把诸如公共密钥基础设施这样的安全控制措施迁往云计算确实是可以实现成本节省的，但是云计算的安全措施是否强大到足以确保其安全性呢？ 当你在考虑一个基于PKI的基本系统的不同组成部分时，公共密钥基础设施很显然地在IT领域获得了一个意义深远的立足之地。从证书授权到证书撤销列表再到注册结构，在PKI环境内确保通信的安全性将是一项非常耗费计算资源的任务，这一点是非常显而易见的。有鉴于此，相关的成本支出就会很容易出现失控，这意味着是否需要把所有的PKI迁往云计算就成为了一个非常值得探讨的命题。 一个公共密钥基础设施可以让
导语：随着云计算的落地，云安全随之成为企业关注的话题，那么2014年云安全将会有哪些进展呢?业内人士展望了一下2014年云安全的是个方面。 1. 企业会发现BYOS对公共云的重要性。 鉴于最近政府访
研究表明，云计算提供商提供的加密管理工具无法解决多云密钥管理面临的独特挑战。人们需要了解关键的管理即服务工具如何填补这一空白。
PKI（ Public Key Infrastructure，公钥基础设施）是一个利用公开密钥理论和技术来实现并提供信息安全服务的具有通用性的安全基础设施。
作者：Dr. Carsten Stöcker (Spherity GmbH), Dr. Samuel M. Smith (ProSapien LLC)；共同作者（编辑）：Dr. Juan Caballero (Spherity GmbH)
公共云存储服务供应商可帮助企业用户免于承担物理硬件及其相关成本的负担，其中包括能源、冷却以及服务器维护等。 很多企业都在使用公共云、私有云以及混合云这样的一个组合，但是其中的公共云存储服务是尤其吸引人的。它的成本效益高，它可提供可扩展性、可靠性以及性能优势。 使用公共云存储服务可以让企业将相关工作外包给供应商，从而从繁重的管理任务重脱身出来，并可以减少与支持物理硬件相关的成本开支。企业用户的数据是存储在供应商的数据中心内的，而供应商管理和维护着其数据中心的方方面面，具体包括能源、冷却和服务器维护等。因此，企
过去几年来，很多国家都制定了自己的数据驻留法，其中一些国家要求所有与其政府部门相关的数据必须存储在境内。欧盟各国以及俄罗斯、巴西和印度都是这种法律的主要支持者。 满足数据驻留法律要求并不是一件容易的
安全专家对网络攻击者针对企业云计算环境实施的常见和相关的攻击方法进行了阐述和分析。随着越来越多的企业将业务迁移到云计算环境，寻求攻击的网络犯罪分子也是如此。而了解最新的攻击技术可以帮助企业更好地应对未来的威胁。
不可否认，能生存在互联网上的软件都是相互关联的，当我们开发一款应用程序时，它必须与其他的服务进行通信，无论是在你的基础设施，还是云服务，亦或是第三方应用程序上。当然，你不希望你不认识的人伪装成你，所以在你使用SSH密钥或者接口令牌来确保通信安全时，你必须保密。
随着新基建概念的提出，5G、大数据、工业物联网、区块链等技术将发挥不可或缺的作用。其中区块链作为信任机制的纽带，正在凭借其不可篡改、信息透明等特性，为新基建赋能。
虽然主要云计算供应商提供的安全工具很方便，但这对一些用户来说并不意味着总是正确的选择。因此需要了解如何决定何时应选择使用第三方安全工具。哪种类型的云安全工具是最好的？其答案很大程度上取决于特定的云计算架构以及组织的安全需求的性质。
本系列共分两部分，旨在帮助你分解数字应用程序、服务或产品的身份，特别是对去中心化架构和可互操作的web。其目的是将一个模糊的主题具体化，将一个大问题具体化，将一个困难而空洞的领域简单化分析。第一部分[4]分析了身份在数字产品中的作用。我们讨论了身份的社会和技术定义，它应该给你的产品带来的价值，以及不完整的身份解决方案的缺陷。
AWS系统管理器通过创建SSM文档在AWS资源上自动执行操作任务。以JSON或YAML创建的SSM文档包含AWS系统管理器将在云资产上执行的操作。默认情况下，SSM文档是私有的，但可以配置为与其他AWS账户共享或公开共享。AWS提供了共享SSM文档的最佳实践。
为了能在高安全的环境中与合作伙伴传输处理各类电子文件信息，FDA推出了ESG解决方案用于接收、处理电子监管信息。FDA ESG遵循安全传输协议标准，要求ESG账户在提交电子信息过程中必须使用数字证书保证通信安全。
很少有数据存储库可以比GitHub更广泛地应用于代码开发生产，然而，正如老话所说的“速度越快，风险越大”。研究人员发现公共GitHub帐户具有极高泄露敏感信息的可能，数据丢失和持续泄露事件风险增加。通过适当的DevSecOps和使用GitHub事件API扫描器，组织可以大大降低泄露信息的风险。
引发 DevSecOps 的这个概念背后有很强大的变化，安全一般来说是服务于其他信息技术，如果相应的技术或者解决方案或者流程发生变化，安全也要随之改变，否则无法适应新的技术的安全要求。这里面的最重大的变化有三个：
网络系统的软件、硬件以及系统中存储和传输的数据受到保护，不因偶然的或者恶意的原因而遭到破坏、更改、泄露，网络系统连续可靠正常地运行，网络服务不中断。
JWT（Json Web Token） 是为了在网络应用环境间传递声明而执行的一种基于JSON的开放标准。
比特币和其他数字货币构成了非常基本的安全假设。在一个分散网络中，我们需要加强自我保护意识，免受sybil的攻击（有些人接管大部分网络）。为了拥有适当的用户自主权和资金管理，我们需要一个可以由个人单独运行的基础设施。实质上，它创建了一个任何人都可以在不损害网络安全的情况下交谈的插件。这些假设显然是关于韧性而非效率。一些防范恶意行为者的机制比其他机制更强大。专注于确保比特币网络安全的公司也可能会发现，其他系统也可能以类似的方式获得担保，并比比特币市场更开放地打开更大的市场。
翻译自 Britive: Just-in-Time Access across Multiple Clouds 。
Red Hat、谷歌和普渡大学致力于确保软件维护者、分销商和消费者对他们的代码、工件和工具充满信心
由于云计算的发展，带来了如对象存储等很多丰富的中间件，应用开发者希望可以不用写后端逻辑，直接把逻辑写在客户端，组合云上的一些服务来完成业务逻辑，FaaS的概念逐渐浮现。
中小型企业(SME)的技术需求虽然比大企业的少，但仍然很重要。其中的关键是中小企业的存储。
容器技术(尤其是Docker)正继续以其自有的方式在企业中发展着。它们与其他任何技术一样，IT专业人士们的任务就是为确保Docker容器的安全性而制定出一份策略。 关于Docker安全性问题，这里需要指出几点。首先，在Docker中运行容器和应用程序意味着要运行Docker守护进程，这需要root权限。但是，这也意味着用户为这些进程提供了进入的钥匙——这正是容器如何向IT安全专业人士发出警告的一个例子。 其他的问题包括容器的灵活性，这可让它较容易地执行容器的多个实例。这些容器中有很多都具有着不同的安全补丁等
混合云管理是现代IT运营领域中的一个热点话题。继续阅读本文以了解它是什么，它的工作原理以及它能够为用户的基础设施做些什么。 目前，最大的IT热点之一就是混合云。规模更大的IT运营团队不是正在尝试混合架构就是在积极地将混合云投入生产应用。作为一种相对较新的IT方法，混合云仍然存在着导致拖慢应用和阻碍顺利持续运营的部署与管理陷阱。 混合云管理平台是由两个或两个以上的部分组成的。其中一部分是私有计算机集群，它通常会处理企业的关键任务和核心工作负载，而另一个(或多个)则是处理工作负载需求高峰以及其他任务(例如备份与
云服务是必需的且富有成效的，甚至比传统的数据中心提供更安全的环境。但是，它们也给正在处理和存储在云平台中的敏感数据带来了独特的风险，其中大多数风险是由这些服务的设置和管理中的客户错误引起的。制定应对计划以应对在云平台中放置敏感数据的风险，这应该是任何云安全策略的一部分。要开始制定有关公共云使用的数据保护政策，重要的是要了解攻击者如何窃取来自第三方云服务的数据。缺乏云计算的安全策略或架构，是造成数据泄露的另一个常见原因，其次是身份和密钥管理不足，其次是不安全的API、结构故障以及对云计算活动和安全控制的有限可见性。
近期，三位网络安全专家向路透社透露，在美国FBI、USSS、USCYBERCOM，以及其他国家相关组织的联合打击下，著名的俄罗斯勒索软件组织REvil已经下线。
Cloud Custodian 是一种工具，它将大多数组织用于管理其公共云帐户的数十种工具和脚本统一到一个开源工具中。它使用无状态规则引擎进行策略定义和执行，并为云基础设施提供指标、结构化输出和详细报告。它与无服务器运行时紧密集成，以低运营开销提供实时修复/响应。
PKI（Public Key Infrastructure）公共密钥基础建设，又称为公开密钥基础架构、公钥基础建设、公钥基础设施或公钥基础机构，是一组由硬件、软件、参与者、管理政策与流程组成的基础架构，能够为所有网络应用提供加密和数字签名等密码服务及所必须的密钥和证书管理体系，简单来说PKI就是利用公钥理论和技术建立的提供的安全服务设施，是信息安全技术的核心。其目的在于创造、管理、分配、使用、存储以及撤销数字证书。当然PKI既不是一个协议，也不是一个软件，它是一个标准，在这个标准之下发展出的为了实现安全基础服务目的的技术统称为PKI。
美军JIE（联合信息环境）的目标是实现“三个任意”的愿景——美军作战人员能够用任意设备、在任意时间、在任意地方获取经授权的所需信息，以满足联合作战的需求。
内部部署的超融合基础设施对于中小企业来说非常适合，这消除了对SAN存储及其相关技能的需求，但是，对于希望实现存储基础设施现代化的中小企业，有许多方法可以从云存储产品中受益，同时结合使用具有内部容量的这些。
Netz可以帮助我们轻松地运行互联网范围内的错误配置研究和其他的东西，它将基础结构作为代码包含在其中，因此您可以将自己的研究计划放入配置文件中，运行命令行接口，然后等待结果。它还包含一些更高级的特性，比如通过使用PF_RING ZC（Zero Copy）内核模块来快速扫描BLAZING等等。
本文将对云端环境中的横向移动技术和相关场景进行深入分析和研究，并给大家展示研究人员在云环境中观察到的一些威胁行为。云端环境中的横向移动可以通过利用云API和对计算实例的访问来实现，而云端级别的访问可能会扩展到后者。
面向大数据时代，公安机关将“智慧公安”作为“服务型公安”转型的密钥，取得了“智慧公安”建设的阶段性成就。公安机关是维护城市公共安全的主要力量，其应当以互联网、人工智能、云计算、物联网等技术为支撑，将设备与技术互联化、物联化、智能化，使公安系统各功能模块协调运作，建立以公安机关为核心的多部门协同管理防控新模式。
我国2017年实施的《网络安全法》明确指出“国家实行网络安全等级保护制度”（第21条）、“国家对一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施，在网络安全等级保护制度的基础上，实行重点保护”（第31条）。在最近发布的《数据安全法（草案）》二审稿中，与亮点之一相比一审稿增加了等保制度的衔接。等级保护2.0标准体系涉及众多标准，同时对数据安全、个人信息保护有若干的规定要求。本文中以等保2.0三个标准，即《信息安全技术网络安全等级保护定级指南》（GB/T 22240-2020）、《信息安全技术 网络安全等级保护测评要求》（GB/T 28448-2019）和《信息安全技术 网络安全等级保护安全设计技术要求》（GB/T25070-2019），摘录对数据安全、个人信息保护相关要求，同时对其进行技术层面的解读，以供参考。
你的秘密安全吗?选择正确的OpenStack Barbican部署选项来保护您的云的隐私和完整性。 无论您是遵循您的内部信息安全政策，还是试图满足诸如GDPR、ANSSI、PCI DSS、HIPAA或
随着攻击变得越来越复杂和频繁，能给整个生态系统带来大规模影响的大门已经打开，智能移动汽车利益相关者必须意识到新兴威胁以及它们对网络韧性的潜在影响。在2023年，网络攻击变得更加复杂和频繁，针对各种车辆系统和组件，以及智能移动平台、物联网设备、应用程序，并使整个行业快速意识到任何连接点都有遭受攻击的风险。
2014年8月，美国国土安全部(以下简称“DHS”)首席信息安全官办公室发布了DHS 4300A-Q1(敏感系统手册)文件。文件仅针对敏感无线系统的安全问题，不涉及机密无线系统的使用。DHS敏感系统政策指令(PD)4300A要求，无线通信技术和应用程序必须是经授权官员(AO)特别批准的，否则在DHS中禁止使用。(NIST的出版物(SP)800-37，授权官员取代了指定的认证机构(DAA))。授权官员还必须批准在认证和认证(C&A)过程中特定风险级别的无线系统的实现和使用，并确保在安全计划中包含适当、有效的安
谷歌的技术基础设施共同构建了搜索、邮件（Gmail)、照片等普通用户系统和G Suite 、谷歌云存储平台等企业系统，是谷歌数据中心的关键，是整个谷歌网络服务赖以存在的安全基础。 FreeBuf在原文基础上，针对谷歌技术基础设施的安全设计作了简要分析与介绍，这些技术基础设施为谷歌全球信息系统提供了一系列安全防护，它们包括运行安全服务、终端用户数据安全存储、服务安全通信、用户安全通信和运维安全管理等。 在介绍中，我们将围绕谷歌数据中心的物理安全、整体软硬件基础安全、技术限制和操作的运维安全进行逐层描述。
1、什么是数字证书？ 数字证书就是解决"我是谁"的问题，就如同现实中我们每一个人都要拥有一张证明个人身份的身份证或驾驶执照一样，以表明我们的身份或某种资格。数字证书是由权威公正的第三方机构即CA中心签发的，确保信息的机密性和防抵赖性。 数字证书采用PKI公钥密码体制，即利用一对公私钥进行加密、解密。每个用户拥有一把仅为本人所掌握的私有密钥（私钥），用它进行解密和签名；同时拥有一把公共密钥（公钥）并可以对外公开，用于加密和验证签名。 当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收
多云和混合云策略都可能为云安全带来挑战。云计算部署使IT运营变得更加复杂，即使减少了管理物理设施的需求。多云也为组织的安全团队带来了负担，他们通常难以在多云环境中保持洞察力。组织在云安全方面面临挑战，意味着其安全团队的任务需要为应用混合云或多云采用新的策略和措施。
想要开发出一个安全的、健壮的Web应用其实是非常困难的，如果你觉得这实现起来非常简单的话，那么你一定是一个X炸天的程序猿，要么你就是在白日做梦…… 写在前面的话 如果你觉得你可以在一个月之内开发出一款集使用价值、用户体验度、以及安全性为一身的产品，那么在你将产品原型真正推上市场之前，请一定要三思啊！ 当你仔细核查了本文给出的安全小贴士之后，你可能会发现你在产品的开发阶段跳过了很多重要的安全步骤。有的时候，也许你应该对你的用户坦诚一点，你应该诚实地告诉他们这款产品还没有完全搞定，还有很多的安全问题亟待解决。
对于那些考虑进行云计算部署的企业来说，有效的成本管理对于成功至关重要。企业需要最大程度地利用云计算技术，需要在关键活动领域中尽早采取行动，以便随着云计算足迹的增加而有效地优化成本。
各位FreeBufer周末好~以下是本周的「FreeBuf周报」，我们总结推荐了本周的热点资讯、优质文章和省心工具，保证大家不错过本周的每一个重点！
"S7-1500 作为OPC UA 服务器快速组态:本视频旨在帮助用户了解在实际使用过程中，考虑到数据安全性及用户身份认证的情况，如何组态S7-1500的 OPC UA 服务器功能，以实现其和OPC UA客户端的数据交换任务。 此视频中：OPC UA 客户端使用UA Expert软件。OPC UA服务器的端口号使用默认的4840；设置安全策略，证书类型为自签署证书，需进行服务器及客户端证书的导入导出；启用用户身份认证，需输入用户名密码。
即便是对安全性问题方面的一个小小建议也都足以让一个云计算项目泡汤，并让整个云计算规划过程及其规划者饱受质疑。为了避免出现这种情况，企业必须以辩证的方法来看待安全性问题，集中精力加强对新风险的管理，并从理念上理解可接受的风险等级。 大多数问题的发生都是由于企业是在理想情况下对云计算安全性进行评估的。很少有企业会考虑在云计算中运行一个全新的应用程序;他们往往会希望把一个现成的成熟应用程序迁往云计算。这就意味着，他们并不会对应用程序的安全性进行完整的评估，而是把云计算安全性与他们目前的数据中心托管安全性
为了收集有关当前和未来云计算状态的见解，行业媒体与来自33家企业的IT主管讨论了他们及其客户关于云计算的使用情况。
一 介绍 HTTPS 之前，我们先回顾一下 HTTP 协议。HTTP 超文本传输协议，它是无状态的、简单快速、基于 TCP 的可靠传输协议。既然 HTTP 协议这么好，那为什么又冒出来了一个 HTTPS ？主要是因为 HTTP 明文传输的数据，这就造成了很大的安全隐患。在网络传输过程中，只要数据包被人劫持，那就相当于赤身全裸的暴露在他人面前，毫无半点隐私可言。想象一下，假设你连了一个不可信的 WIFI，正好又使用了某个支付软件进行了支付操作，那么你的密码可能就到别人手里去了，后果可想而知。公共网络环境就是这样，给你带来便利的同时，也充满了挑战与风险。对于小白用户，你不能期望他有多高的网络安全意识。这样的问题产品应该通过技术手段，让我们的产品变得更安全，从源头来控制风险。这就是HTTPS协议诞生的背景。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
