ITPub博客

现如今，在应用程序开发过程中，开源库、第三方组件和供应商集成构成了现代应用程序的大部分，但对于每个供应链组件，潜在的安全问题都可能为攻击者打开大门。网络安全中的供应链风险有哪些?网络安全中的供应链风险，一方面源于对第三方供应商的依赖，另一方面也由组织自身引入的缺陷有关。当企业自身的安全性是可靠的，安全性较差的供应商也可能为攻击者渗透系统打开大门。例如，如果供应商忽略修补其软件中的已知CVE(常见漏

受复杂的网络威胁、日益严格的监管和快速发展的技术的推动，2025年的网络安全形势将变得越来越复杂。2025年，企业将面临的挑战是，在继续提供无缝、便捷的用户体验的同时，保护客户的敏感信息。以下是将影响未来一年的新挑战和威胁。1. 人工智能是攻击者的武器随着网络犯罪分子越来越多地利用人工智能的力量实施高度复杂的攻击，人工智能的双重用途性质给组织带来了巨大风险。人工智能驱动的恶意软件可以实时改变其行为

数字化时代，为了跟上当今社会发展，公司正在以前所未有的速度生成更多的软件。在带来便捷的同时，软件构建和交付的数量和速度的增加为软件供应链中出错创造了更多机会。去年，Okta经历了一次重大的安全漏洞，网络攻击者通过其支持管理系统访问了私人客户数据，这凸显了第三方风险的危险。2020 年，SolarWinds平台更新机制遭到入侵，并被用于发送恶意软件，影响18,000多名客户。早在2017年，Eq

人工智能可以在提高检测和预防网络攻击的效率方面发挥重要作用，以下是人工智能在网络安全方面的几种帮助：1. 威胁检测和预防人工智能可用于实时识别异常行为模式，这可能预示着潜在的网络攻击。通过分析大量数据，人工智能系统可以检测到人工分析可能遗漏的异常情况，例如：• 入侵检测：人工智能系统可以通过分析网络流量模式和识别恶意活动或恶意软件来识别入侵企图的迹象。• 行为分析：人工智能可以随着时间的推移监控用

人工智能是把双刃剑，既可以是用于网络安全防御的强大工具，又可能被网络攻击者利用来破坏安全。根据麦肯锡的数据，2024年，多个地区和行业的人工智能采用率从前几年的约50%飙升至72%。但人工智能系统复杂的性质和庞大的数据需求也使它们成为网络攻击的主要目标。例如，人工智能系统的输入数据可能会在对抗性攻击中被操纵，从而产生不正确或破坏性的输出。潜在的 AI 网络威胁AI 引入了需要特定防御的新攻击媒介。

随着数字化转型发展，对应用软件的使用需求使开发团队承受着越来越大的压力，他们要用更短的开发生命周期构建更优异的应用程序。然而，由于修复安全漏洞的负担不断增加，往往会拖慢开发进度。有效的AppSec程序可帮助开发人员从紧急修补和修复转向从一开始就专注于交付安全、功能丰富的应用程序。通过将安全性嵌入到开发过程中，团队可以确保安全代码被无缝集成。通过适当的协作和规划，利用工具和自动化，可以更快地修复安全

网络安全威胁是多方面的，而且通常相互关联并正在迅速加速。勒索软件、民族国家攻击、内部失误和第三方。所有这些都给寻求保护其组织和客户免受网络攻击及其后果的企业带来了风险。供应链越来越容易受到网络漏洞的影响。即使是一个看似很小的入口点(例如，旧系统上过时的密码)也可能为巨大破坏打开大门，从而影响甚至关闭整个企业。什么是供应链攻击，是如何发生的?供应链攻击是网络犯罪分子精心策划的攻击，目的是发现并利用支

随着对数字经济的日益依赖，组织在寻求业务增长的过程中努力提高效率和速度，并促进变革。在追求运营效率的过程中，有两种现代战略值得一提：AIOps和DevOps。什么是 AIOps?人工智能的快速发展带来了一些新的潜在机遇和挑战。如今，人工智能以多种方式推动企业的业务增长。IT运营人工智能(AIOps)是一个涵盖大数据、数据挖掘、机器学习(ML)和人工智能的新概念。AIOps是一种将AI与IT操作相结

MITRE 分享了从 2023 年 6 月至 2024 年 6 月期间披露的 31,000 多个漏洞背后最常见和最危险的25个软件弱点列表。软件弱点是指在软件的代码、架构、实现或设计中发现的缺陷、错误、漏洞和错误。攻击者可以利用这些弱点来破坏运行易受攻击软件的系统，从而能够控制受影响的设备并访问敏感数据或触发拒绝服务攻击。“这些漏洞通常很容易找到和利用，可能会导致可利用的漏洞，使攻击者能够完全接管

随着人工智能在社会中变得越来越普遍，在网络安全领域也取得了进展。当我们利用新的人工智能工具来加强网络安全时，网络犯罪分子也在利用同样的技术进行更复杂的攻击并试图突破我们的防御。

DevSecOps 确保安全性是开发生命周期的核心组成部分。通过从一开始就嵌入安全实践，组织可以：及早发现漏洞：主动式安全措施有助于在问题升级之前发现问题，从而降低补救成本。增强合规性：从一开始就满足安全性和合规性要求，可以最大限度地降低处罚风险。加速交付：将安全性集成到开发中可以简化流程，在不牺牲质量的情况下实现更快的软件交付。加速协作：DevSecOps 鼓励开发、运营和安全团队之间的团队合作

随着漏洞的数量和复杂性的增加，组织正在努力管理和缓解安全缺陷。

在不断发展的软件开发世界中，安全性变得越来越重要。应用程序现在更加复杂和互连，这意味着存在许多潜在的漏洞入口点。这些缺陷可能隐藏在软件的深处，在造成严重问题之前通常不会被注意到。软件物料清单 (SBOM) 在这里可以发挥作用。SBOM作为用于创建软件应用程序的所有组件、库和模块的详细清单，在软件供应链中提供了透明度。

在当今的数字环境中，敏捷性至关重要。但公司如何在不影响安全性的情况下实现这种速度呢?借助正确的策略和工具，组织可以实现快速、安全的交付管道。1. 自动化安全性以实现速度和一致性自动化是DevSecOps实践的基石。通过自动化执行安全任务，组织可以保持持续交付所需的速度和一致性，不会因为人工干预而减慢流程。自动化在开发周期的早期经常进行静态、动态及开源组件的安全测试，使开发人员能够在漏洞升级为更严重

API使应用程序能够交换和使用数据和服务。由于能够访问组织的敏感数据，API成为恶意攻击者和威胁参与者的一个有吸引力的目标。组织需要保护API以保护企业资源，以及使用API的其他应用程序和组织。团队应该执行API安全性测试，以确保API在负载下仍然可用。测试还需要确定API公开的数据和资源的机密性、完整性和可用性。API安全测试应该是全面和持续的，以便能够及时处理发现的漏洞并修复，增强企业对网络攻

缓冲区溢出漏洞是一种常见的安全漏洞，发生在程序尝试向预分配内存空间填充数据时，超出其预定大小，进而覆盖了不应被修改的数据区域。这种漏洞通常发生在输入验证不足的情况下，攻击者可能会利用它来注入恶意代码、改变程序流程甚至获取系统控制权。例如，在处理用户输入的字符串时，如果开发人员没有正确检查输入长度，就可能导致字符串越界并覆盖相邻的内存位置。缓冲区溢出漏洞在C/C++等未管理内存的语言中比较常见，主要

注入攻击指的是针对注入漏洞的任何类型的攻击——注入漏洞是一大类网络安全漏洞，其中包括几个严重的应用程序安全风险。尽管攻击向量种类繁多，但注入攻击的共同点是攻击者能够通过未经验证的用户输入将有效负载插入已执行的应用程序代码中。根据具体的漏洞和攻击目标，注入可能涉及数据库查询、JavaScript代码、本机应用程序代码、操作系统命令等。一旦成功，注入攻击可能会产生各种各样的后果，从泄露不太敏感的信息到

CI/CD安全性可以保护管道免受恶意行为者的攻击，这些恶意参与者可能提升特权、窃取数据或禁用系统。CI/CD管道安全性包括代码扫描、安全审查、审计、依赖检查和其他形式的风险管理。

对于企业来说，代码库是其宝贵的资产。然而目前勒索软件即服务 (RaaS)攻击以 CI/CD 管道为目标，劫持或破坏代码已成为一种趋势。首先来看下典型的勒索软件生命周期。感染：攻击者通常通过恶意依赖项、脚本漏洞或受损的构建服务器渗透到系统中。横向移动：他们暗中探索网络，寻找关键资源和代码存储库。加密：嵌入后，勒索软件有效载荷就会开始行动，加密文件和代码库。勒索：勒索赎金，或者随着时间推移威胁要加

生成式人工智能(GenAI)的出现正在引领软件测试的新时代。通过简明语言指令来自主生成测试自动化代码，同时，可以让没有编码专业知识的人参与测试框架进行交互，从而简化测试自动化流程。