murphysec的博客

当新鲜事物产生时，首先我们应该积极的态度去拥抱它，但是它是不是真的值得我们投入（包括当下工作和未来个人技术成长），就需要客观的分析其必要性，同时结合自身情况了解它的可行性。开源安全治理方向是近几年经济下行周期中企业为数不多大家关注的热门方向，也是当前企业面临的主要安全威胁，大量勒索攻击、数据泄露事件究其原因都与此有关，再加上自主可控的大背景需求下，此项需求被催生和释放就理所当然了。但是面对这样一个热门的方向，行业头部企业都在积极投入和规划，我们应该如何客观看待，开源安全治理到底是昙花一现的伪需求？

此外，对于攻击方来说，整理和收集这些开源组件通用漏洞的POC/EXP，相对来说成本很低，而且很多都已经整理成现成的攻击工具了，像今年国产的低代码开源项目Jeecg-boot出了好几个0day（老惨了），这类系统漏洞很多，并且相对来说获取成本比较低，而国内又确实有不少关基的客户在用，打起来性价比还是相当不错的，此外就是一些针对python及npm的投毒，这些攻击起来门槛比较低，说不定有意外的收获。最后，因为这些市场覆盖率高的产品，大部分关基行业的客户都会用，而且拿这些产品的0day打进去，不容易被拦截。

将 MurphySec 代码安全检测工具集成到 GitLab-CI 中，可对每一次代码更新实时进行安全漏洞检测，并快速修复这些安全漏洞

将 MurphySec 代码安全检测工具集成到 GitHub Action 中，可对每一次代码更新实时进行安全漏洞检测，并快速修复这些安全漏洞

Apache Kafka Connect 是Kafka中用于和其他数据系统传输数据的服务，其独立运行版本可以在Kafka发布包中通过bin/connect-standalone.sh启动，默认会在8083端口开启HTTP REST API服务，可对连接器（Connector）的配置进行操作

公开课将以风险治理为最终目标、以SBOM作为治理载体和依据、以生态和包管理器作为切入点，从技术层面进行深度剖析。