2022年6月24日，由Layer1公链Harmony开发的，以太坊与Harmony间的资产跨链桥Horizon遭到攻击，损失金额约为1亿美元。
自2020年新冠疫情爆发以来，国内外混合办公模式逐步成为主流，针对远程办公的数据保护问题已成为企业面临的主要问题。这其中，强化身份权限的数字验证、数字认证就成为了降低企业风险的最佳手段。Gartner所发布的2021安全行业八大安全和风险趋势，有两项专门对“身份优先安全”进行了解读。
当前企业运营环节采用外包形式已经越来越普遍了，外包形式能为企业降本增效，但在安全环节，外包往往会成为薄弱的一环。外包团队究竟会为企业带来哪些安全风险？我们又该如何应对外包所带来的问题？本期话题讨论我们以外包开发中的安全风险与应对解决方案为主，就相关问题展开了讨论。 Q：大家认为，对于需要外包开发的项目，整套流程中可能会存在哪些安全风险？比如存在高危漏洞，或者是一些敏感信息泄露？具体应该如何避免？ A1： 我觉得主要是源码，有人会把源码传到自己的代码仓库。 A2： 其实就是代码泄露吧（人为带走或上传敏感代码
DAMA认证的教材，没报考也没报班，但是买了书。一些知识“知道”和成体系往往是两码事，证不证的不重要，含金量如何也不重要，重要的是读书本身就是有收获的。
先说一下为什么最近一直在学Linux的相关内容，其实也并没有偏离之前的想法，对于Linux的运用还是很重要的，如果连运维对服务器做了什么都不清楚还谈什么其他操作。
最近发现大家都在讨论一个人的安全部这个话题，两年前在某A轮互联网公司（80人左右的研发团队）做过一段一个人的安全部的经验就简单分享自己的经验。之前也在FreeBuf看到过很多关于这方面的规划设计的方案，私下觉得这样的规划是建立一些标准的信息安全体系之上的比较全面，真正的落地起来往往需要大量的人力物力和财力，很多一个人的安全部往往没有这么多预算只希望以最小的代价做好安全工作。
公有云领域，用户和供应商之间从陌路到合作仅仅是因为云迁移这一件小事。但是在双方资产、技术、实力都不对等的情况下，如何在公有云层面建立双方的信任是一个值得思考的问题。 公有云信任建立难在哪？ 投入大未
大家好，非常高兴给大家分享《代码安全体系建设》议题，我是汤青松，目前在 SDL 方面做的比较多的。今天讲的这个话题其实和 SDL 有很大关系的。我这次分享这个话题的其实就是 SDL 当中的一部分。很多同学如果在甲方也会去做 SDL 当中的一些工作，所以我希望我这次分享的内容对大家有所帮助。
新年回来不久，便听到来自各方的呼声。审计们看着堆积如山待审合同愁眉不展。 “找合同时常找不到关键信息，找一份合同大概要看5分钟，要是一天找个几十分合同就感觉时间都白白浪费了。” 某司怀疑自己工作价值
获得遵守权对组织是重要的，而这对客户也很重要，因为他们需要依赖组织的合规性认证、评估和审核来做出购买决定。对于规定开展交易要求并最终执行审计的监管者来说，这一点很重要。而且对于组织来说，需要避免遭受昂贵的监管罚款、危险的违规行为，从而导致组织的声誉受损。 随着最好的软件工具转向云端，许多企业都担忧不能充分利用它们。在外部控制系统上维护安全性和遵从性标准可能会让人望而生畏。或者更糟的是，管理者可能会认为，由于服务和数据不在他们的数据中心运行，这让他们有些无所适从。行业机构最近发布了关于云计算安全合规性中的
炎热的7月终于过去，伴随全国大部分地区高温，攻防演练行动也拉开序幕。在7月的话题讨论中，我们探讨了外包与项目安全、攻防演练和钓鱼、内网文件安全、系统日志安全管理与审计等话题，以下是讨论摘录： 话题：外包与项目安全 Q1：外包开发项目整套流程中，可能会存在哪些安全风险？如何避免风险。 A1：外包开发主要的风险在于安全漏洞和信息泄露风险。对于安全级别较高的企业（例如银行）会要求： 1.外包商进驻甲方场地，使用甲方的开发环境和基础设施，内部统一管理源代码 2.对需求和架构进行安全评审 3.使用自动化工具进行
1.针对终端安全风险专项排查，应该如何排查，如何发现终端安全的风险敞口，如数据泄露等问题？
——大数据渗透到各个行业领域，逐渐成为一种生产要素发挥着重要作用，成为未来竞争的制高点。
互联网时代，大数据扮演着极为重要的角色；腾讯作为中国最大社交平台，具备最具权威、代表性的互联网大数据。数据平台部TDW作为公司级的海量数据存储和计算平台，集中了公司90%以上产品（近400款）的核心数据，覆盖全部BG，积累约4000个开发者，如何保障如此之多的用户安全合理地使用这么丰富珍贵的数据？本文将从数据生命周期（传输—>存储—>使用）角度揭密数平的数据安全体系如何为腾讯大数据保驾护航。 1 传输安全 所有数据通过tdbank自动采集接入，只要告诉TDBank数据在哪里，数据是什么，数据要怎么用，TDB
安全，一直是大部分公司想引起重视，又不引起重视的存在。想引起重视的原因是安全问题不断出现，经常会听到某某云厂商的服务器不可用了，某某公司的服务器被入侵了，某某公司的数据库被前员工删了，层出不穷的安全问题让安全人员防不胜防。
中国信息安全、腾讯安全联合实验室及腾讯研究院共同发布《2022产业安全十大趋势》，在“产业安全宏观态势”、“产业安全实践”、“产业安全技术演进”三个维度中，专家们对“技术演进”维度讨论的篇幅最长，着墨最多，行业反响者众。
近日中国科技媒体上市（新三板）第一股虎嗅科技因为拿钱去买理财产品，并且收益率很低，而受到一些人质疑甚至嘲讽。明眼人一看就知道对应文章有些站不住脚，不值得推敲，不过关于创业团队是否该拿钱去买理财产品，倒是一个有意思的话题。 据我了解，拿到融资的创业团队，大概有两种花钱观： 一种是激进式的花钱。很舍得花钱，甚至是烧钱砸钱，融资时说好用一年最后半年就烧光了。办公室必须搬到顶级CBD，椅子都要参考腾讯买一万元一把的，创始人恨不得把小区电梯里面的分众广告都换成自己产品的。这种公司大概又有两个结局：一种是死了，昙花一现
随着近些年针对软件供应链发起的攻击次数越来越多，Google 发布了一系列指南来确保软件包的完整性，目的是为了防止未经授权的代码修改影响软件供应链。
在2018以太坊技术及应用大会上，MakerDAO亚洲区负责人王奇君为与会者分享了题为《MakerDAO：稳定带来繁荣 》的演讲。 王奇君简介： 她曾是4A数字营销广告公司的策略师，也是新东方的雅思
2008年7月3日消息，据国外媒体报道，研究机构Gartner近日发布一份名为《云计算安全风险评估》的报告，列出了云计算技术存在的7大风险。
如果用在软件测试领域，这句话也一点都没错。不管黑盒、白盒，能找出Bug、发现缺陷，保证软件质量才是王道。
堡垒机它还有一个名字叫做运维审计系统，通俗来讲就是对运维人员的访问权限和记录的审计和管理权。使用堡垒机之后，企业可以后台控制哪一些账号可以登录哪些中心和系统，并且记录访问人员在系统中的各种操作，从而达到了追根溯源、随时防范信息风险的目的。所以就需要知道一些堡垒机配置服务器策略，接下来一起了解一下。
文：苏苏 编：大白haha 2010年，Forrester Research分析师John Kindervag提出了著名的零信任理念，随即这种创新性安全理念火遍全球，被认为是行业颠覆性创新理念，必将引领下一代网络信息安全行业。 但命运有时候就是这么不如人意。零信任技术火了十几年，也被吹了十几年，但直到今天，在国内依旧还是处于“叫好不叫座”的尴尬地位。真正掏出真金白银，大规模落地零信任技术的企业，还真没有多少。 那么，问题究竟出在哪里，导致火热的零信任处于类似“人买我推荐，真买我不买”的境遇？对于甲方企业来说
在日渐火热的数据库安全领域，数据库审计应该是应用最为广泛，用户接受度最高的产品了，没有之一。
随着越来越多的企业用户将传统的业务系统迁移至虚拟化环境或是云服务商提供的云平台，数据的泄露及篡改风险变的越发严峻，针对数据安全的防护以及事后审计追溯也变得越来越困难。究其原因，主要是传统的数据库审计解决方案是通过旁路分析目标被审计数据库镜像的流量，而虚拟化环境或者云平台由于内部的虚拟交换机（Vswitch）流量很难镜像或者无法镜像，因此传统的数据库审计解决方案不足以应对虚拟化和云平台的数据库审计需求。
今年很多比较大的互联网公司开始试行SDL落地，但是由于相关资料文档有限，导致落地困难，今天这篇文章就旨在讨论一下企业SDL如何快速落地问题，题主落地SDL时间并不是很长，一两年时间而已，但是一样是从零开始，过程艰难，不论成功与否，一样有所得，写出来大家讨论一下。
随着越来越多的企业用户将传统的业务系统迁移至虚拟化环境或是云服务商提供的云平台，数据的泄露及篡改风险变的越发严峻，针对数据安全的防护以及事后审计追溯也变得越来越困难。究其原因，主要是传统的数据库审计解决方案是通过旁路分析目标被审计数据库镜像的流量，而虚拟化环境或者云平台由于内部的虚拟交换机（Vswitch）流量很难镜像或者无法镜像，因此传统的数据库审计解决方案不足以应对虚拟化和云平台的数据库审计需求。 首先我们对虚拟化及云平台环境中，传统的数据库审计解决方案在典型的几种场景下的优缺点进行解析：
「制品」是指由源码编译打包生成的二进制文件，不同的开发语言对应着不同格式的二进制文件；这些二进制文件通常用于运行在服务器上或者作为编译依赖,“制品的管理”是配置管理的重要组成部分。
测试结果虽然打钩，但是管理方面还是比较简单粗暴而且很多问题。打勾只是表示部分功能可实现。 技术限制问题，给操作系统、数据库、中间件、应用系统开发管理接口、账密接口、认证接口，其实相当难，以单一厂家根本实现不了。操作系统、数据库、中间件、应用程序，如果是商用产品，厂家一般不给你开接口，比如Linux，我测试的几家都是类似RSH方式。
网络安全存在哪些潜伏的威胁呢？一般正常情况下我们会忽略掉那些基础设施的安全提示，因为觉得这个一般不会出现什么大的问题，如果有这种想法那就真的错了，针对网络安全是不可以大意的，只要稍微有点问题就会造成巨大的损失，信息泄露，数据丢失等等。
制品是指由源码编译打包生成的二进制文件，不同的开发语言对应着不同格式的二进制文件；这些二进制文件通常用于运行在服务器上或者作为编译依赖,“制品的管理”是配置管理的重要组成部分。
随着移动互联网技术的迅速发展，企业核心数据泄露、丢失事件频繁发生，给企业、用户造成了巨大经济损失。而企业经常会有这种困扰，明明我已经购买了很多安全防护产品、明明我已经不惜牺牲一部分业务代价去修补漏洞、明明我已经在安全上进行了大量投资，为什么还是会发生这样那样的安全事件。
过年这段时间比较无聊，找了一套源码审计了一下，发现几个有意思的点拿出来给分享一下。
讲师介绍：在互联网电商公司，做质量保障和技术保障10年+，之前在1号店做质量总监和高级技术总监,负责企业信息化平台研发、自动化运维开发、质量保证、工程效率、CI/CD、敏捷开发转型、中间件研发等工作。长期深度参与千人研发团队规模的业务成长、架构演进、敏捷开发转型、工程效能建设、过程改进与度量、软件测试等从0到1、从1到N的多年变革过程和创新实践。担任过多年公司周年庆、双11等大促活动的技术保障总负责人和总指挥。 今天的主题离不开DevOps和敏捷，从质量的角度切入，看看DevOps的生态下质量到底是怎么做的
Defi项目在2019年爆炸式增长，仅在2019年度，锁定的总价值就增加了137.23％。现在，每37.12 ETH 中有1个被锁定在Defi协议中。Defi协议有不同类别，例如借贷协议，稳定币，交易所，安全类代币，保险平台等。由于诸如 Compound[1] 之类的借贷协议受到了最多的关注，因此我们将重点关注这些平台以充分理解其概念， 常见模式及其使用风险。请注意，这些概念不仅适用于贷款协议，还适用于其他类别的类似产品，例如期权协议 Opyn[2]。我们将以非技术性方式讨论这些内容，以使其对新用户友好。
最近我听到了很多关于如何签署开源软件发布的问题。一旦你解决了那些不可能解决的工具/加密问题，你很快就会意识到你仅仅触及了复杂性的表面。这些问题并不都是 OSS 特有的，但是社区驱动的项目确实面临一些超越技术和哲学领域的独特挑战。
早在笔者刚入行的那个时期，安全岗位基本只有两种，WEB安全工程师和Android安全工程师，回忆一下前几年企业出现的风险事件、大多是安全工程师参围绕应用安全漏洞，以及如何在漏洞攻与防之间进行技术博弈。普遍受限于当时年代对安全的认知，很少有人真正关注到用户数据对一个企业真正的重要性。
平常我们线上执行的SQL脚本都是很粗犷的。呼叫一下DBA或者运维，把脚本发过去，然后告诉他在哪个环境执行。然后双方沟通不畅，测试环境的脚本执行到生产了！脚本写的有问题执行错了却没有回滚脚本！或者每个人都有执行SQL脚本的权利，出事之后互相甩锅！等等一系列问题都是胖哥遇到过的。
前言： 之前有人跟我说甲方的安全技术人员不如乙方。但是事实上我了解的却是多数“技术高超” 的乙方人员无法胜任甲方的工作，先别急着反驳 ,我们先来看看技术人员对比。 一、工作内容对比 既然是对比，我们先来看看工作内容。这里我们提到的乙方是指乙方的安服人员。 1. 安全评估： 甲方安全人员比较少，需要的是全能型技术人员，web评估，移动应用评估，物联网产品评测甚至是公司购买产品的评估。相应的，技能熟练度要求相对较低。（技术深度靠众测弥补） 对于乙方而言，技术人员相对较多，需要的是针对性人才，只要精通一个方向的评
大型集团如果对分子公司的管理-业绩-收支等工作的审核稽查工作不及时、流程不透明、数据不精准，就无法第一时间发现管理问题。现在，越来越多集团型组织选择用OA统一内部审计数字化管理平台，高效规范开展内部审计、及时落实整改方案。
开发人员会使用 git 进行版本控制，对站点自动部署。但如果配置不当，可能会将 .git 文件夹直接部署到线上环境，这就引起了 git 泄露漏洞，我们可以利用这个漏洞直接获得网页源码。
在技术和工程领域中，"Safety"（功能安全性）和 "Security"（信息安全保障）是两个关键概念，它们虽然听起来相似，但代表着不同的关注点。尤其是中文翻译，这两个英文单词都被翻译为「安全」一词，所以会让一些人造成一些困惑。
在当今的技术世界中，Linux 操作系统广泛应用于各种环境，包括个人计算机、服务器和嵌入式设备。作为一种强大的开源操作系统，Linux 提供了丰富的安全功能，以保护系统和用户的数据安全。在 Linux 安全领域中，sudo 是一项关键的安全工具，它在用户权限管理和系统保护方面发挥着重要的作用。本文将详细介绍 sudo 的概念、功能和重要性。
我早上打开京东App，开始浏览，选中了一款iPhone13，加入购物车，下单，付款，下午拿到。没办法就是这么快。
2019年，多起重大数据泄露事件几乎席卷全球用户。从上半年的苹果iOS 12.1重大漏洞曝光导致FaceTime通话可被窃听，到以“注重隐私”为卖点的美国邮件服务提供商 VFEmail 积累了近20年的数据以及备份均被黑客销毁，再到后来的英特尔处理器Spoiler高危漏洞曝出、涉5.9亿份中国企业简历信息泄露、Facebook证实4.19亿用户的电话信息被泄出......桩桩接踵而至，毫无喘息间隙。
人们也可以把这些看作是手动/半自动/完全自动，其中半自动和完全自动的区别是需要用户定义属性的工具和除了分流结果外（几乎）不需要用户配置的工具之间的区别。完全自动化的工具往往是直接使用的，而半自动化的工具则需要一些人工协助，因此资源成本较高。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
