部落格

您在這裡

jimmy

網絡行動工程師的志願服務計畫：NPO網站資訊安全健康檢查

2023-06-12

網絡行動科技提供線上的軟體即服務（SaaS）將近十年，從系統伺服器建構，網站架設，到防火牆資訊安全管理等等，都是我們建立安全服務的核心。

因應日漸嚴重的資安議題，也發現坊間許多 NPO 的網站不甚安全，今年（2023）開始，網絡行動科技的 5 位技術同仁決定提供一個志願服務NPO的計畫：NPO網站資訊安全健康檢查。

一般來說，資安工作是專業且領域很廣闊的，坊間有各種專業的公司提供各式服務，這些工作非常重要，也值得想要採取進一步資安建設的單位採購、採用這些服務。

然而，以多年提供資訊服務的經驗，NPO 要挑選合適的資安產品通常面臨一些門檻如：組織對於自身資訊安全需求了解不足、組織對採購哪方面的資安服務才有效果沒有足夠基礎知識、組織對於做好資安的想像大多覺得遙不可及。

又，坊間的資安服務商，多為服務中大型企業，NPO 想要邀請或採購這些產品，因為熟悉對話語言的不同，讓提昇資安的目標更難達成。我們提供的志願服務計畫，希望弭平這個門檻，讓已經有意識想提昇資安的 NPO，有機會放心的做經驗交流討論，擬定下一步的資安提昇、資安產品等採購計畫措施。雖然提供資安服務與產品不是我們的核心業務，然而提供志願服務的目的，

jimmy

2024年底，我們將達到 100% 使用再生能源提供網站服務

2023-05-24

作為專門服務NPO的公司，除了以我們自己的專業來協力非營利組織改變世界，我們也持續關注與實踐綠色供應鏈，盤點我們的採購與服務流程，而最近調查了公司使用的服務，很榮幸要跟大家分享的是，我們現有的網站與系統服務已經達到了94%的再生能源使用率，而新的網站與系統服務已全面採用再生能源服務，因此這個數字還在增加中。這讓我了解到，其實公司是有機會達成全面使用再生能源目標。

我們的公司雖小，但也需要像其他企業一樣，將一個目標訂出，我們預計在 2024 年底，讓所有的線上服務機房100%使用再生能源。立定這樣目標表示未來我們每使用一個雲端服務，都要妥善調查服務提供者的再生能源計劃，並確保他們具有足夠再生能源規劃、淨零排碳計畫以符合公司的目標，而現在我們正以穩定的步伐往這方向邁進。

我們使用的雲端服務現況

Google Cloud：已經連續五年達成100%的再生能源使用率，並正在積極推進淨零碳排放的目標。Google 是所有雲端服務最積極追求再生能源、淨零排碳的服務商，他們的計畫和概況也因此透明度最好，可以參考

laurie

老客戶優惠方案

2023-04-27

如果你想要打造一個既有吸引力又功能完善的網站，並且將它與 CRM 系統整合，那麼 netiCRM 系統提供的整合建置網站服務，就能夠幫你實現這個目標！讓我們攜手打造一個客製化的官方網站。與 CRM 系統整合的網站，不論是對於後台管理者跟網站訪客，使用上都更加方便，絕對是讓你事半功倍的好選擇！

網站整合CRM的優點：

  • 管理者只要登入一組帳號，就能夠同時管理網站與 CRM；此外，仍然保有 netiCRM 細緻的角色權限，可依據組織需求來設定。
  • 捐款或報名活動時，不用跳出到 netiCRM 站台，而是停留在網站上完成捐款/報名流程；這帶來了以下好處：

    • 無縫使用者體驗：將捐款或報名流程直接嵌入網站，讓使用者可以在網站上完成交易，避免了使用者必須在不同的網站之間切換的麻煩。這提供了一致的使用者體驗，提高了使用者的滿意度。同時，網站主機可以保持品牌一致性，並提供額外的資訊或指導，幫助使用者更好地了解捐款或報名活動。

    • 提高轉換率：當使用者需要跳轉到另一個站台時，可能會中斷交易或報名流程。將CRM嵌入製網站可以消除這個中斷，減少轉換率的流失。使用者能夠在熟悉的網站環境中完成交易，提高了完成捐款或報名的可能性。

  • 特別優惠給網站整合CRM的客戶：免收網站空間租用費（$12,600/年），僅收取
charles

你/公司真正支持的價值觀是什麼？

2023-04-10
前陣子剛好跟同事都看到哈佛商業評論的文章「你公司真正支持的價值觀是什麼？」，去年尾牙時也被同桌合作夥伴一直推薦團隊建立活動，想說就來試試看...
於是同事參考了「什麼才是你人生中最重要的事？一張「價值觀清單」，重新認識自己」，用某個週五的上下午各一小時進行活動。在活動中，我們每個人都有機會填寫並分享我們個人最重視的價值觀，並透過賓果連線遊戲來發現我們的共同點。
 
什麼是賓果連線遊戲？簡單來說，每個人都將他們的價值觀寫在一張賓果卡上，然後我們一起找出共享的價值觀，就像在玩賓果遊戲一樣。這是一個既有趣又具有深度的遊戲，讓我們更深入地了解了彼此，並找到了我們團隊的共享價值。
 
我們最終列出了13個人的共同認可的價值觀。以下是我們的排名（排名／價值觀／加權分數。以及ChatGPT 4提供的說明）：
  1. 自由 76：我們熱愛自由，
harry

應用 OWASP ZAP 進行自動化網站弱掃

2022-12-26

OWASP 簡介

OWASP 是一個開放社群、非營利性組織，全球目前有超過250個分會，其主要任務目標是不再有不安全的軟體。長期支持與協助提供改善應用程式的安全性解決方案，諸如網路軟體安全指南、工具與技術文件 OWASP Top Ten, OWASP Web Security Testing Guide, OWASP ZAP ...等等具有影響力的項目，並通過世界各地的活動和分會會議發展和培育社區。 美國聯邦貿易委員會（FTC）更強烈建議所有企業務必遵循OWASP所發佈的十大網路弱點防護守則 ( 參考 OWASP Response to FTC Staff Report Protecting Consumer Privacy in an Era of Rapid Change ），美國防資訊系統局（DISA-STIG）亦將此守則列為最佳實務，而國際信用支付卡資料安全技術標準 PCI DSS 更將其列為必要元件。

OWASP贊助的ZAP簡介

OWASP Zed Attack Proxy (簡稱 ZAP) 於2010年9月從 Open Web Application Security

junsuwhy

用 ModSecurity 讓你的 NGINX 伺服器更加安全

2022-12-20
你會擔心你用 NGINX 架設的網站安不安全嗎？會不會很容易就被駭客用大量測試的方式找出漏洞呢？ModSecurity 是一個開源軟體，提供 NGINX 伺服器軟體一個完整的防護機制，搭配開源的規則 Core Rule Set 專案，可以防護大部份的駭客攻擊。
 
以下教學描述如何安裝、設定 ModSecurity 在 Debian 的 NGINX，如果您使用不同的作業系統，其中有些指令可能略有不同。
 

安裝 ModSecurity 在 NGINX


Compile ModSecurity 成 Nginx 的模組：
 
apt-get install 必要的套件
apt-get install -y -qq apt-utils autoconf automake build-essential git libcurl4-openssl-dev libgeoip-dev liblmdb-dev libpcre++-dev libtool libxml2-dev libyajl-dev pkgconf wget zlib1g-dev libmodsecurity-dev libmodsecurity3
jimmy

NIST Cyber Security Framework中文簡要分類翻譯

2022-12-19

公司治理需要找到一個好的方式來綜覽是否各個事務都有做好資安配置，之前網路星期二聽到 Allen Own 演講的內容提到的 NIST Cybersecurity Framework 讓我非常感興趣，畢竟有個框架，才知道怎樣盤點公司狀態，來看我們面對資安事務的準備有哪些方面不足。

 

NIST Cybersecurity Framework 很有趣的是，把資安相關的事情，做了一個生命週期的分類。從識別、安全保護、偵測資安事件、應對資安事件、和從資安事件復原，可以看出其概念上是想要傳輸大家對資安事件有正確的理解，裡頭的內容也算簡單易讀，對於公司治理的管理人、負責研發的人員、負責業務的人員、客服等等，都有幫助。雖然國內盛行的認證是 ISO 27001，較無聽說根據 NIST Cybersecurity

jimmy

備份安全性： 使用 OpenSSL 、 Mariabackup 實現大檔案的非對稱加密

2022-11-21

網站安全性，其中一個是擁有安全的備份檔案，尤其是資料庫的費份，包含了帳號、密碼雜湊、使用者個資等，更應該注重安全性。該備份不應明碼儲存，更不應放在同一臺主機上的 web 權限可以取得之處，以免網站被攻破時，連帶將你的備份帶走保存；甚至刪除你的原始備份，這樣就完全沒有備份的效果了。

因此，實現備份時，種種顧慮下，第一步一定是將備份的檔案正確的加密，我們建議使用非對稱金鑰來實現這樣的工作，因為非對稱金鑰可以讓系統自動備份時，使用可以公開的公鑰進行檔案加密，就算被竊取走，也不用擔心備份的檔案被解密。需要解密時，使用僅存於少數人中的私鑰解密，讓加密備份安全無虞。

1. 產生非對稱金鑰

使用 Linux 環境，可以使用 OpenSSL 來達成此工作。先使用以下指令產生非對稱金鑰：

openssl req -x509 -nodes -newkey rsa:2048 -keyout private.key -out public.key

該金鑰如前述，public.key 要儲存於伺服器中， private.key 則是存在真正有權限的使用者安全處。

 

2. 進行資料庫備份

如果使用 MariaDB，我們推薦使用 Markabackup 來進行資料庫的備份，比起傳統的 mysqldump，mariabackup 支援熱備份，且對網站的造成影響較小，不會讓資料庫在備份過程中斷線，詳細可以參考

頁面