企业安全文化从根本上说是基于良好的网络卫生（Cyber Hygiene）来建立和发展的，每个企业都必须根据自身实际情况来建立相应的网络卫生标准。企业可以实施许多基本的网络卫生控制措施，以此来降低网络攻击的可能性和影响。因此，网络卫生应该成为所有拥有数字处理环境的企业必备的常规程序，其实每个企业都需要
在2019 年，安全研究人员发现 Atlassian JIRA 中存在安全配置错误，这是一款全球超过 100,000 家组织和政府机构使用的项目管理软件。JIRA 配置错误允许任何人通过简单的搜索查询访问敏感信息，包括企业员工姓名、电子邮件地址和有关内部机密项目的机密详细信息。安全配置错误已成为十分
12月1日，软件供应链安全管理平台 SEAL 0.3 正式发布（以下简称“SEAL”），这是国内首个以全链路视角保护软件供应链的安全管理平台。两个月前 SEAL 0.2 发布，该版本创新性地提供了依赖项的全局汇总与关联，用户可以获得软件开发生命周期各个环节的可见性，进而以全局视角管理软件供应链。基于
在 Log4Shell 高危漏洞事件披露几乎整整一年之后，新的数据显示，对全球大多数组织来说，补救工作是一个漫长、缓慢、痛苦的过程。 根据漏洞扫描领先者 Tenable 公司的遥测数据来看，截至今年10月，超过70%被扫描的企业仍然受到 Log4shell 漏洞（CVE-2021-44228）的影响
通用漏洞评分系统（CVSS）是当前应用最频繁的评分系统以评估安全漏洞的严重性。但是，由于该系统在评估漏洞和优先级排序方面存在不足而遭受批评。因此，有部分专业人士呼吁使用漏洞利用预测评分系统（EPSS）或将 CVSS 与 EPSS 结合来推动漏洞指标变得更加可执行和高效。与 CVSS 一样，EPSS
开源供应链安全对大多数 IT 领导者来说是个日益严峻的挑战，围绕确保开发人员在构建软件时如何使用和管理开源软件 (OSS) 依赖项的稳健策略至关重要。Microsoft 发布安全供应链消费框架 (S2C2F) 是一个以消费为中心的框架，它使用基于威胁的风险降低方法来缓解开源软件 (OSS) 中的安全
源代码是所有软件开发公司最宝贵的资产之一。因此，如果源代码被盗或泄露，可能会对企业的业务造成巨大损失。从长远来看，源代码盗窃可能会对企业的财务和声誉造成不可估量的损失。然而即便是行业领先的企业，也存在源代码被盗或泄露的风险。例如2004年微软 Windows 2000 的源代码被盗，再比如2019年
随着软件供应链攻击的显著增加，以及 Log4j 漏洞带来的灾难性后果和影响，软件供应链面临的风险已经成为网络安全生态系统共同关注的最重要话题之一。根据业内权威机构 Sonatype 发布的2022软件供应链现状报告，在过去三年中，针对上游开源代码存储库的恶意活动，旨在将恶意软件植入软件组件的攻击数量
就像人际关系中人与人之间的关系一样，软件生态系统中包含一个庞大的关系网络。其中一些联系非常深入，而有一些关系则更为表面。但实际上，现代基于开源的软件开发涉及一个极其庞大的依赖关系树，依赖关系层层叠加，同时涉及和包含已知或未知的风险。 Endor Labs 最近的一份报告发现，95% 的易受攻击的依赖
GitOps 是一种自动化和管理基础架构和应用程序的模型，通过许多团队已经使用的相同 DevOps 最佳实践来形成的模型，例如版本控制、代码审查和 CI/CD 流水线。在实施 DevOps 时，我们找到了自动化软件开发生命周期的方法，但在基础设施设置和部署方面，仍然依靠手动过程。借助 GitOps，
在过去的几年中，企业一直忙于应对远程办公模式下的安全要求。展望2023年，疫情局面将与过去3年大不相同。根据目前的趋势，未来一年的网络攻击的数量和严重程度都将增加，这将对各规模企业，尤其是未做好准备的企业产生重大影响。本文将结合 BlackBerry 2022威胁报告的关键结果，谈谈 CISO 们在
在今年9月，Uber 就发生过一起数据泄露事件，尽管黑客并无意发动大规模攻击或以此来获取巨额利益，但其成功获取对 Uber 所有敏感服务的完全管理员访问权限仍令人后怕。而在上周，名为“UberLeak”的用户又在黑客论坛上公开了一个600Mb 的存档文件，其中包含来自 Uber 系统的2000万条数
长期以来，安全问题一直被当作软件开发流程中的最后一步。开发者贡献可以实现软件特性的代码，但只在开发生命周期的测试和部署阶段考虑安全问题。随着盗版、恶意软件及网络犯罪事件飙升，开发流程需要做出改变。 开发过程中的“安全左移”是指将安全问题作为每个开发迭代和冲刺的重要组成部分。诸多组织正在系统地将安全实
在过去几年里，勒索软件一直是企业安全团队关心的头等大事，而当前软件漏洞问题数量也在逐渐抬头。基于云的应用程序和服务的爆发式增长以及数字化工作的增加，对黑客来说是一大利好，他们正在利用开发人员和 DevOps 团队快速迭代的工作来满足他们的企图。有人估计说，过去十年里40%的零日攻击都发生在2021年
随着软件技术的发展，越来越多的企业已经开始意识到 DevOps 文化的重要价值。DevOps 能够消除改变公司业务开展方式，并以更快的速度实现交付，同时创建迭代反馈循环以实现持续改进。而对于金融科技（FinTech）行业来说，拥有一套企业量身定制的 DevOps 流程变得至关重要。因为 FinTec
安全公司 Mend 在 2022 年前九个月发现并添加到其漏洞数据库中的开源漏洞数量比 2021 年增加了 33%，这反映了已发布的开源软件包数量的增长。该报告从 2022 年 1 月到 2022 年 9 月对大约 1,000 家北美公司进行了代表性抽样，结果显示已知漏洞中只有 13% 得到了修复，
1998年，Christine Peterson创造了 “开源软件”这个词。她解释道：“这是刻意为之，为了让其他人更容易理解这个领域”。同年，O’Reilly组织了首届“开源峰会”。 开源软件受到更多人青睐原因在于，用户对软件拥有更多的控制权因为他们可以检查代码。对于长期项目来说，开源软件被认为是稳
Kubernetes （K8s）是现代云原生世界中的容器管理平台。它实现了灵活、可扩展地开发、部署和管理微服务。K8s 能够与各种云提供商、容器运行时接口、身份验证提供商和可扩展集成点一起工作。然而 K8s 的集成方法可以在任何基础设施上运行任何容器化应用程序，这使得围绕 K8s 和其上的应用程序堆
容器凭借其经济高效的优势改变了应用程序的交付方式，随着容器的普遍使用，管理应用程序基础设施的 IT 劳动力和资源也显著减少。然而，在保护容器和容器化生态系统时，软件团队遇到了许多障碍。尤其是习惯于更传统的网络安全流程和策略的企业团队。从理论上来说，容器看起来似乎能够提供更好的安全性，因为容器将应用程
当我们谈及开源漏洞时，我们会发现其数量永远处于增长状态。根据安全公司 Mend 研究发现，在 2022 年前九个月发现并添加到其漏洞数据库中的开源漏洞数量比 2021 年增加了 33%。该报告从 2022 年 1 月到 2022 年 9 月对大约 1,000 家北美公司进行了代表性抽样，结果显示已知
