ITPub博客

人工智能是把双刃剑，既可以是用于网络安全防御的强大工具，又可能被网络攻击者利用来破坏安全。根据麦肯锡的数据，2024年，多个地区和行业的人工智能采用率从前几年的约50%飙升至72%。但人工智能系统复杂的性质和庞大的数据需求也使它们成为网络攻击的主要目标。例如，人工智能系统的输入数据可能会在对抗性攻击中被操纵，从而产生不正确或破坏性的输出。潜在的 AI 网络威胁AI 引入了需要特定防御的新攻击媒介。

随着数字化转型发展，对应用软件的使用需求使开发团队承受着越来越大的压力，他们要用更短的开发生命周期构建更优异的应用程序。然而，由于修复安全漏洞的负担不断增加，往往会拖慢开发进度。有效的AppSec程序可帮助开发人员从紧急修补和修复转向从一开始就专注于交付安全、功能丰富的应用程序。通过将安全性嵌入到开发过程中，团队可以确保安全代码被无缝集成。通过适当的协作和规划，利用工具和自动化，可以更快地修复安全

网络安全威胁是多方面的，而且通常相互关联并正在迅速加速。勒索软件、民族国家攻击、内部失误和第三方。所有这些都给寻求保护其组织和客户免受网络攻击及其后果的企业带来了风险。供应链越来越容易受到网络漏洞的影响。即使是一个看似很小的入口点(例如，旧系统上过时的密码)也可能为巨大破坏打开大门，从而影响甚至关闭整个企业。什么是供应链攻击，是如何发生的?供应链攻击是网络犯罪分子精心策划的攻击，目的是发现并利用支

随着对数字经济的日益依赖，组织在寻求业务增长的过程中努力提高效率和速度，并促进变革。在追求运营效率的过程中，有两种现代战略值得一提：AIOps和DevOps。什么是 AIOps?人工智能的快速发展带来了一些新的潜在机遇和挑战。如今，人工智能以多种方式推动企业的业务增长。IT运营人工智能(AIOps)是一个涵盖大数据、数据挖掘、机器学习(ML)和人工智能的新概念。AIOps是一种将AI与IT操作相结

MITRE 分享了从 2023 年 6 月至 2024 年 6 月期间披露的 31,000 多个漏洞背后最常见和最危险的25个软件弱点列表。软件弱点是指在软件的代码、架构、实现或设计中发现的缺陷、错误、漏洞和错误。攻击者可以利用这些弱点来破坏运行易受攻击软件的系统，从而能够控制受影响的设备并访问敏感数据或触发拒绝服务攻击。“这些漏洞通常很容易找到和利用，可能会导致可利用的漏洞，使攻击者能够完全接管

随着人工智能在社会中变得越来越普遍，在网络安全领域也取得了进展。当我们利用新的人工智能工具来加强网络安全时，网络犯罪分子也在利用同样的技术进行更复杂的攻击并试图突破我们的防御。

DevSecOps 确保安全性是开发生命周期的核心组成部分。通过从一开始就嵌入安全实践，组织可以：及早发现漏洞：主动式安全措施有助于在问题升级之前发现问题，从而降低补救成本。增强合规性：从一开始就满足安全性和合规性要求，可以最大限度地降低处罚风险。加速交付：将安全性集成到开发中可以简化流程，在不牺牲质量的情况下实现更快的软件交付。加速协作：DevSecOps 鼓励开发、运营和安全团队之间的团队合作

随着漏洞的数量和复杂性的增加，组织正在努力管理和缓解安全缺陷。

在不断发展的软件开发世界中，安全性变得越来越重要。应用程序现在更加复杂和互连，这意味着存在许多潜在的漏洞入口点。这些缺陷可能隐藏在软件的深处，在造成严重问题之前通常不会被注意到。软件物料清单 (SBOM) 在这里可以发挥作用。SBOM作为用于创建软件应用程序的所有组件、库和模块的详细清单，在软件供应链中提供了透明度。

在当今的数字环境中，敏捷性至关重要。但公司如何在不影响安全性的情况下实现这种速度呢?借助正确的策略和工具，组织可以实现快速、安全的交付管道。1. 自动化安全性以实现速度和一致性自动化是DevSecOps实践的基石。通过自动化执行安全任务，组织可以保持持续交付所需的速度和一致性，不会因为人工干预而减慢流程。自动化在开发周期的早期经常进行静态、动态及开源组件的安全测试，使开发人员能够在漏洞升级为更严重

API使应用程序能够交换和使用数据和服务。由于能够访问组织的敏感数据，API成为恶意攻击者和威胁参与者的一个有吸引力的目标。组织需要保护API以保护企业资源，以及使用API的其他应用程序和组织。团队应该执行API安全性测试，以确保API在负载下仍然可用。测试还需要确定API公开的数据和资源的机密性、完整性和可用性。API安全测试应该是全面和持续的，以便能够及时处理发现的漏洞并修复，增强企业对网络攻

缓冲区溢出漏洞是一种常见的安全漏洞，发生在程序尝试向预分配内存空间填充数据时，超出其预定大小，进而覆盖了不应被修改的数据区域。这种漏洞通常发生在输入验证不足的情况下，攻击者可能会利用它来注入恶意代码、改变程序流程甚至获取系统控制权。例如，在处理用户输入的字符串时，如果开发人员没有正确检查输入长度，就可能导致字符串越界并覆盖相邻的内存位置。缓冲区溢出漏洞在C/C++等未管理内存的语言中比较常见，主要

注入攻击指的是针对注入漏洞的任何类型的攻击——注入漏洞是一大类网络安全漏洞，其中包括几个严重的应用程序安全风险。尽管攻击向量种类繁多，但注入攻击的共同点是攻击者能够通过未经验证的用户输入将有效负载插入已执行的应用程序代码中。根据具体的漏洞和攻击目标，注入可能涉及数据库查询、JavaScript代码、本机应用程序代码、操作系统命令等。一旦成功，注入攻击可能会产生各种各样的后果，从泄露不太敏感的信息到

CI/CD安全性可以保护管道免受恶意行为者的攻击，这些恶意参与者可能提升特权、窃取数据或禁用系统。CI/CD管道安全性包括代码扫描、安全审查、审计、依赖检查和其他形式的风险管理。

对于企业来说，代码库是其宝贵的资产。然而目前勒索软件即服务 (RaaS)攻击以 CI/CD 管道为目标，劫持或破坏代码已成为一种趋势。首先来看下典型的勒索软件生命周期。感染：攻击者通常通过恶意依赖项、脚本漏洞或受损的构建服务器渗透到系统中。横向移动：他们暗中探索网络，寻找关键资源和代码存储库。加密：嵌入后，勒索软件有效载荷就会开始行动，加密文件和代码库。勒索：勒索赎金，或者随着时间推移威胁要加

生成式人工智能(GenAI)的出现正在引领软件测试的新时代。通过简明语言指令来自主生成测试自动化代码，同时，可以让没有编码专业知识的人参与测试框架进行交互，从而简化测试自动化流程。

不安全反序列化是一种针对 Web 应用程序和 API 的许多攻击链的一部分的漏洞，。易受攻击的应用程序将在不验证数据的情况下加载数据，从而允许攻击者操纵反序列化过程并执行恶意代码。虽然不安全反序列化并不总是作为独立漏洞报告，但可能会对网络安全造成严重后果，包括远程代码执行 (RCE)、拒绝服务 (DoS) 和身份验证绕过。什么是序列化和反序列化?每个应用程序都需要存储和传输数据，通常包括内

哪些问题影响容器安全?

数据是当今数字时代极具价值的资产。从敏感的客户信息到专有的业务数据，组织和个人需要保护这些信息免受恶意行为者的攻击。包括在网上购物或注册服务时的姓名、地址和电子邮件地址、银行信息。医疗记录，如医生访问和处方，属于个人数据。甚至在网上发布或保存到手机里的照片或视频也算作数据。最后，还有涉及账户的用户名和密码。对于公司来说，数据可能包括客户信息，如姓名、联系方式或客户购买了什么。财务报告、员工信息(如

随着应用程序部署方式和环境的更改不断变化，加上且网络攻击变得越来越复杂和频繁，每年执行一次安全测试来了解组织的安全漏洞已经不够。如果不集成持续的测试，组织很可能面临合规问题或暴露潜在的安全漏洞，从而来带安全风险及经济损失。通过以下5个步骤，可以在组织中采用和实施持续安全测试。第 1 步：改变思维方式提高安全性状态的第一步始于改变对安全性测试方法的思维方式。由于在固定时间点进行渗透测试不再足以了解全