https://tinyurl.com/29hvuet8
上个月MSI被勒索软件Money Message窃取1.5TB的资料，并要求400万美元的赎金。
MSI拒绝支付结果部分MSI产品的韧体和Boot Guard密钥就被公开在网络上了
Boot Guard是Intel CPU保护措施的一部分，主要用于防止装置执行非系统供应商提供的
韧体，如果密钥被泄漏的话骇客可以使用这些合法密钥将恶意软件伪装成系统供应商提供
的更新来躲避Boot Guard的验证。同时这些恶意程式码是在系统启动前就会加载所以可以
躲避防护软件或是其他软件检测
不过目前公开的资料中有57个MSI产品的韧体密钥被公开，有166个Boot Guard密钥被公开
。但从清单来看受影响的装置大部分都是笔电为主。不过受到波及的可能还有美超微和
联想的产品
https://tinyurl.com/ydw3v2rb
有使用MSI产品的人最近要注意一下产品或是韧体/BIOS更新的档案来源啊。不要找非官方
的载点应该就没问题了吧?
作者:
Fezico (尬广跟上)
2023-05-06 21:57:00MSI的MIS要被抓起来吊路灯惹吗
作者:
ch410773 (Lolita)
2023-05-06 22:25:00网管啊
作者:
Porops (猪排)
2023-05-06 22:26:00资安防护通常是MIS的职责没问题吧，不过有时候是被社交工程攻破MIS也无解
作者:
Arbin (路人_Lv菜逼八)
2023-05-06 22:27:00这样BIOS modding会变得比较容易吗..
作者:
oppoR20 (R20)
2023-05-06 22:55:005星7的密钥（x）大家公共的密钥（O）
可是seiya大上面贴的那篇新闻连结, 金管会规范的对象是 "主要经营电子商务媒介商品或服务" 的公司耶七星....算吗? XDDDDD
虽然第二阶段是有扩及到符合规定的其他上市上柜公司但目前规定也只有说在2023年底前完成建置(不好意思打字比较慢, 所以刚刚后面还没打完 XD)
作者:
Fezico (尬广跟上)
2023-05-06 23:44:00七折资本额也没百亿阿...里面列举三个七折到底哪个有?
至于其他条件的部分, 因为我还没去查过七星的公司资讯, 并不清楚, 所以就不知道士不是有符合法律规范的
MSI在2020年就成立资讯安全管理委员会了，详见官网
作者:
Fezico (尬广跟上)
2023-05-06 23:45:00金管会那条主要是对岸有人一直DDOS搞到网银挂惹才出台的
七星有资讯安全管理委员会的部分, 感谢seiya大提供的
作者:
Fezico (尬广跟上)
2023-05-06 23:46:00MIS就是什么屎缺都有份才屎
资讯, 那如果他们有这样的单位, 内部要扛锅的就专责单位了 XDDDDD不过MIS在很多公司真的是只要跟电脑有关的东西都要兼我在想就算万一将来法定规范扩大有效范围, 很多公司应该会采取将MIS改个名称变成资安啥啥啥的, 然后就继续什么相关的都要管 XDDD
作者:
Fezico (尬广跟上)
2023-05-06 23:49:00MIS屎在讲人话但他马的没一个人听得懂，都说不要点还是手贱点下去在跟你说完惹，鸡巴勒...
因为有些人铁齿或赌性坚强, 有些人真的听不懂, 然后手一滑就...(眼神死
作者:
Fezico (尬广跟上)
2023-05-06 23:53:00更多状况都说公司不是有买防毒，怎还会中毒。人家是防毒但不防蠢阿干。
使用习惯不好也是个问题现在电脑真的很普及, 很多工作上也都会用到, 但有些能降低中标的基本(?)使用习惯其实出乎意料的, 并没跟上 (抓脑袋
作者: givemeback (无线路由器) 2023-05-07 06:07:00
主要是社交工程就跟诈骗集团一样，没警觉的一般人很容易就被骗
作者:
spfy (spfy)
2023-05-07 07:22:00现在还有双重社交工程更难防 一堆YT网红被盗都是因为这样
作者:
b325019 (望月)
2023-05-07 11:01:00被社交工程骗到的太多搞到公司内部自己偷偷做社交工程信件看哪个阿呆点到，中招的要跟老板报告
有的时候，因为没钱，内外网直接物理分割，内网的电脑受限规定无法更新又因为规定太脑残，就有外面的usb甚至网络线插进去通外网
作者: cn201 (yar) 2023-05-07 15:43:00
但是事实上，规定要有资安专责人员，很多公司依然都是MIS兼著做，资安委员会也只是走个形式兼著做的情况下能做到多完善，只能打一个大大的问号另外专责只是定义要有人负责做这件事情，并没有全职投入的要求，所以除非管理阶层很有决心不然都是兼任居多，兼任的人有没有相关know how或受过教育训练还很难讲
作者: cn201 (yar) 2023-05-07 16:29:00
我可以给你讲过iso 27001一样可以兼任，因为条文没有写必须要全职投入，国际认证都是跟你讲你必须要有什么而不会告诉你必须要怎么做实作指引是可以参考iso 27002，但那不是唯一最糟糕的情况是资讯单位必须要集行政 立法 司法 监察四位一体，整天被内部使用者靠北外功劳还都被上层有名无实的资安委员会抢走
作者: ayanami00 (39's 4 shar3) 2023-05-07 19:38:00
BIOS又没有加密，你只要能烧上去，随你改