- 博客(15)
- 资源 (4)
- 收藏
- 关注
RSS订阅原创 美国联邦政府网络安全评估模型
可以看到美国联邦政府相关指标的体系建设相对比较完整，首先，从顶层上明确了指标的职责分工体系，包括了指标的制定单位、汇报的对象单位，也明确了上报数据的频率；其次从内容上，也根据关注的对象分成了三类不同关注的指标，CIO指标偏向高层管理者，IG指标偏向于整体的安全评估，SAOP指标偏向于隐私和数据安全，因此需要独立出来。2014新的法案中强调了联邦政府的持续监测能力建设和风险评估的重要性，在上报数据中更加强调措施的安全的有效性，并且明确将信息安全作为员工的考核指标。安全需求，评估这些安全标准及需求的满足情况。
2023-07-16 16:19:02
803
1
原创 DSP数据安全平台
Gartner通过引入DSP数据安全平台，重构了企业数据安全所需的三层数据安全能力，展现了未来的蓝图，也为数据安全平台的发展和数据安全的建设提供了较为全面的借鉴和参考：数据安全应是体系化的，应嵌入基础设施、按需提供数据安全服务、涉及人员和流程；数据安全的建设应组建跨数据分析、合规、安全等多个部门参与的组织推进；合规仍是推进、加速数据安全平台建设的主要驱动力；数据安全平台能力的汇聚聚合是市场持续发展的结果；数据安全的运营需求也是安全能力加强协作的动力；
2022-12-26 16:59:56
1051
原创 HSSEDI 构建可用的高级威胁模型
HSSEDI（美国国土安全系统工程与开发研究所）基于调研分析的基础上，着手构建了一个高级的适合多种场景的威胁模型。不同级别的威胁建模组合方法所调查的单个模型框架都难覆盖全部用途或范围，所需的威胁建模框架应可以在多个尺度上使用，并针对不同的目的进行定制，NGCI Apex的主要思路是通过两个不同的活动线程来构建，网络技术的转换及增强的网络攻防演练。图：NGCI Apex网络威胁模型的使用方法因此，高级别威胁模型，应支持技术的探寻、高级别或部门范围的风险评估或一般事件的网络推演；...
2022-08-25 22:53:17
1438
原创 常见威胁建模框架分析与比较
威胁建模的方法最初是为了帮助开发更多的安全的操作系统，但已经开发的大量威胁建模方法，有些只关注软件发展，有些仅涵盖业务或组织的风险和威胁，另有一些可能是技术性的，不同的威胁模型都在基于不同的目的而开发和使用的。美国国土安全部（DHS）的下一代网络基础设施（NGCI）Apex计划将使用威胁建模和网络攻防演练的方式来为风险指标的开发、技术的评估和探寻，以及为如何降低风险提供信息。DHS评估了现有的框架无法满足其NGCI Apex计划的需求，促使其开发一个威胁建模框架。 ...
2022-06-11 08:39:30
4464
原创 微软零信任用户访问架构解读
概述微软对零信任的理解和基于微软自身安全产品的实践，提出了零信任战略、原则及建设的关键举措和步骤，并围绕Azure AD构建零信任用户访问参考架构。本文主要对微软零信任的架构进行简要阐述和解读。
2022-05-31 15:12:12
1931
翻译 实现DevSecOps正确左移的宣言
对于 DevSecOps 服务和解决方案的提供商，重点应该是消除集成安全性的摩擦，并帮助团队团结起来，让安全成为每个人的责任
2022-05-02 22:05:58
167
原创 微软安全运营架构解读
微软安全安全架构解读-安全运营篇微软在其网络安全架构中对安全运营部分基于自身实践提出了安全运营架构，微软认为安全运营的主要挑战是安全运营工具的竖井，需要通过工具和数据进行集成，并提出了微软的安全运营架构和安全运行模型。竖井是安全运营的挑战安全运营在尝试跨系统跟踪攻击者时，经常面临内部的诸多障碍，由于企业IT产业复杂和资源类型繁多，安全工具的孤岛化，放大了这种复杂性。因为攻击者通常遵循生产用户在企业中访问资源的路径来完成攻击任务，攻击者则不会受到这种复杂性的影响，而防御者通常受限于孤立的工具，且缺乏对
2022-05-01 17:30:03
1922
1
原创 零信任数据保护
数据作为零信任的主要支柱之一，是重点保护的对象。虽然Gartner建议实施零信任网络访问是迈向零信任的一步，但更强大的方法是零信任数据访问ZTDA，是零信任架构的终极目标。零信任数据保护的基本方法是强策略控制直接应用于数据对象，利用可信数据格式TDF，少关注“攻击面”，多关注保护面，与SASE集成，建立零信任数据访问平台。
2022-05-01 17:07:36
558
翻译 企业架构框架主流工具比较
企业架构框架主流工具比较市场经济环境下能合理利用内外部资源，并能根据环境变化做出适当的调整，将使企业具有竞争优势，当企业规模较小时，企业对市场的反应会较灵敏，但随着规模达到一定程度时，企业的战略、组织、流程、内部利益等变得错综复杂，信息传递的链条和管控的链条也变得冗长，很难 “使大象跳舞”，造成的根本原因不是规模，而是难以将业务、应用、数据、技术等领域紧密和组合起来，因此就不能对市场做出快速和正确的响应。但在实际的实践过程中，真正使用EA的方法构建企业信息化架构的企业不多，更多的是作为思想指引，距离很好
2021-11-08 21:02:08
1257
翻译 理解和选择运行时安全自保护-RASP
理解和选择运行时安全自保护-RASP定义RASP运行时应用自我保护(RASP)是一种嵌入到应用程序或应用程序运行时环境的安全技术，在应用层检查请求，实时检测攻击和滥用。RASP产品通常包含以下功能:通常在应用程序上下文中进行解包和检查应用程序请求产品可以在多个执行点分析完整的请求，执行监控和阻止，有时甚至更改请求以去除恶意内容完整的功能可通过RESTful API访问防止所有类型的应用程序攻击，并确定攻击是否会成功查明漏洞所在的模块，还有特定的代码行仪表盘功能和使用情况报告使用案例
2020-09-05 11:27:10
1079
转载 ICT技术成熟度曲线：零信任、数据安全、云原生安全的兴起
一、技术成熟度曲线简介Gartner于近日发布了2020年的中国信息与通信技术（ICT）的成熟度曲线（Hype Cycle） [2]，今天，绿盟君将从安全方面的视角观察相关技术的发展。众所周知，2020年是不平凡的一年，特别是新冠疫情的爆发，给全球经济、政治和人们生活带来了巨大的改变。而受新冠疫情冲击最早的正是中国，因而其影响也非常深远，特别是在抗疫期间，通过数字化转型支撑起了健康监控、远程办公、在线购物、物流配送、短视频等众多领域。对于企业而言，出于远程办公和削减开支的目的，在商业模式和基础设施层
2020-08-06 22:58:25
1944
原创 容器安全产品能力与架构分析
容器安全产品能力与架构分析市场容器安全产品能力比较市场上容器运行安全的产品和工具主要分为商业产品和开源工具，商业类的产品根据防护的侧重点不同分为通用的容器防护和容器网络的安全产品，但有些产品功能有交叉，很多产品的功能相似，其中NeuVector是较少涵盖网络安全和运行态安全方案的厂商。通用的容器安全商用产品，侧重运行态容器的内部及对外部的攻击防护侧重容器网络安全的商用产品，主要提供基于七层的安全检查和防护能力开源或免费的工具，主要提供单独领域的安全防护功能-Aqua Securi
2020-07-18 21:19:37
1329
翻译 谈云原生的安全
谈云原生安全概述随着云计算的不断发展，尤其是应用微服务化改造之后，保持微服务之间通信流量的安全要比保护单体应用的安全要困难的多，而在云原生环境下，动态的容器或Severless无服务器计算作为基础设施，识别用户操作的异常行为也变得更加困难。目前大多数组织的安全策略和工具并没有跟上微服务应用设计和部署方式的快速变化，传统的安全工具是为具有明确边界的IT环境设计的，为外挂和旁路的方式部署，而对于在原生云中可快速扩展的工作负载，这些安全工具几乎不能有效的实现安全防护和协作等。大多数组织并未因云原生架构的引
2020-07-15 21:02:27
2237
Forrester-2021_01-Introducing-The-Zero-Trust-Edge-Model
2021-11-08
DoD Enterprise DevSecOps Reference Design
2020-07-18
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人