- 综合排序
- 最热优先
- 最新优先
- 来自专栏FreeBuf
FreeBuf甲方群 | 2020甲方安全总结&2021甲方安全建设预算
群伙伴回复 1、大意了哈哈哈哈哈哈 2、这种才是有安全意识的老板啊，哎 3、羡慕… 4、安全这个东西怎么看都是个无底洞 5、来自贫穷的凝视.JPG 6、是不是我们群最高的安全预算了？ 7、还招人吗？ 2、10年100万，着实有点寒酸了 3、咋一规划还做10年的，感觉2年就一变化了 4、我党也就五年计划五年计划地规划[捂脸] 5、100W连维保都勉强 @楼主回复：网络规模小，复杂度中等的企业，最近十年没有在网络安全上花过钱 4、同事关系紧张，保护好自己。 5、我们之前安全部的办公室是带独立门锁的，为了防止围殴。到我离职那天，估计很多人都没见过我们的面，因为都是远程BB，怕被打。 4、推安全不应该第一个想的是我不做安全会有什么不好的后果吗？然后才能反推加强安全建设。如果不做安全没有影响，那么本来要推安全就会很难。 5、安全做得好也可能出事，一点不做也可能不出事。 3、网络安全基础设备设施+等保建设，今年的预算就干这点事。 4、2021年希望做DevSecOps方向。
39610编辑于 2023-04-26 - 来自专栏中国白客联盟
甲方安全建设-内网安全（IDS）
前言 之前的篇章讲解了甲方安全建设之日志采集-Elastic Agent、甲方安全建设之日志采集-记录Windows事件管理器日志、甲方安全建设之研发安全-SCA，本文将讲解内网安全的检测。 tcp any any -> $HOME_NET 22 (msg:"My be SSH Brute"; threshold: type threshold, track by_src, count 4, https://docs.suricata.io/en/latest/rules/thresholding.html）关键词进行规则设定，代表当同一个外部IP在60秒内连接本地IP的22端口的次数大于等于4次则进行告警
79010编辑于 2024-04-19 - 来自专栏我的安全视界观
【企业安全】甲方眼里的安全测试
纵观互联网上公开的文章，专门介绍甲方安全测试的少之又少。入职甲方安全已将近一年又三个月，从甲方角度来做安全测试的流程和思路、痛处与难点也越加明晰。 但是在甲方，首先接触的便是测试环境，基本上所有的安全测试工作均在该环境。 甲方安全测试流程 甲方安全团队在收到业务方安全提测后，将先与提测方进行业务相关沟通（具体环境、功能等）并评估工作量，再进行测试，测试过程中一般都会进行多次沟通，对象包括对应开发、测试、产品甚至运维。 4、漏洞生命周期 ---- 漏洞生命周期即从发现漏洞到修复漏洞，形成一个闭环。 ，实例发散思维突破 【4】【漏洞赏析】安全运维那些洞 【5】【漏洞赏析】安全业务那些洞 【6】【应急响应】redis未授权访问致远程植入挖矿脚本（防御篇） 【7】【应急响应】redis未授权访问致远程植入挖矿脚本
2.3K30发布于 2018-07-31 - 来自专栏中国白客联盟
甲方安全建设-DevSecOps SCA分析
前言 前文讲到了利用DependencyTrack对代码进行SCA分析，但是当时是通过手动上传BOM并在UI上进行展示查阅，对于安全左移DevSecOps来说，必然需要在应用编码、构建阶段就对其进行安全分析 ，如果发现安全风险则禁止构建和部署。 - branches 总结 本文讲解了利用DependencyTrack完成Devsecops中的SCA分析，保证了代码安全
47110编辑于 2024-05-21 - 来自专栏Bypass
甲方安全开源项目收集
前阵子，我发布了一份甲方安全开源清单，不少朋友帮忙反馈，得到了大大的补充，重新整理了一份项目清单。 https://github.com/jeffzh3ng/Fuxi-Scanner SeMF：企业内网安全管理平台，包含资产管理，漏洞管理，账号管理，知识库管、安全扫描自动化功能模块，可用于企业内部的安全管理 https://github.com/xsec-lab/x-waf 堡垒机 Jumpserver：全球首款完全开源的堡垒机，是符合4A的专业运维审计系统。 https://tp4a.com/ CrazyEye：基于Python的开发的一款简单易用的IT审计堡垒机。 https://github.com/thelinuxchoice/blackeye phishing:甲方网络钓鱼的安全实践。
3.8K51发布于 2019-07-30 - 来自专栏Cyber Security
【甲方安全建设】DevOps初体验
前言 临近春节，笔者经过半年北漂，期间辗转几家公司，同时也接触了几种不同岗位，也算对安全有了个初步的了解 目前在一家公司做安全开发相关实习，期间接触到一些比较有意思的技术，特此记录一下 之前写一些小的工具 timeout=10 Commit message: "Update docker-compose.yml" > git rev-list --no-walk 13688eb2a3f81e7e1b4239a9b4dc10ac9857115c run/docker.sock:/var/run/docker.sock - /data/Docker/Volumes/portainer/data:/data # gitlab 需要服务器4G 据我目前的认识，应该是在DevOps流程中加入一些安全工具等因素，比如说： 使用SAST(静态分析安全测试)：Fortify、AppScan DAST(动态分析安全测试)：OWASP ZAP、Contrast 由于接触的时间并不长，部分的内容了解的不多，留个白吧，后面有机会再补充 关于安全平台 这里还是介绍一下自己正在开发的安全平台️，目前只写了完整的两个功能 漏洞扫描 可能有老哥一眼出发现了什么猫腻～～
48210编辑于 2024-07-18 - 来自专栏中国白客联盟
甲方安全建设-利用AI大模型协助安全运营
AI帮我们完成如攻击payload分析、告警日志分析、IP威胁情报查询并自动封禁等安全运营工作。 接下来完成对日志进行解析的workflow，很简单，直接把日志丢给llm就行，然后定义好让llm返回什么： # 角色 你是一位资深的安全专家，专注于技术向导和安全问题解析。 ## 技能 ### 技能 1: 安全问题解答 - 根据用户面临的安全问题，提供专业的解决方案。 - 执行全面的安全检查并采取相应的补救措施。 ### 技能 3: 安全性建议和修复代码供应 - 根据需要，给出个性化的安全建设方案和漏洞修复建议。 ## 约束条件 - 只讨论与信息安全相关的问题。 - 努力保护用户的隐私和数据安全。 - 尽量减少行业术语，以用户易于理解的方式解释问题。
78710编辑于 2024-06-24 - 来自专栏FreeBuf
甲方安全中心建设：代码审计系统
* 本文作者：陌度，本文属FreeBuf原创奖励计划，未经许可禁止转载 纵观甲方的安全体系建设，最开始和最重要的那一部分就是代码安全。 甲方公司内部有很多项目，每个项目都由不同的开发人员进行开发，所以项目开发水平也是参差不齐，也就是说有很大可能产生漏洞(SQL注入，XSS，命令执行等)。 很多甲方公司公司无法将SDL彻底落地除了DevOps的频繁交付，还有就是安全工程师无法在短时间内对大量项目的源代码进行人工审计。 4.禅道 对于一个安全老油条来说，甩锅这个技能是必须要学的。由于开发本身就忙于项目的开发进度，肯定没有时间去看你的项目情况（那这些给谁看，肯定给领导看啊= =），所以才需要禅道的存在。 禅道系统的设置：新建一个产品叫安全审计，在项目添加对应的git的项目，添加负责人= =讲真，这一部分要根据自身的业务做一个调整 ? ? ?
2.5K21发布于 2018-07-31 - 来自专栏FreeBuf
安全从业者该去甲方还是乙方？
——《哈姆雷特》 最近有很多安全从业者咨询我，去甲方做安全好还是去乙方做安全好，尤其是应届生或工作1-3年的安全从业者。其实这是一个不太好回答的问题，因为牵扯的因素太多，每个人的状况也不尽相同。 我大学毕业后直接进入绿盟工作，3年后入职甲方一直工作到现在。我可以跟大家聊聊甲方做安全和乙方做安全的区别，正如安全是动态的一样，甲乙方的工作和发展也是动态变化的，仅限于个人视角，供参考。 其实甲方和乙方的主要区别是你的职场角色不同。在乙方你是盈利人员（可为公司产生直接收益），在甲方你是后台职能人员（不对企业产生直接收益，但是保障企业的安全或合规建设、规避风险、确保业务安全运行）。 在甲方，一些安全服务会外包给乙方，比如扫描、渗透、基线核查、等保测评等，甲方负责做好项目管理和资源协调来即可。 四、晋升空间 安全岗在甲方晋升是比较难的，难在企业不需要一个安全总监或一个CISO。
1.5K10发布于 2020-03-06 - 来自专栏数据安全架构与治理
甲方安全都有哪些黑科技？
在网络安全领域的甲方，也就是各种企业，往往实施了各种安全防护措施，以防止黑客入侵或内部泄密。除了常规的大家都知道的那些防护措施，还有没有什么值得一提的黑科技呢？ 这就是红外对射，现在基本是甲方的数据机房的外围物理安全防护的标配。 一旦有人或动物闯入，就会启动警报。 (2)门禁 进入机房或重要房间，需要刷指纹（或虹膜）以验明正身。这个比较常见，就不贴图了。 网络层安全 ---- (1)准入控制 有些公司，如果是访客的电脑，即使插入网线也访问不了内网。 (4)各种跳板 通过跳板（堡垒系统）实现跨区访问、运维等，同时纪录日志供审计使用。 登录时配合动态口令（Token、短信随机码、邮件随机码等）辅助认证。 当然，这些仅仅是甲方安全所涉及到的一部分。 还有，安全管理、安全流程、情报分析、安全审计等等。
38620编辑于 2022-06-02 - 来自专栏FreeBuf
话题讨论 | “传说中”的甲方安全
前言： 之前有人跟我说甲方的安全技术人员不如乙方。但是事实上我了解的却是多数“技术高超” 的乙方人员无法胜任甲方的工作，先别急着反驳 ,我们先来看看技术人员对比。 然后任务就给了甲方…… 4. 认证审计 好吧，这个事情基本上不会断的，各种内审外审，审到你能怀疑人生。工作两年，技术人员都可以当审计咨询顾问了。 当然，别担心，既然本文是写甲方安全技术的生存之道，那么就来说说，怎么生存在甲方。 第一关，关于未知领域的项目 想做安全，无论什么情况下，基础的安全技能都是必要的。最少要有自己擅长的技术。 4.但是到这里就结束了吗，很明显，做到以上，你只是在应付任务，如果你想长久地工作下去，就必须在这个基础上提升。 3.公司安全状态正在往好的发展，比如说我们周期巡检范围扩大，检测种类增多,这些是渐进式的。 4.当前的不足，这一点需要注意，提出不足的同时，给出你正在实施的改进方案。
1.5K91发布于 2018-02-26 - 来自专栏中国白客联盟
甲方安全建设- Velociraptor初体验协助应急响应
前言 刷到顺丰安全发表关于Velociraptor的文章，提到可以用它实现数据的查询，在应急的时候起很大作用，再加上刷到Velociraptor的一个ppt，笔者觉得挺不错，就来体验下。
1.3K20编辑于 2024-07-20 - 来自专栏FreeBuf
甲方安全之企业安全自动化工具SeMF分享
* 本文作者：FallenAngels，本文属FreeBuf原创奖励计划，未经许可禁止转载 前言： 上一篇文章《“传说中”的甲方安全》发布已经半年的时间，文章结尾说开源自建的安全管理平台，但是一直跳票。 本平台旨在帮助安全人员少，业务线繁杂，周期巡检困难，自动化程度低的企业，更好的实现企业内部的安全管理。 资产管理 资产是安全管理的核心，看过好多企业安全管理的文章，基本上第一部分都是公司资产的梳理，确认需要管理的资产并进行资产分级。 （说实话，原始版本中包含了系统层，Web应用，移动应用和自建扫描器的周期巡检，但是家里没有测试环境，就没有添加，只留了Nessus，各位大佬可根据自己公司的情况进行添加） 4. 漏洞管理 这个模块就是身在甲方的我最需要的模块，也是这个平台的起点，（想当年，面对N多个业务系统，每次上百各安全漏洞，对每个漏洞修复跟进和复查 ，着实心累，好不容易修复了，研发给回滚了，都是泪啊），这个模块的话能看到当前所有资产的漏洞和相关信息
1.3K40发布于 2018-07-30 - 来自专栏FreeBuf
FreeBuf甲方群话题讨论 | 聊聊企业API安全
安全和开放是互联网世界永恒的话题，其中API扮演着重要的的角色，API的安全可以说是开放与创新的前提。 随着API成为越来越多企业访问数据和服务的接入口，由API漏洞引发的安全事件时有发生，不安全的API已成为网络攻击者的主要目标之一。 本期话题就围绕企业的API安全展开相关讨论： 1.通过日常的工作接触，大家认为不安全的API往往有哪些特性？ 3.大家认为目前的API安全架构建设还存在哪些难点，有无自己的一些设计思路？ （本文所有ID已做匿名处理） 1.通过日常的工作接触，大家认为不安全的API往往有哪些特性？ 4、访问保护 限制流量来防止 DDoS 攻击和暴力攻击。在服务端使用 HTTPS 协议来防止 MITM 攻击。使用 HSTS 协议防止 SSLStrip 攻击。
60740编辑于 2022-04-12 - 来自专栏FreeBuf
应用安全与数据安全的工作边界在哪；甲方如何管控对乙方的授权 | FB甲方群话题讨论
▎各位 Buffer 晚上好，FreeBuf 甲方群话题讨论第 224 期来了！ FB甲方社群不定期围绕安全热点事件、前沿技术、运营体系建设等话题展开讨论，Kiki 群助手每周整理精华、干货讨论内容，为您提供一手价值信息。 本期话题抢先看 1. 作为甲方，如何实现对乙方运维团队授权的各类高级权限（如服务器、数据库root权限、安全设备权限）管控、审计，以防范违规或未授权操作？ 话题二 作为甲方，如何实现对乙方运维团队授权的各类高级权限（如服务器、数据库root权限、安全设备权限）管控、审计，以防范违规或未授权操作？ A1： 这只能人盯人，高危命令禁止，敏感操作授权。 A10： 我们首先是堡垒机/4A，并且阻断掉其他操作路径，再一个是签好协议。毕竟有了堡垒机/4A，也不可能人一直盯着，我们这边有个友商，对驻场提的要求，连搞脏了工位都罚款，而且是进场交押金。
1.8K30编辑于 2023-09-24 - 来自专栏FreeBuf
浅谈安全之应急响应 | FreeBuf甲方社群直播回顾
网络安全是一个变化、复杂的可持续过程，而应急响应则是这个过程中不可或缺的一环。无论如何稳固的安全体系，都需要思考一个问题，当安全防线被攻破了怎么办？ 网络安全事件层出不穷、事件危害损失巨大。 3月17日，集贤科技安全总监fooyii在FreeBuf甲方社群第十一场内部直播中担任主讲嘉宾，以“浅谈安全之应急响应”为主题进行分享，带大家系统的认识应急响应。 对此，fooyii表示可以分为5个步骤：1、判断整个数据泄露是否正常；2、评估数据泄露事件的影响；3、向监管部门通报数据泄露事件；4、向受影响的客户通报数据泄露事件，并提供相应的补救措施；5、对数据泄露事件进行跟踪和复盘 四、加入FreeBuf甲方社群 本期直播精彩回顾到此结束啦~此外，FreeBuf会定期开展不同的甲方社群直播，想了解更多话题和观点，快来扫码免费申请加入FreeBuf甲方群吧！ 更多精彩内容尽在FreeBuf甲方会员专属社群，小助手周周送福利，社群周周有惊喜，还不赶快行动？
1.6K40编辑于 2023-04-06 - 来自专栏FreeBuf
聊聊“安全运营”实践之道 | FreeBuf甲方群话题讨论
4、我认为对于企业安全运营来说，基于企业战略发展规划、监管机构要求、客户合同安全需求、公司风险评估结果等，制定信息安全目标及安全策略，通过PDCA的方式，逐渐将各类安全风险降到可接受的程度，实现安全目标的过程 1、量化指标：（1）当前资产监控覆盖率; （2）当前资产基线安全合格率; （3）当前系统安全已知风险漏洞解决率；（4）每周最多攻击事件/首次发现攻击分析，是否调整当前防御手段;（5）每周防火墙流量分析。 4、难以度量指标，例如终端安全运营需要知道基础的终端数量信息等； 5、量化安全指标我觉得可以从这几个方面去考虑：（1）覆盖率：包括资产管理、流量管理、安全管理的覆盖情况，有没有未知资产或漏管资产；（2） FreeBuf甲方交流分享群 纯甲方：囊括金融、政府、运营商、医疗、互联网企业等多行业甲方安全从业人员，具备严格的入群审核机制，非甲方安全从业人员拒绝进群 真实有料：从甲方企业CSO到安全工程师，从安全方案应用到产品技术应用 ，社群定期组织相关主题话题讨论，共同交流最真实有趣有料的甲方安全建设经验 专属权益：一旦认证成为FreeBuf甲方会员，即可享受FreeBuf报告在线免费阅读权益，同时参与社群话题讨论便有机会获得FVIP
1.2K30发布于 2021-05-20 - 来自专栏数通
安全从业必看：选错就后悔！甲方乙方安全工作终极对比指南
最近，安全圈频繁讨论"甲方安全还是乙方安全"的话题。许多安全从业者在选择职业发展时都会遇到这个问题。究竟应该去阿里、腾讯这样的甲方做安全，还是选择绿盟、启明星辰这样的安全公司？ 甲乙方的本质区别 身份定位： 甲方：在非安全业务公司做安全（如银行、互联网公司） 乙方：在安全业务公司做安全（如安全厂商、安全服务商） 工作范围： 甲方：服务对象局限于公司内部 乙方：服务对象面向所有客户 工作特点对比 工作内容： 甲方：全面性，需要覆盖多个安全方向 乙方：专注性，通常专精某个安全领域 技术深度： 甲方：广度优先，跟随业务发展 乙方：深度优先，专注技术突破 预算资源： 甲方：整体预算大 ，安全占比小 乙方：整体预算小，安全占比大 选择建议 适合选择甲方的人群： 喜欢全面发展 注重工作稳定性 期望参与完整安全体系建设 适合选择乙方的人群： 热爱技术钻研 喜欢接触不同客户 期望快速积累项目经验 要看具体公司 管理水平与甲乙方无关 技术能力不分甲乙方 发展建议 选择甲方还是乙方，关键要看： 个人发展诉求 技术兴趣方向 职业规划目标 工作环境偏好 你是甲方还是乙方安全从业者？
28100编辑于 2025-01-09 - 来自专栏FreeBuf
FreeBuf甲方群话题讨论 | 聊聊企业资产安全管理
面对现今资产高度数字化、威胁隐患越来越多的网络环境，越发庞大的资产，安全性也显得越发脆弱，维护好企业资产安全面临着较大挑战。 本期话题就围绕企业资产安全管理展开相关讨论： 1.大家的企业资产安全管理目前做的如何？有碰到哪些痛点？ 2.如果从数据安全运营角度，对资产识别，尤其是涉敏资产，以哪些方式进行识别效果较好？ @浅尝辄止 主要是账外资产不好管理，账内的不用说了，安全措施都比较完备，至少心里有数；账外资产就麻烦多了，因为你自己也不知道，用账外资产的人又不关心安全，极易成为网络安全的盲点，这些账外资产的大部分网络安全措施都是薄弱甚至缺乏的 数据架构建设：是实现数据安全的前提，分为三大块考虑： 1.API网关互联网数据安全（目的是不被外网轻易爬走数据。 区别与网络安全，可能数据安全在数据防泄露、防勒索破坏、加密保护、访问控制等方面有特别关注的因素。 本期精彩观点到此结束啦~
68050编辑于 2022-06-08 - 来自专栏FreeBuf
【高额稿费+专属福利】FreeBuf甲方安全征稿活动限时开启！
基于此，2023 年 5 月 4 日，FreeBuf 限时开启网络安全甲方内容征稿活动，广邀业内网络安全从业者共同参与。 话说，我们有多久没有好好思考，亦或是没有系统整理日常零碎的思考内容了？ 那么，借着这个机会，咱们一起来聊聊甲方安全的那些人，那些事~ 活动时间 2023 年 5 月 4 日—5 月 21 日 聚焦甲方安全 注意，本次征文投稿活动仅针对甲方安全内容，不限主题， 不限行业，从甲方企业安全视角出发，围绕甲方安全领域即可，诸如网安行业思考、甲方安全建设的坑、新技术落地实践、安全运营观点、企业安全管理、企业安全实践分享等，只要是甲方安全的内容，统统欢迎砸过来！ 投稿规则 1、文章需要紧扣“甲方视角”，或者围绕甲方进行创作； 2、仅限个人原创文章投稿，可适当引用参考资料，切勿纯编译； 3、文章需在FreeBuf独家发布，请勿一稿多投； 4、文章不得含有明显推广内容 具体参与方式 1.进入FreeBuf网站，注册或登录账号； 2.点击首页顶部“创作中心”—“写文章”； 3.稿件完成后点击“立即发布”，在弹出的选项中完成相关设置后勾选“参与原创文章奖励计划”； 4.
4.9K30编辑于 2023-05-12
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号