腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

绿盟科技研究通讯

专栏作者

522

文章

650000

阅读量

89

订阅数

绿盟科技星云实验室获微软MSRC致谢|Azure数据库服务存在RCE漏洞

服务科技漏洞数据库 azure

Azure Database for PostgreSQL - Flexible Server [1]是基于开源 PostgreSQL数据库[2]引擎的关系数据库服务。它是完全托管的数据库即服务，能够处理任务关键型工作负荷，具有可预测的性能、安全性、高可用性和动态可伸缩性。

绿盟科技研究通讯

2024-03-04

810

SecureBoot101：初始安全启动

数据库安全操作系统程序内核

几十年来，个人电脑一直受到病毒、蠕虫和其他恶意软件的困扰。最早的一些个人电脑病毒是以引导扇区病毒的形式传播的：它们以代码形式存在于软盘的引导扇区中，当用户使用受感染的 DOS 软盘启动计算机时，病毒就会从一台计算机传播到另一台计算机。虽然随着软盘的淘汰和互联网连接的普及，其他病毒传播方式也逐渐受到重视，但预启动的恶意软件对系统安全仍造成巨大威胁。通过在操作系统内核获得计算机控制权之前执行，恶意软件可以 "隐藏 "起来，从而使病毒扫描程序几乎无法检测到恶意软件。

绿盟科技研究通讯

2023-12-05

2960

论文解读：Ad Hoc Transactions in WEB Applications

数据库 transactions web 论文事务

《Ad Hoc Transactions in WEB Applications: The Good, the Bad, and the Ugly》由上海交通大学并行与分布式系统研究所发表于SIGMOD22，论文主要调研了在WEB应用中处理数据并发操作类业务的主流方法，包括基于数据库事务、使用ORM框架以及利用编程语言实现的应用层临时事务。在对临时事务开展研究后发现，临时事务在关键API（例如结算）中被广泛应用，虽然灵活性较高，但也容易导致并发错误，甚至对实际业务产生严重影响。同时，在高竞争负载下，这些临时事务可以通过利用应用程序的语义来提升性能。这项研究对临时事务的理解及数据库系统的改进有重要指导意义。[1]

绿盟科技研究通讯

2023-11-28

1900

PosgreSQL 数据库越权手法简要介绍

数据库函数后台进程权限

PostgreSQL[1]是一种流行的开源关系型数据库管理系统。它提供了标准的SQL语言接口用于操作数据库。本文旨在简要介绍在该数据库下的一些特性及其相关越权手法，并展示函数、权限和扩展三个方面的示例。

绿盟科技研究通讯

2023-09-21

2420

2022年网络空间安全事件简析

数据库大数据数据处理 sql 安全

随着互联网、物联网、大数据等新技术的不断发展，网络空间暴露的资产和服务日益增多，国内外网络安全形势也日益复杂，安全事件发生频率也逐渐增加。此外，安全事件提及的资产情报作为网络空间测绘研究的重要输入，通过对事件中关联到的资产进行广谱测绘，可以进一步看到其影响范围，无论是对漏洞修补，还是安全监管都有着重要的作用。因此，有针对性的处理安全事件以及分析安全事件的趋势成为一个重要的课题。

绿盟科技研究通讯

2022-11-14

1.4K0

万字长文：安全知识图谱技术概述

知识图谱数据湖数据挖掘数据库大数据

知识图谱是下一代可信人工智能领域的关键技术组成之一。围绕知识的归纳抽取、演绎推理等处理与分析过程，诸多关键问题逐步被攻克，大幅推动了机器认知技术的发展。在网络空间安全领域，防御技术的智能化升级也亟需成熟、有效的网络空间安全领域知识图谱（以下简称为安全知识图谱）技术体系，为应对强对抗、高动态环境下的攻防博弈提供知识要素与推理智能支撑。为了归纳总结安全知识图谱的关键技术研究进展，本文将尝试通过技术概述的方式，尝试回答以下几个问题，期望为读者较成体系化的安全知识图谱研究现状总结。

绿盟科技研究通讯

2022-11-14

8380

【顶刊论文分享】告警分析全家桶

网络安全安全云安全中心腾讯云开发者社区数据库

“从海量告警中找出能对企业安全造成风险的关键告警”是安全运营工作的核心，对于这一目标，运营人员往往如大海捞针般，没有行之有效的方法。因此企业安全运营的现状往往是依靠运营人员的长期积累的经验（包括对告警的认知程度、对企业资产的认知程度等），来逐步靠近这一目标。

绿盟科技研究通讯

2022-11-14

5300

深度揭秘：如何正确识别证书实际控制机构

数据分析数据库 sql https 网络安全

在上次《拨开俄乌网络战迷雾-域名证书测绘篇》里，对俄乌双方网站域名证书的存活情况和颁发机构分布情况变动研究中，发现难以从部分证书解析得到的颁发者名称及机构中，正确识别其证书颁发机构（Certificate Authority, CA）。针对此类问题进行调研，发现一篇发表在USENIX 2021的论文工作[1]，如图1所示。其作者提出基于CA对证书的操作行为特征进行聚类的Fides系统，能够检测实际控制数字证书的CA（即证书运营商），并建立了一个新的证书运营商数据库[2]。所谓控制，就是对证书关联的加密密钥具有操作访问权限，并能够对由密钥颁发的证书负责。

绿盟科技研究通讯

2022-11-14

6580

《2021网络空间测绘年报》解读｜安全设备和数据库资产篇

数据库 sql 云数据库 SQL Server 网络安全

安全设备作为网络基础设施，承担着维护网络安全的重要责任。但近年来很多厂商的安全设备被曝出存在安全漏洞，如果不及时修复，将会成为攻击者的跳板，对网络发起进一步的渗透。因此，有必要对暴露在互联网上的安全设备进行研究分析，实时掌握这些资产的安全情况，避免成为攻击者入侵内网的入口。

绿盟科技研究通讯

2022-04-14

5380

小蜜蜂公益译文：勒索软件威胁现状（下）--卡内基梅隆大学软件工程学院

区块链数据库数据备份云镜（主机安全）

一般来说，勒索软件攻击分为多个阶段。只有充分了解各阶段活动，组织才能有备无患，应对自如。需要注意的是，勒索软件是软件代码，在攻陷兼容计算机后执行，对本地存储、网络或云中的可访问数据进行操控。此外，还可能利用网络访问权限和互联网与命令控制（C2）服务器（攻击者的基础设施）通信。攻击受害人应料到勒索软件会利用强加密算法加密数据且只有联系勒索软件组织才能获得解密秘钥。受害人支付赎金后，攻击者提供的解密工具和秘钥可能无法正常使用，导致某些数据仍无法解密和访问。

绿盟科技研究通讯

2021-07-14

8060

从技术角度解读等保2.0对数据安全的要求

大数据数据库数据备份数据分析数据处理

我国2017年实施的《网络安全法》明确指出“国家实行网络安全等级保护制度”（第21条）、“国家对一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护”（第31条）。在最近发布的《数据安全法（草案）》二审稿中，与亮点之一相比一审稿增加了等保制度的衔接。等级保护2.0标准体系涉及众多标准，同时对数据安全、个人信息保护有若干的规定要求。本文中以等保2.0三个标准，即《信息安全技术网络安全等级保护定级指南》（GB/T 22240-2020）、《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019）和《信息安全技术网络安全等级保护安全设计技术要求》（GB/T25070-2019），摘录对数据安全、个人信息保护相关要求，同时对其进行技术层面的解读，以供参考。

绿盟科技研究通讯

2021-05-11

1.9K0

数据泄露频发，数据水印技术如何做到事后溯源追责？

编程算法安全数据库大数据数据分析

数据泄露是一个老生常谈的安全话题。据不完全统计，平均每天有十起以上公开曝光的数据泄露事件，从暗网数据交易监控到的各个行业数据泄露，到新冠疫情期间频频发生的公民个人隐私泄露。从泄露原因看，既有外部黑客攻击因素，也与内部员工泄露有关。在企业内部场景中，发生数据泄露后如何追究是哪个员工泄露了数据？在数据分发或与第三方数据共享的场景中，如何通过泄露数据进行溯源取证——具体是哪家组织/第三方由于安全失责原因导致了数据泄露？数据水印（或称数据库水印）作为一种有效的针对泄露溯源场景而兴起的安全技术，近年来由于安全需求的驱动受到了广泛关注。本文首先将介绍数据库水印的背景，然后重点阐述数据库水印的基本原理，最后介绍其在两类典型场景的应用——针对企业员工、以及组织机构的泄露溯源。

绿盟科技研究通讯

2021-02-24

2.3K0

透过隐私合规，看数据安全技术发展趋势

数据安全数据脱敏数据库大数据数据分析

近年来，全球掀起个人信息与隐私的立法热潮。欧盟2018实施GDPR，美国2020年实施CCPA，两部法规均对企业处理用户的数据提出更严、更具体的约束和要求；最近十月份，我国对外公布《个人信息保护法（草案）》，它全面和具体地规定了企业保护个人信息安全的各项义务,同时指出违反法规最高可面临5000万或一年度营业额5%的巨额罚款。

绿盟科技研究通讯

2020-11-30

1.9K0

Serverless安全研究 — Serverless安全风险

serverless https 安全网络安全数据库

通过上一篇《Serverless安全研究 — Serverless概述》相信各位读者已经对Serverless有了一个大致的理解，本文为Serverless安全研究系列的安全风险篇，笔者将从Serverless安全架构介绍出发，对目前Serverless面临的安全风险进行分析解读，并针对每种风险提供相应的攻击实例，希望可以引发各位读者更多的思考。

绿盟科技研究通讯

2020-11-11

3.5K0

RSA 创新沙盒盘点| Securiti.ai——解决隐私合规痛点的一站式自动化方案

自动化企业企业组织数据处理数据库

2020年2月24日-28日，网络安全行业盛会RSA Conference将在旧金山拉开帷幕。在RSAC官方宣布入选今年创新沙盒十强初创公司中，前面已经为大家介绍过了Elevate Security 、Sqreen、AppOmni、Tala Security、ForAllSecure、INKY、BluBracket、Vulcan Cyber八家厂商，今天为大家介绍的是：Securiti.ai。

绿盟科技研究通讯

2020-02-25

1.2K0

鱼和熊掌兼得——隐私保护与价值挖掘之利器

数据安全数据库数据挖掘数据分析

在该系列的第一篇中：《浅析数据安全与隐私保护之法规》，介绍了国内外的数据安全与隐私保护相关法规，如欧盟《GDPR》、美国《CCPA》和中国《网安法》。这些法规保护的个人数据(或个人信息)范畴均十分广泛，且具有严格的约束和规范。在法规指导下，如何更好地满足合规，降低法律风险和隐私泄露风险；同时也能满足业务场景需求。目前存在多种关键技术，场景不同，需求不同，对应的技术也自然不同。本文作为《大数据时代下的数据安全》系列的第二篇：场景技术篇，将介绍四种关键技术：数据脱敏、匿名化和差分隐私和同态加密，并对每一种介绍技术的从场景、需求和技术原理等几个维度进行展开。

绿盟科技研究通讯

2019-12-11

1.3K0

图智能分析利器-Graph Embedding与动态图异常检测

编程算法数据结构 sql 数据库

金融机构每年因欺诈带来的坏账损失每年高达数百万美元。随着在线数据量的增长，骗子的行骗能力也水涨船高，精心设计的骗局、身份窃取、欺诈手段及一些新型的诈骗手段层出不穷，方法复杂且容易广泛复制，当事后发现时，已经太迟了，客户和企业往往已经损失惨重。

绿盟科技研究通讯

2019-12-11

2.7K0

Graph Mining：审视世界的眼睛

编程算法数据库 sql 机器学习神经网络

注：本文内容是是笔者尝试从多年的安全分析经验中抽取图相关的内容总结和外延而来，不求全面深入，但求分享切身体会。

绿盟科技研究通讯

2019-12-11

1.7K0

安全第一步，密钥管理服务

数据分析 SSL 证书 https 网络安全数据库

最近爆出不少公司代码泄露的新闻，像前不久的Bilibili后端代码被上传到Github，大疆因为前员工泄露公司源代码，致黑客入侵造成百万损失。生产环境代码泄露的危害，一方面是业务逻辑被不怀好意的人分析，容易被找出可利用的漏洞，当然更危险的是如果代码里面有一些明文存储secrets、Token、Api Key等，这些内容被别人拿到，服务就很容易遭到致命的攻击，给我们带来不可估量的损失。所以合理存储程序中的secrets是十分有必要的。本文接下来简单给大家介绍解决以上问题方法密钥管理服务（Key Management Service，KMS）以及一款开源的密钥管理工具Vault。

绿盟科技研究通讯

2019-12-11

3.8K0

数据淘金热时代下的隐私问题何去何从——探讨国内外法规下的匿名化概念

网络安全数据安全数据库大数据

在大数据时代，数据采集和存储变得越来越容易。在政府、互联网、运营商、医疗、银行和电力等各行各业的大数据中，或多或少与个人信息有关。比如手机APP收集用户的个人注册，网页浏览息，购物和GPS位置等信息；运营商收集用户注册、电话账单、GPS以及使用流量等信息；医院会记录患者个人基本信息，以及医疗原始数据和诊断等信息。

绿盟科技研究通讯

2019-12-11

1.1K0

点击加载更多

社区活动

RAG七天入门训练营

鹅厂大牛手把手带你上手实战，赢鹅厂证书、公仔好礼！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态