腾讯云开发者社区-腾讯云

开发者社区

文档建议反馈控制台

最新优惠活动

文章/答案/技术大牛

发布

绿盟科技研究通讯

专栏作者

510

文章

637472

阅读量

88

订阅数

洞见RSA 2023：所有开发者都应该知道的5个开源安全工具

开源安全 rsa 工具开发者

开发者在开发代码的过程中，都会担心代码、依赖、项目打包成的镜像是否存在安全问题。而RSAC 2023议题《5 Open Source Security Tools All Developers Should Know About》，则推荐了5个开源的安全工具，覆盖代码扫描、依赖检查、基础设施扫描、容器扫描、运行时扫描5个方面。

绿盟科技研究通讯

2023-08-31

3420

【公益译文】了解、预防、修复：开源漏洞讨论框架

开源安全网络安全

2021年2月3日，谷歌安全博客（Google Security Blog）发表题为《了解、预防、修复：开源漏洞讨论框架》的文章，旨在解决开源软件漏洞问题，本文翻译了该框架内容，供广大读者参考。

绿盟科技研究通讯

2023-02-22

3720

Tetragon – 盯向内核的眼睛

开源 kubernetes linux

eBPF（extended Berkeley Packet Filters）起源于BPF，是一套通用执行引擎，提供了直通Linux内核的可编程通用能力。自Linux内核3.18版本后BPF扩展了 Berkeley 数据包过滤器等一系列特性，此后版本被称为eBPF，而之前的版本则被区分为cBPF。如图1 所示，由于新特性的加持，eBPF的架构设计得到更新，eBPF也注定在更多场景中发挥更大的价值，同时也由于eBPF比cBPF执行得更快等原因，cBPF在新的内核中也基本被废弃[1]。

绿盟科技研究通讯

2023-02-22

3630

开源软件供应链安全系列：OSS风险点与预防

开源安全网络安全安全漏洞存储

Verocode研究结果表明[1]，在开源组件仓库中70.5%的代码库存在安全漏洞，而这些安全漏洞风险46.6%是由其他开源项目直接、间接引进所导致的。超过96%的产业机构在其开发实现的软件应用代码库中使用开源组件。由于开源体系安全意识的淡薄以及代码重用的盛行，这一比例将持续扩大。

绿盟科技研究通讯

2023-02-22

1.1K0

2022年度安全事件观察报告：2022年度安全事件观察报告：开源框架组件面临重重危机

安全网络安全开源企业

近日，绿盟科技发布了《2022年度安全事件观察报告》（以下简称《报告》），深入整理与分析了2022年处理的安全事件，并结合国内外重要安全事件，从安全事件的角度分析2022年的安全态势。本篇为《报告》解读系列的第一篇，将从探究2022年漏洞威胁的现状及发展趋势，为广大企事业客户、安全运维人员等应对漏洞威胁提供指导。

绿盟科技研究通讯

2023-02-22

5680

开源软件安全性分析

开源安全网络安全

开源软件（Open source software, OSS）是指一种可查看、可修改的公开计算机程序，它对我们今天的软件开发产生了巨大的影响。从宏观分析，几乎所有的应用程序都会应用第三方开源软件，复杂的软件间调用和不同软件版本上下游依赖形成了一条多个软件和多层依赖关系的供应链。然而，在开源软件带来高效开发的同时，也带来了快速增长的软件漏洞的安全问题。对于那些有意破坏网络安全环境的人或组织而言，针对软件供应链的攻击是一个极具吸引力的切入点。本文将从两方面出发，先对本年度的开源安全现状进行分析和说明，然后针对软件生态系统中存在的安全问题，总结了多种开源软件的安全研究动态。

绿盟科技研究通讯

2023-02-22

7140

DevOps风险测绘之代码篇

安全 devops git github 开源

DevOps是Development和Operations组合的缩写词，它指的是一种协作方法，使企业的应用程序开发团队（Development team）和 IT 运营团队（Operations team）能够更好地沟通工作，DevOps的概念有助于使技术项目与业务需求保持一致，从而提高企业整体的工作效率[1]。如图1所示[2]，DevOps流程主要会涉及8个步骤，分别是：计划（PLAN）、编码（CODE）、编译(BUILD)、测试(TEST)、发布(RELEASE)、部署(DEPLOY)、运营(OPERATE)和监控（MONITOR）。

绿盟科技研究通讯

2022-11-14

6450

RSAC解读：如何安全地使用CI_CD工具

开源漏洞扫描服务 bash 自动化测试

2022年的RSA会议上，来自Coalfire的副总裁和首席战略官Dan Cornelld的议题《What Executives Need to Know about CI/CD Pipelines and Supply Chain Security》从使用CI/CD管道的安全性出发，首先向各位观众讲述了什么是CI/CD管道，并提出我们为何需要关注CI/CD使用过程中的安全风险，之后Dan Cornell面向安全从业人员以及DevSecOps实施人员讲述了使用CI/CD需要注意的安全风险，包括源代码仓库安全接入CI/CD管道可能引发的风险，引入第三方开源依赖库的风险，项目代码在构建测试、部署、打包、分发过程中面临的安全风险。最后，Dan Cornell提出了相应的安全建议并给出了未来6个月的具体DecSecOps实施计划。

绿盟科技研究通讯

2022-11-14

5900

RSAC议题解读｜真实云安全事件复盘与思考

github git 开源黑客

2022年RSAC会议上，云安全厂商Mitiga的CTO Ofer Maor带来了题为It’s Getting Real & Hitting the Fan! Real World Cloud Attacks的主题演讲。该演讲回顾了五个真实的云安全事件，并提出了针对性的防护策略。本文将对该演讲进行解读。

绿盟科技研究通讯

2022-11-14

5080

从Falco看如何利用eBPF检测系统调用

https 网络安全 github git 开源

eBPF是一项革命性的技术，可以在操作系统内核中运行沙盒程序。它用于安全有效地扩展内核的功能，而无需更改内核源代码或加载内核模块。通过允许在操作系统中运行沙箱程序，应用程序开发人员可以运行eBPF程序，以便在运行时向操作系统添加额外的功能。然后，操作系统保证安全性和执行效率，就像在实时(JIT)编译器和验证引擎的帮助下进行本机编译一样。这导致了一波基于eBPF的项目，涵盖了广泛的用例，包括下一代网络、可观察性和安全功能。

绿盟科技研究通讯

2022-06-06

2.2K0

安全知识图谱 | 绘制软件供应链知识图谱，强化风险分析

开源知识图谱安全网络安全

本文为安全知识图谱技术技术白皮书《践行安全知识图谱，携手迈进认知智能》精华解读系列第七篇，介绍了知识图谱相关技术如何在软件供应链安全领域应用。

绿盟科技研究通讯

2022-01-21

9140

《云原生安全：攻防实践与体系构建》解读：动手实践篇

kubernetes 网络安全安全开源容器

在《〈云原生安全：攻防实践与体系构建〉解读：攻防对抗篇》中，我们为大家介绍了《云原生安全：攻防实践与体系构建》书中精彩的攻防对抗技术与案例。事实上，无论是对于一线负责攻防的同学，还是对于相关安全研究的同学来说，实践是掌握这些技能、理解这些威胁及设计合理防御机制的关键。纸上得来终觉浅，绝知此事要躬行。本篇，我们就为大家梳理一下本书中可以供各位同学动手实践的部分。我们也建议大家，在有需求、有条件的情况下，能够跟随本书，敲下一行行命令，感受其中的奥妙。

绿盟科技研究通讯

2021-11-10

2.3K0

联邦学习技术发展研究及政策建议——《网络安全技术和产业动态》总第14期

联邦学习迁移学习机器学习隐私计算开源

联邦学习（Federated Learning，FL）又名为联邦机器学习（Federated Machine Learning），是一种具有隐私和敏感数据保护能力的分布式机器学习技术。在联邦学习技术的应用中，有两个及以上的参与方，各个参与方之间不直接共享原始数据，而是通过安全的算法协议实现“数据不出本地域”的联合机器学习建模、训练以及模型预测。

绿盟科技研究通讯

2021-11-10

8370

Serverless安全研究 — Serverless概述

DevOps 解决方案容器开源

在“云”的概念还没有产生之前，开发者购买物理机，并在其上部署应用程序，企业将购买的机器放置数据中心，其网络、安全配置均需要专业的技术人员管理，在这种高成本运营模式下，虚拟化技术应运而生。

绿盟科技研究通讯

2020-09-08

2K0

【云原生技术研究】从bpftrace看如何利用eBPF实现内核追踪

node.js linux github git 开源

bpftrace提供了一种快速利用eBPF实现动态追踪的方法，可以作为简单的命令行工具或者入门级编程工具来使用。本文以bpftrace为例，介绍如何利用eBPF实现内核的动态追踪。

绿盟科技研究通讯

2020-09-01

1.8K0

CodeQL漏洞挖掘实战

编程算法 github git 开源安全

CodeQL是一个白盒源码审计工具，它以一种非常新颖的方式组织代码与元数据，使研究人员能够“像查询数据库一样检索代码”，并发现其中的安全问题。GitHub于去年收购了开发CodeQL的公司Semmel，并与其联合成立了GitHub Security Lab，Semmel在此前推出了面向开源社区和企业的源代码分析平台LGTM，这个平台能够自动化的发现并预警GitHub上开源软件的安全问题，同时，与CodeQL一样对开源社区与开发者保持免费。

绿盟科技研究通讯

2020-06-16

4.6K0

主流云原生微服务API网关成熟度与安全功能对比分析

kubernetes spring 开源 api 微服务

在整个微服务架构中，API网关充当着非常重要的一环，它不仅要负责外部所有的流量接入，同时还要在网关入口处根据不同类型请求提供流量控制、日志收集、性能分析、速率限制、熔断、重试等细粒度的控制行为。API网关一方面将外部访问与微服务进行了隔离，保障了后台微服务的安全，另一方面也节省了后端服务的开发成本，有益于进行应用层面的扩展。与此同时，API网关也应具备解决外界访问带来的安全问题，例如TLS加密、数据丢失、跨域访问、认证授权、访问控制等。本文尝试分析目前主流的云原生微服务API网关成熟度以及各自具备的安全功能，并比较各自带来的优劣，尤其在安全层面上，开源软件都做了哪些工作，是否全面，若不全面我们又该如何弥补。

绿盟科技研究通讯

2020-01-02

2.9K0

没有更多了

社区活动

腾讯技术创作狂欢月

“码”上创作 21 天，分 10000 元奖品池！

Python精品学习库

代码在线跑，知识轻松学

博客搬家 | 分享价值百万资源包

自行/邀约他人一键搬运博客，速成社区影响力并领取好礼

技术创作特训营·精选知识专栏

往期视频·千货材料·成员作品最新动态