NIST发布网络供应链风险管理框架指南-低调大师

NIST发布网络供应链风险管理框架指南

2021-05-10 776

近日，美国网络安全和基础设施安全局(CISA)和美国国家标准技术研究院(NIST)联合发布了网络供应链风险管理(C-SCRM)框架和安全软件开发框架(SSDF)指南项目，为网络防御者提供了与供应链攻击相关的趋势和最佳实践。

供应链攻击的最常见技术是：

劫持更新
破坏代码签名
破坏开源代码

在某些情况下，攻击可能会混合使用上述技术来提高其效率。

这些攻击大多数归因于资源丰富的攻击者和APT团体，它们具有很高的技术能力。

报告指出：“软件供应链攻击通常需要强大的技术才能和长期投入，因此通常很难执行。总的来说，高级持续威胁(APT)参与者更有可能、同时有意愿和能力来进行可能危害国家安全的高度技术性和长期性的软件供应链攻击活动。”

报告指出，组织容易受到此类攻击的原因有两个：

许多第三方软件产品需要特权访问
许多第三方软件产品需要卖方网络与位于客户网络上的卖方软件产品之间的频繁通信

该指南包含一系列建议，内容涉及组织如何预防供应链攻击以及在使用此技术交付恶意软件或易受攻击的软件的情况下如何缓解这些攻击。

项目地址：https://csrc.nist.gov/projects/cyber-supply-chain-risk-management

【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

微信关注我们

原文链接：http://zhuanlan.51cto.com/art/202105/661647.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2021第一季度APT攻击趋势分析（上）

卡巴斯基全球研究与分析团队(GReAT)四年来一直都在持续关注并发布关于高级持续攻击(APT)活动的季度报告。这些报告是基于研究人员的持续攻击情报分析，本文会对相关的发现做更详细和细致的研究。 APT的攻击趋势分析去年12月，著名的IT托管服务提供商SolarWinds遭受了复杂的供应链攻击。该公司的Orion IT(一种用于监视和管理客户的IT基础架构的解决方案)遭到了攻击。这导致在北美、欧洲、中东和亚洲的18000多个SolarWinds客户网络(包括许多大型公司和政府机构)上被部署了名为Sunburst的自定义后门。在有关Sunburst的初始报告中，研究人员仔细检查了该恶意程序用于与其C2(命令和控制)服务器通信的方法以及用于升级对受害者以进一步利用的攻击方法。对Sunburst后门的进一步调查显示，一些功能与先前确定的后门——Kazuar有重叠之处，Kazuar于2017年首次被发现，有人认为与Turla APT组织有关。 Sunburst和Kazuar之间的共享功能包括受害者UID生成算法，其算法中的代码相似性以及FNV1a哈希广泛用于混淆字符串比较的功能。有几种可能性：...

2021-05-10

513

本文经AI新媒体量子位（公众号ID:QbitAI）授权转载，转载请联系出处。只是搜了一下“袜子”，结果接下来几天里，打开各种App看到的全是袜子广告。你是不是也有过类似的经历？你的过去全都被看见了，背后是“Cookie”这项技术在作祟。通过第三方Cookie，广告商能轻松追踪到你在网上的浏览记录。于是谷歌今年做出了一个决定，用一种叫做FLoC的新技术来保护你的隐私。听起来是件好事？没想到，此举却遭到了大多数科技巨头的联合抵制。除Chrome之外几乎所有浏览器，包括微软Edge、Firefox、Vivaldi、Opera，统统站出来反对，当然也少不了靠保护隐私起家的Brave。虽然它们当中大多数浏览器和Chrome有着同一个兄弟——Chromium。不仅有浏览器厂商，其他搜索引擎，乃至网站开发者都站了出来。 DuckDuckGo这种向来跟谷歌对着干的搜索引擎，直接在Chrome插件中添加了屏蔽FLoC的功能，啪啪打脸。此外参与抵制的还有最大建站程序WordPress、电子前沿基金会(EFF)等。 GitHub也刚刚加入战局，用一条简短的公告宣布，所有github.io域...

2021-05-10

476

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。