搜索中心

分类

全部

产品

厂商

领域

文章

关联搜索

人工智能

安全审计

数据泄漏防护

安全服务

数据防泄漏

产品

山石网科数据库审计与防护系统

山石网科

361

山石网科数据库审计与防护系统，可旁路部署在网络中工作在数据库审计模式，通过对访问数据库的行为、内容等进行采集、存储、分析，实现完全独立于数据库的审计功能。同时可以工作于数据库防火墙模式串行部署在网络中，支持多维度的数据库访问控制，能够实时监控、识别、阻断外部黑客攻击以及来自内部高权限用户的数据窃取行为，帮助用户应对来自外部和内部的数据库安全威胁。

#数据库审计 #数据库防护 #数据库安全 #数据库防火墙 #防火墙 #数据脱敏

文章

SDL 29/100问：白盒检测工具存在局限性，如何进行补偿？

我的安全视界观

白盒检测工具的常见问题主要是误报和漏报，为了推广应用及实现自动化需求，误报是最开始被关注的。但从最终效果来看漏报也很重要，应该重点想办法解决： 1、工具本身的局限性：基于正则模式匹配或数据流污点跟踪等均是静态检测方法，动态数据处理、数据流中断等场景均无法检测。 2、工具能力之外漏洞：业务逻辑类（如越权）、数据安全类（如接口返回过多的敏感信息）及环境配置类漏洞，并非SAST本身的能力，均无法检测。不过从整体SDL来看，白盒检测是产出最高的、也被寄予非常高的期望，以至于会误导领导以为能检测所有代码层面的漏洞。实则需要引入人工专项代码审计，重点review如认证处的逻辑关系、yii等SAST工具支持不友好的开发框架；在测试阶段使用DAST和IAST覆盖部分SAST检测不到的场景，如基础运行环境的安全、数据流中断的场景。更多软件安全内容，可以访问： 1、<a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485635&idx=1&sn=d1f3c10665061d46ee3042a932c32af5&chksm=eb6c2abbdc1ba3adc13596ff1174f5431e597f851cd4560e31daa7aa256e39aecca1c0f9c2a0&scene=142#wechat_redirect" target="_blank">SDL100问：我与SDL的故事</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485702&idx=1&sn=cdb42998335935cce5513a731f2969e6&chksm=eb6c2b7edc1ba268d2847e2083231fe5f964efea2ab8c7d0ffb16d081683c79dda8529682693&token=1925672008&lang=zh_CN&scene=142#wechat_redirect" target="_blank">SDL与DevSecOps有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485711&idx=1&sn=79e9ebca9eae85d4d4cb6fcf6639fcf5&chksm=eb6c2b77dc1ba2616e6adf76413422781c666d6a9f2cf734fb7097b791c5ddd2762ef4673547&scene=142#wechat_redirect" target="_blank">如何在不同企业实施SDL？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485724&idx=1&sn=1d9fedf471d58919a2b0ddf99d10c9d0&chksm=eb6c2b64dc1ba2721a4cdcaee3036ed61dab0c91f97e794a6ed5a59b3be74872a233ed0eaf45&scene=142#wechat_redirect" target="_blank">SAST误报太高，如何解决？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485759&idx=1&sn=a362896234e1d0e7403befd9c2312567&chksm=eb6c2b47dc1ba2515c97c887e6b7ee6119c1d26e6ba9aad4eace374350f68c3566c1db005d03&scene=142#wechat_redirect" target="_blank">SDL需要哪些人参与？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485772&idx=1&sn=37a833b95317746945bb08e3940d07ff&chksm=eb6c2b34dc1ba22200369c45c0e871cd708c86810da3b64c09e7c8c4ca39fedc4fefa7631ad3&scene=142#wechat_redirect" target="_blank">在devops中做开发安全，会遇到哪些问题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485785&idx=1&sn=091cdd44050411ad490e95222221e3d8&chksm=eb6c2b21dc1ba2373c3f566a9500661bec26d4b805e5614cb4f726a4876e139014cb13c65abe&scene=142#wechat_redirect" target="_blank">如何实施安全需求？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485798&idx=1&sn=e7d01d58260deb4ea5f59f83227cf33e&chksm=eb6c2b1edc1ba20816d5738533156096cb6c8872924cba3dce37003af24e8228fd87365dff35&scene=142#wechat_redirect" target="_blank">安全需求，有哪些来源？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485811&idx=1&sn=73876a6b1c669c165657e3af62e0f10a&chksm=eb6c2b0bdc1ba21dbde4074b1c8c24223eab3a7a546fd2301fbfa7a2385bb2db682eaa3555b6&scene=142#wechat_redirect" target="_blank">安全需求怎么实现自动化？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485824&idx=1&sn=667824a4531a35cd67ce2f8d6581f81d&chksm=eb6c2bf8dc1ba2eed4251327b82c27d36eac17b338bb7240fe23bdaa66daf1e7823d8a331a7a&scene=142#wechat_redirect" target="_blank">实施安全需求，会遇到哪些难题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485837&idx=1&sn=8b4f4c703994290e23feb0253b8da090&chksm=eb6c2bf5dc1ba2e3686c75ffe5d278ce534ff037401411662dda783344579497ac2d9745466b&scene=142#wechat_redirect" target="_blank">安全需求和安全设计有何异同及关联？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485850&idx=1&sn=21ed85d46c64552edfb2ca8da44b3c83&chksm=eb6c2be2dc1ba2f4ca6a95dd3dbc7bb916e9cbaba5d3f41b5eb470f4bcc5497db568bbdbe5cc&scene=142#wechat_redirect" target="_blank">设计阶段应开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485863&idx=1&sn=329eba45ab509e199463e371b1e99fcf&chksm=eb6c2bdfdc1ba2c97e40ee5d0b81df82469b5bf5ca1825de47dc9dc8acee2a4a7e8841fc7257&scene=142#wechat_redirect" target="_blank">有哪些不错的安全设计参考资料？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485876&idx=1&sn=2feca1c97cf0a17188fd2c4970859caf&chksm=eb6c2bccdc1ba2da049b0488bc3d7993b9c96e3f8f5d7f77c4db7b34cff257f134477697b854&scene=142#wechat_redirect" target="_blank">安全设计要求怎么做才能落地？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485889&idx=1&sn=0c983d68ba83d646e9470f5d8669f48a&chksm=eb6c2bb9dc1ba2af6cdae9da58937fa0d4b6ee43872893ad329681666b2b046fd2d6df455f0e&scene=142#wechat_redirect" target="_blank">有哪些威胁建模方法论？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485902&idx=1&sn=ad38f91a016b55c4a2312f18524b635c&chksm=eb6c2bb6dc1ba2a03c0fb89c42ff82fb6f0046b4e0ecb394e6d2e0f963aa9f9af70b4f203099&scene=142#wechat_redirect" target="_blank">有哪些威胁建模工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485970&idx=1&sn=2f2ab597d88d48dd8b1af97bb5f61e53&chksm=eb6c286adc1ba17cddfd1661276af76a47a0f99b66fa115f21b1f1771e1efe0546fe8b9f188d&scene=142#wechat_redirect" target="_blank">如何开始或实施威胁建模？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485987&idx=1&sn=1f818f82c931939ef1046ef10520901c&chksm=eb6c285bdc1ba14d794b8de02c7ced703fddd72e62c9833b35472f7282a5646339243fd79d7d&scene=142#wechat_redirect" target="_blank">威胁建模和架构安全评审，有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486000&idx=1&sn=b564e99bb7903a7514c2fb59be6cd8ba&chksm=eb6c2848dc1ba15ece91485d3391d2e2a3510124cece348daba4afa6f501ec9bdd0daf84a7e4&scene=142#wechat_redirect" target="_blank">编码阶段，开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486014&idx=1&sn=71da08d83728aaea6b0a260b47d421f2&chksm=eb6c2846dc1ba150d4132a71d3aac1e084229971272635cb3e86157e005e9d782e64adde4b6c&scene=142#wechat_redirect" target="_blank">如何选择静态代码扫描(SAST)工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486027&idx=1&sn=56c44d0631f44fa819ad69fbdd5b9fbe&chksm=eb6c2833dc1ba125a94b17a49b3c1b26a5ac5be916d89423b236eaca4fb4f5ccf6315a21b3a3&scene=142#wechat_redirect" target="_blank">如何选择开源组件安全扫描(SCA)工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486052&idx=1&sn=8a6c5238c71029fb1548830a03061bce&chksm=eb6c281cdc1ba10aec66d1bbe1d04c40acf4645a5843eeb4c11dcdc271ae5a7c99b09e1a3cb5&scene=142#wechat_redirect" target="_blank">SCA工具扫描出很多漏洞，如何处理？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486061&idx=1&sn=4fc05467c85c9103b173731c693c4a6b&chksm=eb6c2815dc1ba10305d604b9eb4dd3e202e88cfc5bec9e9fef2ab05f7d780919c3db735b48cf&scene=142#wechat_redirect" target="_blank">SCA工具识别出高风险协议，如何处理？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486074&idx=1&sn=b289bb2b7ca408b722d6c975a8d050f0&chksm=eb6c2802dc1ba114c63bfc39a1758d201bea76a7d42cb3e2df3dee456ad2b235cd3c84ffd3b0&scene=142#wechat_redirect" target="_blank">如何制定一份有用的开发安全规范？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486111&idx=1&sn=ebb527e7bdc7ba1419214c6b68aec305&chksm=eb6c28e7dc1ba1f1bcad05b322330b5f1886222313b82c07d821a8fee4e2f546fb84682e7b9e&scene=142#wechat_redirect" target="_blank">如何做到开发安全规范的有效实施？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486124&idx=1&sn=028660ffba8891aab5bacee6f7f35b8f&chksm=eb6c28d4dc1ba1c2beae382cb34eb250b7909c055bb756550d4fd0de8dbbaad4f2029fc18b41&scene=142#wechat_redirect" target="_blank">应该如何选型代码安全扫描工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486141&idx=1&sn=69623e5391b89c1fc500e163215a4b6c&chksm=eb6c28c5dc1ba1d3bd26dd085dbc202cd8b1e37af6f151a610bbee454dfc3b14340b96409240&scene=142#wechat_redirect" target="_blank">代码安全扫描应该设置哪些指标？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486154&idx=1&sn=c1f51a4ddec9da9dff23e4157d02764d&chksm=eb6c28b2dc1ba1a49172f0330cd47feb1d81f29464fa1ef0f012eb31763e92583dbf0c08c0f0&scene=142#wechat_redirect" target="_blank">如何提升开发人员的安全意识？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486167&idx=1&sn=b8a916b765b2b26de3d623ece8ac2892&chksm=eb6c28afdc1ba1b907cda69d61e3c80bed1e0f86d74a97a91699dfb4091fc1491e89d2cff0a5&scene=142#wechat_redirect" target="_blank">SDL 28/100问：在编码阶段加入安全检查后，如何处理带来的时间压力？</a> 2、SDL最初实践系列 <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484219&idx=1&sn=6ff469339838922b9010463eca27dce1&chksm=eb6c2143dc1ba855a37525e4314805aededef6ff045a222b10e2111326ee88d742a4919d6a2c&scene=142#wechat_redirect" target="_blank">开篇</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484307&idx=1&sn=3758ef809f9a456d7ed83a2954487f5b&chksm=eb6c21ebdc1ba8fd8888ccf93043b0abc5107b0a96671419bbc8b3795260feded5292248338e&scene=142#wechat_redirect" target="_blank">安全需求</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484328&idx=1&sn=bba34270246d8e01eb1f54e4a0605d00&chksm=eb6c21d0dc1ba8c67dc82bba63cd9207e91c47afafc3099a478b638ffb7ea3a913b0b7be27ec&scene=142#wechat_redirect" target="_blank">安全设计</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484341&idx=1&sn=f08a2bcbacb518e93d24d01e1386090b&chksm=eb6c21cddc1ba8db160ac24824ffcdaf46e383ea3c482191961c7176239e6ccdd9833069a295&scene=142#wechat_redirect" target="_blank">安全开发</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484366&idx=1&sn=72cc4c6bcc5dde0b234cf5a2693d3970&chksm=eb6c21b6dc1ba8a0fa8640a1bc3a977cab84c4f50835b8b448ee9e3c0b1dc6d85ba256b46ce2&scene=142#wechat_redirect" target="_blank">安全测试</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484379&idx=1&sn=dda07183bd693fe2ed53990099e79a22&chksm=eb6c21a3dc1ba8b5ef572e80a8a0a9bc22447a77b2d6b88094f2b91a87e09a179a84db05da19&scene=142#wechat_redirect" target="_blank">安全审核</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484395&idx=1&sn=06b35e000af7a55b2a9580bb192316c1&chksm=eb6c2193dc1ba885630fdecfd278b6c8bf3e90027533e1c3748d90b3d5c0cbbf5d6be2d9c0fa&scene=142#wechat_redirect" target="_blank">安全响应</a>

224人阅读

2024-07-13

文章

SDL 19/100问：如何选择静态代码扫描(SAST)工具？

我的安全视界观

静态代码分析的工具非常多，有开源或商业的，有国内、外之分，有基于关键字正则匹配、或AST语义分析、亦或IR/CFG的代码分析。不过从甲方安全建设的视角来看，首要考虑成本和效果，故提供以下几点建议： 1、根据公司技术栈选择工具，具体来说就是看主流开发语言，因为有的工具确实会对某个语言支持得更好，表现在高检出率（POC时尽量不要用知名漏洞靶场）； 2、破解版的SAST商业工具很少，但在国内却广泛传播着国外的某个破解工具，目前来看还有小范围更新规则库，个人研究或缺少预算的可以看看。但针对该情况，更推荐使用开源工具（不主张企业级用破解版，会带来麻烦）； 3、从检测效果来看，正则关键匹配方式明显是误报最高的，但在有的场景中比较好用，比如数据流中断、想要快速检出具体的某一类漏洞.时..故不应考虑技术是否先进，不要指望一个工具能解决所有问题。在工具链建设时，可以先主、然后不断的丰富不同原理但又能扫出漏洞的工具。总的来说，要做好代码安全扫描，无论选择怎样的工具都会有一个前提：企业配备具备代码审计的人员，持续做开发安全运营。附静态代码分析工具大全（国外与开源版）：https://owasp.org/www-community/Source_Code_Analysis_Tools 更多软件安全内容，可以访问： 1、<a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485635&idx=1&sn=d1f3c10665061d46ee3042a932c32af5&chksm=eb6c2abbdc1ba3adc13596ff1174f5431e597f851cd4560e31daa7aa256e39aecca1c0f9c2a0&scene=142#wechat_redirect" target="_blank">SDL100问：我与SDL的故事</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485702&idx=1&sn=cdb42998335935cce5513a731f2969e6&chksm=eb6c2b7edc1ba268d2847e2083231fe5f964efea2ab8c7d0ffb16d081683c79dda8529682693&token=1925672008&lang=zh_CN&scene=142#wechat_redirect" target="_blank">SDL与DevSecOps有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485711&idx=1&sn=79e9ebca9eae85d4d4cb6fcf6639fcf5&chksm=eb6c2b77dc1ba2616e6adf76413422781c666d6a9f2cf734fb7097b791c5ddd2762ef4673547&scene=142#wechat_redirect" target="_blank">如何在不同企业实施SDL？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485724&idx=1&sn=1d9fedf471d58919a2b0ddf99d10c9d0&chksm=eb6c2b64dc1ba2721a4cdcaee3036ed61dab0c91f97e794a6ed5a59b3be74872a233ed0eaf45&scene=142#wechat_redirect" target="_blank">SAST误报太高，如何解决？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485759&idx=1&sn=a362896234e1d0e7403befd9c2312567&chksm=eb6c2b47dc1ba2515c97c887e6b7ee6119c1d26e6ba9aad4eace374350f68c3566c1db005d03&scene=142#wechat_redirect" target="_blank">SDL需要哪些人参与？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485772&idx=1&sn=37a833b95317746945bb08e3940d07ff&chksm=eb6c2b34dc1ba22200369c45c0e871cd708c86810da3b64c09e7c8c4ca39fedc4fefa7631ad3&scene=142#wechat_redirect" target="_blank">在devops中做开发安全，会遇到哪些问题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485785&idx=1&sn=091cdd44050411ad490e95222221e3d8&chksm=eb6c2b21dc1ba2373c3f566a9500661bec26d4b805e5614cb4f726a4876e139014cb13c65abe&scene=142#wechat_redirect" target="_blank">如何实施安全需求？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485798&idx=1&sn=e7d01d58260deb4ea5f59f83227cf33e&chksm=eb6c2b1edc1ba20816d5738533156096cb6c8872924cba3dce37003af24e8228fd87365dff35&scene=142#wechat_redirect" target="_blank">安全需求，有哪些来源？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485811&idx=1&sn=73876a6b1c669c165657e3af62e0f10a&chksm=eb6c2b0bdc1ba21dbde4074b1c8c24223eab3a7a546fd2301fbfa7a2385bb2db682eaa3555b6&scene=142#wechat_redirect" target="_blank">安全需求怎么实现自动化？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485824&idx=1&sn=667824a4531a35cd67ce2f8d6581f81d&chksm=eb6c2bf8dc1ba2eed4251327b82c27d36eac17b338bb7240fe23bdaa66daf1e7823d8a331a7a&scene=142#wechat_redirect" target="_blank">实施安全需求，会遇到哪些难题？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485837&idx=1&sn=8b4f4c703994290e23feb0253b8da090&chksm=eb6c2bf5dc1ba2e3686c75ffe5d278ce534ff037401411662dda783344579497ac2d9745466b&scene=142#wechat_redirect" target="_blank">安全需求和安全设计有何异同及关联？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485850&idx=1&sn=21ed85d46c64552edfb2ca8da44b3c83&chksm=eb6c2be2dc1ba2f4ca6a95dd3dbc7bb916e9cbaba5d3f41b5eb470f4bcc5497db568bbdbe5cc&scene=142#wechat_redirect" target="_blank">设计阶段应开展哪些安全活动？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485863&idx=1&sn=329eba45ab509e199463e371b1e99fcf&chksm=eb6c2bdfdc1ba2c97e40ee5d0b81df82469b5bf5ca1825de47dc9dc8acee2a4a7e8841fc7257&scene=142#wechat_redirect" target="_blank">有哪些不错的安全设计参考资料？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485876&idx=1&sn=2feca1c97cf0a17188fd2c4970859caf&chksm=eb6c2bccdc1ba2da049b0488bc3d7993b9c96e3f8f5d7f77c4db7b34cff257f134477697b854&scene=142#wechat_redirect" target="_blank">安全设计要求怎么做才能落地？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485889&idx=1&sn=0c983d68ba83d646e9470f5d8669f48a&chksm=eb6c2bb9dc1ba2af6cdae9da58937fa0d4b6ee43872893ad329681666b2b046fd2d6df455f0e&scene=142#wechat_redirect" target="_blank">有哪些威胁建模方法论？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485902&idx=1&sn=ad38f91a016b55c4a2312f18524b635c&chksm=eb6c2bb6dc1ba2a03c0fb89c42ff82fb6f0046b4e0ecb394e6d2e0f963aa9f9af70b4f203099&scene=142#wechat_redirect" target="_blank">有哪些威胁建模工具？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485970&idx=1&sn=2f2ab597d88d48dd8b1af97bb5f61e53&chksm=eb6c286adc1ba17cddfd1661276af76a47a0f99b66fa115f21b1f1771e1efe0546fe8b9f188d&scene=142#wechat_redirect" target="_blank">如何开始或实施威胁建模？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247485987&idx=1&sn=1f818f82c931939ef1046ef10520901c&chksm=eb6c285bdc1ba14d794b8de02c7ced703fddd72e62c9833b35472f7282a5646339243fd79d7d&scene=142#wechat_redirect" target="_blank">威胁建模和架构安全评审，有何异同？</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247486000&idx=1&sn=b564e99bb7903a7514c2fb59be6cd8ba&chksm=eb6c2848dc1ba15ece91485d3391d2e2a3510124cece348daba4afa6f501ec9bdd0daf84a7e4&scene=142#wechat_redirect" target="_blank">SDL 18/100问：编码阶段，开展哪些安全活动？</a> 2、SDL最初实践系列 <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484219&idx=1&sn=6ff469339838922b9010463eca27dce1&chksm=eb6c2143dc1ba855a37525e4314805aededef6ff045a222b10e2111326ee88d742a4919d6a2c&scene=142#wechat_redirect" target="_blank">开篇</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484307&idx=1&sn=3758ef809f9a456d7ed83a2954487f5b&chksm=eb6c21ebdc1ba8fd8888ccf93043b0abc5107b0a96671419bbc8b3795260feded5292248338e&scene=142#wechat_redirect" target="_blank">安全需求</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484328&idx=1&sn=bba34270246d8e01eb1f54e4a0605d00&chksm=eb6c21d0dc1ba8c67dc82bba63cd9207e91c47afafc3099a478b638ffb7ea3a913b0b7be27ec&scene=142#wechat_redirect" target="_blank">安全设计</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484341&idx=1&sn=f08a2bcbacb518e93d24d01e1386090b&chksm=eb6c21cddc1ba8db160ac24824ffcdaf46e383ea3c482191961c7176239e6ccdd9833069a295&scene=142#wechat_redirect" target="_blank">安全开发</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484366&idx=1&sn=72cc4c6bcc5dde0b234cf5a2693d3970&chksm=eb6c21b6dc1ba8a0fa8640a1bc3a977cab84c4f50835b8b448ee9e3c0b1dc6d85ba256b46ce2&scene=142#wechat_redirect" target="_blank">安全测试</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484379&idx=1&sn=dda07183bd693fe2ed53990099e79a22&chksm=eb6c21a3dc1ba8b5ef572e80a8a0a9bc22447a77b2d6b88094f2b91a87e09a179a84db05da19&scene=142#wechat_redirect" target="_blank">安全审核</a> <a href="http://mp.weixin.qq.com/s?__biz=MzI3Njk2OTIzOQ==&mid=2247484395&idx=1&sn=06b35e000af7a55b2a9580bb192316c1&chksm=eb6c2193dc1ba885630fdecfd278b6c8bf3e90027533e1c3748d90b3d5c0cbbf5d6be2d9c0fa&scene=142#wechat_redirect" target="_blank">安全响应</a>

223人阅读

2024-07-13

文章

代码审计 | .NET SqlSugar框架注入漏洞

dotNet安全矩阵

预览

278人阅读

2024-07-22

文章

xjar破解续

代码审计SDL

之前对部分系统做灰盒测试，研究过xjar的破解，但是上篇文章写的部分内容有些笼统，这里需要详细再描述一下

365人阅读

2024-07-13

产品

代码审计服务

华顺信安

331

华顺信安的代码审计服务采用工具扫描与人工分析，深入挖掘源代码中的安全漏洞和编码问题。服务覆盖系统框架、源代码设计、错误处理、对象引用、资源滥用和API调用等方面，通过审计准备、实施、复测和成果汇报等流程，确保代码安全性，满足合规要求和企业安全建设需求。

#代码审计 #安全服务

产品

长亭代码审计服务

长亭科技

978

挖掘代码中的不安全因素，解决系统安全隐患。

#代码审计 #安全服务

产品

网络审计

启明星辰

296

启明星辰的天玥网络安全审计系统，是一款细粒度审计和合规性管理工具。它通过记录和分析用户行为，帮助企业满足网络安全法规要求，实现事前预防、事中监控、事后审计，保障核心IT资产安全。系统具备大数据分析、多维度报告、快速响应等技术优势，支持多种网络操作行为审计，提升网络安全管理效率。

#网络审计

文章

【Java 代码审计入门-04】SSRF 漏洞原理与实际案例介绍

技术猫屋

【Java 代码审计入门-04】SSRF 漏洞原理与实际案例介绍

205人阅读

2024-07-13

文章

.NET 代码审计电子报刊

dotNet安全矩阵

预览

195人阅读

2024-08-08

文章

SecMet#5期智能代码审计：机遇、挑战与解决方案

安全学术圈

主讲人将会分享他们在智能合约漏洞检测方面的五项研究

253人阅读

2024-07-13

文章

【Java 代码审计入门-02】SQL 漏洞原理与实际案例介绍

技术猫屋

Java代码审计入门系列文章——SQL 漏洞原理与实际案例介绍

205人阅读

2024-07-13

文章

【Java 代码审计入门-05】RCE 漏洞原理与实际案例介绍

技术猫屋

【Java 代码审计入门-05】RCE 漏洞原理与实际案例介绍

207人阅读

2024-07-13

文章

【Java 代码审计入门-03】XSS 漏洞原理与实际案例介绍

技术猫屋

【Java 代码审计入门-03】XSS 漏洞原理与实际案例介绍

238人阅读

2024-07-13

产品

流量监测和审计系统

观安

518

流量监测和审计系统

#流量监测 #流量检测 #流量分析 #上网行为管理 #入侵检测 #入侵检测和防御 #数据泄漏防护

产品

Web应用审计

启明星辰

292

启明星辰集团的天玥Web应用审计系统专注于细粒度监控和审计应用系统访问行为，通过旁路部署分析流量，记录业务操作，深层分析安全性，发现违规和异常行为，保障业务系统和数据安全。

#应用安全 #取证 #密码

文章

Java代码审计之ofcms | 技术精选0140

酒仙桥六号部队

欢迎各位指导补充

312人阅读

2024-07-13

文章

使用 SyntaxFlow 审计你的第一个“漏洞”

Yak Project

记得加群！

581人阅读

2024-07-13

文章

.NET 安全代码审计电子专刊

dotNet安全矩阵

预览

241人阅读

2024-08-08

文章

PHP代码审计菜鸟笔记（一）

侠易龙门阵

代码审计的小白学习笔记

508人阅读

2024-07-13

文章

IDC《中国工控安全审计市场份额，2023》报告发布，威努特全国第二！

威努特安全网络

IDC权威认证，市场份额位列中国全行业第二，连续两年蝉联全国前三！

255人阅读

2024-07-18

文章

「日记」一次产品代码审计

汉客儿安全笔记

有针对性的熟悉东西审计就是快

245人阅读

2024-07-13

文章

代码安全审计经验分享

洞源实验室

代码安全审计是软件开发过程中的重要环节，它通过细致的代码审查来识别和修复潜在的安全漏洞。本文将概述安全审计的基本流程、关键技术点和最佳实践，分享审计过程中的心得体会，旨在帮助开发者提高代码质量，降低安全风险。

270人阅读

2024-07-13

文章

Thinkphp5 RCE 代码审计

InBug实验室

对thinkphp5 控制器过滤不严导致的RCE漏洞进行了一次审计

371人阅读

2024-07-13

文章

代码审计系列之java命令注入科普

Medi0cr1ty

关于java命令注入Runtime/ProcessBuilder接口的科普

232人阅读

2024-07-13

文章

一种全新的代码审计技术：SyntaxFlow

Yak Project

我们希望把编译技术带入安全代码分析去分析代码行为，为代码行为分析带来新的机会和可能性

234人阅读

2024-07-13

产品

天玥视频安全审计系统

启明星辰

241

启明星辰集团的天玥视频安全审计系统，是一款基于SIP协议和BS架构的视频流量审计产品。它通过镜像旁路部署，分析记录视频操作行为，智能发现异常，支持多种审计报告模板，适用于高安全需求单位，如政府、交通等，有效防范视频泄露和非法操作。

#视频安全审计 #安全审计 #溯源 #流量审计

产品

天清汉马防火墙

启明星辰

432

启明星辰推出的天清汉马USG防火墙，是一款集多功能于一体的高性能网络安全产品。它基于统一引擎开发，具备防火墙、VPN、内容过滤等技术，支持IPv4/IPv6双协议栈，具备高可用性、日志审计等特性。产品采用多核硬件架构，实现高效、稳定的网络防护，适用于电子政务、教育、企业等多个行业，满足不同网络环境的安全需求。

#防火墙 #下一代防火墙

产品

双向网闸

天融信

467

天融信安全隔离与信息交换系统TopRules是基于特有的“2+1”系统架构，即内外端机专用隔离硬件，能够对信息流进行协议剥离、落地还原，并集成内容过滤、病毒查杀、访问控制、安全审计等安全防护机制，实现网间安全隔离和数据摆渡。

#网闸 #网络安全隔离系统 #数据交换隔离系统 #双向网闸 #安全审计 #病毒查杀

产品

数据防泄露 (DLP)

天空卫士

418

天空卫士的数据防泄露系统（DLP）采用先进内容识别技术，实时监控和保护企业数据，防止敏感信息泄露。系统支持多维度数据保护，包括网络、终端、应用和云DLP，结合人工智能和OCR技术，实现智能学习、图像识别和混合云部署，确保数据安全合规。

#安全合规 #DLP #数据防泄漏 #数据泄漏防护 #人工智能 #数据防泄露 #数据加密 #数据分类分级

产品

等保合规咨询服务

知道创宇

287

知道创宇安全专家帮助客户快速、省心通过等保2.0合规，客户享受一站式等保咨询服务，包括完备的攻击防护、数据审计、数据备份、加密、安全管理服务。帮助客户快速、低成本完成安全整改，轻松满足等保合规要求。

#等保咨询 #合规咨询 #安全服务

产品

泰合安全管理平台

启明星辰

383

启明星辰泰合安全管理平台（SOC）是一个综合性的IT资产监控、审计、风险评估和运维支持系统。它通过大数据分析架构，提供全面的安全态势感知，量化风险评估，以及主动化的网络威胁情报利用。平台支持多级部署，适用于政府、金融、电信等行业，帮助客户实现从单点防御到协同防御，从模糊管理到量化管理的转变，全面提升网络安全管理能力。

#SOC #安全运营中心 #威胁情报 #TIP #风险评估 #态势感知 #大数据 #配置核查 #安全运营中心

产品

观安用户异常行为分析系统

观安

365

用户异常行为分析系统，是一种针对内部威胁全新解决方案。区别于传统的孤立事件，从聚焦数据内容本身转移到内容上下文关系、行为分析。能够帮助企业及早发现数据泄露、违规操作、账户异常等安全风险，为信息安全专业人员指明方向，并提供风险总览、账户风险评分、用户行为回溯、全文检索、自定义策略配置、风险抑制等实用功能。

#行为分析 #风险评估 #AI #人工智能 #人工智能 #大数据

产品

UniAccess终端安全管理系统

联软科技

387

UniAccess终端安全管理系统，由联软科技开发，提供全面的终端安全管理解决方案。该系统通过集中管控、安全管理、审计、外联管控和智能终端管控等功能模块，帮助企业实现资产管理、补丁管理、软件管理、用户权限控制、安全状态评估等，满足合规需求，保障数据安全，防止泄露和勒索攻击，适用于金融、制造、医疗等多个行业场景。

#资产管理 #资产探测 #资产清点 #资产盘点 #资产发现 #资产梳理 #补丁管理 #防火墙 #安全审计 #AD #应用交付 #移动安全 #签名 #密码 #行为审计 #等保

产品

信数数据防泄漏系统

亚信安全

311

网络数据防泄漏产品(以下简称NDLP)是一种保护企业组织敏感数据，防止敏感信息通过网络途径泄漏的安全设备。网络途径包括电子邮件、Web应用和FTP等数据传输通道。NDLP解析网络流量，识别网络中传输的数据，检测数据是否含有敏感内容，并根据设定的安全策略对数据泄漏行为进行记录，并监控其网络上的数据流，以满足合规要求。

#DLP #数据防泄漏 #数据泄漏防护 #数据加密 #数据防泄漏 #数据安全

产品

山石网页防篡改

山石网科

344

山石网科网页防篡改系统采用先进的驱动级文件保护技术，基于事件触发检测机制，高效实现了网页监测与防护功能；产品安装部署简单，无需采购额外设备；系统兼容性良好，可以安装在各种Web 环境中，为网站快速提供篡改防护能力。山石网科网页防篡改系统广泛适用于政府、金融、教育、运营商、医疗等各个行业，保障互联网和内部Web 业务的正常运营，维护政府和企业的形象不受破坏。

#网页防篡改 #防篡改 #日志审计 #防篡改

产品

绿盟网页防篡改系统 HDS

绿盟科技

264

绿盟网页防篡改系统是一款以底层驱动保护技术为核心，集安全性、适配性、集约化于一体的新一代网页防篡改系统。通过防篡改双引擎、实时监测、实时阻断等能力为网站服务器提供全方位保护，保障网站安全、稳定运行。

#网页防篡改 #防篡改 #文件防篡改 #Web安全

产品

信桅高级威胁邮件防护系统

亚信安全

870

高级威胁邮件防护系统（DDEI）专用来检测和阻止定向工程邮件所导致的网络攻击及数据泄漏。它采用先进的恶意软件检测引擎，URL分析以及文件和Web沙箱技术，可快速识别并阻止或隔离这些定向工程邮件。

#邮件安全 #沙箱 #内容安全 #反病毒

产品

天融信过滤网关

天融信

288

天融信过滤网关作为用户网络整体防毒的第一道防线，在网关或关键网络节点实时主动过滤拦截病毒、木马、间谍软件等恶意软件或代码，提供实时提示告警、病毒爆发报警、详细日志和报表，提供统一升级服务，支持全透明即插即用，支持多链路防护，是一款简单有效而且合规合法的病毒防御网关。

#防病毒网关 #防毒墙 #防病毒 #杀毒 #杀毒软件 #病毒查杀 #AV #反病毒 #安全审计 #AI #人工智能 #上网行为管理 #内容安全

厂商

敏讯科技

365

敏讯科技拥有自主开发、独立知识产权的软件产品，同时也提供企业互联网在线服务，拥有自主品牌的网站“商邮网”，及互联网电信增值服务执照

产品

上元信安病毒防护网关

上元信安

312

上元信安防病毒网关 AVG由上元信安自主研发推出的新一代专业化防病毒产品。本产品采用领先的多核硬件架构和独特的模块化功能设计理念，确保了上元信安防病毒网关AVG具有高性能、高检出率的特点。

#防毒墙

厂商

上元信安

398

北京上元信安技术有限公司，成立于2015年，是一家致力于解决云计算、万物互联场景下安全问题的国家级高新技术企业，是专业的新一代网络安全产品、技术及解决方案提供商。上元在云环境安全防护、高性能网络转发、深度威胁检测、网络攻防等方面均具有深厚积累；致力于“云内安全”、“边界安全”、“互联安全”这三大业务场景，拥有下一代防火墙、入侵检测系统、入侵防御系统、病毒防护网关、上网行为管理与审计、VPN网关、SD-WAN&SASE解决方案、云化安全网元等系列安全产品，为客户提供“云-网-边”一体化的安全方案。同时，上元也积极响应和践行信创战略，拥有完善的信创安全产品，并持续推进。

领域

堡垒机

堡垒机，也称为跳板机或监控审计系统，是一种网络安全设备，主要用于加强内部网络安全管理和操作审计。它通常用于远程访问管理和操作审计，特别是在需要对敏感系统进行安全访问的场景中。堡垒机通常部署在网络的关键位置，如数据中心或核心网络区域，以监控和控制对关键服务器的访问。它们对于金融机构、政府机构和其他需要严格安全管理的组织尤其重要。通过使用堡垒机，组织可以提高其网络安全性，减少内部威胁，并满足合规性要求。

厂商

绿盟科技

664

绿盟科技集团股份有限公司（以下简称绿盟科技），成立于2000年4月，总部位于北京。公司于2014年1月29日在深圳证券交易所创业板上市，证券代码：300369。

厂商

华顺信安

536

华顺信安从网络空间资产维度出发，为国家网络空间防线提供基础安全能力支撑，以优质的产品和服务帮助政府和企事业单位增强实战能力，优化网络安全防护体系。

领域

内容安全

内容安全通常指的是一系列策略和技术，用以保护数字内容免受未经授权的访问、使用、修改、破坏或泄露。内容安全的目标是确保只有合法用户才能访问敏感信息，同时防止恶意软件或其他威胁通过内容传播。

厂商

天际友盟

260

通过多种威胁情报来源汇聚,多维度内容识别与分析引擎,专业威胁与风险分析能力,覆盖全球平台的关停处置网络,SaaS化的服务支撑平台,构建完备的DRP数字风险防护支撑能力,为数字时代的业务安全保驾护航

厂商

天空卫士

371

天空卫士致力于发展以人和数据为核心的新一代数据安全技术，融合统一内容安全技术（UCS）和内部威胁管理技术（ITM）为基础，创立了内部威胁防护技术体系（ITP）

领域

网页防篡改

网页防篡改，通常称为网页内容保护或防篡改技术，是一种网络安全措施，旨在保护网站的内容和结构免遭未经授权的修改或破坏。这种技术对于确保网站内容的完整性、真实性和可靠性至关重要。网页防篡改技术对于政府网站、金融服务网站、电子商务网站等需要高安全性的网站尤为重要。通过实施这些措施，组织能够保护其在线服务和声誉不受网页篡改攻击的影响。

领域

AD，即Application Delivery（应用交付），是指确保应用程序能够高效、安全、稳定地交付给用户使用的过程。应用交付解决方案通常由一系列的硬件和软件组成，包括负载均衡器、内容交付网络（CDN）、DDoS防护系统、WAF（Web应用防火墙）、API网关等。这些工具和服务共同工作，以确保应用程序的高效交付和稳定运行。随着云计算和DevOps实践的普及，应用交付也在不断地向自动化、智能化和云原生方向发展。

领域

安全服务

安全服务在信息安全领域主要指的是为了加强网络信息系统安全性，对抗安全攻击而采取的一系列措施。它的主要内容包括安全机制、安全连接、安全协议和安全策略等，这些措施旨在利用一种或多种安全机制来阻止安全攻击。

厂商

网宿安全

272

公司专注于边缘计算、云分发、云安全、云计算、云服务及绿色数据中心业务，帮助企业技术创新实践，是产业数字化转型升级值得信赖的合作伙伴。

厂商

慧盾安全

278

慧盾安全致力于数据安全整体解决方案的研发、销售和服务，主营业务为视频安全、大数据安全。

厂商

知道创宇

484

北京知道创宇信息技术股份有限公司，网络空间安全专家，长期致力于为政府、企业类客户提供完善的云安全解决方案。被评为亚洲20家极具价值企业、中国最酷网络安全公司。

厂商

任子行

270

任子行立志于围绕国家在网络空间治理和网络安全保障方面的战略需求，从网络犯罪治理、信息安全治理、网络安全治理三大领域入手，突破网络空间安全治理支撑性关键技术。

领域

内存安全

厂商

安芯网盾

351

安芯网盾帮助客户防御并终止无文件攻击、0day漏洞攻击和内存攻击等高级威胁，切实有效保护客户核心业务不被阻断，核心数据资产不被窃取。

厂商

蔷薇灵动

322

蔷薇灵动成立于2017年，主要专注于网络安全领域微隔离技术的前沿探索与研究，凭借专业的产品与服务为数据中心用户提供东西向（内部）流量解决方案

厂商

悬镜安全

336

悬镜安全以守护中国数字供应链安全为己任，专注于以原创代码疫苗技术为内核，创造性构筑基于下一代积极防御框架的DevSecOps敏捷安全体系，坚守PLG产品创新驱动价值增长的商业理念，持续帮助行业用户高效解决数字化转型过程中面临的未知安全挑战。

领域

资产管理

资产管理是指对组织内所有数字资产进行全面的跟踪、分类、评估和控制的过程。这包括对这些资产的识别、记录、监控和保护，以确保它们免受未经授权的访问、滥用和威胁。资产管理是网络安全和整体风险管理的重要组成部分。

领域

态势感知

网络安全态势感知（Cybersecurity Situational Awareness）是网络安全领域内的一个重要概念，它涉及到对组织网络安全状态的全面理解，包括潜在的风险、威胁、漏洞以及安全控制措施的有效性。网络安全态势感知的目标是使组织能够实时监控、分析和响应网络安全威胁和事件，以保护关键资产和数据不受侵害。

领域

SOC

SOC，即安全运营中心（Security Operations Center），是组织内部的一个专门部门或一组专业人员，他们负责监控、分析和响应组织面临的安全威胁和事件。SOC是网络安全防御的核心，它通过各种工具、流程和技术来保护组织的网络、系统和数据不受攻击。

领域

资产测绘

资产测绘指的是创建和维护一个组织内所有网络资产的详细清单和地图的过程。这个过程不仅包括识别和记录资产，还包括了解它们之间的相互关系和依赖性，以及它们在网络中的位置。资产测绘的目的是为组织提供一个全面的网络资产视图，帮助其更好地管理和保护这些资产。

领域

上网行为管理

上网行为管理（Internet Behavior Management，简称IBM）是一套用于监控、控制和分析组织内用户上网行为的解决方案。这种管理通常由专门的软件或硬件实现，目的是确保网络使用的合规性、安全性和效率。上网行为管理对于维护网络安全、提高生产效率、防止法律风险和保护组织声誉至关重要。通过有效的上网行为管理，组织可以减少内部威胁、避免数据泄露，并确保员工遵守网络安全最佳实践。

领域

防病毒网关

防病毒网关（Antivirus Gateway）是一种网络安全设备或服务，部署在网络的边界或内部关键点，用于检测、监控和阻止恶意软件（如病毒、蠕虫、特洛伊木马等）进入或离开网络。这种网关通过扫描经过的数据流量，确保网络免受恶意软件的侵害。

厂商

华为云

276

华为云是华为技术有限公司旗下的云计算品牌，致力于为全球客户提供全面的云服务和解决方案。作为中国领先的云服务提供商之一，华为云依托华为在通信和信息技术领域的深厚积累，为政府、企业、开发者等不同客户提供稳定、可靠、安全的云服务。

领域

UTM

UTM，即统一威胁管理（Unified Threat Management），是一种综合性网络安全解决方案，它将多种安全功能集成在一个设备或服务中，以提供全面的网络保护。UTM设备通常部署在网络的边界上，作为内部网络和外部网络（如互联网）之间的第一道防线。

领域

防火墙

防火墙是一种基本的网络安全系统，其核心功能是监控进出网络的数据流量，并根据一组预定义的安全规则来控制这些数据包的流动。防火墙的主要目的是在内部网络和外部网络（通常是互联网）之间建立一个安全边界，以保护组织或个人的网络资源免受未经授权的访问和网络攻击。

领域

零信任

零信任（Zero Trust）是一种安全模型，它基于一个核心原则：在验证用户或设备的身份和权限之前，不应该信任任何试图访问网络或应用程序的实体，无论它们是否位于网络边界内或外。零信任模型强调持续的验证和最小权限访问，以减少安全风险和防止未经授权的访问。

领域

漏洞管理

漏洞管理（Vulnerability Management）是一种系统化的方法，用于识别、评估、报告和缓解组织内网络资产中的安全漏洞。这个过程是网络安全的重要组成部分，旨在减少潜在的安全风险，防止漏洞被攻击者利用。

领域

NAC

NAC，即网络准入控制（Network Access Control），是一种网络安全技术，用于确保只有授权的设备和用户才能访问网络资源。NAC解决方案通过一系列的策略和控制措施，对试图连接到网络的设备进行验证和授权，从而保护组织内部网络不受未授权访问和潜在威胁的影响。

领域

CAASM

CAASM，即网络资产攻击面管理（Cyber Asset Attack Surface Management），是一种专注于帮助安全团队解决持续的资产可见性和漏洞挑战的网络安全技术。CAASM的目标是提供一个全面的视图，以识别和理解组织内所有资产的安全状况，包括内外部资产，以及它们可能面临的风险。

领域

VPN

VPN，即虚拟私人网络（Virtual Private Network），是一种网络技术，它允许用户通过公共网络（通常是互联网）建立一个加密的、安全的连接到私有网络。VPN可以用来访问内部网络资源，就像直接连接到该网络一样，同时保护数据传输过程中的隐私和完整性。

领域

渗透测试

渗透测试（Penetration Testing，也称为Pen Testing或Ethical Hacking），是一种模拟攻击者行为的安全评估方法，目的是在获得授权的情况下，通过模拟恶意黑客的攻击手段来评估组织的网络安全状况。渗透测试通常由专业的安全顾问或内部安全团队执行，他们使用各种技术和工具来识别和利用系统的安全漏洞。