移动应用渗透测试方法 高手指点了5个关键步骤 渗透测试工具都给出来了 http://toutiao.secjia.com/mobile-app-pentest 这次把移动渗透包括应用测试的关键步骤及工具分享给大家，如果您的组织严重依赖移动应用及相关业务，并且您关注移动应用渗透测试方法的最新信息，强烈建议你看看。

近期，研究人员在word文件中发现一种新型的恶意软件GZipDe，该文件中写有关上海合作组织峰会的文字，因此怀疑是一起间谍活动。 GZipDe实际是一款“下载程序”，意味着是它的作用是从远程服务器获取另一个更强大的威胁。并且 它可以使用自定义加密方法来混淆进程内存并逃避防病毒检测。 http://toutiao.secjia.com/article/page?topid=110395

勒索软件攻击的11种新技术惊心动魄 应对已知未知勒索软件的办法 http://toutiao.secjia.com/ransomware-evolving 他们正在实践的11种先进的攻击手段，让加密的文件更加难恢复。本文就来讲解这11种勒索软件新技术，并在文末讨论应对已知和未知勒索软件的办法。

NSC 2018第六届中国网络安全大会6月13日召开 前瞻人工智能的应用 http://toutiao.secjia.com/nsc-2018 今年有个明显的变化，原有威胁情报与终端安全，改为AI与终端安全，终端安全是影响网络安全和数据安全的重要根源，基于人工智能的网络安全是未来的发展方向。

信息图 | 2.16MB大图回顾过去12年数据泄露发展趋势 没有什么信息是安全的 http://toutiao.secjia.com/databreach-trends 今天TruthFinder基于身份盗用中心的数据，创建了此信息图，回顾了从2005年以来的数据泄露发展趋势，从中可以看到一个观点，“没有信息是安全的！

移动应用渗透测试的10个最佳实践 多次磨炼后的经验总结 http://toutiao.secjia.com/mobile-app-pentest-practices 今天这篇文章移动应用渗透测试的最佳实践和经验总结，建议有一定工作经验的渗透测试人员看看，其中包括OWASP提供的iOS移动应用渗透测试清单。

不要轻言我国公民愿意透露个人隐私 央视特约评论大数据使用原则 http://toutiao.secjia.com/citizens-personal-privacy 要保障个人隐私权利，保证大数据不被异化，既需要监管部门尽快拿出强化隐私保护的互联网法则，也需要科技公司更有良知、更有担当，让大数据在善意的边界内蓬勃发展

工控系统安全的NDay漏洞比0Day漏洞威胁更大 工控设备打补丁很麻烦 http://toutiao.secjia.com/ics-nday-0day NDay漏洞对关键基础设施说是个大问题，一方面Nday漏洞在大型关键基础设施中大量存在，另一方面受限于技术复杂性和行动缓慢的供应链限制，打补丁是个相当麻烦的事情。

从马斯洛需求模型看横向移动攻击 建立事件响应需求层次结构 http://toutiao.secjia.com/ir-maslow 从马斯洛需求层次结构的框架中可以最好地考虑事件响应，该框架有三个主要的组织需求：威胁分类、范围界定和威胁狩猎。文章附5篇浏览量过7000的事件响应落地文章。

4方面回顾2017年DDoS攻击的黑幕 2018年DDoS防护是稳步慢行还是快速调整 http://toutiao.secjia.com/2018-ddos-protection 无论是哪种抉择，都意味着你需要考虑DDoS年度预算，大家迫切的需要从现有DDoS防御措施中提炼相关信息，从而为组织找到最适合的解决方案，提供决策支持。

防御数据泄露只需要6个步骤 你来看数据泄露事件应急响应计划 http://toutiao.secjia.com/incident-response-checklist 亚洲企业将主要防御针对性攻击、网络钓鱼和社会工程方面所导致的数据泄露，小编手里正好有一份SANS技术研究院写的数据泄露事件应急响应计划，只需要6步。

3月sap补丁修补3个高危漏洞 其中有个30年的图形服务器漏洞 http://toutiao.secjia.com/sap-security-patch-day 漏洞还是SAP纯，30年陈酿格外香。这个漏洞CVSS评分8.8。包括内存破坏漏洞、DoS漏洞、远程代码执行漏洞，并影响处理图像的第三方开源库（libtiff，giflib和libpng）

IT运维者快读 | 微软安全补丁通告3月 75个漏洞重点3个远程代码执行 http://toutiao.secjia.com/ms-security-patch-notification-201803 漏洞涉及.NET Core、Adobe Flash Player、ASP .NET、IE、Edge、Exchange 、微软图像组件、Office、微软脚本引擎、Windows、Windows Hyper-V、Windows Installer、Windows内核以及Windows Shell等。

如何应对DDoS直接攻击和DDoS放大攻击 绿盟科技给的DDoS攻击应急指南 http://toutiao.secjia.com/ddos-reflection-amplification-attack-d 这篇文章由绿盟科技的资深服务人员介绍了常见的DDoS攻击类型及DDoS攻击场景，以及如何应对DDoS直接攻击和DDoS反射放大攻击，还包括应用型DDoS攻击。

SQL注入攻击SQLi为啥屡禁不绝？ 从漫画讲解如何防止sql注入攻击 http://toutiao.secjia.com/sqli 这种跟DDoS攻击几乎一样古老的攻击形式，至今仍旧是Web应用安全前10的威胁。本文浅显的讲解了SQL注入是如何完成的？用一个sql注入攻击实例，讲解如何防SQL注入。

为事件响应计划制定框架 美国家标准与技术研究院的事件响应生命周期 http://toutiao.secjia.com/incident-response-framework 为安全事件响应计划建立一个坚实且经过验证的框架，是组织应对和处理安全事件的能力的关键。NIST的框架中包含4个关键步骤。文章较详细，可操作性强。

体验Memcached DDoS放大攻击 实战DDoS攻防演练平台 http://toutiao.secjia.com/ddos-attack-defense-drill 平台部署了DDoS攻击仿真系统，基于业务流量和业务健康的监控系统，结合单体百G清洗能力的清洗设备，配合开发的演练管理平台与移动端APP，为大家提供真实直观的DDoS攻防体验；

下载 | 微软首席安全架构师谈数据驱动安全防御 用企业内部威胁数据提升安全意识 http://toutiao.secjia.com/data-driven-security 数据驱动的防御能够更有效地减少初始阶段的数据泄露和黑客活动，但想要采用它就需要改变公司文化，这却很困难。作者学到的教训可以帮助您减轻工作量。文末附下载。

以柔克刚 基于SDN构建智能防护DDoS流量清洗系统 http://toutiao.secjia.com/sdn-ddos-flow-cleaning 本文提出的基于SDN网络的智能DDoS流量清洗系统能够从DDoS攻击的识别，到清洗策略的制定，以及清洗资源的选择，实时最优匹配，达到按需清洗，智能清洗的目的，实施有效的DDoS防护。

应对超大流量DDoS攻击 NTA高性能Flow负载均衡FLB及其应用 http://toutiao.secjia.com/nta-flb 现在骨干网络带宽动辄达到几十T，且每年以50%以上速度进行增长，基于Flow的攻击检测是DDoS清洗服务中非常重要的一环，本文描述了高性能Flow负载均衡设备的工作原理及其应用场景。

面对Memcached数万倍DDoS放大攻击 DDoS防护性能是遏制它的硬指标 http://toutiao.secjia.com/memcached-ads-nx5-10000 带宽扩容如同饮鸩止渴，好像给勒索攻击交赎金一般，行业市场释放信号，一方面是对于单体100G以上的高性能防护设备的需求；另一方面也表现出抗DDoS高端型号市场的强大牵引力。

下载 | 美证券交易委员会SEC发布新版上市公司网络安全披露指南 http://toutiao.secjia.com/sec-commission-statement-guidance 该机构更新了2011年文件的语言描述，内容涉及网络风险及其对投资决策的影响。此次更新设置了更高的标准，并提供了清晰的提醒，要求加强管理层和董事会在网络安全披露方面的责任。

攻击工具包Exploit Kit持续下滑 Palo Alto预测RIG攻击工具包寻找新目标 http://toutiao.secjia.com/exploit-kit-trends 领头羊RIG在2018年将不再提供任何勒索软件，而是将重点放在传播加密货币挖矿恶意软件和信息窃取木马上。Palo Alto Networks的安全研究员Brad Duncan经过数月观察得出结论。

25个全球顶级信息安全会议 2018年你会参加哪几个信息安全会议？ http://toutiao.secjia.com/top-infosec-events 信息安全领域是最快速发展和最新技术之一。这些会议也是与其他专业人士分享知识和技巧的场合，与志同道合的专家建立关系，了解成功案例、最佳实践和经验教训。

下载 | 6份安全公司的2017年度报告 揭示2017网络安全发展趋势 http://toutiao.secjia.com/2017-cybersecurity-report 这些报告是思科2018网络安全报告、趋势科技2017年度安全报告、Imperva Research报告、Fortinet 2017威胁情况报告、QuickView 2017漏洞报告、战略与国际研究中心（CSIS）与迈克菲2017年度网络犯罪评估报告

绿盟科技网络安全威胁周报2018.06 NetEx HyperIP 6.1.0 Post-Auth 远程命令执行漏洞 http://toutiao.secjia.com/nsfocus-internet-security-threats-week 攻击者或可能获取服务器的控制权。鉴于目前网络上已经存在可利用的概念性验证代码，同时NetEx官方已经发布了最新版本，修复了上述漏洞，受影响的用户请尽快更新升级进行防护。

2018年Netwrix云安全报告 近半组织相信主要威胁来自内部员工 你如何抉择？ http://toutiao.secjia.com/cloud-security-report 云客户最关心的是非法访问（69%）和恶意软件渗透（50%）方面的风险。但是，无法对云中的员工活动（39%）进行监控，取代DDoS攻击成为第三大最常见的安全问题。

安全事件响应人员的定义及职业生涯规划 前辈给出的经验 http://toutiao.secjia.com/security-incident-response 本文介绍的事件相应人员的定义，有助于组织发布招聘计划；而前辈给出的初级、中级及高级安全事件响应职位目标及技能要求非常精辟，如果你有意，尽快来看看。

绿盟科技网络安全威胁周报2018.05 Flash Player远程代码执行漏洞CVE-2018-4878 http://toutiao.secjia.com/nsfocus-internet-security-threats-week 攻击者可以诱使用户打开包含恶意Flash代码的Microsoft Office文档，网页，垃圾电子邮件等。目前，Adobe已发布更新程序，请用户及时下载补丁修复。

2018第三届IEEE安全发展会议IEEE SecDev征集论文和教程 3月5日前提交 http://toutiao.secjia.com/2018-ieee-secdev 会议2018年9月30日至10月2日在美国马萨诸塞州剑桥举行，将提出新的方向或未来愿景，以便在新系统和现有系统中建立安全性。还为研究人员和从业人员提供了综合论坛。

下载 | 2018网络安全规划：互联网企业等级保护建设方案3维度7方面 http://toutiao.secjia.com/internet-enterprise-classified-protect 本方案从网络与安全融合、终端与边界融合、集中与分级融合等多个维度，覆盖了包括结构安全、访问控制、安全审计、边界完整性、入侵防范、恶意代码入侵和设备防护在内的绝大多数技术要求。

不要成物联网恶意软件攻击的帮凶 赶紧看看你家路由器的7个安全设置 http://toutiao.secjia.com/router-configured-security 无论你家里是什么型号，建议你花几分钟时间分析一下它的运行情况，一定要检查这7个关键点，其中浅显的介绍了配置方法，甚至还有一个漏洞测试工具。

微软称2017新的攻击类型：快速网络攻击 快且全球颠覆 http://toutiao.secjia.com/rapid-cyberattacks 在2017年，在与微软合作的全球企业客户中，这些快速网络攻击在大约一个小时内，就将大部分或全部IT系统拿下，导致几个客户受到2亿至3亿美元的损失。

下载 | 2018网络安全规划：探索互联网+政务服务安全保障体系6个方面 http://toutiao.secjia.com/2018-egovernment-services-securityplan 介绍了互联网+政务服务安全保障体系建设及安全技术服务内容，涉及系统应用、数据库、漏洞扫描、运维安全审计、安全态势感知系统建设、系统安全服务等方面。

利用机器学习实施网络犯罪 6种有效途径触目惊心 http://toutiao.secjia.com/hacker-ml 文章介绍了最新的机器学习攻击利用技术，不少东西你可能没听过，每个方面都有验证的模型、论文和描述，赶紧来补课。

IBM基于区块链的跨域安全解决方案 针对传统CDS给出4个优势 http://toutiao.secjia.com/blockchain-cds 传统CDS由于专业设备和技能集合而非常昂贵，对数据流的任何更改也需要大量、昂贵且冗长的审批和实施流程。IBM提出基于区块链的跨域安全解决方案，希望可以降低成本并提高安全性。

识别命名管道模拟 阻断恶意软件渗透提权 一个低成本预防数据泄露的好办法 http://toutiao.secjia.com/named-pipe-impersonation 提权活动往往会引发企业敏感数据的数据泄露，安全专业人员可以采用SIEM解决方案及时察觉及阻断命名管道创建及提权动作，不失为一种低成本的好办法。

下载 | 2018网络安全规划：金融网络安全建设方案（含方法和内容） http://toutiao.secjia.com/2018-fin-securityplan 思路是首先优化网络结构，减少网络安全高危漏洞或缺陷数量，通过部署抗拒绝服务攻击、网络入侵防护和恶意软件防护措施提高基础安全水平，采取网络流量分析技术、安全意识培训、监测与防护措施等，应对高级别攻击。

2018网络安全发展趋势 2018勒索软件7大预测 http://toutiao.secjia.com/2018-ransomware-predictions 你可能会惊讶，大多数勒索软件受害者，都选择支付赎金恢复其数据。另外，由于支付系统会阻止犯罪分子窃取信用卡数据，所以2018年犯罪分子会更加频繁利用勒索软件获利。

解读《工业控制系统信息安全行动计划（2018-2020年）》工信部信软[2017]316号 http://toutiao.secjia.com/ics-security-plan-2017316 一网一库三平台，一网是指全国工控安全在线监测网络，一库是工控安全应急资源库，三平台是指工控安全仿真测试平台、信息共享平台和信息通报平台

绿盟科技网络安全威胁周报2018.02 Office远程内存破坏漏洞CVE-2018-0802 http://toutiao.secjia.com/nsfocus-internet-security-threats-week 该漏洞为Office公式编辑器的最新漏洞，用户在打开由攻击者特制的一份Office文档时会直接触发该漏洞。目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商主页下载更新。

2017年数据泄露6大趋势 IBM发布2017数据泄露报告 http://toutiao.secjia.com/2017-databreach 报告跟踪2017年的235起公开披露的数据泄露事件，趋势包括网络钓鱼攻击和漏洞修复不及时或失效，劫持各种设备的僵尸网络、配置不当的云服务器和加密货币攻击。

安全领域中的TTP是什么意思 结合APT-C1案例给大家讲讲三要素 http://toutiao.secjia.com/cybersecurity-ttp TTP概念经常被误解了，这篇文章中专家从军事领域，追根溯源的讲解TTP的概念，以及在高级威胁APT攻击中识别TTP的重要性，本文会让大家对TTP有进一步的认识。

量子安全通信也有安全隐患 光纤窃听？用高质量量子对弥补传输损失 http://toutiao.secjia.com/quantum-comm-security 量子纠缠现象现象本质上能够让网络无懈可击，但是光子旅行过程中发生的吸收或者散射有可能威胁到系统的安全性。研究人员借助量子远距离传动设计了一种苛刻的新测试方法。

1周勒索软件回顾 | 15个勒索软件中8个变种4个在开发还有1个在攻击 http://toutiao.secjia.com/ransomware-weekly-4 8个新的变种中有两个变种源自Hiddentear。上周共计发现4个勒索软件在开发，还有一个名为“文件蜘蛛”的勒索软件，利用垃圾邮件大举攻击巴尔干国家。

2018物联网及其安全发展趋势 17位专家形成7532阵型 http://toutiao.secjia.com/2018-iot-trends 有7位专家谈到物联网技术，有5位专家谈到物联网应用领域，有3位专家谈到物联网安全，有2位专家对物联网的发展极其兴奋。人工智能、机器学习、区块链技术、语音技术等词汇频繁出现。

从黑客到渗透测试人员 30年的安全专家讲述成长之路 http://toutiao.secjia.com/hacker-pentester 渗透测试是非常必要，但专业渗透测试不适合所有人。它需要你成为若干不同技术和平台的大半个专家，以及具有打破常规界限、侵入事物的内在渴望。本文是成为渗透测试人员所需要具备的东西。

9个步骤抵御僵尸网络攻击 深度揭露与僵尸网络斗争的台前幕后 http://toutiao.secjia.com/botnet 为什么我们不能阻止僵尸网络？本文展示了僵尸网络的工作机制及9个应对方法，并展望僵尸网络解决方案之路。国际联合执法小组成员讲述与Andromeda僵尸网络斗争的过程。

供应链攻击陌生吗？其实供应链攻击的范例和范围已经超乎想象 http://toutiao.secjia.com/supply-chain-attack 最早的心脏出血漏洞、2014年的Target数据泄露、今年的Equifax数据泄露、Verizon数据泄露、德勤数据泄露都直接或间接与供应链攻击相关，本文给出了如何管理第三方风险，从第一步做起。

OWASP Top10 2017正式版解读 前三Web应用安全威胁应对方法 http://toutiao.secjia.com/owasp-top10-2017-learning 这份解读给出了，Web应用安全威胁前三个威胁的应对方法和典型案例，包括注入攻击漏洞、失效的身份认证及敏感信息泄露。各位Web应用及相关从业者需要尽快看看。