银行业金融机构信息科技外包管理体系建设及落地经验分享(中)

4月份的安全月刊中刊登了《银行业金融机构信息科技外包管理体系建设及落地经验分享》(上),我们谈到针对信息科技外包管理组织架构建设,整体结构在符合监管要求的前提下,尽量贴合金融机构自身的组织现状及岗位设置,方能促使信息科技外包管理职能更有效的执行和落地;本期我们将继续探讨金融机构信息科技外包战略建设、风险管理以及生命周期管理方面的建设思路和落地建议。
阅读全文 “银行业金融机构信息科技外包管理体系建设及落地经验分享(中)” »

【公益译文】入侵检测消息交换格式(IDMEF)

《入侵检测消息交换格式(IDMEF)》规定了数据格式与交换过程,规范用于共享信息给入侵检测与响应系统,以及可能与这些系统进行交互的管理系统。本文描述了表示入侵检测系统输出信息的数据模型,并解释了使用此模型的基本原理。本文介绍了可扩展标记语言(XML)中的数据模型实现,进行了XML文档类型定义,并提供示例。

阅读全文 “【公益译文】入侵检测消息交换格式(IDMEF)” »

【威胁通告】VMware vSphere Data Protection (VDP)安全漏洞

近日, VMware官方发布通告,披露了2个存在于vSphere Data Protection(VDP)的漏洞:VDP Java反序列化漏洞(CVE-2017-4914, CNNVD-201706-260),攻击者可以通过该漏洞远程执行任意代码;VDP本地存储vCenter服务器凭据漏洞(CVE-2017-4917),本地存储的凭据采取的加密方式可逆,攻击者可能获取明文的凭据。VMware官方已经发布了相关升级补丁修复了该漏洞。 阅读全文 “【威胁通告】VMware vSphere Data Protection (VDP)安全漏洞” »

绿盟科技解读《网络安全法》 考验安全厂商真本领

国产安全厂商绿盟科技在接受赛迪网采访时表示,《网络安全法》的亮点在于明确了国家网络安全监管架构、网络运营者的责任义务、个人数据保护、等级保护和关键信息基础设施保障的关系、违法行为的法律责任和罚则等内容,为网络运营者有效履行安全保障责任,监管机构有效履行监管职责、执法机关对违法行为进行处罚提供了明确的法律依据。 阅读全文 “绿盟科技解读《网络安全法》 考验安全厂商真本领” »

【威胁通告】Spring Web Flow 远程代码执行漏洞(CVE-2017-4971)

近日, Spring Web Flow发布了更新补丁修复了一个Spring Web Flow 在数据绑定上存在的一个漏洞(CVE-2017-4971, CNNVD-201706-147)。该漏洞源于在Model的数据绑定上没有指定相关model的具体属性,从而导致恶意的表达式可以通过表单提交并且被执行,导致远程代码执行。 阅读全文 “【威胁通告】Spring Web Flow 远程代码执行漏洞(CVE-2017-4971)” »