ITPub博客

不安全反序列化是一种针对 Web 应用程序和 API 的许多攻击链的一部分的漏洞，。易受攻击的应用程序将在不验证数据的情况下加载数据，从而允许攻击者操纵反序列化过程并执行恶意代码。虽然不安全反序列化并不总是作为独立漏洞报告，但可能会对网络安全造成严重后果，包括远程代码执行 (RCE)、拒绝服务 (DoS) 和身份验证绕过。什么是序列化和反序列化?每个应用程序都需要存储和传输数据，通常包括内

哪些问题影响容器安全?

数据是当今数字时代极具价值的资产。从敏感的客户信息到专有的业务数据，组织和个人需要保护这些信息免受恶意行为者的攻击。包括在网上购物或注册服务时的姓名、地址和电子邮件地址、银行信息。医疗记录，如医生访问和处方，属于个人数据。甚至在网上发布或保存到手机里的照片或视频也算作数据。最后，还有涉及账户的用户名和密码。对于公司来说，数据可能包括客户信息，如姓名、联系方式或客户购买了什么。财务报告、员工信息(如

随着应用程序部署方式和环境的更改不断变化，加上且网络攻击变得越来越复杂和频繁，每年执行一次安全测试来了解组织的安全漏洞已经不够。如果不集成持续的测试，组织很可能面临合规问题或暴露潜在的安全漏洞，从而来带安全风险及经济损失。通过以下5个步骤，可以在组织中采用和实施持续安全测试。第 1 步：改变思维方式提高安全性状态的第一步始于改变对安全性测试方法的思维方式。由于在固定时间点进行渗透测试不再足以了解全

忽视防范暴力攻击可能会使原本防御良好的系统变得脆弱，就像强链中被忽视的薄弱环节一样。

虽然当今的企业定期为其内部应用程序提供 API，允许它们与其他软件通信，但这些接口有时存在安全漏洞，使敏感数据面临风险。在最坏的情况下，它们为 API 攻击打开了大门，可能导致灾难性的数据泄露。一些主要的 API 风险来自发布 API，而另一些则源于使用 API 与其他地方的系统集成。API 发布风险身份验证错误或较弱为了确保安全使用，即使在内部，API应该使用身份验证机制。然而，在API开发

生成式人工智能技术的发展也让网络攻击者获得了优势，攻击者一直努力在不被发现的同时将人工智能用于网络攻击。提示注入是一种用于欺骗AI工具(如ChatGPT或Bard)绕过其正常限制的方法。攻击者通过使用提示来做到这一点——输入到大型语言模型(LLM)的文本或输入——执行以下操作之一：重写定义AI与用户交互方式和规则的控件。欺骗系统，让系统认为不再需要遵循这些规则。提示注入攻击的工作原理在基本层面上，

随着技术的发展，相关的威胁也在不断跟进，传统的安全防御措施本身已不足以抵御复杂多样的威胁。面对越来越复杂和频繁的网络攻击，组织需要调整其网络安全实践来应对多变的挑战。

软件供应链包含多个环节，如开发人员、基础设施组件、GitHub存储库等。而企业的软件供应链是否安全，取决于其最薄弱的环节。随着构建的软件复杂性以及对第三方组件的依赖增加，软件供应链中的潜在风险也在逐渐增大。一旦其中包含漏洞或缺陷就可能带来重大风险。软件供应链风险的类型第三方组件和开源库中的漏洞：使用第三方组件可以加快开发速度，但单个缺陷可能会影响多个应用程序。构建和开发工具受损：如果构建工具受损，

在软件行业中，多达 38% 的 IT 和信息安全专业人员估计，他们 21% 到 40% 的代码包含漏洞，13% 的人已经在大多数 (61-80%) 代码中发现了漏洞。如何在这些缺陷和漏洞问题成为威胁之前发现它们?常见的应用程序安全测试方法：SAST 和 DAST起到很大作用。什么是 SAST(静态应用程序安全测试)?SAST(静态应用程序安全测试)是一种自动的白盒测试，用于检查应用程序代码在其

当发生重大数据泄露事件时，人们很容易将注意力集中在所泄露的用户数据所造成的巨大声誉和经济损失上。然而，除了漏洞本身，不安全的代码还有另一个潜在的成本，这些漏洞和安全问题所产生的技术债务不断增加，并一直积累。通过从一开始就进行更安全的设计和使用安全的代码，可以使组织保持长期稳定的安全开发速率。当攻击发生时：计算有形成本当网络攻击者发现组织代码中的漏洞，能够通过漏洞访问数据库中的敏感信息，甚至泄露相关

在当今的技术领域，DevOps已经成为简化开发和运营流程的代名词。然而，当涉及到机器学习(ML)和人工智能(AI)时，传统的DevOps实践面临着独特的挑战。用于机器学习的DevOps(通常称为MLOps)的出现，为弥合数据科学、运营和创新人工智能应用之间的差距提供了框架。它使组织能够有效地开发、部署和管理ML和AI模型，促进数据驱动智能与运营工作流程的无缝集成。ML 和 AI 操作中的挑战开发和

移动应用程序对于远程办公的企业组织来说是不可或缺的。组织中的员工需要随时随地实时访问公司数据和后端系统。这就需要在应用开发和生产过程中进行移动应用安全审计。什么是移动应用安全审计?移动应用安全审计侧重于移动应用的安全方面。主要检查应用程序的代码、功能和架构，以找到攻击者可能利用的漏洞。与移动设备安全审计不同，移动设备安全审计评估设备安全性的所有方面，包括其操作系统和已安装的应用程序。应用程序审计通

网络安全威胁是多方面且相互关联的，随着勒索软件、软件供应链攻击、民族国家攻击等多种网络威胁的发展，为当今快速发展的数字世界带来巨大的安全威胁。在软件供应链攻击中，一个看似很小的切入点可能造成巨大的破坏，甚至关闭整个企业。什么是供应链攻击，如何发生的?供应链攻击是网络犯罪分子精心策划的攻击，目的是发现并利用支持组织运营的供应商、销售商和承包商(有时称为扩展企业或第三/第n方)连接网络中的漏洞。网络攻

DevSecOps是一种将安全性集成到DevOps管道中的战略方法，而不是将其视为事后的想法或单独的过程。

静态应用程序安全测试(SAST)是分析和测试应用程序源代码是否存在安全漏洞的过程。软件开发人员使用 SAST 在软件开发生命周期(SDLC)早期(即应用最终发布之前)查找并修复源代码中的缺陷。

对于通过人工智能来实现自动化检测、修复和智能监控进行安全开发流程检测来说，目前的情况还有待进步和发展。

随着国产软件的使用及对安全要求提升，越来越多的企业在关注软件开发安全及代码安全的同时，逐渐将选择目光放在国产化工具上。

动态应用程序安全测试 (DAST) 是在运行时分析 Web 应用程序以识别安全漏洞或缺陷的过程。在 DAST 中，测试人员在应用程序运行时检查应用程序，并试图像黑客一样攻击它。DAST 工具提供有关应用响应的信息，帮助开发人员识别和消除威胁。

JavaScript 是现代web应用程序的一个重要组成部分，这也导致跨站点脚本(XSS)成为一个常见的安全漏洞，使XSS攻击如果成功的话影响很大。