网站搜索
什么是漏洞管理？
漏洞管理是识别、评估、确定优先级、修复和报告 Web 应用程序、计算机、移动设备和软件中的安全漏洞的过程。
持续漏洞管理是网络安全和网络安全不可或缺的一部分，并且位于互联网安全中心 （CIS） 的基本安全控制列表中，并指出组织需要“不断获取、评估新信息并对其采取行动，以识别漏洞，并修复和最大限度地减少攻击者的机会窗口。”
简而言之，漏洞管理为组织提供了一个流程，用于识别可能的攻击媒介、确定其优先级并修复这些攻击媒介，并最大限度地减少其攻击面。
什么是漏洞？
漏洞是网络攻击可以利用的弱点，可以未经授权访问计算机系统或在计算机系统上执行未经授权的作。漏洞可能允许攻击者运行代码、访问系统内存、安装恶意软件以及窃取、破坏或修改敏感数据。
安全团队最关心的漏洞是可蠕虫漏洞，例如 WannaCry cryptoworm 勒索软件攻击。计算机蠕虫是一种自我复制的恶意软件，它会感染其他计算机，同时在受感染的系统上保持活动状态。
蠕虫通常依赖于网络协议、
阅读更多 →漏洞和错误配置有什么区别？
漏洞评估是任何完整安全工具链的必要组成部分，对于任何希望提高安全性的人来说，漏洞评估都是最明显的起点。具有讽刺意味的是，从漏洞评估开始实际上会降低组织的整体防御能力，因为它将重点从大多数中断和违规的原因上转移：配置错误。
错误配置 - 不是很酷，但极其重要
复杂、引人注目的网络攻击最受关注，部分原因是它们很可怕，部分原因是它们很酷。利用 CPU 使用率引起的温度波动在气隙系统之间传输二进制文件很酷。登录用户名和密码未更改默认值或挂在显示器上的便利贴上的系统时，这并不酷。这些攻击媒介中的一种比另一种更有可能发生在您身上。鉴于资源有限，您最好投资于更有可能的风险。
用日常术语来说，跳过配置完整性直接跳到漏洞检测，就像上了如何与鳄鱼摔跤的课程，然后解开安全带开车去那里。虽然您在遇到鳄鱼时可能会好得多，但由于错过了基本要素，您增加了总体死亡风险。
了解导致数据泄露的主要安全错误配置>
完整性、可用性和机 阅读更多 →
前 20 名 OWASP 漏洞及其解决方法信息图
开放 Web 应用程序安全项目 （OWASP） 是一个成熟的组织，致力于通过创建工具、文档和信息来提高 Web 应用程序的安全性，后者包括每年排名前 10 位的 Web 应用程序漏洞。以下是其列表中显示的最新关键漏洞的汇编，以及如何修复每个漏洞的信息。
主要 OWASP 漏洞
1. SQL注射
描述：当数据从不受信任的来源进入应用程序并用于动态构造 SQL 查询时，就会出现 SQL 注入漏洞。SQL 注入可能会导致数据丢失或损坏、缺乏问责制或拒绝访问。注入有时会导致主机完全接管。
修复/建议：必须使用适当的服务器端输入验证来过滤掉用户输入中的危险字符。此外，使用准备好的语句/参数化存储过程可以确保将输入作为文本处理。
示例代码片段（输入验证）：
字符串 input=re 阅读更多 →什么是漏洞评估？以及如何进行
漏洞评估是对 IT 基础架构中的安全漏洞进行识别、分类和优先排序的过程。全面的漏洞评估可评估 IT 系统是否暴露于已知漏洞中，为已识别的漏洞分配严重性级别，并在需要时推荐补救或缓解步骤。
漏洞评估是一种常见的安全程序，因为它们提供了组织可能面临的安全风险的详细视图，使他们能够更好地保护其信息技术和敏感数据免受网络威胁。
漏洞可以在第三方供应商管理的应用程序或内部制造的软件中找到，并且许多缺陷一旦发现就很容易修复。
为什么漏洞评估很重要？
漏洞评估非常重要，因为它为您提供有关环境中安全弱点的信息，并提供有关如何在问题被利用之前修复或缓解问题的说明。
此过程可让您更好地了解 IT 基础架构、安全漏洞和整体风险，从而大大提高信息安全和应用程序安全标准，同时降低网络犯罪分子未经授权访问您的组织的可能性。
漏洞评估有哪些不同类型？
漏洞评估有几种类型：
阅读更多 →如何修复 Django 的 10 大安全漏洞
流行的高级 Python 框架 Django 因其易用性和实用性设计而广受赞誉，但与所有软件一样，它容易受到自身的关键漏洞的影响。MVC 框架完全使用 Python 构建，拥有相当大的社区，并且可以通过应用程序插件进行扩展以获得其他功能。然而，无处不在是有代价的——在这种情况下，Django 的开源流行意味着默认攻击媒介也广为人知。
应用程序层越来越多地成为黑客的渗透目标，运行全栈 Python 并不比任何其他应用程序堆栈多/更不易受到攻击。事实上，BitBucket、dpaste 和 Mozilla Support 都在将 Python/Django 用于其任务关键型 Web 产品，因此不用担心——有效的漏洞管理和对现有 Django 安全漏洞的可见性可以大大加强基于 Django 的 Web 应用程序抵御攻击。
查看我们的文章 Full Stack Blues，了解其他应用程序堆栈中的漏洞。
Django 的 10 大漏洞
阅读更多 →什么是漏洞？定义 + 示例
漏洞是网络犯罪分子可以利用的弱点，可以未经授权访问计算机系统。利用漏洞后，网络攻击可以运行恶意代码、安装恶意软件，甚至窃取敏感数据。
漏洞可以通过多种方法利用，包括 SQL 注入、缓冲区溢出、跨站点脚本 （XSS） 和开源漏洞利用工具包，这些工具包用于查找 Web 应用程序中的已知漏洞和安全漏洞。
许多漏洞会影响流行的软件，使使用该软件的许多客户面临更高的数据泄露或供应链攻击风险。此类零日漏洞由 MITRE 注册为常见漏洞披露 （CVE）。
漏洞示例
有几种不同类型的漏洞，具体取决于它们
阅读更多 →Log4Shell：Log4j 漏洞紧急情况的明确解释
自 2021 年 12 月 1 日以来，与开源日志记录库 Apache Log4j 2 相关的漏洞已被积极利用，影响了全球无数数字产品和服务。
为了帮助您快速了解此事件、其影响以及如何应对，我们在这篇文章中总结了 Log4Shell 的重要细节。
Log4Shell 漏洞摘要
Log4j 框架中的一个关键安全漏洞允许网络犯罪分子通过一次恶意代码注入来破坏易受攻击的系统。
该漏洞与称为 Log4J 的用户活动记录器有关，Log4J 是由 Apache Software Foundation 免费分发的日志记录库。
Java 在各种数字产品中实施，包括云解决方案、Web 服务器和应用程序，这使得这些产品都容易受到 Log4Shell 漏洞的利用。
由于此安全漏洞非常普遍，而且大多数组织都不知道他们受到了影响，因此网络犯罪领域目前正在掀起漏洞利用的狂潮。安全研究人员每小时发现大约 1000 万次 Log4Shell 漏洞利用尝试。
零售业遭受
阅读更多 →什么是漏洞修复？
漏洞修复是在组织的 IT 环境（可能包括计算机、数字资产、网络、Web 应用程序和移动设备）中查找、解决和消除安全漏洞的过程。
修复是漏洞管理流程中最重要的步骤之一，对于保护网络、防止数据丢失和实施业务连续性至关重要。
现代数字风险管理和不断增长的数据量显著影响了组织处理其漏洞管理流程的方式。美国国家漏洞数据库的报告指出，自 2016 年以来，系统、网络和设备中的 CVE（常见漏洞暴露）显着增加，为威胁行为者和黑客创造了一个网络“游乐场”。
许多组织仍然没有适当的措施、政策和策略来进行有效的漏洞修复。企业努力应对修复挑战，经常将所有资源用于错误的领域，并减慢系统速度。
本文将仔细研究企业应如何修复其漏洞。该过程包括评估威胁态势、了解风险承受能力和实施攻击面管理策略。
什么是漏洞？
漏洞是一种可利用的弱点，它将潜在的攻击媒介暴露给组织的网络空间、IT 基础设施、软件应用程序和数字资产。网络犯罪分子经常利用漏洞来未经授权访问组织系统、破坏数据并窃取有价
阅读更多 →什么是漏洞披露计划？
漏洞披露计划 （VDP） 是结构化的框架或流程，供组织记录、提交和向所有其他相关组织报告安全漏洞。做好准备并能够在漏洞成为问题之前解决漏洞是任何网络安全策略的重要组成部分。
虽然法律目前没有要求 VDP，但美国政府鼓励将漏洞披露计划作为实现网络安全的积极方法。成功的 VDP 可以管理整个攻击面上可能存在的风险，从而在事件发生之前保护您的组织和数据免受事件的影响。
了解 UpGuard 如何帮助组织检测漏洞和风险 >
什么是漏洞披露计划？
网站或软件应用程序可能包含数千行代码，其中可能包括未在内部捕获的错误，即使通过软件开发过程中的例行测试也是如此。这会产生黑客或网络犯罪分子可以利用的潜在漏洞。
漏洞披露计划是一个统一的流程，安全研究人员、最终用户和更大的网络安全社区可以在其中报告公司可公开访问的、面向 Web 的资产中的安全缺陷/漏洞。此方法包括自愿提交的漏洞报告、漏洞排名和监控任何修复过程。
当安全研究人员发现漏洞时，您的组织可以在这些区域
阅读更多 →LastPass 数据泄露（事件时间表和主要教训）
2022 年 8 月，LastPass 遭受了一次数据泄露，影响不断升级，最终导致大量用户转向替代密码管理器解决方案。
这篇文章概述了 LastPass 网络攻击期间的事件时间线和重要教训，以帮助您避免遭受类似的命运。
了解 UpGuard 如何简化供应商风险管理>
LastPass 数据泄露期间的事件时间表（2022-2023 年）
为了最有效地从此次 LastPass 网络安全事件中吸取重要教训，了解 Lastpass 响应工作的完整背景会有所帮助，如下面的关键事件时间表所示
8月 25， 2022
事件：检测到未经授权的访问
LastPass 首席执行官 Karim Toubba 发布了一份通知，通知用户 LastPass 开发环境中检测到异常和可疑活动。
- Kar
阅读更多 →