随着人工智能技术的快速融入，新一代网络技术使攻击变得更加隐蔽和快速，基于对抗性机器学习的攻击和高级威胁使攻防对抗的战斗越来越惨烈，而为了应对各种挑战，“XDR”解决方案应运而生。

许多企业组织对零信任网络访问(Zero Trust Network Access，简称“ZTNA”)的兴趣非常浓厚，因为这是替代传统VPN技术的一种有效方式，但是企业普遍缺乏实施方面的经验。Gartner分析师最近列出了早期采用者给出的5个最佳实践供企业借鉴，这些经验可以让企业未来应用ZTNA时变得更顺畅、更高效。

随着公司不再只依赖密码保护的情况逐渐普及，基于风险的身份验证工具变得更加复杂和流行。基于风险的身份验证（RBA）也称为自适应身份验证，是一种在不强制用户使用两因素身份验证（2FA）的情况下提高网站账户安全性的方法。随着网络钓鱼和帐户接管肆虐盛行的背景下，这项技术变得越来越重要。

误报（即不存在安全威胁的地方发出安全警报）是SOC（security operations centers）所面对的一个难题。大量研究表明，为了识别那些迫在眉睫的网络威胁，SOC分析师花费大量时间和精力来追踪安全警报，然而这些警报最后往往会被发现是误报。

最近随着数保法、个保法等各项法律法规相继颁布出台，从传统的运营商、能源、医疗、金融等行业，到新兴的互联网行业，都掀起了数据安全建设的浪潮...

有一个好消息和一个坏消息。好消息是，越来越多的企业正在使用诸如GitHub、Microsoft 365、Salesforce、Slack、SuccessFactors、Zoom等SaaS应用程序，使员工能够在最具挑战性的环境下，依然保持生产力。而坏消息是，许多公司都难以充分应对不断变化的应用程序安全风险。

互联网的快速发展，让数字化与企业的生产、运营紧密相连，大量的数据、业务开展都在数字化平台上进行流转，这就对企业的网络安全和数据安全提出了新的考验。很多企业由于刚刚步入数字化，在安全防御方面的工作还不是很好，下面的四个技术实践，可供参考。

据预测，到 2025 年底，区块链的商业增值将达到1760亿美元。此外，区块链为商业世界提供了一些实质性的优势，因此它被认为是许多行业的游戏规则改变者。区块链在数据安全方面的作用可能是决定性的，当然也并不意味着它是解决所有企业弊病的良药。那么区块链如何对数据安全产生有益的影响呢?

根据Gartner对威胁情报的定义，威胁情报是某种基于证据的知识，包括上下文、机制、标示、含义和能够执行的建议，这些知识与资产所面临已有的或酝酿中的威胁或危害相关，可用于资产相关主体对威胁或危害的响应或处理决策提供信息支持

目前，横向移动（lateral movement）已成为需要留意的主要威胁之一。成功的横向移动攻击可以使攻击者闯入用户现有系统，并访问系统资源。

API是对公网暴露的系统入口，是直面网络攻击的最前线，如果不能将其做到坚不可摧，那它很容易会在qiang林弹雨的网络攻击中倒下 那怎样的API才算得上坚不可摧呢？下面我将分享一些自己在实际的工作的安全心得，希望对大家有启发！

近日，内容分发网络（CDN）运营商Akamai表示，一种使网站快速瘫痪的DDoS放大攻击新方法正在被不法分子所利用。这种方法是通过控制数量巨大的中间设备（middlebox，主要是指配置不当的服务器），可以将大量垃圾数据快速放大到之前无法想象的规模。

尽管密码管理器（Password Manager，简称“PM”）很可靠，且绝大多数网络安全专家都同意密码管理器确实是保护密码最安全的方法之一。但是随着攻击者技术和手段的不断迭代和更新，以及最新安全漏洞的出现，整个安全行业不可避免地会受到冲击，这其中也包括PM行业。

这里以比特币为例，所谓“挖矿”就是，将一段时间内比特币系统中发生的交易进行确认，并记录在区块链上，形成新的区块，挖矿的人叫做矿工。简单来说，挖矿就是记账的过程，矿工是记账员，区块链就是版本。比特币系统的记账权利是去中心化的，也就是每个矿工都有记账的权利，只要成功抢到记账权，矿工就能获得系统新生成的比特币奖励

如果你是第一次做链上测试相关内容，那么需要做一些准备工作。

CloudSplo是一个开源项目，支持云基础设施，包括支持人员研究检测基础账户中的安全风险：亚马逊服务（AWS）、微软Azure云平台（GCP）、甲骨文CP设施（OCI）和GitHub在该工具的帮助下，广泛研究人员可以轻松识别云设备中的错误配置和基础设施中的安全风险。

在做一次App渗透测试项目中，发现设置代理后使用BurpSuite抓不到包，尝试使用了Drony等工具都无法进行抓包，而且App也被加固，由于技术太菜无法脱壳...那该怎么办呢？放弃吗？不可能！作为一个刚满十八岁的帅气少年，怎么能轻易说放弃！（不测没钱恰饭 -_- ）于是便有了此文！

企业数据安全治理，除了熟悉法律法规条文，信息采集最小化，服务入口明确隐私协议外，更多的是需要建设内部基础能力，如数据识别、分类分级、数据加密、权限管控等数据安全的基础能力。

《中华人民共和国数据安全法》已于2021年9月1号正式实行，企业在数据的采集、传输、存储、使用和销毁等环节变得更加重视。众多企业下一步的重点工作将是数据的分类分级和数据生命周期管理，尤其和“个保法”紧密关切的个人敏感信息内容。在渗透测试过程中，加强敏感数据“脱敏”鉴别已然成为了我们工作的重点，敏感数据种类那么多，而全人工介入工作量巨大，能否实现半自动化来减轻工作量呢？

《中华人民共和国个人信息保护法》规定，任何组织、个人不得非法收集、使用、加工、传输他人个人信息，不得非法买卖、提供或者公开他人个人信息；不得从事危害国家安全、公共利益的个人信息处理活动。