信息安全最新文章 刘惠明：沙箱内持久化：行之有效的沙箱攻击新思路 随着攻防技术的不断迭代和演变，沙箱（Sandbox）技术作为现代浏览器广泛使用的安全保护措施，在减轻攻击方面已经被证明是行之有效的防护手段。沙箱策略新功能的不断叠加使得漏洞数量大幅降低。加之安全研究人员对浏览器沙箱漏洞的聚焦，实现沙箱逃逸的难度也随之增加本文会详尽地介绍了如何在不突破沙箱策略限制的情况下，实现对沙箱的深度持久化攻击。通过对包括Chrome在内的几款主流浏览器的研究，他们利用沙箱的固有特性，实现了Render进程持久化和绕过Chrome Site Isolation后毒化浏览器缓存两大持久化攻击手段。同时，还提出了一种新型的持久化攻击技术——“克隆攻击”，可以远程克隆并持久化控制目标用户账户。 发表于：2019/8/30 汤青松：PHP反序列化漏洞分析实践 PHP的反序列化漏洞也叫PHP对象注入，如果达到此漏洞利用的条件，一般都会产生很严重的后果；主要原因没有对前端传入的参数进行检测，导致攻击者通过控制反序列化过程，从而导致代码执行、文件操作、执行数据库操作等不可控后果；本文就PHP反序列化进行分析讲解，议题内容包含漏洞原理、利用方式、实践演示等。 发表于：2019/8/30 刘焱（兜哥）：迁移攻击云端AI服务：一个被遗忘的战场 近年来，深度学习（DL）技术被广泛应用于计算机视觉任务，特别是图像分类问题，据报道新的算法可以达到甚至超过人类的性能。最近的许多研究表明，DL模型容易受到对抗样本的攻击，但幸运的是，生成对抗样本通常需要对受害者模型进行白盒访问，基于云的图像分类服务相比白盒分类器，它的结构和参数未知，攻击者只能访问云平台开放的API。因此，将模型保存在云中通常会产生一种（错误的）安全感，本文主要研究基于云的图像分类服务的安全性，将介绍针对云端图像分类服务的三类攻击形式，分别为几何攻击、基于查询的黑盒攻击、迁移攻击。 发表于：2019/8/30 饶志波：构建工控网络安全预警态势感知平台 以工业大数据和工业信息安全监测为基础，按照“设备自身感知、监测装置就地采集、平台统一管控”的原则，通过部署网络安全监测装置，运用实时监视、预警告警、态势感知、定位溯源、审计分析、闭环管控等先进适用功能，搭建起工业信息安全态势感知预警监测平台全面监控目标工业网络空间内计算机、网络设备、安防设施等设备上的安全行为，进一步完善工业企业监控系统安全防护体系，推动网络安全管理从“静态布防、边界监视”向“实时管控、纵深防御”的转变，全面实现工业企业“外部侵入有效阻断、外力干扰有效隔离、内部介入有效遏制、安全风险有效管控”的防控目标。该平台广泛适用于全工业领域的工业信息安全态势感知预警监测平台建设。 发表于：2019/8/30 杨绍波：工控网络的终端安全实践 本文以作者自身工作实践为例，探讨了工控网络的终端安全实践，并提出了两大问题，IT方面的经验或者技术手段有没有可能放到OT上面去？还是说因为目前发展阶段不够成熟没用上去；主机安全协议难。 发表于：2019/8/30 张金：智能大数据环境下的工控安全新风险 在大数据和人工智能技术的驱动下，传统工业和制造业在面临巨大的冲击的同时也迎来了前所未有的机遇。本文聚焦探讨工业4.0与智能制造时代下，工控和物联网安全领域出现的新问题。 发表于：2019/8/30 邹春明：工业控制系统信息安全与等级保护2.0 工业控制信息安全的现状及存在的主要问题，工控信息安全相关的主要政策文件、国内外标准情况。本文介绍了等级保护2.0的概况、等级保护基本要求等主要标准及工业控制安全扩展要求的基本情况，工控系统等保测评的要点。给出了工控系统网络安全防护建设的要点及建议。 发表于：2019/8/30 朱凯：无限战争：建立跨越IT和OT的防御盾牌 Cyberbit是一家全球性公司，在全球各地设有办事处。我们的创建是为了解决当今行业中一些最关键的问题，包括：缺乏熟练技能的网络安全人员，如何更好地为复杂的网络攻击做好准备，不断增加的对关键基础设施的攻击，以及IT和OT（运营技术）网络的融合。今天网络攻击最危险的影响不是窃取个人数据，而是破坏已存在物理系统。如今，关键性基础设施，比如机场，水务公司，发电厂等，它们都与数字网络相连。攻击者可以很容易地进入这些网络，破坏电网，污染水源，或导致发电厂爆炸。这些网络攻击实际上会危及生命。这些系统通常根本不受保护。Cyberbit主要产品之一是SCADA安全系统，它帮助保护这些关键基础设施网络。 发表于：2019/8/30 柯皓仁：工业互联网安全从可见到可控 分享工业互联网安全近两年在国家与地方政策、标准规范的基础进展，分析工业互联网安全的关键技术的发展与应用情况，重点分享工业互联网安全实现从“可见”、“可知”到“可控”的必需要开展与突破的工作，从部分实例说明实现工业互联网安全可控所需要的基础要求。 发表于：2019/8/30 肖腾飞：物联网发展趋势下的网络安全与数据保护 随着物联网快速发展，联网设备的持续暴增，整个物联网产业获得了空前的增长和性能提升的机会。然而，安全性问题成为物联网面临的一大障碍，数据安全问题也成为物联网应用的主要挑战。德勤将分享物联网行业报告以及在当前发展趋势下的网络安全与数据保护应对之策。 发表于：2019/8/30 张艳：智能锁安全态势分析及标准化进展 从分析智能锁安全问题入手，结合国家相关部门监管要求，分析智能锁的工作原理、产业现状和攻击方式，并从标准化、技术创新、检测认证、创新服务等角度提出相应安全对策。 发表于：2019/8/30 唐博：区块链如何保障万物互联 区块链和物联网被称为“天作之合”，通过区块链去中心化且不可篡改的账本技术，构建具备信任机制的分布式系统，解决物联网长期存在的隐私安全成本高、价值流通低等问题。在物联网领域，我们率先提出基于区块链的跨平台互联方案。通过联盟链将各个设备的运营服务平台，监管机构以及检测机构等相互连接构建多中心化的核心架构，实现设备互联和信息共享。利用智能合约的可编程和强制执行等特点，设计了一套联动合约组合，保证设备联动过程中各个环节安全可靠执行，且公平体现各方的意志。 发表于：2019/8/30 陈长松：《互联网个人信息安全保护指南》若干要点解读 近期，公安部网络安全保卫局联合北京网络行业协会、公安部第三研究所发布了《互联网个人信息安全保护指南》，旨在指导个人信息持有者建立健全公民个人信息安全保护管理制度和技术措施，防范侵犯公民个人信息违法行为，保障网络数据安全和公民合法权益。本主题介绍《指南》的编制背景、适用范围和法律依据，解读主要条款的若干要点。 发表于：2019/8/30 杨正军：万物互联，共建智能设备标识体系 随着大数据和人工智能时代的到来，数据的价值也逐渐增加，物联网终端设备标识码等标识信息的收集和滥用成为普遍现象。同时各国对用户隐私保护的要求越来越高，传统的智能设备标识如国际移动设备识别码（IMEI）等已被部分国家认定为用户隐私的一部分。移动安全联盟（MSA）联合国内设备企业共同推出移动智能终端补充设备标识体系，解决了现行标识体系的不足，在商业价值和隐私保护合规中找到了平衡。 发表于：2019/8/30 陶源：等级保护2.0时代的物联网安全和测评实践 结合等级保护2.0制度，以及国内外相关法律法规和物联网安全标准，对物联网的网络安全等级保护技术原理、安全风险、防护技术进行阐述和分析，并以联网视频监控系统的网络安全等级测评实践为例，对等级保护2.0中物联网安全要求的相关条款进行解读。 发表于：2019/8/30 <…351352353354355356357358359360…>
