风险预警|安芯网盾可实时防护Atlassian Confluence 高危漏CVE-2022-26134
近日，Atlassian官方发布了Confluence Server和Data Center OGNL 注入漏洞（CVE-2022-26134）的安全公告，远程攻击者在未经身份验证的情况下，可构造OGNL表达式进行注入，实现在Confluence Server或Data Center上执行任意代码。...
- 10阅读
- 12阅读
安芯网盾获公安部感谢信，在网络安全专项行动中表现卓越
近日，公安部向安芯网盾发出感谢信，以表彰安芯网盾在2021年公安部网络安全专项行动中，支持网络安全保卫工作所做出的积极贡献。 作为国内首家落地的内存安全领域的安全厂商，安芯网盾充分发挥自身在高级威胁检测与响应方面的优势，积极响应并组织专业的技术专家团队，全面支持本次专项行动，深入贯彻执行公安部行动部...
- 17阅读
内存安全周报第94期 | 针对Linux环境的恶意软件正在增加，这六类手法应当注意
针对Linux环境的恶意软件正在增加，这六类手法应当注意（5.30） 近年来，越来越多网络犯罪分子将目标对准了基于Linux的系统。根据VMware最近的一份报告，他们的目标通常是渗透企业和政府网络，获取关键基础设施。攻击者利用易攻破的身份验证、未修补的漏洞和服务器错误配置等。 详细情况 针对Lin...
- 28阅读
漏洞通告 | Atlassian Confluence存在远程代码执行漏洞，悬镜云鲨RASP天然免疫防护
近日，Atlassian官方发布了一则安全更新，通告了一个严重且已在野利用的远程代码执行漏洞CVE-2022-26134，攻击者利用该漏洞，无需任何条件即可在Confluence中执行任意命令。 该漏洞利用难度极低，影响范围广泛，同时利用方式已经公开，接下来将会有更多在野利用事件发生。悬镜建议企业自...
- 24阅读
直播回顾 | 车企环境下SDL开发安全建设实践
汽车行业不断加快数字化转型进程，在促进业务增长与升级的同时，使得企业不得不直面与正视更加严厉的合规监管要求、更加严峻的应用安全现状、更加迫切的信息安全诉求。这样的形势使得软件安全不再能仅靠安全产品或检测工具保证，而需要更加彻底更加坚决的解决方案。 悬镜安全受AutoCS 2022智能...
- 23阅读
RASP技术进阶系列（一）：与WAF的“相爱相杀”
用什么来保护Web应用的安全？猜想大部分安全从业者都会回答：“WAF（Web Application Firewall, 应用程序防火墙）。”不过RASP（Runtime Application Self-Protection，应用运行时自我保护）横空出世，似乎有取而代之的意味。 长期以来，防火墙一...
- 18阅读
安芯网盾技术专栏 | RASP技术知多少
RASP全称为“Runtime application self-protection”，即“运行时应用程序自我保护”。Gartner 在2014年应用安全报告里将 RASP 列为应用安全领域的关键趋势。 RASP是一种内置或链接到应用程序环境中的安全技术，与应用程序融为一体，实时监测、阻断攻击，以...
- 36阅读
用DecoyMini部署业务系统蜜罐
蜜罐在近几年的攻防实战演习中大放光彩，它作为欺骗防御的重要技术，是主动防御的主要方法，也是实战由被动向主动转变最有效的手段，用好蜜罐可有效提升网络安全防御能力。蜜罐的核心是仿真能力，所能提供的仿真能力和用户环境贴合度越高诱捕效果越好。因此蜜罐在部署时，往往都需要根据部署环境对蜜罐仿真的各类对象和数...
- 15阅读
内生安全免疫，代码疫苗关键技术剖析
嘉宾 | 宁戈 编辑 | 徐杰承 审校 | 莫奇 悬镜安全CTO宁戈做客51CTO直播间 代码疫苗技术，是一种能够通过运行时插桩技术进行应用漏洞检测及安全防护的新一代安全技术，其所涵盖的IAST技术与RASP技术，已连续数年被Gartner列在十大安全技术之内。 在不久前的【T·TALK】系...
- 39阅读
IDC Innovator | 悬镜安全入选IDC DevSecOps技术创新者
近日，全球知名咨询公司IDC（International Data Corporation）发布了《IDC Innovators: 中国DevSecOps技术，2022》报告（加个链接，链接到IDC那篇）。悬镜安全被评选为IDC中国DevSecOps技术创新者，这进一步验证了悬镜在软件供应链安全领域...
- 37阅读
资产清点如何做到可查可控可见
一、为什么要做资产梳理 面向互联网的系统暴露的信息越多，如端口、后台管理系统、与外单位互联的网络路径等信息，越容易被攻击者盯上。攻击者往往不会正面攻击防护较好的系统，而是通过一些单位机构自己都未记录或防护不严的信息资产发动攻击。因此需要对单位机构资产进行梳理，资产梳理后可以确定主机漏洞、弱口令扫描、...
- 20阅读
腾讯专访 | 子芽：代码疫苗技术，赋能数字化应用内生安全自免疫
“DevSecOps市占率持续领先，IAST探针覆盖率十倍增长，代码疫苗技术已成功帮助上千家行业用户成功抵御‘Log4j2.x’等重大未知漏洞的利用攻击。”子芽向腾讯云启的采访者透露道。 这是2021年悬镜安全交出的一张成绩单。悬镜安全是DevSecOps敏捷安全领导者，子芽是这家企业的创始人。 &...
- 31阅读
权威认证闭环 | 国内首家DevSecOps体系全栈产品通过CWE国际兼容性认证
CWE（Common Weakness Enumeration，通用缺陷枚举），由美国国土安全部下的US-CERT（美国计算机安全应急响应组）资助，是全世界最早和相对权威的软件安全漏洞模式库。通过CWE国际兼容性的认证，表明该项技术和产品能够比较友好地支持国际上主要漏洞（缺陷）模式的检测和分析。“C...
- 66阅读
【案例分享】烟草行业数据安全治理的探索与实践
随着移动互联网、大数据、云计算等信息技术的高速发展，数字经济已成为我国经济高质量发展的重要驱动力。各行业在保障经济稳定增长的基础上，把全面推动自身数字化转型作为现阶段发展规划的主线和战略重点。作为我国国民经济体系的重要组成部分之一，烟草行业当前正处于重要的战略转折时期。由于消费群体规模的庞大性和市...
- 72阅读
涉密信息系统集成资质管理办法
国家保密局令 2020年第1号 《涉密信息系统集成资质管理办法》已经国家保密局2020年11月13日局务会议通过，现予公布，自2021年3月1日起施行。 局 长：田静 2020年12月10日 涉密信息系统集成资质管理办法 第一章 总 则 第一条 为了加强涉密信息系统集成资质管理，确保国家秘密安...
- 190阅读
“商密”市场风起，深度剖析“密评”的前世今生
众所周知，密码作为网络安全的核心技术和基础支撑，是构建网络信任体系的重要基石。而密评工作是对网络和信息系统中商用密码应用的合规性、正确性和有效性进行检测与评估。若想真正厘清密评工作的意义和内容，还是要着重回顾一下我国商用密码管理的发展历程。 01 商用密码管理发展简述 1999年10月，《商用密码管...
- 40阅读
企业该如何保障数据库安全？昂楷有妙招！
随着《数据安全法》、《个人信息保护法》、《关键基础设施保护条例》和《信息安全技术 个人信息安全规范》等相关法律法规相继出台，国家对数据安全提升到了更高的层面。 同时，因个人隐私信息的泄露、滥用对公民生活造成极大的困扰和损失，公民对个人隐私信息保护的诉求变得越来越强烈。 企业作为数据使用和运营的主体，...
- 36阅读
云隙大揭秘|构建云原生环境下东西向流量管理的最佳实践
一、不得不说的云原生隔离性不断创新的技术带来了一系列好处，例如自动化、敏捷性和效率，提高了公司的生产率。但是，随着新技术的到来，漏洞和安全威胁也随之而来。 集装箱化就是这种情况。尽管容器化已经存在了数十年，但近年来云计算的革命性发展才真正推动了容器化的普及。据估计，现在有超...
- 101阅读
专家有料 | 李中文：美团软件成分安全分析（SCA）能力的建设与演进
文丨李中文（e1knot） 现任美团安全高级工程师，负责公司基础安全运营相关的能力建设工作，拥有丰富的安全运营能力建设经验。曾在DEFCON China、ISC等多个会议分享安全运营相关议题。 前言 随着DevSecOps概念的逐渐推广和云原生安全概念的快速普及，研发安全和操作环境安全...
- 29阅读
直播回放 | 周幸：开源治理实践如何实现自动化和智能化落地
“网安强中强”2022（第二届）数字安全创新实践直播大赛自2022年4月18日起正式启动。悬镜安全技术合伙人周幸接受了主办方安在的特邀，于4月19日做客直播间，以“开源治理实践如何实现自动化和智能化落地”为主题，分享了悬镜在开源治理方面的实践经验以及成熟的落地解决方案，在直播间和用户交流群中引起了热...
