Docker發佈了一篇5 個開發人員工作站安全最佳實踐
- 防止惡意軟件攻擊
- 建立安全的軟件供應鏈
- 在策略中考慮本地管理員權限
- 防止危險的錯誤配置
- 防範內部威脅
詳情請看:
詳情請看:
詳情請看:
網路應用程式安全是企業資訊安全的重要一環,但傳統的滲透測試方法存在許多缺點,例如成本高、時間長、範圍有限、效果難以衡量等。因此,越來越多的企業轉向使用PTaaS(Penetration Testing as a Service)的服務,以提高網路應用程式的安全性和效率。PTaaS是一種基於雲端的滲透測試平台,它可以提供持續、自動化、規模化、客製化和可量化的滲透測試服務,並且能夠整合其他安全工具和流程,以實現全面的安全管理。PTaaS的優勢包括:
總之,PTaaS是一種創新和高效的滲透測試方法,它可以幫助企業提升網路應用程式的安全性和競爭力。
詳情請看:
Traditional Pen Testing vs. PTaaS with Web Application Security
詳情請看:
Six Tips CISOs Should Consider for Stronger Compliance and Risk Mitigation
詳情請看:
詳情請看:
補丁管理是指定期更新軟體或系統以修復漏洞或增加功能的過程。補丁管理是維持資訊安全和系統穩定的重要措施,但也可能帶來風險和挑戰。因此,需要制定一套合適的補丁管理策略和流程,以確保補丁的有效性和安全性。
根據 Red Hat 的部落格文章,補丁管理的最佳實踐包括以下幾個方面:
以上是一些補丁管理的最佳實踐。
詳情請看:
詳情請看:
詳情請看:
加密貨幣戀愛詐騙是一種網路詐騙,其中網路犯罪者通過線上平台偽造浪漫關係,欺騙人們交出加密資產。這些詐騙者可能在社交媒體或約會應用程式上開始對話,並通常使用從網路上取得的假照片來吸引受害者的注意。他們可能聲稱需要錢來解決某種財務危機,或者假裝是「財務專家」,承諾將受害者的錢投資在加密貨幣或股市上。
根據聯邦貿易委員會(FTC)的一份新報告,2021年,戀愛詐騙者從加密貨幣中奪走了總計1.39億美元,是2020年的五倍。加密貨幣支付所造成的損失佔了5.47億美元戀愛詐騙損失的最大部分。平均而言,使用加密貨幣支付的受害者損失了9,770美元。
要避免成為加密貨幣戀愛詐騙的受害者,您需要注意以下三個跡象:
如果您發現自己與一個可能是加密貨幣戀愛詐騙者的人聊天,您應該立即中斷聯繫,並向相關機構舉報。您也應該定期檢查您的加密貨幣錢包和交易平台是否安全,並使用可靠的防毒軟體來保護您的裝置。
詳情請看:
紅隊是一群專業的駭客,他們的任務是模擬真實的攻擊,測試企業的安全防護能力。紅隊的目標是找出企業的弱點,並提供改善建議。紅隊可以幫助企業提高安全意識,增強防禦能力,並減少風險。
紅隊的工作不僅需要技術能力,還需要責任感和道德規範。紅隊必須遵守法律和合約,並尊重企業的隱私和資產。紅隊不能濫用他們獲得的權限和資訊,也不能對企業造成不必要的損害或干擾。紅隊應該與企業保持良好的溝通和合作,並及時報告他們的發現和建議。
紅隊的責任不僅在於攻擊,更在於幫助企業提升安全防護。紅隊可以讓企業了解自己的脆弱性,並採取適當的措施來修補和預防。紅隊也可以讓企業學習如何應對和復原於攻擊,並提高安全文化和素養。紅隊是企業安全防護的重要夥伴,他們的責任是為了企業的利益和安全。
詳情請看:
隨著物聯網(IoT)和操作技術(OT)設備的普及、脆弱性和雲連接性,它們代表了一個快速擴展、常常未受檢查的風險面,影響著更廣泛的行業和組織。IoT的快速增長為攻擊者提供了更多的入口和攻擊面。隨著OT變得更多地連接到雲端,以及IT和OT之間的差距縮小,訪問安全性較低的OT為破壞基礎設施攻擊打開了大門。微軟發現,在客戶OT網絡中,75%最常見的工業控制器存在未修補的高嚴重性漏洞。
在過去一年中,微軟觀察到威脅者利用幾乎每個監測和可見的組織部分中的設備。我們在傳統的IT設備、OT控制器和IoT設備(如路由器和攝像頭)中都觀察到了這些威脅。這些環境和網絡中攻擊者存在的激增是由於許多組織在過去幾年採用了融合和互聯性而引起的。國際數據公司(IDC)估計,到2025年,連接到互聯網的IoT設備將達到416億個,增長率高於傳統的IT設備。雖然IT設備的安全性在近年來有所增強,但IoT和OT設備的安全性卻沒有跟上步伐,而且威脅者正在利用這些設備。
重要的是要記住,攻擊者可能有不同於典型筆記本電腦和智能手機之外的動機來入侵設備。俄羅斯對烏克蘭的網絡攻擊,以及其他國家支持的網絡犯罪活動,表明一些國家認為對關鍵基礎設施發動網絡攻擊有助於實現軍事和經濟目標。美國國土安全部網絡安全與基礎設施安全局(CISA)描述為一套新穎的、以國家支持、針對工業控制系統(ICS)的網絡攻擊工具“Incontroller”的72%軟件漏洞利用現在都可以在線獲得。這種擴散促進了其他行動者更廣泛的攻擊活動,因為專業知識和其他進入障礙減少了。隨著網絡犯罪經濟的擴大以及針對OT系統的惡意軟件變得更加普遍和易於使用,威脅者有了更多的方式來發動大規模的攻擊。
微軟觀察到與中國有關的威脅者針對易受攻擊的家庭和小型辦公室路由器,以便入侵這些設備作為據點,為他們提供與其以前的活動相關性較低的新地址空間,從而發動新的攻擊。這些設備通常不受監控,也不會定期更新或修補。這使得它們成為攻擊者的理想目標,因為它們可以作為跳板,以便訪問其他網絡和設備。此外,這些設備還可以被用於發動分散式拒絕服務(DDoS)攻擊,或者作為加密挖礦的資源。
為了保護組織免受IoT和OT設備帶來的風險,微軟建議採取以下措施:
IT和OT的融合帶來了效率、創新和競爭力的好處,但也帶來了更大的風險。組織需要採取積極的措施,以確保他們的基礎設施、數據和業務不受威脅者的利用。微軟致力於幫助客戶提高他們的安全性能,並提供了一系列的產品、服務和資源來幫助他們保護自己免受IoT和OT設備帶來的風險。
詳情請看:
The convergence of IT and OT,Cyber risks to critical infrastructure on the rise
詳情請看:
公有雲最大的價值之一是數據中心的物理設施。這包括房地產、電力、環境控制、物理安全等等。不要試圖重現這些無差別化的工作。最終,您需要在機架上放置您的服務器。然而,這最好交給托管服務提供商來處理,使其盡可能地隱形化。最好的托管服務提供商會為您安裝和堆疊網絡和服務器設備。在最理想的情況下,您可能永遠不會看到您的數據中心內部。
配置管理對於雲端運營並不是一個新概念。在過去十年的公有雲發展中,我們一直在處理配置管理。我們將配置與時間點和事件相關聯。DevOps團隊將開發流水線集成和演進到我們的管理控制平面。私有數據中心增加了資產管理的視角到我們的責任範圍內。我們可能會將無服務器架構轉移過來,用於一組特定的應用程序。然而,這些無服務器功能是運行在服務器上的。有人必須知道這些服務器的細節。例如,它們花了多少錢?這些服務器是租賃(運營支出)還是折舊(資本支出)?硬件的刷新週期是多長?可以將較舊的服務器回收用於低優先級的工作負載嗎?如何處理壽終正寢的設備?另一種選擇是將服務器外包給管理服務提供商。您描述應用程序的需求,管理服務提供商選擇、安裝和管理硬件。如果這個模式聽起來像公有雲,那是因為它很相似,而且您會失去自我託管的成本優勢。
平台工程師是許多雲端運營團隊中的一個熟悉的角色。多年來,您不得不處理多雲端運營的問題。您可能有一些應用程序在Google Cloud、AWS和Azure上運行。您可能需要將數據從SaaS平台中獲取,以便開發人員可以在雲端平台和Kubernetes之間無縫地移動。
當您回歸數據中心時,您需要考慮硬件平台的選擇和管理。您需要根據您的工作負載和預算來選擇合適的處理器、內存、存儲和網絡設備。您需要了解不同廠商的產品和性能特點,例如AMD和Intel之間的差異³。您需要設計和實施一個可靠、安全、高效和彈性的硬件架構,以支持您的業務需求。
最後,但並非最不重要的一點是,回歸數據中心並不意味著放棄雲端原生開發的理念和實踐。雲端原生開發是一種方法論,它強調了自動化、微服務、容器化、持續集成和持續交付等方面。這些原則可以幫助您提高開發速度、質量和效率,無論您的基礎設施在哪裡。
因此,回歸數據中心並不意味著回到傳統的水瀑式開發模式。相反,您需要保持與公有雲相同或更高的敏捷性和創新能力。您需要利用私有雲或混合雲的解決方案,如VMware Cloud Foundation、Red Hat OpenShift或Azure Stack Hub等。這些解決方案可以幫助您在私有數據中心中實現雲端原生開發的目標。
詳情請看:
Returning to the Data Center: 4 Essential Skills for Repatriating Your Workloads
隨著網路攻擊的頻率和複雜性不斷增加,網路安全威脅分析師的角色變得越來越重要。他們負責收集、分析和解釋有關網路攻擊的數據,並提供預防和應對措施。為了提高網路安全威脅分析師的能力和效率,有必要進行專業的培訓計劃。
網路安全威脅分析培訓計劃可以幫助分析師掌握最新的技術和工具,以及最佳的實踐和方法。培訓計劃可以涵蓋以下主題:
通過參加網路安全威脅分析培訓計劃,分析師可以提高自己的知識、技能和信心,從而更好地保護組織和客戶免受網路攻擊的影響。
詳情請看:
Understanding the Importance of Cyberthreat Analysis Training Programs
詳情請看:
How Analyzing External Attack Surface Data Boosts Your Security Strategy