- 資訊安全：
1.Mabouia：史上第一款Mac OS X勒索赎金软件 by Freebuf
Mabouia是由C++编写，感染后使用XTEA加密算法将用户文件进行32层加密。此外，考虑到ransomware只会修改个人文件，Mabouia的执行并不需要超级用户权限。你在不经意的鼠标点击中，就可能遭受到ransomware的感染。
2.Blackhat Europe 2015议题前瞻：当心你的手机 by Freebuf
（1）BaaS安不安全：
研究人员将会演示许多BaaS方案是毫无安全可言，攻击者可以毫不费力地闯入开发人员的服务后端。利用BaaS方案中严重的配置错误，他们可以访问存储在云端上超过5600 万敏感的用户记录。
（2）Androbugs Framework：新款Android应用漏洞扫描器：
AndroBugs Framework是一个免费的Android漏洞分析系统，帮助开发人员或渗透测试人员发现潜在的安全漏洞。此议题将会演示AndroBugs Framework如何寻找有效的安全漏洞，帮助Android开发人员减少他们的应用被攻击或被“黑掉”的风险。
（3）Android备份通道泄露身份认证凭据：
研究人员发现Google Play上几乎所有数据备份相关APP都允许任何具有互联网和SD卡访问权限的APP访问其备份数据。利用这种泄露方式，恶意APP可以窃取其他APP的身份认证凭据，或获得已认证会话的完全控制权。
（4）Android模糊测试：挖掘Android系统组件漏洞的诀窍：
此次演示会涵盖多个主题，首先从实际的模糊测试过程开始，包括数据/种子生成、测试用例执行、记录和筛选机制、解决类似bug重现的挑战、整理归纳不同的问题以及基于严重性对问题排序。
（5）你的时空信息是否安全？开源设备实施时间和位置欺骗攻击：
阿里巴巴安全研究人员发现一种利用低成本软件无线电（SDR）设备实施GPS欺骗的方法，其中iPhone和Apple Watch均受影响。iOS和Android上地图应用同样可以被欺骗，你甚至可以生成Uber位置欺骗信息，从而攻击基于位置的服务（LBS）应用。
（6）Root检测的糟糕现状：
研究人员分析最受欢迎的Android安全应用以及市场主流的BYOD解决方案，查明它们如何是识别“Root”设备。他们使用常见开源 Android 逆向框架来剖析上述应用程序，发现攻击者可以轻易绕过这些Root检测。最后，演讲者会展示一个简单工具AndroPoser，征服已发现的所有Root检测方法，从而让被“Root”过的设备看起来是未被“Root”。
3.大波Mac OS X恶意软件来袭 by Freebuf
OS X的报告称，大多数恶意软件会使用下面七项技术中的一项，来保持在系统中的活跃：
（1）LaunchAgents：一个OS X特有的，在每个用户或者系统级别上启动程序的方式。
（2）LaunchDaemons：与LaunchAgents类似，可与之互换。
（3）Cron任务：Cron是在类Unix系统里，基于时间的任务调度器。它会在间隔固定的时间、日期后，定时运行脚本和程序。
（4）登录项：当用户登录到OS X账户时，运行程序的方法。
（5）浏览器插件：以添加额外代码的方式，给浏览器增加功能。
（6）启动项：系统启动时启动程序。
（7）二进制感染：用一个可执行文件注入，并修改另一个可执行文件。因此感染后的可执行文件在运行前，会先执行恶意代码。
Mabouia是由C++编写，感染后使用XTEA加密算法将用户文件进行32层加密。此外，考虑到ransomware只会修改个人文件，Mabouia的执行并不需要超级用户权限。你在不经意的鼠标点击中，就可能遭受到ransomware的感染。
2.Blackhat Europe 2015议题前瞻：当心你的手机 by Freebuf
（1）BaaS安不安全：
研究人员将会演示许多BaaS方案是毫无安全可言，攻击者可以毫不费力地闯入开发人员的服务后端。利用BaaS方案中严重的配置错误，他们可以访问存储在云端上超过5600 万敏感的用户记录。
（2）Androbugs Framework：新款Android应用漏洞扫描器：
AndroBugs Framework是一个免费的Android漏洞分析系统，帮助开发人员或渗透测试人员发现潜在的安全漏洞。此议题将会演示AndroBugs Framework如何寻找有效的安全漏洞，帮助Android开发人员减少他们的应用被攻击或被“黑掉”的风险。
（3）Android备份通道泄露身份认证凭据：
研究人员发现Google Play上几乎所有数据备份相关APP都允许任何具有互联网和SD卡访问权限的APP访问其备份数据。利用这种泄露方式，恶意APP可以窃取其他APP的身份认证凭据，或获得已认证会话的完全控制权。
（4）Android模糊测试：挖掘Android系统组件漏洞的诀窍：
此次演示会涵盖多个主题，首先从实际的模糊测试过程开始，包括数据/种子生成、测试用例执行、记录和筛选机制、解决类似bug重现的挑战、整理归纳不同的问题以及基于严重性对问题排序。
（5）你的时空信息是否安全？开源设备实施时间和位置欺骗攻击：
阿里巴巴安全研究人员发现一种利用低成本软件无线电（SDR）设备实施GPS欺骗的方法，其中iPhone和Apple Watch均受影响。iOS和Android上地图应用同样可以被欺骗，你甚至可以生成Uber位置欺骗信息，从而攻击基于位置的服务（LBS）应用。
（6）Root检测的糟糕现状：
研究人员分析最受欢迎的Android安全应用以及市场主流的BYOD解决方案，查明它们如何是识别“Root”设备。他们使用常见开源 Android 逆向框架来剖析上述应用程序，发现攻击者可以轻易绕过这些Root检测。最后，演讲者会展示一个简单工具AndroPoser，征服已发现的所有Root检测方法，从而让被“Root”过的设备看起来是未被“Root”。
3.大波Mac OS X恶意软件来袭 by Freebuf
OS X的报告称，大多数恶意软件会使用下面七项技术中的一项，来保持在系统中的活跃：
（1）LaunchAgents：一个OS X特有的，在每个用户或者系统级别上启动程序的方式。
（2）LaunchDaemons：与LaunchAgents类似，可与之互换。
（3）Cron任务：Cron是在类Unix系统里，基于时间的任务调度器。它会在间隔固定的时间、日期后，定时运行脚本和程序。
（4）登录项：当用户登录到OS X账户时，运行程序的方法。
（5）浏览器插件：以添加额外代码的方式，给浏览器增加功能。
（6）启动项：系统启动时启动程序。
（7）二进制感染：用一个可执行文件注入，并修改另一个可执行文件。因此感染后的可执行文件在运行前，会先执行恶意代码。
- 自我成長：
1.徵求與企業文化契合的人才 by Katie Bouton
你在面試時，可以詢問對方以下問題，以便評估對方是否適合自己的組織文化：
（1）你在哪種文化環境中，最能順利發展？
（2）怎樣的價值觀會吸引你？你理想中的工作環境為何？
（3）你為何想來這裡工作？
（4）從你觀察的心得來看，你會怎麼形容我們的組織文化？
（5）你會從別的組織引進哪些最佳實務？
（6）你是否曾與某組織合作，或在某組織服務，卻覺得自己和那邊的文化格格不入？你覺得原因是什麼？
2.知道何時該忽視他人的意見 by Dorie Clark
別人的意見能讓我們學習與成長，但也要記得，不是每種意見都對你有用。假如對方無法明白告訴你問題在哪裡，去弄清楚並不是你的責任。
此外，假如只有一個人這麼想，你也可以先不管對方的意見。我們固然很容易一直在意他人的批評，但一人的意見（無論此人的影響力有多大）不總是靠得住。
3.如何管理跨功能團隊 by Behnam Tabrizi
高階主管應該為每個專案指定一位負責的領導人，職責包括做重大決定、管理團隊、與管理高層協調等。
每個專案都應該有清楚設定的目標、資源、完成期限，以及獲准的預算，並應明文定義優先順序、欲達成的結果、時間範圍等。
此外，由於不同功能的部門各有自己的優先考量，團隊領導人必須以專案成功為跨功能團隊的首要目標，並把目標達成率反映在團隊成員的績效評估與待遇上。
你在面試時，可以詢問對方以下問題，以便評估對方是否適合自己的組織文化：
（1）你在哪種文化環境中，最能順利發展？
（2）怎樣的價值觀會吸引你？你理想中的工作環境為何？
（3）你為何想來這裡工作？
（4）從你觀察的心得來看，你會怎麼形容我們的組織文化？
（5）你會從別的組織引進哪些最佳實務？
（6）你是否曾與某組織合作，或在某組織服務，卻覺得自己和那邊的文化格格不入？你覺得原因是什麼？
2.知道何時該忽視他人的意見 by Dorie Clark
別人的意見能讓我們學習與成長，但也要記得，不是每種意見都對你有用。假如對方無法明白告訴你問題在哪裡，去弄清楚並不是你的責任。
此外，假如只有一個人這麼想，你也可以先不管對方的意見。我們固然很容易一直在意他人的批評，但一人的意見（無論此人的影響力有多大）不總是靠得住。
3.如何管理跨功能團隊 by Behnam Tabrizi
高階主管應該為每個專案指定一位負責的領導人，職責包括做重大決定、管理團隊、與管理高層協調等。
每個專案都應該有清楚設定的目標、資源、完成期限，以及獲准的預算，並應明文定義優先順序、欲達成的結果、時間範圍等。
此外，由於不同功能的部門各有自己的優先考量，團隊領導人必須以專案成功為跨功能團隊的首要目標，並把目標達成率反映在團隊成員的績效評估與待遇上。
如欲閱讀更多文章摘要，請見 每日晨摘
沒有留言:
張貼留言