安全
修复 openEuler-24.03-LTS-SP3 的 CVE-2025-32463 漏洞
· 3 分钟阅读
随笔
数据库审计和网络审计、应用审计的融合是不可避免的趋势
最近从一些数据库审计的说明来看
和网络审计、业务审计的融合越来越明显了
启明星辰的一直走的就是和业务审计融合的路
绿盟的则一直和网络审计靠拢
汉邦的也是，网络审计+数据库审计
今天拿到帕拉迪数据库审计的一个测试账号
发现也是网络+数据库审计融合了
并且数据库的会话还原的很不错
前几天群里面有朋友问：
是否能让登录数据库系统的账号和业务系统的账号关联？
实际上，绝大多数的数据库审计还做不到这一点
因为业务系统多种多样的复杂性注定无法做固定产品
也许，定制开发也是数据库下一步的一个方向吧
by 网路游侠 https://www.youxia.org
程序
Microsoft SQL Server SA弱口令攻防实战
【51CTO.com 独家特稿】Microsoft SQLServer是一个c/s模式的强大的关系型数据库管理系统，应用领域十分广泛，从网站后台数据库到一些MIS(管理信息系统)到处都可以看到它的身影。我们都知道，在网络中Microsoft SQLServer的入侵最常见的就是利用SA弱口令入侵了，而核心内容就是利用Microsoft SQLServer中的存储过程获得系统管理员权限，那到底什么是
随笔
突然想到2007年在贵州出差的时候吃的2样小吃
2007年去贵州出差呆了差不多半个月，还是很喜欢那边的小吃的
当时没给这两样吃的拍照，网上搜了下：
牛肉粉
实际上这里面是加了一些牛肉粉的，这个图没有
不过当时也吃过这样的，有几片牛肉
汤很好喝，我的感觉是早上特别适合吃这个
软软的米粉，看上去特别容易消化
燃面
是叫“宜宾燃面”的，有点像西安的炒面
上面有花生、肉末，还有好多现在想不起来什么的调味品
宜宾燃面在西安还没找到……
不过家附近有“花溪牛肉粉”，就在小寨西路和朱雀路交叉口
也经常过去吃……不过和贵州的比起来太贵了
当时住在贵阳甲秀楼附近，晚上还可以出来看看甲秀楼的夜景
晚上很多人在附近，我还拍过几张甲秀楼的照片
[贵州 路上 2007-05-29]
[贵州·贵阳·甲秀楼周边 2007-05-26]
随笔
本周买的几本书，感觉还不错 推荐下
本周买的几本书（当然黑防是杂志了）
感觉还不错的，给大家也推荐下 呵呵
黑客防线 2009.6
越来越偏向于编程了，这没错，但是显然，越来越不适合我阅读了
-----
网络营销实战密码
在网上看到评价不错，买来看看，很适合中小企业的老大阅读的书
-----
黑客渗透笔记
冰的原点的作品，满世界都在推荐。如果想做WEB安全可以看看
-----
信息安全测评与风险评估
里面的表格蛮多的，给客户做评估可以直接照猫画虎……嘿嘿
安全
数据泄露审计发现了什么
当波士顿的一家中型制药公司的IT经理第一次被要求参加一次数据泄露审计时，他感到非常兴奋。他认为审计将发现公司数据泄露防线存在的薄弱环节，然后他能够利用审计结果获得用于购买安全资源的资金。
令人震惊的数据
这位IT经理说：“数据泄露是个在负面事件发生前得不到很多关注的领域。你最大的希望就是当你引起人们对数据脆弱性的担心时，一些人会看到允许你采取行动，保护数据的价值。”
可是他得到的结果超出了他的预期。长达15天的审计共发现了11000次潜在的数据泄露，暴露了IT团队在安全实践中存在的漏洞。
...
安全
涉密计算机系统口令字使用管理指南
(1992年10月17日国家保密局发布国保[1992」50号）
计算机、外设、辅助硬设备和软件构成计算机系统。系统可以是单台计算机，可以是由单台计算机和多个终端构成的多用户系统，也可以是几台计算机相互连接的局域网，还可以是由几台计算机用通信线路相互连接的远程通信网等。
具有口令字功能的计算机系统处理国家秘密信息，必须使用口令字对用户的身份验证和确认，使用单位要有专职或兼职系统保密员，负责日常的口令字管理工作。
一、系统保密员
负责给新增加的用户分配初始口令字；指导用户正确使用口令字；检查用户使用口令字情况；帮助用户开启被锁定的口令字，对非法操作及时查明原因；解决口令字使用过程中出现的问题；协助用户保护国家秘密不受侵害；定期向主管领导和单位保密机构
...
安全
非涉密计算机信息系统信息发布与传输保密管理规定
非涉密计算机信息系统信息发布与传输保密管理规定
第一条 为加强和规范非涉密计算机信息系统信息发布、传输的保密管理工作，确保国家秘密信息的安全，杜绝内部信息外泄，根据《中华人民共和国政府信息公开条例》、泰山区《非涉密计算机信息系统信息发布与传输保密管理规定》等有关法律法规，结合我区教育系统实际，制定本规定。
第二条 本规定所称非涉密计算机信息系统是指不用来采集、存储、处理、传递、输出国家秘密信息的计算机信息系统。它包括直接或间接与国际互联网连接的计算机网络系统和单机系统、政务内网及没有加密设施的局域网等。
第三条 非涉密计算机信息系统禁止以任何形式发布或传输涉及国家秘密和工作秘密的信息。
第四条 非涉密计算机信息系统信息发布、传输的保密管理工作坚持“谁上网
安全
非涉密计算机信息系统信息发布保密审查规定
南京信息工程大学非涉密计算机信息系统信息发布保密审查规定（试行）
访问次数 447 添加时间： 2008-6-18 11:38:44
--------------------------------------------------------------------------------
为加强我校非涉密计算机信息系统信息发布的保密管理，确保国家秘密安全，根据国家有关保密法规，结合我校实际，特制定本规定。
第一条 非涉密计算机信息系统是指为实现信息的共享、交流而建立的非涉密计算机网络联结及信息发布系统，包括我校个人、单位（以下简称用户）所建立的国际互联网站、内部非涉密网站、电子论坛、BBS网站、FTP网站等。
...
安全
计算机的保密防范措施
计算机的保密防范主要从技术、行政和法律三个方面着手：
1．技术防范
（1）使用低辐射计算机设备。这是防止计算机辐射泄密的根本措施，这些设备在设计和生产时，已对可能产生信息辐射的元器件、集成电路、连接线和CRT等采取了防辐射措施，把设备的信息辐射抑制到最低限度。
（2）屏蔽。根据辐射量的大小和客观环境，对计算机机房或主机内部件加以屏蔽，检测合格后，再开机工作。将计算机和辅助设备用金周屏蔽笼（法拉第笼）封闭起来，并将全局屏蔽笼接地，能有效地防止计算机和辅助设备的电磁波辐射。不具备上述条件的，可将计算机辐射信号的区域控制起来，不许外部人员接近。
...
安全
计算机网络系统安全保密技术
计算机网络系统安全保护的目的是保密保护敏感信息、秘密信息和重要数据、以及计算机/网络资源。
系统安全需要实现三个目标：
● 保密性 ：信息和资源不能向非授权的用户或过程泄漏
● 完整性 ：信息和资源保证不被非授权的用户或过程修改或利用
● 可用性 ： 当授权用户或过程需要时，信息和资源保证能够被使用
实现安全保密须采取的措施：
● 鉴别 ：证实用户的方法
● 认证 ：验证用户的过程
● 授权 ：依据用户的身份，授予其对于网络 / 资源访问权限的过程
...
安全
从萨班斯（SOX）审计谈安全域解决方案
随着萨班斯(SOX)法案内控审计要求的出台，提升了IT控制在企业内部控制中的重要性，对电信运营商IT设施的安全性提出了更高的要求，如何改进 IT控制和完善IT治理，电信运营商的CIO们，面临着更大的挑战。潜心关注电信行业安全并不断创新的北京启明星辰信息技术有限公司结合多年在安全领域的丰富经验与最佳实践，推出了针对电信运营商SOX内控的安全域划分及边界整合解决方案，即：按照安全等级和网络风险的级别重
安全
保密技术与保密技术工作
一、保密技术的涵义
保密技术是指防止国家秘密失窃和泄露的保障技术。从广义上讲，保密技术可指一切防止秘密泄露的防护保障技术。这里所指的秘密不但包括国家秘密，而且包括各种社会团体、企业组织的工作秘密及商业秘密，甚至包括个人的秘密和个人隐私。但保障国家秘密的安全，乃是保密技术的首要任务。
保密技术是保密工作的一项重要内容和重要手段，是其它保密手段无法替代的，如行政管理手段、法制管理手段和宣传教育手段等等。同时，现代保密技术又是一门新兴的边缘科学，涉及面广，与现代科学技术关系密切，是很值得认真研究和探讨的。
...
随笔
网路游侠博客近期流量的一点分析
颜色的高低，就是流量的高低，这个图是用CNZZ统计的
可以看出来自新疆的流量还是比较高的
也难怪，有朋友说：新疆政府+兵团，一般政府采购都一套，新疆2套！
其它的就比较正常了，不过重庆的也很多，有点意外……
下面的是51.LA的统计，按照城市的
基本上，都在资阳、齐齐哈尔轴线的东南侧
几个IP来源较多的城市：
北京及周边、重庆、上海及周边、广州及周边。
很意外的，两张图中，来自新疆的流量对比差距比较大……
此图也反映了国内信息安全和安全保密发展的一些现状
安全
涉密移动存储介质保密管理系统
涉密移动存储介质的管理是控制国家秘密知悉范围的重要环节，一些单位涉密移动存储介质管理混乱，不标注密级、明密不分、随意存放，维修、销毁缺乏监督，随意拷贝、携带外出等问题十分突出。根据国家有关保密规定，涉密移动存储介质应由单位统一发放，并建立严格的登记、使用、销毁等技术措施和管理制度；与非密载体严格区分，不能既处理涉密信息，又用来上互联网；要严格控制携带移动存储介质外出，带出工作区要经过单位批准；
随笔
看看某“十大品牌企业”对安全保密行业的理解
前几天在某业内知名网站看到了某号称圈子内“十大品牌企业”的广告，其中有这么一句“用户对内网安全的需求也从简单地为审计而审计的强安全审计到将事后跟踪和事前控制相结合的主机审计方向转变，再到内网综合安全防护方向发展。”
看到这里挺想笑：他们的理解是“主机审计＞强审计”了？
无论是怎么在网上搜，强审计也是汉邦提出的理念……于是某些“后起之秀”就开始动脑子了，但是怎么看本文开头的这句话那么别扭！——建议先去看看强审计包括的范围吧！
强审计=主机审计（包含打印机审计、文件审计、IP和MAC审计、操作系统日志审计、拨号审计等）+网络审计（包含入侵检测、上网行为审计、协议审计）+数据库审计（包含MS SQL、Oracle、DB/2、Infomix、MySQL等数据库类型，支持网络和本地操作）+服务器审计（Windows、Unix、Linux、AIX、Solaris等）+网络运维审计（路由器、交换机等）+存储审计（各种存储设备），目前甚至提出了数字证书业务审计。当然还可以有无线接入审计、无线入侵行为审计、无线信号状态审计……等等好多。
希望某些厂家做事踏实一些，并且不要在政府机关组织的培训会上口口声声“我们组织聚会，经常有国家XX局的人士到场”。撇开真假不说，你们这种态度，就很值得鄙视！
另外某厂家也鹦鹉学舌出了“主机强审计”系统，搞笑……本身就在理念上落后了，好歹你也独创个词汇啊，还“主机强审计”，继续学……