ITPub博客

随着软件使用量的增加，确保代码安全变得比以往任何时候都更加重要。尽管在软件开发过程中考虑安全性十分必要，但目前并未受到足够的重视。一方面反复修改缺陷会导致开发进度变慢，另一方面，很可能对未造成损失的潜在威胁存在一定的侥幸心理。然而，安全应该是任何公司的基础，无论是通过像VPN连接这样的组织范围内的工具，还是安全的代码开发解决方案。软件面临的风险通常，企业只有在安全漏洞被利用时才发现风险，在发生损失

注入攻击针对注入漏洞——这是一种非常广泛的网络安全漏洞，其中包括一些严重的应用程序安全风险。在OWASP的2021年十大风险中，注入是web应用安全的第三大风险。尽管攻击载体种类繁多，但几乎所有注入攻击的共同点都是，攻击者能够将未经验证的用户输入直接插入到执行的应用程序代码中。根据漏洞的类型和攻击目标的不同，攻击者可能会注入数据库查询、JavaScript代码、本机应用程序代码、操作系统命令等等。

CI/CD代表持续集成和持续交付/持续部署。也就是说，CI部分处理如何在不同阶段将代码与不同的分支合并，CD部分处理如何将构建的应用程序部署到部署服务器中。在为软件开发工作流程选择CI/CD 服务器时需要注意以下几点：易于安装和配置与其他问题跟踪工具和版本控制工具集成安全性和合规性价格接下来介绍几款常见的CI/CD工具，以及每种工具的使用场景。JenkinsJenkins是领先的开源自动化服务器，

Fastjason是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。由于其序列化jason文件速度快且中文文档非常全面，所以为国内广大开发人员所应用。fastjson是目前java语言中最快的json库，比自称最快的jackson速度要快。第三方独立测试结果可参考：https://g

世界上近一半的大型网站使用外部生成的JavaScript，这使它们成为网络攻击者窃取数据、窃取信用卡和执行其他恶意行为的目标。Source Defense的新分析发现，在大多数网站上都存在大量第三方(甚至是第四方)脚本，它们相对容易被用来潜入恶意代码。许多组织可能比他们想象的更容易受到第三方JavaScript在他们网站上的风险。通常情况下，当网页调用第三方脚本时，会直接从属于第三方的外部服务

Perforce Software与 Automotive IQ对全球近600名汽车开发专业人士进行调查，分析了汽车软件开发现状并反馈了当前开发实践和新兴趋势。主要调查结果表明，随着汽车市场继续快速发展，人们对汽车软件安全的关注日益增加。随着自动驾驶、半自动驾驶、电动汽车和联网汽车市场的持续增长，软件在汽车发展中变得更加重要。车辆中安装的软件数量增加会导致在开发过程中需要考虑更多的安全问题。事

随着企业将越来越多的关键任务系统迁移到云上，云迁移的安全风险越来越受到关注。云安全现在已经被很好地理解了，并且有完善的工具和方法来保护云工作负载。然而，这些安全方法在从内部部署到云环境的交叉过程中可能会崩溃，导致灾难性的入侵或数据暴露。什么是云迁移?云迁移涉及到将应用程序、数据和其他数字资产从本地数据中心迁移到云中。这些应用程序可能是自定义构建的应用程序，也可能是组织从第三方供应商获得许可的应用程

制造业的数字化转型，通常被称为工业4.0，正在为现代工厂带来连接性和效率的新世界。智能工厂将新技术，如工厂自动化、人工智能和物联网等整合到生产和供应链的各个层面。无论是工厂车间的机器人，提高安全性的可穿戴设备，还是通过物联网监控设备数据，采用工业4.0是行业持续成功和创新的前进之路。数据显示，智能工厂设备市场预计将从2021年的2956.5亿美元扩大到2026年的5000亿美元以上。然而随着工业4

DNV对全球940多名能源行业专业人士发起一项调查，发现超过五分之四的电力、可再生能源和石油和天然气行业的专业人士认为，对该行业的网络攻击可能导致运营关闭(85%)和能源资产和关键基础设施受损(84%)。74%的人认为攻击会危害环境，57%的人认为攻击会造成生命损失。近年来，随着能源行业出现一系列备受瞩目的安全漏洞，人们对网络攻击带来的新的和更极端的后果担忧日益加剧。DNV的研究还表明，随着国家冲

由于无处不在的联网计算机、云计算和移动技术，网络攻击变得更加普遍和多样化。大量连接的设备为网络犯罪分子提供了大量可供攻击的接入点，而这些接入点缺乏足够的安全性。物联网的兴起引发了一波不断扩大的网络攻击浪潮，网络欺诈经常出现在新闻中。为什么我们需要基于人工智能的网络安全传统的网络安全方法需要大量的人力来识别威胁、提取其属性并将其编码到可以检测威胁的软件中。但是人类无法再扩展以充分保护动态的企业攻击面

容器彻底改变了开发过程，是DevOps行动的基石，但容器带来了复杂的安全风险，而这些风险并不总是那么明显。不降低这些风险的组织很容易受到攻击。本文概述了容器是如何促进敏捷开发的，容器带来了那些独特的安全风险，以及企业可以怎么做来保护容器的工作负载，超越DevOps来实现DevSecOps。为什么容器如此迅速地流行起来?容器在很多方面都是虚拟化的演进，用来加快开发过程，创建从开发到测试和实施的更敏捷

Log4Shell 可能是有史以来发现的最具破坏性的软件缺陷之一，它的出现证明不断对现有网络安全方法进行审查是正确的，也说明仅靠严格地从加强网络边界角度来考虑安全性并不能完全保证网络安全。在云计算仍在蓬勃发展的时代，Log4Shell也暴露了应用程序安全性和可视性之间存在的巨大差距。在Log4Shell紧急事件发生近6个月后，仍有大量公司受到影响就是明证。这可以归结为：漏洞管理不足和缺乏可见性

随着企业越来越依赖开源代码，在享受使用开源代码便利的同时，开源代码的安全问题也成为企业的”安全噩梦“。开源代码是一把双刃剑开源的核心是即用型软件，可以帮助团队缩短开发时间提高开发人员效率。但开放源码是在社区参与的基础上开发。如果社区对项目失去兴趣，或者关键人员被召集到另一个项目中工作，开发就会停滞。此外，由于开发人员认为定位和修复bug是社区的责任，所以bug可能会被忽略。当社区对漏洞或缺陷的修补

据Cyber Security Works (CSW)的一项威胁研究显示，自2022年1月发布《勒索软件焦点报告》以来，勒索软件利用漏洞增加了7.6%。在上个季度，勒索软件攻击几乎每天都能成为头条新闻，Lapsus$和Conti等组织的名字遍布整个页面。Okta、Globant和厨具制造商Meyer Corporation等主要组织都成为了受害者，而且还有更多。数据表明，不断增加的漏洞、新

在IT流行语的字母组合中，DevSecOps是一个很容易让人混淆的缩写。DevSecOps是一个特定工具吗?是否有DevSecOps流程或最佳实践?DevSecOps 应该成为内部 IT 部门的优先事项，还是更广泛的公司理念?如果一个公司已经利用了DevOps的流程和技术栈，那么它应该升级到DevSecOps吗?或者这只会让已经超负荷的流程变得更复杂吗?DevSecOps不仅仅是一个流行的词，它已

越来越多的威胁行为者将供应链攻击视为进入企业网络的切入点。

疫情将网络安全带到了一个关键的转折点。根据一项针对全球14个不同行业和16个国家/地区的1000多家大型企业的最新调查，2020年到2021年，受访企业遭受的重大网络安全事故数量增加了21%，网络安全预算增长了51%，从占公司总收入的比例从0.53%上升到0.80%。此外，首席信息安全官(CISO)的角色也有所扩大，许多人负责数据安全(49%)、客户和内部欺诈(44%)、供应链管理(34%)、企业

DevOps通过引入更具协作性的开发环境并弥合开发人员和运营人员之间的差距，彻底改变了软件的开发和部署方式。同时确保满足消费者或市场需求的灵活性。但是，最好在组织中实施适当的DevOps生命周期，以充分利用DevOps提供的优势。什么是DevOps生命周期?DevOps生命周期由DevOps流程中涉及的不同阶段组成，以指导用户从开发到部署和监控。它提供了一个标准化的结构，将 DevOps 实践

什么是SAST?SAST(Static Application Security Testing)是构建安全代码的基础。在谈到左移安全性时，SAST是一个解决方案，其中包含一些强大的工具可以集成到软件开发生命周期中。开发人员或许都熟悉静态应用程序安全测试 (SAST) 工具，并且每天都会使用集成到其 IDE 中的工具。但目前很少有人将SAST添加到他们的CI/CD管道中。什么是静态应用程序

随着勒索软件攻击的不断增加和网络犯罪分子变得越来越老练，仅靠被动防御的思想已经无法完全抵御网络威胁参与者的进攻。采取更加积极主动的方式来降低网络攻击对网络世界的影响越来越重要。通过全面掌握组织系统的安全程度、了解各项来源及指标、安全检测和威胁警告，有助于企业面对网络风险时可以快速检测、隔离和响应。威胁情报是培养攻击性思维方式的关键组成部分。这就是为什么主动进行网络安全审计可以成为阻止网络攻击影响组