中科天齐软件安全中心

随着企业转向云，逐渐增加对云应用和数据安全的关注。但是，即使边界不像过去那样被定义，网络安全仍然是基本的信息安全最佳实践之一。...

成功的网络攻击最重要的因素之一是足够的访问权限。在安全得到充分考虑的应用程序中，外部用户通常没有足够的访问权限来造成伤害。...

安全漏洞是应用程序堆栈中的缺陷，攻击者在网络攻击期间利用这些缺陷获得未经授权的访问。常见的攻击模式包括利用这些安全风险在目标系统上安装恶意软件、访问/修改敏感数据和运行恶意...

Common Weakness Enumeration ( CWE ) 数据库是一个社区开发的项目，它提供组织技术堆栈的软件和硬件中的常见漏洞目录。该数据库包括对常见弱点的...

什么是SAST，什么是 DAST? SAST(静态应用程序安全测试)是一种白盒测试方法，它直接检查应用程序源代码，可以在编码阶段查找已知/未知的安全漏洞。...

勒索软件是一种恶意软件，被网络犯罪分子用来阻止用户访问他们的系统或文件。网络犯罪分子通过对数据进行加密锁定来威胁受害者支付赎金，否则将泄露、破坏或扣留敏感数据。...

根据SDLC的不同阶段，有不同的方法来确保应用程序和网络安全。一些标准方法包括： 设计评审 此阶段通常包括威胁建模实践，安全团队在此阶段审查应用程序的设计和体系结构，在开始...

软件漏洞在整个开发生态系统中传播和积累，从小代码片段到大型程序。一般来说，最大的软件产品必须应对大量漏洞才能维持运营。...

DevOps已经成为成功数字化转型不可或缺的软件开发方法。根据最近的一项调查，到2026年，DevOps市场规模将超过200亿美元，从2019年到2026年将以24.7%的...

勒索软件是当今组织面临严重的网络安全威胁。勒索病毒感染组织的方式之一是通过DevOps管道——Kaseya攻击就是一个很好的例子。...

据 Gartner 数据显示，API安全漏洞在2021年惊人地增长了600%，很可能成为威胁参与者的首要攻击媒介。DevOps在防御勒索软件攻击的实践能否用于提高API的安...

在SolarWinds公司遭受大规模网络攻击一年多之后，被攻击的公司继续受到其声誉和财务损失的影响。此外，全球软件供应链仍然容易受到严重的攻击。...

DevSecOps是一种现代的应用交付方法，它将安全贯穿于应用开发、部署和操作整个流程。鉴于现代应用程序的分布式特性，自动化被认为是持续集成安全分析和动态工作流威胁缓解的关...

无代码开发平台是构建网站、应用程序或其他软件产品的便捷助手。但在使用这些工具时，应该考虑其安全性，这样可以避免许多未知的缺陷或安全问题引入到应用软件中来。...

当合法用户被拒绝访问他们有权访问的网络、系统、设备或其他资源时，就会发生拒绝服务。这包括他们的电子邮件、电子银行账户、公共在线服务等。...

随着企业数字化转型，与数字化有关的产品和运营同样需要保持同步。然而在快节奏的开发环境中，如何链接产品的快速迭代与安全性成为问题。...

跨站脚本(XSS)和跨站请求伪造(CSRF)，它们将恶意脚本注入目标系统，以进一步利用技术栈或窃取用户数据。...

RCE 攻击包括通过使用系统某个级别的漏洞在系统中注入和执行恶意代码。这允许攻击者在系统中执行命令、窃取、损坏、加密数据等。...