luozhonghua2000
关注和解决数字技术与数字安全技术痛点问题(安全\AI\性能\架构)整体解决方案,与君共享。
虽然每年有大量的网络安全技术人才从高校涌入人力市场,真正能够满足用人单位需求的却寥寥无几。捧着书本去做应急响应和风险评估是滥竽充数的作法,社会需要的是能够为客户切实解决安全风险的技术精英,而不是满腹教条的阔论者。
我所认识的很多资深安全专家都并非科班出身,他们有的学医、有的学文、有的根本没有学历和文凭,但他们却技术精湛,充满自信。
展开
-
如何实施安全评估
有的公司最关心的是客户数据,有的公司最关心的是员工资料信息,根据各自业务的不同,侧重点也不同。做资产等级划分的过程,需要与各个业务部门的负责人一一沟通,了解公司最重要的资产是什么,他们最看重的数据是什么。通过访谈的形式,安全部门才能熟悉、了解公司的业务,公司所拥有的数据,以及不同数据的重要程度,为后续的安全评估过程指明方向。我们判断风险高低的过程,就是风险分析的过程。他们“相信”其他道路是不存在的,这是他们实施安全方案的基础,而一旦这个信任基础不存在了,所有的安全方案都将化作浮云,从而被共产党的部队击败。原创 2023-07-20 19:42:10 · 309 阅读 · 4 评论 -
蜜罐技术介绍与实践参考
比较容易的识别的是低交互的蜜罐,尝试一些比较复杂且少见的操作能比较容易的识别低交互的蜜罐。相对困难的是高交互蜜罐的识别,因为高交互蜜罐通常以真实系统为基础来构建,和真实系统比较近似。蜜罐是对攻击者的欺骗技术,用以监视、检测、分析和溯源攻击行为,其没有业务上的用途,所有流入/流出蜜罐的流量都预示着扫描或者攻击行为,因此可以比较好的聚焦于攻击流量。蜜罐可以实现对攻击者的主动诱捕,能够详细地记录攻击者攻击过程中的许多痕迹,可以收集到大量有价值的数据如病毒或蠕虫的源码、黑客的操作等,从而便于提供丰富的溯源数据。原创 2023-07-14 12:05:50 · 445 阅读 · 0 评论 -
业务安全测试实践模版理论指导
系统的介绍业务安全测试理论方法案例原创 2023-06-08 21:19:44 · 510 阅读 · 0 评论 -
数据能力-数据安全复合治理框架和模型解读(6)
数据治理,数据安全治理行业在发展,在实践,所以很多东西是实践出来的,哪有什么神仙理论指导,即使有也是一家之说,但为了提高企业投产比,必要的认知是必须的,落地数据安全治理科技水平差异直接决定产品和项目是否可持续性,当前和未来更需要专业和有效创新。数据安全治理要充分考虑现实数据场景,强化业务安全与数据安全治理,统一来治理,形成一个整体治理框架,涉及交叉内容较多,这篇延续上篇主要解读数据安全治理数据能力原创 2023-05-30 12:14:26 · 419 阅读 · 0 评论 -
算法能力-数据安全复合治理框架和模型解读(5)
数据治理,数据安全治理行业在发展,在实践,所以很多东西是实践出来的,哪有什么神仙理论指导,即使有也是一家之说,但为了提高企业投产比,必要的认知是必须的,落地数据安全治理科技水平差异直接决定产品和项目是否可持续性,当前和未来更需要专业和有效创新。数据安全治理要充分考虑现实数据场景,强化业务安全与数据安全治理,统一来治理,形成一个整体治理框架,涉及交叉内容较多,这篇延续上篇主要解读数据安全治理算法能力,在此之前我也有多篇对数据治理和数据安全治理的论述,本篇最后有统计可以直达。原创 2023-05-29 09:13:10 · 899 阅读 · 0 评论 -
数据安全治理科技系统能力-数据安全复合治理框架和模型解读(3)
数据治理,数据安全治理行业在发展,在实践,所以很多东西是实践出来的,哪有什么神仙理论指导,即使有也是一家之说,但为了提高企业投产比,必要的认知是必须的,落地数据安全治理科技水平差异直接决定产品和项目是否可持续性,当前和未来更需要专业和有效创新。数据安全治理要充分考虑现实数据场景,强化业务安全与数据安全治理,统一来治理,形成一个整体治理框架,涉及交叉内容较多,这篇延续上篇主要解读数据安全治理科技系统能力,在此之前我也有多篇对数据治理和数据安全治理的论述,本篇最后有统计可以直达。原创 2023-05-28 11:25:44 · 1915 阅读 · 0 评论 -
数据安全治理科技产品能力-数据安全复合治理框架和模型解读(2)
数据治理,数据安全治理行业在发展,在实践,所以很多东西是实践出来的,哪有什么神仙理论指导,即使有也是一家之说,但为了提高企业投产比,必要的认知是必须的,落地数据安全治理科技水平差异直接决定产品和项目是否可持续性,当前和未来更需要专业和有效创新。数据安全治理要充分考虑现实数据场景,强化业务安全与数据安全治理,统一来治理,形成一个整体治理框架,涉及交叉内容较多,这篇延续上篇主要解读数据安全治理科技产品能力,在此之前我也有多篇对数据治理和数据安全治理的论述,本篇最后有统计可以直达。原创 2023-05-27 19:06:33 · 2492 阅读 · 0 评论 -
数据安全运营有效管理-数据安全复合治理框架和模型解读(1)
数据治理,数据安全治理行业在发展,在实践,所以很多东西是实践出来的,哪有什么神仙理论指导,即使有也是一家之说,但为了提高企业投产比,必要的认知是必须的,当前和未来更需要专业和创新。数据安全治理要充分考虑现实数据场景,强化业务安全与数据安全治理,统一来治理,形成一个整体治理框架,涉及交叉内容较多,这篇主要数据安全运营管理,在此之前我也有多篇对数据治理和数据安全治理的论述,本篇最后有统计可以直达。原创 2023-05-27 00:09:13 · 941 阅读 · 0 评论 -
数据安全复合治理框架和模型解读(0)
数据治理,数据安全治理行业在发展,在实践,所以很多东西是实践出来的,哪有什么神仙理论指导,即使有也是一家之说,但为了提高企业投产比,必要的认知是必须的,当前和未来更需要专业和创新。数据安全治理要充分考虑现实数据场景,强化业务安全与数据安全治理,统一来治理,形成一个整体治理框架,涉及交叉内容较多,这篇主要整体治理框架战略解读,在此之前我也有多篇对数据治理和数据安全治理的论述,本篇最后有统计可以直达。原创 2023-05-26 22:56:12 · 2141 阅读 · 0 评论 -
等保2.0测评手册之Oracle
可以将本文等保2.0测评手册之Oracle直接用于工作中,整改工作内容:控制点,安全要求,要求解读,测评方法,预期结果或主要证据原创 2023-05-25 08:27:53 · 1802 阅读 · 0 评论 -
等保2.0测评手册之Mysql
可以将本文mysql等保2测评手册直接用于工作中,整改工作内容:控制点,安全要求,要求解读,测评方法,预期结果或主要证据原创 2023-05-24 00:08:09 · 629 阅读 · 0 评论 -
等保2.0测评手册之终端设备
可以将本文终端设备等保2测评手册直接用于工作中,整改工作内容:控制点,安全要求,要求解读,测评方法,预期结果或主要证据原创 2023-05-23 07:52:38 · 344 阅读 · 0 评论 -
等保2.0测评手册之应用系统
可以将本文应用系统等保2测评手册直接用于工作中,整改工作内容:控制点,安全要求,要求解读,测评方法,预期结果或主要证据原创 2023-05-22 07:58:10 · 492 阅读 · 0 评论 -
等保2.0测评手册之安全区域边界
可以将本文等保2.0测评手册之安全区域边界直接用于工作中,整改工作内容:控制点,安全要求,要求解读,测评方法,预期结果或主要证据原创 2023-05-21 09:11:40 · 1018 阅读 · 0 评论 -
等保2.0测评手册之安全计算环境
可以将本文安全计算环境等保2测评手册直接用于工作中,整改工作内容:控制点,安全要求,要求解读,测评方法,预期结果或主要证据原创 2023-05-20 17:38:06 · 1488 阅读 · 0 评论 -
数据(安全)治理面临的挑战和机遇
样,我们看到疫情这三年的大数据防控的确有效,也是促进数据应用商业化的可能,实际上,我们看到,原来的技术系统要改造成数据应用的工程是非常巨大的,从政策(法律法规本身bug)到实施,从数据造假到数据仿真,从数据结构到非结构化,从信息安全防护到基于深度学习的数据安全防护等等都可能推倒重来,本文将列出面临数据治理挑战问题是哪些,同时给出相关比较成功的数据治理商业案例原创 2023-05-19 20:55:43 · 698 阅读 · 0 评论 -
湖仓智能应用简论-数据驱动设计
一个营销平台,对接订单核心目的是为了基于客户的下单分析其消费偏好(渠道偏好、价格敏感度、产品偏好等),因此它不同于OMS这样的业务系统, 不做完整的订单生命周期管理,主要关注的订单状态有“已付款”,“已取消订单”,“退款成功”,而诸如“未支付”,“已发货”,“待确认收货”这样的中间状态则可以不用通知。围绕“客户”进行数字化营销的,这里所谓的客户你可以简单理解为企业营销的对象,在不同的渠道指代不同,如:线下的消费者,微信公众号的粉丝,电商平台的下单用户,小程序注册会员等等。Who:即参与这个事件的用户是谁。原创 2023-05-19 11:30:26 · 547 阅读 · 0 评论 -
数据治理已被人工智能取代
从逻辑上讲,数据治理目前国内的方式基本是原始作业的方式(基本是应试教育出来的“高材生”),技术层面最多基于国外的几个深度学习框架弄点小水花或者没水花,如果不进行智能化改造或伪人工智能改造,投资和收益很可能不成正比。本文将讨论国内人工智能取代数据治理的空间或痛点原创 2023-05-18 23:14:00 · 318 阅读 · 0 评论 -
数据安全治理实践
主要讲的是数据安全治理的人才和条文法规的8个问题解决方法,本篇继续聊下,检测,评估,实践,如何落地及行业实践案例。本篇继续聊下数据安全治理的门道。数据治理与数据安全治理系列文章。这部分需要渗透测试参与弄出报告。某省政数局数据安全治理实践。数据安全治理如何落地。企业信息安全工作要点。原创 2023-05-18 12:00:23 · 304 阅读 · 0 评论 -
国内外数据安全治理框架介绍与分析
DGPC 框架提供了一种以隐私、机密性和合规为目标的数据安全治理框架,以数据生命周期和核心技术领域为重点关注点,基于威胁建模与风险评估的方法,对组织如何实施数据安全治理进行了概要阐述。DSMM 模型根据数据在组织业务场景中的数据生命周期安全要求与通用安全要求,定义了数据安全过程域体系,并在数据安全过程域体系中从组织建设、制度流程、技术工具以及人员能力四个方面构建了规范性的数据安全能力成熟度分级治理要求和评估方法,能够为组织建立和完善数据安全治理体系提供有益参考。数据治理与数据安全治理系列文章。原创 2023-05-17 22:06:46 · 858 阅读 · 0 评论 -
缺乏专业数据治理人才?解决方案?
缺乏专业数据治理人才?办法呢?真的缺么?真实的问题是什么?解决方案?原创 2023-05-17 19:46:03 · 369 阅读 · 0 评论 -
数据治理解决之道探讨
就拿数据安全板块来说,数据安全合规结合行业结合法规结合企业越深,专业人员充足(特别是数据安全分析设计人才),开发出更多更智能的自动化的应用,减少人工干预,那么必然会将整个数据治理蓝图共同维护好。简单说明数据安全治理的简单落地设计,但真正要做好,要配合数据治理才行,数据治理他是包含数据安全治理的,这篇我们对数据治理痛点分析和讨论下与数据安全治理要如何配合解决。52.9%的机构没有建立数据治理相关的评价体系和考核机制,27.5%只在部分领域建立,数据治理评价体系和考核机制的建立任重道远。原创 2023-05-17 11:49:50 · 375 阅读 · 0 评论 -
数据安全治理流程设计
安全合规这里重点说明下,他包含的企业隐私数据,个人隐私数据,安全相关法规,比如隐私法,网络信息安全,等保等法律法规。接下来,我们看看数据平台总体功能架构,从业务的角度,业务的应用就是业务数据治理,所以,一个高质量的数据平台,应该有。这里所说的数据治理实际是数据安全治理,属于数字安全内容板块之一,数字安全有数据安全防护,他们是什么关系呢。开发流程,包含需求分析,设计,采集数据合规,数据开发与利用质量设计,数据治理设计。既然是治理,肯定是使用,也就是数据有了使用的价值才会考虑他们的治理。原创 2023-05-16 18:14:47 · 696 阅读 · 1 评论 -
企业信息安全工作要点
涉及的工作内容大纲有点多,也可以弹性,持续关注,后续在本专栏,渗透测试专栏和数字安全专栏细化落地,需要提醒,仅靠买硬件的简单做法的企业主可能是冤大头,时代变了。员工上网行为规范(P2P敏感信息)口令安全标准、管理规范信息安全等级与保密制度重要数据的加密、存储、传输规范铁卷。开发编码安全规范(Java/PHPIASPiASPnet/Python/JavaScript偏码规范。WEB应用层面的安全扫描Xss/Csrf/Sgl/inject。IDC边界端口/内部互访的ACL开放审批流程。原创 2023-05-15 09:48:24 · 314 阅读 · 0 评论 -
DDOS攻击方法和治理
有重点说明低代价和高代价的防御总结,这篇主要提高DDOS认知看如何攻击和如何治理,从而为DDOS防火墙开发做准备或购买服务做准备,提供咨询商采购或企业主采购价值参考。慢速Post攻击(post请求发送http body,设置content-length值很大,缓慢发送)误区1 ( 增加带宽/防火墙 ) 误区2《 云端和本地代替,云端擅长流量型本地擅长组合型 )Sockstress攻击(慢速攻击,发送Tcp南口位,服务器会等待)SSL洪水攻击(发送伪造的SSL请求,SSL Squeeze工具)原创 2023-05-15 08:33:45 · 187 阅读 · 0 评论 -
移动App漏洞检测平台建设内容
app漏洞检测平台包含:Android App漏洞检测系统,ios App漏洞检测系统,web后台管理中心 本文围绕这三个系统展开内容介绍,了解全貌业务功能内容就更明白什么样的牛鼻app配什么样的市场地位,同时提高对安全的系统化认知之一。检测应用文件保护状态。HTTP/HTTPS流量----》WEB漏洞检测。URLIP提取->内网信息泄露/ssh信息泄露。manifest特征。XcodeGhost病毒。应用动态生成文件拉取。iBackDoor后门。选择检测内容,规则进行扫描榜单读取与批量下载。原创 2023-05-14 22:47:12 · 528 阅读 · 0 评论 -
生物识别技术安全挑战浅论
生物识别技术利用人体生物特征进行身份认证的一种技术,通过计算机与光学 ,声学,生物传感器和生物统计学原理等高科技手段密切结合,将人体行为和心理特征收集,取样,运用图像处理或模式识别进行数字技术处理和存储的过程。生物识别应用类型1.指纹识别 2.语音识别 3.行为生物识别 4.“自拍”识别 5.击键识别 6.手掌静脉识别 7.虹膜识别 8.心跳识别 9.手型和手掌大小识别 10.DNA识别目前应用最多的是指纹,语音,面部行为,自拍,将来可能会其他扩展。原创 2023-05-11 23:23:44 · 399 阅读 · 0 评论 -
物联网设备安全整改汇总(2)
上篇讲了物联网整体硬件安全整改,关于物联网设备端设备需要更细化的整改内容总结,这篇继续讲,一共分2大类,脆弱性分析和威胁风险分析,这些分析可作为具体落实改造的分析方法和工作方法,也可以作为部门负责人或创业者指导。通讯和存储过程中使用强加密算法进行数据加密和认证,密钥使用非对称加客进行传输。未授权访问: 产品缺乏用户认证机制 ,后门账号,设计缺陷或软件漏洞。设备以全局唯一身份加入物联网,设备之间连接进行可信认证。设备厂商忽视安全:升级困难,配置错误,固件漏洞。硬件接口暴露:JTAG接口,串口(COM口)原创 2023-05-10 13:35:06 · 739 阅读 · 0 评论 -
等保整改常见问题解答
但是这并不代表等级保护工作白做了,即使你拿着不符合的测评报告,主管单位也是承认你们单位今年的等级保护工作已经开展过了,只是目前的问题较多,没达到相应的标准,需要抓紧整改。答:可根据实际情况,如考虑等保测评结果分数与等级、业务系统风险与防护要求等综合考虑安全通信网络防护、安全区域边界防护、安全计算环境防护、安全管理中心、安全建设与运维等投入。为了能成功通过等级测评,企业要根据等级保护建设要求,对信息和信息系统进行网络安全升级,对定级对象当前不满足要求的进行建设整改,包括技术层面的整改,也包括管理方面的整改。原创 2023-05-03 13:52:22 · 1056 阅读 · 0 评论 -
等保2.0存在的问题
测评要求中,很多测评指标的对应的测评对象明显无法测评,比如剩余信息保护测评对象是终端和服务器等设备中的操作系统、业务应用系统、数据库管理系统、中间件和系统管理软件,操作系统在Windows上都比较清晰可操作,但在Linux上异议很多,但数据库管理系统、中间件、业务应用系统上如何测评,却没有详细说明,测评要求的测评实施很多都是文义描述,缺少可操作性和实践性,导致测评过程中,测评实施方法各不相同。加上客户要求越来越高,测评机构必然的倾向于客户,毕竟,对于绝大部分机构来说,客户就是上帝。原创 2023-04-29 21:52:47 · 1520 阅读 · 0 评论 -
物联网硬件安全与整改梳理(1)
安全基线是信息系统最小的安全保障,是实现信息安全风险评估和风险管理的前提和基础,需建立各种系统的基线安全模型安全度量是衡量智能硬件设备的安全防御能力水平的综合评估呈现。无人值守且可能动态的智能硬件节点的远程签约信息和业务信息配置成为难点,机器与机器之间通信为需求的智能硬件网络与传统的人与人之间通信为需求的网络存在差异性。在面临传统网络的传输层和应用层的所有安全问题的同时,因智能硬件感知层采集的数据协议以及格式的多样性以及海量性带来的新的安全问题。原创 2023-05-09 15:08:26 · 883 阅读 · 0 评论 -
物联网安全工作梳理(0)
物联网相比互联网,设备更多,协议更多,标准不统一,安全更脆弱,因此相当于互联网的安全漏洞增量。SOC实现耗合,安全防护联动、安全情报共享等终端微点矩阵化、组织化、智能自适应化。从安全情报、安全产品、安全运维、安全服务等多维度整合提高防御效率,降低防御成本。传输过程的流量分析、窃取、嗅探等传输信息数据被泄露、劫持、篡改、干扰、屏蔽等。强化物联网云端、传输端、终端的逻层、物理层等多层面的安全检测能力。以业务为驱动,量化安全、展示安全、控制安全技术化安全管理。代码安全--终端安全的核心,芯片智能设备的“大脑”原创 2023-05-09 09:52:51 · 751 阅读 · 0 评论 -
信息安全从业人员职业规划(甲方乙方分别说明)
负责整个组织的安全运行状态、物理安全、信息安全等,很多企业都是合伙人之一互联网金融、银行等行业都非常重要企业的各个方面都要管,甚至业务安全、反欺诈和隐私保护等等到犯罪的问题。大型的企业会设置专门的安全测试部门定期对基础设施和应用系统进行安全扫描和渗透测试风险评估,对漏洞的整改进行跟踪和技术支持等全国有几千人,人员基数在不断增长。对主机、网络、数据库、应用系统、数据等进行安全检查策略配置等对思科路由器、防火墙设备、操作系统等等各种安全产品的维护等。帮客户进行安全解决方案设计,对客户进行安全培训、售前交流等。原创 2023-05-06 09:30:39 · 825 阅读 · 0 评论 -
网络安全等级保护安全设计技术要求示例解读
服务层是对云服务商所提供服务的实现,包含实现服务所需的软件组件,根据服务模式不同,云服务商和云租户承担的安全责任不同服务层安全设计需要明确云服务商控制的资源范围内的安全设计技术要求,并且云服务商可以通过提供安全接口和安全服务为云租户提供安全技术和安全防护能力。各级系统安全保护环境由相应级别的安全计算环境、安全区域边界、安全通信网络和(或)安全管理中心组成。结合云计算功能分层框架和云计算安全特点,构建云计算安全设计防护技术框架,包括云用户层、访问层、服务层、资源层、硬件设施层和管理层(跨层功能)。原创 2023-05-05 13:27:29 · 622 阅读 · 0 评论 -
安全服务体系建设主体内容
安全服务体系建设总共10类工作内容,每类分若干咨询方案或技术实施方案,同时也是一个长期建设与服务的工作,这些工作都是依据《网络安全等级保护基本要求》、《网络安全等级保护安全设计技术要求》《网络安全等级保护定级指南》。定级咨询:根据等级保护定级国家标准和定级对象,给定级对象进行合理定级。应急响应:针对突发的安全事件,协助进行回溯、回复和取证相关工作。访问控制:账户管理、权限管理、强制访问、策略管理、敏感信息标记。技术整改方案:根据等级保护级别和现状,提出整体技术整改方案。可信验证:文件完整性+实时监控。原创 2023-05-04 22:49:39 · 1048 阅读 · 0 评论 -
等保定级怎么做
一般损害:工作职能受到局部影响,业务能力有所降低但不影响主要功能的执行,出现较轻的法律问题,较低的财产损失,有限的社会不良影响,对其他组织和个人造成较低损害:严重损害:工作职能受到严重影响,业务能力显著下降且严重影响主要功能执行,出现较严重的法律问题,较高的财产损失,较大范围的社会不良影响,对其他组织和个人造成较高损害;审核通过后最终确定定级对象的安全保护等级。由于对客体的侵害是通过对等级保护对象的破坏实现的,因此对客体的侵害外在表现为对等级保护对象的破坏,通过侵害方式、侵害后果和侵害程度加以描述。原创 2023-05-04 18:24:57 · 934 阅读 · 0 评论 -
政务数据分级安全保护要求(明细)
详细说明政务数据分级方法和要求原创 2023-04-27 23:20:56 · 1046 阅读 · 0 评论 -
等保各项费用支出明细
Q7:做等级保护要多少钱?答:开展等级保护工作主要包含:规划费用、建设或整改费用、运维费用、测评费用等,具体费用因各单位现状、保护对象承载业务功能、重要程度、所在地区等差异较大。为避免过度保护或疏于防范的情况,减少资源浪费等,建议聘请或咨询专业的等级保护服务机构,制定科学合理的方案。新老项目会根据客户现实情况制定符合等保政策的安全规划方案,根据这个方案实施需要的项目,一般费用5万起,可以和测评费合并。会根据规划方案进行整改收费,1w到1000w不等会根据规划方案运维,可以和整改费合并。【测评费用】原创 2023-05-04 15:22:51 · 833 阅读 · 0 评论 -
信息安全咨询服务内容
一、安全技术服务包括风险评估、安全排查、安全加固、渗透测试、云防御、安全监测、安全测试、安全规划设计、漏洞扫描等。二、安全运维支持服务包括,驻场服务、安全巡检、应急响应服务、应急演练服务、重大节会安全保障、远程支撑等。三、安全咨询包括等级保护合规设计与建设咨询服务、信息系统安全风险评估咨询服务、信息安全保障体系设计规划咨询服务、信息安全管理体系建设咨询服务。四、安全培训服务1、安全技术培训,包括安全漏洞扫描及挖掘、安全技术加固、安全配置核查、渗透测试等。原创 2023-05-02 17:15:17 · 2538 阅读 · 0 评论 -
等保定级报告模版
侵害的客观方面表现为: 一旦信息系统的业务信息遭到入侵、修改、增加、删除等不明侵害 (形式可以包括丢失、破坏、损坏等),会对公民、法人和其他组织的合法权益造成影响和损害,可以表现为: 影响正常工作的开展,导致业务能力下降,造成不良影响,引起法律纠纷等。业务处理系统以内部财务结算模式,负责各类买入转让还款的业务处理,包括与第三方实时连接、接口协议转换、非实时批量数据的采集、业务处理逻辑的实现、与会计核算系统的连接等。该业务信息遭到破坏后,所侵害的客体是公民、法人和其他组织的合法权益。原创 2023-05-04 19:25:13 · 669 阅读 · 0 评论