标签： 网络安全

网络安全检查清单（2026版）｜等保合规自查必备Checklist

 2026年5月22日

摘要：一份覆盖11大安全领域、100+检查项的企业网络安全自查清单，涵盖网络基础设施、远程访问、身份认证、数据保护、备份恢复、安全监控与应急响应等核心维度，适用于等保合规评估、年度安全检查及安全审计场景。 使用方式：☐ 打勾确认　☐ 标注整改　☐ 作为年度/季度安全检查清单 开篇：这份清单能帮你解决什么问题？ Q：企业网络安全检查应该覆盖哪些方面？ A：一个完整的企业网络安全检查应覆盖以下11大领...

 栏目: 安全  Tagged: , , , , ,
面向主动防御的铁路网络空间安全技术保障体系研究及应用

面向主动防御的铁路网络空间安全技术保障体系研究及应用

 2026年4月29日

当前网络安全已成为保障运输安全、服务国家战略的重要基石。随着铁路数字化、智能化的快速发展，铁路网络空间面临的安全威胁日益复杂，传统“被动修补式”防御体系难以应对新型攻击和威胁。根据网络安全实战化、体系化、常态化思路，项目团队以保护数据和个人信息为核心，构建了面向主动防御的网络空间安全技术保障体系，攻克了多元异构安全大数据分析、集中安全管理、大规模终端安全统一管理、基于云环境的全栈应用安全防护等难题...

 栏目: 安全  Tagged: ,
铁路领域重要信息系统一体化 安全保障示范工程

铁路领域重要信息系统一体化 安全保障示范工程

 2026年4月29日

铁路是国民经济大动脉、国家重要基础设施、大众化交通工具和民生工程，在经济社会发展中的作用至关重要。随着铁路信息化建设和应用的不断深入，铁路运输对网络和信息系统的依赖程度越来越高，网络安全保障作用日渐突出。 为加强铁路网络安全管理、强化铁路网络安全保障，项目立足铁路行业特性与安全需求，突破传统防护局限，在技术架构、管理模式、平台建设等方面实现四大核心创新，重塑铁路网络安全防护体系。 一、主要科技创新...

 栏目: 安全  Tagged: , , , , ,

AI 自主挖漏洞、写利用、提权一条龙！Anthropic 最新模型让网络安全圈不淡定了

 2026年4月8日

Claude Mythos Preview 安全评估报告全文翻译 | 27年漏洞、17年RCE、浏览器链式逃逸，AI 已能自主挖掘零日漏洞 原文地址：https://red.anthropic.com/2026/mythos-preview/ 作者：Anthropic 安全团队（Nicholas Carlini 等）、翻译/整理：游侠安全网 一句话核心 Claude Mythos Preview ...

 栏目: 随笔  Tagged: , ,
Web安全之IAST(Interactive Application Security Testing)详解

三亚警方联合网信部门查处一起不履行网络安全保护义务案

 2026年1月23日

本文转自【三亚网警】 近日，三亚市公安局网安支队在工作中发现，本市某企业网站存在文件上传漏洞，并被植入多个后门木马，存在内容被篡改的风险隐患。 按照市网络执法协调联动工作机制，三亚市公安局网安支队会同市网信办进行了联合调查处置，发现该企业网络安全意识淡薄，技术防护措施不足，未制定网络安全管理制度和网络安全事件应急预案，以及未开展公安机关国际联网备案，致使2025年11月以来多次遭受木马后门等形式的...

 栏目: 业界  Tagged: 

小区刷脸门禁安全吗？检察公益诉讼为人脸信息安全“补漏”

 2026年1月23日

针对部分物业及房地产企业在人脸识别技术运用过程中存在个人信息泄露安全隐患的问题，检察机关通过制发检察建议督促行政机关依法履行监管职责。 1月22日，最高检发布了一批个人信息保护检察公益诉讼典型案例。本次发布的典型案例共6件，《重庆市两江新区人民检察院督促整治小区物业违法处理人脸信息行政公益诉讼案》入选。 案情显示，重庆某科技有限公司的物业管理居住场所涉及人脸信息储备数量高达150万条，存在10个以...

 栏目: 文摘  Tagged: , , ,

商务部：敦促欧方在网络安全方面坚持技术中立原则，切勿泛化安全

 2026年1月22日

【环球时报-环球网报道 记者 倪浩】1月22日下午，商务部举行例行新闻发布会。有媒体提问称，欧盟委员会20号提出了一项新的网络安全法案，拟在关键基础设施中停用高风险的供应商的组件和设备，此举也被普遍视为是针对中国公司，请问商务部有何回应？ 对此，商务部新闻发言人何咏前表示，中方注意到欧盟于1月20日发布了相关文件，强制要求成员国在能源、交通、ICT服务管理等18个关键行业排除所谓高风险供应商，中方...

 栏目: 业界  Tagged: 
1. Authelia：开源认证授权管理系统 Authelia是一个开源的身份验证和授权管理系统，可以通过Web网页为应用程序提供双因素身份验证和单点登录(SSO)服务。它还可以方便的与流行反向代理(如nginx、Traefik或HAProxy)方案进行集成，帮助其判断是否应该允许或重定向请求到Authelia的页面进行身份验证。简单来说，Authelia可以给用户提供的各种应用增加认证功能，从而大大提高应用系统的安全性。主要特性：• 支持多种双因素认证方法，包括：安全密钥、基于时间的一次性密码、移动推送通知等;• 可通过电子邮件确认进行身份验证和密码重置;• 可以根据无效身份验证尝试次数对访问进行限制;• 使用规则实现精细化访问控制，包括子域名、用户、用户组、请求URI等;• 可以与流行的反向代理(如nginx、Traefik、Caddy、Skipper、Envoy或HAProxy)直接集成，以增强反向代理服务的应用程序安全性。2. BLint：检查可执行文件安全属性的开源工具 BLint是一款利用LIEF评估可执行文件安全属性和功能的二进制文件检查器。从2.0版本开始，BLint还可以为部分兼容的二进制文件生成软件物料清单(SBOM)。主要特性：• 可用于检测CI/CD管道中编译的二进制文件中被是否存在被忽视的安全缺陷、代码签名或验证码问题。• 不依赖于签名，侧重于功能监测;• 节省资源并避免对实时环境的性能需求。支持主流的二进制格式：• Android(apk、aab)• ELF(GNU、musl)• PE(exe、dll)• Mach-O(x64、arm64)用户可以针对以上二进制格式在Linux、Windows和Mac环境中运行BLint。3. Cloud Active Defense：开源云安全防护方案Cloud Active Defense是一个将威胁检测诱饵集成到云基础设施中的开源云安全解决方案。这些诱饵对普通用户来说是不可见的，但对攻击者来说却非常诱人。这就造成了一种情况，攻击者必须不断猜测：这是陷阱还是利用路径?这种猜测减缓了攻击操作，并可能导致攻击者忽略有效的攻击向量，因为怀疑它们是陷阱。在短期内，Cloud Active Defense计划使生成的警报更容易被主流SIEM系统获取，以更快地响应威胁。同时还计划发布接口代码，以便在Kubernetes集群上更轻松部署，让每个应用程序都可以独立配置。4. Cloud Console Cartographer：开源的安全日志处理与分析工具Cloud Console Cartographer是一个开源工具，能够将海量、嘈杂的日志信息映射到高度整合的可疑事件中，以帮助安全从业者消除噪音并更好理解其环境中的威胁管控态势。Cloud Console Cartographer能够快速处理日志中的原始事件，并对其进行分组和归类。它甚至可以解析来自这些事件的上下文数据，以提供有关用户在控制台中所见内容的更多信息，例如在单击发生时处于活跃状态的组、策略、角色或访问键的名称。将这些事件关联并减少为单个操作的能力有助于安全团队快速了解在控制台中执行的活动。5. Damn Vulnerable RESTaurant：为学习而设计的开源API服务 Damn Vulnerable RESTaurant是一个开源项目，允许道德黑客、开发人员和安全工程师通过互动游戏学习识别和修复代码中的安全漏洞。Damn Vulnerable RESTaurant游戏所设定的挑战目的是使用提供的线索识别和修复API应用相关漏洞。参与者需要探索识别攻击方法并有效修复，以保护API应用程序。通过这个挑战的结论，参与者将发现攻击者的身份。参与者也可以选择扮演攻击者的角色，以利用现有的漏洞。该应用程序使用Python FastAPI框架来开发模拟API应用，同时也结合了PostgreSQL数据库。方案通过Docker容器化的方式，允许使用Docker Compose进行快速部署和配置。6. Drozer：开源Android安全评估框架Drozer是一款开源的Android安全测试和攻击模拟工具，由MWR InfoSecurity公司开发。它提供了一个命令行接口，允许用户在安全测试或攻击Android应用程序时进行自动化测试，发现潜在的漏洞和安全风险。Drozer是目前应用最为广泛的Android安全测试工具之一，其功能和易用性受到了广泛的认可和好评。主要功能：• 应用程序渗透测试：Drozer允许用户测试Android应用程序的安全性，包括动态和静态分析，以及漏洞扫描等。• 应用程序漏洞挖掘：Drozer提供了一个插件系统，允许用户编写自己的插件来挖掘Android应用程序中的漏洞。• 代码审计：Drozer允许用户快速浏览应用程序的源代码，并快速查找敏感信息和漏洞。• 安全审计：Drozer提供了一些常见的安全审计功能，例如渗透测试、代码审计和漏洞扫描等。7. EJBCA：开源公钥基础设施(PKI)与证书颁发(CA)EJBCA是一款开源的PKI和CA软件，也是目前历史最悠久的CA软件项目之一，具有经过广泛验证的健壮性、可靠性和适应性。EJBCA是用Java开发的，在大多数平台上都能够有效运行。主要特性：• 企业可伸缩性：这是该产品一直坚持的设计标准，并遵循Java Enterprise范例。• 灵活性：另一个设计标准是EJBCA应该能够适应组织的工作流，而不是让工作流来适应软件，因此拥有灵活的API/接口和针对不同用例的大量配置。8. Encrypted Notepad：开源文本编辑器Encrypted Notepad是一款开源的文本编辑器，确保用户的文件以AES-256形式保存和加密调用。方案不需要网络连接，也没有不必要的功能，是一个非常简单的工作工具。与Windows记事本应用程序一样，它除了文本编辑之外没有其他功能。如果用户想在他们的设备之间共享保存的加密数据，可以选择使用像Dropbox或NextCloud这样的服务来实现。9. Fail2Ban：访问控制辅助工具Fail2Ban是一款开源工具，用于监控日志文件(如/var/log/auth.log)，并阻止显示多次登录失败的IP地址。它通过更新系统防火墙规则，在可配置的时间内拒绝来自这些IP地址的新连接来实现这一点。Fail2Ban是一个多功能且有效的工具。它可以用最少的配置使用社区驱动的过滤器来阻止常见的攻击。此外，它还可以作为一个复杂的IDS/IPS系统来满足特定的管理需求，例如检测和阻止应用程序或系统特定的攻击向量。主要特性：• 监视日志文件和systemd journal(使用Python编写的自定义后端，能够检测来自其他来源的故障);• 完全可配置的regexp允许从日志或日志中捕获信息并将其提供给操作，因此不仅可以禁止IP，还可以禁止用户账户、会话或它们的组合;• 主持IPv6网络环境;• 动态配置允许为维护人员和用户简单地创建与发行版相关的配置文件。例如，使用像mode这样的参数进行精细调整(例如，仅检测身份验证失败或更积极地禁止任何尝试)。10. Grafana：开源数据可视化平台 Grafana是一款开源解决方案，用于查询警报和探索指标、日志和跟踪，并将其可视化，而不管这些数据被存储在哪里。Grafana提供了将时间序列数据库(TSDB)数据转换为有意义的图形和可视化的工具。此外，它的插件框架允许用户集成各种数据源，包括NoSQL/SQL数据库和CI/CD平台(如GitLab)。这些集成允许用户根据他们的特定需求构建一个全面的可观察性解决方案，同时有一个单一的窗格来管理它。主要特性：• 互操作性。其设计优先考虑与直接竞争对手的互操作性。这种开放性和包容性允许组织选择他们的工具和数据源，同时将他们所有的数据放在一个统一的视图中。• Grafana支持超过100种不同的数据源，允许用户拥有自己的可观察性策略，并可以自由选择最适合他们需求的工具，而不是被锁定在单一供应商的生态系统中。• 从项目早期阶段，Grafana就拥有一个充满活力和活跃的社区，为其发展和增强做出了贡献。11. Graylog：开源日志管理 Graylog是一款具有集中日志管理功能的开源解决方案。它使团队能够收集、存储和分析数据，以获得有关安全性、应用程序和IT基础设施的答案。主要特性：• 易于安装，支持多种数据类型的数据收集，并能够快速搜索所摄取的数据。• 具有自动完成建议的复杂查询支持。• 可通过单个或多个输入参数来快速设置仪表板上的搜索过滤器(例如，过滤所有仪表板内容到单个用户或系统的所有活动)。• 灵活地使用各种小部件创建仪表板，以呈现可定制的外观，包括高级数据聚合，可将不同的数据拉到单个图表中，以获得类似pivot的体验。12. LSA Whisperer：开源认证包交互工具LSA Whisperer旨在通过其独特的消息传递协议与身份验证包进行交互。目前提供对cloudap、kerberos、msv1_0、negotiate、pku2u、channel包和cloudap的AzureAD插件的支持。LSA Whisperer允许用户直接从本地安全授权子系统服务(LSASS)恢复多种类型的凭据，而无需访问其内存。在正确的上下文中，LSA Whisperer可以恢复Kerberos票据、SSOcookie、DPAPI凭证密钥(用于解密受DPAPI保护的用户数据)和NTLMv1响应(很容易被破解为可用的NT哈希)。13. Mantis：自动化资产发现、侦察和扫描框架Mantis可以自动发现、侦察和扫描资产。用户只需输入一个顶级域，它便能标识相关的资产，如子域和证书。该框架可利用开源和专有工具对活跃资产进行侦察，并通过扫描漏洞、秘密、错误配置和潜在的网络钓鱼域来完成其操作。主要特性：• 自动进行资产发现、侦察和扫描;• 可进行分布式扫描(将单个扫描拆分到多台机器上);• 支持定制化;• 较丰富的安全报警能力;• 可实现DNS服务集成;• 可以快速集成新工具(现有的和自定义的)。14. OWASP dep-scan：开源安全和风险审计工具OWASP dep-scan是一款开源的安全和风险评估工具，可帮组用户更加充分利用有关漏洞、建议和项目依赖项许可限制的信息。它支持本地存储库和容器映像作为输入源，因此适合与ASPM/VM平台集成并在CI环境中使用。主要特性：• Dep-scan利用cdxgen生成软件物料清单(SOMS)，支持许多不同的语言和源代码配置；• 系统提供了结果导出到可定制的Jinja报告以及JSON文档的多个标准，包括：CycloneDx漏洞披露报告(VDR)和通用安全咨询框架(CSAF)2.0；• 具备可达性分析能力，使用AppThreat/atom创建源代码片段；• 可针对依赖混淆攻击和维护风险的深度包风险审计。15. Pktstat：开源以太网接口流量监控Pktstat不依赖于高级或最新的Linux内核特性，可默认为非linux系统的通用PCAP，通常被设计成与各种Unix平台(包括Darwin)交叉兼容。执行后，Pktstat提供针对每个IP和每个协议(IPv4、Pv6、TCP、UDP、ICMPv4和ICMPv6)的全面统计。系统会按每个连接的bps、数据包和(源- IP：端口，目的- IP：端口)元组进行排序，提供了网络流量的详细视图。16. Prompt Fuzzer：增强GenAI应用程序安全性 Prompt Fuzzer是一款开源工具，评估GenAI应用程序的系统提示对动态LLM的威胁性。主要特性：• 可模拟十几种常见的GenAI攻击；• 该工具根据系统提示自动设置上下文，并根据与GenAI应用相关的特定主题或行业定制攻击；• 它具有良好的互动性和用户交互方式；• 用户可以根据需要多次重复这个过程来强化他们的系统提示，并清晰了解他们的系统提示如何变得更安全、更有弹性；• Prompt Fuzzer支持超过20个LLM提供商方案。17. Protobom：软件供应链安全防护Protobom是一款开源软件供应链工具，旨在帮助所有组织(包括系统管理员和软件开发社区)读取和生成软件物料清单(SBOM)和文件数据，并跨标准工业SBOM格式转换这些数据。市场上存在多种SBOM数据格式和标识方案，这使得希望采用SBOM的组织面临挑战。Protobom旨在通过在标准之上提供与格式无关的数据层来缓解这个问题，在数据层允许应用程序与任何SBOM无缝地工作。Protobom可以集成到商业和开源应用程序中，这促进了SBOM的采用，并使SBOM的创建和使用更容易、更便宜。Protobom工具可以访问、读取和转换各种数据格式的SBOM，从而提供无缝的互操作性。18. RansomLord：勒索软件漏洞检测工具RansomLord是一款可以自动创建PE文件的开源工具，其创建初衷是为了证明勒索软件并非不可战胜的，它也有漏洞，它的开发者也会犯错误，像其他人一样写出糟糕的代码。主要特性：• 可利用网络罪犯经常使用的DLL劫持策略;• 部署漏洞利用以保护网络，这是一种击败勒索软件的新策略;• 恶意软件漏洞情报，针对组织或行业的特定威胁;• 瞄准勒索软件工具，以揭示缺陷，这可能导致对手重构代码修补漏洞;• 节省时间和精力，有助于填补构建反勒索软件漏洞PE文件时所需的知识空白;• 利用恶意软件遭受此攻击向量的高比率，木马和信息窃取程序也可以被击败，例如Emotet MVID-2024-0684。19. reNgine：Web应用程序安全性自动检测框架 reNgine是一款用于Web应用程序的安全性自动检测框架，专注于高度可配置和精简的侦察过程。reNgine的开发是为了克服传统检测工具的局限性。检测过程中使用的大多数工具都以不同的文件格式输出，如JSON、XML、TXT等。在这些数据之间进行关联是一项艰巨的任务，而reNgine很好地解决了这个问题。对于漏洞赏金猎人、渗透测试人员和公司安全团队来说，它是一个很好的选择，可以自动化和细化漏洞信息收集过程。20. Tracecat：开源版SOAR方案Tracecat的开发人员认为安全自动化应该人人可用，特别是那些人手不足的中小型团队。Tracecat是一款适用于各种类型安全团队的开源自动化平台。其核心功能、用户界面和日常工作流程都基于大量安全团队的现有最佳实践。Tracecat不是Tines/Splunk SOAR的1对1映射。开发人员的目标是为技术团队提供类似Tines的体验，但重点是开源和人工智能功能。虽然Tracecat是为安全而设计的，但它的工作流自动化和案例管理系统也适用于各种警报环境，如站点可靠性工程、DevOps和物理系统监控。

盘点20款“小众”免费网络安全工具

 2025年7月16日

1. Authelia：开源认证授权管理系统 Authelia是一个开源的身份验证和授权管理系统，可以通过Web网页为应用程序提供双因素身份验证和单点登录(SSO)服务。它还可以方便的与流行反向代理(如nginx、Traefik或HAProxy)方案进行集成，帮助其判断是否应该允许或重定向请求到Authelia的页面进行身份验证。简单来说，Authelia可以给用户提供的各种应用增加认证功能，从而...

 栏目: 安全  Tagged: , , ,
国家发改委：建立健全全流程数据安全管理体系，强化数据共享、使用、传输、存储等关键环节的安全保障

《网络数据安全管理条例》全文及官方解读

 2025年7月1日

中华人民共和国国务院令 第790号 《网络数据安全管理条例》已经2024年8月30日国务院第40次常务会议通过，现予公布，自2025年1月1日起施行。 总理　　李强 2024年9月24日 网络数据安全管理条例 第一章 总　　则 第一条　为了规范网络数据处理活动，保障网络数据安全，促进网络数据依法合理有效利用，保护个人、组织的合法权益，维护国家安全和公共利益，根据《中华人民共和国网络安全法》、《中华...

 栏目: 文摘  Tagged: , ,
世界互联网大会网络安全应急能力高级研修班在香港举行

世界互联网大会网络安全应急能力高级研修班在香港举行

 2025年4月16日

4月15日，世界互联网大会网络安全应急能力高级研修班以“智能向善、协同响应”为主题开展集中学习研讨。研修班邀请海内外多家头部机构和网络安全公司高级专家共同组成师资团队，带领来自亚洲多个国家和地区的政企高级别代表，围绕网络安全意识、人工智能安全治理框架、构建数智时代网络安全新范式、安全与智能、人工智能赋能攻防博弈、运用生成式人工智能实现网络安全、人工智能战略赋能网络安全实践等展开深入学习与交流。 基...

 栏目: 业界  Tagged: 
每两个月，他们都会上门为企业进行网络安全“体检”

每两个月，他们都会上门为企业进行网络安全“体检”

 2025年4月14日

精准“把脉”问需 高效“开方”助企 山东推出系列扎实举措护企安商 “张警官每两个月都会来一趟，帮我们排查安全漏洞，避免遭受网络黑客的攻击。”4月9日下午，山东省淄博市公安局周村分局网安大队民警张浩苗来到辖区宝达集团华东备品中心，为企业进行网络安全“体检”。中心运维部主任金同贵对记者说：“根据民警提供的网络安全管理建议，我们有效排除了数据失泄密、信息被篡改的危险，大家的防范意识有了很大提高。” 中小...

 栏目: 文摘  Tagged: ,

最新网络安全报告：美无差别对全球手机用户实施攻击

 2025年3月25日

【环球时报-环球网报道记者郭媛丹】25日，中国网络安全产业联盟（CCIA）发布《美情报机构针对全球移动智能终端实施的监听窃密活动》，接受《环球时报》记者采访的专家表示，报告汇聚了包括中国网络安全企业在内的全球安全研究者、学术机构和国际安全企业针对美方攻击活动的分析研究成果，揭露了美方针对全球移动智能终端和通讯活动开展的监听窃密行动，无论是政府官员、技术专家等高价值目标还是普通民众，都有可能成为美情...

 栏目: 文摘  Tagged: 
2025年网络安全十大发展趋势发布

15部门：引导中小企业遵守网络安全、数据安全等方面法律法规

 2025年3月13日

经济观察网讯 据工信部网站3月13日消息，工业和信息化部等十五部门发布《关于促进中小企业提升合规意识加强合规管理的指导意见》（下称《指导意见》）。《指导意见》提出，以促进中小企业高质量发展为主线，坚持问题导向、需求牵引，系统观念、法治思维，部门协同、上下联动，引导中小企业增强合规意识、加强合规建设、提升合规管理水平，防范生产经营风险。到2030年，中小企业合规发展环境进一步优化，中小企业合规服务工...

 栏目: 业界  Tagged: , , ,
三大赛道同步开启！雄安网络安全大赛打造城市“安全基座”

三大赛道同步开启！雄安网络安全大赛打造城市“安全基座”

 2025年2月27日

2月26日，以“汇聚网络安全技术 护航智能城市建设”为主题的雄安网络安全技术应用大赛推介会在雄安新区举办。大赛面向国内外网络领域企事业单位、科研机构、高校等单位、个人和联合体征集网络安全技术应用领域的优秀创新成果，助力网络安全创新资源加速在雄安新区汇聚。 雄安网络安全技术应用大赛推介会现场。中国雄安官网牛思佳 摄 网络安全产业是战略性新兴产业，是智能城市建设的重要支撑。当前，河北省正在加快建设数据...

 栏目: 业界  Tagged: 
2025年网络安全十大发展趋势发布

网络安全发展趋势 | 2025年网络安全十大发展趋势发布

 2025年2月27日

近日，中国计算机学会（CCF）计算机安全专委会和上海市计算机学会网络专委会联合发起2025年网络安全十大趋势预测活动。来自国家网络安全主管部门、高校、科研院所、国有企业及民营企业界的专家学者，投票评选出了2025年网络安全十大发展趋势。 趋势1：人工智能广泛赋能网络安全 随着人工智能（AI）技术的飞速发展，其已逐渐渗透到网络安全的各个层面。AI在网络安全中的应用，如通过机器学习算法自动检测异常行为...

 栏目: 文摘  Tagged: , ,