CommuniLink 聯通國際網絡

作為一個網頁程式人員，除了盡量滿足客戶對 Web 的要求外，最重要就是懂得除蟲(Bug Fix)，但往往以為所有臭蟲經已排除並為客戶將 Web 上傳，這時問題便隨之而來。臭蟲不能排除或令某些功能不能使用，當用戶嘗試使用該功能時，大多數會顯示 MySQL 錯誤訊息，而這些訊息可以協助程式人員除蟲外，原來也是為駭客開了一個後門，他們使用一種叫 SQL Injection 技術來嘗試查詢這段 MySQL 錯誤，目的是拿取用戶登入資料，甚至拿取最高管理員權限，然後破壞整個系統，造成網站威脅！

而 Web 攻擊是針對 HTTP/HTTPS、URL、session IDs、cookies 等等，因此對於 UTM 防火牆的 IPS/IPD 是無法偵測出來的。其實不單只有 SQL Injection，還有其他 Web 攻擊，例如 XSS、XRSF、session hijacking、overflows。大家試想想 MySQL 錯誤出現在網上銀行網站內，駭客一定很喜歡向這些網站發動大規模 SQL Injection 查詢，如果真的給駭客取得網上銀行用戶登入 資料，我想大家都知道他們下一個動作是什麼了….，因此防止網上銀行網站漏洞亦是 IT 部重中之中的工作。

我們究竟有沒有方法檢查自己的網站有沒有漏洞呢？最起碼知道錯誤在那裡。其實網上有很多專幫客戶網站捉漏洞的公司，大多數名稱都是 Web Vulnerability Scanner，筆者訪問了外國 VampireTech 公司， 他們對網站漏洞相當有研究，其中一個產品名為 VampireScan，可供客戶免費三十日使用。大家記得使用VampireScan 之前一定需要取得授權，取得登入密碼後才可以 scan，假設你沒有授權去 scan  Yahoo 的話，VampireScan 會停止你帳戶，永遠無法再執行，請大家緊記。

以上資訊由www.hkitblog.com提供

現時企業需要提升安全性，往往會考慮到部署不同的防火牆以及保安方案，這些方法固然能提升整體的網絡保安，不過假如企業有充足的資源，那針對檔案進行加密以及多重身份認證，相信對比起傳統的防禦方案可能更為直接；傳統的網絡防禦方案很多時針對著網絡的流量進行攔截，例如是 IP Table 便是一例，這些方案可有效進行防禦，例如防禦入侵性攻擊、DDoS 等等，因此這些方案不可或缺。

但現時的企業，除了著重於網絡上的防禦方案之外，更多時會考慮到的便是企業之中的機密資料的保密性，針對這方面問題，我們則可採取一些資料加密以及身份認證功能加以實現，事關資料已加密，即使外洩第三方亦無法得知加密資料的真正內容，這無疑地為敏感資料加上一層金鐘罩。

不過要部署一套完整的加密方案，企業要先提升基建的整體效能，完成之後更需要就加密方案進行部署，而這一切對於本身並未採用加密方案或多重身份認證方案的企業來說，其實亦是一項十分大的投資，所以要做到加密與多重身份認證兼備，企業的「水源」必須十分充足才可。

有關資料加密的數據筆者仍未掌握，因此接下來先為大家分享一下多重身份認證的相關討論。

多重身份認證加強存取保安

於是很多著重資料保密的企業，例如是金融業便願意以更多資源投放於部署加密以及多重身份認證的方案之上，這點我們可通過近日由 SafeNet 發表的研究報告得知。在 2014 年全球身份認證調查中，發現超過三分之一的機構現正使用多重身份認證(Multi-factor Authentication)，較 2013 年結果上升，讓資料存取可於多種裝置及多個位置無縫及安全地進行。

調查結果顯示，越來越多企業正採用多重身份認證，並應用於更廣泛的工作模式中。調查結果與近期 451 Research 一份報告相近，揭示資料存取控制和身份認證是 IT 部門當前的難題及優先考慮的事項。外來惡意入侵者於 2013 年造成了 57% 的數據外洩，多重身份認證可減低非授權用戶存取敏感資料的風險，而另外透過不同的加密方案亦可確保資料安全性，同時更可讓員工在需要時存取企業資料。

多重身份認證獲廣泛應用，升幅明顯：

37% 機構正在為大部份員工採用多重身份認證，較往年 30% 多。
截至 2016 年，56% 機構期望大部份用戶將依賴多重身份認證。

雲身份認證認受性增加：

33% 機構表示他們趨向選擇以雲為本的身份認證，相比往年 21%，錄得 50% 升幅。
33% 機構現時對雲表示開放，以部署身份認證。

流動裝置上的多重身份認證：

逾 53% 受訪者稱流動裝置用戶在存取企業資料上受到限制。
在使用多重身份認證的流動裝置用戶中，(目前 22%)受訪者預計使用量將於 2016 年前增加至 33%，增長率為 30%。

成本及預算優次

451 Research 的報告顯示，身份認證及身份存取管理是保安項目中的優先考慮。然而，在 SafeNet 的身份認證調查中，近 40% 的受訪者並不知道他們的身份認證解決方案每年每用戶的成本，表示機構對於何為最具成本效益的方案欠缺認識；誤以為只要不在多重身份認證上額外花費便可節省成本，這將進一步誤導了負責 IT 預算的人員。而事實上，多重身份認證旨在減低認證成本及提高易用性。

以雲為本身份認證

員工對以其流動裝置連接企業網絡的需求增長，與機構對以雲為本的身份認證需求增加相連。今年，33% 公司表示他們趨向選用以雲為本的身份認證，比往年 20% 為多。

流動裝置上的身份認證

當在流動裝置上使用強勁的身份認證以存取公司資源時，大部份的回應都能歸類至榜上的兩端，顯示極端化的做法。接近 40% 表示少於 10% 的用戶要求使用強效的身份認證；超過 20% 建議 90% 至 100% 的用戶現時需要這樣做。有趣的是這些數字將於未來將有著顯著轉變﹕33% 預期 90% 至 100% 用戶將於未來兩年內需要強效的身份認證，而僅 15% 認為這需要將少於 10%。這代表流動裝置的身份認證日漸變得重要。

鑑於流動裝置身份認證的需求，進一步推動身份認證方法由硬件為本轉向至以軟件為本。調查顯示，軟件為本的身份認證使用率由 2013 年的 27% 上升至 2014 年的 40%，預測於 2016 年將會達至 50%。相反地，硬件為本的身份認證的使用率由 2013 年的 60% 下降至 2014 年的 41%。

以上資訊由www.hkitblog.com提供

大數據其實從理論上的解釋當然十分簡單，就是通過收集不同的數據，從而分析問題發生的頻率而得出未來趨勢；就好像大家「睇相」一樣，這些用作占卜解畫的書籍，同樣是古人流傳下來的大數據，至於解說之人就是大數據分析器，但實際上是否真的這樣簡單呢？

那當然並不是呢。假如停留於紙上談兵，那就當然得出大數據十分簡單的結論，其實大數據收集容易，但最困難之處莫過於如何將非結構化的數據變得有意義，這當中涉及的種種，例如數據量與頻寬、系統、儲存裝置效能上的承受能力，分析軟件的承受能力等等，絕對非三言兩語便去得出「簡單」這個結論。

就好像現時很多安全廠商都會採用大數據分析即將出現的種種網絡威脅，其背後收集的數據量以及應用的分析技術，包括如何將非結構化數據變得有意義，這個過程是否處理得恰到好處，便主宰著服務的速度及準確性；為此很多公司都會定期優化其大數據分析方案，就好像英國電信（BT）便是其中之一。

近日英國電信(BT)便坦承地宣佈即將對其現有的 BT Assure 保安威脅監控服務進行重大升級，其升級目的顯而易見，就是改善服務質素，並希望更新後企業和保安分析專家能以更簡單直接的方式辨認和抵禦保安威脅。

BT Assure 是甚麼？

BT Assure 是一項威脅監控服務，主要通過收集並分析海量數據從而得出趨勢；升級後用戶便可把收集了的數據和有關的分析，顯示在自訂的螢幕介面上。因此，保安人員就能夠及時發現潛在的問題，進而更輕易辨認保安風險，並及時作出反應，積極採取應對方案。

這項服務的操作原理，是從整個客戶網絡設備收集保安威脅情報資訊，並對之進行監控，包括檢測和入侵防禦系統（IDS/IPS）、防火牆和路由器到伺服器、應用程式、大型電腦以至個人電腦。

BT Assure 其他功能還包括：

– 全新的內置自訂規則功能，用戶可以用它快速自訂需要查看的問題和威脅，從而因應問題及時做出反應。
– 統一追蹤問題系統，用戶和 BT 保安操作中心專家可以用它管理設備和網絡、溝通並為個別事故作故障排除。

以上資訊由www.hkitblog.com提供

隨著全球物聯網趨勢，加上虛擬化、混合架構等多種因素的影響之下，企業的網絡環境已變得更為複雜，而複雜的環境所帶來的除了是增加了管理上的難度，更會令安全風險提高。
當你擁有複雜的網絡環境，黑客便會更容易於不同方案之間尋找漏洞，繼而針對漏洞研究全新的惡意軟件或攻擊模式，如 APT、發動零日攻擊、植入惡意軟件偷竊企業資料等等。

不得不提的零日攻擊

提到多種攻擊模式，當中最值得一提的是所謂的「零日攻擊」。零日（Zero Day）是指一些全新的安全事件，這些事件被發現時往往只是在互聯網上出現了一段很短的時間，因此安全廠商並未能針對這些零日攻擊／零日漏洞提供相關的更新簽名檔，藉以修補有關漏洞。

傳統防禦方案難以應付零日攻擊

面對這些情況，作為資安管理人員可以做的，就是切法令這些零日攻擊排除於企業網絡之外；而這方面，傳統的防禦方案會通過在一定時間內推送簽名檔，從而令防禦方案能辨別到這些零日攻擊並再作進一步的保護及流量排除。

不過從發現零日攻擊－＞收集用戶提供數據－＞分析攻擊－＞製作簽名檔－＞推送更新，這過程往往要花上半日時間，而這半日時間足夠令企業網絡陷入崩潰。

最新防禦技術：模擬環境下封鎖流量

針對這問題，從前的解決方法只是與黑客「鬥快」。但隨著虛擬化技術愈趨成熟，新一代的防禦方案已能完美地通過虛擬化的協助下解決零日攻擊的問題。

現時坊間有些方案，例如是 Check Point ThreatCloud 便可令這些惡意流量在未進入企業網絡之前進行封鎖，這樣便可大大提升整體的防禦能力及安全性。

技術背後…

通過 Check Point ThreatCloud，流量在進入企業網絡前，會先把流量送到虛擬的 sandbox 之中，並通過 Check Point 的雲端智能風險識別技術對流量作實時分析及掃描，從而將惡意攻擊及流量排除於企業網絡之外。

專人管理： 讓你專注業務發展

企業可通過部署上述提到的方案，從而為企業的網絡安全把關。但現實情況是：作為企業 IT 管理員，很多時都會有數之不盡的工作需要處理，因此基本上難以全天侯留意著最新的安全威脅。

面對這情況，現時很多企業都流行通過採用第三方提供的管理服務進行網絡安全管理。透過採用這些服務，企業便享受到 24 x 7 的安全管理，讓 IT 人可騰出時間處理業務上的各種 IT 工作。

最近 Check Point 便正式與 Macroview Telecom 合作，並為企業推出針對 Check Point ThreatCloud 方案的管理服務，大致上可分為 ThreatCloud Managed Security Service 以及 ThreatCloud Incident Response Service。

上述提到的兩種管理服務均有專人 24 x 7 替你的企業網絡安全把關，當有威脅出現時，專家將會實時向企業管理者發出通知。而作為企業用戶，除了可實時就各種新式的惡意流量／攻擊取得通知之外，更可即時登入 Managed Security Services Web Portal 取得全球最新的資安風險資訊，令你隨時為可能出現的威脅作好準備。

專家亦會不停針對 Check Point ThreatCloud 進行優化，令其在應對不同的攻擊時能保持應有效率。以下為詳細資料：

ThreatCloud Managed Security Service

針對不同的威脅提供全天侯保護
採用 Check Point ThreatCloud 全球資源為你加強防禦能力。
實時監測並向用戶通知最新威脅。
優化方案以提升防禦能力。
安全專家隨時候命，並為你的員工提供進階協助及全球安全風險資訊。

ThreatCloud Incident Response Service

因應突發情況為企業提供專家支援。
降低停機時間。
通過 event report 提升反應時間。
應對不同請求提供更高效的反應時間。
通過內部或第三方工具提升協作效率。
可提供異地日誌存儲及設定數據。

如何確保資料保密

很多企業在採用 Managed Security 等相關方案時，由於所傳輸的數據均會通過管理者一方，因此很多時都會擔心企業機密資料的安全性。

針對此問題，原來在 ThreatCloud 與 Check Point 閘道之間會採用 SIC（Secure Internal Communication）加密，並於 Check Point 平台及 Managed Server 又或者其他 Check Point 的方案之間提供信任憑證；通過這種方式，即使是管理一方亦難以窺探到企業所傳送的機密資料，從而確保了資料安全及保密性。

以上資訊由www.hkitblog.com提供

上文提到有關手機應用開發的統計數據，當中揭示了香港鮮有自家開發的應用能做到可持續發展，而其中的原因大多數是欠缺資金，事關一套應用要吸引到全球用戶的目光，除了要有其獨特性之外，其實亦需要一定的資金用以投資於宣傳及推廣業務；不過大多數香港的用戶的習慣是不喜歡「付款」，加上即使找投資者注資，香港的天使基金亦並非傳統的天使，她們往往需要看一整年的收支報表。

畸型生態：教寫 Apps 但不懂編程、誤人子弟

除了天使基金不作支援外，另一點就是開發者的質素。筆者從事相關行業多年，眼見這些出書的、開辦課程的種種手法，的確看不下去。在這裡不開名地公開一些不為人知的事情。其實很多編寫這類寫 Apps 天書的作者、開辦寫 Apps 課程，標榜短時間內學懂寫 Apps 的教師，其本身亦不懂得寫 Apps，試問跟隨這些教師學習，又能夠培訓出多少個本地手機應用開發高手？

培養思考更重要

外國教學著重培養學生「想多一些、大擔假設、小心求證」，而這類誤人子弟的教師、書籍，一來不但貪求「速食」文化，連基本功都未準備好就直接進入開發 Apps 過程；二來只跟隨前人的步驟一步一步地以目標為本形式教授，這往往令學生欠缺獨立思考空間，令學生只成為手機應用工廠的生產線一部份，欠缺創意的機械式工作，即使有創新意念亦無時間多想。

天使基金不天使

很多開發者都會尋找天使基金的資助，而這亦正正是 Google 等公司在初創時的成功之路，她們開初之時憑概念再加上熱誠便可取得 Silicon Valley 的天使基金，反觀香港的天使基金投資者，大部份都需要要求創業者提供一年的收支報表，單靠 Idea 獲得投資的公司近乎「零」，而且這些天使還會理所當然地詢問：「我投資於房地產可確保回報，風險又低，為什麼要投資在你的想法之上？」這是一位天使跟筆者說的。

假如 Google 在港創業、將不會成功

可見大部份天使基金在香港又是一個怪胎，完全癲倒了天使基金的原意。天使基金／天使投資者（Angel Investor）之所以被稱為天使，是因為對於初創企業來說，她們的出現猶如一名天使般，照顧著初創企業的小小意念，因此天使基金本身風險絕對十分極之高，但同時換來的回報亦可以很高。就像 Google 創業初期，在未有搜尋引擎的概念之下，假如在香港說服這群所謂的天使，我想基本上沒有可能取得投資，事關她們推出第一個搜尋引擎時，根本完全不能想像到一個強而有效的商業模式，而且初期更完全沒有收入，更遑論提供收支數據。

同樣地，開發應用，尤其是一款獨立應用往往十分需要投資（請注意：投資金額小於 200 萬港元的，其實說不上投資），在香港單憑這一大部份的異端天使，就想能培養出像美國 Silicon Valley 般的成功傑作，簡直天方夜譚；平心而論，在內地的天使基金其實亦遠比香港做得好，而且內地政府大力推動創新科研，所換來的除了有些抄襲的傑作之外，卻真的會出現了一小部份令人喜出望外的創新及創意產品；反觀香港在這方面真的不太足夠。

其實天使基金的想法並沒有錯，事關作為投資者當然希望能投資一些風險低且高回報的項目，而在香港要盡享這兩大好處，莫過於投放在房地產，吸引力勝過科研及創新科技，所以只可怪香港這地方已成為唯利是圖之地；還會憑理想出發、真正希望推動香港發展的投資者，已寥寥可數。

以上資訊由www.hkitblog.com提供