CategoryCybersecurity

早期当我们在生产环境上线了RASP后，发现其还是能够不断的被绕过，只是从原来的WAF流量层面的对抗到了应用内部视角。后来我们放弃了基于攻击特征的黑名单防御模式，逐步转变为基于应用行为特征的白名单模式，也就是我们内部所说的“应用可信”。 在应用可信的建设过程中，我们的可信力度也逐渐在加深，从最开始的命令执行可信，到网络访问可信、文件读写可信，再到后来的反射、库加载、类加载、线程注入、JNDI访问、反序列化、表达式注入、动态脚本、内存马等等，至此已经能免疫各种常规的0day漏洞了，比如Log4j RCE、Fastjson RCE、SSRF等等。...

密码是网络世界中识别你身份的钥匙，目前还存在大量弱口令或密码被盗导致的攻击事件。历史上大量网站被黑客攻击导致账号密码数据库泄漏，您的账号密码一定出现在某次泄漏中。 最常见的密码 泄漏的账号密码数据中，最常见的密码是什么？ 连续数字/字母，比如123456、abcdefg 重复数字/字母，比如111111、666666、88888888、aaaaaa 简单单词，比如password、iloveyou、letmein、mima、secret 和账户名相同，比如admin、root、demo、administrator 键盘顺序字母，比如qwert、qaxwsx、zxcvbnm 生日，比如951023、1995123 简单组合或改变大小写，比如admin123、A123456、Password、abc123 密码安全最佳实践...

通过电子邮件进行社工钓鱼，可以实现数据和资金的盗取。大部分的APT攻击都是通过电子邮件的方式开始的，包括勒索软件、转账欺诈、恶意软件等攻击场景。 开始前可以学习下关于电子邮件攻击技术： 电子邮件伪造实践 安全意识的提升并不能完全杜绝，因此应实施电子邮件安全最佳实践。 个人电子邮件安全实践 网络、软件和设备 使用普及度高的邮件服务商。收入更多，对应投入的安全资源也更多。往往意味着攻击他们的成本更高，对应安全性也更高。优先选择Gmail、腾讯邮箱。 保持邮件客户端处于最新版本。 设备与网络 保持手机、电脑、路由器和所有联网设备处于最新状态，并更改默认密码。 不要使用公共Wi-Fi 离开电脑时，记得锁屏。 不要借电脑给他人。 保护账户 通过入侵获取邮箱账户权限，从而收集日历、联系人、组织架构、文件和历史邮件各种信息的访问权限。 强制开启邮箱登陆二次验证（扫码、短信、Google Auth）...

信息来源：暗网、公开社工库、HIBP。

Risk Management of E-banking-v3下载

⾹港⾦融管理局（“⾦管局”）于 2020 年 11 ⽉发布了⽹络弹性评估框架 (C-RAF) 2.0，此后，持牌银⾏、有限制牌照银⾏和接受存款公司将⾄少接受⼀次此评估流程，并为下⼀轮 C-RAF 测试做准备。 固有风险评估（低/中/高）：以明确的，反映银行营运价值、类型、体积及复杂性的标准作基础，评估银行总体网络风险。 网络成熟度评估 （基础/中等/高等）：根据在每一个成熟度等级下的管控要求，从7个关键网络领域全面评估银行的管控方案。认可机构应根据固有风险评估的结果决定目标网络成熟度，然后进行成熟度评估。认可机构也应基于所鉴定的差距，分析、概括、以及决定改进行动在路线图的优先次序。 情报主导的网络攻击模拟测试（Intelligence-led Cyber Attack Simulation...