王峰。曾就职于北京拓尔思，任山东区技术总监，山东米迦勒联合创始人，现就职于中安威士。拥有多年数据治理、数据安全相关工作经验。
这一年，蓝鲸平台从自动化运维平台，重新定义为研发运营一体化平台，实现了CI、CD、CO的IT管理全生命周期的打通。
大数据时代带来了无法量化的变革，但与此同时，也带来了数据和信息安全的隐患。此前，小安曾解读过GDPR，今天，小安再次带领各位小伙伴，探究中国版的“GDPR”——《个人信息安全规范》。
未知攻焉知防,警察想要抓小偷,就该先摸透小偷的想法,才能更快捷的抓到小偷毕竟小偷抓小偷更容易。网络安全的攻与防，好比“矛”与“盾”，要想不被“矛”轻易刺穿，不仅需要了解“矛”的作战方式，同时也要不断强化“盾”的防御能力。谨以此文讨论一下在红蓝对抗场景下几个关键的技术点的二三事
尤其是在节前高峰等重要时间点，提前进行风险和容量评估等工作显得更为重要和紧急，而如何利用巡检信息进行综合研判也就显得更有价值。
中安威士数据库审计系统（简称VS-AD），是由中安威士（北京）科技有限公司开发的具有完全自主知识产权的数据库审计产品。该系统通过监控数据库的多重状态和通信内容，不仅能准确评估数据库所面临的风险，而且可以通过日志记录提供事后追查机制。主要功能包括：敏感数据发现、性能监控、风险扫描、数据活动监控等。支持旁路、直连、软件探针等多种部署方式。
中安威士数据库漏洞扫描系统是在综合分析了数据库访问控制、数据库审计、资源管理、数据库加密以及数据库系统本身安全机制的基础上，深入研究了数据库系统本身存在的BUG以及数据库管理、使用中存在的问题后而设计出了一套专业的数据库安全产品。本系统通过读取数据库的信息与安全策略进行综合分析，在查出数据库中存在的漏洞后自动给出详细的漏洞描述、漏洞来源及修复建议、并提供完整的数据库漏洞报告、数据库安全评估报告。用户据此报告对数据库进行漏洞修复，大限度地保护数据库的安全。
近年来，随着Internet的快速发展，各个行业均已进入信息化时代，金融业在中国20世纪70年代就已起步；20世纪80年代已经进入推广应用阶段，陆续引进了美国、日本等先进的信息设备；90年代各大专业银行等信息系统纷纷升级，紧跟国际信息化脚步，引进国外先进技术，不断提高自身信息化水平；到90年代末，整个世界进入一个信息技术高速发展的互联网时代，而金融行业作为中国信息化先进水平的代表则面临着前所未有的机遇和挑战。
MySQL数据库的性能调优是数据库管理员和开发者们必须面对的挑战，而性能关键的方式在于参数的调优，其中 innodb_lru_scan_depth 是不可忽视的一项。今天我们一起了解这个参数，探讨如何通过调整它来优化数据库性能。
漏洞扫描技术是指利用已有的漏洞数据库，使用扫描+匹配的方式对计算机系统进行脆弱性检测，从而实现漏洞发现的一种安全防护手段，漏洞扫描的结果可以用于指导网安的管理人员及时处理系统中的漏洞，防患于攻击之前。
在数字化日益发展的今天，随着互联网的普及和深入，网站安全已成为企业、组织乃至个人都必须高度重视的安全问题。而网站漏洞作为威胁网站安全的重要因素之一，其类型多种多样，不仅可能导致数据泄露、系统崩溃，还可能为黑客提供可乘之机，对网站运营者造成巨大的经济损失和声誉损害。
在现代软件开发中， 我们会使用一些公共镜像作为基础镜像来快速构建我们的应用镜像，并将其部署到生产环境中。
由于网站管理员运维不当，可能会将备份文件、数据库配置文件等敏感文件存放在WEB目录下公开访问，攻击者可以轻松地访问这些敏感文件，从而了解系统的配置细节、密码信息、数据库凭据等重要数据，扩大的攻击面。
1 项目背景 近几年医院信息化迅猛发展，正逐步建立统一高效、资源整合、互联互通、信息共享、透明公开、使用便捷的医疗信息系统。医疗信息系统互联互通的实现，使其面临的外部安全威胁也日益增长；同时，由于内部安全意识淡薄以及管理制度的缺失，易导致来自内部的人为误操作或蓄意破坏、信息窃取等问题。随着医疗改革的逐步深入，国家层面也出台了相关政策及法律法规，在这种情况下，如何保证信息安全是医院信息化建设必须解决的关键问题之一。 2 解决方案 数据安全是整个医疗单位网络安全防护工作的核心。安恒信息数据安全智能防护管
信息搜集对于后续的渗透测试至关重要，信息的完整性决定着能否挖掘出网站漏洞，本篇文章将从几个方面讲解信息搜集的思路及技巧和具体的防范方法。
上一篇文章我们介绍了邮箱发现的工具、手段和方法，从今天开始我们会逐步介绍保障邮箱安全的服务方式，大家可以根据文章描述的层面和角度自行管理，当然，由于整体工程的复杂性、逻辑性以及专业性，还是建议您选择安恒信息的技术服务专家为您提供贴身安全服务。 网络与主机漏洞与配置扫描是一种安全事件发生的事前行为，是邮箱安全的最基础工作，本篇文章将主要介绍具体手段、方式以及内容。 邮件服务器主机漏洞扫描是指基于漏洞数据库（CVE、CNNVD、CNVD、OWASP、网络或博客公开的漏洞以及安恒信息研究团队发现的0day等），利
— Broadcast：在局域网内探查更多服务器端开启情况的脚本，如DHCP、DNS、SQLServer等。
前言 对于发现资产中已知漏洞、配置不当等问题的工具，大家习惯性称之为“漏洞扫描”工具，但随着技术演进，很多工具越来越智能，逐渐具备分析总结能力，因此将它们称为“漏洞评估”工具似乎更准确。 大多数漏洞评估工具都能覆盖常规漏洞，例如OWASP Top10，但一般都各有所长。常见的区分维度包括部署灵活性、扫描速度、扫描准确度以及与流程管理、代码开发等平台的整合性。如果不考虑license的限制和成本，很多团队都会选择同时部署多款工具。本文推荐的开源工具能与主流的流程管理平台集成，输出包含优先级的处置分析报告
数据库是存储关键信息、支持业务运营和分析决策的基石。然而，数据库的复杂性——研发效率低、安全管控难、变更不稳定、数据管控难，和对其稳定性、安全性的极高要求同样使得它们成为企业 IT 结构中的一个脆弱环节。通过数据库规范的建设，NineData平台目前已支持100+规范，覆盖60种数据源，已审核800万 SQL，实现3万条 SQL 1秒审核完。详细的实践方法和细节，请参阅文章正文。
容器镜像安全是云原生应用交付安全的重要一环，对上传的容器镜像进行及时安全扫描，并基于扫描结果选择阻断应用部署，可有效降低生产环境漏洞风险。容器安全面临的风险有：镜像风险、镜像仓库风险、编排工具风险，小德今天就跟大家聊一聊镜像风险中的镜像扫描。
开源对软件的发展可以说具有深远的意义，它帮助我们共享成果，重复使用其他人开发的软件库，让我们能够专注于我们自己的创新，它推进了技术的快速发展。据不完全统计78% 的企业都在使用开源，但是其中有多少企业关注第三方开园依赖的安全呢？其中仅有13% 将安全作为第一考虑因素。可喜的是仍然有50% 的企业将安全列为第二或第三位考虑因素，越来越多的公司开始重视第三方依赖的安全性。
未授权访问漏洞可以理解为需要安全配置或权限认证的地址、授权页面存在缺陷导致其他用户可以直接访问从而引发重要权限可被操作、数据库或网站目录等敏感信息泄露。
随着网络技术的不断发展，网站安全问题日益受到人们的关注。当前随着技术发展，网站存在一些常见的可能被攻击者利用的漏洞，而在众多网站安全漏洞中，XXE（XML External Entity）漏洞是一个不容忽视的问题。今天我们就来分享了解一下关于XXE漏洞的概念、原理以及日常上有哪些可以措施可以防护网站安全。
漏洞评估的四步指南 这是一个建议的四步法，使用任何自动或手动工具启动有效的漏洞评估流程。
随着企业越来越意识到数据安全的重要性，DSPM市场正在迅速扩大。Gartner在其最新的“数据安全炒作周期”报告中，将术语“数据安全态势管理”解释为新兴的解决方案类别。在该定义中，Gartner 强调 DSPM 解决方案使您的企业能够：
安全行业大模型（SecLLM）可以应用于攻防模拟中，大模型的突出能力将帮助防御团队了解攻击者的策略，提高防御的针对性，给出防御策略和规划等建议，整合多种安全防御措施形成多层次、多角度的全面防御体系。
孙子兵法中曾讲到“知己知彼，百战不殆”。在攻防实战开始之前，充分了解自身安全状况是防守蓝队在备战前不可或缺的重要一步，从资产梳理、风险排查、安全管理等各方面有序进行，确定公司企业自身的安全防护能力，能够为后续工作提供强有力的支撑。下面就防守蓝队备战前的准备工作进行简要叙述。
近日，腾讯云安全运营中心监测到，宝塔面板官方发布通告，披露了一个数据库管理未授权访问漏洞，漏洞被利用可导致数据库管理页面未授权访问。 为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。 漏洞详情 宝塔面板存在未授权访问漏洞，利用该漏洞，攻击者可以通过访问特定URL，直接访问到数据库管理页面，从而达到访问数据库数据、获取系统权限、进行危险操作等目的。 风险等级 高风险 漏洞风险 攻击者可利用该漏洞访问特定URL，从而直接访问到数据库管理
“本项目案例由 云集至 投递并参与由数据猿&上海大数据联盟联合推出的“行业盘点季之数智化转型升级”大型主题策划活动之《2021中国企业数智化转型升级创新服务企业》榜单/奖项的评选。
安全性在信息时代的关键性是不可忽视的，随着科技的迅猛发展和数字化转型的推进，信息已成为现代社会最宝贵的资产之一。在这个背景下，数据库作为信息存储和管理的核心枢纽，其安全性显得尤为重要。以下是安全性在信息时代的关键性的几个方面：
您是否知道高达90％的应用程序通常包含第三方组件，主要是开源软件？您是否知道全球500强中超过50％使用易受攻击的开源组件？
互联网时代，由数据库引发的安全事件越来越多，数据库防火墙作为保护数据库安全必不可少的防御工事，也越来越受到企业关注。
因此随着各大云厂商的云平台的发展，越来越多的企业在尝试将自己的应用从本地机房迁移上云。
根据互联网安全公司Imperva过去五年收集的数据显示，几乎一半公司的内部数据库存在已知漏洞，而平均每个脆弱的数据库都有26个公开披露的漏洞，其中一半以上是关键或高危漏洞。
利用开源项目，快速实现Github代码监控，及时发现员工将公司代码托管到GitHub的行为并预警，能够降低代码泄露风险。
在最近的工作中，需要对新开发的Nodejs系统进行代码安全review，于是便有了这篇文章。关于Nodejs的安全问题，可能涉及到SSJS注入（服务端JavaScript注入）和身份认证，以及Http头相关的安全设置等安全隐患。为了提高效率，找到了一款python写的代码审计工具NodeJsScan，这里也将主要介绍Nodejs代码审计的一些安全参考及部署、使用过程。在此之前，还是想先分享一些技术之外的东西，不如先来品尝一下开胃菜吧。 1、一起读书 ---- “无论在什么情况下，我都决意要保持喜悦与快乐，
“删库跑路”作为调侃程序猿的梗一直以来广为流传，但是当真的发生的时候，犹如黑天鹅降临，瞬间业务全线停摆，造成难以估量的损失。在SaaS领域举足轻重的服务提供商微盟，就刚刚经历了这样一场没有硝烟又争分夺秒的战争。 一周前，微盟部署在自建MySQL数据库上的核心业务数据，被微盟某运维人员用一种让程序员闻风丧胆的Linux系统下文件删除命令，整体进行了不可逆的删除。更残酷的是，备份数据也一起删除了。 所有微盟平台上的用户和商家业务因此被迫停滞了一周，而服务没有恢复的每一分每一秒都是收入和用户的损失，这次删库
有关 WordPress 安全性的文章其实已经有很多了，但是明月感觉随着技术的迭代发展， WordPress 安全也在不断的面临考验，好在 WordPress 官方一直保持着及时有效的漏洞修复更新，这是众多网站平台系统很少能保持的，也是 WordPress 至今还长盛不衰的原因之一。
发现：一共开放两个端口，80为web访问端口，3389为windows远程登陆端口，嘿嘿嘿，试一下
美国国家安全局（NSA）的一项研究表明，一般的应用安全测试工具（各种扫描器或渗透测试工具）的漏洞发现率只有14%左右（可搜索“NSA调查称全球没有一款漏洞扫描工具真正有效”了解更进一步的信息）。
互联网运维工作，以服务为中心，以稳定、安全、高效为三个基本点，确保公司的互联网业务能够7×24小时为用户提供高质量的服务。 运维人员对公司互联网业务所依赖的基础设施、基础服务、线上业务进行稳定性加强，进行日常巡检发现服务可能存在的隐患，对整体架构进行优化以屏蔽常见的运行故障，多数据中接入提高业务的容灾能力，通过监控、日志分析等技术手段，及时发现和响应服务故障，减少服务中断的时间，使公司的互联网业务符合预期的可用性要求，持续稳定地为用户提供务。 在安全方面，运维人员需要关注业务运行所涉及的各个层面，确保用
联网运维工作，以服务为中心，以稳定、安全、高效为三个基本点，确保公司的互联网业务能够 7×24 小时为用户提供高质量的服务。
互联网运维工作，以服务为中心，以稳定、安全、高效为三个基本点，确保公司的互联网业务能够 7×24 小时为用户提供高质量的服务。
“是的，你我从未谋面，但是你的一切我都知道，你喜欢逛的网站、爱看的电影、常叫外卖的那家餐厅......”
NISTIR8011第4卷按步骤详细描述了安全控制措施的自动化评估过程，这些评估为特定评估范围（目标网络）内的漏洞管理提供了支持，并将结果应用于该网络内所有授权范围内的评估。还提供了一个流程用以评估（诊断）和响应所发现的漏洞。本文所述的与VUL能力相关的自动化控制测试与NIST的其他指南一致。
2018年5月，据国外媒体报道，安全研究人员 Troy Mursch 发布了一份新报告，展示了虚拟货币挖矿代码 Coinhive 入侵大量可信赖网站的过程。Mursch 发现 Coinhive 代码运行在近400个网站上，其中不乏各类有影响力的网站，Mursch 认为这些网站是因为存在漏洞才有了被嵌入挖矿代码的机会。 ——节选自互联网 当数字货币里的财富被越来越多的人发掘，黑客不会漏过这一致富机会，他们将目标锁定为存在漏洞的网站，植入挖矿脚本在这些网站后，让你的网站偷偷为他“掘金”，从而坐收渔翁之利。 其实
网上关于代码扫描的介绍无一不是在推荐基于语法语义分析的代码扫描工具，典型的代表就是fortify、Checkmarx。总结起来观点无非是, 目前市面上有基于正则表达式和基于语义分析的两种检测方式，基于正则表达式的传统代码安全扫描方案的缺陷在于其无法很好的“理解”代码的语义，而是仅仅把代码文件当作纯字符串处理。静态扫描商用产品都运用了语义分析、语法分析等程序分析技术静态分析层负责对代码文件进行“理解”，完成语义、语法层面的分析。能进行完整数据流分析，通过分析污点传播进行漏洞判定。
*本文作者：ipenox；本文属 FreeBuf 原创奖励计划，未经许可禁止转载。
在设计IAST时，我们可能会遇到一些困境。这些困难不仅仅来自于技术层面，而且可能来自于架构基础的局限。 IAST的模式 IAST模式可能有很多，如果目前就笔者之前接触过的场景，大致分为以下几种： 代理扫描模式 镜像旁路模式 插桩扫描模式 IAST其实并不算是单一产品，简单来说它是借助多个实体的联动，通过主被动发包，最后进行命中结果判定的安全产品。 代理扫描模式 这种模式的流量一般是定向的，在代理处可以通过数据包打标进行隔离。如果数据包有特征标记，是很难触发引擎的错误判定的。 但是这里的问题在于，代理扫描如果
12月07日，Grafana被曝出存在0day漏洞，漏洞细节及POC也随之被公开，攻击者利用该漏洞可以在未授权的情况下读取主机任意文件。云鼎实验室哨兵系统持续关注云上安全风险，于12月08日凌晨第一时间捕获到该漏洞的在野利用。 一、漏洞概述 Grafana是一套跨平台的开源分析和交互式可视化解决方案，用户配置连接的数据源之后，Grafana 可以在网络浏览器里显示数据图表和警告。 2021年12月03日，Grafana官方收到一份报告，称Grafana容易受到目录遍历的影响。 12月07日下午15:14，
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
云直播
