IT2021科技站

从目前资料看，关键基础设施 OT 安全风险正在呈现两条相互叠加的主线：勒索软件持续威胁生产连续性，工业控制系统中的高危身份验证和权限漏洞则可能直接扩大攻击者的控制范围。对企业信息安全负责人和 OT 安全工程师而言，优先级不应只看漏洞评分，还要结合资产是否暴露、...

很多企业看到“简化措施”，第一反应是把它理解成“小企业可以少做一些个人信息保护工作”。这种理解并不准确。自2026年9月1日起施行的《小型个人信息处理者个人信息保护简化措施规定》，核心是为符合条件的处理者提供更简化的合规安排，但并没有取消个人信息保护责任。企业...

CVE-2025-52881 的风险不在于容器进程单纯获得了某个额外权限，而在于 runC 在处理容器初始化阶段的 /proc 写入时，可能被攻击者利用竞态条件和共享挂载改变实际写入目标。这样一来，原本用于设置 LSM 进程安全标签的写操作，就可能被重定向到其...

当 JavaScript 或 TypeScript 项目准备合并代码、发布版本或部署到生产环境时，依赖漏洞扫描应该先回答一个具体问题：当前项目的锁文件里，哪些依赖存在已知漏洞，以及应该从哪里开始修复。OWASP CVE Lite CLI 的定位就是在本地扫描项...

很多内网隧道选型失败，并不是工具本身不可用，而是忽略了出口网络的真实限制：目标侧究竟允许哪些协议，WAF 或防火墙检查的是应用层内容还是连接行为，链路中是否存在代理、NAT、流量审计和速率限制。Chisel、SSF 与 ICMP 隧道分别代表了性能优先、隐蔽性...

Kibana 9.4.4 在安全公告 ESA‑2026‑83 中披露，Agent Builder 在调用其他 Kibana 功能前未能正确校验调用者是否拥有相应权限，导致潜在的特权提升与敏感信息泄露。该缺口正是 AI 辅助工具首次引入权限检查不完整的典型案例，...

在混合使用 Linux 与 Windows 的服务器环境中，统一防火墙策略是保障安全基线的关键。下面以常见服务端口 8080（Web 应用）、3306（MySQL）、9200（Elasticsearch）和 6379（Redis）为例，比较 firewalld...

在企业信息安全管理中，安全意识培训往往投入大量资源，却因为缺乏可靠的评估手段而难以向管理层展示真实价值。仅靠参训人数或课时统计，往往忽略了培训后员工行为的实际变化，导致“投入—产出”之间出现认知鸿沟。 评估关键指标 钓鱼邮件点击率：通过定期投放模拟钓鱼邮件，监...

2026 年，云原生安全事件几乎成了每家企业都要面对的常态。Red Hat 的最新报告显示，97% 的组织在过去一年至少经历了一次云原生安全事件，而其中最常见的原因——配置错误——占比高达 78%。与此同时，Serverless 和容器化架构的并行采用让安全边...

评审一份接口设计文档时，最容易通过的往往是那些看起来最普通的接口：GET /orders/{id}、PATCH /profiles/{id}、DELETE /files/{id}。文档里写了"需要登录后访问"，评审就过了。但"登录...