ITPub博客

DAST 和 SAST 工具采用不同的方法来测试应用程序安全性，在软件生命周期的不同阶段工作，并且具有不同的优势和局限性。

在全球各地各行各业不断受到攻击的情况下，可靠网络安全态势的需求至关重要。

虽然勒索软件在过去几年中一直是企业安全团队的关注重点，但软件漏洞问题正在紧随其后。基于云的应用程序和服务的蓬勃发展以及工作数字化程度的提高对网络攻击者来说是一个可利用的点，他们正在利用开发人员和DevOps团队试图更快，更智能地工作以满足需求。据估计，仅在过去十年中，每10次0day攻击中就有 4次发生在 2021 年。很多因素导致了这种增长。重用代码使得错误配置和漏洞在不同的程序中重新出现，

静态应用程序安全测试(SAST)和动态应用程序安全测试(DAST)是常用的安全测试方法，它们遵循不同的方法，在软件开发生命周期的不同阶段扫描应用程序代码及软件。

除了检测安全漏洞外，静态应用程序安全测试还能检测语义缺陷/运行时缺陷及安全编码标准/规范。

“唯一可持续的竞争优势是比竞争对手学得更快，并且能够根据你所学到的知识采取行动。”

现代软件应用程序由多个组件和服务组成，这些组件和服务相互交互。这些组件和服务共同支持各种流程、工具和库，形成软件供应链框架。软件供应链攻击是新兴的网络攻击，通过破坏单个组件来影响整个供应链。

数字世界只会变得更加高度互联，与此同时，我们需要进一步了解供应链中的这些潜在威胁，以免它们演变成更多严重的网络攻击。

网络安全每天都在变化并且变得更加复杂，面对未知的威胁组织需要随时做好准备。

据Oxeye透露，用于构建开发者门户的旧版本开源Backstage软件中发现了一个关键漏洞，未经身份验证的远程代码执行缺陷，允许攻击者在公开的系统上运行命令。该漏洞的严重性评级为9.8(满分10分)。问题在于 vm2 沙箱逃逸问题，研究人员披露了这个问题，警告了特定JavaScript沙盒库的广泛部署。由于 Backstage 使用 vm2 库，它也通过供应链受到漏洞的影响。“未经身份验证的威

这些漏洞也会影响企业版LiteSpeed Web服务器。通过链接和利用漏洞，攻击者可能会破坏 Web 服务器并获得完全特权的远程代码执行。

石油和天然气组织中使用的ABB Totalflow系统中的一个缺陷可被攻击者利用来注入和执行任意代码。

数字化进程加速使得产品的开发和迭代节奏变快，在加速产品发布的同时，CI/CD也容易受到网络安全问题的影响，如代码损坏、安全错误配置和机密管理不当。

对医疗保健的网络攻击正变得越来越致命、复杂和严重。采取主动防御措施有助于降低应用程序威胁带来的风险。

美国网络安全和基础设施安全局(CISA)发布了三份工业控制系统(ICS)公告，涉及 ETIC Telecom、诺基亚和台达工业自动化软件中的多个漏洞。CISA表示，其中最突出的是影响ETIC Telecom远程访问服务器(RAS)的三个缺陷，这些缺陷“可能允许攻击者获取敏感信息并破坏易受攻击的设备和其他连接的机器”。这包括CVE-2022-3703 (CVSS评分：9.0)，这是一个严

跨源资源共享(Cross-Origin Resource Sharing, CORS)是一种基于浏览器的机制，它指示浏览器在其web服务器域之外加载资源的允许来源。

近日，Dropbox披露了一个安全漏洞，网络攻击者利用在一次网络钓鱼攻击中窃取的员工凭据访问了Dropbox的一个GitHub账户，随后窃取了130个代码库。

勒索软件攻击对企业的影响是双重的。企业不仅要应对实际攻击的影响，还必须继续为可能发生的额外攻击做好准备。

数据泄露的平均成本将继续上升，根据IBM最新的数据泄露成本报告发现，在2022年，全球数据泄露的平均成本达到了435万美元的历史最高水平。这一数字比上一年增加了2.6%，比2020年增加了12.7%。企业在提高网络安全，加强数据保护方面可以采取哪些行动?

与2021年同期相比，2022年第三季度全球攻击增加了28%。全球每个组织的平均每周攻击次数超过1,130次。