本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途。
实施数据安全治理的组织，一般都具有较为发达和完善的信息化水平，数据资产庞大，涉及的数据使用方式多样化，数据使用角色繁杂，数据共享和分析的需求刚性，要满足数据有效使用的同时保证数据使用的安全性，需要极强的技术支撑。
大家好，我们是红日安全-Web安全攻防小组。此项目是关于Web安全的系列文章分享，还包含一个HTB靶场供大家练习，我们给这个项目起了一个名字叫 Web安全实战 ，希望对想要学习Web安全的朋友们有所帮助。每一篇文章都是于基于漏洞简介-漏洞原理-漏洞危害-测试方法（手工测试，工具测试）-靶场测试（分为PHP靶场、JAVA靶场、Python靶场基本上三种靶场全部涵盖）-实战演练（主要选择相应CMS或者是Vulnhub进行实战演练)，如果对大家有帮助请Star鼓励我们创作更好文章。如果你愿意加入我们，一起完善这个项目，欢迎通过邮件形式（sec-redclub@qq.com）联系我们。
中安威士数据库动态脱敏系统(简称VS-DM)，通过截获并修改数据库通讯内容，对数据库中的敏感数据进行在线的屏蔽、变形、字符替换、随机替换等处理，达到对用户访问敏感数据真实内容的权限控制。对存储于数据库中的敏感数据，通过脱敏系统，不同权限的用户将会得到不同结果展现。系统支持旁路代理和直路代理两种部署方式，具有性能卓越、配置灵活、使用简单、运行稳定等优势。能帮助客户降低生产库中敏感数据泄露的风险，减少开发、测试和数据交付过程中的数据泄漏，轻松满足隐私数据管理的合规性要求。
如果您要显示敏感数据，例如。钱包金额，或者只是当登录表单显示插入的密码清晰时（想想眼睛图标..），当您不在应用程序中时，您必须隐藏敏感数据。
日前，eBay公司隆重宣布正式向开源业界推出分布式实时安全监控引方案—— Apache Eagle，该项目已正式加入Apache 称为孵化器项目。Apache Eagle提供一套高效分布式的流式策略引擎，具有高实时、可伸缩、易扩展、交互友好等特点，同时集成机器学习对用户行为建立Profile以实现实时智能实时地保护Hadoop生态系统中大数据的安全。 背景 随着大数据的发展，越来越多的成功企业或者组织开始采取数据驱动商业的运作模式。在eBay，我们拥有数万名工程师、分析师和数据科学家，他们每天访问分析数PB
本篇不从DBA、网络架构层面来讲述数据安全，这部分有很专业的架构和云上产品来解决，本篇重点从开发人员角度讲述如何避免数据安全的漏洞。
本文提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途。
在大数据平台中，有海量数据存储，通畅在采集数据过程中敏感数据有意或者无意的进入大数据平台中，数据安全管理非常重要。我们不希望一些敏感数据被他人访问，希望可以按照一种规则给部分人访问权限，以防止数据泄露，针对数据安全管理可以使用Apache Ranger实现。
在数据经济时代数据要素已经成为了企业重要资产，对于企业不同的业务部门来说，每时每刻不在通过共享数据方式进行业务协作。一些企业会将大量的敏感客户数据、订单数据拷贝到开发、测试、数据分析环境，但并没有采取任何对数据脱敏的措施。这将面临重大的监管及数据泄露风险。为了保证数据在企业内外部依法依规使用，需要相应的数据脱敏技术来实现对敏感数据的保护。
作者丨Samuel Greengard 编译丨维克多 机器学习已经成为各行各业的宝藏工具，常被用来构建系统，帮助人们发现那些容易忽略的细节，并辅助决策。尽管已经取得了惊艳的结果，但是也有很多痛苦，例如如何在已经成型的模型中修改、删减某些模块或者数据记录？ 有学者表示，在大多数情况下，修改往往意味着重新训练，但仍然无法避免纳入可疑数据。这些数据可能来自系统日志、图像、客户管理系统等等。尤其是欧洲GDPR出台，对模型遗忘功能提出了更高的要求，企业如果不想办法将会面临合规处罚。 确实，完全重新训练的代价比较高，也
近期，OpenAI的首席执行官Sam Altman重回董事会的消息引领了科技新闻的头条，这标志着人工智能领域的一个里程碑事件。Sam Altman同时当选为“TIME时代周刊”2023年度最佳CEO。2023年，我们见证了AI技术的巨大飞跃，特别是在大型语言模型的发展上，ChatGPT 4.0以及国产大语言模型凭借不断发展的技术能力，不断推动各行各业的技术革命。
Bleeping Computer 网站消息，美国佐治亚理工学院的研究人员公布了一种针对苹果 M 系列和 A 系列芯片进行侧信道攻击的方法，并将其命名为 iLeakage，利用该攻击方法可以从 Safari 网页浏览器中提取敏感信息。
每个渗透测试的目标都是识别应用、服务器或网络中的可能缺陷，它们能够让攻击者有机会获得敏感系统的信息或访问权限。检测这类漏洞的原因不仅仅是了解它们的存在以及推断出其中的漏洞，也是为了努力预防它们或者将它们降至最小。
通常大家测试的都会测试关键部分，为了有更好的测试效果，小厂会提供给你用户名密码；但是一些比较重要的企业，而这个环境却是正式环境，里面存放着一些数据不希望被你看到的时候，是不会提供给给你登录账号的。这个时候，考验你基础知识是否扎实的时刻来临了。
我想作为一个信息安全从业者，无论是在渗透测试、代码审计亦或是其他安全服务中都会接触到各种各样的漏洞。把这些漏洞进行简单分类可能能够得到几十类漏洞，当然几乎所有的漏洞类型在common Weakniss Enumeration都有相应的描述。
昨天傍晚盘古实验室负责任的披露了针对 iOS 应用的 ZipperDown 漏洞，并提供了检索、查询受影响应用的平台： zipperdown.com。基于目前公开的信息，该漏洞的影响面比较大，15000 多个应用可能受此漏洞影响。 并且，结合应用中的其它安全缺陷，可以在某些应用上获得远程任意代码执行能力，即：远程控制目标应用，危害也较大。由于目前官方没有公开 ZipperDown 的详细信息，所以这里会跟大家分享、探讨一下针对 iOS 应用的防守策略以及针对具体功能点的防守方法。
BootDo是在SpringBoot基础上搭建的一个Java基础开发平台，MyBatis为数据访问层，ApacheShiro为权限授权层，Ehcahe对常用数据进行缓存。
并非所有数据都是平等的。在当今复杂的数字世界中，试图以同等的力量保护每一个数据资产既不可行也不明智。由于手头有数 TB 甚至 PB 的数据，数据安全团队需要变得更加复杂 - 他们需要数据分类。
漏洞详情：Hadoop是一款由Apache基金会推出的分布式系统框架，它通过著名的 MapReduce 算法进行分布式处理，Yarn是Hadoop集群的资源管理系统。此次事件主要因Hadoop YARN 资源管理系统配置不当，导致可以未经授权进行访问，从而被攻击者恶意利用。攻击者无需认证即可通过REST API部署任务来执行任意指令，最终完全控制服务器。
权限使用、代码防护和数据安全是应用安全的三个主要维度。在上篇文章中，我们已经对应用如何调用权限进行了解读，本文将重点介绍代码安全和数据保护。
在OC 开发中使用C 语言实现算法相关的功能，来保障代码的安全性。iOS 的底层是用 C C++ 实现的，编译之后生成的大都是 subroutine， class-dump 拿它没办法，只能使用IDA工具。
6月的研究报告《揭示真正的GenAI数据暴露风险》分析了超过10000名员工，主要研究员工如何在工作场景下使用ChatGPT和其他生成性AI应用程序。
为每一个HTTP事务（一个事务定义为一个请求和其相应的响应）分配一个唯一的ID并在包括在日志信息里面。
2014年年末，索尼影视遭遇史上最大规模的入侵，5部未上映的电影资源泄露，直接造成的经济损失就达数亿美元。然而潜在的经济损失更为严峻，敏感商业信息和内部员工几十千兆字节的敏感数据一同被盗，随之员工便遭到黑客组织GOP的恐怖威胁。 至于攻击者背后真正的主谋是谁，一时间众说纷纭。美国方面指责是朝鲜黑客所为，因为索尼影视一部未上映的电影——《刺杀金正恩》中的故事情节有损金正恩的形象；还有一部分人指责是俄罗斯的黑客所为。到底主谋是谁？所为何因？至今不得而知…… 事件发生之后，趋势科技的专家发现索尼员工电脑屏幕上
早在笔者刚入行的那个时期，安全岗位基本只有两种，WEB安全工程师和Android安全工程师，回忆一下前几年企业出现的风险事件、大多是安全工程师参围绕应用安全漏洞，以及如何在漏洞攻与防之间进行技术博弈。普遍受限于当时年代对安全的认知，很少有人真正关注到用户数据对一个企业真正的重要性。
可以在客户端从设置 > 访问工作和学校 > 连接到 <Tenant> 的 Azure AD > 信息 > 创建报告生成诊断报告
这并不夸张:任何公司都可能成为网络犯罪的受害者。有关网络攻击的报告来自政府机构、教育和医疗机构、银行、律师事务所、非营利组织和许多其他组织。
低代码/无代码开发平台提供了一个通过图形用户界面创建应用软件而不是传统的手工编码计算机程序的开发环境，这种平台减少了传统手工编码的规模，从而加快了商业应用程序的交付，而随着低代码/无代码开发平台激增以及被组织广泛使用，产业界提出了一个明确而紧迫的需求，即建立依赖此类平台开发的应用程序相关的安全和隐私风险意识
前言 这几天学校开始选毕业设计，选到了数据脱敏系统设计的题目，在阅读了该方面的相关论文之后，感觉对大数据安全有了不少新的理解。 介绍 随着大数据时代的到来，大数据中蕴藏的巨大价值得以挖掘，同时也带来了
企业数据安全治理，除了熟悉法律法规条文，信息采集最小化，服务入口明确隐私协议外，更多的是需要建设内部基础能力，如数据识别、分类分级、数据加密、权限管控等数据安全的基础能力。 本文数据为中心的理念，围绕数据识别、分类分级、基础防护几个方面，结合开源软件做一次梳理和功能演示，希望能帮助有需要的人员对数据安全有个直观的了解。 在数据识别基础上，建立数据资产大盘，实现数据资产风险识别、监测、运营的资产全生命周期管理； 在数据分类分级的基础上，对不同数据资产进行分类、分级，将优势资源投入到关键资产的安全防护上； 在数
在安全领域，识别系统被破坏、滥用或错误配置的最成熟方法之一，是收集系统用户和自动化服务执行的所有活动的日志，并分析这些日志。
中安威士数据库审计系统（简称VS-AD），是由中安威士（北京）科技有限公司开发的具有完全自主知识产权的数据库审计产品。该系统通过监控数据库的多重状态和通信内容，不仅能准确评估数据库所面临的风险，而且可以通过日志记录提供事后追查机制。主要功能包括：敏感数据发现、性能监控、风险扫描、数据活动监控等。支持旁路、直连、软件探针等多种部署方式。
信息爆炸的时代，几乎每个公司——尤其是互联网公司——积累的数据正在像滚雪球一般越积越多。
Ø 工作任务：所有合作产品版本需根据安全规范，在需求、设计、开发、测试、发布阶段落实安全要求，确保满足华为产品网络安全规范的要求。
上线短短七个月，GenAI即令全球各地的科技和商业领袖们为之瞩目，浮想联翩，甚至担心害怕。这项技术将对生产力水平和利润率产生怎样的影响在高管们看来是显而易见。布鲁金斯学会预测，未来10年，GenAI有望将生产率和产出提高18%。
数据作为新型生产要素，占据着国家战略资源地位。然而，层出不穷的数据泄露事件也给数字化转型中的企业带来巨大风险和巨额损失的可能性。
Debezium是一个分布式平台，它将您现有的数据库转换为事件流，因此应用程序可以看到数据库中的每一个行级更改并立即做出响应。Debezium构建在Apache Kafka之上，并提供Kafka连接兼容的连接器来监视特定的数据库管理系统。Debezium在Kafka日志中记录数据更改的历史，您的应用程序将从这里使用它们。这使您的应用程序能够轻松、正确、完整地使用所有事件。即使您的应用程序停止(或崩溃)，在重新启动时，它将开始消耗它停止的事件，因此它不会错过任何东西。
2017年7月，Equifax用户数据泄露事件使得1亿4千300万个人信息（包括社会保障号码、出生日期、地址、驾照编号）和20万9千个用户的信用卡数据被盗。该事件直接导致1.43亿美国人的个人信息的破坏和泄露。CEO Richard Smith在数据泄露之后直接提出辞职，公司股价跌幅超过8%，市值蒸发35亿美元。
微软发布 OpenAI 端到端聊天参考架构基线。该基线包含了与组件、流程和安全性相关的信息，还提供了关于性能、监控和部署指南的详细信息。此外，微软还准备了用于部署和运行解决方案的参考实现。
Github 类的代码平台是个研发和安全人员的大宝库，阿里云效平台的代码权限事件历历在目,密码泄露到公开代码平台的事件层出不穷，为企业内外部的各种源代码管理系统（gitlab\stash\github\gitee）做好合理配置是新生事物。开发各种 github 敏感信息监控工具均属于事后管理，做好安全配置和培养员工良好的习惯才是安全管理的重中之重。
团队最近频繁遭受网络攻击，引起了技术负责人的重视，笔者在团队中相对来说更懂安全，因此花了点时间编辑了一份安全开发自检清单，觉得应该也有不少读者有需要，所以将其分享出来。
近年来数据泄漏的事件层出不穷，网上可以搜到大量的数据泄漏新闻。从业者也都明白，数据泄漏只是一个结果，而原因有很多种，可能是一个越权漏洞，也可能是一个弱口令，有N种可能都会导致泄漏。传统的数据安全保障体系为什么没能有效遏制数据泄漏？是方法论出错了，还是执行不到位？带着这个问题，笔者研究了两家云服务厂商，试图从框架上寻找可借鉴的地方。结论是，有可借鉴的地方，但仍然不足以保证数据安全。
总第538篇 2022年 第055篇 数据安全最大的挑战是高速扩张前提下，解决数据暴露性问题。Token化让安全成为数据默认属性，让安全性随数据自动扩展，从根本上解决效率和安全合规的矛盾，实现设计安全和默认安全。本文主要介绍了Token化方案、Token化安全性实现以及美团所做的一些工程实践和经验分享。 0. 引言 1. 数据科技对安全的挑战 2. Token化-数字世界银行体系 3. Token化方案介绍 3.1 什么是Token化 3.2 Token化基本设计 3.3 Token生成逻辑 3.4 T
团队最近频繁遭受网络攻击，引起了部门技术负责人的重视，笔者在团队中相对来说更懂安全，因此花了点时间编辑了一份安全开发自检清单，觉得应该也有不少读者有需要，所以将其分享出来。
随着数据量的生成以及保护其关键信息的需求，数据安全状况管理 （DSPM） 不再是企业的必需品。DSPM 是一种数据优先方法，用于在数据高度碎片化的不断变化的环境中保护数据。DSPM 使组织能够通过自动执行静态和动态数据分析来增强其安全状况，以提供数据编目、数据流图、风险管理以及事件检测和响应。通过 DSPM 检测和管理风险，组织可以保护其数据、避免数据泄露并确保遵守相关法规（如 GDPR）。
大数据时代，数据是基础，业务是核心，数据安全则必然需要与业务形态有所关联，因此，数据安全和边界类的网络安全正逐渐划分开来。自2017年6月网安法实施以来，配套的法律法规也陆续出台，要求越来越高，力度越来越大，加之正在制定的《数据安全法》和《个人信息保护法》，数据安全已成为数字化转型的必要基础能力。 从整体信息化的发展来看，数据安全被重视相对是滞后的，大多行业都是信息系统已经运行了好多年，基于此开展数据安全相关工作，难度还是很大的。尤其是行业里针对高敏感数据的管控，例如明星数据、高级别领导数据、高管
今年6月1日，教育部《未成年人学校保护规定》指出，学生的考试成绩、名次等学业信息，学校应当便利学生本人和家长知晓，但不得公开，不得宣传升学情况。 如何帮助教师做好成绩管理、发布与传递等工作？ 腾讯教育推出智能成绩管理工具“企鹅成绩”。 智能管理成绩 实现批量录入与分数分析 面向老师端，企鹅成绩可以实现教师批量协同录入成绩。不需要统一模板上传，选择导入表格后，系统就可以智能识别表格信息。 同时支持多位教师在线共同编辑一个成绩单表格，提升工作效率。 在成绩报告管理方面，企鹅成绩支持生成年级报告、班级报告、个人
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
