5 月 26 日，GitHub 披露了 4 月中旬一次安全漏洞的更多调查细节，描述了攻击者如何抓取包括大约 10 万个 npm 用户的详细登录信息。同时，这也显示了在将 JavaScript 包注册中心整合到 GitHub 的日志系统后，GitHub 在内部日志中存储了 “npm 注册中心的一些明文用户凭证”。
2021年2月25日，美国国家安全局（NSA）发布关于零信任安全模型的指南《拥抱零信任安全模型》（Embracing a Zero Trust Security Model）。
随着企业上云和数字化转型升级的深化，数据正在成为企业的核心资产之一，在生产过程中发挥的价值越来越大。
安全性是运行WordPress网站最重要的方面之一。我们中的许多人都倾向于认为黑客不会打扰我们的网站，但实际上，未经授权的登录尝试是在公共互联网上运行服务器的常见部分。
基于生物特征识别术的个人身份识别，生物特征识别技术符合GB/T 27912-2011的规定。此外,还包括下列方面：
随着企业上云和数字化转型升级的不断深化，数据泄露已经发展成为全球最常见的安全问题之一，企业应该如何加强防范，保障自身数据与业务安全？11月6日至7日，由腾讯云主办的首届Techo开发者大会上，腾讯安全正式发布“云数据安全中台”，助力企业以极简的方式，构建端对端的云数据全生命周期安全体系。
在云计算蓬勃发展的当下，云上安全问题无疑变成了头等大事，而AKSK无疑又是云安全问题中不可忽视的一部分。
4月，一个据称包含5亿个LinkedIn用户个人资料的数据档案在某黑客论坛上出售。 现在，研究人员发现一条包含7亿条LinkedIn用户记录的新帖子出现在了地下论坛。 这两个事件中的数据是否存在关联目前还无法确认，但仅从数据量来看，此次泄露的数据至少相比上次有了将近2亿的”新数据“增量。 一个自称GOD User TomLiner的黑客在 RaidForums论坛上出售了数据，并称其中包含7亿条记录。为了表示数据的真实性，该黑客还提供了可查看的100万条记录样本作为“证据”。 研究人员检查了样本后发现，数
在Windows环境中进行远程管理时，确实可能会遇到所谓的“双跳”问题。当我们从一个机器（A）远程连接到另一个机器（B），然后再试图从机器B连接到第三个机器（C），这种情况被称为“双跳”。在这种情况下，你可能会遇到权限或认证问题，因为默认情况下，我们的凭证不会从机器A传递到机器C。
前言 对象存储是云厂商提供的一种用来存储海量文件的分布式存储服务，可用于大规模存储非结构化数据。因为其具有高扩展性、低成本、可靠安全等优点，所以成为许多IT产业向云原生的开发和部署模式转变过程中不可或缺的一部分。 随着云上业务的蓬勃发展，作为云原生的一项重要能力，对象存储服务面临着一系列的安全挑战。纵观近些年来的云安全漏洞，与对象存储服务相关的数据泄露事件比比皆是，以2017美国国防部承包商数据泄露为例： “Booz Allen Hamilton公司（提供情报与防御顾问服务）在使用亚马逊S3服务器存储政
最近我们Sinesafe参加的几家机构的渗透测试防守方防护方案评估复查，部分防守方缺乏对攻击者的正确认知，攻击者的手法已经比较高超了，不扫描，不落地，污染日志等都很普及了。同时也要正确认知对手：攻防演练中，攻击者并非无所不能，他们面临着和防御方一样的问题：时间紧，任务重。所以攻击者的攻击目标，攻击手法也是有迹可循的,知己知彼才能百战百胜。
密码作为我们平时最常使用的用户身份验证方式有其便捷性，但是仔细思考你也不难发现其中存在着较多的安全问题。首先我们的密码是由用户自我定义设置的，期间不排除用户设置弱口令密码或者使用键盘布局的脆弱密码(当然部分考虑安全的系统会制定对应的密码策略对其进行限制)，其次即便我们使用了极为复杂的密码，也不能完全规避"社工钓鱼"和"中间人"攻击等威胁，攻击者可以通过脱浏览器端的凭据信息等方式获取用户的密码，再者就是用户都有一个特征就是"惰性"，很多用户在多个网站可能会使用同一个登录密码，故此攻击者可以通过找寻被泄露的账户密码获取到真实的账户密码信息并实现登录操作，基于以上多个风险层面，我们接下来对用户的身份认证进行简易的探讨并结合业务、测评等维度给出关联的安全设计
作者 | 褚杏娟 近日，知名身份认证管理解决方案提供商 Okta 表示，其私有 GitHub 存储库在本月遭到黑客攻击，Okta 的源代码遭窃取。 早些时候，GitHub 警告 Okta 有黑客对其代码存储库进行了“可疑访问”，并确定该黑客复制了与该公司 Workforce Identity Cloud (WIC) 相关的代码，WIC 是一种面向企业的访问和身份管理工具，使员工和合作伙伴在任何地方工作。 Okta 在本周的一份声明中表示，虽然黑客窃取了 Okta 的源代码，但并未访问 Okta 服务或客户
当地时间7月8日，投资银行公司摩根士丹利披露称，攻击者通过入侵第三方供应商的Accellion FTA服务器窃取了属于其客户的个人信息，导致数据泄露。 摩根士丹利是一家全球型金融服务公司，在全球范围内提供投资银行、证券、财富和投资管理服务。这家美国跨国公司的客户包括超过41个国家的公司、政府、机构和个人。 加密文件连同解密密钥一同被盗 Guidehouse是为摩根士丹利的StockPlan Connect业务提供账户维护服务的第三方供应商，2021年5月通知摩根士丹利，攻击者入侵了其Accellion FT
美国网络安全和基础设施安全局 (CISA) 在上周发布了一份工业控制系统 (ICS) 咨询，对三菱电机 GX Works3 工程软件存在的多个漏洞发出了安全警告。 GX Works3是一种用于 ICS 环境的工程软件，能够从控制器上传和下载程序、排除软硬件故障以及执行相应的操作维护。由于功能广泛，使得该软件平台成为攻击者的一个强有力的”集火“目标，攻击者希望破坏此类系统以控制受管理的 PLC。 在CISA揭露的10个缺陷中，有 3 个涉及敏感数据的明文存储，4 个涉及使用硬编码加密密钥，2 个涉及使用硬编
Jenkinsfile 是 Jenkins 2.x 核心特性 Pipeline 的脚本，由Groovy语言实现。Jenkinsfile一般是放在项目根目录，随项目一起受源代码管理软件控制，无需像创建“自由风格"（Jenkins FreeStyle）项目一样，每次可能需要拷贝很多设置到新项目，提供了一些直接的好处：
随着企业上云和数字化转型升级的深化，数据正在成为企业的核心资产之一，在生产过程中发挥的价值越来越大。而数据安全也成为广大企业和云服务商共同关注的话题之一。 近年来，国内外大规模数据泄露事件频发，数据资产的外泄、破坏都会导致企业无可挽回的经济损失和核心竞争力缺失，数据安全环境日趋复杂。而等保2.0和密码法的相继出台，也对数据安全尤其是加密算法和密码测评提出了更加严格的要求。 数据安全问题既是技术问题，也是管理问题，需要一套行之有效的数据管理策略。针对目前企业现状，腾讯云数据安全服务负责人姬生利在国际信
「 傍晚时分，你坐在屋檐下，看着天慢慢地黑下去，心里寂寞而凄凉，感到自己的生命被剥夺了。当时我是个年轻人，但我害怕这样生活下去，衰老下去。在我看来，这是比死亡更可怕的事。--------王小波」
The OWASP IoT Attack Surface Areas (DRAFT) are as follows:
如今，组织每天处理大量的消费者数据。这些数据的范围从标准——姓名、电子邮件地址等——到个人身份信息，如社会安全号码和银行凭证。虽然此类数据是一种资产，尤其是对于企业而言，但意外泄露并导致敏感数据暴露的代价可能非常高。
2020年，各行各业将继续乘着产业互联网的东风，加速数字化转型升级。 为了更好地为政企客户的安全保驾护航，腾讯安全即日起更新旗下身份安全、网络安全、终端安全、应用安全、数据安全、业务安全、安全管理、安全服务等八类安全产品的命名，致力于打造全栈安全产品“货架”，让客户选购安全产品/服务更加便捷，更快地找到合适的安全产品，从而对自身的安全建设“对症下药”。 高清原图后台回复关键词—— 【腾讯安全产品全景图】即可获取。 更名之后找不到？ 看这份对比索引，找到老配方。 产品原来的名称产品现在的名称DDoS
Termius 是一个跨平台的 SSH 客户端，它允许远程访问服务器并提供安全的终端仿真。它适用于桌面和移动平台，例如 Windows、Mac、Linux、iOS 和 Android。使用 Termius，您可以使用 SSH、Mosh 或 Telnet 协议连接到您的服务器并轻松管理它们。该应用程序还支持密钥身份验证和双因素身份验证以增加安全性。Termius 提供跨设备同步设置和凭据、团队管理以及与 Amazon Web Services 和 DigitalOcean 等流行服务集成等功能。
对攻击和信息泄漏的报导成为世界各地的头条新闻，许多公司从中“学到”了他们的第一堂课：一次广为人知的信息泄漏将对他们的品牌声誉造成严重损害。在所受到的教训中，最大的教训可能是，安全性需要成为任何在线业务的首要考虑因素 - 无论规模大小。
玩个游戏也能被黑客盯上？电脑设备一不小心就沦为“肉鸡”。僵尸网络潜藏在人们的日常生活中，表面看似波澜不惊，实则暗潮涌动。
验证（Authentication）是具备权限的系统验证尝试访问系统的用户或设备所用凭据的过程。相比之下，授权（Authorization）是给定系统验证是否允许用户或设备在系统上执行某些任务的过程。 简单地说： 身份验证：你是谁？ 授权：你能做什么？ 身份验证先于授权。也就是说，用户必须先处于合法状态，然后才能根据其授权级别被授予对资源的访问权限。验证用户身份的最常见方法是用户名和密码的组合。用户通过身份验证后，系统将为他们分配不同的角色，例如管理员、主持人等，从而为他们授予一些特殊的系统权限。 接下来，我们来看一下用于用户身份验证的各种方法。
要保证数据安全和系统稳定可用，我们应当全方位地对系统进行保护，这里主要分为两个层面。
随着供应链攻击威胁与日俱增，全球巨头纷纷出台各种措施，以降低供应链攻击带来的威胁。2022年5月，谷歌就成立了一个新的“开源维护团队”，专注于加强关键开源项目的安全性。 8月29日，谷歌再次出台新的举措，推出了开源软件漏洞奖励计划 (OSS VRP)，是首批特定于开源的漏洞计划之一。奖励金额从100 美元到 31337 美元（约合人民币21万+）不等，以保护生态系统免受供应链攻击。 众所周知，谷歌是Angular、Bazel、Golang、Protocol Buffers 和 Fuchsia 等项目的主要
近日，绿盟科技星云实验室与北京豪密科技有限公司联合推出了一项云攻防技术培训课程。该课程旨在根据客户需求，为客户提供专题培训，帮助客户熟悉常见的云安全架构，并提供云攻防技术理解，同时结合模拟攻击实验提升攻防能力。该课程参与学员涵盖了特殊行业的单位、国企等十多家单位。课程共分为六个章节，分别就云计算基础、云上攻击路径、云上资产发现与信息收集、云服务层攻防、云原生安全攻防以及虚拟化安全攻防进行了详细介绍。
2022年8月10日，思科证实，Yanluowang勒索软件集团在今年5月下旬入侵了公司网络，攻击者试图以泄露被盗数据威胁索要赎金。 对此，思科发言人表示，攻击者只能从与受感染员工帐户相关联的 Box 文件夹中获取和窃取非敏感数据，声称公司及时采取了相应行动进行遏制。 “思科未发现此事件对我们的业务造成任何影响，包括思科产品或服务、敏感的客户数据或敏感的员工信息、知识产权或供应链运营。8 月 10 日，攻击者将此次安全事件中的文件列表发布到了暗网。但思科采取了额外措施来保护系统，并分享技术细节以帮助保护更
在用户使用API发出请求之前，他们通常需要注册API密钥或学习其他方法来验证请求。
网络安全公司 FireEye 今天发布了一份报告，详细介绍了攻入其内部网络的 SolarWinds 所使用的技术。 与该报告一起发布的还有一个名为 Azure AD Investigator 的审计工具 ，FireEye 表示该工具可以帮助公司确定 SolarWinds（也被称为 UNC2452）是否在其网络中使用了任何一种相关技术。 与 FireEye 步调一致，Microsoft 和 CrowdStrike 也对 SolarWinds 供应链攻击进行了深入的调查。SolarWinds 供应链攻击于 2
这些泄露的信息一旦落入恶意行为者手中，则会成为其对汉堡王连锁店实施网络攻击的工具。由于此次遭遇信息泄露的是求职网站，因此那些在法国汉堡王求职的人可能会受到影响。
当今世界，网络空间已成为继陆、海、空、天同等重要的人类“第五空间”。网络空间正在加速演变为各国争相抢夺的新疆域、战略威慑与控制的新领域、国家安全的新战场。密码作为网络空间安全保障和信任机制构建的核心技术与基础支撑，是国家安全的重要战略资源，也是国家实现安全可控信息技术体系弯道超车的重要突破口。
云上身份和访问管理功能简介 身份和访问管理是什么？关于这个问题，Gartner Information Technology Glossary中给出了关于IAM的定义：“Identity and access management (IAM) is the discipline that enables the right individuals to access the right resources at the right times for the right reasons”。与之类似，云上身份
前言 对象存储是云厂商提供的一种用来存储海量文件的分布式存储服务，可用于大规模存储非结构化数据。因为其具有高扩展性、低成本、可靠安全等优点，所以成为许多IT产业向云原生的开发和部署模式转变过程中不可或缺的一部分。 随着云上业务的蓬勃发展，作为云原生的一项重要能力，对象存储服务同样也面临着一系列的安全挑战。纵观近些年来的云安全漏洞，与对象存储服务相关的数据泄露事件比比皆是，以2017美国国防部承包商数据泄露为例： “Booz Allen Hamilton公司（提供情报与防御顾问服务）在使用亚马逊S3服务器
大概很多人和我一样，是从 Istio 那里听说 SPIFFE（读音 Spiffy [ˈspɪfi]） 的，Istio 中用 SPIFFE 方式为微服务提供身份。SPIFFE 全称为 Secure Production Identity Framework For Every one，顾名思义，这是一个解决身份问题的框架；而 SPIRE 则是 SPIFFE 的一个实现，全称为 SPIFFE Runtime Environment。
GitHub 是开发人员工作流程中不可或缺的一部分。无论你去哪个企业或开发团队，GitHub 都以某种形式存在。它被超过8300万开发人员，400万个组织和托管超过2亿个存储库使用。GitHub 是世界上最大的源代码托管服务平台。
本文提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途。
这可能发生在我们任何人身上，并且按照这个速度，各种网络服务器的大量密码字典以惊人的速度将被在线发布（主要是暗网）。可能由于相关的一系列大规模黑客攻击，超过6.4亿个密码已被泄露。
利用已知和未修补的漏洞仍然是威胁行为者惯用的一种策略。从安全绕过、凭据暴露到远程代码执行，软件漏洞始终是网络攻击者入侵系统的有力武器。
我们都知道web程序都有潜在的安全隐患问题，那么SAP HANA XS的JavaScript也是一样，使用服务器端JavaScript编写应用程序代码，也有潜在的外部攻击（和风险）。
前言 云服务器（Cloud Virtual Machine，CVM）是一种较为常见的云服务，为用户提供安全可靠以及高效的计算服务。用户可以灵活的扩展以及缩减计算资源，以适应变化的业务需求。使用云服务器可以极大降低用户的软硬件采购成本以及IT 运维成本。 由于云服务器中承载着用户的业务以及数据，其安全性尤为重要而云服务器的风险往往来自于两方面：云厂商平台侧的风险与用户在使用云服务器时的风险。与用户侧风险相比，平台侧的漏洞往往带来更广泛的影响，例如于2018 披露的AWS LaunchingEC2s did
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
