《我所理解的开源软件供应链安全》一文中，最后留了一句话：「我的提议是：不再提“开源供应链安全”，而是提“开源生态建设”。」在最近一段时间，接连出现了Log4j2事件，与Marak Squires删库事件，一时间大家都议论纷纷，我也觉得自己有责任，来更加深入的探讨一下，这个方面的问题。

工业互联网是实现万物互联，发展数字经济的基础，是企业联接客户，实现产业创新升级的源泉。现如今，政府持续推进工业互联网发展，云计算、大数据、AI、安全等厂商纷纷进军工业互联网，各个行业龙头企业争相开展工业互联网应用。截至目前，全国5G+工业互联网项目已经超过1100个。

日前，Gartner公布2022年SD-WAN(以前称为“WAN边缘基础设施”)魔力象限，对13家供应商进行了全面网络能力评估，最终将Fortinet定位为该魔力象限的领导者之一。与以往相比，今年的Gartner领导者象限并不拥挤和杂乱无章，象征着SD-WAN市场正在变得更加成熟。

8月25日，以“开放、创新、融合、共赢”为主题的2022年算网融合产业发展峰会在京成功召开。在“零信任产业发展论坛”上，北京邮电大学网络空间安全学院执行院长李小勇发表了《标准解读：零信任能力成熟度模型》的主题演讲。

7月28日，2022全球数字经济大会在北京国家会议中心隆重开启。本届大会以“启航数字文明——新要素、新规则、新格局”为主题，聚焦数字经济发展的新趋势、新热点，把握数字化赋能的新思路、新机遇，共同探索数字化发展的未来之路。

日前，F5发布了面向IT决策人员的年度调查报告《2022年应用策略现状报告》，揭示了应用安全和交付领域的几大前沿趋势，并对企业面临的挑战与关注的技术进行深度解读，反映出随着全球范围内企业和机构数字化程度提高和愈发以应用为中心，伴随而来的是更广泛的新发展趋势和潜在的风险。

数据安全近年来的火热程度大家都看在眼里，尤其随着我国第一部《数据安全法》以及《个人信息保护法》的落地实施，更是将数据安全推到了风口浪尖；而在前不久刚刚发布的《中共中央国务院关于加快建设全国统一大市场的意见》中也明确提出，要加快培育统一的技术和数据市场，加快培育数据要素市场，建立健全数据安全、权利保护、跨境传输管理、交易流通、开放共享、安全认证等基础制度和标准规范。

云计算安全或云安全指一系列用于保护云计算数据、应用和相关结构的策略、技术和控制的集合，属于计算机安全、网络安全的子领域，或更广泛地说属于信息安全的子领域。

对于勒索软件组织及其附属机构来说，去年是关键的一年，勒索软件成为工业领域遭受入侵的首要原因。在2021年，遭受勒索软件攻击最多的工业部门是制造业，几乎是其他工业部门的两倍。对此，Dragos在《2021年ICS/OT网络安全年度回顾》中分析了工业基础设施中勒索软件攻击的趋势。

作为一种新兴安全理念和技术，零信任经过近十年的发展，正在从实践迈向落地应用。随着零信任从理念架构到落地实践的不断突破，如何加速构建零信任安全体系，用零信任解决方案保障千行百业的数字化转型成为目前行业普遍关注的焦点，在安全牛近期的研究中，我们也就此进行了观察与思考。

密码无疑是保护账户安全的最常用措施之一，随着互联网木马和攻击的日益猖獗，许多企业的密码应用却成为整体安全体系中最薄弱的环节之一。由于密码是非法攻击者闯入企业网络环境的最简单途径之一，正面临着越来越多的攻击威胁。为了更深入地了解如何保护企业的密码免受攻击，我们搜集了以下常见密码攻击手段以及应对措施。

特权账号的滥用，可能会使基础设施即服务（IaaS）等系统面临更大的风险。特权访问管理（Privileged Access Management，简称“PAM”）可以对特权账号的访问行为进行统一的管理审计，由此成为一项高优先级的网络防御功能。但有效的PAM需要全面技术策略的支撑，包括对所有资产的特权账户拥有可见性和控制度。

如果企业正在使用一个或多个SaaS平台，那么实行SaaS安全态势管理将是该企业整体安全计划中的关键组成部分。SaaS代表“软件即服务”，意味着业务系统没有安装在本地，需要通过互联网来访问，如何确保系统和数据就是安全的？企业不能仅仅依靠服务提供商为自己做好安全防护工作。

机器学习算法已经成为网络安全技术的一个关键部分，目前用于识别恶意软件，减少警报数量，帮助漏洞修补的优先级。然而，研究机器学习或人工智能安全的专家却警告，这些AI算法可能会被攻击者颠覆。

很多资深的安全专业人士都知道，许多甚至是大多数正在运行的容器具有高危或严重漏洞。令人更为不解的是，这些漏洞很多都已经有了可用的补丁，因此可以(但尚未)修复。但云不应该是更安全吗?

勒索软件是影响较为严重的网络攻击之一，个人和企业深受其害，并继续沦为这种攻击方式的受害者，这并非新现象，就像疫情不会凭空出现一样，勒索软件也不会凭空出现，通常有迹可循。

曾经提到网络安全，很多人的第一反应就是防病毒、防火墙、IPS（IDS）这“老三样”。入侵防御系统（Intrusion Prevention System，简称“IPS”）作为过去几十年里应用最广泛、最成熟的网络安全产品之一，在持续监控可疑的恶意活动，检测和预防网络入侵方面发挥了巨大作用。不过，在企业数字化应用日益增多、新安全威胁不断涌现、网络边界逐渐打破的今天，IPS能否延续过去的风光？新一代IPS产品（技术）将如何发展？

网络安全业界关于“Dev（Sec）Ops当立，WAF已死”的断言已经流行了一段时间，WAF（Web应用程序防火墙）真的要退出历史舞台了吗？Dev（Sec）Ops是WAF的掘墓人吗？答案是否定的。尽管有些人可能认为DevOps具有手段、动机和机会，但事实是WAF不但未完全消失，而且会继续存在很长时间。

云计算因其与生俱来的可扩展性和灵活性，以及高性能计算能力，获得了大量企业用户的青睐，成为企业关键任务负载的首选项。云原生安全作为一种新兴的安全理念，不仅解决云计算普及带来的安全问题，更强调以原生的思维构建云上安全建设、部署与应用，推动安全与云计算深度融合。以下是需要关注的6个云原生安全重点能力，这些领域对于安全专业人员、软件开发人员和信息技术专家来说非常重要。

近年来，越来越多的企业准备采用零信任架构来实现更好的安全防护。对于许多企业来说，零信任的建设需要全面改变架构、流程和安全意识，这不是一蹴而就的改变，而是一个循序渐进的过程。