软件供应链

开源软件是指软件源代码可以被共享和公共使用的软件。在人们享受开源软件的便捷性和广泛性同时，一旦发生开源软件安全漏洞，其危害程度大、波及范围广，将造成较大安全隐患，从而使对开源软件的治理成为一项重要内容。本文在分析开源软件安全风险的基础上，对国外开源软件安全治理模式进行研究，对我国开源软件安全治理工作存在的不足展开反思，基于以上研究，就如何更好地保障我国开源软…

当像2023年的MOVEit黑客攻击这样的网络攻击成为全球新闻头条时，人们往往关注受影响的组织名称或受影响的人数。虽然这种关注是可以理解的，但对类似MOVEit攻击中发生的事情进行适当分析对于制定具体的网络安全措施以防止类似事件发生是有用的。 本文概述了MOVEit黑客攻击，并旨在为您的业务提供一些重要的可操作性结论。 什么是MOVEit黑客攻击？ 2023…

自2023年8月初以来，已在npm软件包存储库中发现了十多个恶意软件包，这些软件包具有部署名为Luna Token Grabber的开源信息窃取器的能力，可针对属于Roblox开发人员的系统进行攻击。 这个持续进行的攻击活动最早在8月1日被ReversingLabs发现，它使用伪装成合法软件包noblox.js的模块，noblox.js是一个用于创建与Rob…

全国信息安全标准化技术委员会归口的国家标准《信息安全技术 软件产品开源代码安全评价方法》现已形成标准征求意见稿。 本文件给出了软件产品中的开源代码安全评价目标、评价指标体系和评价方法，评价指标体系涵盖开源代码来源、开源代码质量、开源代码知识产权和开源代码管理能力。 标准文本下载: https://pan.baidu.com/s/1Kw2GsrOoWDfa7r…

2022年11月7日，市场监管总局、中央网信办、公安部网络安全局在京联合召开《信息安全技术 关键信息基础设施安全保护要求》（GB/T 39204-2022）国家标准发布宣贯会。 标准提出了以关键业务为核心的整体防控、以风险管理为导向的动态防护、以信息共享为基础的协同联防的关键信息基础设施安全保护3项基本原则。从分析识别、安全防护、检测评估、监测预警、主动防御…

《信息安全技术—ICT供应链安全风险管理指南》（GB/T 36637-2018）是2019年5月1日实施的一项中国国家标准，归口于全国信息安全标准化技术委员会。 《信息安全技术—ICT供应链安全风险管理指南》（GB/T 36637-2018）规定了ICT供应链的安全风险管理过程和控制措施，适用于重要信息系统和关键信息基础设施的ICT供方和运营者对ICT供应链…

先说结论 今年大型攻防演练的观感： 1. 大量的国产商业软件供应链厂商的大量商业软件0day被用来攻击（以安全产品、OA、cms、办公软件为主） 2. 社工+钓鱼又玩出了新花样（红队这帮人估计去电诈团队培训回来的？） 3. 开源软件的Nday/0day漏洞及投毒仍然很实用（更多是Nday漏洞有更成熟的利用工具用来打点和内网渗透）未来攻防趋势判断： 1. 未来…

2022年9月30日，全国信息安全标准化技术委员会归口的国家标准《信息安全技术 软件供应链安全要求》现已形成标准征求意见稿。 本文件给出了软件供应链安全保护目标，规定了软件供应链组织管理和供应活动管理的安全要求。 标准文本下载：https://pan.baidu.com/s/1NvAjVmrUMUjOyu-YOCTVSA 提取码: 324a

SBOM（软件构建物料清单）还不足够：开发人员需要通过使用二进制源验证的过程深入了解软件的构建方式。 美国黑帽 – 拉斯维加斯 – 8月9日星期三，开源OWASP的依赖检查项目的创始人和负责人提出了一种解决软件供应链安全问题的方法，使用了一种名为二进制源验证的新颖过程。 长期从事软件开发的ServiceNow首席工程师和OWASP专家…

墨菲安全在小米IoT安全峰会分享智能汽车安全解决方案 2022年6月30日，墨菲安全受邀参与小米IoT安全峰会，本次由墨菲安全联合创始人、墨菲安全实验室负责人、软件供应链安全开源项目murphysecurity主要贡献者欧阳强斌带来分享，智能汽车行业的软件供应链安全威胁与解决方案。 智能汽车涉及的三类供应链风险的场景 一、开源软件服务的风险 过去有数据统计，…