ITPub博客

OWASP于11月6日发布的更新是自 2021 年以来的重大前10榜单更新，其显著特点在于强调供应链风险和系统性设计缺陷，而不仅仅是常见的软件编码错误。对于防御者而言，关键要点在于需要将应用安全、软件供应链监督和运营韧性实践更紧密地结合在一起。安全风险的真实本质Keeper Security 的首席信息安全官 Shane Barney 表示："2025 年 OWASP 十大榜单突

漏洞管理和补丁管理经常被同时谈论，但二者实则不同。理解其区别不仅是语义层面的问题，更关乎安全本质。要构建坚固的防御体系，需明晰这两个流程如何协同运作：一个负责扫描弱点，另一个则提供修复方案。什么是漏洞管理漏洞管理是通过持续性的发现、评估与修复循环，主动识别、评估、划分优先级并缓解企业IT基础设施中安全弱点的系统化流程。其核心环节包括：发现阶段 - 通过自动化安全检测工具主动扫描与被动监控相结合，识

生成式AI(GenAI)正在重塑软件开发方式。GitHub Copilot、ChatGPT等工具已迅速成为现代开发工具包中不可或缺的一部分，这些工具有助于提高开发效率、减少重复性工作并加快产品上市速度。这些工具能够给出代码片段建议、自动生成文档、预测漏洞，甚至指导架构决策。我们正进入一个开发者不再仅仅编写代码，而是与机器协作完成代码的时代。然而：AI生成的代码中可能潜藏着越来越多可利用的安全漏

人工智能(AI)已在多个行业用于流程自动化、提升效率、减少错误、数据分析和决策优化，帮助企业增强效率、创新力、生产力和客户满意度。软件开发领域同样引入了AI技术。

采用持续部署可以大大加快软件交付速度，但也引入关键的安全挑战。近年来，一些严重的全球规模安全漏洞(Solarwinds 和 Kaseya等)与软件交付基础设施的漏洞有关。持续部署可能会使情况变得更糟。随着代码变更为自动推送到生产环境，出错的余地缩小，而安全漏洞的影响可能会瞬间放大。这些问题引发了关键的安全担忧，需要我们审视这些风险是如何产生的，并寻找实际的缓解措施，以帮助团队安全地采用持续部署

中科天齐安全研究团队在Apache Roller开源博客平台发现一个重大高危漏洞，该漏洞可能允许恶意行为者在更改密码后保留未经授权的访问。中科天齐团队在发现漏洞后及时上报给Apache Roller项目维护团队，目前漏洞已被修复，团队成员孟海宁因发现并报告此漏洞获得致谢。该漏洞一经发现便迅速引发了国际网络安全领域媒体的广泛关注与热议。鉴于其潜在风险，我们郑重提醒广大用户，请务必高度重视并及

人工智能(AI)与DevSecOps的融合正在重新定义企业构建、保护和部署软件的方式。在组织加速功能发布的同时，如何在不拖慢开发进程的前提下管理安全风险并满足合规要求，已成为日益严峻的挑战。AI驱动的解决方案提供了一条主动识别漏洞、优化流程并实现实时强韧决策的创新路径。DevSecOps的演进DevSecOps通过将安全措施直接嵌入软件开发生命周期(SDLC)，扩展了传统DevOps的边界。它不再

在当今快速发展的软件开发领域，代码质量是决定软件成功与否的关键因素之一。静态代码检测作为一种重要的质量保障手段，正逐渐成为软件开发流程中不可或缺的一部分。通过对代码的静态分析，在不运行代码的情况下发现潜在的缺陷、漏洞和不符合规范的地方，从而帮助开发人员提前修复问题，提高代码的可靠性和可维护性。一、静态代码检测工具优势静态代码检测工具通过扫描源代码或编译后的中间代码，无需运行程序即可发现潜在缺陷、安

2023年Verizon数据泄露调查报告揭示了一个令人震惊的事实：基本的Web应用攻击占到了全部数据泄露案例的近四分之一。尽管这些攻击并非最复杂，但像凭据填充和SQL注入这类常见网络攻击仍在网络安全领域造成巨大破坏——就像网络钓鱼和新兴的基于AI的攻击一样。根据该报告，弱密码是这些低级攻击成功的主要原因。无论出于何种原因，这10种类型的网络攻击极为常见，尽管我们已经拥有众多不断进步的工具，但这些问

DevSecOps将开发(Dev)、安全(Sec)和运维(Ops)紧密结合，并将安全检查贯穿于软件开发生命周期(SDLC)的各个阶段。这种方法解决了开发、安全和运维团队之间的脱节问题，能够保障持续集成和持续交付(CI/CD)管道的安全，并生产高质量的软件。随着网络攻击的增加，DevSecOps已经成为一种必要，而不仅仅是一种选择。传统的安全方法由于依赖手动流程，速度较慢，难以应对快速变化的数字环境

静态代码分析工具SAST静态软件安全测试工具在不需要执行程序的情况下，获得程序编译时信息，并根据这些信息对特定的漏洞模式进行检测，从而完成软件的安全分析。静态分析考虑了程序所有可能的运行情况，稳妥的分析策略使得分析结果具备可靠性。静态分析的本质是建立程序的一个状态模型，分析程序是如何在这些状态之间转换的，通过字符串匹配、数据流分析、控制流分析、抽象语法树的语义分析等手段进行路径遍历，完成对状态空间

WuKong是一款国产静态代码检测工具，在不运行程序的情况下，直接对源代码进行检测，涉及编码规则规范、安全漏洞及运行时缺陷。目前已支持十多种编程语言，支持国家标准、行业标准及国际标准。WuKong在代码检测方面有以下优势：检测“深度”更深技术团队针对性地研究了软件安全测试中的关键难点问题——如何通过深度分析方法准确分析指针别名关系，并取得了突破性的进展。研究的深度分析方法能够大幅度提高已有安全测试

在当今的数字时代，网络安全比以往任何时候都更加重要。随着网络攻击手段日益复杂以及组织必须保护的数据量不断增加，人工智能(AI)在网络安全领域的应用已成为应对这些威胁的有力工具。然而，与任何技术一样，AI 在网络安全方面既有优势也有挑战。在网络安全中使用人工智能的优势1. 增强的威胁检测和预防人工智能在网络安全领域最显著的优势之一在于其能够实时检测和防范威胁。传统网络安全工具通常依赖预定义的特征

在关键领域核心技术自主化浪潮下，WuKong作为完全国产化的静态代码安全检测平台，已获得百余项软著专利，并取得CWE国际兼容认证。工具不仅支持Python、Java等主流语言的检测，具备的C/C++深度分析引擎更能检测更多的深度安全问题，是智能驾驶、航天控制等领域的代码安全首选解决方案。军工级缺陷检测体系针对C/C++复杂系统开发痛点，WuKong支持：内存安全防御：精准识别缓冲区溢、内存泄漏等高

在 Web 应用程序的安全领域，安全设计正从传统的被动防御模式向主动构建弹性系统转变。这种转变旨在将安全性从一种事后补救的措施，转变为软件开发的核心组成部分。无论是保护敏感数据、防止未经授权的访问，还是维护系统的完整性，安全设计都强调对潜在威胁的预测与有效缓解，从而确保系统在面对风险时具备更强的适应性和抵御能力。代码与安全性：设计安全的必要性传统上，安全与开发之间似乎总是存在难以调和的权衡，这

CrowdStrike 2024报告显示，2023年，具有云意识的入侵激增了110%。攻击者利用CI/CD漏洞泄露敏感数据并危害系统。与此同时，入侵的平均中断时间降至62分钟，企业几乎没有容错空间。CI/CD 安全性的重要性CI/CD 安全性是指在软件开发的编码、构建和部署过程中，确保整个管道的安全性。如果不加以保护，攻击者可能会利用漏洞，导致数据泄露、运营中断和信任受损。CI/CD

现代软件工程中，DevOps已从单纯的技术工具集演进为组织能力进化的核心范式。

动态应用程序安全测试(DAST)和静态应用程序安全测试(SAST)是检测应用程序漏洞的两个法宝。每种测试工具都有各自特点，并且在应用程序安全策略中扮演着不同角色。因此，了解如何挑选并整合这些工具，对于提升和优化组织安全态势至关重要。什么是 DAST，什么是 SAST?首先，咱们得明确这两个术语的定义，以及它们的设计初衷。什么是 DAST?动态应用程序安全测试(DAST)，说白了就是一种黑盒测试，它

现代技术并非绝对可靠，层出不穷的安全漏洞就是例证。当前，虽然构建安全系统是行业共识，但过度投入资源在安全防护上可能导致其他关键领域被忽视——例如用户体验优化、系统运行效率以及产品兼容性开发。这种资源分配的失衡往往在实际操作中使安全防护沦为形式化合规检查，仅满足最低标准。在涉及敏感数据处理时，这种妥协尤其危险，当前人工智能和机器学习(AI/ML)系统正面临这种风险：作为系统核心的数据资产，却未能获得

远程代码执行(RCE)简介当用户控制的输入直接作为命令由系统执行时，就会发生远程代码执行，从而使攻击者能够运行任意代码。 当未经清理的输入传递给系统级命令时，通常会出现此漏洞。依赖 Web 应用程序和面向用户的 API 会增加 RCE 的风险。这些接口通常处理大量用户生成的数据，为攻击者提供了充足的机会来利用安全性较差的输入路径。远程代码执行漏洞是如何发生的输入验证不足配置错误缓冲区溢出权