安全行业资料泄露:企业该如何保护源码?
最后更新 :2022.03.07
这是有史以来最大范围的一次源代码泄露。微软、Adobe、联想、AMD、高通、联发科、通用电气、任天堂、迪士尼、华为、海思等50家科技公司都卷入了近期披露的源代码泄露事件。
对于公司产品而言,源代码就是生命的化身,掌握了其编写方式,就可以复制出一个相同的程序,或通过阅读源代码找到程序的漏洞并进行任意攻击。一旦源代码遭泄露,潜在的危害巨大。因此,企业面临源码泄露事件时,是否应该反思当下自身的源码保护够不够完善?
起因疑似使用配置操作不当的Devops工具
此次大规模源码泄露事件是由Bank Security的安全研究人员发现的,遭泄露的源码被发布在GitLab上一个公开存储库中,并被标记为 “exconfidential” (绝密),以及 “Confidential & Proprietary”(保密&专有),该存储库中大约包含了超过50家公司的源码。
一名瑞士软件开发工程师上传了这些存储库,然后在自己的Twitter账号上发布了获取链接。尽管他已经尽量删除代码,并联系相关涉事公司,但是因为这些源代码公之于众,任何人都可以访问,这为网络攻击者找到漏洞、窃取企业机密信息埋下了隐患。
何以造成如此大规模的源码泄露事件?
起因疑似是因为使用了错误配置的Devops工具公开源代码。配置不当造成的安全事件也不在少数。亚马逊AWS S3存储桶一配置不当造成大规模的数据泄露事件想必大家也都还记得。当然源码泄露也还有其他原因,比如黑客攻击、员工操作失误等。比如近期曝光的任天堂因遭受黑客攻击而导致源码泄露。
此外,员工的操作失误造成的事件,比如大疆的源码泄露。2019年,大疆前员工泄露公司源代码,深圳法院以侵犯商业秘密罪判处大疆前员工有期徒刑六个月,并处罚金20万人民币。而这些泄露出去的代码,已用于该公司农业无人机产品,具有实用性。尽管大疆公司采取了合理的保密措施,但该次事件依然给大疆造成经济损失116.4万元人民币。
游戏领域更是源码泄露的重灾区。除了任天堂的源码泄露事件,2019年Valve发生了重大泄露事件,有人泄露了《CS:GO》和《军团要塞2》的源代码,并提供下载链接。负责对《军团要塞2》进行志愿维护的玩家社区已经无限期关停。
2019 年 4 月,B站整个网站后台工程源码泄露,并且“不少用户密码被硬编码在代码里面,谁都可以用。”当日B站股价跌 3.27%。虽然很快被封禁,B站也已经报警处理,但有不少网友克隆了代码库,隐患已经埋下。
企业应该如何保护源代码?
源代码对企业的重要性不言而喻,因此加强源代码保护至关重要。可以从源代码本身、内部企业人员权限和做好监控审计等三方面着手,进一步加强企业重要源代码的安全性。
一、对源码进行分级,确保和明确重要源码的保护措施
企业内部源码具有优先层级,明确哪些核心代码需要被保护。明确源码重要性分级后,可对重要源码进行加密,打造核心数据管理平台。目前对源码加密的办法有两种:一种是物理性的“源码加密”,一种是软件性的源码加密。
物理性“源码加密”就是指截断外网,封掉U口或者锁定机箱,让开发者处于一种封闭的状态。这种方法是可以达到效果的,弊端就是如若封掉U口,对于员工的工作使用会造成很大的影响,大大降低了工作的效率。
软件性的源码加密是指通过软件对源码进行保护。目前市面上最流行的源码加密软件机制是一种对开发人员的操作环境进行加密的软件,不用对任何硬件做修改,开发人员的源码只能存放在公司范围里,拿不出加密的空间。如果想要拿出文件的话则需走审批流程。
二、精细化访问控制,对于员工的权限进行限制
尽管公司做好源码加密措施,但是仍然防不住内部员工造成的安全风险。比如大疆前员工泄漏源码被判刑则是一个案例。
对于外部的威胁,确实可以利用技术来防御。但是对于内部的“人”的因素一方面需要限制员工的访问权限或者虚拟化访问,另一方提高员工的安全意识和产权意识。
从安全技术上进行数据管理,如数据加密、数据防泄漏、数据溯源、访问权限管控等。同时,进行分权管理,划分数据等级加密存储,员工等级不同,访问权限就不同,一般员工不能接触到核心数据,尽可能降低核心数据泄露的风险。
在员工在入职时,应签署保密协议和竞业禁止协议。其中包括公司现有的、以及正在开发或构想之中的包括源码在内的所有产品技术开发信息,员工不得私自对外透露。
加强员工保密意识以及相关法律意识,权责分明,让员工了解一旦泄密事件发生自身需要背负的法律责任。或者通过企业文化教育,让员工了解源码数据对企业发展的重要性,同时提高安全防护意识。
三、做好监控和安全审计
企业应配合管理制度、保密协议、审计日志,确保有据可查、有据可依。现在大部分客户对于软件产品的安全考量基本集中开发后期,在测试阶段引入。常用的软件风险评估、漏洞扫描、渗透测试等都是在软件开发完成后进行。
通常这个阶段预留的时间非常少,不仅修复的难度高,修复、测试的成本极高,而且存在大量的漏洞错报和误报的情况。当通过后期测试发现问题后,人工进行代码审查去查找漏洞所在代码位置时,往往效率低、准确率低、无法定位具体问题代码行。
因此,企业应从开发早期进行安全介入,做好安全审计,快速精准地定位问题代码行,对漏洞进行实时管理,从源码层级上进行安全保护,防止因配置不当、软件编写存在bug等问题造成的源码泄露。
- END -
多所小学美术本印有涉黄二维码,真相竟是?
近期,有网友称其孩子的美术书被印了一个二维码,让人惊讶的是这个二维码一扫就会跳到一个...
什么是攻击研判分析工程师
什么是攻击研判分析工程师攻击研判分析工程师是网络安全大方向下网络安全应急与防御岗的...
网络安全到底怎么学?网络安全培训哪里最好?最强总结来了!
现在越来越多应届生转行开始学习网络安全了,网络安全工程师成了不少人梦寐以求的职位。那...
数字经济开启新时代,网络安全竟成时代“风口”,原因何在?
数字经济开启新时代,网络安全竟成时代“风口”,原因何在?看到这个话题,可能很多人会存在疑...
全员网络安全意识的培养 是企业发展的重中之重
今年网络安全宣传周的第一天,西北工业大学网络被境外势力入侵的事件终于水落石出,攻击源...
应用安全产品和企业有哪些?
网盾带你了解那些应用安全产品及企业什么是应用安全?应用安全,就是保障应用程序使用过程和...
入门网络安全工程师要学什么
根据最新版网络安全产业人才发展报告发布的信息得到的结论:1、疫情常态化后,国内经济回温,...
什么是漏洞挖掘工程师
什么是漏洞挖掘工程师漏洞挖掘工程师是网络安全大方向下网络安全应急与防御岗的一个细分...
网约车钓鱼执法可以反制,网络钓鱼你躲得过吗
昨天看到一则搞笑的视频。6月11号,哈尔滨一男子搭乘网约车的时候,要抽烟,被司机制止了。然...
Sora发布10天热潮背后,打工人恐丢饭碗,某行业却成大受益者…
Sora发布10天热潮背后,打工人恐丢饭碗,某行业却成大受益者hellip;人工智能热潮背后,大批打...
地震局事件警示 武汉网络安全工程师培训很重要
地震局事件警示 武汉网络安全工程师培训很重要作者:时间:2023-08-04 17:16:18网络安全培...
为什么技术型公司更适合做网络安全培训
网络安全是一个新兴职业。学习一项新的技能,首先就要考虑这个新的背后有没有人去给你提供...
网络安全学习必须了解的操作系统和工具
网络安全学习必须了解的操作系统和工具在网络安全专业领域,工具至关重要。网络安全专家、...
什么是攻击取证与溯源分析工程师
什么是攻击取证与溯源分析工程师攻击取证与溯源分析工程师是网络安全大方向下网络安全应...
严重损害网络安全有效性的4个误区
6月5日,2023年Gartner安全与风险管理峰会在美国马里兰州正式开幕。在峰会开幕演讲中,Gart...
刚毕业就失业,还有什么行业可以冲?
毕业就失业,这是一个残酷的现实。全球经济衰退,很多行业都被时代洗刷,很多专业也就遇到了就...
美保险巨头CNA Financia支付黑客4000万美元赎金,破赎金最高纪录
美国最大的保险公司之一CNA Financial在3月底向黑客支付了4000万美元(2.5亿人民币),以恢复...
辞职转行学IT,学网络安全运维可以吗?
辞职转行学IT,学网络安全运维可以吗?作者:时间:2023-08-09 16:37:19网络安全培训 网络...
警惕这个微信!每个人通讯录都有它!女子主动发消息反被骗9年,腾讯公开回应了!
警惕这个微信!每个人通讯录都有它!女子主动发消息反被骗9年,腾讯公开回应了!很多人习惯使用&...
微软被16岁男孩攻击后!网络安全师遭“哄抢”,成众多企业守护神
最近,网络安全圈子又出了一件大事,黑客组织Lapsus$黑进了微软,他们声称,从微软内部的Azure D...
什么是“身份识别与访问管理”,产品与企业有哪些
身份识别与访问管理,IAM(Identity and Access Management 的缩写),即具有单点登录、强大的认...
学历越高 工资就越高?
学历越高 工资就越高?几乎所有人都会认为,学历高,未来薪资就一定高。所以,从小到大,所有人都...
土木男不配拥有爱情?我只花了4个月就让前妻净身出户
现在回忆起那些不堪的过往,我还是会气到发抖。如果不是那天晚上的那通电话,我可能一直都无...
白帽子:聊聊安全界的那些书
感觉今年的安全书籍相对比较萧条,而那本CTF书着实火了一把,其它新出安全书籍其实不多了。...
网络安全工程师必须了解的知识:“三保一评”是什么?
网络安全工程师必须了解的三保一评网络安全保护工作当中的3保1评指的是:分保、等保、关保...
2020网络安全逆势而动
2020年,全球地缘政治冲突多发,各国经济问题凸显。全球网络空间态势日趋复杂。人工智能、区...
优秀毕业学员访谈——勤奋的华为小哥
网盾优秀学员用最真实经历讲述,选对好的专业与平台有多重要!优秀毕业学员访谈文字版时间:2022年5月19日地点:网盾安全学院李老师:为什么想要转行学网络安全?学员:其实,我年近30 了,以前做过很多其他的工作,去年被一个坏人,把我所...
都2022年了,还不知道网络安全职业方向?气得盾叔都快脑血栓了
2022年已过去3个月,马上又该迎来一年一度的毕业实习了,盾叔记得自己当年实习就是4月份开始...
“央视”着重点名,这一行业“人才缺口超300多万”,将成为下一任“风口”!
在2021年,我国出台政策之多,力度之大,不亚于任何时候,像限制教培、调控房地产、反垄断、政...
我国网络安全人才的需求状况如何?好就业吗?
我国网络安全人才的需求状况如何?好就业吗?由于我国正在快速推进数字经济发展,不断像网...
数据安全产品和企业有哪些
网盾带你了解那些数据安全产品及企业什么是数据安全?《中华人民共和国数据安全法》中第三...
什么是安全合规风控咨询师
什么是安全合规风控咨询师安全合规风控咨询师是网络安全大方向下网络安全合规与管理岗的...
一文解释清楚网络安全中二进制安全和逆向工程
一文解释清楚网络安全中二进制安全和逆向工程作者:时间:2023-08-16 16:58:29网络安全培训...
伊朗多次遭受黑客入侵,总统国庆日电视直播演讲竟被黑客恶意篡改
据新闻消息报道:在伊朗伊斯兰革命胜利44周年纪念日的当天,遭受到了黑客的组织破坏。这次...
数字安全巨头出事了,全球恐遭毁灭性打击
近期,据BleepingComputer最新报道,数字安全巨头Entrust Inc遭到勒索软件团伙攻击。直到7月...
一文了解新概念“网络安全网格”
一文了解新概念“网络安全网格”作者:时间:2023-09-08 14:58:22网络安全培训 网络安...
渗透测试中最常见的漏洞有哪些?分别造成的影响是什么?
渗透测试中最常见的漏洞有哪些?分别造成的影响是什么?在学习渗透测试时,我们会遇到各种...
想转行互联网行业,是选择网络安全还是人工智能?
想转行互联网行业,是选择网络安全还是人工智能?随着数字时代的到来,网络安全和人工智能成...
计算机0基础可以学网络安全吗
计算机0基础可以学网络安全吗作者:时间:2023-08-03 16:18:15网络安全培训 网络安全培...
2022年不断扩大的网络威胁攻击面
在过去的一年里,网络犯罪出现了空前增长。Fortinet研究表明,在2020年7月至2021年6月之间的...
怎么零基础入门网络安全?网络安全入门教程详解
怎么零基础入门网络安全?网络安全入门教程详解作者:时间:2023-07-14 17:24:02网络安全培训...
什么是系统安全需求分析师?
什么是系统安全需求分析师?系统安全需求分析师是网络安全大方向下网络安全规划与设计岗方...
信息安全行业的现状及趋势
信息安全是指对信息系统的硬件、软件、系统中的数据及依托其开展的业务进行保护,使得它们不会由于偶然的或者恶意的原因而遭到未经授权的访问、泄露、破坏、修改、审阅、检查、记录或销毁,保证信息系统连续可靠地正常运...
学网络安全为什么培训好?
学网络安全为什么培训好?根据最新版网络安全产业人才发展报告指出,在疫情常态化后,国内经济...
什么是防火墙,防火墙有哪些功能
网络安全领域是安全行业最基本的领域,研究的技术范畴主要围绕防火墙/NGFW/UTM、网闸技术...
网络安全培训哪家更靠谱?
网络安全培训哪家更靠谱?在回答这个问题之前,我还是要先强调一点:对于大部分网络小白来说,...
努力方向对了的张朝阳都做了什么
努力方向对了的张朝阳 都做了什么这两天,一则张朝阳劝年轻人不要努力过头的新闻刷屏,这位...
境外对儿童价值观的渗透 可不止“人教教材”这一个方式
关于小学课本的问题,已经不是第一次上热搜了,但能让国人都愤怒的,这还是第一次。这次人教版...
入行网络安全需要学习哪些知识点?如何去学习网络安全呢?
网络安全已经进入持续火热的阶段之中,而且现在网络安全的需求量越来越高了,大家对于网络安...
应急响应、应急响应事件、网络应急响应
一、应急响应1、什么是应急响应应急响应( Incident Response/ Emergency Response )通常是指一个组织为了应对各种意外事件的发生所做的准备工作以及在突发事件发生时或者发生后所采取的措施。计算机网络应急响应的对...
你知道数字时代的间谍离你有多近吗?
以前,间谍们的活动很容易被发觉,而且被发现的原因多种多样。那我们要如何识别身边那些行...
AI 诈骗高发,人工智能引发的网络信息安全亟需被重视
AI 诈骗高发,人工智能引发的网络信息安全亟需被重视10分钟内被骗走了430万元!而且受害人...
任正非的“活下去” 对于普通年轻人择业的警示
22号,华为内部论坛上线了一篇关于《整个公司的经营方针要从追求规模转向追求利润和现金...
网盾将与奇安信联合开展QCCA认证培训
基于国家网络空间安全战略,围绕企业用户的网络安全人才需求,实现应用型网络安全人才能力的...
什么是SSRF攻击?该如何防御SSRF攻击?
什么是SSRF攻击?SSRF是一 种由攻击者构造请求,由服务端发起请求的安全漏洞。一般情况下,ss...
cos扎克伯格?人大高材生因数据泄露面临“踩缝纫机”
近日,一名人大毕业生利用在校期间职务之便盗取学校内网数据,收集全校学生个人信息,制作颜...
网络安全有哪些岗位?
网络信息安全是一门涉及计算机科学、网络技术、通信技术、密码技术、信息安全技术、应用...
老师嘴里必考的网络安全知识点
大家好,盾叔今天又来给大家做干货分享咯,要是大家想了解哪些方面的知识技巧,可以在评论或者...
除了脱下孔乙己的长衫,大学生还有别的出路吗?
在今年这个就业困难的年份,孔乙己文学悄然兴起。几千万失业的青年,成了“脱不下长衫”的...
等保2.0涉及的Apache Tomcat中间件(上)
这里就谈谈等保2.0要求,对应到Apache Tomcat中间件的一些条款要求。安装步骤略过,我们直接...
品最深刻的人生格言,做最纯粹的网络安全教育
迷茫时,不妨品读司马仲达的人生格言绝大多数人的一生中,都会有那么一段时间,会陷入迷茫,不知...
什么是移动安全?5G将面临的安全挑战
什么是移动安全?移动安全泛指以移动化为核心,把端点安全、数据安全、业务安全融合在一起。...
为什么现在都不爱发朋友圈了
你喜欢发朋友圈吗?原来我的朋友圈总可以看到一些奇奇怪怪的有趣灵魂。有拍照技术不行装逼...
很多在选择网络安全工程师(黑客或白帽)与程序员如何纠结?
很多在选择网络安全工程师(黑客或白帽)与程序员有那些差别?有人说“要想成为高深的...
免费SSL证书与收费SSL证书有什么区别?
随着SSL证书的普及,提供免费SSL的CA机构已经开始出现,并且越来越多的CA机构提供了自己的免费SSL证书来吸引用户,但是许多人不可避免地会遇到这样的疑问:免费SSL证书和付费SSL证书之间的区别?既然有免费SSL证书,为什么我应...
0基础小白想入行网络安全需要学习那么内容呢?
在互联网技术迅猛发展的今天,重视网络安全可以帮助公司减少数据和资源被攻击的可能性。也...
浓情腊八,倾囊相送:5天速成白帽子黑客9.9领取
5天速成白帽子黑客课程大纲:一、网络安全入坑指南;二、网络安全发展史;三、TCP/IP协议栈;四...
网络安全培训出来为什么好找工作?
盾叔最近看到一个问题,问网络安全培训出来为什么好找工作?在解释这个问题之前,我们应该先要...
网络安全培训机构排名
一提到网络安全培训机构,总会有一部分人跳出来说这一行培训劝退,建议自学。盾叔经过分析后...
什么?扳手都能感染勒索病毒?
什么?扳手都能感染勒索病毒?最近,网络安全专家们揭示了一个令人震惊的发现:23个漏洞存在于一...
怎么零基础入门网络安全?
怎么零基础入门网络安全?随着互联网的普及,网络安全成为越来越受重视的话题,求职热门岗位中...
重磅 | 【 2021中国白帽子调查报告】正式发布
“白帽子”是一群维护互联网秩序的安保人员。他们掌握高超的专业技能,致力于迅速识别安全...
网络安全培训为什么火了?
很多小伙伴在网上搜索网络安全时,会出来网络安全工程师这样一个职位,它的范围很广,只要是与...
物流管理专业转行,做什么工作比较好?
物流管理专业转行,做什么工作比较好?目前,很多物流管理专业毕业的学生由于工作繁琐枯燥,加...
什么是DDoS攻击?
DDoS攻击的定义分布式拒绝服务攻击(英文意思是Distributed Denial of Service,简称DDoS)是...
什么是网络安全“微隔离”技术
微隔离就是把一个无结构无边界的网络分成好多逻辑上的微小网段,以确保每一个网段上只有...
内鬼作祟!美国新闻业遭受大规模供应链攻击,数百家报纸网站被“挂马”
内鬼作祟!美国新闻业遭受大规模供应链攻击,数百家报纸网站被“挂马”据新闻11月3日报道:有...
如何选择适合的网络安全培训课程?并且提供认可度高的证书?
如何选择适合的网络安全培训课程?并且提供认可度高的证书?作者:时间:2023-07-31 15:29:21网...
哥斯达黎加遭Conti勒赎软件攻击,Conti是什么?
哥斯达黎加遭Conti勒赎软件攻击,Conti是什么?本月,哥斯达黎加政府旗下多个机关,纷纷遭到Cont...
攻击者隐藏踪迹的5种方式
从受信任的渗透测试工具到LOLBIN(living-off-the-land binaries),攻击者正在通过滥用受信任...
为什么劝你2023年去参加网络安全培训
为什么劝你2023年去参加网络安全培训作者:时间:2023-08-09 14:46:39网络安全培训 网...
网盾受邀为江夏区融媒体中心作网络信息安全意识专题培训
5月26日下午,网盾科技受邀为江夏区融媒体中心作网络信息安全意识专题培训。王迎银总监围...
什么是安全实施工程师
什么是安全实施工程师安全实施工程师是网络安全大方向下网络安全建设与实施岗的一个细分...
电子商务营销专业转行,做什么前景更好?
现阶段,很多学习电子商务专业的学子们,都遇到了“毕业即失业”的现象。即使找到了工作,也...
20届还没找到工作的同学,现在该如何快速自救?!
2020年,这届毕业生,难!还没找到工作的2020届毕业生,到底该怎么办?2020届毕业生:我们实在太难了...
手机发现以下几款软件,请你马上删掉
手机发现以下几款软件,请你马上删掉作者:时间:2023-08-02 16:31:10网络安全培训 网络...
什么是云计算产品安全分析师?
什么是云计算产品安全分析师?云计算产品安全分析师是网络安全大方向下网络安全规划与设计...
技术小白该如何学习网络安全
首先我们说说什么是网络安全?网络安全是指网络系统的硬件、软件及其系统中的数据受到保护...
VBA清除技术可逃避杀毒软件的检测
VBA清除技术利用VBA的恶意MS Office文档将其VBA代码存储在“复合文件二进制格式”文...
今后什么工作还能挣大钱?网络安全可以吗
今后什么工作还能挣大钱?疫情后经济下行,房地产等众多传统产业落幕,失业潮一波接着一波。...
30岁转行网络安全来得及吗?有发展空间吗?
30岁转行网络安全来得及吗?有发展空间吗?现阶段,很多30岁左右的人群都面临就业难的问题,...
女生学网络安全有企业要吗?
近期,网络安全行业逐渐推上浪潮,从以往的小众走向蓬勃发展。已经成为了大部分人心中热门的...
影响工控安全的五大关键问题
影响工控安全的五大关键问题作者:时间:2023-08-24 10:24:59网络安全培训 网络安全培...
“疫情时代”逐渐结束,经济复苏拐点已至,普通人如何借势发展?
回顾2022年,疫情肆虐,消费停滞,出口受阻,债市震荡,货币和大宗商品暴跌,市场动荡不断。让我们...
地球物理专业想转行,做什么工作比较好?
最近盾叔发现很多就读物理专业的应届生,都面临“就业难”的现象。据了解:地物人才已经处...
《2023年全球网络安全人才发展报告》主要内容
《2023年全球网络安全人才发展报告》主要内容国际信息系统安全认证联盟(ISC2)刚刚发布了20...
网络安全:全球排名第一的紧缺技能
美国计算机行业协会 Compia公司最新发布了一份科技趋势报告,指出了2022年十大高薪紧缺技...
郑州留住高学历人才的最好方式竟然是“烂尾楼”?
郑州最近可谓是解救唐山公安局于水火啊,红码事件还没结果,又来个最高学历楼盘烂尾的热搜。...
网络安全工程师必用的6个渗透工具,专业工具渗透工作更好做!
渗透测试是通过模拟恶意黑客的攻击方法,来评估计算机网络系统安全的一种评估方法。同时,网络所有者根据渗透人员提供的渗透测试报告,可以清晰知晓系统中存在的安全隐患和问题。在这些过程中除了需要渗透测评师的技术还需...
什么是区块链安全?
什么是区块链?区块链,就是一个又一个区块组成的链条。每一个区块中保存了一定的信息,它们按...
- 数据加载中,请稍后...