张百川（网路游侠）的博客

　　1操作系统安全加固

　　在操作系统底层利用信任链机制，对系统中所有装载的可执行文件代码（例如，EXE、DLL、SYS、COM等）进行严格的控制，所有可执行文件代码在加载运行之前都需要先经过检验，只有通过验证的代码才可以加载，这种方式可以有效阻止恶意代码的运行，从而有效保障操作系统自身的完整性和可用性不被破坏。

　　验证方法为：首先为系统制定可信白名单，即允许执行代码的hash，在进程装载二进制代码之前首先计算其hash值，并与可信白名单进行比较，不在白名单中的一概不允许执行，这样既可以防止恶意代码运行，又可以防止恶意代码依附其他系统或应用程序运行，确保执行代码的真实性和完整性，同时效率上不会有明显影响。

More...

　　1、什么叫Web应用系统？

　　答：Web应用系统就是利用各种动态Web技术开发的，基于B/S（浏览器/服务器）模式的事务处理系统。用户直接面对的是客户端浏览器，使用Web应用系统时，用户通过浏览器发出的请求，其之后的事务逻辑处理和数据的逻辑运算由服务器与数据库系统共同完成，对用户而言是完全透明的。运算后得到的结果再通过网络传输给浏览器，返回给用户。比如：ERP系统、CRM系统以及常见的网站系统（如电子政务网站、企业网站等）都是Web应用系统。

　　2、Web威胁为什么难以防范

　　答：针对Web的攻击已经成为全球安全领域最大的挑战，主要原因有如下两点：

More...

　　全球领先的Web安全、数据安全和电子邮件安全解决方案提供商Websense宣布，知名的F1赛车队红牛技术公司（Red Bull Technology）选用Websense Web安全网关为其提供实时的Web安全保护，并同时采用Websense数据安全套件保障其关键数据不被泄露。

　　“互联网的快速发展和Web 2.0的兴起，极大地改变了现今的威胁环境。应对Web安全，我们需要解决方案不仅可以保护实时的网络威胁，而且还能阻止各种出站数据泄露，”红牛技术首席信息官表示。红牛科技最初是计划限制所有Web 2.0网站及其相关工具的使用，而Websens的解决方案使他们能够提供给用户更多的自由，并能够在远离安全攻击威胁、违反合理使用政策及业务效率下降等情况下更好的利用互联网和Web2.0的巨大潜力。

More...

　　某安全公司招聘应用安全工程师，承担风险评估、渗透测试和应急响应工作

　　具体要求：

　　1 精通SQL注射、跨站脚本攻击等应用攻击手法；
　　2 熟悉常见脚本语言和数据库，能够进行WEB渗透测试，恶意代码检测和分析；
　　3 熟悉攻击的各类技术及方法，对各类操作系统、应用平台的弱点有较深入的理解；
　　4 分析问题和实际动手能力强，具有良好的团队合作精神；
　　5 具有良好的沟通能力和文档编写能力；
　　5 学历不限；
　　6 有相关工作经验者优先；

　　工作地点：杭州或上海

　　联系方式 QQ:19833355

　　近日，全球知名的高性能Web 2.0安全解决方案领导厂商与高端Web安全设备提供商——Wedge Networks（稳捷网络）宣布，公司高端Web安全设备Wedge Networks BeSecure NDP-2040通过全球着名安全评测实验室Tolly的专业安全测试----并在产品性能和反病毒能力上大幅度领先对比评测厂商Fortinet的FortiGate 3600A UTM，成为具备业界超强反病毒性能的高端Web 2.0安全设备。
　　
　　【Tolly实验室在报告中指出 】
　　
　　“虽然现在的防火墙和统一威胁管理 （UTM） 解决方案能够提供有效的防火墙能力，但要实现全面的防毒检测和良好的吞吐性能，通常需要使用一种与之互补的解决方案，例如稳捷网络（Wedge Networks） 的Web安全设备。”

More...

　　日前，绿盟科技正式宣布，绿盟远程安全评估系统（原“极光”远程安全评估系统，简称NSFOCUS RSAS）针对Web应用安全检查的需求，隆重推出专业的Web应用扫描模块。
　　全新的NSFOCUS RSAS产品Web扫描功能，综合应用了很多业内领先的技术，如模拟点击智能爬虫技术、主动挂马检测及核心调度引擎，为用户提供精准的检测结果及最高效的检测效率。可以应用于网站管理员进行Web上线前安全测试、上线后周期性安全评估以及企业安全管理员进行统一的风险监控与管理。
　　绿盟科技安全专家介绍，相比传统Web扫描器仅局限于提供Web应用层的漏洞扫描，该产品能够为Web应用系统提供最为全面的漏洞检测范围，包含Web应用（SQL注入漏洞、跨站脚本漏洞、CGI漏洞，以及网页挂马等漏洞）、Web 服务及支撑系统（网络层、操作系统层、数据库）等多层次全方位的安全漏洞扫描、审计、渗透测试和辅助逻辑分析。

More...

　　随着网站安全形势的日益严峻，如何保障用户上网安全越来越受到重视。近日，国内信息安全领导厂商启明星辰对全球最大中文搜索引擎百度提供了完整的网站安全服务，在线的所有网页进行全面的网站检查及渗透测试，以保障百度网民的安全访问。
　　此次合作对百度在线众多域名下的几百万网页做一次全面的WEB安全检查。为在当前网站安全事件频繁的敏感时期，做好自主的安全风险掌控，防范于未然。启明星辰专门组织了积极防御实验室（ADLAB）的攻防专家和安星WEB安全服务团队的服务专家，共同参与和实施本次项目。安星是启明星辰在奥运前期推出的标准化安全服务化产品，全面检测网站挂马和WEB安全漏洞，为奥运保障做出了重要贡献。在这一项目中，安星团队负责对百度在线进行了全面的安全普查，攻防专家则针对安星团队发现的问题进行深入挖掘和渗透，做到深度与广度的有效结合，保障了本次网站安全服务的质量和进度。另外，启明星辰专门针对网站、电视台、电台、数字出版及有线网络行业而成立了媒体事业部，这一团队在互联网领域和web安全方面具有丰富的经验和成功案例。

More...

　　相信圈子里面的朋友都知道WebRavor了，如果你不知道WebRavor，你总该知道大名鼎鼎的“流光Fluxay”吧？——是的，Fluxay和WebRavor出自一人之手——小榕。
　　安域领创的网站是没有WebRavor下载的，还好，发邮件要了个下载地址……当然，貌似说的是废话，要不也不会有本文出现了 :)
　　但是，评估版的限制很多了，比如，只能扫描http://demo.webravor.com 让人很是不爽……不过话说回来，要是不做这个限制，貌似又和黑客工具差不多了，作为安全软件，原则上是不允许这么做的。
　　下面看看流程吧，如果熟悉流光，那么对WebRavor也不会陌生：

　　依然是右键增加WEB Server地址，然后选择相关的操作。当然，也可以根据向导进行一个扫描，在下图中可以看到，由于我手头的是评估版本，因此地址栏是灰色的。

　　看下扫描的弱点列表：

　　双击会显示相关的细节，这里就不继续截图了。
　　当然，扫描网站的结构也是WebRavor的功能之一。

　　下面这个窗口随时向我们汇报了WebRavor的工作情况。

　　可以对WEB程序进行评估，当然也少不了数据库……

　　WebRavor可以进行数据库安全审计和渗透测试，相信用过流光的各位都不陌生，估计有些截图可能牵扯到安域领创的技术外泄，就不意义截图了……嘿嘿。
　　总的来说，WebRavor作为一款WEB和数据库安全审计和渗透测试工具，是值得信赖的，也代表了国内此类产品的最高水平，在选择WEB安全评估的时候不妨选择下。
　　没有经过安域领创同意就写了本文，希望不要介意，因为我实在是忍不住向我的朋友们推荐WebRavor。

作者：张百川（网路游侠）
网站：http://www.youxia.org
　　　转载请注明来源！谢谢合作。

　　6月26日消息，思科日前发布了一系列网络安全产品，旨在帮助企业降低网络数据丢失风险。
　　据国外媒体报道，思科表示，将推出两款全新的网络防护设备及一个新的咨询业务，用来遏制企业数据丢失，并提高网络安全。
　　思科希望，新产品可以吸引那些千方百计防范数据泄漏的大企业，尤其把焦点放在大企业的电子邮件安全上，IronPort C660正是一款专门的电子邮件安全设备，系统管理员可以利用该产品执行电子邮件的安全审查，并允许IT人员制定多个措施，以共同防范重要数据的泄露。
　　而另外一款IronPort S660则专门针对网站安全，管理员可以借助它对Web服务进行强制安全审查，审查范围包括社交网站、博客及FTP平台等。

More...

　　近期，一系列全球知名安全大厂的“大佬级”人物频频访华，先有卡巴司基先生来华与成龙高歌，接下来TippingPoint全球DVLabs负责人David Endler在京上演Web攻防秀，之后Symantec在京大摆SMB安全龙门，最后Fortinet 全球总裁谢青递京高调唱多安全市场。无疑，随着这些安全大腕的来访透露出一个信息：中国将会成为汽车市场之后，全球安全界的高增长市场。
　　对此，TippingPoint全球DVLabs负责人David Endler先生在接受本报独家专访时表示，当前全球安全漏洞的发现速度在快速上升，来自中国的Web威胁也在加剧。同样，利用这些漏洞所进行攻击的数量也在上升。这些攻击所采用的技术也更加先进。对于中国的IT管理员来说，他们既要保护好关键数据，又要使网络性能满足要求。因此，发现并且解决这些漏洞正在快速变为一项艰巨的任务。

More...