?覆蓋硬件設計！MITRE發(fā)布通用弱點枚舉CWE 4.0版本

?

MITER可能以其ATT＆CK框架，對抗策略和技術的豐富來源以及緩解措施而聞名，而MITER也以另一種資源而聞名：通用弱點枚舉（CWE）。CWE是由網(wǎng)絡安全和基礎結構安全局（CISA）發(fā)起的一項社區(qū)計劃。對該存儲庫做出貢獻的社區(qū)非常廣泛且多樣化。它包括大型公司、大學、個人研究人員和政府機構。近日CWE更新到了4.0版本。

4.0版本最值得注意的更新是增加了硬件安全缺陷、將漏洞分為有用類別的若干視圖以及搜索功能。

?專揀黑客下手？黑客工具暗藏RAT木馬

??

根據(jù)Cybereason發(fā)表的研究報告，一個網(wǎng)絡犯罪團伙過去多年在網(wǎng)絡地下論壇中傳播暗藏木馬的黑客工具，誘騙了大量菜鳥黑客（所謂的腳本小子）。Cybereason Nocturnus的調(diào)查顯示，攻擊者選擇的武器是njRat——一種遠程訪問木馬（RAT），用于劫持受害者的機器來執(zhí)行鍵盤記錄、截屏、操縱和泄露數(shù)據(jù)以及進行網(wǎng)絡攝像頭和麥克風錄音。Cybereason警告，任何人下載經(jīng)過惡意修改的黑客工具（可能出于邪惡目的）都會不自覺地成為受害者，而njRat可以使攻擊者訪問敏感數(shù)據(jù)并提供發(fā)起DDoS攻擊的平臺。正在進行的調(diào)查已經(jīng)采集到近1000個njRat樣本，并且這些每天都有新的迭代。

?安全運營的“天坑”？SIEM 的殘酷真相

?

SANS 2019年的報告顯示，超過70％的大型企業(yè)仍然依賴安全信息和事件管理（SIEM）系統(tǒng)來進行數(shù)據(jù)關聯(lián)、安全分析和運營。

研究表明，盡管SIEM擅長發(fā)現(xiàn)已知威脅并生成安全與合規(guī)性報告，但它并不適合檢測未知威脅或其他安全運營場景。而且，有23％的安全專家表示SIEM平臺需要大量的人員培訓和經(jīng)驗，而21％的人則認為SIEM需要不斷調(diào)優(yōu)并消耗大量運營資源才能發(fā)揮作用。SIEM事件分類總落后于時代，SIEM中的規(guī)范化和分類化方法從未切實起效！在其誕生之初的2003年就沒用，此后的每一年里都毫無效果。

?5分鐘了解谷歌BeyondCorp零信任安全模型

? ?

BeyondCorp建立的目標：讓每位谷歌員工都可以在不借助VPN的情況下通過不受信任的網(wǎng)絡順利開展工作。這意味著需要擯棄對企業(yè)特權網(wǎng)絡（企業(yè)內(nèi)網(wǎng)）的依賴并開創(chuàng)一種全新的安全訪問模式。在這種全新的無特權內(nèi)網(wǎng)訪問模式下，訪問只依賴于設備和用戶身份憑證，而與用戶所處的網(wǎng)絡位置無關。因此，BeyondCorp在實施過程中始終遵循：

1.發(fā)起連接時所在的網(wǎng)絡不能決定你可以訪問的服務；

2.服務訪問權限的授予以我們對你和你的設備的了解為基礎；

3.對服務的訪問必須全部通過身份驗證，獲得授權并經(jīng)過加密。

?最后的武士：Kali Linux何去何從？

對于Kali Linux，安全人士不僅要關注其作為“器”的功用價值，還要關注其背后的團隊理想和“道”。作為攻擊性防御和滲透測試的代名詞，Kali Linux正面臨一次重大轉型。身在江湖的滲透大師們，嗅到近年來空氣中開始彌散的苦味，無論是在中國還是美國，攻擊性防御、紅隊、白帽黑客的知識和工具傳播都面臨越來越嚴苛的監(jiān)管。例如包括Youtube、Vimeo在內(nèi)的主流視頻平臺已經(jīng)封禁了滲透測試相關教學內(nèi)容。

對于最著名的滲透測試工具/社區(qū)Kali Linux來說，何去何從，如何轉身，能否帶領迷途的白帽子們“走出埃及”，牽動著每一個安全人士的心。

?2019年開放源代碼漏洞激增50%

WhiteSource最新發(fā)布的漏洞報告稱，2019年公開的開源軟件漏洞數(shù)量達到了6,000多個，而2018年僅為4,000多個，數(shù)量激增50%！“這可以歸因于開源組件的廣泛采用以及過去幾年開源社區(qū)的大規(guī)模增長，以及媒體對最近數(shù)據(jù)泄露的關注和企業(yè)對開源安全的意識增強?！眻蟾嬷赋?。

已披露的超過85％的開源安全漏洞已經(jīng)有可用修復程序；

只有84％的已知開源漏洞被NVD收錄，其中一些漏洞在被發(fā)現(xiàn)后數(shù)月才收錄；

由于代碼量巨大，C仍然具有最高的漏洞百分比（30％），其次是PHP（27％）和Java（15％）。

?iPhone的 6位數(shù)PIN碼可被輕松破解

近日，波鴻魯爾大學、馬克斯普朗克研究所和華盛頓大學的安全專家對iPhone手機的PIN安全性以及其如何受到黑名單機制影響進行了研究，結果讓人吃驚：研究結果表明，較長的六位數(shù)PIN相比四位PIN安全性并沒有得到多少增強，有時甚至會降低強度。

研究者制作了一個載有攝像頭的樹莓派樂高機器人裝置（上圖），可以模擬連接到iPhone的USB鍵盤，從而通過暴力方式快速測試出iPhone自帶的PIN黑名單（如果你在設置新手機時選擇了黑名單中的PIN碼，iPhone會彈出警告窗口：此PIN容易被猜中）。