敏感凭据管理双12活动 - 腾讯云开发者社区

文章/答案/技术大牛

发布

腾讯云 Agent 全栈安全防护与原生安全实践概要

来源：中关村论坛 2026 ZGC FORUM 系列活动演讲人：董志强，腾讯云副总裁、云鼎实验室负责人日期： 2026年3月12日一、产品定位与核心亮点腾讯云 AI Agent 全栈安全防护体系...场景四：敏感数据防泄漏受众：处理敏感数据（PII、API Key、商业机密）的企业。痛点：攻击者诱导 Agent 翻出本地记忆文件，或在调用大模型/API 时外泄敏感信息。...安全管控层（OneID + AI Agent 安全网）：身份权限管理提示词注入攻击防护内容合规检测访问凭据加密托管敏感数据检测/拦截/脱敏 MCP 管理 Token 极速安全审计网络层防护...双身份鉴权：基于 User ID + Agent ID 的组合授权，明确区分人与代理的操作。凭据安全：后端服务访问凭据加密托管、网关代理（可用不可见），使用临时凭据替代长效凭据。...四、典型案例案例一：Microsoft 365 Copilot 漏洞 (CVE-2026-26133) 攻防分析背景： 2026年3月12日，微软 Microsoft 365 Copilot 被曝出

6720 0

美国国家安全局发布零信任安全模型指南

以数据为中心的安全模型，在持续控制访问的同时，寻找异常或恶意的活动。采用零信任思想和利用零信任原则，将使系统管理员能够控制用户、进程、设备如何处理数据。...（注：NSA负责保护国家安全系统（NSS），即敏感程度较高的网络和系统，如涉密信息系统。所以，这条建议对于高敏感网络在应用零信任理念方面，具有很强的权威性。）...图2：NSA（左）/DISA（右）“雌雄双煞” NSA的工作侧重于涉密侧和进攻侧，敏感程度较高，所以不像DISA那么开放。...在传统网络中，仅用户的凭据就足以授予访问权限。在零信任环境中，由于设备是未知的，因此设备无法通过身份验证和授权检查，因此被拒绝访问并记录下恶意活动。此外，零信任要求对用户和设备身份进行强身份验证。...在成熟的零信任环境中，数据加密和数字权限管理可以通过限制可以访问的数据和可以对敏感数据采取的操作类型，来提供额外的保护。此外，分析能力可以持续监视帐户、设备、网络活动和数据访问中的异常活动。

2.9K1 0

您找到你想要的搜索结果了吗？

是的

没有找到

10万 npm 用户账号信息被窃、日志中保存明文密码，GitHub安全问题何时休？

自官方在 4 月 12 日首次发现这一活动以来，攻击者已经从几十个使用 Heroku 和 Travis-CI 维护的 OAuth 应用程序的组织中访问并窃取数据，其中包括 npm。...GitHub 安全问题不断 GitHub 在全球拥有超过 8000 万个存储库，无疑是最受欢迎的开源代码管理系统。但不断爆出的安全问题也一直困扰着 GitHub。...切勿将凭据和敏感数据存储在 GitHub 上 GitHub 的目的是托管代码存储库。除了设置账户权限外，没有其他安全方法可以确保密钥、私人凭据和敏感数据可以一直处于可控和安全的环境中。...减轻这种风险最简单方法是在提交到分支之前不在代码中存储凭据和敏感数据。但是，可能会发生一些错误。...另外，也可以使用机密和身份管理工具，例如 Vault 和 Keycloak。删除文件中的敏感数据和 GitHub 历史记录一旦在 GitHub 仓库中发现了敏感数据，就需要采取一些应急处理措施。

3K2 0

社交场景钓鱼攻击机理与闭环防御技术研究 —— 以虚假派对邀请为例

，本质是窃取用户登录凭据的钓鱼攻击。...邮件渠道发送虚假信息，诱导用户输入邮箱账号、密码、验证码等敏感凭据，进而实现账号劫持、信息窃取的网络钓鱼攻击。...FTC 监测数据显示，此类攻击用户点击链接率超 30%，信息提交率达 12%，账号劫持成功率超 85%，且攻击后 72 小时内扩散联系人平均数量达 56 人，危害扩散速度极快。...双因素认证（2FA）增强技术即便攻击者窃取账号密码，双因素认证可通过二次验证（短信、令牌、生物识别）阻断非法登录，是账号安全的最后防线。...5.2.2 管理规范定期开展钓鱼防范培训，重点覆盖社交场景攻击特征；制定敏感信息管理规范，禁止工作邮箱接收私人邀请；建立应急响应机制，明确攻击处置流程与责任人。

4081 0

Fortinet警告称，FortiOS SSL VPN双因素认证绕过漏洞正被积极利用

在2025年12月24日发布的新公告中，Fortinet指出，成功触发CVE-2020-12812需要具备以下配置：FortiGate 上的本地用户条目启用了双因素身份验证 (2FA)，并引用 LDAP...FortiGate 上至少需要配置一个双因素用户所属的 LDAP 组，并且该组需要用于身份验证策略中，该策略可以包含例如管理用户、SSL 或 IPsec VPN 等。...只要凭据正确，无论本地用户策略中的任何设置（双因素身份验证和已禁用帐户）如何，身份验证都将成功。”因此，该漏洞允许管理员或 VPN 用户在未启用双因素身份验证 (2FA) 的情况下进行身份验证。...：“如果将用户名敏感性设置为禁用，FortiGate 会将 jsmith、JSmith、JSMITH 以及所有可能的组合视为相同，因此可以防止故障转移到任何其他配置错误的 LDAP 组设置。”...Fortinet 还建议受影响的客户联系其支持团队，如果发现管理员或 VPN 用户在未启用双因素身份验证 (2FA) 的情况下通过身份验证，则应重置所有凭据。

4381 0

解析教育行业网络攻击的深刻教训

然后，这些收集到的凭据会被系统地针对面向公众的身份验证门户、学习管理系统、电子邮件平台和管理界面进行测试。...这些活动通常部署旨在窃取凭据、浏览器数据和身份验证令牌的信息窃取程序，然后这些信息在地下市场出售或被威胁行为者在后续的勒索软件攻击和网络入侵中利用。...剖析一次具体攻击2025年12月18日，悉尼大学通知其社群发生了一起网络安全泄露事件，涉及访问了与社群某些成员相关的历史数据。据信，约有27,500条记录被泄露。...泄露的数据包括约10,000名现任和12,500名前员工及附属人员、约5,000名校友和学生以及六名支持者的个人信息。...通过优先考虑主动防御策略，机构可以更好地保护敏感信息，并维持其社群内的信任。FINISHED

3911 0

腾讯云 AI Agent 全栈安全防护与原生安全架构解析

董志强（腾讯云副总裁、云鼎实验室负责人）在“中关村论坛（2026 ZGC FORUM）系列活动”中发布。...、提示词注入防护、内容合规检测、访问凭据加密托管、敏感数据脱敏、MCP 管理、Token 限速等。...服务凭据管理：后端服务访问凭据加密托管、网关代理（可用不可见），并支持用临时凭据替代长效凭据。数据安全优势：敏感数据检测：实时识别对话中包含的密钥、手机号、身份证、邮箱等。...荣誉背书该架构及议题作为核心技术成果，在中关村论坛（2026 ZGC FORUM）系列活动中由腾讯云重磅发布。...四、典型案例案例一：Microsoft 365 Copilot（行业痛点背景案例）背景： 2026 年 3 月 12 日，微软 Microsoft 365 Copilot 爆出名为 EchoLeak

1.5K0 0

全球网络钓鱼动态简报（2026年2月）

Mamba 2FA是一种高度自动化的攻击工具，能够实时拦截受害者的登录凭据和双因素认证（2FA/MFA）会话令牌。该套件自2024年以来持续活跃，并在近期进行了多次更新，以增强其逃避检测的能力。...该活动利用了用户对数据安全的焦虑心理，试图诱骗其泄露主密码和双因素认证（2FA）代码。LastPass明确表示，公司绝不会通过电子邮件要求用户提供主密码或进行此类紧急备份操作。...输入凭据后，攻击者即可窃取其账户访问权限，进而获取用户存储的所有敏感密码信息。针对此威胁，LastPass建议用户切勿点击此类可疑邮件中的链接，并直接通过官方网站或浏览器插件访问服务。...钓鱼活动利用RMM工具实现隐蔽访问KnowBe4威胁实验室披露了一起利用合法远程监控与管理（RMM）工具进行持久化访问的新型钓鱼活动。...Trellix报告：高级“浏览器内浏览器”攻击瞄准Facebook用户网络安全公司Trellix于2026年1月12日发布警告，揭示了一场针对Facebook用户的高级网络钓鱼活动，该活动利用了“浏览器内浏览器

6231 0

2022年最常被利用的12个漏洞

从安全绕过、凭据暴露到远程代码执行，软件漏洞始终是网络攻击者入侵系统的有力武器。...据悉，该产品为Active Directory和云应用程序提供了全面的自助密码管理和单点登录（SSO）解决方案，旨在允许管理员对安全的应用程序登录实施双因素身份验证（2FA），同时授予用户自主重置密码的能力...作为回应，CISA发布了一个关于零日漏洞的警告，告知用户攻击者如何利用该漏洞部署web shell以进行“利用后”（post-exploitation）活动，例如窃取管理员凭据，进行横向移动，以及泄露注册表和活动目录...如果这些漏洞被成功利用，攻击者基本上可以通过AD访问企业网络深处的关键应用程序、敏感数据和其他区域。...12.

1.7K1 0

全球网络钓鱼动态简报（2026年3月）

报道指出，这类活动往往利用“恐惧与紧迫感”等心理诱导受害者点击并在仿冒页面输入企业邮箱、云服务或支付信息。企业凭据一旦泄露，攻击者可进行邮箱接管、OAuth滥用、横向移动，甚至发起商业邮件欺诈。...此类攻击的核心并非利用系统漏洞，而是利用品牌信任与用户对支付提醒的敏感度；一旦凭据或验证码被套取，可能导致Apple ID被接管、设备被绑定、支付工具被滥用，进而引发财务损失与个人数据泄露。...WordPress管理员遭遇伪造域名续费钓鱼，银行卡与短信验证码被引流至TelegramSC Media报道，一项针对WordPress管理员的新型钓鱼活动近期被独立安全研究员Anurag Gawande...建议域名续费、主机付款等敏感操作应通过浏览器手工输入服务商官网地址或使用已保存书签完成，而非依赖邮件中的链接；管理员可在域名注册商后台启用自动续费与独立的消费提醒机制，并对财务相关账户启用强口令与多因素认证...员工因误以为邮件来自HR、IT或直属管理者而降低警惕，增加了点击恶意链接与输入凭据的可能。

9211 0

Android LINE应用UI欺骗漏洞深度解析：CVE-2025-14020技术细节与防护

实际的缓解措施包括教育用户认识网络钓鱼风险、限制在敏感交易中使用应用内嵌浏览器，以及监控应用内可疑链接活动。...通过利用此缺陷，攻击者可以精心设计网络钓鱼攻击，诱骗用户泄露敏感信息，如凭据或个人数据。该漏洞的 CVSS v3.1 基础评分为 5.4，表明其为中危级别。...由于 LINE 广泛用于个人和商务通信，利用此 UI 欺骗缺陷的网络钓鱼攻击可能导致凭据窃取、对敏感对话的未授权访问，如果 LINE 账户与企业资源关联，还可能在企业网络内进行潜在的横向移动。...尽可能限制或禁用应用内嵌浏览器用于敏感交易或通信，鼓励用户在具有更强安全控制的可信外部浏览器中打开链接。实施移动设备管理（MDM）策略，以强制应用更新并限制安装过时或易受攻击的应用版本。...监控网络流量和用户报告，以发现通过 LINE 消息或链接进行网络钓鱼尝试的可疑活动。鼓励在 LINE 账户及任何关联服务上启用多因素身份认证（MFA），以减少凭据泄露的影响。

5511 0

伪装Meta合规通知的钓鱼攻击机制与中小企业防御策略研究

2025年，Check Point邮件安全团队披露了一起大规模钓鱼活动，攻击者伪装为Meta Business Suite发送“政策违规”或“账号受限”通知，利用企业主对广告中断的高度敏感性，诱导其点击伪造的...“申诉”链接并提交登录凭证及双因素验证码。...Check Point数据显示，某汽车经销商账号被接管后48小时内，其主页发布了3条加密货币投资广告，累计曝光超12万次，造成多名客户资金损失。...5.4 安全运营与审计开启Business Manager安全告警：对角色变更、新设备登录、API调用异常实时通知；定期权限审计：每季度审查所有管理员与合作伙伴权限，移除闲置账户；启用登录活动日志：通过...结果：凭据提交后8秒内，攻击者成功登录并添加新管理员；若启用FIDO2，则钓鱼页面无法获取有效挑战响应，攻击失败；邮件网关在启用“合规话术+Vercel托管”联合规则后，拦截率达98.7%。

8741 0

凭据管理与 API 密钥治理的工程实现：从凭据全生命周期、Secret 注入四模式到硬编码检测与泄露后快速轮换

凭据管理与 API 密钥治理的工程实现：从凭据全生命周期、Secret 注入四模式到硬编码检测与泄露后快速轮换摘要：凭据管理是云原生与微服务架构里最容易被低估的安全环节。...二、凭据类型与凭据管理生命周期 2.1 常见凭据类型按形态和用途，运行期凭据大致分为五类： 2.2 生命周期七个阶段凭据管理与密钥管理在生命周期上高度同构，可拆为七个阶段，每一阶段都有对应的工程动作...清理节奏建议：先扫描建档，按敏感级别排序，高敏感凭据优先轮换，再删除代码引用，最后关闭相关长期账号。...典型的做法是 m-of-n 审批：至少需要若干名授权人中的若干位批准，申请才生效；审批动作本身与凭据下发都记入审计。对等高敏感操作，可叠加双签机制，避免单人滥权。...Q：微服务调用频繁，凭据轮换会导致大量请求失败吗？ A：不会，前提是启用双版本并存。

661 0

电商零售行业重保指南：从流量洪峰到暴露面一条龙管理

一、为什么电商零售是"攻击重灾区" 原因 1：攻击价值高电商数据就是钱用户凭据、信用卡、订单信息每一条都能变现刷单、黄牛是直接薅平台羊毛原因 2：大促窗口期集中流量是平时的 10~100 倍...万/次）：对所有资产做 PoC 验证敏感信息监测：GitHub / 网盘 / 暗网扫描 4.3 典型产出收敛前后的暴露面对比图敏感信息泄漏处置清单关键业务系统的最小暴露面版本 4.4 避坑点不要在大促前...建议 5：历史活动系统定期下线每季度清理一次历史活动系统。不用就下线，不要留在线上"以防万一"。...十一、立即行动行动 1：盘点 2026 年大促日历把 618、双 11、双 12、年货节、店庆等重要时点列出来。行动 2：对齐预算与档期每个大促前 30 天的档期必须锁定。...腾讯安全专家资源在 618 前、双 11 前需求较多。

3801 0

全球网络钓鱼动态简报（2026年4月）

当前已知风险集中于钱包连接、恶意签名和凭据暴露，尚无证据显示OpenClaw官方发起相关赠币活动。...安全研究人员建议开发者仅通过项目官方仓库、经验证社交账号和可信公告渠道核实活动信息，避免点击未经确认的空投链接，不要在陌生页面执行签名或导入助记词，同时启用硬件钱包、最小权限授权和GitHub账号双因素认证...该活动与季节性社工手法高度相关，攻击者利用个人和企业在报税窗口期对官方通知的敏感度，提高邮件、链接和附件的打开率。...用户层面则应避免通过邮件或即时消息中的链接登录敏感系统，优先使用书签和官方入口，并启用多因素认证和账户活动提醒，以降低被仿冒钓鱼链路命中的概率。...一旦用户输入并提交凭据，攻击者便可成功窃取，进而访问该员工的企业账户，窃取敏感数据或发动进一步的内部攻击。

5741 0

国内“双枪”僵尸网络利用百度贴吧图像进行分发

自2017年7月开始活动，在过去三年中，“双枪”木马影响范围较小，但是随着规模的逐步扩大，如今，该木马病毒已经已经活跃于国内各大社交网站和游戏论坛。...“双枪”木马主要是通过网络共享诱饵应用程序进行分发，为社交网络和游戏论坛提供盗版游戏，使用MBR和VBR引导程序感染用户设备，安装各种恶意驱动程序，并在本地应用程序窃取凭据。...恶意代码访问配置信息服务器后，从贴吧下载并加载cs.dll最新版恶意程序； 2、cs.dll 会进行一些简单的虚拟机和杀软对抗，利用百度统计服务上报僵尸网络信息，释放第3阶段VMP加壳的驱动程序； 3、所有敏感的配置信息都保存在驱动内部...，DLL通过调用驱动来获得配置服务器相关信息，根据下载的配置信息去百度贴吧下载其它恶意代码，进行下一阶段的恶意活动。...参考来源：双枪团伙新动向，借云服务管理数十万僵尸网络奇虎和百度破坏了感染成千上万用户的恶意软件僵尸网络 *本文作者：Sandra1432，转载请注明来自FreeBuf.COM

2.8K3 0

黑客扫描全网 Git 配置文件并窃取大量云凭据

根据发现该活动的 Sysdig 的说法，该操作涉及使用自动化工具扫描 IP 范围以查找暴露的 Git 配置文件，其中包括身份验证令牌。...被盗数据被泄露到其他受害者的 Amazon S3 存储桶中，随后被用于网络钓鱼和垃圾邮件活动，并直接出售给其他网络犯罪分子。...EmeraldWhale 背后的攻击者使用“httpx”和“Masscan”等开源工具扫描托管在大约 5 亿个 IP 地址上的网站，这些 IP 地址分为 12,000 个 IP 范围。...研究人员指出，这项活动并不是特别复杂，依赖于成熟工具和自动化，但仍然窃取了数千个可能导致灾难性数据泄露的密钥。...软件开发人员可以通过使用专用的密钥管理工具来存储其密钥，并使用环境变量在运行时配置敏感设置，而不是在 Git 配置文件中对其进行硬编码，从而降低风险。

2.8K1 0

全球网络钓鱼动态简报（2026年1月）

恶意NPM包构建网络钓鱼基础设施，窃取关键行业凭据根据The Hacker News及Socket的安全研究报告，技术供应链中发现了一起持续时间长达五个月的针对性攻击活动，攻击者在NPM开源注册表中发布了...点击链接后，受害者会被引导至模仿DocuSign登录界面的钓鱼网站，旨在窃取其电子邮件凭据或敏感个人财务信息。此外，部分攻击还涉及诱导用户下载含有恶意宏的文档。...新加坡警方通报：假冒买家网络钓鱼诈骗两月致损逾62万新元新加坡警方于12月29日发布紧急预警，指出自2025年11月1日以来，当地已发生至少223起涉及假冒买家的网络钓鱼诈骗案件，累计损失金额超过62.2...邀请正文突出“需在XX分钟内致电/点击以避免收费”，引导拨打伪装客服号码或访问支持门户，随后通过社会工程索取信用卡、双因素验证码，甚至诱导安装远程协助工具。...攻击者伪装成大学IT支持部门或行政管理人员，发送标题为“工资单更新”“图书馆账户过期”或“紧急兼职工作机会”的邮件。这些邮件旨在诱骗学生和教职工泄露其校园网统一身份认证凭据。

1.1K1 0

苹果紧急更新！腾讯云安全还原Plasma(烈焰)团伙攻击 iOS 过程

Coruna是一个iOS漏洞利用攻击框架，负责突破iOS多层安全防护并将恶意代码植入系统进程，其中部分漏洞也曾出现在卡巴斯基发现的"三角测量"攻击活动中，表明高级漏洞利用技术在不同攻击者之间存在显著的复用和流通...通过后按版本动态加载漏洞利用模块WebKit漏洞利用5套WebKitRCE利用，覆盖iOS13.0-17.2.1，按版本动态加载并检测ARM64/ARM64e架构PAC绕过6套指针认证绕过模块，针对A12...感染完成后，Plasma恶意软件将获得对设备的全面控制，持续窃取以下敏感数据。3.1加密货币资产窃取这是Plasma团伙的首要攻击目标。...是载荷注入框架植入到iOS系统进程中的核心后门加载器，在攻击链中承担从"系统驻留"到"功能部署"的关键过渡角色——负责建立与C2服务器的通信通道、下载核心载荷CorePayload并注入到系统进程中，是整个后续攻击活动的起点...5.2双入口架构PlasmaLoader采用双入口点设计，分离初始化与持久化运行两个阶段：_startx（初始化入口）：负责环境准备——校验漏洞利用接口版本、通过文件锁（/tmp/pl.sp.exec.guard.lock

2.2K1 0

深入剖析Tycoon 2FA钓鱼攻击套件：绕过双因素认证的技战术

Tycoon 2FA钓鱼套件分析Tycoon 2FA钓鱼套件是一个复杂的钓鱼即服务平台，于2023年8月出现，旨在绕过双因素认证和多因素认证保护，主要针对Microsoft 365和Gmail账户。...这使得攻击者能够窃取认证代码并访问受害者账户，即使启用了双因素认证。...理解组织策略Tycoon 2FA活动一个特别高级的功能是它能够理解组织的特定安全策略。通过分析登录过程中的错误信息，钓鱼套件可以定制其攻击，创建高度针对性的活动，增加成功窃取凭据的机会。...为了识别用户的选择，为每个操作生成一个唯一的随机化模式：checkemail: pq 或 rscheckpass: yz 或 12twofaselect: 56, 78, 或 90twofaselected...这种访问暴露了敏感资源，如电子邮件、OneDrive、Google Drive和其他应用程序。攻击者利用窃取的数据对高价值账户进行有针对性的钓鱼活动，在环境内横向移动，外泄数据并部署勒索软件。

4051 0

点击加载更多

腾讯云 Agent 全栈安全防护与原生安全实践概要

美国国家安全局发布零信任安全模型指南

10万 npm 用户账号信息被窃、日志中保存明文密码，GitHub安全问题何时休？

社交场景钓鱼攻击机理与闭环防御技术研究 —— 以虚假派对邀请为例

Fortinet警告称，FortiOS SSL VPN双因素认证绕过漏洞正被积极利用

解析教育行业网络攻击的深刻教训

腾讯云 AI Agent 全栈安全防护与原生安全架构解析

全球网络钓鱼动态简报（2026年2月）

2022年最常被利用的12个漏洞

全球网络钓鱼动态简报（2026年3月）

Android LINE应用UI欺骗漏洞深度解析：CVE-2025-14020技术细节与防护

伪装Meta合规通知的钓鱼攻击机制与中小企业防御策略研究

凭据管理与 API 密钥治理的工程实现：从凭据全生命周期、Secret 注入四模式到硬编码检测与泄露后快速轮换

电商零售行业重保指南：从流量洪峰到暴露面一条龙管理

全球网络钓鱼动态简报（2026年4月）

国内“双枪”僵尸网络利用百度贴吧图像进行分发

黑客扫描全网 Git 配置文件并窃取大量云凭据

全球网络钓鱼动态简报（2026年1月）

苹果紧急更新！腾讯云安全还原Plasma(烈焰)团伙攻击 iOS 过程

深入剖析Tycoon 2FA钓鱼攻击套件：绕过双因素认证的技战术

相关资讯

热门标签

活动推荐

运营活动

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐