【供应链安全】通过安全事件看IT产品供应链安全风险
回顾去年的安全事件：Xmanager和Xshell后门事件、Xcode非官方版本恶意代码污染事件、思科Juniper网络设备存在“心脏出血”漏洞、Juniper VPN后门事件……通过以上事件可以发现企业在进行软件开发、设备采购、系统运维等阶段都存在着安全风险，如何有效的针对IT产品供应链进行防范与控制成为企业面临的极大挑战，本文将结合相关案例针对该问题进行简单阐述。
【威胁通告】Adobe Flash Player 0-day漏洞 （CVE-2018-4878）
当地时间2月1日，北京时间2月2日，Adobe Flash Player被发现存在一个0-day漏洞（CVE-2018-4878），并且已被攻击者利用，该漏洞影响目前所有版本。攻击者可以诱使用户打开包含恶意Flash代码的Microsoft Office文档，网页，垃圾电子邮件等。恶意代码被认为是嵌入在MS Word文档中的Flash SWF文件中。
绿盟科技网络安全威胁月报–201801
绿盟科技网络安全威胁周报及月报系列，旨在简单而快速有效的传递安全威胁态势，呈现重点安全漏洞、安全事件、安全技术。获取最新的威胁月报，请访问绿盟科技博客https://blog.nsfocus.net/
2017年国内恶意物联网IP分析
近两年来，随着物联网相关技术的发展，几乎所有的家用电器都可以接入网络。智能化的应用给生活带来便利的同时，其副作用也随之而生。2016年，攻击者使用Mirai病毒用僵尸物联网设备让一个新闻网站的重要防火墙瘫痪之后，紧接着Dyn DNS service遭受到攻击，使得美国网络中流砥柱的公司大面积瘫痪，影响遍及数百万人群。
【翻译】Oracle VirtualBox虚拟机逃逸漏洞分析
本文介绍了两个近期公布的Virtual Box 虚拟机逃逸漏洞，问题存在于 Oracle VirtualBox 5.1.30和5.2-rc1中。漏洞的发现归功于独立安全研究人员Niklas Baumstark。目前漏洞已被提交至 Beyond Security 的 SecuriTeam。
【威胁通告】ElectronJs远程代码执行漏洞 （CVE-2018-1000006）
近日，使用自定义协议处理程序（custom protocol handlers）的Electron应用程序被发现存在一个远程执行代码漏洞。该漏洞源于应用程序在设计时，将自身注册为协议的默认处理程序（例如myapp://），无论协议是如何注册的，例如本机代码，Windows注册表或者Electron的app.setAsDefaultProtocolClient的API，都会受到影响。
2017年反序列化漏洞年度报告
在2017年绿盟科技NS-SRC 处理的漏洞应急中有很大一部分是反序列化漏洞，和以往漏洞形式不一样的是，2017年则多出了fastjson、Jackson等，还有关于XMLDecoder和XStream的应急，本报告重点回顾2017年绿盟科技重点应急，影响面非常广的那些反序列化漏洞。从这个报告中能看出反序列化漏洞的发展，攻击方和防御方不停的对抗过程，bypass和反bypass在这个过程中体现得淋漓尽致。
绿盟科技网络安全威胁周报 201803
绿盟科技网络安全威胁周报及月报系列，旨在简单而快速有效的传递安全威胁态势，呈现重点安全漏洞、安全事件、安全技术。获取最新的威胁月报，请访问绿盟科技博客 https://blog.nsfocus.net/
DedeCMS最新版前台任意用户登录漏洞分析
DedeCMS最近又有一个缺陷被爆出来，可以绕过一些判断条件从而导致前台任意用户登录，配合上一个重置密码漏洞，可以达到从前台登录管理员账户并修改dede_admin表里的密码，也就是真正修改了管理员密码。下面来简单分析一下。
【虚拟化安全】全面虚拟化安全风险列表&专业安全建议
本文罗列了服务器虚拟化、桌面虚拟化、网络虚拟化、存储虚拟化及应用虚拟化5种虚拟化方式可能存在的安全风险，并为各种风险提供了安全建议。快来检测一下你的虚拟化环境安全吗？
【数据安全】数据备份，想说爱你不容易
在我们的日常工作中，邮件、加密盘、数据库以及其他重要文件数据等，一定要养成定期备份的习惯。下面我们从近期几位同事遇到的案例入手，看一下数据备份的重要性。
【移动安全】闪付&零元购，你的支付安全么？
随着越来越多的无辜消费者陷入“闪付”、“0元购”、“抽奖”陷阱，我觉得无论如何强调和提醒大家注意支付安全都不为过。近年来，随着智能手机的不断普及，移动钱包的概念逐渐渗透到人们生活的方方面面，出门还带钱包？你就Out了，甚至有人在婚礼上用二维码收礼金，坐公交不必带公交卡，手机扫下就OK，滴滴打车用完车钱被直接划走>>>>>>