mztkn123456

原文链接：

嘶吼专访||蚂蚁集团网络安全部总经理王宇：原生安全范式——变幻维度，向安全本质前进

1、网络安全防御演进的三个趋势

蚂蚁集团网络安全部总经理王宇结合自身的安全建设实践经验，阐述了网络安全防御演进的三个趋势：

第一个趋势，表现为从安全对抗中的单点技术博弈到安全防护的整体协同。王宇谈到，在现代的安全攻防中，传统杀毒软件、防火墙、流量检测等单一技术或产品构建的安全防御，其弊端已被充分暴露。

第二个趋势，展现为从边界防御到对纵深防御和身份安全的重视。随着数字化技术的发展，万物皆数、万数上云成为了时代发展的大趋势，接入方式上也表现出随时随地的特点。安全需要面对的威胁不仅来源于外部，也可能发起于企业内部。

第三个趋势，展现为从被动防御到主动防御的思路转变。传统意义上的安全防护更像是：防御能力准备好了，静待敌人的攻击，防御水位相对静态。但我们都知道，给定足够的时间，攻击者一定会找到突破点。

2、原生安全范式

王宇谈到：“区别于具象化的技术和安全能力，原生安全范式本质上来说，是一种方法论，是用于指导企业如何开展安全建设，为企业安全架构设计提供的一种指导思想”，而这一思想正在重塑着现代企业的安全治理思路。

原生安全范式，包括了NbSP零越范式、OVTP可溯范式、以及ARCP攻击回报范式，分别从机制层、策略层和价值层为企业安全架构提供指导。

（1）OVTP可溯范式，即“操作者—凭证—可追溯范式”，它回答的是网络安全最本质的如何进行验证问题，即判定访问行为是否合规合理的依据。但区别于传统的RBAC模型和零信任等理念，OVTP可溯范式最大的突破在于研判过程中加入了对链路和凭证的考量。王宇举了一个非常形象的例子：“客服小二因工作需求可能会有访问用户信息的权限，但并不意味着可以随时随地任意的进行。访问的原因（如工单驱动），访问的路径（如通过工作电脑使用工作台访问）等，都应该作为判定某次访问是否合规合理的要素”。OVTP可溯范式在安全建设者如何进行合理全面的鉴权设计上给予了指引。

（2）NbSP零越范式则更加关注机制层面的保障。要求确保关键的检查点不可被绕过，其目标是确保系统中的安全机制被强制执行。对该范式的理解，王宇将其类比为“机场的安检环节设计，它要求覆盖全面，确保不存在能够直接进入机场内部的如下水道或通风管道等路径的存在”。作为对OVTP可溯范式的有效支撑，NbSP零越范式描述了安全防护建设的规划问题，确保所有路径均通过OVTP范式之下的检查链路，从而使得访问得到最大化的安全防护水位。

（3）ARCP攻击回报范式，主要用于指导网络空间的攻防对抗的有效性评估，引入经济学的投入产出模型，从而在对抗设计中给予更加全面的效果评估维度。王宇介绍，该范式是指导安全风险发生时，防御方如何评估对抗效果的一个原则。在实际的对抗中，ARCP范式要求安全防御方在对抗手段与攻击者重入成本之间进行比较。在实际的对抗中，防御方暂时对攻击者的某次攻击进行了成功的压制，但攻击者会不断考虑切换新的方式进行重入攻击。是否有效的提升攻击重入成本或者从根源上消灭风险，是企业需要从威胁对抗的方式选择角度重点进行评估的。

3、安全平行切面是原生安全范式落地的关键技术支撑

范式，归其根本是对实践的原则性指导，而原生安全范式的成功落地，离不开强有力的安全基础设施加持。安全平行切面作为面向企业数字生命体的新一代安全基础设施， 其成为了现代化数字机构落地原生安全范式的关键技术支撑。

安全平行切面体系的特色在于从技术层面解决了传统外挂式安全的不足。传统外挂式安全解决问题上如隔靴搔痒，缺乏业务理解， 并不能够很好的满足当下的安全防护诉求。安全平行切面提供的“内视”和“精准干预”两种能力，在应急攻防、安全布防、数据安全治理等场景下，有很强的应用场景。“让安全人员的重心回归安全，提供安全创新的基座”，王宇这样评价安全平行切面基础设施。企业安全人员可以快速组合利用切面原子能力进行创新、快速的灰度、部署和落地，而不需要考虑基础的诸如稳定性、资源调度等非专业领域话题，这显著提升了企业应急攻防与安全治理效果，为企业的数字化转型提供坚实保障。

王宇介绍，“切面技术在蚂蚁集团内部已覆盖超过95%以上的应用，核心链路覆盖更是达到100%。今年安全平行切面完成了3.0新底座能力的升级，有效支撑插件的隔离和调度。同时更新了支撑OVTP范式身份溯源的插件，以实现对访问链路更加高效精准的刻画。”

1、亚马逊证实员工数据遭到黑客入侵

此次数据泄露公开了超过280万条亚马逊员工的个人信息，其中包括姓名、联系方式、办公地点、电子邮件地址等。亚马逊称，这些数据是从第三方服务供应商的系统中被盗取的。公司表示，被入侵的供应商只获得了员工的联系信息，攻击者没有访问或窃取敏感的员工信息，如社会保障号码、政府身份证明或财务信息。亚马逊补充说，该供应商已修补了攻击者使用的安全漏洞。

原文链接：

Amazon confirms employee data breach after vendor hack

2、黑客利用Excel漏洞传播无文件Remcos RAT恶意软件

攻击的起点是一封钓鱼邮件，该邮件以购买订单为主题诱饵，试图说服收件人打开一个带有Microsoft Excel附件的邮件。Remcos RAT能够从被攻破的主机上收集各种类型的信息，包括系统元数据，并可以通过C2服务器远程执行攻击者发出的指令。这些命令允许程序收集文件、枚举和终止进程、管理系统服务、编辑Windows注册表、执行命令和脚本、捕获剪贴板内容、更改受害者的桌面壁纸、启用摄像头和麦克风、记录屏幕，甚至禁用键盘或鼠标输入。

原文链接：

Cybercriminals Use Excel Exploit to Spread Fileless Remcos RAT Malware

选自公众号：AI与安全

原文链接：

mp.weixin.qq.com

软件的安全，在研发段，以前叫SDL,后来逐步发展，到DevSecOps，近几年有个更响亮的名字，软件供应链安全。以SolarWinds为代表的供应链攻击，影响越来越大，软件供应链的安全显得越来越重要。

华为从大约20多年前就开始引入代码扫描工具，2010年前后引入STRIDE的威胁分析消减方法，并陆续引入各种先进的理念和工具，应该说始终走在产业前边。

华为云的流程方法已经从IPD变成DevSecOps,对软件供应链安全有比较完整的实践。主要内容包括以下部分：

1、开源软件管理

云的生态兼容性，决定了云对开源软件的应用是丰富多样的。据初步统计，华为云直接应用的开源软件超过5000种，如何管理好开源软件，其实是个非常大的挑战，在实际操作中，开源软件的管理是从下边几个方面进行的。

严格的选型。对开源软件的选型引入，要考虑很多因素，主要包括：1)License友好性，不影响商业使用的，不强制开源的，象MIT,Apache,BSD等比较受欢迎，而象GPL，尤其是V2,V3选择会非常慎重。2)社区活跃度，活跃的，持续更新的社区更受欢迎，防止后续无法更新。3)漏洞补丁响应能力，查看其历史上对漏洞的响应时间和速度，作为重要考量指标。4）代码质量也是重要考虑因素，引入前，会有人评估。

引入流程。在对开源软件做评估后，会有开源管理的相关组织评估批准，批准后引入。由于开源数量巨大，历史长，所以，历史上引入的，都可以直接用。几乎所有开源都有依赖，引入一个开源，其实同时也引入了其依赖软件，所以，引入流程只能对重点软件引入。有一段时间，华为整体搞了开源软件的Owner机制，一个开源软件有一个Owner,负责跟踪社区并对华为整体进行支持，但该方案过于理想，希望大家都做雷锋，互相帮助，实际执行并不理想。

分级分类管理。华为云把开源软件分为ABC三类。A类是对云的发展至关重要的软件，象OpenStack,KVM等，这些软件会安排专人实际投入开源社区一起工作，贡献开源，理解开源，确保自身规划与开源不冲突，这类软件不太多。B类软件是次重要的，但应用广泛，类似Nginx，Mysql这种，会对开源社区进行跟踪，有非常及时的响应机制，内部有严格的管理机制。C类软件是指相对小众，使用不多，管理相对松散。

基于SBOM的跟踪管理。由于开源软件众多，安全漏洞持续发现，如何管理好这些软件，是很大的问题。华为云自己建立了SBOM系统，要求所有的编译，必须从SBOM里获取代码，而不是从开源社区直接获取。SBOM会跟踪所有的编译和发布，并有系统与现网的部署关联，这样，在重要漏洞发现时，影响哪些版本，现网有多少服务器部署了该软件，可以迅速统计，并快速制定升级替换计划。

漏洞管理。每一次发布，都要做漏洞扫描，如果有CVSS>7的漏洞，必须处理掉才能发布。实际上，开源软件很多漏洞并不能得到及时处理，这种情况，要保证开源社区有BUG跟踪列表里有计划，如果没有，使用部门要主动向社区提交漏洞。在相关工作完成后，评估漏洞的风险，如果风险大，需要有解决或消减方案，如果风险小，带着漏洞也可以发布，具体情况具体对待。

变动。部分软件，引入时社区很活跃，但后来不活跃了，对漏洞等响应也不及时，这种情况，或者把该软件移除，或者把代码当成自研代码管理。

2、自研代码管理

自研代码的管理在华为云已经非常成熟，重点提两点：

Committer机制 。什么是Committer机制，就是代码提交的审核机制。软件质量是由代码质量决定的，而写代码的，相对是低级别的员工，甚至是外包。为解决软件低质量的问题，引入Committer机制，其实就是代码审核机制。开发人员写的代码不能直接入库，要Committer审核后方可入库。而Committer是通过考试、级别限制等选择出来的，并要对代码质量负责。二者合一，能够较好地提升软件质量。同时，Committer只能决定提交还是打回，不修改，也是一种内部安全机制，开发人员想在软件里留个后门，基本是不现实的。

代码扫描。这一块现在基本是研发过程的必备环节，华为在被制裁之前，一般会用国外的好的工具，比如PC-lint,Coverity,Fortify等，后来逐步换成国产及自研。代码扫描本身不难，但严格的管理流程，确保它落到实处，其实不是每个公司都能做到的。

3、测试、发布、升级

华为云走DevSecOps流程，其流水线是自研的，实际的测试、发布、现网升级均自动化。流水线上有门禁，其中有一个是专门的安全门禁，与门禁配合的，是安全测试云。

安全测试云里集成了安全扫描的相关工具，包括代码扫描，漏洞扫描，Web扫描，以及一些自研的扫描工具，类似日志扫描，敏感数据扫描等。扫描报告会自动提交给门禁，如果满足门禁要求，则可以发布，否则自动拦截。

云的整体质量要求里，有对发布成功率的要求，同时，虽然自动化，发布升级过程仍然是有人值守的，这种情况下，发布失败会对各方有影响。所以，测试分为小Beta和大Beta。先在小Beta里把问题解决掉，然后发布走大Beta，基本能保证一次性通过门禁，保证安全的要求能够覆盖到所有发布版本。

持续改善的机制建立在安全测试云上。现网，蓝军，或SIRT收到外部漏洞，会做根因分析，如果问题存在普遍性，则需要找到自动化的解决手段，可能是在现有扫描器上增加策略，也可能是新建一个扫描工具，系统性的解决该问题。相关能力持续积累，则安全会持续得到增强。

选自公众号：金融电子化

原文链接：

实战 | 安信证券云原生安全实践

安信证券云原生安全防护架构如图所示，包括安全研发生命周期、应用安全、数据安全、计算环境安全和安全管理五个部分。

1.安全研发生命周期

首先，安全开发。云原生的技术架构更加复杂，业务的需求调整、上线、变更也愈发频繁，传统的安全实践不足以适应云原生安全防护的要求。安信证券在云原生应用建设工作中，引入了安全左移的概念，在云原生应用建设初期即开展各项安全活动，设置关键卡点进行风险拦截。

在系统需求分析阶段考虑安全合规的需求、公司内部的安全管理需求和软件本身的安全功能需求等。通常包括通用的身份识别、认证、访问控制和授权、日志审计、敏感数据保护，还包括开源软件选型及外购软件供应链的供应商安全审查需求和安全交付要求等。制定开源软件的使用规范，管理开源软件资产和安全风险。在开源软件的源头进行统一管理，在流水线中自动化进行开源软件资产扫描识别和维护。

其次，安全交付。在应用系统制品的功能开发、软件测试和制品制作等过程中进行全方位的检测。在开发阶段集成静态安全检查工具和镜像扫描工具，检测代码中的安全缺陷和引用外部镜像的安全及合规问题；构建通用安全防护能力，向开发人员提供安全SDK或安全服务，使制品具备内生安全能力；实时获取自动化测试的请求数据，使用IAST安全检测工具，在应用运行状态下检测应用程序中安全漏洞；设置质量门禁，在各环节验证应用风险遗留情况，满足安全检测规范后的制品制作进入下一环节。

将安全管控措施无缝接入到应用生命周期管理流程，实现安全检测活动流程化；将安全扫描工具嵌入到开发流程中，在制品开发、编译、入库等过程中增加自动化监测点，在镜像流转的每一步进行自动化检测和卡点控制，保证制品安全。

第三，安全运营。K8S集群具备完善的RBAC权限控制体系，遵循最小化赋权的管理要求，为项目运维人员、项目组成员等不同角色分配合理的权限，同时对用户的所有操作都能通过审计日志进行跟踪。另一方面，通过建设容器平台安全检测系统，实现运行时安全能力全平台覆盖。系统支持镜像、容器运行环境、K8S运行环境等进行镜像安全检测、漏洞检测、配置检测、入侵检测、配置检测等能力，可解决安全漏洞、入侵检测、配置合规三大方面的安全需求。

2.应用安全

云原生应用倡导采用微服务架构的方法来实现更高的可扩展性和灵活性，实现部分服务的独立组件化管理，各应用系统内部高内聚，跨系统的调用通过API接口实现松耦合，在资源层通过容器技术相互隔离。在实践中，安信证券云原生应用的安全防护措施包括以下内容。

一是身份认证。单个业务系统内的多个服务互访互通，跨系统间的接口调用，通过引入API网关实现接口的认证和授权，支持CAS、Basic Auth、Key Auth等常用的认证方式。同时，API网关还能提供IP黑白名单限制客户端，针对客户端或服务端的流量控制。

二是访问控制。K8S中的应用程序，通过Ingress对外暴露后端服务接口，使用Ingress可以实现更精细的流量管理、较高级别的访问控制和SSL终止等功能，相对于使用NodePort将节点固定端口（通常是完全公开的）映射到服务中暴露的端口上，一定程度上提高了安全性。

三是容器隔离。不同容器之间的隔离访问。Docker等容器技术，通过Linux提供的NameSpace和Cgroup等，技术实现不同容器之间的进程命名空间、网络命名空间、CPU、内存、磁盘和网络IO等资源隔离。在实践中，为了遵循最小化访问权限、进一步提升不同业务系统之间的隔离性，默认情况下，还将分布在不同NameSpace中的业务系统通过网络策略进行隔离。

四是API安全。云原生架构下API面临非法信息窃取、未授权访问、访问权限不合理、业务逻辑漏洞、高频暴力调用、传统安全漏洞等风险。安信证券基于API生命周期制定了API安全防护措施。首先在研发阶段提出API安全需求、关注API安全设计和API安全防护的开发实现；其次是在API上线前执行安全检测；最后是在生产环境使用API安全管理系统，实时检测API安全漏洞和监测针对API的攻击行为。

3.数据安全

云原生应用架构中，服务访问以API交互为主，数据大多是通过API进行访问、传输。随着API数量增长导致的管理复杂度提升，API安全问题将会显现，其中无效的访问控制、数据返回未最小化等问题将导致API成为数据泄漏的源头。

一是识别含敏感数据API资产及漏洞。在云原生场景下，通过网络流量分析、日志分析、API资产台账等方式，结合公司对于敏感数据的定义，自动化盘点出公司需要关注的敏感数据API资产。对敏感数据API资产的访问流量进行实时监测，设置自定义检测规则，自动化发现流动中的敏感数据类型、数量、访问来源，以及安全问题，包括无效的访问控制、命令执行、SQL注入等等。

二是监测用户的敏感数据访问行为。通过自动化解析API的特定认证串（如token）或登录过程，将API的访问与公司员工或客户身份进行关联，具备了除IP、User Agent等额外属性。关联身份之后，与身份有关的岗位、权限、状态等属性可用以进一步判断用户的敏感数据访问行为是否存在风险。

4.计算环境安全

云原生计算环境是以K8S等技术为基础的容器云平台，对接外部认证授权、镜像仓库、存储、监控告警等组件，为应用容器编排、弹性伸缩等功能特性的全托管平台，其安全能力是承载的所有应用的基石，在建设时与安全治理同步规划、建设和运营，从制度规范、协作流程和技术检查工具等方面完善平台安全能力。具体内容包括以下几个方面。

首先，运行时安全。容器云平台运行时安全包括配置加固、容器漏洞管理等内容。例如，使用非Root用户启动应用进程、禁止容器配置特权提升、禁止Pod使用特权模式启动等方式降低容器逃逸风险，防止攻击者攻陷容器后进一步扩散至容器的宿主系统，利用宿主机的内核漏洞提权获得宿主机用户权限。

其次，镜像安全。容器镜像安全是保障容器安全的重要部分。常见的容器镜像安全手段包括三种。一是镜像仓库访问权限控制。镜像仓库身份认证和访问权限控制，避免用户提权访问其他用户的镜像资源。二是镜像源管理。在镜像源安全管理方面，采取以下措施来提前规避安全风险，如使用官方或受信任的仓库、采用最小化的操作系统、高危漏洞镜像阻断、限制K8S集群内Pod获取镜像的仓库地址、定期对镜像仓库内的镜像源进行安全扫描等。在实践中，以私有镜像仓库作为唯一制品源，由独立的团队同步开源社区最新的JDK、Nginx等基础镜像，并提供必要的安全定制，最大限度保障了基础镜像的安全性。三是镜像漏洞扫描。当应用镜像通过自动化流水线构建时，由安全检测工具进行自动化漏洞扫描，对于高危漏洞镜像及时阻断。

第三，编排及组件安全。K8S组件众多，对于APIServer等关键组件的安全防护尤为重要。在组件认证授权方面，基于项目给用户授权，并控制其访问K8S平台组件权限。在资源隔离方面，单独给每个项目配置资源配额实现资源隔离与限制。在敏感数据加密方面，对于常见的数据库账号密码、镜像仓库凭证等加密存储。

第四，网络安全。K8S容器集群的网络组件选择具备网络策略的能力，一定程度保障了Pod间的网络访问安全。在访问控制方面，禁止Pod使用主机网络和主机端口。在网络隔离方面，通过提前规划各租户的IP地址段，以及跨项目命名空间网络默认隔离等方式实现粗粒度的网络隔离，未来考虑借助微隔离、服务网格等技术进一步实现细粒度的网络隔离。

第五，基础设施安全。K8S集群对计算、存储和网络等基础资源统一管理，在计算资源方面与传统安全相似，包括主机访问控制及入侵监测等方法。在网络层面，K8S集群采用独立VLAN部署，使用独立的交换机、防火墙等网络设备，与其他环境隔离。在存储方面，K8S对接的存储具备安全认证、访问目录的权限控制和读写操作的审计日志功能，同时构建完备的存储数据备份机制，最大限度保障了存储数据安全。

5.安全运营

云原生安全也要通过运营手段保障安全水平。安信证券从如下几个方面开展安全运营工作。

安全策略：制定《云原生安全管理规范》并持续完善，以适应不断变化的威胁和新技术，内容涵盖云原生安全定义、研发安全策略、访问控制策略、数据安全策略、身份验证策略、运营策略等，确保环境中的应用程序和数据受到充分保护。

资配漏补：记录宿主机、K8S、容器、镜像、进程、文件、网络等云原生环境中各类资产的位置、状态和依赖关系。确保资源配置正确，漏洞得到及时修复。

响应处置：实现情报、监控、检测、告警和响应处置的闭环管理。当出现安全告警时，可以快速响应并采取必要处置和恢复措施，保障业务系统不受损失，支撑公司业务安全、稳定持续运行。

审计合规：监控并记录用户访问、配置变更、运维操作等动作，确保其符合各种法律法规和规章制度。

选自公众号：AI与安全

原文链接：

国外很火，国内没有的安全产品

自从互联网时代开始，就有个很有意思的词：Copy to China。在网络安全，这条路也一直在走，国外先有“创新”，产生一个新名词，Gartner把名词定义好，国内就会有公司沿着这个名字把自己的产品做出来，这也是安全喜欢用英语缩写的重要原因。跟随战术，其实也没什么错，承认落后，才能奋起直追。但这些年的追赶有点慢了，其中一个重要的概念就是ASPM，国外都搞好几年了，但国内还没见到。

1、什么是ASPM

应用程序安全态势管理(ASPM)分析软件开发、部署和运营过程中的安全信号，以提高可见性、更好地管理漏洞并实施控制。安全领导者可以使用 ASPM 来提高应用程序安全效率并更好地管理风险。

以上解释稍微有点抽象，其实这个词到底是什么内涵，确实现在还有不同的说法。Youtube上有不少讨论的视频，说法也并不一致。在查询了很多资料后，我认为可以按下面的方式理解。

如上图：我们从研发、现网和基础设施、应用四个纬度划分，得到四个象限。

第二象限，是当前供应链安全的主要内容。包括SAST,DAST，IAST,SCA等，以及对这些工具的自动化调用及编排，合起来叫ASOC。这一块的工具发展了很多年，但综合应用最近几年进步比较快，很受资本关注。

第四象限，是当前云现网的应用。CWPP,CSPM,CNAPP，这块在国外很火，国内不太火。

第三象限，其实不太重要。因为研发环境和现网环境是相互隔离的，对环境的扫描及修改对现网不起作用，所以只是偶而针对特定问题处理的时候才会用。

最重要的第一象限，原来是空的。针对应用的安全在现网管理缺失，ASPM就是填上这个空缺的。

2、ASPM的主要功能

①完整的应用视图。原来的现网配置库(CMDB)基本是资产纬度的，看不到应用的情况，而SBOM也看不到现网的情况，ASPM对二者强化，形成现网的应用分布图。基于现网的应用分布图，可以更好的察看风险的影响范围。

②风险（漏洞）的分级和处理优先级。现在的漏洞已经多到处理不完的程度，有个优先级就非常重要。漏洞对现网的影响，除了CVSS外，还有许多因素要考虑，比如影响的是主要应用，还是次要应用，影响范围有多大，是小部分，还是大部分，受影响的服务是不是直联互联网，如果直联互联网，外边有防护（比如WAF），优先级情况都不一样，研发和现网结合确定处理优先级，是更好的方案。

③统一的风险视图。结合1和2，再结合研发段的扫描信息，及基础设计的安全风险信息，统一的察看风险并确定优先级，是更高层面的可视化。（ASPM会收集CNAPP的数据）

④应用配置文件持续扫描跟踪。应用也有配置文件，错误配置也会出问题，这个在研发段是解决不了的，ASPM可以持续地扫描跟踪，这是填补空白的工作。

⑤数据安全和合规。从应用的角度看数据安全及合规，是个更完整，更准确的工作，比传统方案更好，当然也需要更多的工作量。

还有些其它的，比如安全韧性等，各家表述略不不同。

综合看，用一句话来简单解释：ASPM是应用安全的端到端管理，结合研发和现网基础设施安全数据，形成完整的风险视图及管理，有助于提升应用的整体安全水平。

Gartner 2023年定义了ASPM这个品类，但由于相关概念已经发展好几年，所以现在可以查到的产品（厂商）有280多种。遗憾的是，国内目前好像还没有。不过考虑到供应链安全和云安全国内发展都不太理想，这个结果也许是正常的。

随着冬季的到来，诈骗者也没有错过向英国老年人发送虚假“冬季取暖津贴”和“生活成本支持”诈骗短信的机会。由于英国政府最近在削减约1000万英国退休人员的冬季取暖补贴问题上引发了争议，因此这一骗局活动可以说是趁机而为。

诈骗者向英国居民发送了假的“冬季取暖补贴”短信，诱使他们访问非法网站，从不知情的人那里收集个人信息和支付信息。

该钓鱼网站很狡猾，只在移动设备上提供假冒的GOV.UK页面，页面很正常。但从计算机尝试访问这个域名时，用户会看到声明“该域名正在出售”。

原文链接：

Hackers now use ZIP file concatenation to evade detection (bleepingcomputer.com)

链接：

案例研究ㅣ深信服零信任安全落地实践 - 看案例 - 沙丘社区

攻击者可以利用马自达Connect车载娱乐系统的多个漏洞（存在于包括马自达3（2014-2021）在内的多款车型中），以根权限执行任意代码。

这些安全漏洞尚未得到修复，其中一些是命令注入漏洞，攻击者可能利用这些漏洞获得对车辆网络的不受限制的访问，从而影响车辆的操作和安全性。

研究人员指出，未经授权的物理访问很容易获得，尤其是在代客泊车和汽车修理厂或经销商处提供服务时。

据报告称，利用披露的漏洞来攻击汽车的信息娱乐系统，可能会导致数据库篡改、信息泄露、创建任意文件、注入任意操作系统命令，从而完全控制系统、获得持久性，并在操作系统启动前执行任意代码。

攻击者可以安装恶意固件版本，并直接访问连接的控制器局域网（CAN总线），从而到达车辆的发动机、刹车、变速箱或动力传动系统电子控制单元（ECU）。

原文链接：

“美的”如何防泄漏保合规？CISO刘向阳详解信息安全“五板斧” - CIO频道 - 企业网D1Net - 企业IT 第1门户

美的集团，作为大型跨国制造业中的“灯塔”，其网络环境和业务场景的复杂性不言而喻。美的独创的“五板斧”信息安全策略，更具全面性与多元性。

美的信息安全“五板斧”策略详解

一、进不来：严控外部威胁，筑牢安全防线

美的集团采取了多重措施来确保外部攻击者无法渗透系统。从网络隔离、准入控制到权限管理，美的依托零信任系统和机制，对每一个可能的安全风险点进行严格把控。同时，美的进行了上层应用的全面改造，通过DMZ应用治理、外网应用二次认证、DevSecOps建设以及HTTPS改造等手段，显著强化了应用层的安全防护能力。

在公有云安全方面，美的集团实施了网络隔离和边界防护等关键措施，并自动化审计云上安全配置，以确保公有云使用的安全性。此外，美的还通过邮件系统的二次认证、邮件安全网关过滤，资产管理和攻击面治理等举措，持续校准和优化安全策略，确保信息和资产的安全性。

在内网安全方面，美的集团实施了从内到内的网络隔离、生产准入和办公准入等机制，有效防止了内部威胁的扩散。同时，针对办公网以及数据中心的主动外联行为，美的设置了特殊设备白名单，进一步降低了潜在的安全风险。在工控安全层面，美的施行了准入严控和外设严控等策略，并进行工控漏洞扫描和工控隔离，确保了工控系统的安全性。在运维层面，美的明确要求运维人员将运维电脑和办公电脑区分开，从而有效防范钓鱼攻击和远程控制等威胁。此外，美的还通过密码管理系统进行有效的密码管控，显著降低了密码被破解的风险。

二、能发现：及时发现任何安全威胁或入侵

美的集团致力于构建一个多层次、全方位的监控和检测体系，以确保信息系统在面对各种潜在威胁时能够迅速、准确地做出反应。在服务器(数据中心与公有云)安全方面，美的采用HIDS(基于主机型入侵检测系统)进行实时监控，确保任何异常行为都能被及时发现并有效应对。同时，在终端(办公、工控)设备方面，美的则采用EDR(端点检测和响应)结合内存安全技术，通过指令序列白名单机制，有效防范恶意软件的入侵，保障终端设备的稳定运行。

在网络层面，美的集团部署了流量探针，对进出网络的流量进行深度分析，以便及时发现异常流量。此外，美的集团使用文件沙箱和邮件沙箱，对接收到的文件和邮件进行隔离检测，确保安全后再放行。同时加强对API安全的监控，通过API调用监控技术，有效防止API被恶意利用。

为了更全面地发现潜在威胁，美的集团在数据中心、公有云和工控环境中部署了蜜罐系统，诱捕攻击者并收集攻击信息，以便更好地了解攻击者的行为和手段。同时，美的集团还实施了严格的上网行为管理策略，严控应用敏感数据的导出，并加强了对大数据访问、导出和权限的控制，确保数据的安全性和隐私性。

此外，美的数字大脑集成了SOC与工控SOC平台，同时配备了美的自研的安全数据挖掘系统。该系统专注于UEBA(用户与实体行为分析)以及数据泄露检测等领域，能够有效覆盖传统SOC难以全面涉及的领域，为美的集团的信息安全提供了强力保障。

三、防泄漏：防止信息泄露，保护公司数据资产

为确保数据安全，美的集团针对性地部署了七大核心策略，全方位应对数据泄露风险。

(1)建组织、标准、明确责任：美的集团建立了专门的个人隐私保护项目组，并清晰界定了信息安全团队、集团法务及各业务部门数据保护代表的职责范畴。同时，遵循国内外数据安全标准和法规，制定了内部数据安全管理标准和流程体系，确保数据在各个环节的处理过程中都能得到充分保护。此外，通过明确各部门和岗位的数据安全责任，美的集团有效增强了全员的数据安全意识，成功营造了一种全员参与、共同维护数据安全的良好氛围。

(2)梳理数据保护目录：美的集团建立了详细的数据保护目录体系，对重要及敏感数据实施了精细化的分类与分级管理。通过对数据的敏感性、重要性进行准确评估，制定了相应的保护措施和访问控制策略，有效筑起了防止敏感数据非法访问与泄露的坚固防线，确保了数据的安全性和保密性。

(3)系统开发上线和运维要按照安全规范进行：在系统开发、上线和运维过程中，美的集团始终遵循安全规范，将安全需求深度融入系统设计的每一个关键环节。通过严格的代码审查、全面的安全测试等多重举措，确保系统上线前不存在明显的安全漏洞。同时，美的集团还建立了应急响应机制，以确保在发生数据泄露等突发事件时能够迅速响应并有效处置，从而保障系统的稳定运行和数据的安全性。

(4)数据安全风险评估：美的集团定期开展数据安全风险评估工作，全面排查并评估潜在的安全威胁、漏洞及隐患。依据风险评估结果，及时制定并实施针对性的改进措施和加固方案，提升了系统的整体安全防护能力。这一举措有助于及时发现并有效应对潜在的安全风险，确保数据的安全性和稳定性。

(5)持续推动数据风险整改和升级：美的集团将数据安全工作视为一项长期任务，持续推动安全整改和升级工作。一旦发现安全问题和漏洞，集团会立即调配资源进行修复和加固;同时，紧跟技术发展和安全威胁的变化趋势，及时更新和完善安全防护措施和策略。这种持续改进和升级的做法，有助于保持数据安全防护的先进性和有效性，确保企业数据的安全性和竞争力。

(6)持续的数据安全能力建设：美的集团不断探索和实践前沿的数据安全技术，包括数据加密、数据出境监测、API检测、访问控制、数据水印、数据脱敏、数据泄露检测与响应等多个维度，致力于构建全方位、多层次的数据安全防护体系。美的持续优化数据安全技术架构，强化系统对外部攻击和内部泄露的防御能力，同时加大人员培训力度，以增强团队对数据安全的认知和应急响应能力。通过紧跟行业最佳实践和技术发展趋势，美的集团致力于保持其在数据安全防护领域的领先地位，确保能够有效应对不断演变的数据安全威胁和挑战，为业务的持续健康发展提供坚实保障。

(7)持续的外部合规认证：美的集团的重要业务系统持续通过第三方安全机构与监管部门的严格评估和认证，如ISO 27001、ISO 27701、CCRC数据安全管理认证等，不仅满足了监管部门的要求，也进一步增强了外部客户与消费者的信心。获得外部安全认证，是美的向监管部门、消费者、客户和合作伙伴等展示其卓越安全防护能力的重要途径。

四、保合规：确保所有IT系统符合全球法律法规和行业标准

在全球化背景下，不同国家和地区的信息安全合规要求千差万别，给企业跨国运营带来了重重挑战。面对这一复杂局势，美的集团通过实施隐私合规管理体系与产品合规管理体系并重的策略，成功在全球范围内实现了信息安全合规管理的目标。

在隐私合规管理体系的运作方面，美的集团通过成立专门的合规团队，负责隐私相关标准的制定和隐私方案的评审，确保公司运营符合当地法律法规标准。合规团队不仅定期梳理和更新全球所有业务所在国家和地区的法律和法规要求，还将合规管理融入公司运营的各个环节，制定相应的合规流程和操作指南，明确各部门和岗位的合规职责。

在产品合规管理体系的运作方面，美的集团会定期了解和梳理全球物联网产品的合规法规要求，并持续跟进全球法规的更新和发布。为对标全球合规要求，美的集团制定了全球物联网产品安全规范，并在全球进行推广和实施。“针对全球重要的产品安全法规，美的与第三方机构合作，对旗下产品进行认证测评，以确保产品合规地进入市场。

五、重运营：持续监控、及时响应、快速处置、迭代优化

安全运营的重要性不言而喻，美的集团构建了全局SOC平台，并充分结合安全大模型进行高效管理。面对每天产生的超过80亿条安全日志和20万条告警信息，美的集团通过安全大模型将需要人工处理的告警量大幅降低至约200条，实现了高效的信息安全管理。美的集团上线了安全编排自动化与响应(SOAR)系统，SOAR与企业流程紧密结合，能够自动化处理大量报警信息，显著提升了信息安全管理的智能化和自动化水平。针对工控领域，美的集团建立了专门的工控SOC平台，并将其接入全局SOC体系，实现对工控环境的全面监控与管理。

美的集团自研了自动化攻击与模拟验证系统(BAS)，该平台不仅定期邀请外部红队进行实战攻击测试，还配备了自主研发的自动化攻击测试系统，能够模拟和应对各种潜在的安全威胁。通过实战演习，美的集团不断检验和提升自身的信息安全防护能力，以模拟和应对各种潜在的安全威胁。

在处理安全事件时，美的集团遵循“及时止血、刨根问底、举一反三”的原则，确保安全事件能够得到迅速、有效地处置，并从中汲取教训，不断完善和优化信息安全管理体系。对于大多数企业而言，7*24小时的信息安全托管服务至关重要，这能确保企业在任何时刻都能迅速响应并处理安全事件。

在安全管理方面，美的集团信息安全部负责制定方案、提供培训和具体指引，事业部负责执行和落实。这种明确分工、协同合作的管理模式，确保了信息安全措施的有效实施。同时，美的还对事业部园区安全(含工控安全)进行定期现场审查，以确保各项安全措施得到严格执行。

在组织保障方面，美的集团建设了一整套CISO体系，确保信息安全事件的实时同步，以及信息安全策略的落地执行。此外，持续进行信息安全培训，提升员工的信息安全意识也尤为重要。

总结

美的信息安全“五板斧”策略体现了其对信息安全全方位的重视以及不懈追求持续改进的态度，这无疑为所有企业树立了一个值得学习的标杆。在实施“五板斧”策略时，并无固定的先后顺序，这五个方面需要齐头并进，共同建设，以确保信息安全体系不存在任何短板。

尽管“五板斧”策略提供了一个极具参考价值的实践范例，但企业在借鉴之时，必须充分考虑自身独特的业务模式、技术架构、组织结构、业务需求和法规要求，进行灵活的调整和定制化的设计。这样才能确保信息安全体系能够精准对接企业的实际需求，为企业的长远发展提供坚实有力的保障，护航企业在数字时代的稳步前行。

1、黑客利用新型macOS恶意软件攻击加密公司

2024年11月07日报道。网络威胁团伙BlueNoroff正通过新型macOS多阶段恶意软件，针对加密货币相关企业发起“Hidden Risk”攻击活动。攻击链从钓鱼邮件开始，诱导用户点击伪装成加密新闻的链接，下载名为“Hidden Risk Behind New Surge of Bitcoin Price.app”的恶意程序。

相关链接：

www.bleepingcomputer.com

2、CISA警告Palo Alto Networks严重漏洞被利用

2024年11月07日报道。CISA警告，威胁行为者正利用Palo Alto Networks Expedition中的关键身份验证缺失漏洞（CVE-2024-5910）发起攻击。此漏洞允许远程重置管理员凭据，从而接管暴露在互联网上的Expedition服务器。

相关链接：

www.bleepingcomputer.com