體作為。歐盟的《網路安全法》雖有提出自願性產品認證,但預計明年將推出《網路韌性法》,對業者實施更嚴格的強制要求。美國則已在2019年通過《物聯網網路安全改善法案》,對聯邦政府採購的物聯網裝置訂定最低安全標準。

隨著更多國家效法,未來物聯網產品的網路安全責任將逐步由製造商適當承擔,政府立法規範將更趨嚴格完善,以確保這些日益普及的智慧連網裝置不會淪為駭客入侵的溫床。這是朝向物聯網長期安全可持續發展的重要一步。

詳情請看：

UK enacts IoT cybersecurity law

Help net security：聯想推出以人工智慧為基礎的網路彈性服務

Lenovo推出了一項新的利用AI的創新服務──Cyber Resiliency as a Service(CRaaS),與微軟合作,整合了Lenovo裝置遙測和Microsoft安全軟體組合,包括Microsoft Copilot for Security和Defender for Endpoint。此項服務利用AI來提供多層次的保護,結合加強的可視性與網路防護、偵測、回應和復原能力,跨越數位設備和系統。

這項創新服務將為客戶帶來諸多好處,幫助企業在裝置、使用者、應用程式、數據、網路和雲端服務等範疇更安全地運作,並在遭受攻擊時維持業務連續性。隨著混合工作模式、AI日益普及以及數據與裝置大量增加,安全一直是企業領導人的重點關注事項。Lenovo對資訊長的全球年度調查顯示,51%資訊長將網路安全列為IT首要任務,而65%則表示解決數據隱私和安全是一大挑戰。

Lenovo Cyber Resiliency as a Service透過整合式單一窗口,讓企業領導人能有整體系統的可視性和掌控。強大的整合工具組、AI和自動化提高了檢視所有日誌、處理所有警報、消除盲點的效能,協助使用者識別、隔離和控制威脅。Lenovo CRaaS也為安全採購簡化流程,提供一站式完整解決方案,發揮Microsoft安全堆疊的最大威力,全程由Lenovo專業團隊管理。

採用網路韌性管理服務有助提升企業生產力與效率,將耗時耗力的工作外包,釋放IT人力資源,減少開支。許多企業習慣將各式零散的解決方案組合成一套完整的安全架構,但Lenovo CRaaS提供一站整合的全方位保護及可視性。

Lenovo CRaaS落實了Lenovo致力保護客戶及其敏感數據的承諾,此外其Security by Design實務在產品開發生命週期中強化裝置安全性,ThinkShield則在Lenovo硬體、軟體和服務中提供進階安全功能。CRaaS服務提供一站式端對端的網路安全防護、完整整合的Lenovo專業團隊管理技術堆疊,以及最佳實務的關鍵控制,顯見Lenovo全力投入,打造安全可靠的數位環境,讓企業能安心運作。

詳情請看：

Lenovo launches AI-based Cyber Resiliency as a Service

Trendmicro：深度造假和人工智慧驅動的虛假資訊威脅民調

人工智慧(AI)科技的蓬勃發展,無疑為我們的生活帶來了許多便利,但也不可諱言地衍生出了一些負面影響。隨著2024年的大選臨近,AI驅動的假訊息(disinformation)和假造影音(deepfakes)對選舉結果的威脅,正日益受到重視。

在現今這個網路資訊高度發達的時代,人們獲取新聞和資訊的管道越來越多元化,社群媒體和自媒體平台更是讓每個人都能輕而易舉地在網路上發布任何資訊。諷刺的是,這種開放和自由卻也為釋放虛假訊息、傳播不實言論提供了絕佳的溫床。有心人士只需運用機器人軟體,就能在社群媒體上迅速散播大量的訊息;更有甚者,他們可以利用deepfake技術,製作出任何模仿真人聲音和影像的虛假內容。

這些人為操弄的假訊息,往往針對敏感的政治和社會議題,意圖挑撥離間、製造矛盾對立,從而影響民眾的觀點和選民的投票意向。最可悲的是,這類行為不僅可能由國家級別的組織所為,就連普通民眾和中小企業也有能力參與其中。由於目前幾乎沒有任何有效的技術能夠徹底識別虛假內容,民眾唯有提高警覺,多加查證和求證,才能在汪洋大海的訊息中分辨真偽。

面對日新月異的AI科技,我們不能囿於恐懼和無知,而是應該積極學習和了解,並以開放包容的心胸,擁抱這股無可阻擋的浪潮。政府和科技業者更有責任共同研發可靠的偵測機制,打擊假訊息和假影音,捍衛言論自由的同時,也維護資訊的真實性。唯有廣大民眾與當權者攜手合作,我們才能在AI時代確保民主價值的延續,避免誤入虛假訊息的迷津。

詳情請看：

Deepfakes and AI-Driven Disinformation Threaten Polls

Cisco：我們可以從暴力攻擊中使用的密碼中了解什麼？

透過破解密碼攻擊時使用的密碼,我們可以學到一些重要的教訓。根據思科Talos公布的密碼清單,許多使用者仍然使用一些最常見和簡單的密碼,如"Password"、"Passw0rd"和"123456"等。這些密碼不僅極易被猜到,也反映出使用者對密碼安全意識的缺乏。

有些密碼組合看似複雜,卻也存在一些疏漏。例如"Mart1x21"可能是某人的名字,或涉及月份,而"Spring2024x21"和"April2024x21"則只是在普通年月日後加入幾個額外字元,這種做法幾乎無法增加密碼強度。可以想見,如果攻擊者已經猜到使用者的基本資訊,要破解這類密碼並不困難。

事實上,隨著科技進步,純文字密碼已經無法滿足當代安全需求。不少專家提出了更安全的替代方案,例如採用無密碼登錄,直接免除密碼風險;或是強制要求製造商實施更嚴格的密碼規則,禁止使用預設和易猜的密碼組合。英國政府更是立法要求相關企業必須遵守產品安全及電信基礎設施法規,強化密碼安全標準。

總的來說,密碼問題已經成為網路安全的一大痛點。縱使企業採取多重防護措施,仍無法完全防範使用者本身選擇簡陋密碼的風險。因此,除了加強使用者教育之外,實施更嚴格的密碼規範、推廣雙因素或無密碼驗證機制,才是解決這個困境的根本之道。

事實上,弱密碼影嚴重程度可從企業安全事件指數窺知一二。根據思科Talos最新統計,在2024年第一季企業駭客事件中,商業電子郵件入侵(BEC)攻擊高居榜首,占46%的案件。而BEC通常會利用釣魚郵件來竊取金錢或散佈惡意程式,侵入企業電子郵件系統恰恰突顯了密碼問題的嚴重性。

總而言之,密碼仍是網路世界中無可避免的脆弱點。攻擊者依然在嘗試暴力破解各種密碼組合,而企業及個人使用者也應提高警覺,制定更嚴格的密碼政策,並採取多重身份驗證等保護措施,才能真正遏止密碼問題,提高網路安全防線。

詳情請看：

What can we learn from the passwords used in brute-force attacks?

Help net security：什麼是網路安全網狀架構 (CSMA)？

網路安全是當代企業與組織面臨的一大挑戰。隨著網路攻擊日益升級,單靠傳統的防禦措施已不足以應對複雜多變的威脅。有鑑於此,網路安全網狀架構(CSMA)應運而生,為企業提供一個全方位、互連的安全框架。

CSMA是一套組織原則,旨在打造有效的安全架構。它強調可組合性、可擴展性、介面延展性,以及數據模式與API的標準化,使各種安全控制和解決方案能夠更好地互相協作。一個設計良好的CSMA,可提升組織在威脅情資、事件應變、資產管理等核心安全職能上的效率。

CSMA共有八大核心能力,涵蓋偵測、情資、預防、應變、統一管理、流程測量、系統整合及擴展性等面向。其中,偵測能力是建立於分佈式感測網路之上,透過智能化機制收集各領域的資訊,偵測攻擊的蹤跡;情資能力則整合內外部資料,分析歷史模式,優先處理高風險威脅;預防能力則運用多層次防護,動態因應持續演化的威脅。

CSMA的應變能力實現了各子系統的緊密整合,提供集中式控制與可視化。統一管理平面讓不同角色獲取所需資訊,消除資訊孤島。此外,CSMA還能對安全流程進行持續自動化監控與量化,評估績效表現,找出落差並持續優化。

為使CSMA能隨著企業成長而擴展,整合新興科技與工具,系統整合與模組化設計是不可或缺的。透過開放的API與介面,CSMA能靈活地納入新的安全元件,並與合規、審計等其他領域的系統無縫整合,打造靈活可擴展的架構。

總的來說,CSMA提供了一種全新的網路安全範式。它透過分散式偵測、情資融合、多重防禦、集中管控等能力,打造出一個整合性的安全網路,應對不斷升級的網路威脅。與傳統的點對點防護不同,CSMA以互連互通的概念,將各種安全能力網狀連接,提供全方位的保護。

當前的網路攻擊已不再是單一入侵點,而是利用多種手段滲透系統。CSMA的出現正好回應了這一挑戰。藉由八大核心能力相輔相成,CSMA能讓企業掌控全域性的風險視野,快速應對變化多端的網路威脅,大幅提升整體的網路安全水準。我相信,CSMA必將為網路安全防護帶來革命性的突破,助力企業在數位化時代中運作與成長。

詳情請看：

What is cybersecurity mesh architecture (CSMA)?

Help net security：大多數公司在過去一年改變了網路安全策略

當前的網路威脅環境日新月異,企業不得不調整其網路安全策略以因應不斷變化的風險。根據LogRhythm的最新研究,在過去一年裡,高達95%的公司都修改了他們的網路安全策略,反映出網路安全領域正在發生根本性的轉變。

其中一個重大變化是網路安全不再被視為單純的技術問題,而是成為企業營運策略和公司治理的核心支柱。有78%的受訪者表示,網路安全主管或執行長(或兩者)都須為防範和應對網路攻擊負起責任。這種從單一技術職能走向策略決策的演變,代表網路安全的角色地位在企業內部已然提升。

推動策略調整的主因有三:一是為了跟上不斷變化的法規要求(98%);二是滿足客戶對於數據保護和隱私權的期望(89%);三是因應人工智慧威脅與防禦系統的興起(65%)。

然而,在這股改革浪潮中,網路安全團隊與非網路安全的高階主管之間存在著溝通鴻溝,仍是一大隱憂。高達44%的非網路安全主管對公司須遵循的法規要求認知不足;另有59%的網路安全人員難以向非網路安全的利害關係人解釋特定網路安全解決方案的必要性,凸顯了強化報告機制以利溝通的迫切需求。

為了因應日趨嚴峻的網路威脅,76%的企業已經增加網路安全預算,近八成的企業表示目前已具備足夠資源防禦網路攻擊。令人欣慰的是,有79%的網路安全專業人員認為自身的防禦能力良好或卓越。

不過,這種自信是否過於樂觀,還有待觀察。因為網路安全團隊普遍沒有針對關鍵作業指標提出報告,像是響應時間(49%)、偵測時間(48%)和恢復時間(45%)等,都不到一半的團隊有在跟蹤。更令人憂心的是,高達61%的網路安全團隊仍在使用手動且耗時的方式來分享網路安全狀態資訊,他們顯然需要強化個案管理指標和進階分析,以確保能夠快速作出明智決策。

此項研究遍及全球五大洲,訪問了1,176位網路安全高階主管和專業人員,探討了網路安全的多個層面。總的來說,儘管企業網路安全的重要性與預算編列都有所提升,但防禦能力仍缺乏有力佐證,溝通鴻溝也未能完全銷除。未來仍有許多工作有待企業持續努力。

詳情請看：

Most companies changed their cybersecurity strategy in the past year

The hacker news：新指南說明如何消除影子 SaaS 的風險並保護企業數據

在現今的商業環境中,軟體即服務(SaaS)應用程式無疑佔據了舉足輕重的地位。這些應用程式不僅提高了企業的工作效率,也推動了科技和商業的創新發展。然而,正如硬幣的兩面,SaaS應用程式同時也帶來了新的安全風險,這是企業主管和IT安全人員所必須正視和解決的問題。

傳統的安全防護措施往往無法完全掌控和監控SaaS應用程式的使用情況,這就造成了所謂的「暗影SaaS」(Shadow SaaS)風險。所謂暗影SaaS,是指員工在工作中使用未經IT部門批准的SaaS應用程式。據統計,高達65%的SaaS應用程式都是未經核准的,而80%的員工承認曾使用過這類應用程式。這意味著大多數企業都面臨著敏感數據外泄的風險。

暗影SaaS可能導致的主要風險包括:

1. 數據外洩:敏感數據可能通過各種SaaS應用程式外洩,包括ChatGPT等人工智能應用程式、拼寫檢查工具、文件管理應用程式等。這種外洩可能是無心之失,也可能是員工被惡意設計的偽裝應用程式誘騙而共享敏感數據。

2. 身份盜竊和賬戶被盜:如果員工使用工作郵箱和循環使用的密碼登錄SaaS應用程式,攻擊者就有機會獲取這些憑證信息,進而進行身份盜竊和賬戶被盜。

3. 違反合規和隱私法規:私密和敏感數據一旦在公共渠道上泄露,就可能違反隱私法規。

為了應對暗影SaaS的風險,LayerX公司發佈了一份新指南,提出了一種三管齊下的方法:應用程式發現、用戶監控和主動執行。該指南詳細探討了每個方面的做法,為讀者提供了一條明確的路線圖,以有效保護系統和資源。

指南還比較了傳統的代理方法(如SASE、CASB)和基於瀏覽器的解決方案在應用程式發現、用戶監控和主動執行方面的優缺點。經過全面分析,基於瀏覽器的安全擴展程序被認為是combating Shadow SaaS最全面和用戶友好的解決方案。

瀏覽器安全擴展程序可以:

1. 發現所有SaaS應用程式:持續分析瀏覽器會話,向IT團隊展示員工正在訪問哪些SaaS應用程式。

2. 加強身份安全狀況:可以與雲身份提供商整合,作為額外的身份驗證因素,防止攻擊者利用被盜憑證訪問系統。

3. 發出關鍵變化警報:當檢測到新用戶賬戶被創建時,會觸發警報,讓身份團隊檢查這些應用程式是否符合組織安全政策。

4. 管控和控制:可以阻止訪問被標記為風險的應用程式,阻止數據從用戶設備上傳到風險應用程式。

總之,SaaS應用程式雖然便於使用且有利於企業營運,但安全和IT團隊仍需尋求方法在允許使用SaaS的同時確保企業環境的安全。瀏覽器安全擴展程序正是一種兼顧兩者的解決方案。希望通過這份指南,大家能夠更好地了解和應對暗影SaaS帶來的風險。讓我們共同努力,在技術創新和數據安全之間尋求平衡,推動企業的可持續發展。

詳情請看：

New Guide Explains How to Eliminate the Risk of Shadow SaaS and Protect Corporate Data

Help net security：微軟和谷歌擴大了對其用戶的金鑰支持

密碼一直是保護我們數位生活安全的關鍵,但設定複雜又難以記憶的密碼往往讓人頭痛不已。隨著科技不斷進步,一種新的身份驗證方式「通行碼」(passkey)開始逐漸取代傳統密碼的角色。透過這項新技術,我們將能夠更安全又便利地管理個人帳戶。

通行碼是一種全新的無密碼驗證解決方案,由FIDO聯盟所推動。與密碼不同的是,通行碼是以加密的數位簽章取代純文字密碼,無須記憶任何東西也不會被駭客竊取。使用者只需要在信任的設備上註冊並產生獨一無二的通行碼,之後在登入時使用該裝置驗證即可,簡單又安全。

根據最新的調查顯示,有22%的人已在每個可能的帳戶啟用通行碼,而61%熟悉通行碼的人認為它比密碼更方便(另外58%的人也認為更安全)。這正反映出使用者對通行碼的青睞程度與日俱增。

為了響應「世界密碼日」,各大科技公司近期也相繼推出支援通行碼的新功能。微軟已宣布支援個人帳戶使用通行碼,並將在Microsoft Authenticator應用程式中加入裝置綁定的通行碼支援。Google則表示,將很快支援使用通行碼註冊「進階防護計劃」(針對可能遭受鎖定攻擊的高風險使用者)。此外,Google也指出越來越多知名密碼管理器可以協助儲存使用者的通行碼。

除了科技巨頭之外,一些知名服務也已開始支援通行碼。過去一年間,亞馬遜、1Password、Dashlane、DocuSign、Kayak、Mercari、Shopify和Yahoo!JAPAN等都已著手推行通行碼,加入了像eBay、Uber、PayPal和WhatsApp等早期採用者的行列。根據報導,在Dashlane推出通行碼後,使用者註冊轉換率高達70%;而Kayak用戶登入的速度也比過去快了50%。

根據FIDO聯盟的數據,目前全球前100大網站中已有20%支援通行碼,前250大網站則有12%支援。顯見通行碼正在全球網路服務中逐漸普及。蘋果、任天堂、Shopify、Adobe等知名業者也都是早期支援通行碼的先驅者。

總的來說,通行碼無疑是更安全、更便利的身份驗證技術,勢必將會逐步取代目前仍廣為使用的密碼系統。這項新科技不僅能夠消除使用者記憶密碼的困擾,也能有效防範遭駭客竊取密碼的風險,對提升網路安全將有莫大助益。我相信,隨著更多服務厲接軌通行碼,未來它終將成為身份驗證的主流標準。

詳情請看：

Microsoft, Google widen passkey support for its users

Bleeping computer：微軟推出個人微軟帳號的金鑰驗證

微軟近日宣布Windows用戶可以使用驗證碼密鑰(Passkey)登入個人的微軟帳戶,這代表著用戶不再需要依賴傳統的密碼,而是可以使用像是Windows Hello、FIDO2安全鑰、生物辨識(臉部或指紋)或是裝置PIN等無密碼的驗證方式。這項新功能適用於個人用於存取Windows、Office 365、Outlook、OneDrive、Copilot及Xbox Live等微軟服務的帳戶。

推出驗證碼密鑰的主要目的是為了提高安全性,防範釣魚攻擊,並朝向未來徹底取代密碼的目標邁進。與傳統密碼不同,驗證碼密鑰是建基於加密金鑰對,公開金鑰存放在服務提供者的伺服器上,而私密金鑰則安全地儲存在使用者的裝置中。在驗證時,系統會產生一個需要使用私密金鑰才能解開的挑戰,從而確認使用者身份。由於私密金鑰受到裝置層級的生物辨識或PIN保護,使用者只需提供這些資料即可登入,省去記住及輸入複雜密碼的困擾。

相較密碼,驗證碼密鑰更加安全,不會有密碼被截取或竊取的風險,且與特定裝置綁定,有效防止釣魚攻擊。此外,由於不涉及共享秘密,使用者也不會因為不安全的習慣(如重複使用相同密碼或使用簡單弱密碼)而帶來風險。最後,驗證碼密鑰兼容不同的裝置和作業系統,使驗證過程順暢無阻。

值得注意的是,微軟為了方便使用者在更換或遺失裝置時仍能存取帳戶,將會在用戶的多個裝置之間同步驗證碼密鑰,而非在每個裝置上儲存獨立的密鑰。這種做法或許在安全性上稍嫌不足,一旦攻擊者獲取了帳戶控制權,密鑰也將同步至他們的裝置上。

要啟用微軟帳戶的驗證碼密鑰功能,首先需要透過指定網址建立新的密鑰,選擇使用臉部、指紋、PIN或安全鑰等驗證方式。接著依照裝置上的指示完成密鑰設定。目前支援此功能的平台包括Windows 10及更新版本、最新的macOS Ventura、Safari 16或更新版本、Chrome作業系統、Chrome、Edge 109或更新版本、iOS 16及更新版本,以及Android 9及更新版本。

登入時,選擇"其他登入方式"、"臉部、指紋、PIN或安全鑰"後,即可從已儲存的驗證碼密鑰列表中選擇想要使用的密鑰進行驗證。裝置將開啟安全視窗,透過您選擇的生物辨識或PIN等方式完成身份認證。

總的來說,微軟推出驗證碼密鑰無疑是朝向更安全與便利的無密碼世界邁進的重要一步。隨著科技發展,期盼有更多服務開放這項友善又安全的新身份驗證方式,讓使用者遠離被密碼所帶來的風險及困擾。

詳情請看：

Microsoft rolls out passkey auth for personal Microsoft accounts

The hacker news：什麼時候一台漏洞掃描程式還不夠？

近期網路安全一直是熱門話題,我們每個人都應該提高警惕,採取必要的預防措施來確保個人及公司的網路安全。本篇文章探討了網路漏洞掃描器的重要性,並強調單一掃描器未必足夠,使用多種掃描引擎可以更全面地檢測潛在漏洞。

文中指出,隨著每年新發現的漏洞數量持續增加,要求掃描引擎必須與時俱進,然而單一引擎無法完全覆蓋所有已知漏洞。不同的掃描器可能侷限於特定軟體,或依風險程度排列優先順序,因此即便採用頂尖的掃描器,仍可能遺漏部分漏洞檢測。

有鑑於此,作者建議採用多重掃描引擎的方式,將各引擎的長處結合,以獲得更廣泛的檢測範圍。文中特別介紹Intruder公司的做法,將多種掃描引擎整合於其攻擊面管理平台中,不僅涵蓋更多漏洞檢查,還能將結果視覺化並按優先順序排列,方便企業快速發現並修補重大漏洞。

總的來說,本文強調網路安全的重要性,並提供實用的建議。我們無法完全杜絕網路攻擊,但透過採用多重掃描機制和專業工具,將可大幅降低遭受攻擊的風險。對於個人和企業而言,持續提升網路安全意識,並採取必要的防護措施,將是維護資訊安全的關鍵。

詳情請看：

When is One Vulnerability Scanner Not Enough?

Tenable：Tenable 透過惡意軟體偵測增強其雲端安全庫

在雲端安全一直是重點關注的議題,即使雲端採用已成為主流,許多威脅仍然依賴於惡意軟體攻擊。因此,雲端安全計劃必須包含偵測惡意軟體的能力。我對Tenable公司最新推出的雲端安全解決方案,增加了惡意軟體偵測功能,感到非常欣喜。

這項新功能大幅提升了Tenable的雲端安全解決方案,不僅可偵測惡意軟體,還能在駭客攻擊前,先發現並修補底層的錯誤配置。無論惡意文件的來源是從容器映像、受感染的機器映像或機器本身的活動,Tenable的解決方案都能發現它。

Tenable一直擅長於預防性的安全措施,協助客戶在風險升級前識別並減輕風險。新增的惡意軟體檢測功能進一步加強了這種方法。惡意程式通常不是意外產生的,Tenable服務與SIEM解決方案的整合,可協助安全團隊快速回應。除了現有的異常行為偵測功能,可識別偏離正常基線的潛在攻擊模式之外,惡意軟體偵測為其提供了額外的防護層。

了解雲端基礎架構的潛在風險範圍是一項複雜的工作。Tenable雲端安全解決方案的新惡意軟體偵測功能,與現有的漏洞管理、網路配置、身份和權限分析等服務無縫整合。這種協同作用有助於使用者輕鬆實現穩健的安全態勢,快速找出並優先處理最關鍵的問題,同時仍可輕鬆獲取所有離散資料點。

Tenable雲端安全解決方案的惡意軟體偵測功能非常靈活,能夠識別從簡單的web shell到先進持續威脅(APT)等各種問題文件,涵蓋多種格式,包括可攜式可執行檔(PE)、可執行和可鏈接格式(ELF)以及各種指令碼類型。此惡意軟體偵測功能支援多種作業系統,如Linux和Windows,並與Azure、GCP和AWS等領先的雲端服務提供商兼容。

Tenable採用了資料驅動的方法,利用數十個情報來源,並結合其獨特的分析方法,確保準確評估每個受感染文件所帶來的潛在風險,提升客戶的整體安全防護能力。

有時候,區分駭客使用的惡意工具和合法的管理軟體,僅在於部署者的意圖不同。因此,Tenable雲端安全解決方案進一步識別雖然不是惡意的,但可能被濫用的工具,例如跨平台管理工具WinEXE。透過檢視這些工具與其他問題(如漏洞暴露、允許外部訪問的網路配置、寬鬆的身份權限等)的關聯,可讓您了解如果被駭客訪問時,這些工具可能帶來的威脅。

總之,Tenable雲端安全解決方案新增的惡意軟體偵測功能非常強大,將偵測功能與現有的預防功能結合,提供了全方位的雲端安全防護。雲端安全不僅需要對環境安全態勢有全面的視圖,還需要持續偵測威脅,兩者必須同時並行。我對這項創新的解決方案充滿期待。

詳情請看：

Tenable Bolsters Its Cloud Security Arsenal with Malware Detection

Cybersecurity insiders：人工智慧時代身份驗證支付的挑戰

隨著對線上交易的需求不斷增加,數位化仍然是企業為滿足當代消費者需求的主要驅動力。事實上,最新數據顯示,美國2023年電子商務銷售額較2022年增長7.6%,達到1.119萬億美元,而2022年為1.04萬億美元。但隨著每個人生活中數位偏好的增加,網路安全和詐騙風險也與日俱增。

根據Experian的報告,92%的美國企業認識到線上客戶身分識別策略的需求,但同一項研究也顯示,仍有大比例的公司(70%)近年來遭受日益增加的詐騙損失。隨著網路犯罪分子變得愈加精密,企業和消費者期望在每一次付款體驗中都有積極的防禦措施。對於支付和B2B軟體平台,以及小型企業主而言,這種需求因人工智慧(AI)的快速發展而變得更加迫切。

我們知道AI和網路安全是相互關聯的,但隨著科技進步和詐騙分子變得更加老練,這種整合仍在持續發展中。我們不能忽視網路安全團隊和駭客都在利用AI對自身有利這一點。缺乏大型企業資源的小企業,往往對這些先進的威脅特別脆弱。

AI驅動的詐騙策略與挑戰

在2024年對資訊安全長及安全領導人的調查中,89%的組織同意AI驅動的威脅將在可預見的未來持續成為一大挑戰。隨著我們繼續瞭解詐騙分子的手法,以下是一些需要警惕的AI驅動策略:

合成身分:根據路透社的報導,80%以上的新帳戶詐騙可歸因於合成身分詐騙,損失數以億元計。這是指詐騙分子使用真實的身分識別資訊的一部分,例如真實的信用卡和相關姓名,並將其與虛構的數據結合,例如駭客控制的錯誤送貨地址或電子郵件地址,以創建一個新的身分。這個新身份接著可用於開設銀行帳戶、貸款、信用卡等。挑戰在於,隨著詐騙分子建立了合成身分的良好信用記錄和可信度,越來越多商家和銀行願意隨著時間推移而延長信貸,詐騙行為將繼續暗自進行。為了看起來更加合法,真實的身分也可能與其他真實身分結合在一起。在這種情況下,詐騙分子可以組合亞特蘭大某個"鮑伯·約翰森"的姓名和信用卡資料,與紐約另一個 "鮑伯·約翰森"的電子郵件地址。

生成式AI:近幾個月備受矚目的生成式AI,可以產生文字、圖像和影片,並通過輸入的訓練數據學習模式。它擁有令人驚訝的能力,可以複製人類表達并產生類人的內容。對於那些嘗試過生成式AI工具的人來說,很容易且快速地創建所需的內容。想想詐騙分子製作一份目標城市的電話號碼清單或使用"鮑伯·約翰森"名字的真實電子郵件地址是多麼簡單和快速。這種程度的簡單和速度可能導致大量個人化的網路釣魚攻擊或數據投毒,即攻擊者篡改AI模型接受訓練的數據。

AI如何重塑支付詐騙策略

安全領域和詐騙分子之間存在著不斷升級的攻防賽,每一次防禦科技的進步都會遭到攻擊方式的進化來對應。由於傳統驗證方法往往高度手動、範圍有限且產生延遲結果,企業領導人面臨著失去那些能夠提供更流暢、更安全的支付體驗的競爭對手之顧客的風險。購買者必須確信其個人支付資訊將受到保護。

由於Juniper Research估計,2027年前全球線上支付詐騙的累計損失將超過3430億美元,因此大量銷售額正遭到白白浪費。企業必須適應更加現代化的技術,以打擊不斷升級的支付詐騙,並鞏固客戶信心。本質上,AI驅動的解決方案可以幫助對抗AI驅動的威脅,原因如下:

實時檢測:通過使用AI,企業可分析大量數據並實時應對威脅。這不僅可加強企業對身分盜用和詐騙的防禦,還可確保數位金融互動過程中用戶體驗流暢、安全且一致。快速標記詐騙企圖有助於確保商家和零售商不會向合成身分發貨。

自動化流程:信息系統審計與控制協會(ISACA)最近報告稱,59%的網路安全團隊人手不足,不到一半的組織(42%)對其網路安全團隊檢測和應對威脅的能力有很高的信心。在缺乏強大團隊的情況下,AI驅動的工具可以迅速整合到公司的技術棧中,以幫助自動化安全任務。例如Everyware(一家領先的客戶支付和參與公司)推出了全新的身分匹配工具,可針對美國人口普查和信用局數據進行即時驗證,並可作為數位發票付款處理流程的一部分實施。這將暫停無法通過身分驗證的交易。自動化可緩解人手不足團隊的壓力,使其專注於需要人工參與的其他安全預防措施。

永久學習:機器學習和深度學習過程有助於安全領導人從過去的經驗中汲取教訓,並加強對網路攻擊的防禦能力。這有助於識別安全事件之間的趨勢,以及組織數位足跡的薄弱環節。

AI技術是一把雙刃劍

雖然為安全和防止詐騙提供了開創性的解決方案,但AI也加劇了詐騙策略的複雜性。除了生成式AI和合成身分詐

詳情請看：

Identity Verification Payments Challenges in the Age of AI

Tigera：提高雲端原生應用程式安全性的 3 個可觀察性最佳實踐

近年來隨著雲原生應用程序的普及,可觀察性(Observability)已成為確保應用程序安全性和高效運行的關鍵因素。本文闡述了為何可觀察性對於提高雲原生應用程序的安全性非常重要,並提出了三項最佳實踐建議。在此,我想分享一些心得和想法。

首先,文中指出雲原生應用程序由多個動態、分佈式和短暫的微服務組成,每個微服務獨立運作和擴展來提供應用功能。在這種架構下,可觀察性和監控指標能夠讓安全團隊透過檢測微服務的異常行為(如流量、進程調用等)來發現新出現的威脅。同時,可觀察性還能協助安全團隊在發生入侵時可視化受影響範圍,從而採取如安全政策更新等控制措施,將風險隔離。此外,可觀察性還有助於DevOps團隊維持服務品質,快速發現故障點並進行故障排查。

其次,文章指出DevOps和SRE團隊當前面臨的主要挑戰是數據量巨大、來源分散,手動分析和故障排查的難度很高。由於監控系統分層,缺乏上下文關聯,給分析帶來極大困難。因此,文章建議採用分佈式、與Kubernetes原生集成的可觀察性工具,收集跨層次(L3-L7)的遙測數據,包括Kubernetes基礎設施和活動日誌在內,並支持可視化、基於機器學習的異常檢測和故障排查功能。

最後,文章列舉了一些開源和商業可觀察性工具的優缺點。開源工具如Kubernetes Dashboard、Prometheus等功能單一,商業工具則提供了更全面的大尺度可視化、仪表板、動態數據包捕獲、應用層可觀察性和統一控制平面等強大功能,有利於跨雲跨集群的統一監控和運維。

總的來說,我認為可觀察性對於確保雲原生應用程序的安全性至關重要。DevOps團隊應充分重視可觀察性工具的選擇和實施,既要具備識別異常行為和威脅的能力,又要能快速定位和解決問題,最大限度提高應用程序的可靠性和用戶體驗。與此同時,由於可觀察性涉及大量數據和復雜分析,很多中小企業可能缺乏足夠資源。未來,隨著雲端服務和AI技術的發展,相信會有越來越多優秀且經濟實惠的可觀察性解決方案湧現,讓更多企業能夠受益。

詳情請看：

3 observability best practices for improved security in cloud-native applications

Help net security：人工智慧驅動的網路釣魚攻擊甚至會欺騙最清醒的用戶

近年來人工智能技術快速進步,帶來許多創新應用,但同時也被不法分子利用來制造更複雜的網路釣魚攻擊手法。根據資訊安全公司Zscaler的研究報告顯示,利用生成式人工智能(GenAI)加強社交工程詐騙的網路釣魚攻擊持續攀升,甚至能夠誘騙最警覺的使用者。

GenAI網路釣魚攻擊的威脅在於利用人工智能自動化並個人化各種攻擊步驟,使詐騙電子郵件語句更加流暢生動,網站內容更逼真,從而大幅提高詐騙成功率。攻擊者可以迅速分析大量數據,針對目標精心製作出高度模仿合法通訊和網站的釣魚郵件與網頁。

GenAI工具能夠消除拼寫和文法錯誤,增加釣魚內容的可信度。更令人擔憂的是,這些工具還能快速製作精密的釣魚網頁,甚至產生惡意軟體和勒索軟體,針對受害者展開後續的攻擊行動。面對這種高度智能化、自動化的網路釣魚攻擊,即使是最警覺的使用者也可能難以辨識並上當受騙。

報告指出,2023年美國是遭受網路釣魚攻擊最嚴重的國家,佔總數55.9%;其次是英國5.6%和印度3.9%。金融保險業更是遭受攻擊次數激增393%,顯示網路金融交易往來是罪犯主要鎖定目標。而微軟(43%)則是最常被模仿的企業品牌。

除了傳統的網路釣魚詐騙手法,報告還警示到一些新興攻擊型態,像是利用中間人攻擊(AiTM)和瀏覽器中瀏覽器攻擊(BiTB)直接在使用者瀏覽網頁時進行詐騙活動;或是偽裝技術支援和QR碼認證等方式,誘使使用者掃描惡意QR碼或與駭客假冒的支援人員互動而洩露資訊等。

這份研究報告無疑揭示出GenAI帶給網路安全領域的重大挑戰。人工智能技術為網路釣魚攻擊提供全新武器,不斷升級的詐騙手段更容易誆騙用戶,企業和個人都可能遭受重大資安威脅和財產損失。面對此一挑戰,我們必須提高警覺,加強教育訓練,與時俱進調整資安防護策略,才能有效防範GenAI網路釣魚攻擊的危害。

人工智能的發展正在改變網路安全的遊戲規則,各方需要高度重視這一威脅,採取更積極和前瞻的防禦態勢,保護資訊與數位資產的安全。唯有高度警惕和未雨綢繆,我們才能在新世代的人工智能網路戰爭中立於不敗之地。

詳情請看：

AI-driven phishing attacks deceive even the most aware users

微軟：建立安全的生成式人工智慧應用程式的最佳實踐

人工智慧發展日新月異,尤其是最近幾年生成式AI(Generative AI)的突破,讓AI系統能夠生成近乎人類水準的文字、圖像和影音內容,前景令人振奮。不過,這種強大的能力也帶來了一些安全和隱私疑慮,如果缺乏適當的管控措施,生成式AI應用程式有可能被利用來洩漏敏感資料或執行未經授權的操作,風險不容忽視。

本篇文章探討如何以安全為首要考量,來架構生成式AI應用程式。作者指出兩大主要風險:一是資訊外洩,使用者可能透過精心設計的提示,從應用程式獲取原本無權存取的敏感資料;二是權限提升,使用者可能藉由模擬AI應用程式的身分,執行超出原有權限範圍的操作。

為防範這些風險,文中提出幾項最佳實務作法。首先是限制應用程式權限,只允許存取對所有使用者開放的一般性資料和功能,而不能自行讀取敏感訓練數據或呼叫特權API。其次,應以使用者身分來存取敏感資料和執行特權操作,切勿賦予應用程式自身太大權限。另外,應避免將敏感資料放置於用於調整模型的訓練檔案中,以防遭到竊取。

文中並舉例說明錯誤做法可能導致的資料外洩風險,例如讓應用程式能直接存取使用者郵件、人力資源資料庫等敏感來源,或執行修改應用程式設定等特權操作,這都有被濫用的潛在危險。相對的,正確作法是在每次存取敏感資料或執行特權動作前,都先驗證使用者是否有足夠的權限。

為實作這種最佳實務,文章建議善用OAuth驗證機制,並推薦使用LangChain或Semantic Kernel等函式庫,以工具或技能的形式定義取得額外資料或進行行動的方式,每次呼叫這些取得敏感資訊或執行特權動作的工具時,都會附帶使用者的OAuth權證,確保操作獲得適當授權。

另一種做法是運用Microsoft Azure AI Search服務,其內建的使用者授權機制,可在取用底層資料時對使用者權限進行檢核。無論採用哪種技術,核心概念都是在存取敏感資源或執行特權操作前,明確驗證使用者的權限,避免生成式AI應用程式成為資訊外洩或權限被提升的切入點。

總的來說,生成式AI的興起帶來前所未有的便利和創新,但也衍生出新的安全隱憂。開發者有責任在設計階段就將安全列為優先考量,採取完善的存取控制和授權管理機制,讓使用者能安心運用這項革命性技術,將風險降至最低。對AI公司和應用開發商而言,這是一項重大的系統性挑戰,需要通力合作下定重心,才能真正造福世人。

詳情請看：

Best practices to architect secure generative AI applications

Paloalto：人工智慧的進攻和防守影響

人工智慧(AI)的影響力持續擴大,網路安全領域也無法倖免於這股浪潮。近期著名網路安全公司Palo Alto Networks旗下Unit 42部門的資深主管Michael Sikorski接受採訪,就AI對於網路攻防的衝擊,提出了諸多精闢見解。

首先,就近期6-12個月而言,Sikorski認為AI最可能被利用來強化社交工程攻擊,例如魚叉式詐騙(phishing)和商務電子郵件詐騙(BEC)。透過AI語言模型學習目標對象過去的電子郵件歷史與溝通模式,能夠撰寫出高度地道且具說服力的釣魚郵件,迅速建立信任關係後誘使受害者中計。這種可大規模自動化的釣魚攻擊方式,預期會很快成為駭客的主要手段。

展望未來一至數年,Sikorski預期駭客會將AI運用在兩大領域:其一是透過訓練AI語言模型,依據現有惡意程式碼拼湊出新的變種,以躲避偵測。其二是針對AI/機器學習系統本身實施攻擊,像是提示注入(prompt injection)和污染訓練資料集,意圖操縱AI的輸出結果。

不過,Sikorski最為關切的是5年後的遠景。屆時,駭客可能會利用AI實現大規模、自動化的攻擊行動,同步鎖定數千或數百萬個目標。他將之比喻為SolarWinds供應鏈攻擊事件,即便當時有軍方資源參與,駭客仍受限於人力僅能利用部分後門,但未來透過AI自動化操作,便可輕鬆同時入侵大量網路並植入惡意程式碼。

然而,AI也為網路防禦帶來了正面效應。Sikorski認為,隨著AI/機器學習的進步,軟體開發過程將更能自動化地發現並修復潛在漏洞,從而降低可利用的零時差漏洞數量。此外,AI的優化能力還能讓安全運營團隊腰纆重新集中在主動防禦和威脅獵捕等更具創意的工作,而非被動地反覆處理已知攻擊事件和誤報。

Sikorski建議,評估AI對網路安全團隊效能的改善,可藉由關注降低成本及發現新威脅的關鍵績效指標。如果團隊耗費在已知事件的鑑識比重逐漸降低,而找出新興威脅的比例持續上升,即代表AI確實提高了效率與效能。

總括而言,隨著AI攻防能力並行發展,像Sikorski這樣來自實戰一線的資深人士經驗與見解,將是網路安全團隊在運用AI潛在好處的同時,警惕新興威脅時不可或缺的指引。我們有待拭目以待AI在網路安全領域的演進。

詳情請看：

AI's Offensive & Defensive Impacts

Help net security：reNgine：用於 Web 應用程式的開源自動化偵察框架

網路安全一直是現代科技發展中不可忽視的重要課題。隨著網路應用程式的快速增長,確保這些應用程式的安全性也變得至關重要。傳統的網路偵查工具往往存在著種種限制,例如缺乏數據關聯性、輸出格式多樣化等,這使得偵查過程變得複雜且耗時。因此,開發一款自動化且高度可配置的網路偵查框架,對於提高偵查效率、節省時間成本至關重要。

reNgine正是為解決這一問題而誕生的開源自動化網路偵查框架。它的設計理念是讓用戶能夠輕鬆自動化並完善網路應用程式的信息收集過程,從而為Bug賞金獵人、滲透測試人員和企業安全團隊提供有力支持。

reNgine的一大亮點在於它提供了直觀的數據可視化功能,如圖表、地圖、樹狀結構等,幫助用戶快速準確地獲取所需的偵查數據。此外,它還具有一個名為"項目"的獨特功能,允許用戶根據不同的目的(如個人Bug賞金獵取、客戶委託測試等)建立獨立的偵查數據空間,每個項目都有自己的儀表板,掃描結果也將被隔離在各自的項目中,同時掃描引擎和配置則可跨項目共享,大大提高了工作效率。

除了現有功能外,reNgine的開發者還計劃將大型語言模型(LLM)整合到框架中。利用LLM強大的自然語言處理能力,reNgine可以生成更加人性化的偵查報告和攻擊面生成器,幫助用戶更好地理解和利用偵查數據。同時,開發者還將推出"模型工具包"功能,允許用戶安裝並使用自定義的LLM模型,包括付費和免費的各種選擇,極大地提高了框架的靈活性和可定制性。

總的來說,reNgine作為一款創新的開源自動化網路偵查框架,通過自動化流程、數據可視化、項目管理和LLM集成等多重優勢,為網路安全從業者提供了高效實用的解決方案。它的出現必將推動網路應用程式安全性的提升,促進整個網路安全領域的持續發展。作為開源項目,reNgine也為廣大安全愛好者提供了良好的學習和實踐平台,我們有理由期待它在未來能夠發揮更大的作用。

詳情請看：

reNgine: Open-source automated reconnaissance framework for web applications

Help net security：了解新興人工智慧和資料隱私法規

隨著科技快速發展,人工智慧已逐漸滲透到我們生活的各個層面。儘管AI帶來了諸多好處,但也衍生出一些風險和隱憂,因此有必要制定明確的法規來管理和約束AI的使用。歐盟正在積極推動一系列相關法規,包括人工智慧法(AI Act)、數據法(Data Act)和健康數據空間條例(Health Data Space Regulation)。這些法規旨在促進可信賴和人性化的AI發展,同時保護公民的基本人權和隱私權。

人工智慧法是歐盟首個全面的AI監管法規,適用於公共和私人機構。該法案將AI系統根據風險程度進行分類,禁止使用對公眾構成不可接受風險的AI系統,並對高風險AI系統施加一系列要求,如風險管理、數據管治、透明度、人工監督等。此外,法案還要求某些AI系統必須具備透明度,以便公眾能夠檢測和識別人工生成或操縱的內容。值得一提的是,通用AI模型和系統也包含在法案範圍內。

數據法則旨在提高數據共享水平,規定了物聯網設備用戶(企業或消費者)訪問和使用數據的規則,同時維護高度的個人數據保護水平。根據該法案,數據持有者有義務與用戶和第三方共享可獲取的使用數據。

健康數據空間條例則分為兩大支柱。一是專門針對電子健康數據的主要用途,提高個人無論身在何處都能獲取自身電子健康數據的能力。另一個是專門針對電子健康數據的二次利用,旨在為研究、創新和公共政策等目的促進數據共享,同時確保符合歐盟數據保護法規。

這三項法規旨在相輔相成,共同推動AI和數據隱私的平衡發展。除了歐盟,美國也在積極制定相關政策。去年,拜登政府發布行政命令,要求聯邦機構在使用AI時必須遵循8項原則,如部署安全可信賴的AI、促進AI領域的創新與合作、防止AI帶來的歧視和偏見等。美國還計劃推出"美國隱私權利法案"(APRA),作為對抗歐盟通用數據保護條例(GDPR)的回應。APRA的主要特點包括對符合條件的小企業給予豁免、將公開信息排除在"覆蓋數據"之外、規定數據最小化要求、要求涉密大型企業聘用隱私官等。

展望未來,隨著科技與時俱進,AI和數據隱私法規也將不斷更新和完善。歐盟現有法規對企業而言確實複雜嚴格,未來可能需要進一步調整和簡化。同時,各國在制定相關法規時也需要平衡創新與監管之間的關係,避免過度限制AI的發展空間。不過,整體而言,這些嶄新的法規標誌著全球AI和數據隱私治理進入了一個新紀元,對於規範AI使用、保護公眾權益和個人隱私將產生深遠影響。企業也需要提前做好準備,配合監管要求並採取積極主動的數據管理措施,以期在AI快速發展的同時也能維護數據安全和個人隱私。

詳情請看：

Understanding emerging AI and data privacy regulations

Help net security：保護組織的供應鏈：降低第三方的風險

史蒂芬・霍金曾說:「我們如今都被互聯網連接,就像巨大大腦中的神經元」,當時很少人了解他這句話的深遠含義。

然而,從那次著名的美國今日報紙專訪過了十年,我們可以肯定霍金是對的。如今,互聯網建立了全球村落,將各個組織聯繫在一起,無分地理位置,使大大小小的企業都能建立緊密關係。

但這種互聯性也帶來了一個缺點:網路犯罪。數位相連的組織為罪犯提供了機會,只要一次攻擊就可能損害多家企業。

供應鏈攻擊的崛起

最近就發生過這樣的事件:聯合健康集團的子公司Change Healthcare遭到勒索軟體攻擊,導致全美許多醫療服務提供者無法從保險公司獲得報銷,蒙受財務損失。

這突顯了數位相連組織彼此的依賴性。一旦供應鏈中的某一環節斷裂,就會對其他環節產生連鎖反應。

互聯性另一個關鍵問題在於數據分享和網路交叉。

當組織將部分服務外包給供應商,或依賴其他組織的服務時,幾乎總是會產生數據傳輸。有時,合作夥伴甚至可能需要存取組織的網路。但是,一旦組織的數據流向第三方,風險就會增加。

儘管數據的安全責任仍在所有者手中,但當數據離開其基礎設施時,組織就必須依賴合作夥伴的安全性來保護數據。這可能會使數據面臨風險,暴露在網路盜竊的威脅之下。

去年發生的MOVEit網路攻擊就是一個典型案例。

Cl0p勒索軟體攻擊利用了這款無所不在的檔案傳輸服務的一個漏洞,竊取了許多使用該軟體的組織的檔案。據估計,共有超過2,000家組織受到影響,影響了6,000萬人,造成約100億美元的損失。這說明了互聯網互聯性雖然給組織帶來好處,但也增加了管理挑戰,尤其是當數據安全受到威脅時。

不幸的是,這類供應鏈攻擊變得越來越普遍,組織即使沒有數位連接也可能遭殃。隨著組織規模的擴大,合作夥伴生態系統通常也會增長。這並不意味著所有供應商都需要存取組織網路,他們可能只是提供服務。然而,供應鏈中的服務中斷仍可能對組織產生重大影響。

因此,所有組織在與供應商建立合作關係時,都應該對其採取盡職調查,了解他們為保護資產所採取的管控措施。組織應有信心,一旦供應商遭到網路攻擊,不會影響到自身的服務。

這究竟可以如何實現?

審查供應鏈

盡管供應鏈網路安全存在風險,組織仍可採取許多步驟來審查合作夥伴,提高抵禦第三方攻擊的能力。其中最重要的步驟包括:

1. 盤點供應鏈:

對組織而言,最重要的一步是了解誰是他們的合作夥伴。組織必須盤點所有部門的所有合作夥伴,評估是否與合作夥伴共享數據、他們對內部系統的存取權限如何,以及組織是否依賴其他供應商的服務來保持正常運作或提供服務。

2. 識別關鍵供應商:

完成初步盤點後,組織必須確定關鍵供應商。這些是支持日常業務運營的合作夥伴,為組織提供所需服務,或者代表組織提供服務。

確定了關鍵供應商後,組織就必須努力了解他們對網路的存取權限,以及與供應商共享數據的方式。還要了解合作夥伴遭到入侵會對業務產生何種影響非常重要。

會危及關鍵服務嗎?財務損失會有多大?客戶會受到何種影響?這些問題都必須得到解答。

3. 問卷調查和管控評估:

盤點完所有供應商後,就應該要求他們填寫有關網路安全實務和法規遵循的問卷。

問卷應側重於員工網路安全意識培訓、修補管理,以及他們是否遵守常見的安全控制措施,如NIST或ISO27001標準。

問卷中不應存在任何紅旗。如果合作夥伴未採取全面的安全措施,就該斷絕關係。對於關鍵供應商,建議進行更加深入的控制審查。

最重要的是,企業必須確保合作夥伴具有網路韌性。合作夥伴必須證明他們制定了既可防止入侵者攻入系統,又能快速有效遏制攻擊的策略,以免影響服務或其他合作夥伴。

4. 技術措施:

對於需要直接存取網路的合作夥伴,必須確保他們擁有安全的網路連線。

此外,在可能的情況下,還應隔離網路,不讓供應商觸及任何關鍵任務數據。重點是限制對合作夥伴的不必要暴露,這樣罪犯就無法利用網路橫向移動進入他們的數據。

隨著越來越多供應鏈攻擊曝光,第三方安全對所有企業來說都變得至關重要。組織必須審查供應商,確保他們實行良好的網路安全衛生,同時也要努力在合作夥伴遭到攻擊時,將暴露程度控制在最低限度。

在當今數位化世界,採取這些步驟至關重要。正如霍金所預言,互聯網將我們聯繫在一起,關於「六度分離理論」的奢想已不復存在。

詳情請看：

Securing your organization’s supply chain: Reducing the risks of third parties

Help net security：安全分析師認為一半以上的任務可以自動化

在當代瞬息萬變的網路安全領域,人工智慧(AI)與自動化技術無疑成為安全運營團隊提升效能的關鍵助力。根據Anomali公司的調查報告顯示,安全分析師認為他們每天高達57%的工作任務可以透過自動化來處理,而76%的受訪者也預期AI技術能夠加速威脅偵測及個人生產力的提升。

然而,有47%的受訪者表示,目前的安全運營中心(SOC)無法提供足夠的基礎架構可見度,而這項能力對於偵測和回應惡意活動而言至關重要。因此,高達87%的受訪者希望能將多種技術整合到單一平台中,以增強安全分析工作流程的效率。

報告指出,對於單點解決方案的擔憂(61%受訪者表示憂慮),使得技術堆疊整合成為這些領導者的當務之急。許多人均指出,他們希望對所獲得的產品和可實施的措施有更具體的理解,藉此專業化管理其安全投資。

前瑞士銀行(UBS)資訊安全長Christian Karam表示:「生成式AI對於安全專業人員來說,潛力無窮,它正在開啟可大幅提升安全運營效能的創新能力。然而,這項技術也帶來了挑戰 – 同時增強了防禦和攻擊兩方面的能力。因此,在2024年,安全領導者必須重新評估其防禦策略,過渡到更具動態調適能力的技術,同時也要增強安全團隊的能力。」

報告顯示,88%的受訪者將把安全投資的重點放在雲端安全,而55%的焦點將落在AI技術。然而,要在SOC中推進這些技術,勢必需要大規模的再培訓計畫,因為有32%的受訪者認為他們沒有適當的人員具備所需技能。

很明顯的是,資訊安全長計畫整合工具,而非增加更多的複雜度。有68%的受訪資安長打算在可能的地方整合供應商/工具的數量;同時,只有26%的資安長計畫新增技術來解決安全缺口和新興威脅。

87%的受訪者希望將多種技術整合到單一SOC平台。SOC團隊通常需要使用許多不同的工具,同時處理多家供應商關係,這無疑耗費大量時間,也增加了架構複雜度。資安長和技術長均意識到這個問題,並普遍認為整合平台解決方案可以加速實現價值,同時降低風險。

Anomali執行長Ahmed Rubaie說:「就像機器人進入工廠生產線一樣,安全智能的副手是IT和安全運營開始實現自動化的關鍵起點。將重要任務自動化可以釋放分析師更多時間進行高級威脅獵捕和進階安全分析,同時也能讓管理層對威脅環境有更清晰的評估。與此同時,現在正是時候將傳統技術堆疊整合到一個平台(單一安全資料湖)中,以獲得更好的可見度,並能夠採取更有效的行動來保護組織,推動業務發展。」

這項報告調查了150位資安領域的高階專業人士,包括資訊安全長及其管理團隊成員。總的來說,透過AI與自動化技術的運用,將可大幅提升網路安全防護的效能。然而,這項技術也帶來新的防禦與攻擊挑戰,因此,規劃周全的導入策略及人員培訓計畫將是成功的關鍵。同時,合理化和整合技術架構也是降低複雜度、提高運營效率的重要工程。期盼在資安領導者的英明領導下,AI與自動化能真正發揮其綻放網路安全價值的潛力。

詳情請看：

Security analysts believe more than half of tasks could be automated

Help net security：七個字元以下的密碼很容易被破解

網路安全一直是現代社會不可忽視的重要議題。隨著科技快速發展,駭客入侵個人或企業資料庫的手法也日益精進,我們必須提高警覺,採取必要的防護措施。近期一項研究顯示,任何短於7個字元的密碼,都有可能在短短幾小時內被暴力破解。這項驚人的發現再次提醒我們,單憑簡短的密碼是遠遠不夠的。

有鑑於此,業界開始廣泛採用更強大的雜湊加密演算法來保護數據,例如bcrypt。這讓駭客需要更長時間才能破解密碼,暫時為我們爭取了一些喘息空間。不過,駭客手法層出不窮,只要計算能力持續提升,他們遲早會找到新的破解途徑。因此,單靠增強加密演算法的強度是遠遠不夠的,我們必須多管齊下,採取全方位的防護措施。

除了密碼強度外,多重認證(MFA)是另一種有效的安全防護。透過多步驟登入程序,並要求使用者採取實際行動(如輸入一次性動態密碼)來確認身分,可大幅降低帳號被盜用的風險。即使密碼遭到破解,駭客也無法輕易登入系統。

此外,密碼管理器的使用也相當重要。它能為每個網站或應用程序產生長度較長、複雜且隨機的密碼組合,大大提高密碼被破解的難度。不過,就算使用最頂級的密碼管理器,密碼的安全性終將隨著時間遞減。駭客總有一天能克服目前的障礙,因此我們絕對不能掉以輕心。

綜觀當前的網路威脅形勢,我們必須有高度的警覺心。政府、企業和個人都應投入更多資源,強化資訊安全防護。提升員工的網路安全意識、制定完善的資安政策、及時修補系統漏洞等,都是刻不容緩的當務之急。只有透過全民總體戰,我們才能真正捍衛數位資產的安全,遏阻駭客的攻擊行為。

詳情請看：

Passwords under seven characters can be easily cracked

Help net security：Tracecat：開源 SOAR

近年來,網路攻擊事件層出不窮,資安威脅日益嚴峻,企業和組織防禦資安漏洞的重要性不言可喻。然而,由於資安專業人員短缺,許多中小企業和團隊在維護系統安全性時面臨了巨大挑戰。在此背景下,Tracecat這款開源安全協作自動化響應 (SOAR) 平台應運而生,為缺乏資安資源的團隊提供了可行的解決方案。

Tracecat 是一個基於網路的平台,旨在提升安全團隊的工作效率。它結合了先進的人工智慧模型,能自動標示、摘要和豐富安全警報,並透過內部證據和外部威脅情報,為警報提供背景資訊,幫助使用者快速辨識和分類相關案件。此外,Tracecat 還提供了 MITRE ATT&CK 標籤、MITRE D3FEND 建議等功能,讓使用者更容易掌握攻擊手法和採取有效的防禦措施。

除了強大的警報處理功能,Tracecat 還內建案件管理系統。當安全警報被觸發並標示為案件時,使用者可以直接在平台上追蹤和管理安全事件的狀態。透過簡單的拖放介面,使用者能夠輕鬆建立自動化工作流程,執行 API 調用、Webhook、數據轉換、人工智慧任務等操作,實現安全運營 (SecOps) 自動化,減輕人力負擔。

另一個值得一提的優點是,Tracecat 支持雲端無關,只要部署環境支持 Docker,就可以輕鬆地在本地或雲端部署使用。更重要的是,Tracecat 作為開源軟件,源代碼可在 GitHub 上免費獲取,這不僅降低了中小團隊的採用成本,也增加了其可信賴性和透明度。

總的來說,Tracecat 為中小企業和團隊提供了一個高效、靈活且經濟實惠的資安自動化解決方案。其人工智慧增強功能和開放源代碼理念,讓這款平台極具發展潛力,必將為未來資安領域注入新的活力。對於那些資源有限、但仍希望提升安全性能的團隊而言,Tracecat 絕對是一個值得嘗試和關注的出色選擇。

詳情請看：

Tracecat: Open-source SOAR

The hacker news：美國政府發布新的關鍵基礎設施人工智慧安全指南

人工智能技術在近年來突飛猛進的發展,為社會帶來種種便利,同時也引發了不少安全疑慮。作為關鍵基礎設施的保護者,美國政府終於正視這個問題,並頒布新的人工智能安全指南,旨在提高關鍵基礎設施對AI相關威脅的防禦能力。

這份新指南著眼於三大風險領域:利用AI系統放大攻擊關鍵基礎設施的威脅、對手操縱AI系統的風險,以及AI工具本身可能產生的無心插曲。顯然地,政府已預見到人工智能不僅有被攻擊的危險,也可能成為攻擊載體,造成重大災難。

為了因應上述種種風險,新指南提出"統治、繪製、衡量、管理"四大原則,涵蓋AI生命週期中的各個環節。首先是從組織層面建立風險管理文化,讓每位員工都意識到AI安全的重要性;接著要清楚掌握本單位使用AI的場景,了解可能面臨哪些風險;然後建立評估、分析和追蹤AI風險的機制;最後就是根據風險等級,優先處理並採取緩解措施。

可以看出,指南重視全方位、系統化的管理,而非只著眼於技術層面。畢竟AI系統的安全除了要靠穩健的架構、密碼保護等做基礎建設,更需要有健全的管理體系,從組織文化、人員培訓到風險評估,環環相扣,方能真正達到防患未然的目的。

值得一提的是,指南特別提醒關鍵基礎設施營運商,要先掌握自身對AI供應商的依賴程度,釐清風險緩解的分工,反映出供應鏈安全也是重中之重。過去幾年AI模型供應鏈遭駭事件屢見不鮮,一旦被植入惡意程式碼,後果不堪設想。

總的來說,這份新指南標誌著政府正視AI安全問題的決心,雖只是個開端,但對維繫基礎建設的正常運作、避免人為錯誤、防範惡意利用AI發動攻擊等都具有深遠意義。人工智能技術的迅猛發展正帶來新的機遇與挑戰,我們有必要審時度勢,審慎因應,才能在這場科技浪潮中保持穩健與可控。

詳情請看：

U.S. Government Releases New AI Security Guidelines for Critical Infrastructure

微軟：在 Microsoft Learn 學習室一起學習 Azure

身為一名熱衷於技術學習的個人,對於Microsoft Learn推出的全新學習體驗"Learning Room"深感興趣。Learning Room提供了一個線上社群平台,讓世界各地的學習者得以互相交流、切磋砥礪,從專家那裡獲取關於Microsoft產品與服務的深入見解。這樣一個在線學習社區的出現,實屬難能可貴。

其中一個令人矚目的Learning Room就是由來自阿塞拜疆的Azure MVP Hamid Sadeghpour Saleh與其他專家所打理的"Microsoft Zero to Hero Community"。誠如其名,該社群旨在協助學員一路成長,從零開始逐步成為Microsoft雲端技術的專家。透過AMA問答、部落格分享、工作坊等多元活動,學員們得以涵蓋Azure、AI、資料分析等全方位的微軟雲端科技。

作為一個跨領域技術社群,Zero to Hero吸引了不同程度的學習者參與其中。無論是學生、新手還是經驗老道的專業人士與MVP,大家在這裡共同學習、互通有無,營造出極富啟發性的學習氛圍。我認為,這正是Learning Room最與眾不同的魅力所在——集思廣納、包容並蓄,讓每個人都能找到屬於自己的學習軌道。

除了一般討論之外,社群也十分重視對會員技能發展的支持與輔導。以Hamid為例,身為社群管理員,他不遺餘力地籌辦互動式討論會、工作坊,分享資源並提供個人指導,致力於為會員們營造一個積極向上、相互砥礪的學習環境。這種師徒式的傳承模式,聯想到了古時的書院或工坊,知識與技藝得以代代傳承,而非僅止於簡單的課堂教學。

總的來說,Microsoft Learn Learning Room為熱愛學習的人們開啟了嶄新的大門,得以邊學習邊實踐、互助合作,逐漸在微軟雲端科技的領域中成長茁壯。衷心期盼這個社群平台能在未來吸引更多志同道合的夥伴加入,在熱情的交流和切磋中創造出無限的可能。讓我們一起在Learning Room的天地中"邁向英雄"(Zero to Hero)吧!

詳情請看：

Learn Azure Together in Microsoft Learn Learning Room

Paloalto：網路安全平台化

網路安全一直以來都是企業和個人不可忽視的重要議題。隨著科技日新月異,網路攻擊手法也越來越多元化和複雜,單一防禦方式已經無法應付當前的安全威脅。因此,平台化(Platformization)漸漸成為網路安全的發展趨勢,透過整合各種安全功能,簡化系統架構,提升整體防護效能。

平台化最大的好處,就是將過去分散的網路安全工具整合為一站式解決方案,減少複雜性和管理成本。舉例來說,物聯網(IoT)安全有許多獨立工具可以選擇,但將它整合至安全平台內,不僅可以與現有系統無縫整合,也可重複利用既有硬體設備,達到最佳化資源使用的目的。

此外,即便採用平台化方案,它也應當支援與其他第三方工具整合,讓企業可以針對特殊需求,選擇最佳利器。畢竟,在遷移至平台化架構的過渡期,難免還有一些舊系統需要繼續運作一段時間。一個完善的平台需要與其他解決方案友善共存,讓客戶能夠漸進式地整合系統。

近來人工智慧(AI)的應用快速竄紅,已成為網路安全新的戰場。優秀的安全平台勢必要能掌握大量高品質資料,作為AI模型訓練的素材,提供更精確防護。未來平台化與AI的結合,甚至可望達到主動防禦的能力,偵測駭客意圖並阻絕攻擊。

整體而言,平台化是網路安全發展的必然趨勢。它能夠幫助企業整合資源、節省成本、提升防護效能,打造更簡單有效的網路安全防護體系。然而,在邁向平台化的過程中,企業仍應審慎評估自身需求,權衡採用單一平台或保留部分獨立工具的策略,做出最適切的網路安全布局。

詳情請看：

Cybersecurity Platformization

Help net security：Adaptive Shield 推出人工智慧 SaaS 安全

隨著人工智慧(AI)技術的蓬勃發展,無疑已經開始影響各個產業和日常生活。不過,任何新興技術的興起都難免會帶來一些風險和隱憂。Adaptive Shield近日推出了一款專為AI應用程式而設計的SaaS安全管理方案,旨在協助企業有效降低使用AI帶來的潛在風險。

在當前的商業環境中,企業為了提高效率,員工正大量採用含有AI功能的SaaS應用程式,例如ChatGPT、Google Gimni、GitHub Copilot、Salesforce Einstein和Microsoft 365 Copilot等。一份最新的PWC報告指出,超過一半(54%)的受訪企業已在其業務的某些領域實施了AI。可見AI技術的普及速度之快,企業也意識到制定應對措施的迫切性。

雖然AI有助於實現自動化並提升生產力,但同時也帶來了一些新的安全風險,如數據外洩、攻擊面擴大、新的漏洞以及隱私問題等,還可能導致企業違反相關法規的情況。有些企業由於無法掌控風險,乾脆禁止使用AI技術,但這無疑是本末倒置。

適當的做法應該是在廣泛採用AI的同時,制定完善的安全策略來降低風險。Adaptive Shield推出的這款產品正好能夠幫助企業的AI主管和安全團隊管理和控制AI工具的使用。

該產品套件包含以下主要功能:

1. AI應用程式安全狀況評估和分數,找出高風險應用。

2. AI相關安全設置控制,防止數據外洩。

3. 發現和管理非授權的AI應用程式接入。

4. 監控第三方AI應用,審查權限範圍。

5. 確保內部開發的AI應用程式安全。

6. 數據管理,維護數據隔離,避免敏感數據外洩。

總的來說,這款安全產品能夠對企業中使用的各種AI應用程式進行全面評估和管控,從而最大限度地降低AI帶來的風險隱患。雖然AI給企業的日常運營帶來了巨大的利益,但安全無疑是一個不可忽視的關鍵環節。只有做好充分的安全防護措施,企業才能真正放心地擁抱AI革命,在提高效率的同時,守住核心機密和關鍵數據的安全。

因此,對於任何企業來說,大力發展和合理利用AI絕對是一個必然趨勢。但同時,也必須投入足夠的資源,建立起安全可靠的管理機制。只有如此,才能真正最大化AI的潛力,同時又將風險控制在可控範圍之內,實現真正的雙贏。

總的來說,這款產品為企業如何在使用AI的同時確保安全提供了一種行之有效的解決方案,值得業界關注和借鑒。對於AI的未來發展而言,安全無疑將是一個不可或缺的重要一環。

詳情請看：

Adaptive Shield unveils SaaS security for AI

Mcafee：如何刪除瀏覽器記錄

科技的發展讓生活變得更加便利,但同時也帶來隱私風險。每當我們上網瀏覽網頁時,瀏覽器都會記錄下我們的上網軌跡,包括瀏覽網站的名稱、位置以及訪問時間等資訊。這些資料若落入不當的第三方手中,恐有被竊取身分或資料被濫用的風險。因此,妥善管理並定期清除瀏覽器歷史記錄,對於維護線上隱私至關重要。

常見的清除瀏覽器資料方式包括使用各大瀏覽器內建的「清除瀏覽資料」功能,但值得注意的是,這樣做僅能暫時刪除瀏覽器記錄,實際上這些資料仍然存在於電腦硬碟中。為徹底移除相關資訊,我們需要使用專業的資料刪除工具,才能徹底清除殘餘的資料片段。

除了定期清理瀏覽器資料外,使用瀏覽器的「隱私瀏覽」或「無痕模式」也是一種保護線上隱私的做法。不過需特別注意,雖然「隱私瀏覽模式」能阻擋部分追蹤器並自動刪除當次瀏覽記錄,但網路服務供應商及第三方網站仍有機會取得使用者的上網活動資訊,因此單單使用「隱私瀏覽」並不足以完全保護個人隱私。

近年來,各國政府已開始重視數位隱私議題,部分地區甚至已將「數位隱私」列為基本人權。身為數位公民,我們理應提高警覺,採取必要的防護措施,避免個人資訊遭到任意竊取或濫用。例如可投資購買專業的防毒軟體或身分盜用防護服務,進一步強化線上隱私防護。

總括而言,瀏覽器歷史記錄雖看似無關緊要的小數據,但若處理不當將可能衍生嚴重的隱私及資安風險。我們應定期清理上網軌跡,並透過加強資安防護,確保網路生活的安全與隱私無虞,維護個人及家人的數位人權與自由。祝願科技發展能為人類生活帶來利多於弊。

詳情請看：

How to Delete Your Browser History

Cybersecurity insiders：組織需要由 Gen-AI 提供支援的完全自主的安全性

在現今瞬息萬變的環境中,傳統的安全自動化方法已經無法滿足企業的需求。一方面,網路安全人才短缺的問題越來越嚴重;另一方面,威脅向量也變得越來越複雜。有鑑於此,具備完全自主能力的安全平台對於全球網路安全市場(根據一份網路安全市場報告,到2028年將增長至2985億美元)而言,無疑是一個重大的機遇。

Simbian公司是這個領域的領導者,他們透過深入理解安全自動化的內涵和環境,並運用不斷學習的人工智慧,使系統變得越來越智能和深化。最近,該公司推出了業界首個由通用人工智能(Gen AI)驅動的安全共駕系統,可將安全及智能的AI解決方案整合到不同的IT環境中,以最大程度增加覆蓋範圍,並加速對安全團隊不斷變化需求的響應。

這個共駕系統會持續觀察使用者的操作和環境,並逐漸學習自主執行越來越複雜的任務。Simbian的目標是實現完全自主的安全,將所有戰術性任務委派給值得信賴的AI平台,讓使用者可以專注於策略性的安全目標。

儘管多年來企業在內部自動化和工具上進行了大量投資,以提高安全團隊的工作效率,但他們仍然無法應付每天必須完成的大量操作任務。Simbian讓安全操作員完全掌控安全決策,用戶可與跨供應商的產品進行互動,完成所需的工作。該公司在業內獨一無二地提供了使用大型語言模型(LLM)生成代碼命令的能力,並且基於自然語言用戶界面,讓用戶可以臨機應變地構建Simbian支援的各種操作變體。

Simbian的通用AI驅動平台是業界首個可適應不同IT環境,涵蓋全面安全功能的安全共駕系統。大多數企業同時使用來自多家供應商的軟體和內部自製軟體。每個企業和每個安全團隊成員都有獨特且不斷變化的安全需求。Simbian可以幫助安全團隊中的每個人員,從CISO到一線從業人員,實時解決他們各自的獨特安全需求。用戶只需用自然語言描述目標,Simbian專利擬定的LLM驅動平台就會提供個性化建議,並跨異質環境生成自動化操作 - 提供更好的安全效果、更高的靈活性以應對不斷演變的業務需求和威脅,並降低成本。

安全是一個複雜程度與日俱增的領域。每一次安全事件都會帶來新的變數。Simbian朝著實現完全自主安全平台的願景邁進了一大步。儘管安全廠商越來越多地採用通用AI,但現成的通用AI模型存在許多安全風險,包括產生幻覺、提示注入風險,以及暴露個人身份信息/機密數據等。Simbian透過利用一種專利擬定的加固大型語言模型系統TrustedLLM™,在用戶和通用AI模型之間採用多層安全控制,將這些風險降至最低。

AI驅動的安全解決方案可以大幅改善威脅偵測、加速補救,並降低複雜性。Simbian正在將這一願景化為現實,利用AI自動化安全分析師日常中許多更具挑戰性和頻率較高的安全任務。

詳情請看：

Organizations Need Fully Autonomous Security Powered by Gen-AI

Help net security：零信任策略實施的基本步驟

根據研究機構Gartner的最新調查,全球有63%的組織已完全或部分實施零信任策略。對於實施零信任策略的78%組織而言,這項投資僅佔整體網路安全預算的25%以下。

儘管如此,仍有56%的組織主要是因為零信任被視為業界最佳實踐而追求該策略。然而,Gartner分析師John Watts指出,儘管有此看法,但企業仍不確定零信任實施的最佳做法為何。對大多數組織而言,零信任策略通常只涵蓋環境的一半或更少,並且僅能減輕不到四分之一的整體企業風險。

Gartner概述了為實施零信任策略而提出的三項主要最佳實踐建議,以供安全主管參考:

1. 早期確立零信任策略的範圍

為成功實施零信任,組織需了解涵蓋範圍、哪些領域在範疇之內,以及可減輕的風險程度。

零信任策略的範圍通常不包括組織的所有環境。然而,調查回覆者中有16%表示將涵蓋75%或更多範圍,僅11%認為將涵蓋不到10%的組織環境。

Watts表示:「範圍是零信任策略中最關鍵的決策。企業風險遠比零信任控制的範圍更廣泛,而且只能減輕有限的企業風險。儘管如此,衡量風險減少和改善安全態勢,仍是評估零信任控制成功與否的關鍵指標。」

2. 透過零信任策略和運作指標溝通成果

在已完全或部分實施零信任的組織中,有79%具有策略指標來衡量進度,且其中89%有風險衡量指標。不過,安全主管在溝通這些指標時,也必須考量受眾。調查顯示,59%的零信任倡議由CIO或CEO/總裁/董事會贊助。

Watts解釋:「零信任指標必須根據零信任的可交付成果進行量身打造,而非複製其他領域如終端偵測與應對的指標。零信任的努力可實現特定成果,例如減少惡意程式在網路上的橫向移動,但可能無法由現有的網路安全指標捕捉。」

3. 預期員工編制和成本增加,但不會延誤

有62%的組織預期成本將增加,41%的組織也預期員工需求將因零信任實施而增加。

Watts表示:「採用零信任策略的組織,其預算影響將因部署範圍和零信任策略在規劃過程中的強度而有所不同。零信任倡議本身會影響預算,因為組織採取系統性和逐步方式,使其政策朝向風險為本和自適應控制發展,為組織的持續營運負擔增加開支。」

儘管只有35%的組織表示遇到干擾零信任策略實施的失敗案例,但組織仍應制定零信任策略計劃、確立運作指標,並衡量零信任政策的有效性,以盡量避免延誤。

總的來說,零信任是網路安全發展的大趨勢,許多組織已意識到其重要性並著手實施。然而,無論是規劃、執行或衡量成效,都需要高度的策略性思維,配合企業獨特狀況進行因材施教。唯有如此,零信任策略才能真正發揮價值,提升組織的整體網路防護能力。

詳情請看：

Essential steps for zero-trust strategy implementation

Help net security：讓網路安全對女性更具吸引力，縮小技能差距

誠如本篇專訪所言,網路安全領域一直存在著嚴重的人才短缺問題。造成這種現象的原因很多,其中包括網路威脅與相關法規日益增加,導致對網路安全人員的需求大增;但同時,年輕人對這個領域的興趣不足,供給無法滿足需求。此外,行業內的員工流失率也相當高,有經驗的人員常因工作壓力而選擇轉行或移居他國。

要解決這個問題,我們必須從多方面著手。首先,我們要提高社會大眾對網路安全的認知,尤其是年輕學子,讓他們了解這是一個充滿挑戰且前景廣闊的領域。同時也要改革教育體制,採用更多元化的教學方式,激發學生的學習熱情。

此外,我們也要為業界人才提供更好的職涯發展環境。用人單位應廣開職缺大門,不應限制於特定資歷,而是更重視應徵者的潛力。工作場所也要提供良好支援與導師制度,給予員工足夠的成長空間與情緒管理協助,避免人才因過度壓力而流失。

當然,在提高網路安全領域的性別多元化方面,我們也有很大的努力空間。由於過去這是個男性主導的領域,女性在晉升管理階層的路上往往面臨更多障礙。我們需要提供更多職涯發展與導師資源,並在公司決策層納入女性的聲音,以打造一個兼顧多元且包容的職場環境。

透過多方位的努力,我深信網路安全的發展一定能夠步入更加包容且蓬勃的新紀元。惟有匯聚各方英才,這個領域才能持續進步,為我們的數位世界帶來最可靠有力的防護。讓我們共同為之努力,創造一個更美好的網路安全未來。

詳情請看：

Making cybersecurity more appealing to women, closing the skills gap

Help net security：為什麼雲端漏洞需要 CVE

隨著雲端服務的普及,安全漏洞管理的角色與重點已產生重大轉變。傳統上,漏洞管理團隊的主要任務是修補網路基礎架構中的漏洞。但在雲端環境中,組織無法直接控制底層基礎架構,因此漏洞修補的責任落在雲端服務提供商身上。相對的,漏洞管理團隊的工作重心則轉移到配置管理。

適當的配置管理直接影響組織的風險程度。舉例來說,MongoDB 曾因為預設密碼配置問題而導致大量伺服器受到入侵,這就凸顯了配置管理的重要性。與傳統軟體不同,雲端服務的高度可複製性,使得一個錯誤的配置可能會在整個雲端環境中大規模複製,因此潛在的安全影響更為嚴重。

然而,雲端服務提供商普遍不會為漏洞指派通用漏洞披露(CVE)編號,這使得漏洞管理團隊難以有效追蹤與分析特定的雲端漏洞。缺乏統一的識別機制,漏洞分析師常需耗費大量時間,依賴模糊的警示訊息(如「S3儲存貯體配置錯誤」)來追查並修正雲端配置問題,效率低落。

有鑑於此,業界或許應考慮針對雲端漏洞建立類似CVE的獨特識別碼,例如「Common Cloud Vulnerability Enumeration(CCVE)」。以統一格式定義雲端配置問題(如「CCVE 1-1.2:Amazon S3儲存貯體預設密碼」),可大幅簡化漏洞追蹤與修正的流程。

當前,組織僅能在有限時間內修復少部分的已知漏洞,未解決的漏洞債務年復一年地累積。追根究柢,需要思考如何協助企業有效管理雲端風險,解決漏洞債務的棘手問題。也許業界共同制定雲端漏洞識別機制,將是一個可行的出路。否則,我們勢必面臨漏洞風險失控的危機。

詳情請看：

Why cloud vulnerabilities need CVEs

Cybersecurity insiders：打造嚴密的安全態勢來應對勒索軟體威脅

當代網路威脅無處不在,勒索軟體攻擊已成為個人和組織備受關注的重大隱患。這種惡意攻擊會將寶貴的資料加密,並威脅除非支付贖金否則不予解密,對企業可能造成財務損失和聲譽受損。為了防範此類威脅,採取堅實全面的安全防禦姿態至關重要。以下是構建防禦勒索軟體的嚴密防線的方法:

1.實施多層次安全措施:堅強的防禦始於採用多層次安全方法,包括部署防火牆、入侵偵測系統和防毒軟件,以在多個入口點偵測和預防勒索軟體攻擊。此外,可考慮實施先進的威脅偵測技術,實時識別和緩解新興威脅。

2.定期更新軟硬件系統:過時的軟件和作業系統往往容易受到勒索軟體攻擊。為降低風險,請確保所有軟件應用程序和系統都使用了最新的安全補丁和更新。自動化補丁管理工具可簡化此過程,幫助保持基礎設施安全。

3.教育和培訓員工:人為失誤是勒索軟體攻擊的常見切入點。教育員工認識勒索軟體風險,並提供有關網路安全最佳實踐的培訓,例如識別釣魚企圖、避免可疑鏈接和附件。定期舉辦安全意識培訓課程,可增強員工的警惕性和主動性,共同防範勒索軟體威脅。

4.實施嚴格的密碼策略:弱密碼就等於為網路犯罪分子開了條捷徑。在整個組織實施嚴格的密碼策略,包括要求使用複雜密碼和定期更改密碼。考慮實施多重身份驗證(MFA),增加一層安全防護,有助於防止未經授權訪問敏感系統和資料。

5.定期安全地備份資料:防禦勒索軟體最有效的方法之一是實施堅實的備份策略。定期備份所有關鍵資料,並確保備份安全存儲,最好是離線或存放在獨立的隔離網路中。這樣一來,即使勒索軟體加密了您的主要資料,您仍可從備份中將其還原,無需支付贖金。

6.監控並及時應對威脅:主動監控網路流量和系統活動,有助於及早發現勒索軟體攻擊,從而迅速採取應對和控制措施。制定安全事件應急響應程序,概述一旦發生勒索軟體攻擊應採取的步驟,包括隔離受感染系統、通知相關人員以及啟動恢復程序。

7.與安全專家和合作夥伴聯手:網路安全是一個日新月異的領域,組織要時刻跟上新興威脅的步伐是一大挑戰。可考慮與專注於勒索軟體防禦的網路安全專家或安全服務提供商合作,他們能提供寶貴的洞見、威脅情報,以及在制定和實施有效安全策略方面提供協助。

通過積極主動採取全面的勒索軟體防禦措施,組織可大幅降低風險暴露,最小化勒索軟體攻擊的潛在影響。有了穩健的安全防線,企業就可以專注於核心業務運營,確信自己已充分準備好抵禦勒索軟體的持續威脅。

詳情請看：

Crafting an Airtight Security Posture Against Ransomware Threats

The hacker news：人人都是專家：如何幫助您的員工取得網路安全成功

現今網路安全威脅層出不窮,任何組織都無法倖免於駭客的攻擊。因此,除了部署先進的網路防護系統外,提升員工的網路安全意識也極為重要。傳統的安全意識培訓課程往往乏味無趣、效果不彰,讓69%的員工故意忽視公司的網路安全指引。這不僅浪費了企業的資源,也無法真正提高員工對網路威脅的警覺。

有鑑於此,本文建議企業採用創新有趣的安全意識培訓(SAT)方案,透過專業駭客編寫的生動案例和情節,讓員工在輕鬆有趣的環境中學習網路安全知識。優質的SAT方案應具備以下特點:

1. 課題內容與真實威脅緊密相關,並定期更新反映最新網路犯罪手法。

2. 由資深網路安全專家規劃和管理,不需公司額外投入人力。

3. 採用有趣生動的情節和角色,提高學員的學習興趣和知識保留率。

4. 每月推出新課程,透過隨機模擬釣魚郵件等攻擊情境測試員工反應。

5. 課程時間精簡,不會過度佔用員工工作時間。

6. 與常用軟件如Microsoft 365、Google、Okta等整合,自動同步員工名單。

7. 提供詳盡報表,追蹤員工學習情況及模擬攻擊測試結果,證明合規性。

8. 快速部署,輕鬆擴展服務至整個企業。

優質的SAT方案可以營造重視網路安全的企業文化,建立員工健全的防護習慣,將員工培養成組織的第一道防線。員工能及時識別並應對釣魚郵件、社交工程等常見網路攻擊手法,大大降低公司遭受資安事故的風險,確保企業營運安全。

此外,SAT課程還能滿足公司各項安全合規要求,如HIPAA、PCI、SOC 2、GDPR等,通過內部和外部稽核,避免公司觸犯法規受罰。在網路犯罪日益猖獗的當今,SAT絕對是企業不可或缺的資安保障,比硬體和軟體防護更能發揮關鍵作用。

總括而言,現代化安全意識培訓解決方案不僅創新有趣,而且專業管理一體,是企業提升員工網路安全意識、建立企業資安文化、符合法規要求的利器。培養員工主動防範的習慣,確保公司數據、系統和資產的安全,才是企業永續發展的關鍵基石。

詳情請看：

Everyone's an Expert: How to Empower Your Employees for Cybersecurity Success

Cybersecurity insiders：了解網路安全中的 CAT 文化：協作、意識和培訓

隨著網路環境的不斷變化與威脅的不斷演化,組織機構越來越意識到建立堅實的安全文化對於降低風險、保護敏感數據的重要性。其中一種日益受到關注的方法是實施CAT文化,著重於協作(Collaboration)、意識(Awareness)和培訓(Training),作為增強抵禦網路威脅的根本支柱。

協作:CAT文化的核心在於協作 - 組織內部各利害相關方的共同努力,以集體的方式捍衛網路安全。這意味著打破IT、安全、法務和人資等部門之間的壁壘,促進開放溝通和信息共享。通過加強協作,組織可以更有效地識別漏洞、及時應對安全事故,並實施與業務目標一致的全面安全措施。

協作不僅局限於組織內部,還應擴展至外部夥伴關係,包括同業、政府機構和網路安全專家。參與信息共享計劃、加入威脅情報共享平台,以及開展聯合網安演練,都能增強形勢感知,提升集體防禦能力,應對共同的對手。

意識:在CAT文化中,意識是指培養所有員工(從高層管理到一線員工)的網路安全意識。這包括教育員工了解不斷變化的威脅形勢、常見的攻擊媒介,以及保護措施的最佳實踐。提高意識可以使員工更好地識別可疑活動、報告安全隱患,並遵守相關政策和程序。

網安意識計劃的關鍵要素包括定期的安全培訓、模擬釣魚測試,以及發佈安全建議和警報。此外,營造一個員工可以放心尋求指導、報告安全問題而不必擔心受罰的文化,對於維持警惕的員工隊伍也至關重要。

培訓:全面的培訓計劃對於裝備員工獲得抵禦網路威脅所需的知識、技能和資源至關重要。培訓應針對不同部門和崗位的具體需求量身定制,可包括IT管理人員的專業培訓、非技術人員的安全意識培訓,以及應急響應團隊的事故處理培訓。

此外,持續的培訓和專業發展機會對於跟上新興網安威脅、不斷演變的技術,以及監管要求的步伐至關重要。諸如CISSP、CEH和CompTIA Security+等認證,不僅能驗證專業技能,還彰顯了員工在網安領域持續學習的決心。

總而言之,擁抱CAT文化 - 協作、意識和培訓 - 對於在當今數字時代建立彈性網安態勢至關重要。通過促進協作、提高意識,並投資全面的培訓計劃,組織可以使員工成為抵禦網安威脅的積極參與者,有效適應不斷變化的網安格局。

詳情請看：

Understanding CAT Culture in Cybersecurity: Collaboration, Awareness, and Training

Tenable：透過 SLSA 加強 Nessus 軟體供應鏈

在軟體供應鏈安全性日益受到重視的當下,作為網路安全領域的翹楚,Tenable 公司採用了嚴格的 Supply-chain Levels for Software Artifacts (SLSA) 框架來保護其旗艦產品 Nessus 的軟體供應鏈。本篇文章分享了 Tenable 從 SLSA 新手到專家的歷程,以及實施 SLSA 框架的心得與收穫。

什麼是 SLSA?

SLSA 是由 Google 開發的一套軟體供應鏈安全標準,旨在確保軟體製程的完整性與可靠性。它提供了一系列漸進式的指南,幫助企業在軟體生產的每個環節建立可信任的機制。

SLSA 框架可以被視為食品安全處理的指引,確保每一個成分都是可信的,同樣地,SLSA 也為軟體製作過程的每個步驟提供了安全保證。

Tenable 在實施 SLSA 的初期,主要有以下幾個關鍵體會:

1. 建立明確的信任機制:SLSA 著重於直接控制範圍內的可信任性,如原始碼庫、建置系統、軟體成品和版本控制系統等。

2. 增強供應鏈信心:SLSA 旨在透過驗證每個建置步驟,並防範上游供應鏈攻擊,來強化建置流程的可信度。

3. 需要自主實作:SLSA 只是一個藍圖,並非現成的解決方案,需要手動進行工程和流程變更,以符合 SLSA 的要求。

Tenable 採用 SLSA 的歷程

經過數月的努力,Tenable 首先達成了 SLSA Level 1 的要求,其中包括:

1. 建立腳本化的建置流程:Tenable 的 Nessus 產品建置流程全部由版本控制的管線定義和建置腳本來執行,過程可被完全驗證。

2. 提供建置來源證明:Tenable 記錄並儲存了 Nessus 建置的來源清單(SBOM)和建置過程細節(provenance),以便日後重建。

3. 採用版本控制系統:Nessus 的原始碼受版本控制系統管理,能夠追蹤每個修訂的變更歷史,包括提交者、時間、變更內容等。

在 SLSA Level 1 的驗證過程中,Tenable 也遇到了一個需要特別處理的挑戰 - 防止秘密資訊在 provenance 文件中洩露。他們採用了自動掃描provenance,並以 <Redacted>替換掉任何檢測到的敏感資訊。

接下來是 SLSA Level 2 的實施,其主要包括:

1. 使用受管理的建置服務:Tenable 確保所有建置步驟都在受控的建置服務上執行,而非開發人員的個人電腦上。

2. 驗證 provenance 的真實性:Tenable 確保 provenance 資訊是由專用的建置管線直接產生,而非人工插入或修改。provenance 資訊也經過數位簽章以防止篡改。

3. 驗證建置環境和來源:Tenable 使用 Rego 政策來檢查 provenance,確保建置代理程式的可信度,以及原始碼來源的正確性。

最後,Tenable 達成了 SLSA Level 3 的要求,包括:

1. 永久保留原始碼變更歷史

2. 確保完全隔離的建置環境,每個步驟都在獨立的虛擬機上進行

3. 確保 provenance 資訊的真實性和不可篡改性,由專用的簽章服務簽署

Tenable 在 2023年12月通過第三方安全評估,獲得了 SLSA Level 3 的認證。

結語

Tenable 的 SLSA 實施經驗給其他組織帶來以下啟示:

1. 軟體供應鏈安全是重中之重,需要投入大量資源來建立可信任的機制。

2. SLSA 雖然是一個嚴格的框架,但能有效防範上游的供應鏈攻擊,值得企業認真考慮。

3. 實施 SLSA 需要大量的工程和流程變更,沒有現成的方案,需要自主實作。

4. 在實施過程中,會遇到需要特別處理的挑戰,需要審慎規劃並靈活應對。

Tenable的 SLSA 之路並非一蹴而就,但他們相信這樣的努力最終將為產品和客戶帶來長遠的好處。

詳情請看：

Strengthening the Nessus Software Supply Chain with SLSA

Bleeping computer：如何使您的網路應用程式能夠抵抗社會工程

隨著社交工程攻擊的日益猖獗,保護企業的數字資產(包括外部網絡應用程式)已成為當前的首要任務。社交工程利用用戶的情緒和脆弱性,而非依賴於技術性的黑客攻擊手段,這使得它們特別難以防範。事實上,根據Firewall Times的研究數據顯示,98%的網絡攻擊涉及某種形式的社交工程,而高達90%的惡意數據洩露事件都涉及社交工程攻擊。

面對這樣的嚴峻形勢,我們必須採取一系列具體的策略和最佳實踐來提高網絡應用程式對社交工程的抗性。以下是一些值得參考的做法:

1. 持續的員工培訓和意識宣導:知情的用戶是企業抵禦社交工程攻擊的第一道防線。定期為員工提供培訓,教育他們如何識別網路釣魚、安全處理敏感信息等。對於網絡應用程式,培訓用戶如何驗證網站的真偽、識別安全或不安全的連接,以及理解不重複使用密碼的重要性。但要記住,不能完全將責任推給最終用戶 - 他們需要得到技術上的支持。

2. 遵循最小權限原則:員工應該只擁有完成工作所需的數字資產權限,而不是更多。對於網絡應用程式而言,這可能意味著根據用戶角色限制對敏感數據、功能和管理介面的訪問。儘管要注意,即使是熟練的攻擊者也能提升權限,所以所有帳戶都需要強密碼保護。

3. 部署多因素認證(MFA):MFA並非銀弹,但它通過要求用戶提供兩個或更多驗證因素才能訪問系統,增加了一個額外的安全層。這種額外的保護往往足以阻止攻擊者,即使他們已經通過社交工程戰術獲得了用戶的憑據。

4. 定期進行安全審計和滲透測試:為了在黑客之前發現網絡應用程式中的漏洞,請確保定期進行全面的安全審計和滲透測試。要求滲透測試包括社交工程模擬,以評估團隊的準備程度,並識別(和補救)任何弱點。考慮採用滲透測試即服務(PTaaS)解決方案,它能夠持續監控並及時發現漏洞。

5. 制定事件響應計劃:制定一個強大的事件響應計劃,包括應對社交工程攻擊的程序。計劃應該概述立即採取的措施,以控制和緩解攻擊,以及通知受影響方的溝通計劃。

此外,開發人員和IT專業人員還應該遵循以下最佳實踐:

1. 使用HTTPS和SSL證書:通過使用HTTPS和SSL證書來保護您的網絡應用程式,有助於保護用戶的隱私和安全,確保數據加密,驗證網站身份,維護數據傳輸的完整性。

2. 定期更新和修補系統:為了防範針對已知漏洞的攻擊,請務必定期更新系統和軟件,安裝最新的安全修補程式。保持系統最新是一項基本的安全實踐,可以大大阻止潛在攻擊者通過這些已知漏洞進入網絡。

3. 實施嚴格的數據處理程序:通過嚴格驗證和清理輸入數據,可以防止注入攻擊。驗證輸入(例如,確保電子郵件地址格式正確)並清理輸入(刪除或轉義潛在的有害HTML或SQL元素)。

4. 定期監控和審核網絡應用程式:通過跟踪網絡應用程式的性能和活動,可以及早發現未經授權的訪問、數據洩露或拒絕服務攻擊,從而有機會減輕或阻止其影響。使用專門設計用於檢測和阻擋可疑活動的工具,如網絡分析軟件和網絡應用防火牆軟件。

要全面提高抗社交工程攻擊的能力,需要採取多層面的策略。單一的防護措施並不足以應對這種隱患重重的攻擊手段。通過實施上述各項最佳實踐,企業可以顯著提高外部網絡應用程式的抗性,更好地保護自身免受社交工程攻擊的危害。

詳情請看：

How to make your web apps resistant to social engineering

The hacker news：來自「記得我」複選框的網路威脅

隨著科技的發展,我們在各種線上帳戶登入時,常常會看到「記住我」的選項,讓我們可以在關閉頁面重開後仍保持登入狀態。這個功能確實提升了使用者的便利性,但卻也潛藏著一些安全隱憂。

根據Zen Shield的網路安全研究人員最新發現,如果多人共用同一個裝置,這個看似無害的「記住我」功能就可能會導致嚴重的安全漏洞,讓未經授權的人輕易取得個人資訊、財務數據或其他敏感資料。舉例來說,如果用戶A使用過裝置後,用戶B隨後也取得使用權,只要打開之前登入過的網頁,就能立刻存取所有儲存的資訊。

2024年IBM網路安全情報報告指出,高達95%的安全漏洞源自人為疏失,其中11%更是純粹的疏忽大意所致。為了降低這些風險,使用者可以採取額外的安全措施,例如啟用雙因素驗證(2FA)、使用主密碼的密碼管理工具,或是導入生物特徵驗證等,以增加安全防護層。另一個方法就是干脆不勾選「記住我」,完全避免潛在的安全問題。值得一提的是,儲存在瀏覽器中的Cookie資料也可能成為隱憂,不過那是另一個需要區別考慮的議題。

為了應對不斷變化的網路威脅,許多公司包括線上市集、遊戲平台和電子商務網站,都正在強化自身的安全機制,提供「記住我」功能搭配生物辨識或2FA等雙重驗證選項。

因此,不管是資深網路使用者還是新手,我們都必須時刻保持警覺和知情。透過自身的經驗或未來的網路互動,養成安全意識並付諸實行,才能在這個日益互聯的網路世界中,有效守護我們的數位身分和敏感資訊。

總的來說,「記住我」這個功能的確為使用者帶來便利,但同時也暴露出一些安全隱憂。我們必須謹慎看待,採取必要的安全防護措施,才能在享受網路便利的同時,也確保個人資料的安全。透過教育和提高警覺,相信我們終能在瞬息萬變的網路世界中,安全地保護自己的數位資產。

詳情請看：

Cyber Threat from Remember Me Checkbox

微軟：使用合適的設備改善員工體驗的 5 個步驟

靈活工作模式已成為新常態,要真正重視多樣性並賦予每個人最佳工作環境,關鍵在於能夠跨越實體和數位世界的技術設備。

最基本的就是設備本身 - 它是溝通、協作及創新的媒介。但很多時候,這些設備卻不能完全適應現代工作場所的需求。最近一項IDC的研究指出,隨著大批知識工作者持續遠程工作或採取混合上班模式,他們對個人電腦的要求也發生了變化。

作為IT領導者,在為公司選擇設備時,需要緊貼這些現代工作需求 - 不論是知識工作者還是前線員工,以下5點都值得考慮,確保每個人都可以發揮最佳表現:

1. 以員工體驗為首要

員工體驗是衡量員工參與度的指標,反映員工在職場環境中的互動情況。研究表明,在經濟不確定時期,重視員工參與度的企業在財務表現上的優勢是其他企業的兩倍。一家公司的員工體驗指數可能會因可用技術的品質而上升或下降。要了解員工需求隨工作和位置的變化而變化,因此以員工需求為中心的設備策略可以助您取得成功。

2. 梳理"一天的生活"以了解設備的典型使用情況

識別關鍵的活動節點、環境和工具,深入了解不同崗位員工的需求,為他們建立定制的使用軌跡圖,有助於明確需求,優化設備選擇。

3. 了解設備如何創造自然的效率,並選擇最能支持用戶的設備

有了使用軌跡圖和對典型使用情況的深入瞭解,分析哪些設備功能最能滿足用戶需求。通常,IT領導者可以整合替換多項設備為單一、更多功能的設備。一項最近的IDC研究發現,44%的IT決策者發現採用微軟Surface設備可以取代桌面電腦、筆記本、平板、手機等多種其他設備,簡化了硬件使用,並降低了資本支出和管理成本。

比如,如果用戶需要在一天內在不同地點切換,確保設備能夠無縫恢復工作進度,為他們節省設置時間,讓他們能夠快速回到工作狀態。Surface設備提供對接體驗,可以記住用戶的工作位置。

又或者,如果用戶需要隨時待命,隨時進行行動辦公,設備必須適應這種情況,尤其是電池續航、內置連接和多功能性方面。Surface設備專門為此類靈活工作而設計,提供筆記本電腦、平板電腦或工作室模式等多種形式因素選擇,以及延長的電池續航時間和可選的LTE Advanced或5G連接。

再者,用戶如何進行交流協作也很重要。自2020年2月到2022年2月,平均微軟Teams用戶每週會議時間增加了252%,其中64%為非計劃或即時進行的電話會議。使用Surface設備,用戶可以享受Teams的最佳體驗,無需額外外圍設備。憑借Surface的攝像頭、優化麥克風、沉浸式音效和精心設計的顯示屏,用戶在通話時看起來和聽起來都更出色,隨時待命。

4. 啟發新的生產力水平 - 讓員工以不同方式與設備互動

除了了解員工當前如何與設備互動,我們還應該思考如何激發新的思維模式和效率。

語音交互:用戶可以在保持工作流暢的同時,擺脫鍵盤。無論是協作、移動辦公還是思維激發,Windows 11的語音輸入功能都可以讓用戶以更自然的方式捕捉靈感。

數字筆輸入:隨著近64%的員工表示他們難以有時間和精力完成工作,使用數字筆可能有助於緩解一些壓力。因為手寫已經深植於我們的大腦,Surface Slim Pen這樣的筆式界面可以讓用戶暫時休息一下,避免單純使用鍵盤。通過手寫或繪圖,他們可以利用大腦的不同部位,改變身體姿勢,在模擬和數位世界之間切換,從而獲得更自然、更高效的工作體驗。

5. 最小化對用戶影響的設備管理和安全

選擇合適的新設備可以提高用戶和IT團隊的效率。IDC的研究顯示,搭配微軟365的Surface設備,可以為IT人員帶來顯著的時間節省和效率提升。憑借卓越的設備性能,Surface用戶的技術問題大幅減少,IDC發現幫助台呼叫量減少49%,平均為員工節省5.5小時。Surface硬件與熟悉的軟件完美融合,加上簡化的設備管理和主動的安全防護,確保了出色而不受干擾的使用體驗,同時提高了安全防護。

無論是移動的Surface Pro,還是大屏幕的Microsoft Teams會議室設備Surface Hub3,Surface設備都旨在滿足個人和整個團隊的需求,幫助用戶在多設備間無縫連接,體驗專為未來工作而設計的核心應用。

詳情請看：

5 Steps to Improve Employee Experience with the Right Devices

Help net security：IT 和安全專業人員需要更高的工作場所彈性

隨著遍及工作(Everywhere Work)的概念日益廣泛,涵蓋了專業人員工作的地點、時間和方式,彈性工作模式已成為關鍵的工作場所優先事項,這是根據Ivanti的調查結果。

Ivanti調查了超過7,700位高管、IT和網絡安全專業人員以及辦公室工作者,探討了當僱主讓員工可以在任何地方工作時,所面臨的深層挑戰和機遇。

"尋求吸引頂尖人才的僱主應該把工作場所的靈活性列為重點,因為這有明確的業務優勢,"Ivanti首席執行官Jeff Abbott說。"為了有效實施靈活的工作安排,提供員工必要的資源、支持和安全基礎設施,確保他們的成功至關重要。忽視這些因素可能會導致更高的員工流失率和有價值員工的不滿。"

彈性工作選擇優於遠程工作

根據調查結果,80%的專業人士表示,彈性工作比在任何地方工作(70%)更有價值。但只有25%的專業人士表示,他們的工作提供了很高的靈活性,至少40%的人會為獲得更大的靈活性而改換工作。

36%的女性認為彈性工作是必須的,而只有22%的男性如此認為。此外,28%的女性認為能夠在任何地方工作是必須的,而只有18%的男性如此認為。採取更僵硬方法的組織可能會損害其重要員工群體。

Ivanti的研究清楚地表明,靈活和遠程工作直接影響了IT工作量。56%的IT工作者表示,幫助台票量有所上升 - 這與之前幾年的結果一致 - 78%的人將其歸咎於靈活/遠程工作。推動票量上升的一些具體因素包括軟件部署、網絡可靠性和安全事件。

領導層與IT和安全需求脫節

雖然超過90%的受訪領導者表示,員工擁有在遠程或混合工作環境中保持生產力所需的工具,但IT和安全團隊並非如此。只有46%的人表示,遠程工作時很容易獲取技術工具。這種脫節對僱主有重大影響 - 23%的IT專業人士表示,由於工作倦怠,同事已經辭職。

76%的受訪者表示,人工智能和自動化可以有助於減少票量,提供更好的服務。然而,研究顯示,採用人工智能和自動化解決方案的比率較低。原因是什麼?如果數據不準確,人工智能就無法提供有用的洞見,而長期存在的數據孤島也阻礙了組織大規模部署人工智能和自動化。

如果領導者想要讓員工能夠靈活工作,大規模部署人工智能和自動化,並解決IT和安全需求,那麼首席信息官和首席信息安全官需要調整優先事項。研究顯示,52%的IT和安全專業人士表示,他們的組織內部存在安全數據和IT數據的孤島。

其中84%的人表示,數據孤島對安全產生負面影響,82%的人表示,數據孤島降低了生產力。這會對員工無論何時何地都能安全高效地工作產生連鎖效應。

66%的IT工作者表示,他們使用公開可用的生成式人工智能工具,如ChatGPT,但對這些工具的監管往往缺失或不完善。近三分之一的組織沒有制定應對生成式人工智能風險的具體策略 - 這是一個嚴重的疏漏,因為IT專業人員會與敏感數據和系統打交道。

總而言之,靈活的工作模式是IT和資訊安全專業人員的關鍵需求。組織需要提供必要的資源、支持和安全基礎設施,幫助員工靈活高效地工作。同時,領導層還需要深入了解IT和安全的實際需求,協調優先事項,大規模部署人工智能和自動化,消除數據孤島,為員工創造一個真正靈活、安全的工作環境。

詳情請看：

IT and security professionals demand more workplace flexibility

The hacker news：AI副駕駛：發射創新火箭，但要警惕前方的黑暗

人工智慧(AI)技術在軟體開發領域的應用,正引發一場颶風般的變革。GitHub Copilot就是其中的代表,它能夠根據開發者的輸入建議相關的程式碼片段,大幅提升了軟體開發的效率。然而,這種AI輔助軟體開發的技術,同時也隱含著嚴重的安全隱憂。

Copilot等AI系統的局限性在於它們是基於現有的程式碼訓練而成的,難免會從中繼承一些軟體漏洞。研究顯示,Copilot生成的代碼中,約有40%存在安全隱患,如SQL注入和緩衝區溢出等常見攻擊。這突顯了"垃圾入,垃圾出"(GIGO)的原理:如果訓練資料有問題,輸出的結果也會繼承這些缺陷。

面對AI輔助軟體開發帶來的安全挑戰,我們必須採取多管齊下的方法:

1. 了解漏洞:認識到AI生成的代碼可能容易受到與傳統軟體相同的攻擊。

2. 提升安全編碼實踐:培養開發人員的安全編碼意識和技能,不僅要發現潛在的漏洞,還要理解AI建議代碼片段的機制,以更好地預防和緩解風險。

3. 調整軟體開發生命週期:不僅是技術,流程也需要適應AI帶來的變化。除了關注代碼開發,需求、設計、測試和運維等環節也可受益於大型語言模型(LLM)的輔助。

4. 保持持續警惕和改進:AI系統及其驅動的工具都在不斷進化,保持對最新安全研究的了解、掌握新興漏洞,並相應更新安全實踐至關重要。

具體實施方面,我們可採取以下措施:

1. 嚴格執行輸入驗證:特別是對於處理使用者輸入的功能,應定義明確的輸入規則,創建允許列表,並在處理前確保輸入合法。

2. 安全管理依賴項:Copilot可能會建議添加依賴項,攻擊者可利用此實施供應鏈攻擊。在接納任何建議的庫之前,先檢查其安全狀態,可利用工具自動跟蹤和管理依賴項的安全性。

3. 定期進行安全評估:無論代碼源自AI還是人工,都應進行定期的代碼審查和測試,結合靜態分析、動態分析和軟體成分分析等方法。

4. 循序漸進地使用:先從使用Copilot生成註釋或調試日誌開始,然後再逐步讓它生成更多實際功能的代碼。

5. 審慎評估Copilot的建議:切勿盲目接受Copilot的建議,要時刻保持警惕,並理解預期的代碼結果。

6. 持續實驗探索:嘗試不同的提示,觀察Copilot的表現,並理解其強弱項,以不斷改進合作。

7. 保持學習與教育:持續關注安全領域的最新動態,提高團隊的安全意識和編碼技能。

AI技術的出現既是機遇也是挑戰。我們必須以充分的安全意識來應對,在提升效率的同時,也要確保軟體的安全性。只有這樣,我們才能在光明與黑暗的雙面刃中找到平衡,引領軟體開發步入更加安全可靠的未來。

詳情請看：

AI Copilot: Launching Innovation Rockets, But Beware of the Darkness Ahead

Tenable：應對國防部生產線中 OT 的安全挑戰

隨著運轉技術(OT)的興起,美國國防部(DoD)的製造線正面臨著革新性的變革,提升了物流和供應鏈管理的效率與可靠性。當DoD著手動員軍事力量、捍衛國家安全時,在國防工業基地(DIB)中整合OT是一項關鍵的戰略舉措。然而,OT的廣泛應用也引入了新的安全挑戰。

確保OT系統的安全有助於DoD維持關鍵的作戰效能,這對於軍事行動的動員、部署和可持續性至關重要。然而,傳統系統與新興技術的共存,造就了錯綜複雜、易受攻擊的供應鏈,成為網路攻擊的首要目標。

製造過程中OT的複雜性

DoD的製造流程涉及無數供應商、承包商和複雜的技術網絡。DIB包括研發、以及軍事系統的子系統、零組件或部件。這是一個由10萬家國內外DIB公司提供相關材料和服務的錯綜複雜的體系,涵蓋製造設施、修理庫、物流中心和作戰裝備。

OT深植於DoD的製造線中,推動工業過程自動化(IPA)和製造執行系統(MES)。可編程邏輯控制器(PLC)是現代製造的核心元素。IPA、MES和PLC需要防禦來自內部和外部的威脅。這些系統一旦遭到入侵,可能造成嚴重的運營中斷,影響DoD的備戰和應急能力。

隨著製造系統越來越複雜,它們也變得更加脆弱。製造業近年來受到的攻擊不斷增加。根據IBM X-Force的數據,製造業在2021年成為最常遭受攻擊的行業,佔總攻擊的23.2%。索菲斯2022年的《製造業和生產業的勒索軟件現狀》報告也顯示,66%的受訪企業報告了網路攻擊的複雜度上升,61%報告了攻擊量增加。

DoD製造供應鏈與OT

OT可以幫助DoD革新其製造供應鏈的運作和管理方式。它為提高效率、韌性和備戰能力提供了重要機會,通過自動化流程、預測設備故障和優化能源利用。然而,將OT整合到複雜的DoD生態系統中也帶來了獨特的挑戰,需要周密的規劃和戰略執行。以下是一些應用案例:

自動化供應鏈管理:OT可以實現製造設施供應鏈流程的自動化。傳感器和PLC可用於監測庫存水平,並在需要時自動訂購零件。但是,將這些技術與傳統系統整合需要仔細協調,以避免供應鏈中斷。

預測性維護:先進的OT系統可以在設備故障發生之前對其進行預測,最大限度地減少停機時間。實施此類系統意味著從傳統的維護計劃轉向數據驅動的方法,這對設施來說可能是一個重大的文化和運營變革。

提升質量控制:OT可以利用傳感器和實時數據分析來改善製造現場的質量控制。這種變革需要嚴格的數據管理和分析能力,對缺乏這些能力的設施來說是一個挑戰。

優化能源效率:OT可以優化製造過程中的能源使用,實現節約和減少環境影響。但實現這一目標需要對製造工藝和OT系統都有深入的了解,這可能是一個陡峭的學習曲線。

維護DoD製造線完整性的最佳方法

為確保製造業務的高效、安全和可靠運行,DoD需要一個能夠保護整個OT工藝流程免受網路威脅的解決方案。它應該提供新舊系統之間的兼容性和安全集成,並無縫地實現材料流通以及及時的採購和配送。DoD理想的OT安全解決方案應具備以下功能:

可擴展性和靈活性:該方案必須具有可擴展性,以適應DoD內部不同規模和類型的製造設施。

強大的網路安全性:鑑於DoD業務的敏感性,必須採取堅實的網路安全措施,防範外部和內部威脅。這包括先進的加密、定期的安全更新和入侵檢測系統。

實時監控和控制:實時監控和控制功能可以立即應對運營異常或安全威脅。

全面的數據分析:全面的數據分析工具有助於決策制定、預測性維護和工藝優化。

法規遵從性:該解決方案應有利於遵守所有相關法規和標準。

Tenable OT Security如何增強製造線完整性

Tenable OT Security提供了一個滿足DoD獨特需求的解決方案。它提供了OT和IT資產的集中視圖,這對於整個製造基礎設施的全面監控和管理至關重要。這種可見性和理解有助於更好地發現漏洞和潛在威脅,確保供應鏈的安全和韌性。Tenable的OT安全方法不僅涵蓋技術層面,還防範人為錯誤,確保全方位的網路威脅防禦。

Tenable OT Security可以幫助DoD維護製造線的完整性,確保高效、安全和可靠的運營。

詳情請看：

Navigating Security Challenges Around OT in the DoD’s Manufacturing Lines

Mcafee：您如何管理您的社群媒體隱私？

隨著社交媒體的普及,如何保護個人隱私已成為當前的一大問題。本文作者Alex Merton-McCann提供了一些實用的建議,供讀者參考。

首先,作者強調確保社交媒體帳號的隱私設定處於最高級別的重要性。然而,研究顯示,多達46%的社交媒體用戶並未調整其隱私設定,導致他們實際上是在與整個互聯網分享內容。產生這一問題的主要原因是,多達55%的受訪者表示,他們難以找到社交媒體平台上的隱私設定,或者無法理解它們的運作方式。

為解決這一問題,McAfee公司開發了一款名為「Social Privacy Manager」的軟體。只需簡單地選擇隱私偏好設置,該軟體就能自動調整您選擇的社交媒體帳號的隱私設定。目前,該軟體支持100多個平台,包括LinkedIn、Google、Instagram、YouTube和TikTok,可在Android、iOS、Windows和Mac設備上使用。這款軟體是McAfee+套件的一部分。

除了利用Social Privacy Manager管理社交媒體隱私設置,作者還提出了其他幾點建議:

1.制定一個聰明的密碼策略。每個在線帳戶都應使用唯一的複雜密碼,最好使用密碼管理器來生成和記住這些密碼。

2.確保您的軟件保持最新狀態。過時的軟件會存在漏洞,容易被黑客利用。

3.保持批判性思維。不要輕易相信網上的所有信息,要三思而後行,核實可疑的新聞、交易和建議。

4.謹慎使用公共Wi-Fi。公共Wi-Fi存在安全隱患,最好避免在上面進行任何敏感交易,可考慮使用VPN來保護連接。

總的來說,保護個人online隱私需要投入大量時間和精力,對大多數人來說都是一項艱巨的任務。McAfee的Social Privacy Manager無疑為解決這一問題提供了一個便捷的解決方案,值得用戶試用和使用。

詳情請看：

How Do You Manage Your Social Media Privacy?

Help net security：人工智慧將增強網路安全角色，而不是取代它們

根據這篇Help Net Security的採訪,CSA AI Security Alliance主席Caleb Sima討論了AI如何賦能安全專業人士,強調其在增強技能和生產力方面的作用,而不是取代員工。

AI被視為賦予安全專業人士力量,而非取代他們。您如何預見AI未來將如何改變他們的角色?

雖然AI取代工作的未來仍存在不確定性,但我相信這種情況並不會立即發生。AI是一種可用於賦能而非取代安全專業人士的工具。事實上,CSA最近與Google進行的一項調查-《人工智慧與安全現狀調查報告》發現,大多數組織計劃使用AI來加強他們的團隊,無論是增強他們的技能和知識庫(36%)還是提高檢測時間(26%)和生產力(26%),而不是完全取代員工。

在不久的將來,我們將看到AI被用來自動化各種重複性任務(如報告)。這將釋放目前用於編制管理報告等任務的大量時間,並使這些團隊能夠集中精力於更高優先級的工作。這與調查結果一致,58%的受訪者表示,他們認為AI將增強他們的技能集或總體上支持他們當前的角色。另外24%的人認為AI將取代他們工作的某些部分,讓他們可以專注於其他活動。

例如,安全團隊可以利用AI算法來比人工行動更快速有效地識別和補救威脅。相應地,通過輸入歷史數據,安全團�emi可以使用AI來幫助預測潛在威脅並制定緩解策略,以便在這些威脅升級之前採取行動。無論如何,安全專家都需要學習如何在他們的組織和個人角色中最佳利用AI。

安全專業人士如何看待他們組織在AI整合方面的網路安全成熟度?

集成AI主要涉及應用標準的安全措施。這個過程的一小部分解決了新的AI風險。安全專業人士通常會擔心這個未知領域,直到他們探索自己組織的具體情況。

無論如何,今年對於公司實施AI來說都將是變革性的一年。前述調查發現,超過一半的組織計劃在今年實施通用AI解決方案,這是由高層領導推動的。該調查還發現,超過80%的受訪者認為他們的組織的成熟度在中度到高度之間。但這並不能告訴我們,受訪者的認知是否切合實際。

不管是否已準備就緒,AI都正在來臨。那麼,我建議公司無論在AI之旅的哪個階段,都應該了解他們將會遇到挑戰,無論是將這項技術集成到當前流程中,還是確保員工能夠正確使用這項革命性技術,這都是可以預期的。作為一個雲安全社區,我們將共同學習如何最好地利用這項技術來提升網路安全。

人們對AI被濫用的擔憂很大。組織應如何準備來降低這些風險?

首先,公司需要像對待某個職位上的人一樣對待AI,強調最佳實踐。他們還需要確定AI的功能 - 如果它只是在客戶聊天中提供支持性數據,那麼風險是最小的。但如果它集成並執行操作並訪問內部和客戶數據,那麼嚴格的訪問控制和職責分離就是非常重要的。大多數風險都可以通過現有的控制措施得到緩解;挑戰來自對AI的不熟悉,導致對我們缺乏保護措施的假設。

您如何看待當前AI相關的網路安全培訓現狀,以及如何準備未來的勞動力?

我們已經多年討論安全行業存在技能缺口的問題了,AI將在短期內加深這種缺口。我們正處於學習的起步階段,可以理解培訓還沒有趕上步伐。AI的發展如此迅速,以至於培訓材料很快就會過時。隨著組織日益希望培訓他們的員工如何最好地利用AI,他們應集中精力于穩定的概念,並強調AI安全在很大程度上依賴於當前應用程序和基礎架構的最佳實踐。

隨著74%的組織計劃創建專門的AI治理團隊,您如何看待這些團隊如何塑造網路安全的未來?

鑒於AI不確定的影響,監督AI至關重要。隨著時間的推移,隨著AI識字率的提高以及其融入所有技術,其風險將變得更加清晰,AI治理將從專門的團隊轉變為更廣泛的技術管理。

短期內,創建治理團隊表明公司正在以嚴肅的態度對待AI的整合和管理。這些團隊可能會被授予解決從企業政策制定和道德考慮到風險管理和合規等各方面問題的任務。我們已經看到有關圖像和副本透明度方面的問題在新聞中浮現,這種情況將隨著我們的前進而持續出現。作為社會,我們要求與我們互動的公司和媒體具有一定程度的信任,因此確保這種信任不被破壞至關重要。

詳情請看：

AI set to enhance cybersecurity roles, not replace them

Help net security：5 個免費的紅隊資源可協助您入門

紅隊演習,是指在企業中採取對抗性的角度,評估現有的網路安全防禦措施的有效性。這種方法模擬真實世界中的惡意攻擊者的行為,包括使用社交工程、物理安全漏洞等手段,以找出組織在面對持續性威脅時的弱點。透過紅隊演習,企業可以更清楚地了解自身的防護能力,並優化相應的網路安全策略。

本文介紹了 5 個免費的紅隊演習資源,供企業安全團隊參考使用。以下是對這些資源的詳細分析:

1. Atomic Red Team

Atomic Red Team 是一個開源的工具集,其中包含了許多針對 MITRE ATT&CK 框架的測試案例。這些案例可以幫助安全團隊快速、持續、一致地對環境進行測試。使用時只需直接從命令行運行即可,無需安裝任何額外的軟體。Atomic Red Team 是由社區開發維護的,具有良好的可擴展性和持續更新的特點。

2. Red Team Notes

Red Team Notes 是一個全面的紅隊技術資源,內容涵蓋紅隊技術、Active Directory 安全、紅隊基礎設施等方方面面,並且會持續更新。這個網站為企業安全團隊提供了一個很好的學習和參考平台。

3. Red Teaming Handbook

這是一份由英國國防部設計的紅隊操作手冊,提供了紅隊實踐的簡單建議。雖然內容相對簡單,但對於初次接觸紅隊演習的安全從業者而言,這份手冊無疑是一個很好的入門指南。

4. Red Team Tools

這是一個 GitHub 庫,收集了超過 130 個適用於紅隊活動的工具和資源。其中有一些工具是專門為紅隊設計的,而另一些則是通用性工具,可以在紅隊情境下進行修改使用。

5. Red Teaming Toolkit

這也是一個 GitHub 庫,提供了一系列先進的開源安全工具,可以幫助進行對手模擬和威脅獵捕活動,增強防禦措施。其中包含了以下幾類資源:

- 情報收集

- 初始訪問

- 交付

- 情況感知

- 憑證轉儲

- 權限提升

- 防禦逃逸

- 持久化

- 橫向移動

- 數據外洩

總的來說,這 5 個免費的紅隊演習資源,為企業安全團隊提供了豐富的學習和實踐機會。Atomic Red Team 和 Red Team Tools 等工具集,為紅隊測試提供了便捷的操作方式,而 Red Team Notes 和 Red Teaming Handbook 則為紅隊實踐提供了全面的理論指導。Red Teaming Toolkit 則是一個先進的開源工具集,涵蓋了紅隊活動的各個階段。

通過使用這些資源,企業安全團隊可以全面地評估自身的防禦能力,找出網路安全漏洞,並及時採取有效的補救措施。同時,這些資源也為安全從業者提供了良好的學習和實踐機會,有助於提升整體的網路安全防護水平。

總之,這 5 個免費的紅隊演習資源為企業安全團隊打造了一個很好的起點,值得廣泛應用和推廣。

詳情請看：

5 free red teaming resources to get you started

Help net security：地緣政治緊張局勢加劇 OT 網路攻擊

根據最新的2024年威脅報告,工業控制系統(OT)的網路攻擊事件持續上升,攻擊頻率較去年增加19%。報告分析了這一趨勢背後的關鍵因素,並探討了如何透過防禦性策略應對日益嚴峻的威脅。

地緣政治環境日益緊張影響OT網路攻擊格局

近年來,以政治動機為驅動的駭客攻擊,對物理環境造成影響的事件有所增加。這些攻擊大多與俄羅斯入侵烏克蘭或持續的伊朗-以色列衝突有關。這些攻擊手法雖然通常並不十分複雜,但令人關注新興的大型語言模型AI技術是否會讓駭客的能力得到進一步提升。

同時,國家級攻擊事件也在增加。例如,中國駭客發動了"伏特泰風"行動,破壞了美國50多家電力廠和公用事業公司;俄羅斯則攻擊了丹麥22家大小關鍵基礎設施提供商。"伏特泰風"行動尤其值得關注,因為它採用了"活用已有工具"的技術,這種攻擊手段極難被入侵檢測系統發現和診斷。

勒索軟件 - 攻擊頻率上升的主要推手

2024年威脅報告指出,勒索軟件是導致OT網路攻擊事件持續上升的主要因素。然而,報告也指出,勒索軟件引發的OT後果的年複合增長率低於預期。

這是因為部分勒索軟件犯罪分子似乎已經放棄加密受感染系統的做法,轉而單純勒索贖金以換取不洩露被盜數據的承諾。由於受感染系統被加密、瘫痪的情況減少,因此對OT的影響也相對較少。預計這一趨勢將在今年內趨於穩定,OT攻擊的年複合增長率也將回升到60-100%的歷史水平。

勒索軟件攻擊手法不斷升級

報告提到,如今最為複雜的勒索軟件集團要麼得到了某個國家的支持(例如北韓),要麼有足夠的資金建立起堪比國家級的攻擊工具。這意味著,如今最嚴重的勒索軟件犯罪分子已經具備了相當於國家級的攻擊能力。過去,許多人可能會認為,"我的OT系統並不重要到會成為國家級攻擊的目標",因此只採取有限的網路防禦措施。但如今,無論目標是否重要,都有可能遭到國家級勒索軟件的襲擊。

另一個值得關注的問題是依賴性。勒索軟件攻擊IT網路,加密大量數據,從而癱瘓大量IT伺服器和服務。而OT系統也不得不停止運轉,原因在於其自動化系統依賴一些受到破壞的IT服務。即使勒索軟件從未觸及OT網路,生產也不得不停止,因為關鍵的IT服務已不復存在。這種依賴性問題正在逐步為人所知。OT安全從業者需要審視自己的系統如何依賴IT服務,以及在IT系統遭受攻擊的情況下,停止物理生產是否可以接受。

近 miss 事件分析對增強OT網路安全至關重要

報告提到了關鍵基礎設施行業中的一些"險些發生"的事件。分析這些"近 miss"事件對增強OT網路安全具有重要意義。例如,"伏特泰風"行動之所以重要,是因為它隱藏性強,攻擊者在關鍵基礎設施組織中潛伏了很長時間;而俄羅斯在丹麥的攻擊也很重要,因為它證明了國家級攻擊者正瞄準關鍵基礎設施。

這些"近 miss"事件的分析為我們提供了寶貴的經驗教訓,有助於我們更好地預防和應對未來可能發生的攻擊。

內部威脅不容忽視,需採取多重防範措施

內部人員的不當行為也是OT網路攻擊的重大風險因素。報告指出,為應對內部威脅,組織通常會部署身份和訪問管理、詳細的日誌記錄和取證、入侵檢測以及實施應急響應等措施。

此外,愛達荷國家實驗室提出的"網安融合工程"(CIE)倡議被認為是過去十多年來OT安全領域最有前景的發展。CIE強調OT安全具有"雙向"特徵:一方面要教育工程團隊了解網路威脅和緩解措施,另一方面要鼓勵工程團隊運用強大的工程工具來預防不可接受的後果。

比如,網路工程方法越來越多地應用於後果嚴重的網路邊界,例如單向資訊閘道技術 - 這是一種硬體強制執行的、以工程為導向的預防措施,能夠阻止來自互聯網和IT網路的網路攻擊,甚至是國家級攻擊,進入OT網路。

總的來說,報告強調需要平衡運用IT安全措施和工程級別的緩解手段,以全面、系統地應對OT網路安全面臨的各種威脅。"網安融合工程"倡議為這一方向提供了有益啟發,值得OT運營商深入關注和實踐。

詳情請看：

Geopolitical tensions escalate OT cyber attacks

Help net security：如何保護 IP 監控攝影機免受 Wi-Fi 幹擾

過去,罪犯切斷監視攝影機線路以逃避偵測的日子已經一去不復返。隨著物美價廉的網路連線攝影機的普及,小偷現在必須訴諸於無線網路阻塞攻擊。

阻斷訊號使得攝影機失去作用,並停止家庭和商業監視系統的運作,這是令人擔憂的,因為網路協定 (IP) 攝影機占據了監視市場高達 40% 的份額。

讓我們來探討發生了什麼情況,並考慮用戶如何確保他們的攝影機在面對精通技術的小偷時保持在線。

從類比到數位:監視的簡史

監視的發展已經走了很長的路,從封閉式電視 (CCTV) 攝影機開始。在那個時代,類比系統直接錄製到磁帶上。沒有信號可以欺騙,也沒有無線系統可以混淆。

再往前走幾十年,世界已經變成數位化,監視攝影機也變得更加可負擔和普及。這些設備不需要技術專業知識或昂貴的安裝。相反,它們通常是連接到互聯網的廉價攝影機。因此,通過幾個雲端儲存訂閱和良好定位的設備,家庭和企業可以 24 小時 "看見"。

正如我去年晚些時候在 Help Net Security 上寫的,物聯網中也出現了視頻革命,增加了更多攝影機。如今,在智能家居或辦公室中,很難找不到一個帶有攝影機功能的設備。從智慧烤箱到門鈴,設備越來越多地提供視覺功能作為副功能。不幸的是,這些具有攝影機功能的設備現在也面臨著小偷日益增長的技術能力的威脅。

小偷如何欺騙監視信號

利用 IP 攝影機的弱點是小偷終究會做的事情。

明尼蘇達州警方最近報告了一系列搶劫案,使用 Wi-Fi 干擾器破壞了連網安全攝影機。這些干擾器通過過載無線流量來混淆設備,使真實的流量 (視頻源) 無法通過。然後,在沒有功能性攝影機的情況下,罪犯集團幾乎無人看守地進行了搶劫。

這個故事有幾個地方值得警惕。首先,這不是第一次聽到這種情況發生。在網上搜索,你會發現自本十年初以來就有關於監視攝影機和具有攝影機功能的設備遭受干擾攻擊的報導。

其次,干擾器的價格很便宜,在主要數字分銷商那裡的售價低至 50 美元。是的,它們在技術上是非法的,但這並不能阻止罪犯使用。

第三,大多數入門級攝影機 - 我估計高達 99.9% - 都容易受到這種攻擊。IP 攝影機的魅力在於它的簡單性,但在這種情況下,這也是它的弱點。它們沒有模擬備份或第二傳輸選項。如果 Wi-Fi 信號被阻斷,攝影機就變得毫無用處。

通過這些攝影機定制來反擊

現在是使用者回應這一威脅並保護他們的攝影機的時候了。幸運的是,通過幾個相對簡單的定制,我們可以反擊。

首先,考慮將一些以以太網供電 (PoE) 的攝影機整合到您的安全系統中。顧名思義,這種類型的攝影機通過以太網線纜供電,從而直接將視頻源傳送到目標。由於沒有無線通信,因此也沒有無線欺騙的可能性。

這種解決方案也可以用於通過 SIM 卡與移動網絡通信的攝影機。移動信號要強得多,因此更難被干擾。但請注意,這種選擇可能比以太網供電攝影機更昂貴。

當然,視頻監控發展的一個要素是雲端儲存成本可能會迅速失控,因為需要儲存大量的視頻文件。延遲也可能成為問題。以太網供電解決了這兩個問題,因為它可以本地直接錄製,提供更好的隱私性、較低的儲存成本和更快的數據傳輸速度。

最後,設置您的智能家居系統,以持續檢查攝影機的狀態。這可以通過基於雲端的物聯網設置實現,該設置會定期檢查連接是否"存活"。如果攝影機斷開連接,下一次狀態檢查將失敗,用戶可以收到推送通知並立即進行調查。知道您的攝影機可能受到攻擊並及時做出反應,可能是逮捕罪犯與否的關鍵。

隨著這種監視欺騙行為日益普及,家庭和企業用戶必須保持領先一步。不要讓小偷阻擋您的視線。

詳情請看：

How to protect IP surveillance cameras from Wi-Fi jamming

The hacker news：時機就是一切：即時特權存取在安全演進中的作用

為了降低特殊權限被濫用的風險,特權存取管理(PAM)解決方案市場出現了一種新趨勢 - 實施即時(Just-in-Time, JIT)特殊權限存取。這種特殊身份管理方法旨在減輕長期高級別存取所帶來的風險,通過暫時性地授予權限,而不是提供持續的高級別權限,來達到這一目標。通過採用這種策略,組織可以增強安全性,最小化攻擊者可乘之機,並確保用戶只在必要時才能訪問特殊資源。

什麼是 JIT,為什麼它很重要？

JIT 特殊權限存取配置涉及暫時性地向用戶授予特殊權限,這與最小權限原則相一致。這一原則規定用戶只能獲得完成任務所需的最低級別權限,且只能在完成任務所需的時間內獲得這些權限。

JIT 配置的一大優勢是可以降低權限升級的風險,並最小化基於憑證的攻擊面。通過消除常設權限,即帳戶在未處於活動狀態時所擁有的權限,JIT 配置限制了惡意行為者濫用這些帳戶的時間窗口。JIT 配置干擾了攻擊者的偵查嘗試,因為它只會在發生活動存取請求時才將用戶添加到特殊組中。這可以防止攻擊者識別潛在目標。

如何使用 Safeguard 實施 JIT 配置？

Safeguard 是一款特權存取管理解決方案,它為跨多個平台(包括 Active Directory 和 Linux/Unix 環境)的 JIT 配置提供了強大支持。使用 Safeguard,組織可以在 Active Directory 中創建普通用戶帳戶,無需特殊權限。這些帳戶然後由 Safeguard 進行管理,處於禁用狀態,直到被激活作為存取請求工作流的一部分。

當創建存取請求時,Safeguard 會自動激活用戶帳戶,將其添加到指定的特殊組(如 Domain Admins),並授予必要的訪問權限。一旦存取請求完成,無論是通過配置的超時期間還是用戶登出憑證,用戶帳戶都會從特殊組中刪除並禁用,最大限度地降低了面臨安全威脅的風險。

如何借助 Active Roles 增強 JIT 配置？

當與 One Identity 的市場領先 Active Directory 管理工具 Active Roles ARS 結合使用時,組織可以將其 JIT 配置的安全性和定制性提升到更高的水平。Active Roles 使組織能夠自動化帳戶激活、群組成員管理和 Active Directory 屬性同步等更複雜的 JIT 配置用例。

例如,Safeguard 的存取請求工作流可以觸發 Active Roles 不僅激活用戶帳戶並分配權限,還更新 Active Directory 中的虛擬屬性並跨環境同步這些變更。

結語

即時特殊權限配置是全面特權存取管理策略的關鍵組成部分。通過實施 JIT 配置,組織可以降低特殊權限被濫用的風險,增強安全性,並確保用戶只在必要時才能訪問特殊資源,且只能訪問所需的時間。將 Safeguard 與 Active Roles 相結合,可以使組織實施更健全的 JIT 配置政策,從而增強安全性,降低風險。

詳情請看：

Timing is Everything: The Role of Just-in-Time Privileged Access in Security Evolution

Cybersecurity insiders：如何透過安全意識培訓保護您的資料？

現今網路威脅不僅在頻率上不斷升高,而且越來越複雜,突顯了網絡安全意識對於個人和企業的重要性。隨著網絡犯罪分子採用越來越先進的手段,IT安全意識培訓成為了關鍵的防禦機制。

這種培訓為員工和個人提供了關鍵的知識和技能,以保護自己免受各種數字威脅。此外,它還培養了組織內部的主動安全態度,將潛在的弱點轉變為堅實的防線。

本文將深入探討此類培訓的必要性,並提供切實可行的建議,以提高安全意識計劃的有效性,確保其全面性、吸引力和持續更新,以應對新的網絡挑戰。

網絡安全意識培訓的必要性

為了有效應對網絡威脅,組織必須將網絡安全意識培訓列為首要任務。這一關鍵策略不僅符合法律要求,還可以解決人為脆弱性,並培養安全文化。讓我們深入探討這些組成部分,為堅實的防禦奠定基礎。

法規要求

遵守監管要求對全球企業來說並非可選,而是強制性的。歐洲的《通用數據保護條例》(GDPR)和美國的《加州消費者隱私法》(CCPA)等法律對數據保護制定了嚴格的指引。

這些法規不僅要求組織保護個人數據,還要確保員工接受培訓,學會識別和減輕網絡安全風險。不遵守規定可能會遭受高額罰款,並對公司聲譽造成損害。因此,有效的安全培訓計劃必須解決這些法律要求,並為員工提供導航複雜合規環境的知識。

人為因素

無法忽視人為元素在網絡安全中的脆弱性。如錯誤配置數據庫、使用弱口令或上當受騙等錯誤,都是網絡罪犯的常見切入點。安全意識培訓通過教育員工了解網絡安全的重要性、黑客可能使用的戰術,以及他們在捍衛組織中的關鍵作用,從而降低這些風險。

通過模擬釣魚攻擊和其他真實場景,培訓可以提供實踐經驗,學習如何識別和應對威脅。這種主動方法對於建立能夠充當第一道防線的有抗壓能力的員工隊伍至關重要。

安全文化

在組織內部建立安全文化是提高安全意識培訓效果的另一個關鍵因素。當網絡安全成為企業理念的核心部分時,它就會影響整個組織各層面的行為。

高層管理人員必須以身作則,在行動和溝通中展現對安全實踐的承諾。定期的安全討論、更新和通訊可以將安全放在首位。

此外,鼓勵公開討論安全隱患、從錯誤中學習的文化,也有助於預防未來事故的發生。強大的安全文化可以補充正式的培訓工作,將安全意識融入每個員工的日常工作中。

有效的安全意識培訓的關鍵組成部分

為了有效應對現代網絡威脅,安全意識培訓計劃必須堅實、吸引人、具有適應性,並緊跟最新的網絡安全趨勢。此類計劃的成功關鍵在於幾個關鍵組成部分,它們旨在不僅傳授知識,還賦予員工關鍵的安全技能。

讓我們仔細看看全面和有影響力的網絡安全培訓的特點,以確保組織能夠應對和減輕不斷變化的數字危險。

全面覆蓋

有效的培訓應包括各種主題。從了解釣魚的基本原理、弱密碼的風險,到安全上網的細節,以及社會工程的狡猾性,每個主題都為學員提供了更好地導航網絡環境的準備。

參與技巧

任何培訓計劃的成效都取決於其吸引力。利用互動式元素,如測驗、互動式視頻和基於場景的學習,可以保持參與者的注意力,加強知識的保留和實際應用。

定期更新

網絡威脅在快速變化,培訓計劃也必須如此。組織必須不斷更新培訓材料,涵蓋新的和不斷出現的威脅,確保員工隨時做好充分準備,了解最新情況。

實施成功的培訓計劃

現在,讓我們看看如何實施一個成功的培訓計劃。

需求評估

在推出培訓計劃之前,評估目標受眾的具體需求至關重要。了解他們的基礎知識以及最可能遇到的特定威脅,可以使培訓更加相關和有效。

使用正確的工具

有大量工具可用於網絡安全培訓,從提供各種互動課程的sophisticated電子學習平台,到由安全專業人員主持的簡單內部研討會。選擇合適的工具取決於組織的規模、預算和特定的安全需求。

激勵和gamification

結合gamification元素並提供成功完成培訓的獎勵,可以大大提高參與度和有效性。排行榜、徽章和證書是將學習過程遊戲化並激勵參與者的流行方式。

提高培訓成效的可操作性建議

為確保網絡安全意識培訓的有效性,採用提高參與度和記憶力的策略至關重要。以下是組織可以實施的可操作建議,以優化其培訓計劃,確保其不僅具有信息性,而且對於構建強大的安全態勢至關重要。

持續學習

網絡安全不是一次性的任務,而是一項持續的努力。組織應鼓勵持續學習,定期安排培訓課程和更新。這不僅有助於強化舊概念,還可以介紹新的安全做法和技術。

反饋機制

有效的培訓計劃需要反饋。徵求參與者的意見,可以提供洞見,了解培訓可能存在的不足之處,並突出成功的策略。這個反饋迴圈對於進行必要調整和改進未來課程至關重要。

因工作角色而不同的培訓

組織內部不同的工作角色通常面臨著獨特的威脅,需要特定的知識來有效應對這些挑戰。提供因工作角色而定制的培訓模組,確保每個部門都配備相關技能和知識,以應對其特定職能的需求和風險。

例如,IT staff可能需要網絡安全的高級技術培訓,而HR人員可能需要關注數據隱私和安全處理員工信息。這種有針對性的方法有助於通過與各種角色相關的特定需求和風險相一致,提高整體的網絡安全措施的有效性。

安全意識培訓是任何網絡安全戰略的基本組成部分。通過為個人提供必要的知識和技能,組織可以大大降低網絡威脅的風險。隨著網絡犯罪活動的不斷增加,投資全面、吸引人和持續的安全培訓從未像現在這樣重要。讓我們今天就將網絡安全意識列為優先事項,以保護明天的數據安全。

詳情請看：

How to Safeguard Your Data Through Security Awareness Training?

Mcafee：如何保護您的串流媒體帳戶：Roku 資料外洩的教訓

隨著近期Roku - 一個領先的串流平台,宣布有超過591,000個用戶帳戶受到憑證灌水攻擊的影響,這件事再次凸顯了保護您的線上帳戶免受網路威脅的關鍵重要性。以下就讓我們來了解如何保護自己和您的串流帳戶。

作為一項積極的安全措施,Roku已經重置了所有受影響帳戶的密碼。它也在通知客戶此次數據洩露的情況,並為那些遭受網路罪犯未經授權收費的用戶提供退款或撤銷相關費用。

了解憑證灌水攻擊

憑證灌水攻擊是一種網路攻擊手法,黑客利用從其他數據洩露中獲取的用戶名和密碼列表,試圖非法登入各個平台上的用戶帳戶。在Roku的案例中,黑客就是利用這種方式,成功入侵了超過50萬個帳戶。

攻擊過程如何?

黑客首先會從之前的數據洩露或洩漏中獲取大量的用戶名和密碼。這些憑證通常會在暗網上販售。然後,他們會使用自動化工具,將這些被盜取的憑證輸入到各種網站或服務(包括Roku在內的串流平台)中。一旦被盜取的憑證與現有的Roku帳戶匹配,黑客就能成功入侵並控制該帳戶。

影響有多大?

當網路罪犯取得您的串流帳戶的控制權時,他們可能會做的事情不僅僅是觀看您最喜歡的節目。他們可能會將您的帳戶憑證在暗網上轉賣,利用您的個人信息進行身份盜竊,甚至將您鎖定在自己的帳戶之外。這不僅危及您的隱私,如果您的付款方式與串流帳戶相關聯,也可能使您的財務信息面臨風險。

如何保護自己?

使用強大且獨特的密碼:避免使用容易猜到的密碼,如"password123"或常見的詞語。相反,請使用結合字母、數字和特殊字符的密碼組合。此外,確保為每個帳戶使用不同的密碼,以最大限度地減小一旦遭到侵犯的影響。

啟用雙重身份驗證(2FA):雙重身份驗證通過要求額外的驗證方式(如發送到您手機的驗證碼)來增加安全性,大大降低黑客非法進入您帳戶的可能性。

定期監控您的帳戶:密切關注您帳戶的活動,留意是否有任何可疑或未經授權的登錄嘗試。許多串流平台都提供功能,讓您檢查最近的登錄活動和連接到您帳戶的設備。如果發現任何不熟悉的活動,請立即更改密碼並向平台支援團隊報告。

保持對數據洩露的了解:訂閱可以通知您數據洩露和洩漏的服務。身份監控服務可以在您的電子郵件地址或其他個人信息遭到洩露時向您發出警報,讓您採取主動措施來保護您的帳戶。

獲得強大的在線保護:使用McAfee+,它具備密碼管理器功能,可以為您提供全面的在線安全保護。它可以生成複雜的密碼,將它們安全地存儲,並在您登錄時自動填寫資訊,讓您在各設備上快速登錄。這是一個安全可靠的解決方案,最重要的是,您只需記住一個主密碼。

Roku最近遭受的憑證灌水攻擊,再次敲響了警鐘,提醒我們在日益數字化的世界中,優先考慮保護在線帳戶的重要性。通過採用使用強密碼、啟用雙重身份驗證,並密切關注帳戶活動等最佳實踐,您可以大幅降低成為網路攻擊目標的風險。保護您的串流帳戶不僅關乎您的娛樂偏好,更關乎您的隱私和個人信息安全。立即採取必要的步驟,使用McAfee+來保護您的線上帳戶,盡享更安全的串流體驗。

詳情請看：

How to Protect Your Streaming Accounts: Lessons from Roku’s Data Leak

Bleeping computer：Medium 禁止其付費合作夥伴計畫中人工智慧產生的內容

Medium 平台的宗旨是為人類創作者提供討論和發佈內容的空間,此次禁止 AI 生成內容登入其付費合作夥伴計劃是可以理解的。人工智能技術雖然日新月異,但目前AI生成的內容在創意性、邏輯性、情感性等方面與人類創作仍有一定差距。如果大量 AI 生成內容登陸 Medium,將可能降低平台上內容的整體品質,同時也有違了 Medium 以人類為中心的理念。

再者,AI 生成內容很難確保其真實性和可靠性。隨著 AI 技術的發展,人工智能生成的文本越來越逼真,很容易被誤認為是人類創作。若這些內容沒有明確標註,將可能造成對讀者的欺騙,降低Medium 平台的公信力。因此,Medium 有必要對 AI 生成內容進行管控,確保平台上的內容質量和可信度。

Medium 的 AI 內容政策

根據 Medium 的新政策,完全由 AI 生成的文章將不再受到付費合作夥伴計劃的支持,可能會被取消付費資格。但Medium 並非全面禁止 AI 輔助創作,只要在文章開頭明確標註使用 AI 技術,仍然可以在 Medium 上發表。Medium 還允許用戶在個人博客上發佈 AI 生成內容,只是不會被廣泛推廣。

這樣的政策體現了 Medium 對 AI 創作的審慎態度。一方面,Medium 鼓勵創作者合理利用 AI 技術提高創作效率和質量,但同時也要求透明化,不得隱瞞 AI 的參與。另一方面,Medium 堅持人類創作為本,不希望完全由 AI 生成的內容在其平台上大量流通。這種平衡的政策既維護了 Medium 的核心價值,也給予了創作者適度的空間去探索 AI 技術在創作中的應用。

對於讀者而言,Medium 的政策也提供了一定保護。通過"不喜歡"功能,讀者可以表達對 AI 生成內容的不滿,減少這類內容在平台上的傳播。同時,Medium 要求 AI 生成的圖像必須標註出處,這也有助於提高讀者的警覺性,減少被 AI 生成內容迷惑的風險。

展望未來

隨著人工智能技術的不斷進步,AI 生成內容將會越來越逼真自然,對於內容創作的影響也將愈加深遠。Medium 此次的政策調整無疑為 AI 內容管控開啟了一個新的探索方向。

未來,Medium 可能需要進一步完善其 AI 內容管理機制,比如建立更加明確的審核標準,加強對 AI 生成內容的識別能力,確保平台上內容的真實性和高質量。同時,Medium也可以探索利用 AI 技術來輔助內容創作和推薦,為創作者提供更好的創作工具和閱讀體驗。

總的來說,Medium 此次禁止 AI 生成內容登入付費合作夥伴計劃的舉措,體現了其對內容質量和平台屬性的堅守。隨著科技的發展,Medium 需要不斷調整自身的內容管理政策,以確保其始終保持作為人類創作交流平台的定位和特色。

詳情請看：

Medium bans AI-generated content from its paid Partner Program

Mcafee：社群媒體騷擾的威脅不斷上升。以下是如何保護自己。

近年來,社交媒體上的騷擾行為有愈演愈烈的趨勢,儘管平台方面已經實施了舉報機制、制定了相關政策,甚至利用人工智慧來偵測和移除有害言論,但仍舊難以遏制這一問題。雖然人們無法完全避免社交媒體騷擾,但仍有許多方法可以保護自己免受攻擊。

根據統計數據,2023年有52%的美國成年人表示曾遭受過網絡騷擾,相比2022年的40%有了大幅上升。同年,33%的受訪者表示在過去一年內經歷過此類事件,較2022年增加10個百分點。同樣的趨勢也體現在青少年群體中,2023年有51%的青少年表示在過去一年內遭受過網絡騷擾,相比2022年的36%也有明顯上升。更早前的研究也顯示,2014年至2020年間,美國網絡騷擾的最嚴重形式發生率翻倍甚至接近翻倍。我們在2022年的一項研究也發現,全球60%的兒童表示較前一年更擔心遭受社交媒體騷擾(網絡欺負),而他們的父母則有74%比前一年更擔心孩子會被騷擾。

網絡騷擾給受害者帶來沉重的身心負擔。它可能導致情感創傷、經濟損失,甚至人身安全受到威脅。騷擾行為包括網絡爭吵中的人身攻擊、未經當事人同意洩露其性取向、有意挑釁引發衝突、未經允許公開個人隱私信息、跟蹤監控受害者行蹤、盜用他人賬號冒充對方在網上發言等。根據各州檢察官公布的新聞稿,我們可以看到更多驚人的案例,比如一名受害者遭受長達3年的網絡跟蹤騷擾,牽連到其親友和同事;又或是一名騷擾者利用虛假的LinkedIn檔案企圖誹謗受害者,並公開發佈了價值數百萬美元的該受害者撰寫的源代碼。這些事件提醒我們,網絡騷擾很容易演變成一種刑事犯罪行為。

如何保護自己免受社交媒體騷擾?

不幸的是,我們無法完全阻止網絡騷擾的發生,因為總會有一些人出於各種不可告人的動機而去這樣做。但我們仍有許多措施可以採取,來保護自己免受攻擊,並拒絕提供攻擊者所需的信息。

首先要確保賬戶安全。每個賬號的密碼應該至少12-14位,包含數字、大小寫字母和特殊字符,並開啟雙重驗證。雙重驗證可以有效防止騷擾者盜取你的賬號,利用它發表令人不快的言論,從而損害你的聲譽。

其次要控制關注範圍。社交媒體平台提供了多種方法讓你管控隱私設置,成為一個更"私密"的用戶。我們的社交隱私管理器可以幫助你快速調整100多個隱私設置,確保你的個人信息只對你想分享的人可見。這樣不僅可以阻斷潛在騷擾者獲取你的個人資料,也能保護你的親朋好友。

再者要限制在線分享。不要在社交媒體上發佈過多個人信息,如地址、電話號碼和位置等。這些信息可能被騷擾者用於發送虛假威脅,甚至引發警察出警(所謂"SWATTING"技術)。你也可以利用個人數據清理服務,從數據經紀公司和"人物查找"網站上刪除自己的個人信息。

如果不幸遭受網絡騷擾,應該採取以下步驟:首先要通過社交媒體平台的舉報機制,舉報騷擾行為,不要對騷擾者作出回應。如果情況嚴重,要及時報警求助,提供證據材料。同時也要向信任的家人和朋友求助,尋求他們的支持與幫助。

總的來說,網絡騷擾已經成為一個令人擔憂的社會問題,我們每個人都應該提高警惕,採取必要的保護措施,同時也要關注受害者的處境,給予支持與幫助。只有通過社會各界的共同努力,我們才能根本性地解決這一問題。

詳情請看：

The Rising Threat of Social Media Harassment. Here’s How to Protect Yourself.

Juniper：業界首創：在多節點人工智慧推理乙太網路結構上對LLM進行基準測試

人工智慧(AI)和機器學習(ML)的發展已經有數十年的歷史,但即使在如今快速的進步下,這項技術仍然存在碎片化、定制化和理解不足的問題。在Juniper Networks,我們相信可以通過強大的協作來釋放AI採用的下一個階段,通過降低成本和加快創新來民主化AI基礎設施。這就是為什麼我們最近加入了MLCommons。

MLCommons是一個AI行業聯盟,它建立在開放協作的理念之上,旨在提高AI系統。該聯盟的使命是加速創新以促進社會進步,它通過促進行業領袖和學術界之間的合作,來衡量和改進AI技術的準確性、安全性、速度和效率。通過提供公共數據集、AI最佳實踐、基準測試套件以及可測量的指標和行業標準,MLCommons幫助組織構建和部署能夠滿足複雜的AI/ML工作負載要求的AI系統和解決方案。

開發和部署AI應用程序需要高度優化的基礎設施,包括專用的GPU服務器、強大的AI/ML軟件堆棧和無損、低延遲的網絡結構。訓練AI/ML模型和使用它從新數據中得出結論—一個稱為推理的過程—是兩個不同的過程,需要不同的性能指標,這在構建和調整AI集群中很有價值。為了量化性能和響應時間,MLCommons最近一輪測試MLPerf Inference v4.0旨在測量AI集群在各種AI推理場景中運行AI/ML模型的速度。MLPerf以架構中立、具有代表性和可重現的方式提供行業標準的ML系統性能基準測試,適用於數據中心和邊緣系統。

嚴格的LLM測試

Juniper是第一家提交多節點Llama2推理基準測試的公司,這展示了Juniper在使用乙太網絡將GPU互連在數據中心網絡結構中的開放架構方面的承諾。測試多個節點(在本例中為多個GPU服務器)對於滿足大型語言模型(LLM)不斷增長的規模和複雜性至關重要。許多AI模型,特別是那些用於圖像或語音識別任務的模型,都是極其計算密集的。將推理過程分散到多個節點可提高效率。在處理大量數據、複雜模型或單機無法有效處理的實時決策需求(如電子商務中的實時交易欺詐檢測系統)時,使用多節點是至關重要的。多節點推理使Juniper能夠模擬真實世界的網絡流量模式,並準確評估基礎設施是否能夠處理跨大型網絡處理數據的複雜要求。

Juniper利用並基於NVIDIA的TensorRT-LLM(一個用於優化LLM推理的框架)來對Llama2推理進行基準測試。Llama2是一個擁有700億個參數的模型,是MLPerf Inference基準測試套件中最大的模型,比引入MLPerf Inference v3.1的GPT-J模型大一個數量級。它更準確,但也更複雜,給AI集群基礎設施帶來了更大的挑戰。這是第一次提交基於乙太網絡的多節點AI推理到MLCommons,因此我們認為這也是第一次真正測試AI推理集群的網絡方面。

MLCommons執行董事David Kanter表示:"向MLPerf提交是非常具有挑戰性的,也是一項真正的成就。由於機器學習工作負載的複雜性,每個供應商都必須確保其硬件和軟件堆棧都足夠強大、穩定和高性能,以支持這類ML工作負載。這是一項重大工作,我們祝賀Juniper Networks取得了這一成就,成為第一家提交多節點大型語言模型MLPerf Inference基準測試的公司。"

Juniper AI實驗室

我們在位於Sunnyvale的總部內的AI創新實驗室中進行了這些測試。Juniper於2023年建立了這個實驗室,目的是分析各種AI/ML工作負載及其相關的網絡流量模式。這進一步加強了我們在整個AI基礎設施運營、優化和調整乙太網絡以適應AI/ML工作負載,並最終發布新的Juniper驗證設計(JVD)方面的專業知識。AI創新實驗室配備了NVIDIA的H100和A100 GPU服務器、分布式存儲系統、Juniper QFX和PTX交換機,並由Juniper Apstra™(我們的領先的多供應商數據中心結構管理和自動化解決方案)進行操作。我們調整AI集群和數據中心網絡結構,實現最佳的擁塞管理和負載均衡,以簡化客戶部署並確保即時穩定。

Juniper的AI數據中心解決方案是一個快速部署高性能AI訓練和推理網絡的方法,我們認為這是設計最靈活、管理最簡單的,可以讓有限的企業IT資源獲得最大收益。我們的解決方案具有以下特點:

經過驗證的解決方案性能:端到端的驗證設計確保了產品選擇的信心,縮短了部署時間

簡化的操作:採用以操作為先的設計、部署和故障排除方法,節省時間和成本,需要更少的資源

開放靈活性:使用經過驗證的技術和產品設計網絡,避免供應商鎖定

了解更多

請參加即將舉行的網絡研討會"構建成本高效、高性能的AI/ML數據中心",了解Juniper如何幫助您應對構建和運營數據中心基礎設施以釋放AI對您組織的力量的挑戰。

如果您想了解網絡結構的基本知識,以及它們如何優化您數據中心的性能—無論您是運行AI/ML工作負載還是其他工作負載—請註冊參加我們即將舉行的與Redmond的Coffee Talk:數據中心結構101:它們是什麼、為什麼需要它們以及如何實施它們。

詳情請看：

An Industry First: Benchmarking an LLM on a Multi-Node AI Inference Ethernet Fabric

Cybersecurity insiders：網路攻擊：IT 和董事會層級對風險的了解的必要性

網路攻擊已成為嚴重的企業威脅。根據IBM的數據,2023年全球資料外洩的平均成本高達445萬美元,較三年前上升15%。微軟指出,2020年美國遭受的網路攻擊佔全球46%,是其他國家的兩倍。網路攻擊為IT部門帶來額外挑戰,他們必須將網路風險轉化為營運和業務風險,使高層管理人員也能了解其嚴重性。精通「1與0」的IT人員需要向熟悉「美元與美分」的高層解釋,網路犯罪世界已發展成為一個與企業結構相媲美的多層級業務結構,其組織架構包括:

1.獲取者(Access Broker):專注於尋找存在漏洞的組織、入侵網路,並探索最簡易的進入方式。一旦發現目標,他們會將這些據點打包銷售給網路犯罪團夥。

2.開發者:開發「勒索軟體即服務」(RaaS)工具,出租給其他不法分子使用。

3.前線人員:購買獲取的訪問信息並獲取RaaS工具,這第三方(前線人員)將進入網路,偷取或加密數據,執行勒索軟體攻擊並索要贖金。

根據CyberEdge Group的最新調查,78%遭受勒索軟體攻擊的受害者報告曾遭受多種勒索手段。這些組織良好的網路犯罪集團通常會經歷四個階段的勒索攻擊:

第一階段:攻擊者通常透過釣魚郵件、軟體漏洞或被盜憑證獲取進入。一旦入侵,他們會開始全面、有序地列出系統中的所有項目。接著進行橫向移動到其他設備,直到感染盡可能多的終端設備。此時,他們會部署惡意軟件,導致數據加密或阻止訪問文件。最後,他們會向受害組織提出贖金要求,以換取解密密鑰。

第二階段:在提出贖金要求之前,攻擊者會先將受害組織的數據複製到自己的伺服器。然後發出威脅,要求支付贖金,否則將把被劫持的數據公開發布。一旦洩露,受害組織可能會遭受監管機構的罰款。

第三和第四階段:攻擊者通常會欺負受害組織,威脅要發布第三方數據或發動分散式拒絕服務(DDoS)攻擊,以disrupting伺服器或其周邊基礎設施。

但現在,攻擊者又添加了第五種勒索手段 - 社交媒體攻擊。

社交媒體攻擊:許多,如不是全部的組織,都有社交媒體業務。攻擊者現在不僅要求支付贖金以避免在社交媒體上發布有害內容,還要求支付贖金以取回對社交媒體賬戶的控制權。通過社交媒體造成的損害可能很大:您的品牌聲譽可能會因發布虛假或冒犯性內容而受損;您可能面臨法律後果,如客戶數據洩露;平台管理員可能會暫停或刪除您的賬戶;社交媒體攻擊還可能引發進一步的惡意軟件或釣魚攻擊,感染您組織的追隨者和客戶。所有這些潛在的損害都需要重建信任和恢復成本。

從勒索軟體攻擊中恢復的實際步驟

隨著國際反勒索軟體行動倡議的宣布,犯罪分子的勒索行為將變得更加猖狂。但並非一片黑暗,仍有實際步驟可以降低風險,加快恢復速度:

1.建立健全的網路安全框架

- 保持所有設備、應用程式、網路設備和操作系統的安全修補程式更新

- 實施網路分段,減少橫向移動的可用路徑

- 實施並維護嚴格的訪問控制,遵循最小權限原則,減少被盜數據

- 部署防火牆和入侵檢測/預防系統(IDS/IPS),監控和控制網路流量,阻止惡意流量

2.備份和災難恢復

- 定期備份

- 定期測試所有備份的有效性

3.威脅檢測

- 部署安全資訊事件管理(SIEM)系統,報告可疑活動

- 使用端點檢測和響應(EDR)系統(如微軟防護)監控端點設備的可疑或惡意行為

4.事故響應計劃

- 制定事故響應計劃和補充手冊,詳細說明組織在網路事故發生時的行動

- 明確定義網路事件響應團隊(CIRT)的角色和責任

- 定期測試事故響應計劃,並實施改進措施

5.安全審核和評估

- 定期進行驗證掃描,確保配置基線和安全修補程式得到適當應用

- 與獨立第三方合作,定期進行漏洞評估和滲透測試,發現安全缺陷

6.用戶意識和培訓

- 教育員工識別釣魚郵件、social engineering和可疑附件或鏈接的風險

- 推廣全組織使用多重身份驗證

與高層有效溝通的方法

最有效的知識轉移方式之一是讓高層管理人員經歷模擬網路事件的體驗,以教育他們在攻擊發生時的企業角色和職責。桌面事故響應演習是徹底測試計劃、手冊和團隊的絕佳方式。IT部門與高層密切合作,幫助C-suite了解每個演習,並更好地為最終的黑客攻擊做好準備。這種IT到C-suite的知識轉移包括法務、財務和其他部門以及外部領域專家的投入,以制定無責備的恢復計劃。這種知識轉移至關重要,因為許多C-suite人員並不瞭解網路攻擊的下游影響,例如:

- 由於IT系統癱瘓而造成的業務中斷

- 重新啟動技術系統可能需要數天或數週

- 來自客戶的訴訟抗辯

- 客戶流失

- 行業監管機構的罰款

- 由於上述任何一項或全部原因導致律師或其他員工離職,需要招聘新人員

此外,網路防禦問題不僅僅在於犯罪分子的商業頭腦變得更加老練,還涉及他們不斷改變攻擊策略、技術和程序。平台的發展也助長了網路罪犯,使他們能夠利用其他不法分子的技能和基礎設施來執行受損的操作,這些本來是他們無法單獨完成的。

應對未來勒索軟體的格局

勒索軟體運營商很可能會採取三重和四重勒索策略,以施加更大的壓力迫使受害者付款,從而提高他們的成功率。面對40個國家組成聯盟,簽署不向網路罪犯支付贖金的承諾,以消除他們的財務收入來源,勒索行為將變得更加猖狂。

在2024年,隨著勒索軟體有效負荷的技術能力不斷提升,勒索軟體行動將繼續增加複雜性,允許攻擊者擴大攻擊面,瞄準macOS和Linux等其他操作系統架構。

雖然受害者可能能夠從最初的勒索軟體事件中恢復,但額外的勒索層面旨在施加最大壓力,確保最終支付贖金。為了降低勒索軟體的風險,保持警惕、做好準備和計劃仍是抵禦不法分子的最佳防線。

詳情請看：

Cyber Attacks: The Need For an IT and Board-Level Understanding of the Risks

Fortinet：Fortinet 和 IBM Cloud 合作協助客戶保護其工作負載免受日益增加的網路安全威脅

2023 年資料外洩事件的平均成本已經增加了 15%,達到 4.45 百萬美元。偵測和升級成本更是在同一期間增加了 42%。面對日益複雜的網路安全威脅,企業必須採取一切可能的措施來防範風險。IBM 和 Fortinet 自 2008 年起就一直合作,致力於協助客戶保護雲端網路和工作負載。

我們欣喜地宣布,IBM Cloud 和 Fortinet 現已推出 Fortinet 虛擬 FortiGate 安全設備 (vFSA) 服務。這項新服務整合了 FortiGate 實體防火牆的所有功能,並提供虛擬設備的靈活性和可用性。vFSA 為客戶提供 FortiGate 下一代防火牆 (NGFW) 的安全功能,以保護 IBM Cloud 網路上承載敏感流量和數據的客戶網路,使其保持高度可用性。

vFSA 是一款虛擬安全設備,採用 Fortinet 的 FortiFlex 靈活使用授權方案交付。FortiFlex 能夠幫助組織動態調整服務規模和支出,同時保護雲端和混合環境。IBM Cloud 客戶可以根據需求靈活擴展 vFSA 安全功能。

vFSA 在 IBM Cloud 上提供以下功能特性:

1. 自動部署和簡單遷移,內置於用戶界面的按需和自動升級功能。

2. 部署在 IBM Cloud 專用基礎設施上的虛擬設備,旨在提高客戶設備的可用性,應對安全風險。

3. 客戶管理的安全設備,具有管理員root存取權限,提供即插即用的下一代防火牆功能。

多個行業的客戶都可以從 vFSA on IBM Cloud 中獲益,以支持其安全、性能和韌性需求:

金融服務業:對於部署受監管應用程式工作負載或管理敏感數據的金融機構而言,vFSA 可以監視和過濾網路流量,以達到SOC 2 等合規標準所需的控制水平。

零售業:該 vFSA 產品旨在幫助零售商在混合和多雲環境中保持可見性和安全控制,因為他們繼續將應用程式遷移到雲端,以獲得更大的靈活性、敏捷性和優化的上市時間。

製造業:我們看到製造業客戶將關鍵應用遷移到雲端,這可以支持創新,但也可能帶來新的威脅和挑戰。為了支持客戶的安全目標,Fortinet 虛擬 FortiGate 安全設備旨在監控和過濾遠程訪問和新增設備(如物聯網裝置)的網路流量。

總之,IBM 和 Fortinet 的合作推出了 vFSA on IBM Cloud 服務,為客戶提供了一個強大的安全解決方案,有助於保護他們的雲端工作負載免受日益複雜的網路安全威脅。這項創新產品結合了實體防火牆的功能和虛擬設備的靈活性,幫助客戶維護關鍵應用和數據的可見性、控制和合規性。我們期待看到更多企業受益於這一嶄新的安全部署模式。

詳情請看：

Fortinet and IBM Cloud Collaborate to Help Clients Protect Their Workloads from Increased Cybersecurity Threats

Mcafee：保持網路悟性：智勝網路釣魚詐騙的 5 步驟指南

在如今的數位時代,要分辨出合法的溝通和網路釣魚詐騙,就像是在迷宮裡摸索前進而雙眼被蒙住一樣。網路釣魚是一種欺騙性的伎倆,惡意分子通過虛假的電子郵件、短信或訊息,來騙取個人敏感資訊或誘使受害者點擊惡意連結。更別提它的狡猾兄弟「網路釣魚短信」— — 這種數位戲法的短信版本。

如今大多數品牌甚至政府機構都會透過短信或電子郵件與消費者溝通,要判別一則訊息是否真實,真的很難分辨。比如美國郵政服務,本應該專注於依賴性的包裹投遞,但現在卻經常需要警告民眾不要點擊冒充郵政服務的未經授權訊息中的連結。

許多人擔心他們會不經意地打開一封看似官方的電子郵件或短信,從而成為詐騙的受害者。幸運的是,有一些步驟可以幫助你教育自己,並建立防範網路釣魚和網路釣魚短信的保障措施。

以下是保持網路警覺和防範網路釣魚詐騙的五個步驟:

1.自我教育和教育您的親朋好友: 據Verizon的數據洩露調查報告發現,網路釣魚攻擊呈上升趨勢,現在已佔到總攻擊的36%。然而,許多美國人仍然不知道什麼是網路釣魚,也不知道自己可能會成為目標。請問問您的家人和朋友,他們是否知道什麼是網路釣魚和網路釣魚短信。如果不知道,請跟他們分享您所學到的知識,讓他們也能意識到相關風險。

2.破譯詐騙套路: 避免上當受騙需要認識詐騙的特徵,並將之與合法通信區分開來。對於詐騙分子而言,這些攻擊通常是一場數字遊戲,向盡可能多的人發送大量訊息。許多網路釣魚短信會有語法或拼寫錯誤,甚至可能連您的名字都不會提到。合法的電子郵件通常會以您的名字開頭,並且語法和拼寫都很正確。

3.小心被迫促銷: 由於詐騙分子急於發送盡可能多的訊息並獲得盡可能多的點擊,這些通信通常會聽起來很緊急 - "現在就行動,否則我們將禁用您的帳戶"。請您花時間慢下來,考慮該訊息的緊迫性是否與您通常與該組織或服務提供商的互動相符,再採取任何行動。

4.留意可疑的發件人: 詐騙的另一個跡象通常可以在發件人的電子郵件或電話號碼的不規律中找到。合法的銀行通常會使用一致的5位數號碼發送訊息,而詐騙分子可能會使用完整的10位數電話號碼或在不同號碼之間切換。在電子郵件中,發件人的電子郵件地址可能看起來毫無意義或與聲稱的發件人無關,這可能是潛在詐騙的信號。

5.啟用多重身份驗證: 多重身份驗證(MFA)使用戶能夠"輕鬆地對網絡服務進行身份驗證",通過替代密碼登錄的更安全方式。啟用多重身份驗證意味著,即使詐騙分子盜取了您的密碼,他們也無法登入您的帳戶,因為還需要您的驗證器應用程式或指紋等獨有的第二層驗證。

在一個即使簡單的電子郵件和短信訊息也可能隱藏惡意企圖的世界裡,用知識和警惕來武裝自己是至關重要的。使用多重身份驗證,並學會如何識別詐騙訊息,將有助於您避免上當受騙。如果您需要額外的保護,我們的AI驅動「詐騙防護」可掃描短信並在檢測到詐騙連結時發出警報或過濾掉該短信。該軟體還可以在您不小心點擊電子郵件、短信和社交媒體訊息中的詐騙連結時阻止該連結。識破網路釣魚詐騙並不總是容易的,但我們可以提供一道 – 甚至是第二道 – 保護屏障來提供幫助。

詳情請看：

Stay Cyber Savvy: Your 5-Step Guide to Outsmarting Phishing Scams

Help net security：Graylog：開源日誌管理

Graylog作為一個開源日誌管理解決方案,為團隊提供了集中式的日誌管理功能,使他們能夠收集、存儲和分析數據,從而獲得有關安全性、應用程序和IT基礎設施的答案。這個系統擁有許多強大的功能,值得我們深入探討。

首先,Graylog非常易於安裝,只需標準的技術堆棧即可。它支持各種不同類型的數據輸入,並能夠立即對收集的數據進行搜索。這對於需要快速查找和分析大量日誌數據的用戶來說,無疑是一大優勢。此外,Graylog還支持複雜的查詢功能,並提供自動完成的建議,大大提高了用戶的搜索效率。

另一個值得稱道的功能是Graylog的過濾器設置。用戶可以設置單個或多個輸入參數,快速地對儀表板上的所有內容進行過濾,例如過濾出某個特定用戶或系統的所有活動。這種靈活性讓用戶能夠更好地聚焦和分析感興趣的數據。

Graylog的另一大亮點是它提供了強大的儀表板和數據可視化功能。用戶可以使用各種小部件來創建自定義的儀表板,呈現出不同的外觀。更重要的是,Graylog支持高級的數據聚合功能,允許用戶將不同的數據整合到單個圖表中,實現類似於透視表的體驗。這對於需要深入分析和比較多個數據源的用戶來說,無疑是一大福音。

從技術角度來看,Graylog的服務器應用程序可以兼容多種主流Linux發行版,包括Debian、Ubuntu、Red Hat Enterprise Linux和SUSE Linux Enterprise Server等。對於使用Docker的用戶,也需要使用最新版本的Docker(至少20.10.10)。這些廣泛的系統兼容性,大大擴展了Graylog的適用範圍,使其能夠適應不同的IT環境。

展望未來,Graylog的開源版本的路線圖主要集中在進一步拓展數據收集輸入源,以及提供更多的儀表板和報告選項。這表明Graylog的開發團隊正在不斷努力,提升系統的功能和靈活性,以滿足用戶日益增長的需求。

總的來說,Graylog作為一個開源的日誌管理解決方案,擁有諸多優秀的特性,包括易安裝、支持多種數據輸入、提供強大的搜索和過濾功能,以及出色的數據可視化能力。這些特點都使Graylog成為一個非常有潛力的日誌管理工具。未來隨著開發團隊的持續優化,相信Graylog將會更加完善,為用戶提供更加出色的日誌管理體驗。

詳情請看：

Graylog: Open-source log management

訂閱：文章 (Atom)

Blog Archive

Popular Posts

Categories

搜尋此網誌

About